E-dzienniki 17 tysięcy szkół w rękach dwóch firm. Na czym polega ryzyko koncentracji i co planuje państwo?

Dane 5,4 mln uczniów trzymają dwa komercyjne e-dzienniki. Co już się stało, dlaczego to ryzyko systemowe i na czym stanęła ustawa o eDzienniku po wecie.

Autor: Paweł Rosół
Data: 27.10.2026
Czytanie: 13 min
Kategoria: Zarządzanie ryzykiem

Stan prawny sprawdzony: 27.10.2026

Spis treści

Co już się wydarzyło?
Dlaczego dwóch dostawców to ryzyko systemowe?
Co zawierała zawetowana ustawa?
Dlaczego prezydent odmówił podpisu i co z tego wynika?
Co leży teraz w Sejmie?
Co zrobiłbym w szkole i w gminie, nie czekając na Sejm?

Dziennik elektroniczny prowadzi 97,06 % publicznych szkół podstawowych i ponadpodstawowych, które podały tę informację w Systemie Informacji Oświatowej (SIO), a rynek jest, słowami Ministerstwa Edukacji Narodowej (MEN), „w pełni komercyjny (z wyraźną dominacją dwóch podmiotów)”. Według danych, które poseł przytoczył w interpelacji z września 2024 r., z Vulcana korzysta blisko 9 tys. szkół, a z Librusa ponad 8 tys. Oceny, frekwencja, uwagi, numery PESEL, adresy i korespondencja z rodzicami około 5,4 mln uczniów i 10 mln rodziców leżą więc w dwóch systemach dwóch prywatnych firm. Państwo chciało w 2026 r. postawić obok nich własny eDziennik. Ustawa przeszła przez Sejm i Senat, prezydent ją zawetował, a od tego czasu w Sejmie leżą weto i jeden poselski projekt, który koncentracji nie dotyka.

Dwóch dostawców dla całego kraju to nie jest wada rynku, tylko jego stan. Pytanie brzmi, kto odpowiada za ryzyko, które z tego wynika.

Ten tekst jest dla dyrektora szkoły, dla sekretarza gminy i dla centrum usług wspólnych, ale też dla każdego, kto w podmiocie kluczowymPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważnym szacuje ryzyko łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.: e-dziennik jest najczystszym w Polsce przykładem koncentracji danych publicznych u dostawcy, którego nikt nie wybierał na poziomie państwa. O obowiązkach szkoły z ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. pisałem w tekście Szkoła w ustawie o KSC. Tu zajmuję się samym modelem.

Co już się wydarzyło?

W niedzielę 18 stycznia 2026 r. ktoś zalogował się na konto nauczyciela w Librusie w Zespole Szkół Ekonomiczno-Gastronomicznych w Otwocku, wystawił uczniom jedynki jako oceny śródroczne i rozesłał wulgarne wiadomości. Dzień później minister Barbara Nowacka potwierdziła, że MEN ma informacje o trzech takich przypadkach, i zaznaczyła, że resort nie odpowiada za tworzenie dzienników ani za przechowywanie baz danych: „To jest działalność stricte komercyjna”. Wcześniej, w sierpniu i październiku 2025 r., podobne włamania opisała policja w powiecie jarocińskim i w Gnieźnie. Z konta nauczycielki na urlopie w szkole korzystającej z Vulcana ktoś wysłał rodzicom prośbę o 35 zł na wycieczkę do kina.

Prezes Librusa Marcin Kempka odpowiedział listem otwartym: w Otwocku „nie doszło do przełamania zabezpieczeń systemu, lecz do przejęcia konta nauczyciela”, loginy i hasła pochodziły z upublicznionych baz z wycieków, a z uwierzytelniania dwuskładnikowego korzysta tylko 18,63 % nauczycieli używających Librusa. Minister odpisała, że Librus ma wszystkie narzędzia, by wprowadzić obowiązkowe uwierzytelnianie dwuskładnikowe „bez oczekiwania na dodatkowe regulacje”, i że nie widzi podstaw do zmian legislacyjnych „wyłącznie w celu wskazania rozwiązań technicznych, które już dziś mieszczą się w zakresie odpowiedzialności dostawców dzienników elektronicznych”.

