# Osoba do kontaktu, administrator S46 i osoba zgłaszająca incydent. Czy to ta sama osoba? Ustawa o KSC zna osoby do kontaktu i administratora S46, zgłaszającego nie wyznacza. Ile ich trzeba, kiedy KRK i czy może to być zewnętrzny pełnomocnik. - Adres: - Autor: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Data publikacji: 23.10.2026 - Kategoria: [Ustawa o KSC](https://pelnomocnikcyber.pl/kategorie/ustawa-o-ksc/) - Stan prawny sprawdzony: 23.10.2026 - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) To pytanie słyszę często od osób, które dopiero zaczynają z ustawą o KSC: mamy wpisać do wykazu osoby do kontaktu, wskazać administratora w S46 i jeszcze ustalić, kto zgłasza incydenty, więc ile to osób? Krótka odpowiedź: ustawa zna dwie z tych ról, trzecia wynika z formularza zgłoszenia, a wszystkie trzy może pełnić jedna osoba. Dłuższa zależy od tego, jak duży jest podmiot i czy ktoś z tych osób pracuje poza nim. **Administrator konta w S46 jest jedną z osób do kontaktu, a osoby zgłaszającej incydenty ustawa nie nakazuje wyznaczać z góry.** ## Kto jest kim według ustawy o KSC? Osoby do kontaktu wyznacza podmiot na podstawie art. 9 ust. 1 pkt 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Podmiot kluczowy lub podmiot ważny: > wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami > krajowego systemu cyberbezpieczeństwa; Ich dane trafiają do wykazu podmiotów kluczowych i podmiotów ważnych. Art. 7 ust. 2 pkt 11 wymienia je razem z administratorem w jednym punkcie: > dane osób do kontaktu z podmiotami z krajowego systemu cyberbezpieczeństwa zawierające: > imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej, a w > przypadku osoby, która będzie pełnić rolę administratora konta podmiotu w systemie > teleinformatycznym, o którym mowa w art. 46 ust. 1, dodatkowo numer PESEL lub > niepowtarzalny identyfikator środka identyfikacji elektronicznej (…) Czytam to tak, że administrator jest jedną z osób do kontaktu, wskazaną dodatkowo do założenia konta. Formularz wniosku w aplikacji Wykaz KSC potwierdza ten układ: sekcja „Osoby kontaktowe” zawiera dane osób odpowiedzialnych za kontakt z podmiotami KSC, „w tym administratora konta w Systemie S46”. Po wpisie system tworzy przestrzeń podmiotu w S46 Cyber Hub, a administratorzy z sekcji F dostają rolę Administrator ze wszystkimi uprawnieniami po stronie podmiotu. To oni zakładają konta pozostałym użytkownikom i nadają im uprawnienia. Trzeciej roli ustawa nie nazywa. Obowiązek zgłoszenia incydentu poważnego ciąży na podmiocie (art. 11 ust. 1 pkt 4 i 4a), a o osobach mowa dopiero przy treści zgłoszenia. Wczesne ostrzeżenie zawiera dane dwóch osób (art. 12 ust. 1 pkt 2 i 3): > 2) imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej > osoby dokonującej zgłoszenia; > > 3) imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej > osoby uprawnionej do składania wyjaśnień dotyczących zgłaszanych informacji; Ministerstwo Cyfryzacji w pytaniu 6.11 swojego FAQ wyjaśnia, że osoba dokonująca zgłoszenia może być jednocześnie osobą uprawnioną do składania wyjaśnień, ale może być też inaczej. W S46 Cyber Hub zgłasza użytkownik, któremu administrator nadał uprawnienia do tworzenia, odczytu i zgłaszania incydentów oraz dodawania do nich wiadomości. Osobę uprawnioną do wyjaśnień wybiera się z listy użytkowników albo wpisuje ręcznie, więc nie musi ona mieć konta. | Rola | Podstawa | Ile | Gdzie