Incydent poważny w praktyce: kto decyduje, co zgłosić i jak zdążyć w 24 godziny?

Czy incydent jest poważny, rozstrzygasz Ty, nie CSIRTCSIRT Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB). i nie ministerstwo. Ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nakazuje podmiotowi kluczowemuPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważnemu samodzielnie sklasyfikować incydent według progów z rozporządzenia, a potem w 24 godziny od wykrycia wysłać wczesne ostrzeżenieWczesne ostrzeżenie Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin., w 72 godziny zgłoszenie i w miesiąc sprawozdanie końcowe. Wszystko przez system S46System S46 System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.. Jeśli w Twojej organizacji nikt dziś nie wie, kto o drugiej w nocy decyduje, że próg został przekroczony, to termin 24 godzin minie, zanim ktoś znajdzie procedurę.

Pierwsze zgłoszenie incydentu poważnego pisze się w godzinie, w której wiadomo najmniej. Ustawa o tym wie i wymaga wtedy tylko sześciu informacji.

Co jest incydentem, a co incydentem poważnym?

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) definiuje incydent szeroko: to „zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych” (art. 2 pkt 5). Phishing, który zadziałał, awaria macierzy, serwisant logujący się z cudzego konta, zaszyfrowany serwer. Każdy taki incydent podmiot obsługuje, czyli wykrywa, rejestruje, analizuje, klasyfikuje, nadaje mu priorytet, podejmuje działania naprawcze i ogranicza skutki (art. 2 pkt 10). Ministerstwo Cyfryzacji ujmuje to w jednym zdaniu: podmiot ma obowiązek zarządzania każdym incydentem, ale obowiązkowemu zgłoszeniu podlegają tylko incydenty poważneIncydent poważny Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego..

Incydent poważny to incydent, który:

powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej

(art. 2 pkt 7). Zwracam uwagę na „może spowodować”. Ministerstwo tłumaczy, że ta fakultatywność jest w ustawie od 2018 r. po to, żeby CSIRT dostawał informację o zdarzeniu, zanim wywoła ono skutki. Dla Ciebie znaczy to, że nie czekasz, aż usługa naprawdę stanie; wystarczy, że na podstawie tego, co wiesz, stanąć może.

Definicja systemu informacyjnego obejmuje systemy automatyki przemysłowej, więc incydent na sterowniku w przepompowni albo w systemie SCADASystem SCADA Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje. podlega tym samym zasadom co incydent w systemie księgowym. Ministerstwo potwierdza to wprost.

Według jakich progów?

Art. 11 ust. 1 pkt 3 ustawy o KSC nakazuje podmiotowi klasyfikować incydent jako poważny „na podstawie progów uznawania incydentu za poważny”, a ust. 4 upoważnia Radę Ministrów do określenia tych progów w rozporządzeniu, według liczby użytkowników, czasu oddziaływania, zasięgu geograficznego i innych czynników dla sektora. Progi dla podmiotów, dla których określiła je Komisja Europejska, zostają poza rozporządzeniem krajowym.

Tu zaczyna się część niewygodna. Nowego rozporządzenia jeszcze nie ma. Do czasu jego wejścia w życie obowiązuje rozporządzenie z dnia 31 października 2018 r., ale nie dłużej niż 12 miesięcy od wejścia w życie nowelizacji (art. 32 pkt 1 ustawy nowelizującej), czyli najpóźniej do 3 kwietnia 2027 r. Rozporządzenie z 2018 r. obejmuje tylko sektory dawnych operatorów usług kluczowych: energię, transport, bankowość, ochronę zdrowia, zaopatrzenie w wodę i infrastrukturę cyfrową. Projekt nowego rozporządzenia (RD326) trafił do wykazu prac Rady Ministrów 13 sierpnia 2026 r., wersja z 2 września 2026 r. przeszła konsultacje; w dniu, w którym to piszę, nie został ogłoszony.