Obie strony miały rację i obie przerzuciły decyzję na kogoś innego. Dostawca zostawił ją szkole, bo szkoła jest administratorem danych. Ministerstwo zostawiło ją dostawcy, bo to on projektuje system. Dyrektor, który czytał tę wymianę, dowiedział się tylko tego, że osiem na dziesięć kont nauczycielskich w kraju da się przejąć hasłem z wycieku.

Żaden z opisanych incydentów nie wymagał podatności w systemie. To dobra wiadomość o kodzie i zła o modelu: ten sam system, te same ustawienia i ten sam brak drugiego składnika powtarzają się w tysiącach szkół naraz.

Tło jest szersze niż styczeń. Prezes UODOUrząd Ochrony Danych Osobowych Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych. w sprawozdaniu za 2025 r. wymienia wśród najczęściej zgłaszanych incydentów w oświacie „nieuprawniony dostęp do kont nauczycielskich w dziennikach elektronicznych” i „kradzież haseł dostępowych do dzienników elektronicznych”, a jako przyczyny brak procedur, prywatne skrzynki używane służbowo i „niski poziom wdrażania podstawowych zabezpieczeń, takich jak dwuskładnikowa weryfikacja tożsamości czy szyfrowanie danych”. W skargach z sektora szkolnictwa powtarzają się zarzuty „udostępnienia danych przez dyrektorów lub nauczycieli placówek szkolnych na rzecz osób trzecich, np. za pośrednictwem dziennika elektronicznego”. CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. obsłużył w 2025 r. 1258 incydentów w sektorze oświaty i wychowania, a wśród 30 ataków ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. zgłoszonych przez podmioty publicznePodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. oświata była drugim sektorem po samorządach.

Dlaczego dwóch dostawców to ryzyko systemowe?

Zacznę od tego, czego w źródłach nie ma. Nie znalazłem w 2025 r. ani w 2026 r. potwierdzonego włamania do infrastruktury Librusa albo Vulcana, wycieku ich baz ani ataku DDoS. Wszystkie opisane zdarzenia to przejęte konta pojedynczych nauczycieli. Jeśli ktoś mówi Ci, że „e-dzienniki zostały zhakowane”, poproś o źródło.

Ryzyko koncentracji nie polega na tym, że do włamania już doszło. Polega na tym, jak wygląda dzień, w którym dojdzie. Kiedy jedna szkoła traci serwer, cierpi jedna szkoła. Kiedy jeden z dwóch dostawców traci kontrolę nad swoją platformą, w ten sam poranek tracą ją tysiące szkół, a z nimi samorządy, które na tej platformie prowadzą arkusze organizacyjne, i rodzice, którzy przez nią dostają wiadomości o odwołanych lekcjach. Dla szacowania ryzykaSzacowanie ryzyka Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”. z art. 8 ust. 1 pkt 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawy o KSC) ma to proste przełożenie: prawdopodobieństwo incydentu u dostawcy może być niskie, ale skutek jest ogólnokrajowy, a szkoła nie ma na to żadnego wpływu poza umową i własnym eksportem danych.

Prezes UODO opisał ten mechanizm wprost, choć w odniesieniu do państwowego systemu: „konsolidacja danych oświatowych w ramach jednej centralnej bazy danych potęguje znacząco ryzyko systemowe o charakterze cyfrowym, kreując tzw. «single point of failure» i eksponując wrażliwe informacje o milionach osób dotkniętych obowiązkiem szkolnym na masowe incydenty bezpieczeństwa”. To zdanie opisuje równie dobrze dwie bazy komercyjne. Różnica jest w tym, kto odpowiada za ich ocenę: państwowy system musiałby przejść ocenę skutków dla ochrony danych i test prywatności w procesie tworzenia prawa, o których UODO pisze w tym samym stanowisku, a komercyjne powstały bez takiej oceny na poziomie kraju, bo nikt na poziomie kraju ich nie wybierał.

