Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?

Podmiot, który 3 kwietnia 2026 r. spełniał przesłanki uznania za podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy., realizuje obowiązki z rozdziału 3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.) w terminie 12 miesięcy od wejścia w życie nowelizacji (art. 33 ust. 1 ustawy nowelizującej), czyli do 3 kwietnia 2027 r. Od dnia, w którym to piszę, zostaje pięć i pół miesiąca. Rozdział 3 to art. 8 do 16: system zarządzania bezpieczeństwem informacjiSystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. (SZBI), obowiązki kierownika, osoby do kontaktuOsoba do kontaktu Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie., dokumentacja, obsługa i zgłaszanie incydentów, audyt.

Rekomendacja Pełnomocnika RząduRekomendacja Pełnomocnika Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne. do Spraw Cyberbezpieczeństwa nr 2026-67a-9 z 15 października 2026 r., którą opisałem w aktualnościach, daje zarządowi po raz pierwszy jedną listę środków od ministerstwa, które będzie go potem kontrolować. Lista ma osiem obszarów i kilkadziesiąt punktów, ale nie odróżnia tego, co ustawa nakazuje, od tego, co Pełnomocnik uważa za dobry sposób wykonania nakazu. Ten tekst robi to rozróżnienie, a potem układa pracę na miesiące, które zostały.

Rekomendacja Pełnomocnika nie dodaje obowiązków i żadnego nie zdejmuje. Mówi, jak ministerstwo rozumie wykonanie art. 8, i to jest jej wartość dla zarządu.

Co się stanie 3 kwietnia 2027 r.?

Dwa terminy zbiegają się w tym dniu, a dwa kolejne przypadają rok później.

Po pierwsze, kończy się okres na realizację obowiązków z rozdziału 3 (art. 33 ust. 1 ustawy nowelizującej). Od tego dnia organ właściwy do spraw cyberbezpieczeństwaOrgan właściwy do spraw cyberbezpieczeństwa Minister albo inny organ, któremu ustawa o KSC przypisała sektor. Nadzoruje podmioty kluczowe i ważne w tym sektorze i ustanawia dla niego CSIRT sektorowy. może oczekiwać, że SZBI jest wdrożony, ryzyko oszacowane, osoby do kontaktu wyznaczone, a incydenty są obsługiwane i zgłaszane według art. 11. Podmiot, który spełnił przesłanki później, liczy swoje 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC), a późniejszy wpis do wykazu niczego nie przesuwa (FAQ ministerstwa, pytanie 2.31).

Po drugie, kończy się okres na rozpoczęcie korzystania z systemu S46System S46 System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.. Ustawa daje na to 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4), a komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. wyznacza podmiotom objętym ustawą od początku okres od 12 czerwca 2026 r. do 3 kwietnia 2027 r. Po uzyskaniu wpisu do wykazu podmiot rozpoczyna korzystanie z systemu (art. 9 ust. 1 pkt 4), więc kto ma już wpis, nie powinien odkładać pierwszego logowania na marzec. Jak to zrobić, opisałem w tekście o rejestracji w S46.

Rok później, 3 kwietnia 2028 r., mija termin pierwszego audytu podmiotu kluczowego (art. 33 ust. 2 ustawy nowelizującej) i od tego dnia organ może po raz pierwszy nałożyć kary pieniężne przewidziane w ustawie o KSC (art. 35 ustawy nowelizującej). Rok między tymi datami nie jest zapasem na wdrożenie. To czas, w którym system ma zebrać dowody działania, bo audytor będzie pytał o wyniki testów i ćwiczeń, a nie o daty zatwierdzenia procedur. Pisałem o tym w tekście „Skąd zarząd ma wiedzieć, że zabezpieczeń jest dość?”.