Dla sektorów, które weszły do ustawy w 2026 r. (gospodarowanie odpadami, chemikalia, żywność, produkcja, podmioty publicznePodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy., usługi pocztowe, badania naukowe), nie ma dziś żadnych progów. Nie mam na to dobrej odpowiedzi poza tą, która wynika z ustawy: klasyfikujesz na podstawie samej definicji z art. 2 pkt 7 i zapisujesz, dlaczego uznałeś, że obniżenie jakości usługi jest albo nie jest poważne. Projekt pokazuje, dokąd progi zmierzają, więc warto go przeczytać dla własnego sektora, pamiętając, że może się jeszcze zmienić.

Kilka przykładów, które dają skalę:

Uzasadnienie projektu wyjaśnia, że wystarczy przekroczyć jeden próg, niezależnie od pozostałych, i że kwota 2 000 000 zł nawiązuje do rozporządzenia wykonawczego Komisji 2024/2690. To rozporządzenie wiąże wprost dostawców usług DNS, chmury, centrów danych, usług zarządzanych i podobnych podmiotów infrastruktury cyfrowej. Jego art. 3 uznaje incydent za poważny m.in. przy stracie finansowej powyżej 500 000 EUR lub 5 % obrotu (niższa z tych wartości), wycieku tajemnicy przedsiębiorstwa, śmierci lub znacznym uszczerbku na zdrowiu osoby, a także przy skutecznym, prawdopodobnie złośliwym nieuprawnionym dostępie, który może spowodować poważne zakłócenia operacyjne. Art. 4 dodaje incydenty powtarzające się: co najmniej dwa w sześć miesięcy, z tą samą widoczną przyczyną, które łącznie przekraczają próg finansowy. Nawet jeśli to rozporządzenie Cię nie wiąże, jest najlepszym dostępnym opisem tego, jak prawodawca unijny rozumie „poważny”.

Kto decyduje, że incydent jest poważny?

Ustawa mówi „podmiot klasyfikuje”. Nie mówi, kto w podmiocie. Odpowiedzialność za wykonanie obowiązków z art. 11 ponosi kierownik podmiotu (art. 8c ust. 1), także wtedy, gdy powierzył zadania innej osobie (ust. 3), a art. 73a ust. 1 pkt 9 pozwala nałożyć na niego karę za ich niewykonanie. Nie wynika z tego, że prezes ma osobiście czytać logi o drugiej w nocy. Wynika, że ma z góry zdecydować, kto klasyfikuje, i nadzorować, czy ta osoba to robi (art. 8d pkt 3).

W procedurach, które piszę, decyzja o klasyfikacji należy do osoby prowadzącej obsługę incydentu, zwykle do mnie albo do koordynatora po stronie podmiotu, i nie wymaga zgody zarządu. Zarząd dowiaduje się od razu, ale wczesne ostrzeżenie nie czeka na posiedzenie. Wysłanie wczesnego ostrzeżenia, które po analizie okaże się niepotrzebne, nic nie kosztuje; niewysłanie tego, które było potrzebne, jest naruszeniem art. 11 ust. 1 pkt 4 z karą z art. 73 ust. 1 pkt 6. Przy wątpliwości zgłaszam.

NIST w wydaniu SP 800-61 z 2025 r. nazywa ocenę ryzyka incydentu i nadanie mu priorytetu „być może najważniejszymi punktami decyzyjnymi” całego procesu i zaleca, żeby decyzje o triażu, eskalacji i o tym, kiedy zacząć odtwarzanie, opierały się na ustalonym z góry zestawie czynników, a nie na kolejności zgłoszeń. Progi z rozporządzenia są takim zestawem dla jednego pytania: zgłaszać czy nie. Resztę czynników (krytyczność systemu, wpływ na dane, etap aktywności napastnika, szansa odtworzenia) trzeba dopisać samemu.

