Szkoła w ustawie o KSC. Co musi zrobić dyrektor i jak ująć e-dziennik i Classroom w SZBI?

Publiczna szkoła samorządowa jest podmiotem ważnym. Co z tego wynika dla dyrektora do 3 kwietnia 2027 r. i co zrobić z e-dziennikiem i platformą w chmurze.

Autor: Paweł Rosół
Data: 14.10.2026
Czytanie: 12 min
Kategoria: Ustawa o KSC

Stan prawny sprawdzony: 14.10.2026

Spis treści

Która szkoła podlega ustawie o KSC?
Czy szkoła musi sama złożyć wniosek o wpis do wykazu?
Co szkoła musi wdrożyć do 3 kwietnia 2027 r.?
Co szkoła zgłasza, gdy dojdzie do incydentu?
Co już się wydarzyło w szkolnych e-dziennikach?
Kto odpowiada za e-dziennik, Classroom i Teams w chmurze?
Kto może wykonać te obowiązki za szkołę?
Od czego zacząłbym w szkole?

Publiczna szkoła prowadzona przez gminę, powiat albo województwo jest od 3 kwietnia 2026 r. podmiotem ważnymPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. w rozumieniu ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych., o ile jest samorządową jednostką budżetową. Do 3 kwietnia 2027 r. musi mieć system zarządzania bezpieczeństwem informacjiSystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. według uproszczonego katalogu z załącznika nr 4 do ustawy, a odpowiada za to dyrektor. Tekst publikuję 14 października, w Dzień Edukacji Narodowej.

Dziennik elektroniczny, poczta i platforma do lekcji działają dziś w chmurze dostawcy, ale konta, uprawnienia i dane uczniów wciąż należą do szkoły.

Ten tekst jest dla dyrektora szkoły, dla sekretarza gminy i dla centrum usług wspólnych (CUW), które obsługuje szkoły. Najpierw ustalam, kogo ustawa obejmuje i w jakich terminach, potem przechodzę do tego, co jest w szkole najtrudniejsze: e-dziennika, Google Classroom i Microsoft Teams, czyli systemów, których szkoła nie utrzymuje, a za które odpowiada.

Która szkoła podlega ustawie o KSC?

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) nie wymienia szkół z nazwy. Załącznik nr 2 do ustawy w sektorze podmioty publicznePodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. wymienia samorządowe jednostki budżetowe, a publiczna szkoła i publiczne przedszkole zwykle nimi są. Ministerstwo Cyfryzacji odpowiada wprost w pytaniu 1.31 swojego FAQ: publiczna szkoła podstawowa prowadzona przez gminę jest podmiotem ważnym i trafia do wykazu z urzędu, a jej wpis jest niezależny od wpisu urzędu gminy.

Szkoła prowadzona przez województwo też jest podmiotem ważnym, choć inne jednostki budżetowe województwa są podmiotami kluczowymiPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.. Załącznik nr 1 do ustawy o KSC wyłącza z tej grupy jednostki systemu oświaty z Prawa oświatowego i ich zespoły, co ministerstwo powtarza w pytaniu 1.26.

Dwa przypadki budzą najwięcej pytań. Szkoła niepubliczna, także z uprawnieniami szkoły publicznej i z dotacją, co do zasady ustawie nie podlega, bo dotacja nie czyni z niej jednostki sektora finansów publicznych (pytanie 1.32). W zespole szkół rozstrzyga status jednostki budżetowej: jeśli ma go tylko zespół, obowiązki ciążą na zespole, a jeśli szkoły wchodzące w jego skład zachowały odrębny status, ciążą na każdej z nich osobno (pytania 2.57 i 2.58).

Czy szkoła musi sama złożyć wniosek o wpis do wykazu?

Nie. Podmioty publiczne wpisuje do wykazu z urzędu minister właściwy do spraw informatyzacji, na podstawie danych z rejestrów publicznych (art. 7a ust. 2 pkt 3 ustawy o KSC). Dla szkół jednym ze źródeł jest System Informacji Oświatowej, SIO (pytanie 2.56). Szkoła dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych, na które ma 6 miesięcy od dnia doręczenia, pod rygorem kary pieniężnej (art. 7b ust. 2).