W przypisie 6 rekomendacja pisze, że obowiązek zgłaszania incydentów przez S46 „wchodzi w życie od 3 kwietnia 2027 r.”. Obowiązek przekazywania wczesnego ostrzeżenia, zgłoszenia i sprawozdań przez ten system jest w art. 11 ust. 2 ustawy o KSC i jest w rozdziale 3, więc podmioty objęte ustawą od początku mają na jego realizację czas do 3 kwietnia 2027 r., a dawni operatorzy usług kluczowych zgłaszają według nowych zasad od 3 października 2026 r. (art. 33 ust. 4 ustawy nowelizującej). Przypis opisuje więc koniec okresu dostosowawczego, nie początek obowiązku. Moim zdaniem podmiot, który ma już dostęp do S46 Cyber Hub i wykryje incydent poważny w grudniu, powinien zgłosić go tam od razu: przećwiczy procedurę, a CSIRT dostanie informację, której i tak potrzebuje.

Co w rekomendacji jest obowiązkiem, a co sposobem jego wykonania?

Art. 67a ust. 1 ustawy o KSC pozwala Pełnomocnikowi wydawać rekomendacje określające środki techniczne i organizacyjne, a ust. 5 stanowi, że ich stosowanie jest dobrowolne. Sama rekomendacja kończy się zastrzeżeniem, że „ma charakter pomocniczy” i „nie zastępuje ona obowiązków określonych w przepisach prawa ani indywidualnej oceny ryzyka przeprowadzanej przez podmiot”. Dla zarządu znaczy to tyle: każdy punkt rekomendacji trzeba przeczytać razem z przepisem, któremu służy. Jeśli przepis nakazuje, punkt jest obowiązkiem, a rekomendacja podpowiada jak. Jeśli przepisu nie ma, punkt jest propozycją, którą przyjmuje się albo odrzuca na podstawie oszacowanego ryzyka, z zapisem dlaczego.

Dwa zastrzeżenia do tej zasady. Dobrowolność nie znaczy, że rekomendację można pominąć bez śladu: wdrażając środki, podmiot uwzględnia „najnowszy stan wiedzy” (art. 8 ust. 1 pkt 2), a organ przy kontroli będzie miał tę listę przed sobą. Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1, tylko załącznik nr 4 (art. 8 ust. 3), a część III tego załącznika nakazuje mu przegląd SZBI bezzwłocznie po wydaniu rekomendacji Pełnomocnika w zakresie, w jakim dotyczy ona jego systemów. Ta rekomendacja jest ogólna, więc w mojej ocenie taki przegląd jest teraz należny w każdym urzędzie i jednostce objętej załącznikiem nr 4.

Tabela pokazuje, gdzie rekomendacja mówi więcej niż ustawa: ponowna ocena ryzyka co roku, kopie według zasady 3-2-1 z określonymi RTO i RPO, uwierzytelnianie wieloskładnikowe obowiązkowe dla dostępu zdalnego, poczty, systemów krytycznych i kont uprzywilejowanych, dostęp administracyjny wyłącznie przez VPN, macierz RACI, narzędzia klasy SIEM, skany Artemis, szyfrowanie poczty. Ministerstwo potwierdza w pytaniu 3.42 swojego FAQ, że ustawa jest neutralna technologicznie i nie wskazuje klasy systemów, bez której nie ma zgodności. Każdą z tych propozycji przyjmuje się albo odrzuca na podstawie szacowania ryzyka, a rezygnację zapisuje się razem z powodem, bo właśnie o ten zapis zapyta kontrolujący.

Są też miejsca, gdzie rozstrzyga ustawa, a nie rekomendacja. Pkt 8 lit. a zaleca co najmniej dwie osoby do kontaktu bez wyjątków; art. 9 ust. 2 i 3 pozwalają mikro- i małemu przedsiębiorcy oraz podmiotowi ważnemu będącemu podmiotem publicznym wyznaczyć jedną. Pkt 8 lit. c mówi o „okresowych audytach”; art. 15 wymaga od podmiotu kluczowego audytu co najmniej raz na 3 lata, na własny koszt, przez audytorów z art. 15 ust. 2, i zakazuje prowadzenia go osobie, która w podmiocie realizuje zadania z art. 8 (ust. 2a). Pkt 1.3 lit. b zaleca coroczne szkolenia; art. 8e nakazuje je kierownikowi i osobie, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, z udokumentowanym udziałem. W tych trzech sprawach rozstrzyga ustawa; rekomendacja może tylko proponować więcej i w pierwszej z nich to robi.

Co musi istnieć 3 kwietnia 2027 r.?