Drugie pytanie brzmi: od kiedy liczymy. Art. 11 ust. 1 pkt 4 mówi o 24 godzinach „od momentu jego wykrycia”. Ministerstwo wyjaśnia, że to moment, w którym podmiot uzyskał informację o zdarzeniu, które kwalifikuje się jako incydent, i że tę informację można uzyskać także od dostawcy usługi. W uzupełnieniu z października 2026 r. dodaje, że chodzi o chwilę, w której podmiot może stwierdzić, że zdarzenie jest incydentem, a nie o chwilę jego zaistnienia; incydent wykryty po tygodniach w logach liczy się od tego wykrycia, bo podmiot ma obowiązek stale monitorować swoje systemy. Zegar nie biegnie więc od włamania, o którym nikt nie wiedział, ale rusza w chwili, gdy ktoś w podmiocie wie dość, żeby nazwać zdarzenie incydentem, nie wtedy, gdy informatyk skończy ustalać, co dokładnie się stało. Dlatego w procedurze zapisuję godzinę wykrycia jako pierwszą rzecz, zanim ktokolwiek zacznie analizę, a w umowach z dostawcami termin powiadomienia liczony w godzinach. Piszę o tym w tekście o łańcuchu dostaw.

Dwie godziny z wykrycia i pierwsze zgłoszenie są gotowe, zanim ktokolwiek wie, czy to był atak. Ustawa dokładnie tego oczekuje.

Jak zdążyć w 24 godziny, 72 godziny i miesiąc?

Od wykrycia incydentu poważnego podmiot kluczowy lub ważny ma wobec właściwego CSIRT sektorowego trzy terminy (art. 11 ust. 1):

1. wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia (pkt 4);
2. zgłoszenie incydentu poważnego niezwłocznie, nie później niż w ciągu 72 godzin od wykrycia (pkt 4a);
3. sprawozdanie końcowe nie później niż w ciągu miesiąca od dnia zgłoszenia (pkt 4c).

Do tego na wniosek CSIRT sektorowego sprawozdanie okresowe (pkt 4b), a jeśli obsługa incydentu trwa dłużej niż miesiąc, sprawozdanie z postępu obsługi i sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi (art. 12b).

Terminy są krótkie, ale treść pierwszego zgłoszenia jest celowo uboga. Wczesne ostrzeżenie zawiera według art. 12 ust. 1 sześć elementów: dane podmiotu, dane osoby zgłaszającej, dane osoby uprawnionej do wyjaśnień, moment wystąpienia i wykrycia incydentu oraz czas jego trwania, wskazanie, czy incydent został wywołany działaniem bezprawnym lub w złej wierze (jeżeli da się to ocenić), i czy dotyczy innych państw Unii. Trzy pierwsze pozycje można wpisać do szablonu w spokojny dzień. Zostają godziny i dwie oceny, przy których wolno napisać „nie wiadomo”.

We wczesnym ostrzeżeniu można też poprosić CSIRT sektorowy o wytyczne co do środków ograniczających skutki albo o wsparcie techniczne, a CSIRT ma na odpowiedź 24 godziny; w przypadku incydentu wyczerpującego znamiona przestępstwa przekazuje też informację, jak zgłosić sprawę organom ścigania (art. 12 ust. 2). To jedyny moment, w którym termin biegnie w drugą stronę, i szkoda z niego nie korzystać.

Zgłoszenie po 72 godzinach jest obszerniejsze (art. 12 ust. 3): wpływ na usługę, w tym która usługa, ilu użytkowników, jaki obszar i wpływ na inne podmioty, przyczyny i przebieg, prawdopodobne skutki, działania zapobiegawcze i naprawcze oraz aktualizacja danych z wczesnego ostrzeżenia. Ust. 5 pozwala przekazać informacje znane w chwili zgłoszenia i uzupełniać je w trakcie obsługi; ministerstwo powtarza to w odpowiedzi na pytanie, co zrobić, gdy nie ma wszystkich danych. Sprawozdanie końcowe (art. 12a) dokłada szczegółowy opis incydentu z zakłóceniami i szkodami, rodzaj zagrożenia lub przyczynę, zastosowane i wdrażane środki ograniczające ryzyko oraz skutki transgraniczne. Za sprawozdanie bez tych elementów kierownik może odpowiadać osobiście (art. 73a ust. 1 pkt 11).

