Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?

Wpis do wykazu KSC otwiera przestrzeń podmiotu w S46 Cyber Hub. Kto składa i podpisuje wniosek, co przygotować, jak dostać konto i wysłać wczesne ostrzeżenie.

Autor: Paweł Rosół
Data: 12.10.2026
Czytanie: 22 min
Kategoria: Incydenty

Spis treści

Czym jest S46 i dlaczego zaczyna się od wykazu?
Kto składa wniosek i kto go podpisuje?
Co przygotować przed wejściem na wykaz-ksc.gov.pl?
Jak przebiega samorejestracja krok po kroku?
Co zrobić, gdy podmiot wpisano z urzędu?
Jak utrzymać wpis aktualnym?
Jak dostać się do S46 Cyber Hub i kto ma tam konto?
Jak poprawnie zgłosić incydent poważny w S46 Cyber Hub?
Od czego zacząć w tym tygodniu?

Do systemu S46System S46 System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu. nie da się „zarejestrować” osobno. Dostęp do części, w której zgłasza się incydenty, S46 Cyber Hub, powstaje automatycznie po wpisie podmiotu do wykazu podmiotów kluczowych i ważnychWykaz podmiotów kluczowych i ważnych Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi., a osoby wskazane we wniosku jako administratorzy dostają zaproszenie pocztą elektroniczną. Kto więc chce zgłaszać incydenty zgodnie z ustawą o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych., zaczyna od wniosku o wpis, a dokładnie od decyzji, kto go wypełni i podpisze, bo tu powstaje najwięcej błędów. Poniżej przechodzę przez obie części: wpis do wykazu krok po kroku, potem S46 Cyber Hub od pierwszego logowania do sprawozdania końcowego.

Wpis do wykazu i konto w S46 Cyber Hub to jedna procedura, nie dwie. Błąd w sekcji z administratorem we wniosku oznacza, że w dniu incydentu nikt nie ma jak się zalogować.

Ten tekst nie powtarza, czym jest incydent poważnyIncydent poważny Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego., kto o tym decyduje i jak liczyć 24 godziny. O tym napisałem w artykule Incydent poważny w praktyce. Tu chodzi o samą obsługę systemu.

Czym jest S46 i dlaczego zaczyna się od wykazu?

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) nie używa nazwy S46. Mówi o systemie teleinformatycznym, który minister właściwy do spraw informatyzacji utrzymuje po to, żeby wspierać między innymi zgłaszanie i obsługę incydentów, ostrzeganie o cyberzagrożeniach i przekazywanie rekomendacji (art. 46 ust. 1). W tym samym systemie prowadzi się wykaz podmiotów kluczowych i podmiotów ważnych (art. 46 ust. 1a), a podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważny może przez niego zgłosić także naruszenie ochrony danych osobowych do Prezesa UODOUrząd Ochrony Danych Osobowych Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych. (art. 46 ust. 1 pkt 7). Nazwa S46 pochodzi od numeru artykułu.

W praktyce S46 to dziś trzy usługi prowadzone przez NASK na zlecenie ministra: aplikacja Wykaz KSC pod adresem wykaz-ksc.gov.pl, platforma S46 Cyber Hub pod adresem pa.s46.gov.pl, w której zgłasza się incydenty i odbiera ostrzeżenia, oraz portal informacyjny cyber.gov.pl. W czerwcu 2026 r. NASK wdrożył wydania 7.0.0 i 7.0.1 S46 Cyber Hub, dostosowane do nowelizacji. Najważniejsza zmiana organizacyjna z tego wydania to przestrzeń podmiotu, czyli konto organizacji w systemie, zakładana automatycznie po wpisie do wykazu. Dane z wniosku trafiają prosto do przestrzeni, a adresatów zgłoszeń system ustawia na podstawie organu i CSIRTCSIRT Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB). przypisanych we wpisie.

Z ustawy wynikają trzy obowiązki wokół tego systemu. Po uzyskaniu wpisu do wykazu podmiot rozpoczyna korzystanie z systemu (art. 9 ust. 1 pkt 4). Korzysta z niego w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny (art. 46 ust. 4). Wczesne ostrzeżenieWczesne ostrzeżenie Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin., zgłoszenie incydentu poważnego i wszystkie sprawozdania przekazuje właśnie tym systemem (art. 11 ust. 2), a za niekorzystanie z niego przy tych obowiązkach, gdy jest wymagane, grozi kara pieniężna (art. 73 ust. 1 pkt 13). Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. wyznacza okres rozpoczęcia korzystania z systemu od 12 czerwca 2026 r. do 3 kwietnia 2027 r.; podmioty, które miały wcześniejsze porozumienia w sprawie S46, zaczęły już 8 kwietnia 2026 r.

W lipcu 2026 r. ministerstwo podało, że z S46 Cyber Hub korzysta ponad 2000 podmiotów krajowego systemu cyberbezpieczeństwa. Przy kilkudziesięciu tysiącach podmiotów publicznych wpisanych z urzędu znaczy to, że większość organizacji, które czytają ten tekst, zaloguje się po raz pierwszy w najbliższych miesiącach.

Kto składa wniosek i kto go podpisuje?