Do ryzyka technicznego dochodzą trzy inne, o których w debacie mówi się ciszej:

Ryzyko uzależnienia. MEN przyznaje w ocenie skutków regulacji, że „nie dysponuje informacjami o zakresie i kosztach” umów, które samorządy zawierają z dostawcami. Państwo nie wie, ile płaci za system, w którym trzyma dane swoich uczniów. Posłowie Rozwoju Plus piszą w uzasadnieniu swojego projektu, że „samorządy nie dysponują dziś bezpłatną alternatywą dla systemów komercyjnych, która ograniczałaby siłę negocjacyjną dostawców”.
Ryzyko modelu biznesowego. Przychody Librusa za rok obrotowy zakończony 30 czerwca 2024 r. wyniosły 78,96 mln zł przy zysku netto 23,1 mln zł, a w 2015 r. spółkę kupiła amerykańska Public Consulting Group. Część przychodu pochodzi od rodziców, którzy płacą za aplikację mobilną, powiadomienia i usprawiedliwienia, według MEN od około 33 zł do ponad 50 zł rocznie za dziecko. Prezes UOKiK wszczął postępowania wyjaśniające wobec dwóch największych operatorów. Dostawca, który zarabia na danych rodziców, ma inny interes niż administrator, który ma je minimalizować.
Ryzyko nadzoru. Prezes UODO pisze w stanowisku z 1 września 2026 r., że komercyjne rozwiązania „często nie zapewniają odpowiedniej ochrony danym oraz budzą wątpliwości związane z przestrzeganiem zasad RODO o czym świadczą liczne skargi obywateli”, i że „kontrola w jednym z takich podmiotów również wykazała nieprawidłowości związane z przetwarzaniem danych osobowych”. Urząd nie podał, o który podmiot chodzi.

Czy dostawca e-dziennika sam podlega ustawie o KSC? Załącznik nr 1 wymienia w sektorze infrastruktura cyfrowa dostawców chmury obliczeniowej, których art. 2 pkt 4e definiuje przez „usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników”. Ministerstwo Cyfryzacji odpowiada w pytaniu 1.43 swojego FAQ, że „nie każda aplikacja webowa będzie usługą chmurową” i „nie każdy dostawca aplikacji webowej będzie dostawcą chmury obliczeniowej”. Nie wiem, czy Librus albo Vulcan są w wykazie podmiotów kluczowych, i nie znalazłem, żeby którakolwiek z firm o tym informowała. Dla szkoły to i tak bez znaczenia: ona jest podmiotem ważnym niezależnie od statusu dostawcy.

Co zawierała zawetowana ustawa?

MEN zapowiedziało państwowy dziennik we wrześniu 2025 r., a po styczniowych włamaniach podało datę: pierwsza faza 1 września 2027 r., logowanie przez mObywatel. Projekt wpłynął do Sejmu 22 lipca 2026 r., Sejm uchwalił ustawę 31 lipca (251 za, 24 przeciw, 168 wstrzymujących się), Senat 6 sierpnia nie wniósł poprawek.

Ustawa z 31 lipca 2026 r. dodawała do Prawa oświatowego artykuły 44f do 44o. Minister edukacji miał udostępniać szkołom system teleinformatyczny „eDziennik” i odpowiadać za zabezpieczenie danych przed uszkodzeniem, utratą lub nieuprawnionym dostępem, ich integralność, dostępność i rozliczalność (artykuł 44f ustęp 2), a obsługę techniczną miała zapewniać podległa mu jednostka. Minister cyfryzacji odpowiadał za dostęp przez mObywatel (artykuł 44f ustęp 4). Użytkownicy, w tym uczniowie i rodzice, mieli się uwierzytelniać środkiem identyfikacji elektronicznej z węzła krajowego, a uczeń także certyfikatem z mObywatela (artykuł 44g ustęp 7). Dane identyfikacyjne miały płynąć z SIO, a oceny i frekwencję wprowadzałaby szkoła; dyrektor pozostawał administratorem tych danych, a minister nie miał mieć do nich dostępu (tak opisuje to ocena skutków regulacji). Korzystanie było dobrowolne: decyzję podejmował dyrektor za zgodą organu prowadzącego (artykuł 44i ustęp 1). Katalog danych z artykułu 44k obejmował między innymi numer PESEL, adres, kolorową fotografię twarzy ucznia i informacje o indywidualnych potrzebach wynikających z orzeczeń.