Trzy sytuacje szczególne:

• Podmiot ważny będący podmiotem publicznym (gmina, jej jednostki, publiczny szpital, jeśli jest podmiotem ważnym) nie wysyła wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu ani sprawozdania końcowego (art. 12c). Zgłasza tylko incydent poważny w 72 godziny. Reszta art. 11 obowiązuje go w całości.
• Podmioty, które przed 3 kwietnia 2026 r. były operatorami usług kluczowych, zgłaszają incydenty poważne według art. 11 do 12b w nowym brzmieniu w terminie 6 miesięcy od wejścia w życie nowelizacji (art. 33 ust. 4 ustawy nowelizującej), czyli od 3 października 2026 r. Dla nich nowe terminy już obowiązują. Pozostałe podmioty realizują obowiązki z rozdziału 3 w terminie 12 miesięcy (art. 33 ust. 1), a podmioty, które spełnią przesłanki później, w 12 miesięcy od tego dnia (art. 16 pkt 1 ustawy o KSC).
• W sektorze bankowości i infrastruktury rynków finansowych pierwszeństwo ma unijne rozporządzenie DORA (art. 8i), a z art. 11 stosuje się tylko pkt 5 i 6 ust. 1, czyli współdziałanie z CSIRT i usuwanie podatności.

Do tego dochodzi obowiązek wobec własnych użytkowników: jeśli incydent poważny ma niekorzystny wpływ na świadczenie usług, podmiot informuje o nim użytkowników (art. 11 ust. 2b). Ministerstwo rozumie niekorzystny wpływ jako stratę po stronie użytkownika, czasu, pieniędzy, a czasem zdrowia. Komunikat do mieszkańców o braku wody albo do pacjentów o niedziałającej rejestracji jest więc obowiązkiem ustawowym, nie uprzejmością, i powinien mieć w procedurze autora i kanał.

Skala jest mniejsza, niż sugeruje liczba przepisów. CERT Polska podaje, że w 2025 r. CSIRT NASK obsłużył w ramach ustawy o KSC 27 incydentów zaklasyfikowanych jako poważne, z czego 14 w sektorze bankowości, 8 w ochronie zdrowia i 5 w transporcie, przy 5111 incydentach w podmiotach publicznych. To znaczy, że większość podmiotów nigdy nie wysłała wczesnego ostrzeżenia i zrobi to pierwszy raz w trakcie prawdziwego incydentu. Dlatego jedyne, co naprawdę przygotowuje do tego terminu, to ćwiczenie. ENISA w wytycznych do rozporządzenia 2024/2690 zaleca testować role i procedury obsługi incydentów co najmniej raz w roku, choćby ćwiczeniem przy stole albo przejściem przez dawny incydent krok po kroku.

Co trafia do S46?

Wczesne ostrzeżenie, zgłoszenie, sprawozdania okresowe, końcowe i z postępu obsługi przekazuje się za pomocą systemu teleinformatycznego z art. 46 ust. 1 (art. 11 ust. 2), czyli systemu S46; ustawa tej nazwy nie używa, ale ministerstwo i CSIRT-y tak. Za niekorzystanie z systemu przy obowiązkach z art. 11, gdy jest wymagane, grozi osobna kara (art. 73 ust. 1 pkt 13). Podmiot zaczyna korzystać z systemu po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4), a według strony systemu administrator S46 wskazany w wykazie dostaje dostęp do S46 Cyber Hub bez osobnego wniosku. Ministerstwo ogłosiło w czerwcu 2026 r. wersję 7.0 platformy, w której podmiot zarówno zgłasza incydenty, jak i dostaje ostrzeżenia i rekomendacje, a zgłoszenie trafia do właściwych CSIRT sektorowych i krajowych.

