Osoba do kontaktu, administrator S46 i osoba zgłaszająca incydent. Czy to ta sama osoba?

Ustawa o KSC zna osoby do kontaktu i administratora S46, zgłaszającego nie wyznacza. Ile ich trzeba, kiedy KRK i czy może to być zewnętrzny pełnomocnik.

Autor: Paweł Rosół
Data: 23.10.2026
Czytanie: 11 min
Kategoria: Ustawa o KSC

Stan prawny sprawdzony: 23.10.2026

Spis treści

Kto jest kim według ustawy o KSC?
Czy jedna osoba może pełnić wszystkie trzy role?
Ilu administratorów S46 może mieć podmiot?
Ile osób do kontaktu i ile osób zgłaszających?
Czy wyznaczone osoby muszą spełniać jakieś warunki?
Czy zewnętrzny pełnomocnik może być jedną z tych osób?
Jak to uporządkować w podmiocie?

To pytanie słyszę często od osób, które dopiero zaczynają z ustawą o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.: mamy wpisać do wykazu osoby do kontaktuOsoba do kontaktu Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie., wskazać administratora w S46System S46 System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu. i jeszcze ustalić, kto zgłasza incydenty, więc ile to osób? Krótka odpowiedź: ustawa zna dwie z tych ról, trzecia wynika z formularza zgłoszenia, a wszystkie trzy może pełnić jedna osoba. Dłuższa zależy od tego, jak duży jest podmiot i czy ktoś z tych osób pracuje poza nim.

Administrator konta w S46 jest jedną z osób do kontaktu, a osoby zgłaszającej incydenty ustawa nie nakazuje wyznaczać z góry.

Kto jest kim według ustawy o KSC?

Osoby do kontaktu wyznacza podmiot na podstawie art. 9 ust. 1 pkt 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.:

wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa;

Ich dane trafiają do wykazu podmiotów kluczowych i podmiotów ważnychWykaz podmiotów kluczowych i ważnych Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi.. Art. 7 ust. 2 pkt 11 wymienia je razem z administratorem w jednym punkcie:

dane osób do kontaktu z podmiotami z krajowego systemu cyberbezpieczeństwa zawierające: imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej, a w przypadku osoby, która będzie pełnić rolę administratora konta podmiotu w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1, dodatkowo numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej (…)

Czytam to tak, że administrator jest jedną z osób do kontaktu, wskazaną dodatkowo do założenia konta. Formularz wniosku w aplikacji Wykaz KSC potwierdza ten układ: sekcja „Osoby kontaktowe” zawiera dane osób odpowiedzialnych za kontakt z podmiotami KSC, „w tym administratora konta w Systemie S46”. Po wpisie system tworzy przestrzeń podmiotu w S46 Cyber Hub, a administratorzy z sekcji F dostają rolę Administrator ze wszystkimi uprawnieniami po stronie podmiotu. To oni zakładają konta pozostałym użytkownikom i nadają im uprawnienia.

Trzeciej roli ustawa nie nazywa. Obowiązek zgłoszenia incydentu poważnegoIncydent poważny Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego. ciąży na podmiocie (art. 11 ust. 1 pkt 4 i 4a), a o osobach mowa dopiero przy treści zgłoszenia. Wczesne ostrzeżenieWczesne ostrzeżenie Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin. zawiera dane dwóch osób (art. 12 ust. 1 pkt 2 i 3):

imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby dokonującej zgłoszenia;

imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby uprawnionej do składania wyjaśnień dotyczących zgłaszanych informacji;

Ministerstwo Cyfryzacji w pytaniu 6.11 swojego FAQ wyjaśnia, że osoba dokonująca zgłoszenia może być jednocześnie osobą uprawnioną do składania wyjaśnień, ale może być też inaczej. W S46 Cyber Hub zgłasza użytkownik, któremu administrator nadał uprawnienia do tworzenia, odczytu i zgłaszania incydentów oraz dodawania do nich wiadomości. Osobę uprawnioną do wyjaśnień wybiera się z listy użytkowników albo wpisuje ręcznie, więc nie musi ona mieć konta.

