FAQ

Z art. 5 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.. Podmiotem kluczowymPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. jest między innymi podmiot z załącznika nr 1, który przewyższa wymogi dla średniego przedsiębiorstwa z rozporządzenia 651/2014, oraz podmioty z art. 5 ust. 1 pkt 4 ustawy o KSC niezależnie od wielkości. Podmiotem ważnymPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. jest podmiot z załącznika nr 1, który spełnia wymogi dla średniego przedsiębiorcy i nie jest podmiotem kluczowym, a także podmioty z załącznika nr 2 na zasadach z art. 5 ust. 2. Decydują więc sektor i wielkość, a czasem sam rodzaj podmiotu.

Więcej: Czy moja organizacja podlega ustawie o KSC i w jakiej roli?

Art. 2 ust. 1 załącznika I do rozporządzenia 651/2014 zalicza do MŚP przedsiębiorstwa, które zatrudniają mniej niż 250 pracowników i których roczny obrót nie przekracza 50 milionów EUR lub roczna suma bilansowa nie przekracza 43 milionów EUR. Kto zatrudnia 250 osób lub więcej albo przekracza oba progi finansowe, jest dużym przedsiębiorstwem. Duże przedsiębiorstwo z sektora z załącznika nr 1 jest podmiotem kluczowym (art. 5 ust. 1 pkt 1 ustawy o KSC).

Może, jeśli należy do rodzajów podmiotów, które art. 5 ust. 1 pkt 4 ustawy o KSC wskazuje niezależnie od wielkości, na przykład jest podmiotem krytycznym, podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. z załącznika nr 1 w sektorze podmioty publiczne albo podmiotem wskazanym w załączniku nr 1 z nazwy lub przez określenie rodzaju, który nie jest przedsiębiorcą. Wielkość rozstrzyga dopiero wtedy, gdy podmiot nie mieści się w żadnym z tych wyjątków.

Tak, jeśli jest samorządową jednostką budżetową. Załącznik nr 2 do ustawy o KSC wymienia w sektorze podmioty publiczne samorządowe jednostki budżetowe, a Ministerstwo Cyfryzacji potwierdza w pytaniu 1.31 swojego FAQ, że publiczna szkoła podstawowa prowadzona przez gminę jest podmiotem ważnym i trafia do wykazu z urzędu, niezależnie od wpisu urzędu gminy. Szkoły niepubliczne, także dotowane, co do zasady ustawie nie podlegają (pytanie 1.32).

Więcej: Szkoła w ustawie o KSC. Co musi zrobić dyrektor i jak ująć e-dziennik i Classroom w SZBI?

Nie. Ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nie zna takiej funkcji, a Ministerstwo Cyfryzacji potwierdza w pytaniu 3.44 swojego FAQ, że nie ma obowiązku powołania pełnomocnika ds. SZBISystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.. Art. 8d pkt 3 nakazuje kierownikowi podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. przydzielić zadania z zakresu cyberbezpieczeństwa i nadzorować ich wykonanie, a art. 14 wymaga, by podmiot realizował zadania z art. 8 i art. 9 do 13 przez wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo na podstawie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Pełnomocnik to przyjęta w praktyce nazwa osoby, która te zadania koordynuje.

Więcej: Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?

Kierownik podmiotu. Art. 8c ust. 1 ustawy o KSC przypisuje mu odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, a ust. 3 przesądza, że odpowiada także wtedy, gdy obowiązki powierzono innej osobie za jej zgodą. Powierzyć można więc wykonanie zadań, odpowiedzialności już nie. Art. 8d wymienia, co kierownik robi sam, między innymi podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji i planuje na to środki finansowe.

Więcej: Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?

Tak. Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie z obowiązków wymienionych w art. 8e ust. 2 ustawy o KSC, a udział w szkoleniu jest udokumentowany (art. 8e ust. 1 i 3). Według Ministerstwa Cyfryzacji (pytanie 3.46) podmioty objęte ustawą 3 kwietnia 2026 r. przeprowadzają pierwsze szkolenie najpóźniej w 2027 r.

Co najmniej dwie (art. 9 ust. 1 pkt 1 ustawy o KSC). Mikro- i mały przedsiębiorca (art. 9 ust. 2) oraz podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będący podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. (art. 9 ust. 3) wyznaczają co najmniej jedną. Według Ministerstwa Cyfryzacji osobą do kontaktuOsoba do kontaktu Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie. może być każdy, kto jest związany z podmiotem umową o pracę lub innym stosunkiem zatrudnienia, bez wymogu wykształcenia (pytanie 3.18), także sam kierownik podmiotu (pytanie 3.43). Nawet tam, gdzie wystarczy jedna osoba, radzę wyznaczyć dwie, bo termin 24 godzin na wczesne ostrzeżenie nie czeka, aż ktoś wróci z urlopu.

Więcej: Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?

Tak. Art. 8f ust. 1 ustawy o KSC wymaga, by osoba, która ma realizować zadania z art. 8 lub art. 11, przed ich rozpoczęciem przedstawiła podmiotowi informację z KRK o niekaralności za przestępstwa przeciwko ochronie informacji. Kierownik dopuszcza ją do zadań dopiero po otrzymaniu tej informacji. Ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej zastępuje ten wymóg (art. 8f ust. 3). Według Ministerstwa Cyfryzacji (pytanie 3.48) przepis obejmuje pracowników podmiotu i osoby na umowach cywilnoprawnych zawartych bezpośrednio z podmiotem; personel wykonawców i podwykonawców sprawdza się w ramach łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem. i umowy.