Kilka rzeczy, które warto wiedzieć przed pierwszym zgłoszeniem:

• Jeden incydent, który dotyka usług w kilku sektorach, zgłasza się raz; CSIRT sektorowe mają obowiązek wzajemnie się poinformować (odpowiedź ministerstwa, pkt 6.17).
• Informacje stanowiące tajemnicę prawnie chronioną, w tym tajemnicę przedsiębiorstwa, przekazuje się w niezbędnym zakresie i oznacza w zgłoszeniu (art. 12 ust. 6 i 8). CSIRT może zażądać uzupełnienia (ust. 7). Nie ma więc wyjścia „tego nie podamy, bo to poufne”; jest wyjście „podajemy i oznaczamy”.
• W tym samym systemie podmiot kluczowy lub ważny może dokonać zgłoszenia naruszenia ochrony danych osobowych z art. 33 RODO (art. 46 ust. 1 pkt 7 ustawy o KSC). To osobny obowiązek z osobnym terminem 72 godzin od stwierdzenia naruszenia i osobnym adresatem, Prezesem UODO. Incydent z danymi pacjentów albo mieszkańców to zwykle oba zgłoszenia naraz.
• Co zrobić, gdy S46 nie działa albo podmiot nie ma jeszcze dostępu, ustawa wprost nie mówi; art. 13 ust. 2 przewiduje „inne dostępne środki komunikacji” tylko dla informacji dobrowolnych. CSIRT CeZ dla sektora zdrowia publikuje kolejność kanałów: S46, jeśli jest dostępny, w przeciwnym razie formularz na stronie, a gdy ten nie działa albo nie przyszło potwierdzenie, poczta elektroniczna lub telefon. Sprawdź, co publikuje Twój CSIRT sektorowy, i wpisz to do procedury z numerem telefonu.

Ministerstwo w liście kroków wdrożenia wymienia „wyznaczenie stałych dyżurów przy S46”. W małym podmiocie nie znaczy to etatu; znaczy, że dwie osoby do kontaktu z art. 9 ust. 1 pkt 1 mają konta, loginy działają, a ktoś raz w miesiącu sprawdza, czy nadal.

Co zostaje w papierach?

Audytor i organ nie zobaczą incydentu. Zobaczą zapisy. Art. 11 ust. 1 pkt 2 nakazuje zapewnić CSIRT dostęp do informacji o rejestrowanych incydentach, więc rejestr incydentów musi istnieć, a art. 10 ust. 4 zalicza do dokumentacji operacyjnej zapisy poświadczające wykonanie czynności z dokumentacji normatywnej, w tym automatyczne zapisy z dzienników systemów. Dla każdego incydentu prowadzę jeden wpis, który odpowiada na pytania, jakie potem padną:

• kiedy zdarzenie wystąpiło, kiedy i jak zostało wykryte, kto je zgłosił wewnętrznie;
• kto i o której sklasyfikował incydent, według którego progu albo której części definicji z art. 2 pkt 7, z jednym zdaniem uzasadnienia; gdy decyzja brzmi, że incydent poważny nie jest, to zdanie jest ważniejsze niż wtedy, gdy jest;
• godziny wysłania wczesnego ostrzeżenia, zgłoszenia i sprawozdań, numer nadany w S46, kto wysłał;
• co i kiedy przekazano użytkownikom (art. 11 ust. 2b) oraz czy i kiedy zgłoszono naruszenie do Prezesa UODO;
• jakie działania podjęto, z godzinami, i kto podjął decyzje, które kosztowały (odcięcie sieci, zatrzymanie produkcji, zapłata za odtworzenie);
• wnioski, bo zarządzanie incydentem obejmuje „opracowywanie wniosków wynikających z obsługi incydentu” (art. 2 pkt 18), i co z nimi zrobiono w szacowaniu ryzyka.

Ten wpis jest też zabezpieczeniem kierownika. Jeśli klasyfikację zrobił ktoś inny, a wpis pokazuje godzinę, próg i uzasadnienie, kierownik potrafi wykazać nadzór z art. 8d pkt 3. Jeśli wpisu nie ma, zostaje mu słowo informatyka. Jak taki ciąg dowodów wygląda w całości, opisałem w tekście Skąd zarząd ma wiedzieć, że jego firma ma odpowiednie zabezpieczenia?.