Rola	Podstawa	Ile	Gdzie widnieje
osoba do kontaktu	art. 9 ust. 1 pkt 1, ust. 2 i 3	co najmniej dwie, w części podmiotów co najmniej jedna	wykaz (art. 7 ust. 2 pkt 11)
administrator konta w S46	art. 7 ust. 2 pkt 11	co najmniej jedna, dokumentacja S46 dopuszcza kilku	wykaz, sekcja F wniosku
osoba dokonująca zgłoszenia	art. 12 ust. 1 pkt 2	ustawa nie określa	każde zgłoszenie z osobna
osoba uprawniona do składania wyjaśnień	art. 12 ust. 1 pkt 3	ustawa nie określa	każde zgłoszenie z osobna

Czy jedna osoba może pełnić wszystkie trzy role?

Może. Nic w ustawie tego nie zabrania, a budowa art. 7 ust. 2 pkt 11 wręcz zakłada, że administrator jest jedną z osób do kontaktu. W małym podmiocie ważnym, który wyznacza jedną osobę do kontaktu, ta osoba będzie zwykle jednocześnie administratorem i tym, kto zgłasza.

Kłopot zaczyna się wtedy, gdy ta osoba jest na urlopie. Wczesne ostrzeżenie trzeba zgłosić nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego, a zgłoszenie incydentu w ciągu 72 godzin (art. 11 ust. 1 pkt 4 i 4a). Termin biegnie w sobotę tak samo jak we wtorek. Dlatego w podmiocie, któremu ustawa pozwala na jedną osobę do kontaktu, i tak doradzam dwie osoby z działającym kontem w S46.

Ilu administratorów S46 może mieć podmiot?

Ustawa mówi o „osobie, która będzie pełnić rolę administratora”, w liczbie pojedynczej, więc co najmniej jeden administrator być musi. Dokumentacja S46 Cyber Hub pisze konsekwentnie o administratorach wskazanych w sekcji F wpisu, w liczbie mnogiej: każdy z nich dostaje osobny e-mail z linkiem aktywacyjnym ważnym 7 dni. Górnego limitu nie znalazłem ani w ustawie, ani w instrukcjach systemu.

Dwóch administratorów to moim zdaniem minimum z jednego powodu, który instrukcja „Zarządzanie użytkownikami” podaje wprost. Kont administratorów utworzonych na podstawie danych z wykazu nie da się usunąć ani zmienić w S46 Cyber Hub; żeby zaktualizować dane takiej osoby albo odebrać jej dostęp, składa się wniosek o zmianę wpisu w wykazie. Na zmianę danych z art. 7 ust. 2 pkt 1 do 18 podmiot ma 14 dni od dnia zmiany (art. 7c ust. 3). Jeśli jedyny administrator odchodzi z pracy, nikt w podmiocie nie założy w tym czasie konta nowemu pracownikowi ani nie poprawi uprawnień.

Dane administratora, w tym PESEL, widzi wyłącznie minister właściwy do spraw informatyzacji albo jednostka, której powierzył utrzymanie systemu (art. 7g ust. 5). CSIRT i organ właściwy dostają pozostałe dane z wykazu, ale nie te.

Kont administratorów z wykazu nie poprawisz w S46 Cyber Hub, tylko wnioskiem o zmianę wpisu, więc jeden administrator to za mało.

Ile osób do kontaktu i ile osób zgłaszających?

Osób do kontaktu ustawa wymaga co najmniej dwóch (art. 9 ust. 1 pkt 1). Wyjątki są dwa: podmiot kluczowy lub ważny będący mikro- lub małym przedsiębiorcą (art. 9 ust. 2) oraz podmiot ważny będący podmiotem publicznym (art. 9 ust. 3) wyznaczają co najmniej jedną. Słowa „co najmniej” działają w obie strony: dolna granica jest sztywna, górnej nie ma. Za niewykonanie obowiązków z art. 9 organ może nałożyć karę na podmiot (art. 73 ust. 1a pkt 2), a za niewyznaczenie osób do kontaktu także na samego kierownika (art. 73a ust. 1 pkt 6).