Wniosek o wpis, zmianę wpisu albo wykreślenie sporządza się w postaci elektronicznej i podpisuje kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu albo osoby przez niego upoważnionej, albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem osoby, która ją składa (art. 7c ust. 6). Pełnomocnik dołącza pełnomocnictwo w postaci elektronicznej, podpisane jednym z tych podpisów; prokurent ujawniony w KRS i pełnomocnik ujawniony w CEIDG nie dołączają nic (art. 7c ust. 7). Ministerstwo dodaje, że pełnomocnictwo musi być po polsku i że od jego udzielenia należy się opłata skarbowa, której system nie gromadzi (pytania 2.63 i 2.18 w FAQ).

Każdy wniosek zawiera oświadczenie kierownika, że dane są zgodne z prawdą, składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia; odpowiedzialność nie obejmuje podania zakresów adresów IP i nazw domenowych (art. 7c ust. 5). Pełnomocnik może złożyć to oświadczenie w ramach pełnomocnictwa do wniosku, ale nie zwalnia to kierownika z odpowiedzialności za prawidłowe złożenie wniosku (pytanie 2.66). Odpowiedzialność za wykonanie obowiązków z art. 7c kierownik ponosi zawsze (art. 8c ust. 1), a za ich niewykonanie może dostać karę (art. 73a ust. 1 pkt 1).

Tu jest pułapka, do której ministerstwo musiało dopisać osobną odpowiedź w październiku. W aplikacji Wykaz KSC wniosek wypełnia osoba przypisana do niego jako właściciel i ta sama osoba musi go podpisać; aplikacja wykrywa niezgodność tożsamości i oznacza wniosek statusem „Błąd podpisu”. Nie ma możliwości, żeby pracownik wypełnił wniosek, a potem przekazał go kierownikowi do podpisu, ani elektronicznie, ani na wydruku (pytanie 2.55). Dotyczy to także wariantu z pobraniem wniosku jako pliku XML i podpisaniem go w zewnętrznej aplikacji. Jeżeli więc wniosek ma przygotować informatyk albo zewnętrzny pełnomocnik, to ta osoba potrzebuje pełnomocnictwa i podpisuje sama (pytanie 2.24). Jeżeli ma podpisać prezes, to prezes siada do formularza.

W spółkach z reprezentacją łączną robię to tak: zarząd podpisuje zgodnie z KRS jedno elektroniczne pełnomocnictwo dla osoby, która będzie prowadzić wpis i jego późniejsze zmiany, a ta osoba zakłada konto, wypełnia i podpisuje. Ustawa mówi o podpisie kierownika „lub osoby przez niego upoważnionej”, a wpis trzeba będzie zmieniać przy każdej zmianie danych, więc jednorazowe zebranie dwóch podpisów członków zarządu pod formularzem i tak nie rozwiązałoby problemu na dłużej.

Co przygotować przed wejściem na wykaz-ksc.gov.pl?

Zakres danych we wniosku wynika z art. 7 ust. 2 pkt 1 do 18 ustawy o KSC (art. 7c ust. 2); dane z pkt 19 do 26, w tym właściwy organ i CSIRT, uzupełnia minister (art. 7a ust. 1). Formularz dzieli je na sekcje zapisywane osobno, a po wpisaniu NIP lub REGON część pól podpowiada z rejestrów publicznych. Zanim ktokolwiek się zaloguje, zbieram w jednym dokumencie:

nazwę, NIP, REGON, adres siedziby i do korespondencji, adres do doręczeń elektronicznych, jeśli jest aktywny (pkt 1, 3, 4, 6, 7);
ogólny adres poczty elektronicznej podmiotu, taki, pod którym kancelaria rejestruje korespondencję, a nie skrzynkę zespołu bezpieczeństwa (pkt 5, pytanie 2.59), oraz numer telefonu przyporządkowany do działalności (pkt 12);
sektor, podsektor i rodzaj podmiotu według załącznika nr 1 lub 2, każdy rodzaj działalności odrębnie (pkt 2, art. 7d ust. 2), oraz deklarację wielkości przedsiębiorstwa albo liczbę zatrudnionych dla podmiotu leczniczego niebędącego przedsiębiorcą i urzędu gminy (pkt 13); jak to ustalić, opisałem w tekście Czy moja organizacja podlega ustawie o KSC;
numer w rejestrze działalności regulowanej, jeśli został nadany (pkt 8); koncesje, licencje i zezwolenia nie są takim rejestrem (pytanie 2.62);
zakresy publicznych adresów IP wykorzystywanych w sposób ciągły (pkt 9): adresację własnej infrastruktury, nie pulę przydzielaną abonentom (pytanie 2.65);
domeny wykorzystywane w sposób ciągły (pkt 10): domeny główne należące do podmiotu, bez subdomen i nazw technicznych (pytanie 2.30);
państwa członkowskie, w których podmiot wykonuje działalność, z jej rodzajem (pkt 14);
dane osób do kontaktu i administratora konta w systemie, o czym niżej (pkt 11);
dane dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, jeśli podmiot zawarł z nim umowę na zadania z art. 8 lub art. 11 (pkt 16); komu to pole się należy, a komu nie, rozbieram w tekście Których dostawców wpisać do wykazu KSC;
przedstawiciela z art. 5a ust. 7, jeśli został ustanowiony (pkt 17), i informację o porozumieniu w sprawie wymiany informacji (pkt 18).