widnieje | |---|---|---|---| | osoba do kontaktu | art. 9 ust. 1 pkt 1, ust. 2 i 3 | co najmniej dwie, w części podmiotów co najmniej jedna | wykaz (art. 7 ust. 2 pkt 11) | | administrator konta w S46 | art. 7 ust. 2 pkt 11 | co najmniej jedna, dokumentacja S46 dopuszcza kilku | wykaz, sekcja F wniosku | | osoba dokonująca zgłoszenia | art. 12 ust. 1 pkt 2 | ustawa nie określa | każde zgłoszenie z osobna | | osoba uprawniona do składania wyjaśnień | art. 12 ust. 1 pkt 3 | ustawa nie określa | każde zgłoszenie z osobna | ## Czy jedna osoba może pełnić wszystkie trzy role? Może. Nic w ustawie tego nie zabrania, a budowa art. 7 ust. 2 pkt 11 wręcz zakłada, że administrator jest jedną z osób do kontaktu. W małym podmiocie ważnym, który wyznacza jedną osobę do kontaktu, ta osoba będzie zwykle jednocześnie administratorem i tym, kto zgłasza. Kłopot zaczyna się wtedy, gdy ta osoba jest na urlopie. Wczesne ostrzeżenie trzeba zgłosić nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego, a zgłoszenie incydentu w ciągu 72 godzin (art. 11 ust. 1 pkt 4 i 4a). Termin biegnie w sobotę tak samo jak we wtorek. Dlatego w podmiocie, któremu ustawa pozwala na jedną osobę do kontaktu, i tak doradzam dwie osoby z działającym kontem w S46. ## Ilu administratorów S46 może mieć podmiot? Ustawa mówi o „osobie, która będzie pełnić rolę administratora”, w liczbie pojedynczej, więc co najmniej jeden administrator być musi. Dokumentacja S46 Cyber Hub pisze konsekwentnie o administratorach wskazanych w sekcji F wpisu, w liczbie mnogiej: każdy z nich dostaje osobny e-mail z linkiem aktywacyjnym ważnym 7 dni. Górnego limitu nie znalazłem ani w ustawie, ani w instrukcjach systemu. Dwóch administratorów to moim zdaniem minimum z jednego powodu, który instrukcja „Zarządzanie użytkownikami” podaje wprost. Kont administratorów utworzonych na podstawie danych z wykazu nie da się usunąć ani zmienić w S46 Cyber Hub; żeby zaktualizować dane takiej osoby albo odebrać jej dostęp, składa się wniosek o zmianę wpisu w wykazie. Na zmianę danych z art. 7 ust. 2 pkt 1 do 18 podmiot ma 14 dni od dnia zmiany (art. 7c ust. 3). Jeśli jedyny administrator odchodzi z pracy, nikt w podmiocie nie założy w tym czasie konta nowemu pracownikowi ani nie poprawi uprawnień. Dane administratora, w tym PESEL, widzi wyłącznie minister właściwy do spraw informatyzacji albo jednostka, której powierzył utrzymanie systemu (art. 7g ust. 5). CSIRT i organ właściwy dostają pozostałe dane z wykazu, ale nie te. **Kont administratorów z wykazu nie poprawisz w S46 Cyber Hub, tylko wnioskiem o zmianę wpisu, więc jeden administrator to za mało.** ## Ile osób do kontaktu i ile osób zgłaszających? Osób do kontaktu ustawa wymaga co najmniej dwóch (art. 9 ust. 1 pkt 1). Wyjątki są dwa: podmiot kluczowy lub ważny będący mikro- lub małym przedsiębiorcą (art. 9 ust. 2) oraz podmiot ważny będący podmiotem publicznym (art. 9 ust. 3) wyznaczają co najmniej jedną. Słowa „co najmniej” działają w obie strony: dolna granica jest sztywna, górnej nie ma. Za niewykonanie obowiązków z art. 9 organ może nałożyć karę na podmiot (art. 73 ust. 1a pkt 2), a za niewyznaczenie osób do kontaktu także na samego kierownika (art. 73a ust. 1 pkt 6). Liczby osób zgłaszających ustawa nie określa w ogóle, bo ich nie wyznacza. Zgłasza ten, komu podmiot to powierzył i kto ma uprawnienia w S46. Ministerstwo w pytaniu 3.2 FAQ, wśród kroków dostosowania