W części opracowań dla szkół pojawia się termin 3 października 2026 r. Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. wyznacza go podmiotom, które same składają wniosek, i wprost wyłącza z tego terminu podmioty ważne wpisane z urzędu. Szkoła liczy więc swój termin od doręczenia wezwania.

Wniosek o zmianę wpisu składa dyrektor, który nie musi dołączać dokumentu o powierzeniu stanowiska, albo pracownik z upoważnieniem dyrektora podpisanym podpisem elektronicznym (pytanie 2.53). Jeśli zawiadomienie trafiło do szkoły, której już nie ma, ministerstwo zaleca w pytaniu 2.56 napisać na adres podany w FAQ i dołączyć uchwałę o likwidacji, zamiast składać wniosek o wykreślenie.

Co szkoła musi wdrożyć do 3 kwietnia 2027 r.?

Podmioty, które spełniały przesłanki w dniu wejścia w życie nowelizacji, realizują obowiązki w ciągu 12 miesięcy (art. 33 ust. 1 ustawy nowelizującej), czyli do 3 kwietnia 2027 r. Szkoła jako podmiot ważny będący podmiotem publicznym nie stosuje pełnego art. 8 ust. 1 ustawy o KSC. Art. 8 ust. 3 nakazuje jej opracować, wdrożyć i utrzymywać system zarządzania bezpieczeństwem informacji (SZBI) w systemach informacyjnych, które kontroluje, według wymogów z załącznika nr 4.

Załącznik nr 4 to osiemnaście konkretnych punktów, a nie ogólne hasło o bezpieczeństwie. Da się je sprawdzić w szkole jeden po drugim.

Część I załącznika jest obowiązkowa i ma osiemnaście punktów. Obejmuje między innymi:

inwentaryzację produktów, usług i procesów ICT oraz kontrolę wersji oprogramowania;
nadawanie dostępu tylko uprawnionym, zasadę minimalnych uprawnień, bezzwłoczne cofanie uprawnień i zawieszanie ich, gdy ktoś nie wykonuje obowiązków co najmniej przez miesiąc;
zasady pracy zdalnej i mobilnej oraz kontrolę poczty elektronicznej;
kopie zapasowe odseparowane logicznie i fizycznie, z testami odtwarzania;
przygotowaną i przetestowaną procedurę na wypadek awarii lub incydentu;
oprogramowanie antywirusowe, cyberhigienę pracowników, w tym kierownika podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie., i szkolenia.

Część II wymienia środki, które SZBI „może dodatkowo obejmować”: na przykład zasady korzystania z ogólnodostępnych usług chmurowych i dużych generatywnych modeli sztucznej inteligencji albo zapisy o bezpieczeństwie w umowach serwisowych. Część III nakazuje przegląd SZBI co najmniej raz w roku albo bezzwłocznie po rekomendacji Pełnomocnika RząduRekomendacja Pełnomocnika Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne. do Spraw Cyberbezpieczeństwa lub po okolicznościach, które mogą wpłynąć na ryzyko incydentu poważnegoIncydent poważny Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.. Realizację działań szkoła dokumentuje. Przewodnik NASK i Ministerstwa Cyfryzacji z września 2026 r. omawia te trzy części osobno i dobrze nadaje się na listę kontrolną.

Poza SZBI zostają obowiązki, o których łatwo zapomnieć. Szkoła wyznacza co najmniej jedną osobę do kontaktów z innymi podmiotami (art. 9 ust. 3 ustawy o KSC) i po uzyskaniu wpisu zaczyna korzystać z systemu S46 (art. 9 ust. 1 pkt 4). Dyrektor raz w roku przechodzi udokumentowane szkolenie (art. 8e), po raz pierwszy najpóźniej w 2027 r. (pytanie 3.46). Osoba, która ma realizować zadania z art. 8 lub art. 11, przedstawia przed ich rozpoczęciem informację z Krajowego Rejestru Karnego (art. 8f ust. 1).