Z rozdziału 3 wynika osiem rzeczy, których organ może zażądać od pierwszego dnia po terminie. Układam je w kolejności, w jakiej powstają, a nie w kolejności artykułów.

1. Decyzje kierownika i przydział zadań. Kierownik decyduje o przygotowaniu i wdrożeniu SZBI, planuje środki finansowe, przydziela zadania i nadzoruje ich wykonanie (art. 8d). Zadania realizuje wewnętrzna struktura albo dostawca usług zarządzanych w zakresie cyberbezpieczeństwa z umową (art. 14). Każda osoba, która ma realizować zadania z art. 8 lub art. 11, przedstawia przed ich rozpoczęciem informację z Krajowego Rejestru Karnego (art. 8f ust. 1). Co z tego kierownik może powierzyć, opisałem w tekście o powierzaniu zadań pełnomocnikowi.
2. Osoby do kontaktu i S46. Co najmniej dwie osoby odpowiedzialne za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1), wpisane do wykazu, i rozpoczęte korzystanie z S46 (art. 9 ust. 1 pkt 4). Do tego informacja dla użytkowników usługi o zagrożeniach i możliwość zgłoszenia przez nich incydentu lub podatności (art. 9 ust. 1 pkt 2 i 3); pierwszy obowiązek można spełnić linkiem do strony organu lub CSIRT (art. 9 ust. 4).
3. Zakres SZBI i szacowanie ryzyka. Lista usług, procesów i systemów, od których zależy świadczenie usługi (art. 8 ust. 1), oraz systematyczne, udokumentowane szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem (art. 8 ust. 1 pkt 1). Dokumentacja normatywna obejmuje szacowanie ryzyka i plan postępowania z ryzykiem (art. 10 ust. 3 pkt 2 lit. c i d).
4. Środki proporcjonalne do ryzyka i dokumentacja. Środki techniczne i organizacyjne z art. 8 ust. 1 pkt 2, od polityk po kontrolę dostępu, dobrane do oszacowanego ryzyka, z dokumentacją normatywną i operacyjną (art. 10 ust. 1 do 4) i nadzorem nad nią (art. 10 ust. 6). Co zmienić w systemie opartym na ISO/IEC 27001, opisałem osobno.
5. Obsługa i zgłaszanie incydentów. Zarządzanie incydentami (art. 8 ust. 1 pkt 4), progi uznania incydentu za poważny, osoba, która o tym decyduje, wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe w miesiąc (art. 11 ust. 1 pkt 3 do 4c), wszystko przez S46 (art. 11 ust. 2). Kto decyduje i jak zdążyć, opisałem w tekście o incydencie poważnym w praktyce.
6. Łańcuch dostaw. Bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy usługa (art. 8 ust. 1 pkt 2 lit. e), z uwzględnieniem podatności i jakości u dostawcy (art. 8 ust. 2). W praktyce: lista dostawców krytycznych, ich ocena i zapisy w umowach, o których pisałem w tekście o łańcuchu dostaw.
7. Plany ciągłości, awaryjne i odtworzenia. Wdrożone, udokumentowane, przetestowane i utrzymywane (art. 8 ust. 1 pkt 2 lit. f), razem z dokumentacją systemu zarządzania ciągłością działania (art. 10 ust. 3 pkt 3). Co zawiera plan i jak sprawdzić, że działa, opisałem w tekście o planie ciągłości działania.
8. Monitorowanie, podatności i ludzie. System objęty monitorowaniem w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g), zbieranie informacji o cyberzagrożeniach i podatnościach (art. 8 ust. 1 pkt 3), regularne aktualizacje i niezwłoczne działania po dostrzeżeniu podatności (art. 8 ust. 1 pkt 5 lit. b i d), edukacja personelu i zasady cyberhigieny (art. 8 ust. 1 pkt 2 lit. i i j) oraz pierwsze szkolenie kierownika (art. 8e), które według ministerstwa może odbyć się jeszcze w 2026 r. albo najpóźniej w 2027 r. (FAQ, pytanie 3.46).

Organ nie zapyta, czy podmiot wdrożył rekomendację. Zapyta, czy spełnia art. 8, 9, 10 i 11, a rekomendacja będzie leżeć obok jako miara tego, co uznano za wykonalne.