do ustawy, wymienia „wyznaczenie stałych dyżurów przy S46” w celu zgłaszania incydentów i odbierania informacji o podatnościach i zagrożeniach. Nie da się trzymać dyżuru jedną osobą, więc praktyczne minimum to dwie osoby z uprawnieniami do zgłaszania, wpisane z imienia i nazwiska do procedury obsługi incydentów. Podmiot ważny będący podmiotem publicznym ma tu mniej pracy: nie przekazuje wczesnego ostrzeżenia ani sprawozdań, tylko samo zgłoszenie incydentu poważnego (art. 12c). Termin 72 godzin dotyczy go tak samo. ## Czy wyznaczone osoby muszą spełniać jakieś warunki? Ustawa stawia jeden twardy warunek, i to nie każdej z tych ról. Art. 8f ust. 1 dotyczy osoby, która ma realizować zadania z art. 8 lub art. 11: > Przed rozpoczęciem realizacji zadań, o których mowa w art. 8 lub art. 11, osoba, która ma > te zadania realizować, przedstawia podmiotowi kluczowemu lub podmiotowi ważnemu informację > o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko > ochronie informacji. Obsługa i zgłaszanie incydentów poważnych to zadania z art. 11, więc osoba zgłaszająca przedstawia informację z KRK przed dopuszczeniem do tych zadań. Zamiast niej wystarczy ważne poświadczenie bezpieczeństwa do informacji niejawnych o klauzuli „poufne” lub wyższej (art. 8f ust. 3), a osoba prawomocnie skazana za przestępstwa przeciwko ochronie informacji nie może tych zadań realizować (art. 8f ust. 4). Ministerstwo w pytaniu 3.12 FAQ potwierdza, że obowiązek obejmuje także pracowników jednostek samorządowych, którzy zgłaszają incydenty. Osoby do kontaktu i administratora wyznacza się na podstawie art. 9 i art. 7, których art. 8f nie wymienia. Litera przepisu nie wymaga więc od nich KRK. W praktyce te role prawie zawsze nakładają się na obsługę incydentów: administrator ma w S46 wszystkie uprawnienia, także do zgłaszania, a osoba do kontaktu odbiera wiadomości od CSIRT w trakcie incydentu. Dlatego radzę zebrać informację z KRK od wszystkich osób z tej listy, zanim dostaną konto. Kompetencji ustawa nie określa. Ministerstwo w pytaniu 3.18 pisze, że osobą kontaktową może być każda osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia i że nie jest wymagane określone wykształcenie, także związane z cyberbezpieczeństwem. Osobą do kontaktu może być nawet sam kierownik podmiotu (pytanie 3.43), z zastrzeżeniem, żeby przy wyborze wziąć pod uwagę efektywność i dostępność tej osoby. Obowiązkowe coroczne szkolenie z art. 8e dotyczy kierownika i osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, a nie osób do kontaktu z racji samej funkcji. Brak wymogów formalnych nie znaczy, że wybór jest obojętny. W pytaniu 3.19 ministerstwo zastrzega, że decyzja o modelu realizacji zadań ma być rozsądna i że zadań z zakresu cyberbezpieczeństwa nie powinno się powierzać przeciążonemu działowi help-desk. Osoba, która zgłasza incydent, ma w ciągu 24 godzin podać moment wystąpienia i wykrycia incydentu, czas jego trwania, ocenę, czy wywołało go działanie bezprawne lub w złej wierze, jeżeli da się ją już zrobić, i to, czy incydent dotyczy innych państw Unii (art. 12 ust. 1 pkt 4 do 6). Bez wiedzy o tym, co się dzieje w systemach, tego nie poda. Do tego dochodzą trzy warunki praktyczne. Ustawa wymaga służbowego numeru telefonu i służbowego adresu e-mail każdej z tych osób (art. 7 ust. 2 pkt 11, art. 12 ust. 1 pkt 2 i 3). Administrator loguje się do S46 Cyber Hub przez Węzeł Krajowy (art. 