Liczby osób zgłaszających ustawa nie określa w ogóle, bo ich nie wyznacza. Zgłasza ten, komu podmiot to powierzył i kto ma uprawnienia w S46. Ministerstwo w pytaniu 3.2 FAQ, wśród kroków dostosowania do ustawy, wymienia „wyznaczenie stałych dyżurów przy S46” w celu zgłaszania incydentów i odbierania informacji o podatnościach i zagrożeniach. Nie da się trzymać dyżuru jedną osobą, więc praktyczne minimum to dwie osoby z uprawnieniami do zgłaszania, wpisane z imienia i nazwiska do procedury obsługi incydentów.

Podmiot ważny będący podmiotem publicznym ma tu mniej pracy: nie przekazuje wczesnego ostrzeżenia ani sprawozdań, tylko samo zgłoszenie incydentu poważnego (art. 12c). Termin 72 godzin dotyczy go tak samo.

Czy wyznaczone osoby muszą spełniać jakieś warunki?

Ustawa stawia jeden twardy warunek, i to nie każdej z tych ról. Art. 8f ust. 1 dotyczy osoby, która ma realizować zadania z art. 8 lub art. 11:

Przed rozpoczęciem realizacji zadań, o których mowa w art. 8 lub art. 11, osoba, która ma te zadania realizować, przedstawia podmiotowi kluczowemu lub podmiotowi ważnemu informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji.

Obsługa i zgłaszanie incydentów poważnych to zadania z art. 11, więc osoba zgłaszająca przedstawia informację z KRK przed dopuszczeniem do tych zadań. Zamiast niej wystarczy ważne poświadczenie bezpieczeństwa do informacji niejawnych o klauzuli „poufne” lub wyższej (art. 8f ust. 3), a osoba prawomocnie skazana za przestępstwa przeciwko ochronie informacji nie może tych zadań realizować (art. 8f ust. 4). Ministerstwo w pytaniu 3.12 FAQ potwierdza, że obowiązek obejmuje także pracowników jednostek samorządowych, którzy zgłaszają incydenty.

Osoby do kontaktu i administratora wyznacza się na podstawie art. 9 i art. 7, których art. 8f nie wymienia. Litera przepisu nie wymaga więc od nich KRK. W praktyce te role prawie zawsze nakładają się na obsługę incydentów: administrator ma w S46 wszystkie uprawnienia, także do zgłaszania, a osoba do kontaktu odbiera wiadomości od CSIRT w trakcie incydentu. Dlatego radzę zebrać informację z KRK od wszystkich osób z tej listy, zanim dostaną konto.

Kompetencji ustawa nie określa. Ministerstwo w pytaniu 3.18 pisze, że osobą kontaktową może być każda osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia i że nie jest wymagane określone wykształcenie, także związane z cyberbezpieczeństwem. Osobą do kontaktu może być nawet sam kierownik podmiotu (pytanie 3.43), z zastrzeżeniem, żeby przy wyborze wziąć pod uwagę efektywność i dostępność tej osoby. Obowiązkowe coroczne szkolenie z art. 8e dotyczy kierownika i osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, a nie osób do kontaktu z racji samej funkcji.

Brak wymogów formalnych nie znaczy, że wybór jest obojętny. W pytaniu 3.19 ministerstwo zastrzega, że decyzja o modelu realizacji zadań ma być rozsądna i że zadań z zakresu cyberbezpieczeństwa nie powinno się powierzać przeciążonemu działowi help-desk. Osoba, która zgłasza incydent, ma w ciągu 24 godzin podać moment wystąpienia i wykrycia incydentu, czas jego trwania, ocenę, czy wywołało go działanie bezprawne lub w złej wierze, jeżeli da się ją już zrobić, i to, czy incydent dotyczy innych państw Unii (art. 12 ust. 1 pkt 4 do 6). Bez wiedzy o tym, co się dzieje w systemach, tego nie poda.

Do tego dochodzą trzy warunki praktyczne. Ustawa wymaga służbowego numeru telefonu i służbowego adresu e-mail każdej z tych osób (art. 7 ust. 2 pkt 11, art. 12 ust. 1 pkt 2 i 3). Administrator loguje się do S46 Cyber Hub przez Węzeł Krajowy (art. 46 ust. 5 odsyła do środków uwierzytelnienia z ustawy o informatyzacji), więc potrzebuje własnego środka identyfikacji elektronicznej, a wniosek o wpis zawiera jego PESEL albo identyfikator tego środka. A osoba, która realizuje w podmiocie zadania z art. 9 do 13, nie przeprowadzi w nim audytu bezpieczeństwa, także przez rok po zakończeniu tych zadań (art. 15 ust. 2a).