Podmiot, który korzystał z S46 przed 3 kwietnia 2026 r., podaje dodatkowo kod swojej przestrzeni, żeby wpis powiązał się z istniejącą przestrzenią zamiast tworzyć nową (pytanie 2.15). Kod widzi w S46 Cyber Hub użytkownik z rolą administratora przestrzeni.

Osoby do kontaktu i administrator konta

Podmiot kluczowy lub ważny wyznacza co najmniej dwie osoby odpowiedzialne za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1); mikro- i mały przedsiębiorca oraz podmiot ważny będący podmiotem publicznym co najmniej jedną (art. 9 ust. 2 i 3). Do wykazu trafiają ich imię i nazwisko, służbowy telefon i służbowy e-mail, a dla osoby, która będzie administratorem konta podmiotu w systemie, dodatkowo numer PESEL albo identyfikator unijnego środka identyfikacji elektronicznej (art. 7 ust. 2 pkt 11). Dane administratora, w tym PESEL, są dostępne wyłącznie ministrowi albo jednostce, której powierzył utrzymanie systemu (art. 7g ust. 5).

Kto może być osobą do kontaktu, ustawa nie precyzuje. Ministerstwo odpowiada, że każda osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia, bez wymogu wykształcenia, także pracownik spółki z grupy, która obsługuje podmiot na podstawie umowy, jeśli umowy zapewniają rozliczalność i poufność (pytanie 3.18). Może to być kierownik podmiotu (pytanie 3.43) i może to być ta sama osoba w kilku spółkach, jeśli z każdą łączy ją stosunek prawny pozwalający nałożyć na nią te obowiązki (pytanie 2.60). Administrator konta nie musi być pracownikiem, ale musi być związany z podmiotem stosunkiem prawnym, który pozwala nałożyć na niego obowiązki, w tym zachowanie poufności (pytanie 2.61).

Od 2 września 2026 r. do Wykazu KSC i S46 Cyber Hub może zalogować się także osoba bez numeru PESEL, krajowym środkiem identyfikacji elektronicznej z jednego z 22 państw europejskich, przez opcję „Use eID” na login.gov.pl. Dla spółek, w których zarządzie zasiadają osoby bez PESEL, usuwa to przeszkodę w samym logowaniu.

Jedna uwaga, którą dodaję od siebie. Samo wpisanie kogoś jako osoby do kontaktu nie jest jeszcze realizacją zadań z art. 8 lub art. 11. Ale administrator przestrzeni, który będzie wysyłał wczesne ostrzeżenia i prowadził korespondencję z CSIRT, te zadania z art. 11 realizuje, więc zanim zacznie, przedstawia podmiotowi informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji, a kierownik dopuszcza go do zadań dopiero po jej otrzymaniu (art. 8f ust. 1). Jak to zorganizować, piszę w tekście Co kierownik podmiotu może powierzyć pełnomocnikowi.

Jak przebiega samorejestracja krok po kroku?

Opis poniżej odpowiada instrukcji opublikowanej na gov.pl i aplikacji w jej obecnej wersji; nazwy przycisków mogą się zmienić, kolejność raczej nie.

Wejdź na wykaz-ksc.gov.pl i kliknij „Zaloguj z login.gov.pl”. Uwierzytelniasz się przez Węzeł Krajowy: Profilem Zaufanym, aplikacją mObywatel, e-Dowodem, bankowością elektroniczną albo certyfikatem kwalifikowanym (art. 46 ust. 5). Przy pierwszym logowaniu podajesz adres e-mail do konta i wpisujesz kod weryfikacyjny z poczty; imię, nazwisko i PESEL system bierze z Węzła Krajowego.
Na stronie powitalnej kliknij „Wpisz nowy podmiot”. Formularz ma sekcje od informacji podstawowych przez klasyfikację, dane adresowe, osoby kontaktowe, specyfikację sieci, przedstawiciela i dostawców, po załączniki i oświadczenia; każdą zapisujesz osobno. Po zapisaniu pierwszej sekcji wniosek ma status „Szkic” i można do niego wrócić.
Po ostatniej sekcji przejdź do podsumowania i sprawdź wszystko jeszcze raz. W tym miejscu poprawiam zwykle literówki w adresach e-mail administratorów, bo błąd tutaj oznacza, że zaproszenie do S46 Cyber Hub pójdzie w próżnię.
Kliknij „Przejdź do podpisu”. Są dwa warianty: podpis zaufany bezpośrednio z aplikacji albo pobranie wypełnionego wniosku jako pliku XML, podpisanie go w zewnętrznej aplikacji i wgranie z powrotem. W drugim wariancie nie zmieniaj nazwy ani zawartości pliku; każda modyfikacja po wygenerowaniu kończy się negatywną weryfikacją podpisu (pytanie 2.49). Podpisuje ta sama osoba, która jest właścicielem wniosku.
Sprawdź status na liście wniosków. „Zatwierdzony” znaczy, że wpis jest dokonany, a na skrzynkę przyszło potwierdzenie. „Oczekuje na weryfikację” pojawia się przy konflikcie danych, najczęściej gdy NIP lub REGON jest już w wykazie, bo podmiot został wpisany z urzędu, a zawiadomienie jeszcze nie doszło; operator rozpatruje taki wniosek indywidualnie (pytanie 2.54).