46 ust. 5 odsyła do środków uwierzytelnienia z ustawy o informatyzacji), więc potrzebuje własnego środka identyfikacji elektronicznej, a wniosek o wpis zawiera jego PESEL albo identyfikator tego środka. A osoba, która realizuje w podmiocie zadania z art. 9 do 13, nie przeprowadzi w nim audytu bezpieczeństwa, także przez rok po zakończeniu tych zadań (art. 15 ust. 2a). **Kto zgłasza incydenty, przedstawia informację z KRK; osoby do kontaktu i administratora litera przepisu z tego zwalnia, praktyka już nie.** ## Czy zewnętrzny pełnomocnik może być jedną z tych osób? Może pełnić każdą z trzech ról. Ustawa nie wymaga, żeby osoba do kontaktu, administrator czy zgłaszający byli pracownikami podmiotu, a ministerstwo odpowiedziało na to w październiku w trzech miejscach FAQ: - w pytaniu 2.60, że osoba do kontaktu może obsługiwać kilka odrębnych spółek, jeżeli jest związana z każdą z nich stosunkiem prawnym, który umożliwia nałożenie takich obowiązków, na przykład umową o pracę, umową cywilnoprawną albo umową z osobą fizyczną wykonującą działalność gospodarczą; - w pytaniu 2.61, że administrator nie musi być zatrudniony w podmiocie, ale musi być z nim powiązany stosunkiem prawnym, który pozwala nałożyć na niego takie obowiązki, w tym obowiązek zachowania poufności; - w pytaniu 3.48, że art. 8f obejmuje także osoby na umowach cywilnoprawnych zawartych bezpośrednio z podmiotem, jeżeli realizują zadania z art. 8 lub art. 11. Zewnętrzny pełnomocnik ds. cyberbezpieczeństwa na umowie zlecenia albo na umowie z jego jednoosobową działalnością spełnia więc warunek z FAQ, a jeśli zgłasza incydenty, przedstawia informację z KRK tak jak pracownik. S46 Cyber Hub jest na to przygotowany: jedna osoba może być przypisana do przestrzeni kilku podmiotów i po zalogowaniu wybiera, w imieniu którego pracuje. Administrator każdego z nich musi ją dodać do swojej przestrzeni osobno. Mniej jasny jest układ, w którym umowę z podmiotem podpisuje firma, a rolę pełni jej pracownik. Ministerstwo w pytaniu 3.18 dopuszcza go na przykładzie grupy kapitałowej: spółka obsługująca może dać osobę kontaktową spółce obsługiwanej, jeżeli obie umowy pozwalają nałożyć obowiązek na konkretną osobę, z rozliczalnością i poufnością. Poza grupą kapitałową ministerstwo tej sytuacji nie opisało. Gdybym był po stronie podmiotu, wpisałbym do umowy z firmą imiennie osoby, które pełnią role z wykazu, ich obowiązek poufności i obowiązek przekazywania informacji od CSIRT, a od nich samych wziąłbym informację z KRK. Jedno się nie zmienia, niezależnie od tego, kogo kierownik wskaże. Kierownik odpowiada za wykonanie obowiązków z art. 9 do 12b także wtedy, gdy powierzył je innej osobie za jej zgodą (art. 8c ust. 1 i 3). Co z tego da się oddać pełnomocnikowi, a co zostaje przy kierowniku, rozpisałem w tekście [Co kierownik podmiotu może powierzyć pełnomocnikowi](https://pelnomocnikcyber.pl/artykuly/co-kierownik-podmiotu-moze-powierzyc-pelnomocnikowi/). ## Jak to uporządkować w podmiocie? Proponuję taką kolejność: 1. Kierownik podmiotu wskazuje na piśmie osoby do kontaktu, administratorów S46 i osoby uprawnione do zgłaszania incydentów, z imienia i nazwiska, bo przydział zadań należy do niego (art. 8d pkt 3). Zwykle to te same dwie albo trzy osoby. 2. Każda z nich przedstawia informację z KRK, zanim dostanie konto w S46 (art. 8f ust. 1). 