Kto zgłasza incydenty, przedstawia informację z KRK; osoby do kontaktu i administratora litera przepisu z tego zwalnia, praktyka już nie.

Czy zewnętrzny pełnomocnik może być jedną z tych osób?

Może pełnić każdą z trzech ról. Ustawa nie wymaga, żeby osoba do kontaktu, administrator czy zgłaszający byli pracownikami podmiotu, a ministerstwo odpowiedziało na to w październiku w trzech miejscach FAQ:

w pytaniu 2.60, że osoba do kontaktu może obsługiwać kilka odrębnych spółek, jeżeli jest związana z każdą z nich stosunkiem prawnym, który umożliwia nałożenie takich obowiązków, na przykład umową o pracę, umową cywilnoprawną albo umową z osobą fizyczną wykonującą działalność gospodarczą;
w pytaniu 2.61, że administrator nie musi być zatrudniony w podmiocie, ale musi być z nim powiązany stosunkiem prawnym, który pozwala nałożyć na niego takie obowiązki, w tym obowiązek zachowania poufności;
w pytaniu 3.48, że art. 8f obejmuje także osoby na umowach cywilnoprawnych zawartych bezpośrednio z podmiotem, jeżeli realizują zadania z art. 8 lub art. 11.

Zewnętrzny pełnomocnik ds. cyberbezpieczeństwa na umowie zlecenia albo na umowie z jego jednoosobową działalnością spełnia więc warunek z FAQ, a jeśli zgłasza incydenty, przedstawia informację z KRK tak jak pracownik. S46 Cyber Hub jest na to przygotowany: jedna osoba może być przypisana do przestrzeni kilku podmiotów i po zalogowaniu wybiera, w imieniu którego pracuje. Administrator każdego z nich musi ją dodać do swojej przestrzeni osobno.

Mniej jasny jest układ, w którym umowę z podmiotem podpisuje firma, a rolę pełni jej pracownik. Ministerstwo w pytaniu 3.18 dopuszcza go na przykładzie grupy kapitałowej: spółka obsługująca może dać osobę kontaktową spółce obsługiwanej, jeżeli obie umowy pozwalają nałożyć obowiązek na konkretną osobę, z rozliczalnością i poufnością. Poza grupą kapitałową ministerstwo tej sytuacji nie opisało. Gdybym był po stronie podmiotu, wpisałbym do umowy z firmą imiennie osoby, które pełnią role z wykazu, ich obowiązek poufności i obowiązek przekazywania informacji od CSIRT, a od nich samych wziąłbym informację z KRK.

Jedno się nie zmienia, niezależnie od tego, kogo kierownik wskaże. Kierownik odpowiada za wykonanie obowiązków z art. 9 do 12b także wtedy, gdy powierzył je innej osobie za jej zgodą (art. 8c ust. 1 i 3). Co z tego da się oddać pełnomocnikowi, a co zostaje przy kierowniku, rozpisałem w tekście Co kierownik podmiotu może powierzyć pełnomocnikowi.

Jak to uporządkować w podmiocie?

Proponuję taką kolejność:

Kierownik podmiotu wskazuje na piśmie osoby do kontaktu, administratorów S46 i osoby uprawnione do zgłaszania incydentów, z imienia i nazwiska, bo przydział zadań należy do niego (art. 8d pkt 3). Zwykle to te same dwie albo trzy osoby.
Każda z nich przedstawia informację z KRK, zanim dostanie konto w S46 (art. 8f ust. 1).
Dane osób do kontaktu i administratorów trafiają do wykazu, a każda zmiana do wniosku o zmianę wpisu w ciągu 14 dni (art. 7c ust. 3). Odejście osoby z listy warto potraktować jako zdarzenie, które uruchamia ten wniosek tego samego dnia.
Administrator zakłada konta osobom zgłaszającym i nadaje im uprawnienia do tworzenia, odczytu i zgłaszania incydentów oraz dodawania wiadomości. Potem każda z tych osób loguje się raz próbnie i sprawdza, czy dostaje powiadomienia e-mail.
Procedura obsługi incydentów wymienia te osoby i ich zastępców z numerami telefonów, tak żeby w sobotę o trzeciej w nocy było wiadomo, kto otwiera formularz.