Jak ułożyć pięć miesięcy?

Kolejność wynika z ustawy. Środki mają być „odpowiednie i proporcjonalne do oszacowanego ryzyka” (art. 8 ust. 1 pkt 2), więc bez szacowania ryzyka nie da się uzasadnić ani jednego zabezpieczenia, a bez listy aktywów i usług nie da się oszacować ryzyka. Dwie rzeczy idą jednak równolegle od pierwszego tygodnia: osoby do kontaktu z kontem w S46, bo incydent nie czeka na koniec projektu, oraz kilka środków, których nie trzeba uzasadniać analizą, bo ich brak jest ryzykiem sam w sobie: uwierzytelnianie wieloskładnikowe na dostępie zdalnym i kontach uprzywilejowanych, kopia zapasowa poza siecią produkcyjną, odebranie uprawnień osobom, które już nie pracują.

Tak ułożyłbym pracę podmiotu, który zaczyna w połowie października i ma zwykły zespół IT, bez działu bezpieczeństwa:

Dwie uwagi do tej tabeli. Budżety na 2027 r. zamykają się w większości organizacji w listopadzie i grudniu. Art. 8d pkt 2 nakazuje kierownikowi planować adekwatne środki finansowe na obowiązki z zakresu cyberbezpieczeństwa; jeśli w planie na 2027 r. nie będzie osobnej pozycji, w lutym nie będzie z czego zapłacić za test odtworzenia, szkolenie ani aneksy do umów. Dlatego budżet jest w tym planie pierwszą decyzją. Druga uwaga: ćwiczenie incydentu z zarządem w styczniu jest w planie wcześniej niż plan ciągłości, bo po jednym ćwiczeniu zarząd rozumie, po co mu plan ciągłości, a przed ćwiczeniem zwykle nie rozumie.

Podmiot, który ma SZBI według ISO/IEC 27001, przechodzi tę tabelę szybciej: inwentaryzacja i szacowanie ryzyka istnieją, trzeba je rozszerzyć o wpływ na usługę i o litery art. 8 ust. 1 pkt 2, a procedurę incydentu przepisać pod terminy i S46. Podmiot ważny będący podmiotem publicznym podstawia w miejsce art. 8 ust. 1 wymogi z załącznika nr 4, które są konkretniejsze i krótsze, i zaczyna od przeglądu, którego ten załącznik wymaga po wydaniu rekomendacji.

Co może poczekać na czas po 3 kwietnia 2027 r.?

Nie wszystko z rekomendacji musi istnieć na termin, a część nie może, bo powstaje z upływem czasu. Polityki i procedury oceny skuteczności środków (art. 8 ust. 1 pkt 2 lit. h) mają istnieć, ale dowody skuteczności to rok testów odtworzenia, dwa ćwiczenia i kilka raportów dla zarządu; one powstaną między kwietniem 2027 r. a pierwszym audytem.

Na drugi etap zostawiłbym to, co rekomendacja proponuje ponad ustawę i co wymaga zakupu albo zmiany architektury: narzędzia klasy SIEM i monitorowanie w modelu 24/7 (pkt 6.1 lit. d i f), jeśli szacowanie ryzyka je uzasadni, bo ustawa wymaga monitorowania ciągłego, a nie konkretnego produktu; szyfrowanie poczty S/MIME lub OpenPGP (pkt 3.3 lit. g); kampanie phishingowe (pkt 7 lit. c); analizę koncentracji usług u jednego dostawcy (pkt 5 lit. g) i drugą rundę ocen dostawców; macierz RACI, która w małym podmiocie bywa jedną tabelą na pół strony. Każda z tych rzeczy ma trafić do planu postępowania z ryzykiem z terminem, a nie zniknąć.

Dwie rzeczy nie powinny czekać, mimo że ich termin jest późniejszy. Podmiot kluczowy ma czas na pierwszy audyt do 3 kwietnia 2028 r., ale organ może nakazać mu audyt zewnętrzny w każdym czasie, a podmiotowi ważnemu po incydencie poważnym lub innym naruszeniu ustawy (art. 15 ust. 1b), a decyzja podlega natychmiastowemu wykonaniu (ust. 1c). I kary: to, że organ nałoży je najwcześniej po 3 kwietnia 2028 r., nie przesuwa żadnego obowiązku, a kontrola i zalecenia pokontrolne nie są obwarowane tym terminem.