Rozporządzenie 2024/2690 wymaga w pkt 3.1.2 załącznika, żeby polityka obsługi incydentów miała system kategoryzacji incydentów, plan komunikacji z eskalacją i zgłaszaniem, przypisane role oraz dokumenty używane w trakcie obsługi: instrukcje, schematy eskalacji, listy kontaktów i szablony. ENISA dodaje, że polityka ma być spójna z planem ciągłości działania i że trzeba opisać, kiedy obsługa incydentu uruchamia plan ciągłości. U mnie ta granica przebiega przy pytaniu, czy usługę da się dalej świadczyć bez systemu; o tym, co wtedy, piszę w tekście o planie ciągłości działania.

NIST zwraca uwagę na coś, co w polskich procedurach rzadko widzę: wnioski z incydentu należy przekazywać od razu, gdy się pojawią, a nie dopiero po zakończeniu odtwarzania, bo odtwarzanie trwa dziś tygodniami. Wniosek „serwisant miał hasło na żółtej karteczce” zmienia politykę kontroli dostępu w dniu, w którym go spisano, nie w sprawozdaniu końcowym miesiąc później.

Decyzja „to nie był incydent poważny” jest decyzją i wymaga takiego samego wpisu jak decyzja o zgłoszeniu.

Od czego zacząć?

Gdybym wchodził dziś do podmiotu, który ma dostęp do S46 i procedurę incydentu z 2019 r. napisaną dla operatora usługi kluczowej, zrobiłbym w pierwszym miesiącu pięć rzeczy:

1. Wpisał do procedury jedno nazwisko i jednego zastępcę przy zdaniu „klasyfikuje incydent i wysyła wczesne ostrzeżenie bez zgody zarządu”, z podpisem kierownika pod tą delegacją.
2. Wydrukował progi dla sektora z rozporządzenia z 2018 r. i obok z projektu, a dla sektora bez progów spisał na pół strony, jak czytamy definicję z art. 2 pkt 7 dla naszych usług.
3. Przygotował szablon wczesnego ostrzeżenia z wypełnionymi danymi podmiotu i osób do kontaktu, dostępny także poza siecią firmową, bo w dniu incydentu intranet może nie działać.
4. Sprawdził, że obie osoby do kontaktu logują się do S46, i zapisał w procedurze kanał zapasowy do CSIRT sektorowego z numerem telefonu.
5. Przeprowadził ćwiczenie przy stole na scenariuszu z ostatniego roku, z zegarem: o której wykryto, o której sklasyfikowano, o której wyszło wczesne ostrzeżenie, kto napisał komunikat do użytkowników.

Po tym ćwiczeniu zwykle wychodzi, że godzina wykrycia była sporna, że nikt nie wiedział, czy sześć godzin bez systemu to już „poważne obniżenie jakości”, i że hasło do S46 miał człowiek, który jest na urlopie. Lepiej dowiedzieć się tego w sali konferencyjnej niż w dwudziestej trzeciej godzinie.

Pojęcia w tym tekście (19)

Incydent

Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.

CSIRT

Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).

Ustawa o KSC

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.

Podmiot kluczowy

Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.

Wczesne ostrzeżenie

Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.

System S46

System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.

Incydent poważny

Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.

System SCADA

Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje.

Podmiot publiczny

Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.

Kierownik podmiotu

Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.

CSIRT sektorowy

Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.

Podmiot ważny

Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

CERT Polska

Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.

RODO

Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.

Urząd Ochrony Danych Osobowych

Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.

Osoba do kontaktu

Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.

Szacowanie ryzyka

Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.

Ciągłość działania

Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.

Najczęściej zadawane pytania

Kto decyduje, że incydent jest poważny?