Wpisu dokonuje się z chwilą złożenia wniosku w systemie (art. 7d ust. 1); to czynność materialno-techniczna o charakterze deklaratoryjnym (art. 7d ust. 5), więc żadna decyzja nie przyjdzie. Wpisu nie dokonuje się, gdy wniosek nie zawiera wymaganych danych, dotyczy podmiotu już wpisanego, nie ma oświadczenia albo podpisu (art. 7d ust. 3). Na żądanie minister wydaje zaświadczenie o wpisie albo o zmianie wpisu, w postaci elektronicznej z kwalifikowaną pieczęcią (art. 7d ust. 6 i 7); pobierasz je sam z karty podmiotu przyciskiem „Pobierz”. Zaświadczenie o wpisie pokazuje aktualną treść wpisu, zaświadczenie o zmianie całą historię zmian (pytania 2.45 i 2.46). Pierwsze wkładam do dokumentacji SZBI od razu, razem z datą, bo to jedyny dowód wpisu, jaki podmiot ma w ręku.

Czy podmiot został sklasyfikowany jako kluczowy, czy ważny, widać w zakładce „Szczegóły wpisu”, w sekcji „H. Przypisanie” (pytanie 2.13). Wykaz nie jest publiczny: do danych z art. 7 ust. 2 nie stosuje się ustawy o dostępie do informacji publicznej (art. 7 ust. 3), a dostęp mają organy, CSIRT i sam podmiot w swoim zakresie (art. 7g ust. 1).

Schemat: od podpisanego wniosku o wpis do wykazu, przez status Zatwierdzony i automatyczne utworzenie przestrzeni podmiotu w S46 Cyber Hub, do e-maila z linkiem dla administratorów z sekcji F, ich pierwszego logowania przez Węzeł Krajowy, założenia kont współpracownikom z rolami i kodem jednorazowym, aż do gotowości do wysłania wczesnego ostrzeżenia

Co zrobić, gdy podmiot wpisano z urzędu?

Przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne minister wpisuje z urzędu, na podstawie rejestrów publicznych i danych od organów nadzorczych, w zakresie danych z art. 7 ust. 2 pkt 1 do 8 ustawy o KSC (art. 7a ust. 2 ustawy o KSC). Dawnych operatorów usług kluczowych wpisuje na podstawie art. 34 ust. 2 ustawy nowelizującej. Taki podmiot dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy od dnia doręczenia wezwania, pod rygorem kary pieniężnej (art. 7b ust. 2); termin biegnie od doręczenia, nie od wejścia w życie ustawy ani od wpisu (pytanie 2.36). Wezwanie zawiera między innymi dane już wpisane i wskazanie brakujących (art. 7b ust. 3) oraz kod dostępu do wpisu. Zawiadomienia idą najpierw na adresy do doręczeń elektronicznych, a do podmiotów bez takiego adresu pocztą hybrydową przez NASK (pytanie 2.34).

Uzupełnienie wygląda tak: logujesz się do Wykazu KSC, na stronie powitalnej wybierasz „Wprowadź kod wezwania”, wpisujesz kod, system pokazuje nazwę i REGON podmiotu, a Ty przechodzisz do częściowo wypełnionego formularza. Uzupełniasz brakujące pola, w tym dane administratora konta, oraz działalność w innych sektorach, której wpis z urzędu nie obejmował (art. 7b ust. 4), i podpisujesz wniosek o zmianę wpisu. Osoba, która zrealizowała kod, staje się właścicielem wpisu i może udostępnić go innym, w tym osobom uprawnionym do reprezentowania podmiotu, zaproszeniem e-mail z jednorazowym kodem (pytania 2.21 i 2.44). Podmiot publiczny powinien zarejestrować się w S46 od razu po otrzymaniu informacji o wpisie, także zanim uzupełni wszystkie dane (pytanie 7.6).

Jeżeli uważasz, że podmiot nie spełnia przesłanek, składasz wniosek o wykreślenie z uzasadnieniem (art. 7f ust. 3). Organ właściwy rozpatruje go w terminie miesiąca (art. 7f ust. 4), a brak odmowy w tym terminie skutkuje wykreśleniem (art. 7f ust. 7). Jeżeli zgadzasz się z wpisem, ale dane są błędne, składasz wniosek o zmianę wpisu; pól, których nie da się zmienić samodzielnie, na przykład przypisanego CSIRT, dotyczy zgłoszenie do operatora wykazu (pytanie 2.14). Za nieuzupełnienie danych w terminie grozi kara dla podmiotu (art. 73 ust. 1 pkt 1 ustawy o KSC) i dla kierownika (art. 73a ust. 1 pkt 1 ustawy o KSC). Kary te mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy nowelizującej).