Jak założyć konta i przejść przez formularz zgłoszenia krok po kroku, opisałem w tekście Logowanie do systemu S46, a kto w podmiocie decyduje, że incydent jest poważny, w tekście Incydent poważny w praktyce.

Pojęcia w tym tekście (15)

Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Osoba do kontaktu: Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.
System S46: System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
Podmiot ważny: Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
Wykaz podmiotów kluczowych i ważnych: Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi.
Incydent poważny: Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.
Wczesne ostrzeżenie: Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.
CSIRT: Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).
Podmiot publiczny: Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.
Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
Audyt bezpieczeństwa: Sprawdzenie, czy system informacyjny używany do świadczenia usługi spełnia wymagania ustawy o KSC. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na trzy lata.
Pełnomocnik ds. cyberbezpieczeństwa: Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.

Najczęściej zadawane pytania

Czy osoba do kontaktu, administrator konta w S46 i osoba zgłaszająca incydent to ta sama osoba?

Mogą nią być, ale nie muszą. Osoby do kontaktu wyznacza się na podstawie art. 9 ust. 1 pkt 1 ustawy o KSC i podaje w wykazie (art. 7 ust. 2 pkt 11). Administrator konta podmiotu w S46 to jedna z tych osób, dla której wniosek o wpis zawiera dodatkowo numer PESEL albo identyfikator środka identyfikacji elektronicznej (art. 7 ust. 2 pkt 11). Osoby zgłaszającej ustawa nie nakazuje wyznaczać z góry; w każdym zgłoszeniu podaje się dane osoby dokonującej zgłoszenia i osoby uprawnionej do składania wyjaśnień (art. 12 ust. 1 pkt 2 i 3).

Ile osób do kontaktu musi wyznaczyć podmiot kluczowy lub ważny?

Co najmniej dwie (art. 9 ust. 1 pkt 1 ustawy o KSC). Mikro- i mały przedsiębiorca (art. 9 ust. 2) oraz podmiot ważny będący podmiotem publicznym (art. 9 ust. 3) wyznaczają co najmniej jedną. Słowa „co najmniej” oznaczają, że więcej jest dozwolone.

Czy podmiot może mieć więcej niż jednego administratora w S46?

Tak. Ustawa mówi o osobie, która będzie pełnić rolę administratora konta (art. 7 ust. 2 pkt 11 ustawy o KSC), a dokumentacja S46 Cyber Hub o administratorach wskazanych w sekcji F wpisu do wykazu, w liczbie mnogiej. Limitu w oficjalnej dokumentacji nie znalazłem. Kont administratorów z wykazu nie da się zmienić ani usunąć w S46 Cyber Hub, tylko wnioskiem o zmianę wpisu (art. 7c ust. 3).

Czy osoba zgłaszająca incydenty musi przedstawić informację z KRK?

Tak. Zgłaszanie incydentów poważnych to zadanie z art. 11 ust. 1 pkt 4 i 4a ustawy o KSC, a osoba, która ma realizować zadania z art. 8 lub art. 11, przed ich rozpoczęciem przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). Zamiast niej wystarczy ważne poświadczenie bezpieczeństwa do informacji niejawnych o klauzuli „poufne” lub wyższej (art. 8f ust. 3).

Czy zewnętrzny pełnomocnik ds. cyberbezpieczeństwa na umowie cywilnoprawnej może być osobą do kontaktu albo administratorem S46?

Tak. Ministerstwo Cyfryzacji w FAQ dopuszcza jako osobę do kontaktu osobę związaną z podmiotem umową cywilnoprawną albo umową z osobą prowadzącą działalność gospodarczą (pytania 2.60 i 3.18), a administratora wiąże z podmiotem stosunkiem prawnym, który pozwala nałożyć na niego obowiązki, w tym obowiązek zachowania poufności (pytanie 2.61). Jeśli taki pełnomocnik zgłasza incydenty, przedstawia informację z KRK jak pracownik (art. 8f ust. 1 ustawy o KSC, pytanie 3.48).

Źródła

Stan prawny sprawdzony: 23.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).