Audytu z art. 15 szkoła nie robi, bo ten obowiązek dotyczy podmiotów kluczowych. Nie znaczy to, że nie robi żadnego. Rozporządzenie w sprawie Krajowych Ram Interoperacyjności nadal wymaga od podmiotu realizującego zadania publiczne SZBI z audytem wewnętrznym nie rzadziej niż raz na rok (§ 19 ust. 2 pkt 14). Ministerstwo Cyfryzacji zapowiada w pytaniu 14.12, że przepisy o SZBI zostaną z rozporządzenia usunięte, ale do tego czasu obowiązują. Prowadziłbym jeden system i jedną dokumentację, w której widać, który element odpowiada na KRI, a który na załącznik nr 4.

Co szkoła zgłasza, gdy dojdzie do incydentu?

Szkoła obsługuje każdy incydent i klasyfikuje go według progów. Zgłasza tylko incydent poważny, niezwłocznie, nie później niż w ciągu 72 godzin od wykrycia (art. 11 ust. 1 pkt 4a ustawy o KSC), przez system S46 (art. 11 ust. 2). Wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi i sprawozdania końcowego podmiot ważny będący podmiotem publicznym nie przekazuje (art. 12c).

Progów dla podmiotów publicznych jeszcze nie ma. Projekt rozporządzenia z 2 września 2026 r. proponuje między innymi brak możliwości realizacji zadania publicznego powyżej 8 godzin, naruszenie danych co najmniej 10 % użytkowników systemu i zaszyfrowanie danych połączone z żądaniem okupu. Projekt może się zmienić; jak klasyfikować incydent do tego czasu, opisałem w artykule Incydent poważny w praktyce.

Włamanie do e-dziennika jest prawie zawsze także naruszeniem ochrony danych osobowych uczniów i rodziców, które szkoła jako administrator zgłasza Prezesowi UODO na podstawie RODO. To dwa różne zgłoszenia z różnymi kryteriami i nie zastępują się nawzajem.

Co już się wydarzyło w szkolnych e-dziennikach?

W styczniu 2026 r. media opisały serię przejęć kont nauczycieli. W Zespole Szkół Ekonomiczno-Gastronomicznych w Otwocku ktoś zalogował się do Librusa na konto nauczyciela i zmienił oceny. Szkoła podała, że naruszenie objęło imiona i nazwiska uczniów oraz ich rodziców, wyniki w nauce, frekwencję i dane kontaktowe, i zgłosiła sprawę Prezesowi UODO oraz policji.

W szkole na Dolnym Śląsku, korzystającej z dziennika Vulcan, z konta nauczycielki przebywającej na urlopie macierzyńskim wysłano rodzicom prośbę o „35 zł na podany numer telefonu” na wycieczkę do kina.

Prezes Librusa Marcin Kempka napisał w liście otwartym do minister edukacji, że w Otwocku „nie doszło do przełamania zabezpieczeń systemu, lecz do przejęcia konta nauczyciela”, i podał, że z uwierzytelniania dwuskładnikowego korzysta tylko 18,63 proc. nauczycieli używających Librusa. Firma wyjaśniała, że loginy i hasła pochodziły między innymi z upublicznionych baz z wycieków, a dyrektor i administrator mogą włączyć 2FA obowiązkowo dla wszystkich pracowników szkoły. Minister Barbara Nowacka odpowiedziała, że Librus ma wszystkie narzędzia, by wprowadzić obowiązkowe 2FA bez czekania na przepisy.

Obie strony mówiły więc to samo: zabezpieczenie było dostępne, a na większości kont nie działało. Dopóki dostawca sam go nie wymusza, decyzja należy do szkoły.

Opisane przez Librusa włamania nie wymagały żadnej podatności w systemie. Wystarczyło hasło nauczyciela z wycieku i konto bez drugiego składnika.