Podmiot, który spełniał przesłanki 3 kwietnia 2026 r. i nie złożył wniosku do 3 października 2026 r., nadal może i powinien to zrobić; samorejestracja jest otwarta cały czas (pytanie 2.32). Organ właściwy może go też wpisać sam i wezwać do uzupełnienia danych w 6 miesięcy (art. 7j ust. 1 i 3), a karę za niezłożenie wniosku w terminie może nałożyć, „jeżeli przemawia za tym waga i znaczenie naruszonych przepisów” (art. 73 ust. 1a pkt 1).

Jak utrzymać wpis aktualnym?

Zmianę danych z art. 7 ust. 2 pkt 1 do 18 zgłasza się wnioskiem o zmianę wpisu w terminie 14 dni od dnia zmiany (art. 7c ust. 3). W aplikacji: karta podmiotu, „Utwórz nowy wniosek”, „Wniosek o zmianę wpisu”, zmiana tylko tych sekcji, które się zmieniły, załączniki i oświadczenie, podpis. Po zatwierdzeniu dane trafiają do S46 Cyber Hub. To ważne z dwóch powodów. Po pierwsze, administratorów utworzonych na podstawie wykazu nie da się usunąć ani zmienić w S46 Cyber Hub; odejście takiej osoby z firmy załatwia się wnioskiem o zmianę wpisu, nie w ustawieniach platformy. Po drugie, adresatów zgłoszeń system ustala z danych wykazu, więc nieaktualny wpis to zgłoszenie wysłane w złe miejsce.

W procedurze zapisuję, kto pilnuje tych 14 dni i przy jakich zdarzeniach: zmiana zarządu nie, bo członków zarządu w art. 7 ust. 2 nie ma; zmiana dostawcy łącza tak, bo zmieniają się publiczne adresy IP; nowa domena, nowy dostawca usług bezpieczeństwa, odejście osoby do kontaktu, aktywacja adresu do doręczeń elektronicznych tak. Zmiana wymaga ponownego podpisania wniosku (pytanie 2.26), więc osoba z pełnomocnictwem musi być osiągalna także w spokojnych miesiącach.

Jak dostać się do S46 Cyber Hub i kto ma tam konto?

Po prawidłowym wpisie system tworzy przestrzeń podmiotu i dodaje do niej administratorów wskazanych w sekcji F wniosku. Każdy dostaje e-mail, którego temat zaczyna się od „[S46 CYBER HUB” i nazwy podmiotu, a dalej mówi o przyznaniu dostępu dla administratora podmiotu; w treści jest unikatowy link ważny 7 dni. Pierwsze logowanie: link, przycisk „Zaloguj do S46 CYBER HUB”, Węzeł Krajowy, akceptacja regulaminu, i użytkownik ląduje w przestrzeni swojego podmiotu na widoku „Obraz sytuacyjny”. Kolejne logowania zaczynają się od pa.s46.gov.pl. Jeżeli link wygasł, administrator pisze do operatora systemu; adresy podaję na końcu.

Administrator przestrzeni ma rolę ze wszystkimi uprawnieniami po stronie podmiotu i zakłada konta współpracownikom w „Ustawieniach użytkowników”. Każde konto ma role, które określają uprawnienia (tworzenie, odczyt, modyfikacja, usuwanie w poszczególnych funkcjach), i grupy, które określają, jakie powiadomienia użytkownik dostaje. Przestrzeń rodzi się z predefiniowanymi rolami, na przykład Administrator, Analityk i Czytelnik. Nowy użytkownik dostaje e-mail z linkiem, a od administratora jednorazowy kod; link i kod są ważne 72 godziny, potem operację trzeba powtórzyć. Jedna osoba może mieć konta w kilku przestrzeniach, na przykład zewnętrzny pełnomocnik obsługujący kilka spółek, i po zalogowaniu wybiera, w imieniu której pracuje.

Powiadomienia e-mail o wiadomościach od CSIRT i ostrzeżeniach działają tylko wtedy, gdy włączone są jednocześnie w roli („Otrzymywanie powiadomień e-mail”) i w grupie użytkownika („Wysyłanie powiadomień e-mail”). Domyślnie są włączone, ale warto to sprawdzić po pierwszym logowaniu, bo wyłączenie jednego z dwóch ustawień wycisza użytkownika. Ministerstwo w liście kroków wdrożenia pisze o „wyznaczeniu stałych dyżurów przy S46” (pytanie 3.2); w małym podmiocie znaczy to tyle, że co najmniej dwie osoby mają działające konta i włączone powiadomienia, a ktoś raz na jakiś czas sprawdza, czy nadal.

Podmiot odpowiada za bezpieczeństwo własnych systemów, z których korzysta z S46 (art. 46 ust. 6), i dostosowuje je do minimalnych wymagań technicznych opublikowanych przez ministra (art. 46 ust. 7). Dziś to stacja robocza chroniona przed dostępem osób nieupoważnionych, z ochroną antywirusową i antymalware, przeglądarka na silniku Chromium w aktualnej wersji i łącze co najmniej 10 Mb/s (pytanie 7.5). Dedykowane połączenie przez System Brzegowy Uczestnika uruchamia się tylko w wyjątkowych przypadkach, po indywidualnym uzgodnieniu z NASK.

