Prezydent podpisał nowelizację ustawy KSC, ale jednocześnie skierował część jej przepisów do Trybunału Konstytucyjnego w trybie kontroli następczej. Najważniejsza informacja dla firm brzmi jednak: żaden obowiązek przedsiębiorców nie został zawieszony — terminy, SZBI, zgłoszenia incydentów i kary działają normalnie, a do czasu ewentualnego wyroku wszystkie obowiązki obowiązują w pełni. Poniżej: co dokładnie kwestionuje wniosek, czego dotyczą sporne mechanizmy i jak rozsądnie planować zgodność.
Skąd wziął się spór konstytucyjny
Polska transpozycja NIS2 przeszła przez kilka lat konsultacji i wiele wersji, by ostatecznie zostać uchwalona 23 stycznia 2026 r., opublikowana w Dzienniku Ustaw 2 marca 2026 r. (poz. 252) i wejść w życie 3 kwietnia 2026 r. Prezydent ustawę podpisał, ale jednocześnie skierował część przepisów do Trybunału Konstytucyjnego w trybie kontroli następczej — czyli już po wejściu ustawy w życie.
Polska wdrożyła przy tym dyrektywę szerzej, niż wymagało unijne minimum — i to właśnie elementy tej „nadwyżki” budzą największe emocje rynkowe i trafiły do Trybunału.
Co dokładnie kwestionuje wniosek do TK
Wniosek kwestionuje trzy obszary — jako nadmiernie ingerujące w swobodę działalności gospodarczej:
- **Rozszerzony zakres podmiotowy** — objęcie ustawą 18 branż, szerzej niż wymaga dyrektywa, to samodzielna decyzja polskiego ustawodawcy.
- **Konstrukcję postępowań o uznanie za dostawcę wysokiego ryzyka (DWR)** — Minister Cyfryzacji, po zasięgnięciu opinii Kolegium do Spraw Cyberbezpieczeństwa, w wieloetapowym postępowaniu administracyjnym może uznać dostawcę sprzętu lub usług ICT za dostawcę wysokiego ryzyka, oceniając m.in. zagrożenia dla bezpieczeństwa państwa. Skutki: podmioty objęte ustawą (oraz przedsiębiorcy telekomunikacyjni) nie mogą wprowadzać produktów i usług takiego dostawcy do wskazanych systemów, a posiadane muszą wycofać w ciągu 7 lat. Dostawcy przysługuje skarga do sądu administracyjnego.
- **Polecenia zabezpieczające** — przy incydencie krytycznym minister może w drodze decyzji nakazać określonym podmiotom konkretne zachowanie na czas oznaczony, np. instalację poprawki, szczególną konfigurację, wstrzymanie określonego ruchu sieciowego lub odcięcie komunikacji ze wskazanymi adresami.
Najważniejsze: co spór zmienia dla Twojej firmy — nic
Żaden obowiązek nie został zawieszony
Terminy, SZBI, zgłoszenia i kary działają normalnie. Ewentualny wyrok TK może w przyszłości zmienić część mechanizmów państwo–dostawcy, ale planowanie zgodności „na przeczekanie Trybunału” jest hazardem z bardzo złym profilem ryzyka.
W praktyce oznacza to, że kalendarz obowiązków biegnie bez zmian:
| Data | Obowiązek |
|---|---|
| 3 października 2026 | ostateczny termin samoidentyfikacji i złożenia wniosku o wpis do wykazu |
| do 3 kwietnia 2027 | pełne wdrożenie SZBI i pozostałych obowiązków rozdziału o bezpieczeństwie |
| do 3 kwietnia 2028 | pierwszy obowiązkowy audyt bezpieczeństwa (podmioty kluczowe) |
„Planowanie na Trybunał” znajduje się wprost na liście najczęstszych pułapek zgodności: spór konstytucyjny nie zawiesił żadnego terminu — to zła polisa. Rzetelna komunikacja — także wobec klientów i wewnątrz firmy — to mówienie o obu faktach naraz: jest spór konstytucyjny i są w pełni obowiązujące terminy.
Wątek DWR: ryzyko regulacyjne dostawcy w planach inwestycyjnych
Mechanizm dostawcy wysokiego ryzyka wyrasta z unijnego Toolboxa 5G i jest wymierzony przede wszystkim w bezpieczeństwo infrastruktury telekomunikacyjnej, ale jego zakres jest szerszy. Praktyczny wniosek dla firm: planując inwestycje w infrastrukturę krytyczną dla działalności, warto uwzględniać ryzyko regulacyjne dostawcy — wymiana sprzętu w horyzoncie siedmiu lat to realny koszt, który może zmaterializować się decyzją administracyjną.
Nie warto — żaden obowiązek przedsiębiorców nie został zawieszony. Terminy, SZBI, zgłoszenia i kary działają normalnie, a do czasu ewentualnego wyroku wszystkie obowiązki obowiązują w pełni. Planowanie „na przeczekanie Trybunału” to jedna z najczęstszych pułapek zgodności.
Terminy biegną — sprawdź, czy Cię dotyczą
Zrób bezpłatny test kwalifikacji i zobacz, które obowiązki i terminy dotyczą Twojej firmy — niezależnie od tego, co orzeknie Trybunał.
Przewodnik po ustawie KSC 2026 (PDF)