3. Dane osób do kontaktu i administratorów trafiają do wykazu, a każda zmiana do wniosku o zmianę wpisu w ciągu 14 dni (art. 7c ust. 3). Odejście osoby z listy warto potraktować jako zdarzenie, które uruchamia ten wniosek tego samego dnia. 4. Administrator zakłada konta osobom zgłaszającym i nadaje im uprawnienia do tworzenia, odczytu i zgłaszania incydentów oraz dodawania wiadomości. Potem każda z tych osób loguje się raz próbnie i sprawdza, czy dostaje powiadomienia e-mail. 5. Procedura obsługi incydentów wymienia te osoby i ich zastępców z numerami telefonów, tak żeby w sobotę o trzeciej w nocy było wiadomo, kto otwiera formularz. Jak założyć konta i przejść przez formularz zgłoszenia krok po kroku, opisałem w tekście [Logowanie do systemu S46](https://pelnomocnikcyber.pl/artykuly/jak-zarejestrowac-sie-w-systemie-s46-i-zglaszac-incydenty/), a kto w podmiocie decyduje, że incydent jest poważny, w tekście [Incydent poważny w praktyce](https://pelnomocnikcyber.pl/artykuly/incydent-powazny-w-praktyce-kto-decyduje-i-jak-zdazyc-ze-zgloszeniem/). ## Pojęcia w tym tekście - [Ustawa o KSC](https://pelnomocnikcyber.pl/slownik/ustawa-o-ksc/): Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. - [Osoba do kontaktu](https://pelnomocnikcyber.pl/slownik/osoba-do-kontaktu/): Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie. - [System S46](https://pelnomocnikcyber.pl/slownik/system-s46/): System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu. - [Incydent](https://pelnomocnikcyber.pl/slownik/incydent/): Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny. - [Podmiot kluczowy](https://pelnomocnikcyber.pl/slownik/podmiot-kluczowy/): Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. - [Podmiot ważny](https://pelnomocnikcyber.pl/slownik/podmiot-wazny/): Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. - [Wykaz podmiotów kluczowych i ważnych](https://pelnomocnikcyber.pl/slownik/wykaz-podmiotow-kluczowych-i-waznych/): Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi. - [Incydent poważny](https://pelnomocnikcyber.pl/slownik/incydent-powazny/): Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego. - [Wczesne ostrzeżenie](https://pelnomocnikcyber.pl/slownik/wczesne-ostrzezenie/): Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin. - [CSIRT](https://pelnomocnikcyber.pl/slownik/csirt/): Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB). - [Podmiot publiczny](https://pelnomocnikcyber.pl/slownik/podmiot-publiczny/): Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [Kierownik podmiotu](https://pelnomocnikcyber.pl/slownik/kierownik-podmiotu/): Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. - [Audyt bezpieczeństwa](https://pelnomocnikcyber.pl/slownik/audyt-bezpieczenstwa/): Sprawdzenie, czy system informacyjny używany do świadczenia usługi spełnia wymagania ustawy o KSC. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na trzy lata. - [Pełnomocnik ds. cyberbezpieczeństwa](https://pelnomocnikcyber.pl/slownik/pelnomocnik-ds-cyberbezpieczenstwa/): Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań. ## Najczęściej zadawane pytania ### Czy osoba do kontaktu, administrator konta w S46 i osoba zgłaszająca incydent to ta sama osoba? Mogą nią być, ale nie muszą. Osoby do kontaktu wyznacza się na podstawie art. 9 ust. 1 pkt 1 ustawy o KSC i podaje w wykazie (art. 7 ust. 2 pkt 11). Administrator konta podmiotu w S46 to jedna z tych osób, dla której wniosek o wpis zawiera dodatkowo