Dwa konta administratora, dwa działające powiadomienia e-mail i sprawdzone logowanie. Tyle wystarczy, żeby w dniu incydentu formularz był problemem najmniejszym.

Jak poprawnie zgłosić incydent poważny w S46 Cyber Hub?

Zakładam, że decyzja o klasyfikacji już zapadła i zegar 24 godzin biegnie od wykrycia. Użytkownik, który zgłasza, potrzebuje w swojej roli uprawnień do tworzenia, odczytu i zgłaszania incydentów oraz dodawania wiadomości; nadaje je administrator przestrzeni. Formularz otwiera się z menu „Incydenty”, „Lista incydentów”, przyciskiem „Zgłoś incydent”, albo przyciskiem „Zgłoś” w nagłówku aplikacji.

Wczesne ostrzeżenie

W polu „Klasyfikacja” wybierasz „Poważny” i zaznaczasz pole „Wczesne ostrzeżenie”. System zawęża wtedy wymagane pola do tego, co nakazuje art. 12 ust. 1: podmiot zgłaszający (uzupełnia się sam z wykazu), priorytet według własnej oceny, data wystąpienia, data wykrycia, osoba uprawniona do składania wyjaśnień (z listy użytkowników albo wpisana ręcznie), tytuł oraz rodzaj podmiotu, czyli obszar działalności, na który incydent ma wpływ, pobrany z wykazu. Oceny, czy incydent był działaniem bezprawnym i czy dotyczy innych państw Unii (art. 12 ust. 1 pkt 5 i 6), ustawa wymaga tylko wtedy, gdy da się je zrobić, i formularz ich na tym etapie nie wymusza.

Potem następuje krok, który najłatwiej pominąć. Po wypełnieniu wymaganych pól klikasz „Zapisz”. Zapisane zgłoszenie ma status „Nowy” i widzą je wyłącznie uprawnieni użytkownicy Twojego podmiotu; do CSIRT nie trafiło. Dopiero przycisk „Wyślij zgłoszenie” otwiera okno z adresatami, a po potwierdzeniu status zmienia się na „Zgłoszony” a w polu „Zgłoszono” pojawia się data wysłania wczesnego ostrzeżenia, która dowodzi dotrzymania terminu. Zapis bez wysłania to wczesne ostrzeżenie, którego nie było.

Adresatów system ustawia z danych wykazu: właściwy CSIRT sektorowy i CSIRT poziomu krajowego; jeśli dla podmiotu nie wyznaczono CSIRT sektorowego, jedynym adresatem jest CSIRT krajowy. Podmiot działający w kilku sektorach widzi w oknie wszystkie przypisane zespoły i wskazuje ten, którego sektora dotyczy zgłoszenie; domyślnie zaznaczony jest pierwszy z listy, więc trzeba spojrzeć. Wszyscy adresaci widzą zgłoszenie, obsługę prowadzi jeden CSIRT, a jeden incydent dotykający usług w kilku sektorach zgłasza się raz (pytanie 6.17).

We wczesnym ostrzeżeniu można zawrzeć wniosek o wskazanie wytycznych co do środków ograniczających skutki albo o dodatkowe wsparcie techniczne, a CSIRT sektorowy odpowiada w ciągu 24 godzin (art. 12 ust. 2). W aplikacji oba wnioski dodaje się w zakładce „Dokumenty”, która pojawia się po zapisaniu zgłoszenia, jako tekst albo plik; idą do CSIRT razem ze zgłoszeniem. Warto z tego korzystać zawsze, gdy podmiot nie ma własnego zespołu reagowania.

Zgłoszenie w 72 godziny i sprawozdania

Zgłoszenie incydentu poważnego to w S46 Cyber Hub uzupełnienie tego samego wpisu, nie nowe zgłoszenie. Otwierasz szczegóły, klikasz „Uzupełnij dane”, odznaczasz pole „Wczesne ostrzeżenie”, a system zmienia zakres wymaganych pól na pełny. Tej operacji nie da się cofnąć. Dochodzą: taksonomia, czyli rodzaj incydentu, usługa i opis wpływu (z katalogu albo własna nazwa), działanie bezprawne lub w złej wierze, zasięg transgraniczny ze wskazaniem państw, liczba użytkowników, obszar geograficzny, skutki dla systemów lub usług, przebieg, przyczyna, działania naprawcze i zapobiegawcze, wpływ na inne podmioty, informacja, czy użytkownicy zostali poinformowani (art. 11 ust. 2b), i inne istotne informacje. To odwzorowanie art. 12 ust. 3 i 4. Po kliknięciu „Wyślij uzupełnione” system wpisuje datę zgłoszenia incydentu poważnego.