Od czego zacząć w poniedziałek?

Gdybym miał jedno posiedzenie zarządu, przygotowałbym na nie protokół z czterema punktami: usługi i systemy, które wchodzą w zakres SZBI, z uzasadnieniem wyłączeń; osoba albo zespół, który dostaje zadania z art. 8 i art. 11, i umowa albo zakres obowiązków, z którego to wynika; kwota w budżecie na 2027 r.; data, do której kierownik dostanie wynik szacowania ryzyka z propozycją decyzji. Z takim protokołem, podpisanym przez kierownika, tabela z poprzedniej sekcji jest planem, który da się rozliczyć. Bez niego jest listą dobrych chęci, a tych organ nie kontroluje.

Analizę luk, od której zaczynam pracę z podmiotem, opisuję na stronie usług. Jeśli masz własny zespół, zrób ją sam: tabela obowiązków z tej strony, kolumna „mamy”, kolumna „nie mamy” i kolumna „kto i do kiedy”.

Pojęcia w tym tekście (26)

Podmiot kluczowy

Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.

Podmiot ważny

Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.

Ustawa o KSC

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.

System zarządzania bezpieczeństwem informacji

Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.

Osoba do kontaktu

Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.

Incydent

Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.

Rekomendacja Pełnomocnika

Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne.

Organ właściwy do spraw cyberbezpieczeństwa

Minister albo inny organ, któremu ustawa o KSC przypisała sektor. Nadzoruje podmioty kluczowe i ważne w tym sektorze i ustanawia dla niego CSIRT sektorowy.

System S46

System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.

Wczesne ostrzeżenie

Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.

Incydent poważny

Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.

CSIRT

Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).

Podmiot publiczny

Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.

Szacowanie ryzyka

Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.

Uwierzytelnianie wieloskładnikowe

Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.

Wirtualna sieć prywatna

Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Docelowy czas odtworzenia

Recovery time objective: czas od decyzji o uruchomieniu planu do chwili, gdy proces albo system ma znów działać, choćby w ograniczonym zakresie. Musi być krótszy niż maksymalny tolerowany okres zakłócenia.

Docelowy punkt odtworzenia

Recovery point objective: ile danych, liczonych w czasie, podmiot godzi się stracić. RPO równe dobie oznacza kopię zapasową raz dziennie; RPO równe godzinie wymaga replikacji.

Łańcuch dostaw

Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.

System SIEM

Security Information and Event Management: system, który zbiera w jednym miejscu logi z wielu systemów i urządzeń, żeby można je było analizować i wykrywać w nich ślady incydentów.

Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa

Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.

Ciągłość działania

Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.

Technologia operacyjna

Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT.

Plan awaryjny

Plan na pierwsze godziny incydentu: kto decyduje, co odłączyć, kogo powiadomić i kto liczy termin zgłoszenia do CSIRT. Ustawa o KSC wymienia go obok planu ciągłości działania i planu odtworzenia.

Plan odtworzenia działalności

Disaster recovery plan: jak odbudować systemy informacyjne po zdarzeniu, które przerosło własne siły podmiotu. W jakiej kolejności, z których kopii, na jakim sprzęcie i kto to robi.

Najczęściej zadawane pytania

Czy rekomendacja Pełnomocnika nr 2026-67a-9 jest obowiązkowa?

Nie. Art. 67a ust. 5 ustawy o KSC stanowi, że stosowanie rekomendacji Pełnomocnika jest dobrowolne, a sama rekomendacja zastrzega, że ma charakter pomocniczy i nie zastępuje obowiązków z przepisów ani oceny ryzyka podmiotu. Obowiązki są w art. 8 do 15 ustawy. Rekomendacja pokazuje, jak ministerstwo rozumie ich wykonanie, więc odstępstwo od niej warto uzasadnić w szacowaniu ryzyka. Podmiot ważny będący podmiotem publicznym dokonuje po wydaniu rekomendacji przeglądu swojego SZBI (załącznik nr 4 do ustawy o KSC, część III pkt 2).