Sam podmiot kluczowy lub ważny. Art. 11 ust. 1 pkt 3 ustawy o KSC nakazuje mu klasyfikować incydent jako poważny na podstawie progów uznawania incydentu za poważny, a definicja z art. 2 pkt 7 obejmuje także incydent, który „może spowodować” poważne obniżenie jakości lub przerwanie usługi. Ustawa nie mówi, kto w podmiocie podejmuje tę decyzję, więc trzeba to zapisać w procedurze. Odpowiedzialność za wykonanie obowiązków z art. 11 ponosi kierownik podmiotu (art. 8c ust. 1), także wtedy, gdy powierzył je komuś innemu (art. 8c ust. 3).

Od kiedy liczy się 24 godziny na wczesne ostrzeżenie?

Od momentu wykrycia incydentu poważnego (art. 11 ust. 1 pkt 4 ustawy o KSC). Według Ministerstwa Cyfryzacji wykrycie to chwila, w której podmiot uzyskał informację o zdarzeniu, które kwalifikuje się jako incydent, także od dostawcy usługi. Zegar nie czeka na zakończenie analizy ani na decyzję zarządu; wczesne ostrzeżenie z art. 12 ust. 1 wymaga tylko danych podmiotu, osób do kontaktu, czasu wystąpienia i wykrycia oraz wstępnej oceny, czy incydent był działaniem bezprawnym i czy dotyczy innych państw UE.

Czy gmina albo szpital będący podmiotem ważnym musi wysłać wczesne ostrzeżenie?

Podmiot ważny będący podmiotem publicznym nie wysyła wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi ani sprawozdania końcowego (art. 12c ustawy o KSC). Zgłasza tylko incydent poważny w ciągu 72 godzin od wykrycia (art. 11 ust. 1 pkt 4a). Pozostałe obowiązki z art. 11, w tym obsługa incydentu, klasyfikacja według progów i współdziałanie z CSIRT, stosują się do niego w pełni. Podmiot kluczowy, także publiczny, zgłasza wszystko.

Źródła

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami
2. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252
3. Rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny, Dz.U. 2018 poz. 2180
4. Projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny (RD326), wykaz prac legislacyjnych Rady Ministrów, projekt z dnia 2 września 2026 r.
5. Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r.
6. Rozporządzenie (UE) 2016/679 (RODO)
7. Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC (pkt 6.1, 6.3, 6.5, 6.6, 6.12, 6.15, 6.16, 6.17 i 6.20)
8. Ministerstwo Cyfryzacji, „Wyższy poziom zarządzania cyberbezpieczeństwem - platforma S46 Cyber Hub” (15 czerwca 2026 r.)
9. System S46, „Uzyskaj dostęp”
10. CSIRT CeZ, „Zgłaszanie incydentów. Sposoby zgłaszania incydentów bezpieczeństwa” (maj 2025 r.)
11. CERT Polska, Raport roczny 2025 z działalności CERT Polska (Warszawa 2026)
12. ENISA, NIS2 Technical Implementation Guidance, wersja 1.0 (czerwiec 2025 r.)
13. NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management (kwiecień 2025 r.)

Stan prawny sprawdzony: 08.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).

Powiązane artykuły

• 12.10.202622 min czytania

  Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?

  Wpis do wykazu KSC otwiera przestrzeń podmiotu w S46 Cyber Hub. Kto składa i podpisuje wniosek, co przygotować, jak dostać konto i wysłać wczesne ostrzeżenie.

• 28.09.202618 min czytania

  Plan ciągłości działania: z czego się składa i jak sprawdzić, że działa?

  Ustawa o KSC nakazuje wdrażać, testować i utrzymywać plany ciągłości działania. Co w nich jest, skąd biorę dane i po czym poznać, że nie zostały na półce.

• 24.09.202611 min czytania

  Wodociągi i oczyszczalnie pod ostrzałem. Czego wymaga ustawa o KSC i jak odciąć włamywaczy od sterowników?

  Panele sterowania stacji uzdatniania wody dostępne z internetu to główna droga ataku na wod-kan. Co mówi ustawa o KSC, co rekomenduje rząd, co robi pełnomocnik.