Czego nie wiesz w 72. godzinie, nie zmyślasz. Ustawa nakazuje przekazać informacje znane w chwili zgłoszenia i uzupełniać je w trakcie obsługi (art. 12 ust. 5), a instrukcja systemu wprost radzi wpisać w polu opisowym, że dane uzupełnisz później. Zgłoszenie można uzupełniać przyciskiem „Uzupełnij dane” do czasu, aż CSIRT nada mu status „Rozwiązany”; do każdego pola opisowego i w zakładce „Załączniki” można dołączyć logi i zrzuty ekranu. Informacje stanowiące tajemnicę prawnie chronioną, w tym tajemnicę przedsiębiorstwa, przekazuje się w niezbędnym zakresie i oznacza (art. 12 ust. 6 i 8). Informacji niejawnych w S46 Cyber Hub nie ma: system nie ma akredytacji bezpieczeństwa teleinformatycznego, a ustawa i FAQ odsyłają do kanałów z ustawy o ochronie informacji niejawnych (pytanie 6.21).

Sprawozdanie okresowe (na wniosek CSIRT, art. 11 ust. 1 pkt 4b), sprawozdanie końcowe w ciągu miesiąca od zgłoszenia z elementami z art. 12a (art. 11 ust. 1 pkt 4c) oraz sprawozdanie z postępu obsługi, gdy obsługa trwa dłużej (art. 12b), dołącza się w zakładce „Dokumenty” w szczegółach incydentu. Działa to także po tym, jak CSIRT zamknął zgłoszenie statusem „Rozwiązany”, bo wtedy edycja formularza jest już zablokowana, a dokumenty nadal można dodawać. Za sprawozdanie końcowe bez wymaganych elementów kierownik może odpowiadać osobiście (art. 73a ust. 1 pkt 11), więc przed wysłaniem sprawdzam je z listą z art. 12a punkt po punkcie.

Statusy, wiadomości i dowody

Lista incydentów pokazuje status każdego zgłoszenia: „Nowy” (niewysłane), „Zgłoszony”, „Obsługiwany”, „Niekompletny” (CSIRT odesłał do uzupełnienia, powód jest w zakładce „Wiadomości”), „Odrzucony” (CSIRT nie zajmie się zgłoszeniem, na przykład dlatego, że zdarzenie nie jest incydentem cyberbezpieczeństwa) i „Rozwiązany”. Przez cały czas obsługi można pisać do CSIRT przyciskiem „+ Napisz wiadomość”, z załącznikami; cała korespondencja zostaje w zakładce „Wiadomości”, a kolejne czynności obu stron w „Historii obsługi”.

Przycisk „Eksportuj” zapisuje szczegóły zgłoszenia w pliku DOCX. Robię to po wysłaniu wczesnego ostrzeżenia, po zgłoszeniu i po sprawozdaniu końcowym, a plik trafia do rejestru incydentów razem z godzinami. Audytor i organ nie wejdą do przestrzeni podmiotu za Ciebie; zobaczą to, co masz w dokumentacji. Co dokładnie powinno tam być, opisałem w części „Co zostaje w papierach” tekstu o incydencie poważnym.

Trzy sytuacje szczególne

Podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu ani końcowego (art. 12c). W formularzu wybiera więc klasyfikację „Poważny” bez zaznaczania wczesnego ostrzeżenia i od razu wypełnia pełny zakres pól, w ciągu 72 godzin od wykrycia (art. 11 ust. 1 pkt 4a). Tak czytam ten przepis w zestawieniu z formularzem; instrukcja systemu tego przypadku osobno nie opisuje.

Incydent, który nie jest poważny, można zgłosić dobrowolnie (art. 13 ust. 1 pkt 1) tym samym formularzem z klasyfikacją „Zwykły”. Przy braku możliwości przekazania w postaci elektronicznej informacje dobrowolne idą „przy użyciu innych dostępnych środków komunikacji” (art. 13 ust. 2). Dla zgłoszeń obowiązkowych ustawa takiej furtki nie zapisała, a instrukcja S46 mówi tylko: jeśli nie możesz zgłosić przez S46 Cyber Hub, skorzystaj ze środka komunikacji wskazanego przez właściwy CSIRT. Dlatego w procedurze obok loginu do S46 stoi adres formularza i telefon mojego CSIRT sektorowego, sprawdzone raz na kwartał.

Naruszenie ochrony danych osobowych można zgłosić do Prezesa UODO modułem „Naruszenia” w S46 Cyber Hub (art. 46 ust. 1 pkt 7), ale nie trzeba: ministerstwo potwierdza, że ta droga jest fakultatywna, a formularz UODO nadal działa (pytanie 7.7). Zgłoszenia dokonuje administrator danych albo jego pełnomocnik z załączonym pełnomocnictwem; formularz ma 12 sekcji i trzy typy zgłoszenia (kompletne, wstępne, uzupełniające), a wysłanego zgłoszenia nie da się już zmienić inaczej niż nowym zgłoszeniem uzupełniającym. Incydent z danymi pacjentów albo mieszkańców to zwykle oba zgłoszenia naraz, do dwóch różnych adresatów, z dwoma różnymi zegarami; wygodnie, że w jednym systemie, ale to nadal dwa obowiązki.

Od czego zacząć w tym tygodniu?