Tło jest szersze. W sprawozdaniu za 2025 r. UODO wymienia wśród najczęściej zgłaszanych incydentów w szkołach „nieuprawniony dostęp do kont nauczycielskich w dziennikach elektronicznych”, kradzież haseł do dzienników i ataki ransomware na serwery szkolne. Jako przyczyny wskazuje brak procedur, słabe przeszkolenie, prywatne skrzynki pocztowe używane służbowo i „niski poziom wdrażania podstawowych zabezpieczeń, takich jak dwuskładnikowa weryfikacja tożsamości czy szyfrowanie danych”.

Na prezentacji pracownika Departamentu Kontroli i Naruszeń UODO z 2025 r. jest przypadek, który dobrze pokazuje rolę dostawcy: „Podmiot przetwarzający nie poinformował szkoły, że dwóm byłym pracownikom trzeba odebrać dane do logowania”.

Według raportu CERT Polska za 2024 r. CSIRT NASK obsłużył 579 incydentów w sektorze oświaty i wychowania. Spośród 25 incydentów ransomware zgłoszonych przez podmioty publiczne dziewięć dotyczyło oświaty i szkolnictwa wyższego.

Kto odpowiada za e-dziennik, Classroom i Teams w chmurze?

Według oceny skutków regulacji, którą Ministerstwo Edukacji Narodowej (MEN) przygotowało w lipcu 2026 r., dziennik elektroniczny prowadzi 97,06 % publicznych szkół podstawowych i ponadpodstawowych, które podały tę informację w SIO, a rynek jest „w pełni komercyjny (z wyraźną dominacją dwóch podmiotów)”. Ten sam dokument przypomina, że wybór dostawcy jest decyzją szkoły. Ustawę o państwowym e-Dzienniku z 31 lipca 2026 r. prezydent zawetował, a Prezes UODO w stanowisku z 1 września 2026 r. pisze, że obecne rozwiązania komercyjne „często nie zapewniają odpowiedniej ochrony danym”.

Google Workspace for Education z Classroom i Microsoft 365 z Teams weszły do wielu szkół w czasie nauki zdalnej. Oficjalnych danych o skali nie znalazłem. W 2020 r. wdrażałem G Suite w szkołach posiadających powyżej tysiąca użytkowników i opisałem to w tekście G Suite dla szkół; część o ochronie danych osobowych zostaje tam, tu zajmuję się ustawą o KSC.

Ustawa nie zwalnia szkoły z niczego dlatego, że system działa u dostawcy. SZBI obejmuje systemy kontrolowane przez szkołę (art. 8 ust. 3 ustawy o KSC), a w usłudze chmurowej szkoła kontroluje więcej, niż się wydaje: konta nauczycieli i uczniów, role administratorów, ustawienia logowania, udostępnianie plików i to, kto zostaje w systemie po odejściu ze szkoły. Infrastruktura i kod aplikacji są po stronie dostawcy, i ten podział trzeba opisać.

Załącznik nr 4 przewiduje tę sytuację wprost. W pkt I.3 lit. c nakazuje „udokumentowanie mechanizmów zapewnienia ochrony przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami w przypadku korzystania z usług dostawcy chmury obliczeniowej lub dostawcy usługi centrum przetwarzania danych”. W praktyce oznacza to teczkę dla każdej usługi: umowę i regulamin, opis zabezpieczeń dostawcy, jego certyfikaty i to, co szkoła ustawiła po swojej stronie.

Nie trzeba przy tym rozstrzygać, czy dostawca e-dziennika jest formalnie dostawcą chmury obliczeniowej w rozumieniu ustawy. Ministerstwo zauważa w pytaniu 1.43, że nie każda aplikacja webowa jest usługą chmurową. Dla dokumentacji szkoły to bez znaczenia: system i tak przetwarza informacje szkoły i musi znaleźć się w inwentaryzacji z pkt I.1.