numer PESEL albo identyfikator środka identyfikacji elektronicznej (art. 7 ust. 2 pkt 11). Osoby zgłaszającej ustawa nie nakazuje wyznaczać z góry; w każdym zgłoszeniu podaje się dane osoby dokonującej zgłoszenia i osoby uprawnionej do składania wyjaśnień (art. 12 ust. 1 pkt 2 i 3). ### Ile osób do kontaktu musi wyznaczyć podmiot kluczowy lub ważny? Co najmniej dwie (art. 9 ust. 1 pkt 1 ustawy o KSC). Mikro- i mały przedsiębiorca (art. 9 ust. 2) oraz podmiot ważny będący podmiotem publicznym (art. 9 ust. 3) wyznaczają co najmniej jedną. Słowa „co najmniej” oznaczają, że więcej jest dozwolone. ### Czy podmiot może mieć więcej niż jednego administratora w S46? Tak. Ustawa mówi o osobie, która będzie pełnić rolę administratora konta (art. 7 ust. 2 pkt 11 ustawy o KSC), a dokumentacja S46 Cyber Hub o administratorach wskazanych w sekcji F wpisu do wykazu, w liczbie mnogiej. Limitu w oficjalnej dokumentacji nie znalazłem. Kont administratorów z wykazu nie da się zmienić ani usunąć w S46 Cyber Hub, tylko wnioskiem o zmianę wpisu (art. 7c ust. 3). ### Czy osoba zgłaszająca incydenty musi przedstawić informację z KRK? Tak. Zgłaszanie incydentów poważnych to zadanie z art. 11 ust. 1 pkt 4 i 4a ustawy o KSC, a osoba, która ma realizować zadania z art. 8 lub art. 11, przed ich rozpoczęciem przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). Zamiast niej wystarczy ważne poświadczenie bezpieczeństwa do informacji niejawnych o klauzuli „poufne” lub wyższej (art. 8f ust. 3). ### Czy zewnętrzny pełnomocnik ds. cyberbezpieczeństwa na umowie cywilnoprawnej może być osobą do kontaktu albo administratorem S46? Tak. Ministerstwo Cyfryzacji w FAQ dopuszcza jako osobę do kontaktu osobę związaną z podmiotem umową cywilnoprawną albo umową z osobą prowadzącą działalność gospodarczą (pytania 2.60 i 3.18), a administratora wiąże z podmiotem stosunkiem prawnym, który pozwala nałożyć na niego obowiązki, w tym obowiązek zachowania poufności (pytanie 2.61). Jeśli taki pełnomocnik zgłasza incydenty, przedstawia informację z KRK jak pracownik (art. 8f ust. 1 ustawy o KSC, pytanie 3.48). ## Źródła 1. [Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami](https://eli.gov.pl/eli/DU/2026/20/ogl) 2. [Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252](https://eli.gov.pl/eli/DU/2026/252/ogl) 3. [Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja z października 2026 r. (pkt 2.60, 2.61, 3.2, 3.12, 3.17, 3.18, 3.19, 3.43, 3.48 i 6.11)](https://cyber.gov.pl/faq) 4. [System S46, „Samorejestracja (wpis do Wykazu KSC)”](https://www.gov.pl/web/system-s46/wpis-do-wykazu-ksc) 5. [System S46, S46 Cyber Hub: „Zarządzanie użytkownikami”](https://www.gov.pl/web/system-s46/zarzadzanie-uzytkownikami) 6. [System S46, S46 Cyber Hub: „Logowanie” i „Przestrzenie”](https://www.gov.pl/web/system-s46/logowanie) 7. [System S46, S46 Cyber Hub: „Zgłoszenie incydentu”](https://www.gov.pl/web/system-s46/zgloszenie-incydentu) 8. [CERT Polska, baza wiedzy, „Zgłaszanie incydentu z użyciem systemu S46”](https://wiedza.cert.pl/obsluga-incydentow/zgloszenie/s46/) 9. [NASK i Ministerstwo Cyfryzacji, „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0)” (wrzesień 2026 r.)](https://www.nask.pl/media/2026/09/KSC2.0_Poradnik_29092026.pdf) Stan prawny sprawdzony: 23.10.2026. Wpis jest informacją ogólną, nie poradą prawną ([zasady publikacji](https://pelnomocnikcyber.pl/zasady-publikacji/)).