Ocena skutków regulacji nazywa rzeczy po imieniu. Celem jest między innymi „ograniczenie komercjalizacji edukacji”, a centralny system „ogranicza zależność od podmiotów komercyjnych” i „zwiększa bezpieczeństwo danych przez możliwość ich kontroli przez organy państwa”. Ten sam dokument porównuje modele w Unii: około jedna trzecia państw ma państwowy dziennik (Węgry, Grecja, Chorwacja, Bułgaria, Luksemburg), część kupuje centralnie licencje komercyjne (Austria, Francja, część Niemiec), a Polska jest w grupie czysto rynkowej razem z Czechami, Rumunią, Niderlandami i krajami bałtyckimi. Autorzy dopisują wniosek, który podpisuję: modele rynkowe przynoszą „przywiązanie do dostawcy, nierówności w dostępie rodziców do płatnych funkcji, trudniejszą kontrolę nad standardami bezpieczeństwa danych”, a Estonia dowodzi, że „silna warstwa integracyjna państwa” z prywatnymi systemami z przodu też ogranicza to ryzyko.

Koszty: 7,2 mln zł po stronie Centrum Informatycznego Edukacji w latach 2026 i 2027, 61,78 mln zł po stronie Ministerstwa Cyfryzacji i Centralnego Ośrodka Informatyki w tych samych latach oraz około 147,49 mln zł utrzymania w latach 2028 do 2035. MEN w komunikacie po wecie sumuje to do 216 mln zł na dziesięć lat. Wiceminister Katarzyna Lubnauer zestawiła tę kwotę z 40 mln zł rocznie, które według niej samorządy płacą dziś za rozwiązania prywatne.

Państwowy eDziennik nie likwidował koncentracji. Zamieniał dwa punkty awarii u prywatnych firm na jeden u ministra, ale z ustawową odpowiedzialnością, oceną skutków i logowaniem przez węzeł krajowy.

Dlaczego prezydent odmówił podpisu i co z tego wynika?

Prezydent Karol Nawrocki odmówił podpisania ustawy 28 sierpnia 2026 r. (druk sejmowy nr 3070). W nagraniu podał trzy powody. Pierwszy to bezpieczeństwo dzieci: „Jeżeli tworzymy tak ogromną bazę danych, jej bezpieczeństwo musi być absolutnym priorytetem. Tymczasem ustawa nie daje wystarczających gwarancji dotyczących zabezpieczenia tych informacji i dostępu do nich”. Drugi to koszt „ponad dwieście milionów złotych”. Trzeci to „chaos organizacyjny”: pilotaż od września 2026 r. i pełny system od września 2027 r. przy głosach nauczycieli, że szkoły potrzebują czasu i szkoleń. Zastrzegł, że samej idei nie kwestionuje, a warunki to „konsultacje z nauczycielami i ekspertami, realne zabezpieczenie danych dzieci oraz rozsądne i przejrzyste koszty”.

Minister Nowacka nazwała to „lobbystycznym wetem” i zapowiedziała wniosek do CBA o zbadanie, czy argumenty prezydenta nie pochodzą z pism, które dostawcy wysyłali do resortu. Wicepremier Krzysztof Gawkowski napisał: „Dziś dane uczniów, nauczycieli i rodziców są w rękach prywatnych, zagranicznych dostawców”. Związek Nauczycielstwa Polskiego, który od początku krytykował projekt, wskazywał na dublowanie obowiązków w czasie pilotażu i na to, że dwuskładnikowe logowanie wymaga służbowego sprzętu, którego nauczyciele nie mają. Poseł Janusz Cieszyński z Rozwoju Plus ocenił, że zamiast „wziąć za twarz” dostawców, ministerstwo „postanowiło zbudować od zera system”.

Pierwszy argument prezydenta i stanowisko UODO mówią to samo: wielka baza wymaga gwarancji, a ustawa je tylko wylicza. Zwróć jednak uwagę, że ten sam zarzut w całości dotyczy stanu obecnego. Dwie bazy komercyjne o podobnej skali istnieją od lat bez żadnej ustawowej gwarancji bezpieczeństwa, bez oceny skutków na poziomie kraju i bez organu, który za nie odpowiada. Weto zatrzymało alternatywę, a nie ryzyko.

Formalnie sprawa nie jest zamknięta. Marszałek skierował wniosek prezydenta 3 września 2026 r. do Komisji Cyfryzacji oraz Komisji Edukacji i Nauki, a na stronie Sejmu widnieje „niezakończone prace nad ustawą”. Do ponownego uchwalenia ustawy potrzeba większości trzech piątych głosów (artykuł 122 ustęp 5 Konstytucji). Do 27 października 2026 r. Sejm nad tym wetem nie głosował, a MEN nie złożyło nowego projektu. Nie znalazłem też ze strony rządu żadnej zapowiedzi, co dalej z systemem, który Centralny Ośrodek Informatyki miał już budować.