Kilka punktów załącznika przekłada się w chmurze na konkretne ustawienia:

pkt I.4 i I.5, dostęp tylko dla uprawnionych i minimalne uprawnienia: nauczyciel widzi swoje klasy, a uprawnienia administratora e-dziennika mają dwie, trzy osoby, a nie wszyscy wychowawcy;
pkt I.6, cofanie i zawieszanie uprawnień: czytam go tak, że konto nauczyciela, który od miesiąca nie pracuje, bo jest na urlopie macierzyńskim albo długim zwolnieniu, zostaje zawieszone, a konto osoby, która odeszła, zablokowane w dniu odejścia; przypadek z Dolnego Śląska pokazuje, po co;
pkt I.8 i I.9, praca zdalna i poczta: nauczyciele logują się do dziennika z domu i z prywatnych telefonów, więc zasady muszą to obejmować, a UODO uważa za pożądane służbowe skrzynki nauczycieli zamiast prywatnych;
pkt I.10 i I.11, kopie zapasowe: trzeba ustalić, czy dostawca robi kopie, jak szybko je odtwarza i czy szkoła ma własny eksport danych, który da się otworzyć bez dostępu do usługi.

Załącznik nie wymienia uwierzytelniania wieloskładnikowego z nazwy. Pkt I.4 wymaga jednak „środków uniemożliwiających nieautoryzowany dostęp” do systemów, a przy hasłach krążących w bazach z wycieków nie znam innego środka, który to zapewnia. Włączyłbym 2FA dla wszystkich pracowników szkoły jako pierwszą decyzję po lekturze tego tekstu.

Dla kont uczniów w Classroom czy Teams zasady ustala szkoła. Część II załącznika pozwala dopisać do SZBI zasady korzystania z ogólnodostępnych usług chmurowych i z generatywnej sztucznej inteligencji (pkt II.4). To nieobowiązkowe, ale nauczyciel, który wkleja do czatu opinię o uczniu, robi coś, czego szkoła nie widzi. Szerzej pisałem o tym w tekście o Shadow AI.

Jest jeszcze art. 8 ust. 4 ustawy o KSC. Podmiot publiczny uwzględnia w SZBI system informacyjny dostarczany przez inny podmiot publiczny, w zakresie odpowiadającym jego kompetencjom. Dla szkoły takim systemem jest choćby SIO. Szkoła nie zabezpiecza go za ministerstwo, ale odpowiada za swoje konta w nim i za stanowiska, z których się loguje.

Kto może wykonać te obowiązki za szkołę?

Dyrektor nie musi robić tego sam. Art. 16e ust. 5 ustawy o KSC pozwala jednostce samorządu terytorialnego zapewnić wspólną obsługę realizacji obowiązków z art. 8, art. 9 do 12b i innych, przez jednostkę obsługującą, w praktyce często CUW. Art. 16e ust. 6 pozwala kilku samorządom zawrzeć w tej sprawie porozumienie. Ministerstwo wskazuje taką możliwość właśnie dla szkół i przedszkoli w pytaniu 1.16.

Kierownikiem podmiotu zostaje jednak dyrektor (pytanie 4.5), a kierownik odpowiada za obowiązki także wtedy, gdy powierzył je innej osobie za jej zgodą (art. 8c ust. 3). Ministerstwo pisze w pytaniu 4.6, że jednostka wyznaczona na podstawie art. 16e przejmuje realizację zadań w swoim zakresie, a podmiot musi z nią współpracować. Nie mam pewnej odpowiedzi, jak organ rozłoży odpowiedzialność między dyrektora a CUW, gdy coś pójdzie źle. Dlatego zapisałbym w uchwale albo porozumieniu, które zadania przejmuje CUW, a które zostają w szkole, i trzymałbym kopię w dokumentacji SZBI szkoły.

Kary przyjdą później. Za brak SZBI z art. 8 ust. 3 karze podlega sama szkoła (art. 73 ust. 1c), a dyrektor osobiście do 100 % wynagrodzenia liczonego jak ekwiwalent za urlop (art. 73a ust. 5). Kary mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy nowelizującej), która weszła w życie 3 kwietnia 2026 r. Jeśli spotkasz w opracowaniach datę 1 stycznia 2028 r., ustawa jej nie podaje.

Od czego zacząłbym w szkole?