Gdyby ktoś dziś zapytał, co ma zrobić podmiot, który złożył wniosek we wrześniu i od tego czasu nikt nie zaglądał do S46, odpowiedziałbym listą na jedno popołudnie:

Sprawdź w Wykazie KSC status wniosku i pobierz zaświadczenie o wpisie; jeśli status to „Oczekuje na weryfikację” albo „Błąd podpisu”, zajmij się tym dzisiaj, bo bez wpisu nie ma przestrzeni.
Ustal, czy każda osoba wskazana w sekcji F jako administrator odebrała e-mail z linkiem i zalogowała się; jeśli link wygasł albo adres był błędny, napisz do operatora i równolegle złóż wniosek o zmianę wpisu z poprawnym adresem.
Załóż konta osobom, które realnie będą zgłaszać, nadaj im role z uprawnieniami do incydentów, włącz powiadomienia e-mail i sprawdź, że informacja z KRK z art. 8f jest w teczce każdej z nich.
Przejdź formularz zgłoszenia do kroku „Zapisz” na scenariuszu z ostatniego ćwiczenia i usuń szkic przed wysłaniem; zapisz, ile minut zajęło dojście do przycisku „Wyślij zgłoszenie”.
Wpisz do procedury incydentu: adres pa.s46.gov.pl, nazwiska osób z kontami, kanał zapasowy CSIRT sektorowego oraz kontakt do operatora systemu, czyli s46-admin [at] nask.pl i infolinię S46 pod numerem +48 22 182 22 80 (dla podmiotów bez dostępu s46-info [at] nask.pl).

NASK udostępnił też bezpłatny kurs „S46 - Wykaz podmiotów kluczowych i podmiotów ważnych” na platformie szkolenia.gov.pl, a we wrześniu 2026 r. wspólnie z ministerstwem poradnik „Od wymagań do działania” o całej nowelizacji. Oba są dobrym materiałem dla osoby, która dostanie konto administratora i nigdy wcześniej nie widziała tego systemu. Po ćwiczeniu z punktu 4 zwykle okazuje się, że najdłużej trwa nie wypełnianie pól, tylko odkrycie, że jedyna osoba z kontem administratora jest akurat na urlopie. Profil Zaufany i konto w S46 są osobiste: hasła ani kodów nie przekazuje się nikomu, także przełożonemu, więc jedynym wyjściem jest druga osoba z własnym dostępem, założonym w spokojny dzień.

Pojęcia w tym tekście (16)

System S46: System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Wykaz podmiotów kluczowych i ważnych: Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Incydent poważny: Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.
Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
Urząd Ochrony Danych Osobowych: Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.
CSIRT: Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).
Wczesne ostrzeżenie: Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.
Podmiot publiczny: Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
Osoba do kontaktu: Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.
Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa: Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.
Podmiot ważny: Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
CSIRT sektorowy: Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.

Najczęściej zadawane pytania

Czy pracownik może wypełnić wniosek o wpis do wykazu, a prezes go podpisać?

Nie w aplikacji Wykaz KSC. Ministerstwo Cyfryzacji wyjaśnia w pytaniu 2.55 swojego FAQ, że wniosek wypełnia osoba przypisana do niego jako właściciel i ta sama osoba musi go podpisać; niezgodność aplikacja oznacza statusem „Błąd podpisu”. Ustawa dopuszcza podpis kierownika podmiotu albo osoby przez niego upoważnionej (art. 7c ust. 6 ustawy o KSC), więc pracownik może wypełnić i podpisać wniosek, jeśli ma elektroniczne pełnomocnictwo dołączone do wniosku (art. 7c ust. 7). Pełnomocnik może też złożyć oświadczenie o prawdziwości danych, a odpowiedzialność za wniosek zostaje przy kierowniku (pytanie 2.66).

Kiedy po wpisie do wykazu podmiot dostaje dostęp do S46 Cyber Hub?

Bez osobnego wniosku. Po zatwierdzeniu wpisu system tworzy przestrzeń podmiotu, a administratorzy wskazani w sekcji F wniosku dostają na podany adres e-mail wiadomość z linkiem ważnym 7 dni. Pierwsze logowanie przez Węzeł Krajowy aktywuje dostęp. Ustawa nakazuje podmiotowi rozpocząć korzystanie z systemu po uzyskaniu wpisu (art. 9 ust. 1 pkt 4 ustawy o KSC), a najpóźniej w terminie 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4); dla podmiotów objętych ustawą 3 kwietnia 2026 r. harmonogram ministra wyznacza okres od 12 czerwca 2026 r. do 3 kwietnia 2027 r.

Czy zapisanie zgłoszenia w S46 Cyber Hub wystarczy, żeby dotrzymać terminu 24 godzin?

Nie. Zapisane zgłoszenie ma status „Nowy” i widzą je tylko użytkownicy Twojego podmiotu; do CSIRT trafia dopiero po kliknięciu „Wyślij zgłoszenie” i potwierdzeniu adresatów, a wtedy system wpisuje datę wysłania wczesnego ostrzeżenia w polu „Zgłoszono”. Termin z art. 11 ust. 1 pkt 4 ustawy o KSC liczy się od wykrycia incydentu i dotyczy zgłoszenia do właściwego CSIRT sektorowego, więc liczy się chwila wysłania, nie zapisu.

Źródła

Stan prawny na dzień publikacji: 12.10.2026. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).