Czy incydenty poważne trzeba zgłaszać przez S46 dopiero od 3 kwietnia 2027 r.?

Obowiązek przekazywania wczesnego ostrzeżenia, zgłoszenia i sprawozdań przez system S46 wynika z art. 11 ust. 2 ustawy o KSC. Podmioty objęte ustawą od 3 kwietnia 2026 r. realizują obowiązki z rozdziału 3, w tym art. 11, w terminie 12 miesięcy (art. 33 ust. 1 ustawy nowelizującej), czyli najpóźniej od 3 kwietnia 2027 r., i do tego dnia rozpoczynają korzystanie z systemu według harmonogramu ministra. Dawni operatorzy usług kluczowych zgłaszają według nowych zasad już od 3 października 2026 r. (art. 33 ust. 4). Przypis 6 rekomendacji opisuje koniec okresu dostosowawczego, nie początek obowiązku.

Czy kierownik podmiotu musi przejść szkolenie przed 3 kwietnia 2027 r.?

Art. 8e ustawy o KSC wymaga udokumentowanego szkolenia kierownika raz w roku kalendarzowym. Ministerstwo Cyfryzacji wyjaśnia w pytaniu 3.46 swojego FAQ, że dla podmiotów objętych ustawą 3 kwietnia 2026 r. pierwsze szkolenie musi odbyć się najpóźniej w 2027 r., a można je przeprowadzić już w 2026 r. i kolejne w 2027 r. W planie na pięć miesięcy umieszczam je w lutym, bo wtedy jest już oszacowane ryzyko i procedura incydentu, o których kierownik ma się uczyć.

Czy wystarczy jedna osoba do kontaktu, skoro rekomendacja mówi o dwóch?

Ustawa wymaga co najmniej dwóch osób odpowiedzialnych za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1 ustawy o KSC). Mikro- i mały przedsiębiorca (art. 9 ust. 2) oraz podmiot ważny będący podmiotem publicznym (art. 9 ust. 3) wyznaczają co najmniej jedną. Rekomendacja w pkt 8 lit. a zaleca dwie bez tych wyjątków, ale ustawa rozstrzyga, więc jedna osoba spełnia obowiązek w tych dwóch grupach. Z praktyki radzę dwie, bo jedna osoba bywa na urlopie, a termin 24 godzin na wczesne ostrzeżenie nie czeka. Może nią być kierownik (FAQ ministerstwa, pytanie 3.43).

Źródła

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami
2. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252
3. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa, Rekomendacja nr 2026-67a-9 z dnia 15 października 2026 r. dotycząca środków organizacyjnych i technicznych służących zwiększaniu poziomu bezpieczeństwa systemów informacyjnych podmiotów krajowego systemu cyberbezpieczeństwa (PDF)
4. Ministerstwo Cyfryzacji, omówienie rekomendacji nr 2026-67a-9 (16 października 2026 r.)
5. Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu oraz rozpoczęcia korzystania z systemu teleinformatycznego (Dz. Urz. MC 2026 poz. 7)
6. Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja z października 2026 r. (pkt 2.31, 3.1, 3.42, 3.43, 3.44, 3.46)

Stan prawny sprawdzony: 17.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).

Powiązane artykuły

• 14.10.202612 min czytania

  Szkoła w ustawie o KSC. Co musi zrobić dyrektor i jak ująć e-dziennik i Classroom w SZBI?

  Publiczna szkoła samorządowa jest podmiotem ważnym. Co z tego wynika dla dyrektora do 3 kwietnia 2027 r. i co zrobić z e-dziennikiem i platformą w chmurze.

• 23.09.20265 min czytania

  Czy moja organizacja podlega ustawie o KSC i w jakiej roli?

  Jak sprawdzić od strony podmiotu, czy jest podmiotem kluczowym, ważnym, czy żadnym z nich: załączniki, wielkość przedsiębiorstwa, wyjątki i terminy.

• 09.10.20267 min czytania

  Których dostawców wpisać do wykazu KSC jako dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa?

  Dostawcę w wykazie KSC wpisuje się tylko przy umowie na zadania z art. 8 lub art. 11. Helpdesk, serwerownia, pentest, audyt, kancelaria, spółka z grupy: kogo?