Gdyby dyrektor poprosił mnie o pierwszy miesiąc pracy, zrobiłbym to w tej kolejności:

Sprawdzić w aplikacji Wykaz KSC, czy szkoła jest wpisana i czy przyszło wezwanie do uzupełnienia danych, a jeśli przyszło, policzyć sześć miesięcy od doręczenia.
Ustalić z gminą lub CUW na piśmie, co robią za szkołę, a co zostaje dyrektorowi.
Spisać wszystkie usługi chmurowe szkoły: e-dziennik, pocztę, Classroom albo Teams, stronę internetową, sekretariat, i dla każdej wskazać administratora po stronie szkoły.
Włączyć obowiązkowe 2FA w e-dzienniku dla wszystkich pracowników i przejrzeć listę kont: odejścia, urlopy, konta zastępców.
Zebrać dla każdej usługi dokumenty, których wymaga pkt I.3 lit. c załącznika nr 4, i sprawdzić, czy szkoła ma własny eksport danych z dziennika.
Napisać jednostronicową procedurę na incydent: kto blokuje konto, kto dzwoni do dostawcy, kto ocenia, czy to incydent poważny do zgłoszenia w 72 godziny, i kto zgłasza naruszenie do UODO.

Pojęcia w tym tekście (19)

Podmiot ważny: Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
Podmiot publiczny: Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.
Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
Rekomendacja Pełnomocnika: Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne.
Incydent poważny: Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.
System S46: System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.
Krajowe Ramy Interoperacyjności: Rozporządzenie Rady Ministrów z 2024 r., które między innymi nakazuje podmiotom realizującym zadania publiczne prowadzić system zarządzania bezpieczeństwem informacji.
Wczesne ostrzeżenie: Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.
Urząd Ochrony Danych Osobowych: Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.
RODO: Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.
Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Ransomware: Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
CERT Polska: Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
CSIRT: Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).
Uwierzytelnianie wieloskładnikowe: Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.

Najczęściej zadawane pytania

Czy publiczna szkoła podstawowa podlega ustawie o KSC?

Tak, jeśli jest samorządową jednostką budżetową. Załącznik nr 2 do ustawy o KSC wymienia w sektorze podmioty publiczne samorządowe jednostki budżetowe, a Ministerstwo Cyfryzacji potwierdza w pytaniu 1.31 swojego FAQ, że publiczna szkoła podstawowa prowadzona przez gminę jest podmiotem ważnym i trafia do wykazu z urzędu, niezależnie od wpisu urzędu gminy. Szkoły niepubliczne, także dotowane, co do zasady ustawie nie podlegają (pytanie 1.32). W zespole szkół decyduje to, która jednostka ma status jednostki budżetowej (pytanie 2.58).

Do kiedy szkoła musi wdrożyć wymagania ustawy o KSC?

Do 3 kwietnia 2027 r., bo podmioty, które spełniały przesłanki 3 kwietnia 2026 r., realizują obowiązki w ciągu 12 miesięcy od wejścia w życie nowelizacji (art. 33 ust. 1 ustawy nowelizującej). Szkoła wdraża system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy o KSC (art. 8 ust. 3). Szkoła wpisana z urzędu nie składa wniosku do 3 października 2026 r.; uzupełnia dane w ciągu 6 miesięcy od doręczenia wezwania (art. 7b ust. 2). Kary pieniężne mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy nowelizującej).

Czy szkoła odpowiada za bezpieczeństwo e-dziennika, skoro działa on w chmurze dostawcy?

Za infrastrukturę odpowiada dostawca, ale konta, uprawnienia, ustawienia logowania i to, kto ma dostęp do danych, zostają po stronie szkoły. Załącznik nr 4 do ustawy o KSC nakazuje szkole udokumentować mechanizmy ochrony informacji, gdy korzysta z usług dostawcy chmury obliczeniowej (pkt I.3 lit. c), a także nadawać i bezzwłocznie cofać uprawnienia (pkt I.4 do I.7). Odpowiedzialność za obowiązki z ustawy ponosi dyrektor jako kierownik podmiotu (art. 8c ust. 1 ustawy o KSC).

Źródła

Stan prawny sprawdzony: 14.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).