Co leży teraz w Sejmie?

Jedyny nowy projekt to poselski projekt grupy posłów Rozwoju Plus z 4 września 2026 r. (RPW/29815/2026), skierowany do opinii biur sejmowych i organizacji samorządowych. Dodaje do Prawa oświatowego artykuł 47a: zakaz pobierania od ucznia i rodzica jakichkolwiek opłat za dostęp do dziennika i jego funkcje, w tym aplikację mobilną, powiadomienia i usprawiedliwienia (ustęp 1), równoważność kanałów dostępu (ustęp 2), zakaz reklam i wykorzystywania danych do celów marketingowych (ustęp 5) oraz klauzulę zachowania stanu posiadania wobec stanu z 1 sierpnia 2026 r. (ustęp 6). Naruszenie ma być praktyką naruszającą zbiorowe interesy konsumentów, czyli sprawą dla UOKiK. Projekt wprost nie ingeruje w umowy dostawców z samorządami i nie tworzy żadnej alternatywy; autorzy piszą, że opłat „nie eliminuje się przez tworzenie konkurencji dla dostawcy, lecz przez zakaz ich pobierania”.

Prezes UODO ocenił ten projekt w piśmie do Kancelarii Sejmu z 13 października 2026 r., opublikowanym 27 października. Cel jest według niego osiągalny, ale projekt nie jest kompleksowy i „utrzymuje obecnie funkcjonujący model, w którym to podmioty komercyjne są dostawcami systemów cyfrowej dokumentacji szkolnej”, a w ochronie danych ma „charakter fragmentaryczny”. Urząd zwraca uwagę, że nie wiadomo, czy obowiązki mają obciążać szkoły, czy prywatnych dostawców, i że uznaniowa zgoda ministra na ograniczenie funkcji nie odpowiada zasadzie legalizmu z artykułu 7 Konstytucji. Najważniejsze są dwa postulaty systemowe. Pierwszy: dla „dużych platform cyfrowych obsługujących szkoły” rozważyć „adekwatne standardy bezpieczeństwa informatycznego dla systemów teleinformatycznych czy też system certyfikacji tych platform, którego gwarantem będą podmioty publiczne”. Drugi: nałożyć na podmioty przetwarzające „obowiązek uzyskania dodatkowej certyfikacji” i dać ministrowi kompetencję do prowadzenia „publicznej bazy danych takich certyfikowanych podmiotów”. Urząd dodaje, że takie uwagi zgłosił już Ministerstwu Cyfryzacji pismem z 21 sierpnia 2026 r.; tego pisma nie opublikowano.

UODO proponuje trzecią drogę: nie państwowy system i nie wolny rynek, tylko rynek, w którym dostawca danych szkolnych musi mieć certyfikat, a państwo prowadzi ich rejestr. To model portugalski z oceny skutków MEN, nie węgierski.

Sam uważam, że to najbardziej realistyczny kierunek, i mam do niego jedno zastrzeżenie. Certyfikacja podnosi próg wejścia, więc przy dwóch dostawcach może koncentrację utrwalić, a nie rozluźnić. Dlatego dopisałbym do niej obowiązek przenośności danych w otwartym formacie, żeby szkoła mogła zmienić dostawcę w jeden rok szkolny, i wymóg wymuszania uwierzytelniania wieloskładnikowego dla kont pracowników po stronie systemu, a nie w decyzji każdej szkoły z osobna. O obowiązkowym drugim składniku pisał w styczniu sam prezes Librusa, a żaden z dokumentów, które leżą dziś w Sejmie, tego nie zawiera.

Co zrobiłbym w szkole i w gminie, nie czekając na Sejm?

