Pełnomocnik rządu wydał katalog podstawowych środków cyberbezpieczeństwa dla podmiotów KSC

Rekomendacja nr 2026-67a-9 z 15 października 2026 r. nie jest kierowana do jednej branży. Obejmuje osiem obszarów, od szacowania ryzyka i MFA po kopie zapasowe 3-2-1, łańcuch dostaw i audyt.

Ministerstwo Cyfryzacji opublikowało 16 października 2026 r. rekomendację Pełnomocnika RząduRekomendacja Pełnomocnika Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne. do Spraw Cyberbezpieczeństwa nr 2026-67a-9 dotyczącą środków organizacyjnych i technicznych służących zwiększaniu poziomu bezpieczeństwa systemów informacyjnych podmiotów krajowego systemu cyberbezpieczeństwa. Dokument z 15 października 2026 r. wydano na podstawie art. 67a ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.. Nie jest kierowany do jednej branży: ministerstwo opisuje go jako podstawowy katalog działań dla podmiotów, które budują swoją cyberodporność lub muszą ją wzmocnić, i przypomina, że podmiotów kluczowychPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. i ważnych jest już ponad 70 tys.

Środki podzielono na osiem obszarów, od zarządzania ryzykiemZarządzanie ryzykiem To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie. i polityk bezpieczeństwa po nadzór i audyt. Ryzyko ma być oceniane ponownie nie rzadziej niż raz w roku i po każdej istotnej zmianie organizacyjnej, technologicznej lub infrastrukturalnej. Kierownik podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. i osoby odpowiedzialne za cyberbezpieczeństwo mają co roku przechodzić szkolenia, a role i odpowiedzialność opisuje macierz RACI. Uwierzytelnianie wieloskładnikoweUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa. ma być obowiązkowe dla dostępu zdalnego, poczty elektronicznej, systemów krytycznych i kont uprzywilejowanych, a dostęp administracyjny ma iść wyłącznie przez VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. zabezpieczony MFA.

Kopie zapasowe rekomendacja zaleca wykonywać według zasady 3-2-1, z co najmniej jedną kopią poza podstawową lokalizacją lub offline i ze środowiskiem backupu odseparowanym od produkcyjnego. Dla systemów kluczowych zaleca określenie RTODocelowy czas odtworzenia Recovery time objective: czas od decyzji o uruchomieniu planu do chwili, gdy proces albo system ma znów działać, choćby w ograniczonym zakresie. Musi być krótszy niż maksymalny tolerowany okres zakłócenia. i RPO oraz regularne testy odtwarzania. W łańcuchu dostaw wymienia ocenę ryzyka przed wyborem dostawcy, wymagania cyberbezpieczeństwa, SLA i uprawnienia audytowe w umowach oraz ograniczanie koncentracji usług u jednego dostawcy. Do skanowania podatności wskazuje m.in. państwowy system Artemis, a logi mają być zbierane centralnie i analizowane narzędziami klasy SIEM lub równoważnymi. Podmiot ma też wyznaczyć co najmniej dwie osoby do kontaktów w sprawach cyberbezpieczeństwa.

Dokument zastrzega, że „ma charakter pomocniczy i stanowi katalog rekomendowanych środków służących realizacji obowiązków wynikających z ustawy o KSC”. Nie zastępuje obowiązków z przepisów ani indywidualnej oceny ryzyka, a środki trzeba dostosować do charakteru działalności, skali i poziomu ryzyka podmiotu. Jeśli prowadzisz SZBI w podmiocie kluczowym lub ważnym, osiem obszarów rekomendacji nadaje się na listę kontrolną przy najbliższym przeglądzie. Ministerstwo zapowiada, że na tym katalogu mają się opierać bardziej szczegółowe działania w poszczególnych obszarach, z użyciem dotychczasowych i przyszłych rekomendacji Pełnomocnika.

Aktualizacja z 18 października 2026

Komunikat Ministerstwa Cyfryzacji, rozesłany przez PAP Mediaroom, wymienia środki, których w opublikowanym wyżej opisie nie ma: pełną inwentaryzację aktywów ICT i OT, stosowanie odpowiednich środków kryptograficznych do ochrony danych oraz bezpieczeństwo fizyczne infrastruktury. Ministerstwo nazywa rekomendację minimalnym zestawem dobrych praktyk, który trzeba dostosować do charakteru działalności, poziomu ryzyka, znaczenia świadczonych usług i wykorzystywanej infrastruktury.

Krajowy Instytut Cyberbezpieczeństwa, omawiając rekomendację, pisze, że terminowe zgłaszanie incydentów do właściwego zespołu CSIRT ma uwzględniać obowiązek korzystania z systemu S46 od 3 kwietnia 2027 r. w odniesieniu do podmiotów kluczowych i zobowiązanych. Tej daty nie podałem w pierwotnym tekście. Pochodzi z opisu instytutu, który oferuje też usługi doradcze, a nie z treści rekomendacji, jaką mam w materiałach, więc sprawdź ją w samym dokumencie, zanim wpiszesz ją do harmonogramu. Ten sam opis dodaje, że szkolenia mają być dostosowane do ról i obejmować ćwiczenia oraz kontrolowane kampanie phishingowe, że podmiot ma ustanowić zasady korzystania z urządzeń prywatnych do celów służbowych (BYOD), a monitoring krytycznych aktywów ma w uzasadnionych przypadkach działać w trybie 24/7.

Źródła

• Ministerstwo Cyfryzacji: Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dot. środków organizacyjnych i technicznych zwiększających poziom bezpieczeństwa systemów informacyjnych
• Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa: Rekomendacja nr 2026-67a-9 (PDF)
• PAP Mediaroom: MC: Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dot. środków organizacyjnych i technicznych zwiększających poziom bezpieczeństwa systemów informacyjnych (komunikat)
• Krajowy Instytut Cyberbezpieczeństwa: Jak podmioty KSC mogą realnie podnieść poziom cyberbezpieczeństwa - Krajowy Instytut Cyberbezpieczeństwa

Pojęcia w tym tekście (17)

Rekomendacja Pełnomocnika

Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne.

Ustawa o KSC

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.

Podmiot kluczowy

Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.

Zarządzanie ryzykiem

To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie.

Kierownik podmiotu

Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.

Uwierzytelnianie wieloskładnikowe

Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.

Wirtualna sieć prywatna

Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.

Docelowy czas odtworzenia

Recovery time objective: czas od decyzji o uruchomieniu planu do chwili, gdy proces albo system ma znów działać, choćby w ograniczonym zakresie. Musi być krótszy niż maksymalny tolerowany okres zakłócenia.

Docelowy punkt odtworzenia

Recovery point objective: ile danych, liczonych w czasie, podmiot godzi się stracić. RPO równe dobie oznacza kopię zapasową raz dziennie; RPO równe godzinie wymaga replikacji.

Łańcuch dostaw

Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

System SIEM

Security Information and Event Management: system, który zbiera w jednym miejscu logi z wielu systemów i urządzeń, żeby można je było analizować i wykrywać w nich ślady incydentów.

System zarządzania bezpieczeństwem informacji

Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.

Technologia operacyjna

Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT.

Incydent

Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.

CSIRT

Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).

System S46

System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 17 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.