Dyrektor i organ prowadzący nie zmienią modelu rynku, ale mogą zmniejszyć własną ekspozycję na jego ryzyko. Zrobiłbym cztery rzeczy w tej kolejności:

Włączyć w panelu administratora obowiązkowe uwierzytelnianie dwuskładnikowe dla wszystkich pracowników. Librus pisze, że udostępnia ją „od lat” i że włącza ją administrator szkoły; w Vulcanie sprawdź to w panelu. Załącznik nr 4 do ustawy o KSC wymaga w pkt I.4 środków uniemożliwiających nieautoryzowany dostęp, a innych środków przeciw hasłu z wycieku nie znam.
Sprawdzić, czy szkoła ma własny, regularny eksport danych z dziennika w formacie, który da się otworzyć bez dostępu do usługi, i gdzie go trzyma. Pkt I.10 i I.11 załącznika nr 4 mówią o kopiach zapasowych i testach odtwarzania; w usłudze dostawcy to jedyna kopia, nad którą szkoła naprawdę panuje.
Przeczytać umowę z dostawcą pod kątem trzech pytań: w jakim czasie powiadamia szkołę o incydencie, co się dzieje z danymi po rozwiązaniu umowy i czy daje szkole eksport w otwartym formacie. Jeśli umowę zawiera gmina dla wszystkich szkół, te trzy pytania zadaje sekretarz gminy przy najbliższym przedłużeniu.
Ująć dostawcę w dokumentacji systemu zarządzania bezpieczeństwem informacji (SZBI) jako element łańcucha dostaw ze skutkiem ogólnokrajowym i zapisać, co szkoła robi w dniu, w którym dziennik nie działa: skąd bierze plan lekcji, jak zawiadamia rodziców i kto ocenia, czy to incydent do zgłoszenia. Pkt I.3 lit. c załącznika nr 4 nakazuje udokumentować mechanizmy ochrony informacji przy korzystaniu z usług dostawcy chmury obliczeniowej, a pkt I.12 wymaga przygotowanej i przetestowanej procedury na wypadek awarii.

Do gminy, która prowadzi kilkanaście szkół, dodałbym piąty punkt: policzyć, ile rocznie płaci dwóm dostawcom, i zapisać tę liczbę, bo MEN jej nie ma. Jeśli kiedyś wróci dyskusja o alternatywie, państwowej albo certyfikowanej, to samorządy będą jedynym źródłem danych o tym, ile dziś kosztuje model, który wszyscy nazywają darmowym.

Pojęcia w tym tekście (14)

Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
Łańcuch dostaw: Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Urząd Ochrony Danych Osobowych: Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.
CERT Polska: Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
Ransomware: Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
Podmiot publiczny: Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.
Szacowanie ryzyka: Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.
RODO: Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.
Podmiot ważny: Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
Uwierzytelnianie wieloskładnikowe: Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.

Najczęściej zadawane pytania

Czy państwowy eDziennik powstanie?

Na dziś nie ma do tego podstawy prawnej. Ustawę z 31 lipca 2026 r., która tworzyła eDziennik prowadzony przez ministra edukacji, prezydent zawetował 28 sierpnia 2026 r. (druk sejmowy nr 3070). Sejm skierował wniosek prezydenta do komisji 3 września 2026 r. i do 27 października 2026 r. nie głosował nad nim. Ministerstwo Edukacji Narodowej nie złożyło nowego projektu.

Czy dostawca e-dziennika podlega ustawie o KSC?

Zależy od tego, jak świadczy usługę. Załącznik nr 1 do ustawy o KSC wymienia w sektorze infrastruktura cyfrowa dostawców chmury obliczeniowej, a art. 2 pkt 4e definiuje ich jako podmioty świadczące usługę dostępu do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników. Ministerstwo Cyfryzacji wyjaśnia w pytaniu 1.43 swojego FAQ, że nie każda aplikacja webowa jest usługą chmurową i nie każdy jej dostawca jest dostawcą chmury obliczeniowej. O tym, czy Librus albo Vulcan są w wykazie, rozstrzyga organ właściwy, nie ja.

Co szkoła może zrobić dziś, bez czekania na ustawę?

Wymusić uwierzytelnianie dwuskładnikowe dla wszystkich pracowników w panelu administratora e-dziennika, przejrzeć konta i uprawnienia, zabezpieczyć własny eksport danych z dziennika i wpisać dostawcę do dokumentacji SZBI. Załącznik nr 4 do ustawy o KSC nakazuje szkole będącej podmiotem ważnym udokumentować mechanizmy ochrony informacji przy korzystaniu z usług dostawcy chmury obliczeniowej (pkt I.3 lit. c) i stosować środki uniemożliwiające nieautoryzowany dostęp (pkt I.4).

Źródła

Stan prawny sprawdzony: 27.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).