Które zadania z art. 8 i art. 9 do 13 ustawy o KSC wykonawca realizuje, a które zostają w podmiocie, jak przygotowuje decyzje dla kierownika, na jakich zasadach dostaje dostęp do systemów i informacji, w jakim czasie reaguje na incydent. Do tego obowiązek z art. 8f (informacja z KRK) i zastrzeżenie, że wykonawca nie przeprowadzi w tym podmiocie audytu z art. 15.

Więcej: Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?

Nie w podmiocie, w którym realizuje zadania z art. 8 oraz art. 9 do 13, ani przez rok po ich zakończeniu (art. 15 ust. 2a ustawy o KSC). Audyt przeprowadza jednostka oceniająca zgodność, co najmniej dwóch audytorów o kwalifikacjach z art. 15 ust. 2 pkt 2 albo CSIRT sektorowyCSIRT sektorowy Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.. Podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. wykonuje audyt na własny koszt co najmniej raz na 3 lata (art. 15 ust. 1).

Może, jeśli nie prowadzi to do konfliktu interesów, którego zakazuje art. 38 ust. 6 RODORODO Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.. Konflikt powstaje, gdy ta sama osoba dobiera zabezpieczenia, a potem jako IODInspektor ochrony danych Osoba wyznaczona przez administratora lub podmiot przetwarzający do zadań z RODO. Tutaj pojawia się przy incydentach z danymi osobowymi i przy łączeniu tej funkcji z rolą pełnomocnika. ocenia ich adekwatność. W praktyce oznacza to odrębne umowy, brak uprawnień decyzyjnych i wykonawczych, ocenę skuteczności środków wykonywaną przez kogoś innego oraz udokumentowaną ocenę konfliktu zatwierdzoną przez kierownictwo.

Nowelizacja z 23 stycznia 2026 r. weszła w życie 3 kwietnia 2026 r. Podmioty, które tego dnia spełniały przesłanki, realizują obowiązki z rozdziału 3 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. w terminie 12 miesięcy od wejścia w życie (art. 33 ust. 1 ustawy nowelizującej), czyli do 3 kwietnia 2027 r., a podmioty kluczowePodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. przeprowadzają pierwszy audyt w terminie 24 miesięcy (art. 33 ust. 2). Wniosek o wpis do wykazu składa się według harmonogramu ogłoszonego przez ministra właściwego do spraw informatyzacji (art. 33 ust. 3 i art. 34 ust. 3); dla tych podmiotów termin upływa 3 października 2026 r.

Więcej: Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?

Art. 73 ust. 1 ustawy o KSC wymienia naruszenia, za które podmiot podlega karze pieniężnej, między innymi brak szacowania ryzykaSzacowanie ryzyka Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”., niewdrożony SZBISystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów., niezgłoszony incydent i audyt nieprzeprowadzony w terminie. Podmiotowi kluczowemu grozi kara do 10 000 000 euro lub 2 % przychodów z roku obrotowego poprzedzającego wymierzenie kary, przy czym stosuje się kwotę wyższą, nie mniej niż 20 000 zł (art. 73 ust. 3). Podmiotowi ważnemuPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. do 7 000 000 euro lub 1,4 % przychodów, nie mniej niż 15 000 zł (art. 73 ust. 4). Za spóźniony wniosek o wpis do wykazu i za niewykonanie obowiązków z art. 9, w tym niewyznaczenie osób do kontaktu, organ może nałożyć karę, jeśli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a). Kary można nakładać dopiero po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy nowelizującej).

Kara pieniężna do 300 % wynagrodzenia, a w podmiocie publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. do 100 % wynagrodzenia, obliczanego według zasad ustalania ekwiwalentu za urlop (art. 73a ust. 4 i 5 ustawy o KSC). Art. 73a ust. 1 wymienia zaniechania, za które można ją nałożyć, w tym niewykonanie obowiązków z art. 8, 8d, 8e, 8f, 11 i 15. Zgodnie z art. 35 ustawy nowelizującej z 23 stycznia 2026 r. kary mogą być po raz pierwszy nałożone po upływie 2 lat od jej wejścia w życie.

Podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważny składa wniosek w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.). Kto spełniał je już 3 kwietnia 2026 r., miał według harmonogramu Ministra Cyfryzacji czas do 3 października 2026 r. Brak zawiadomienia niczego nie zmienia: z urzędu ministerstwo wpisało tylko część podmiotów, między innymi dawnych operatorów usług kluczowych i podmioty publicznePodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy., a pozostałe składają wniosek same, w aplikacji Wykaz KSC w systemie S46. Jeśli podmiot nie złoży wniosku w terminie, organ właściwy do spraw cyberbezpieczeństwa może wpisać go z urzędu i wezwać do uzupełnienia danych w 6 miesięcy pod rygorem kary pieniężnej (art. 7j ust. 1 i 3 ustawy o KSC). Za samo spóźnienie organ może nałożyć karę, jeśli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a pkt 1 ustawy o KSC), ale dopiero po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy nowelizującej). Późniejszy wpis nie odsuwa terminu na wdrożenie obowiązków: według Ministerstwa Cyfryzacji liczy się on od spełnienia przesłanek, a nie od wpisu.

Nie w aplikacji Wykaz KSC. Ministerstwo Cyfryzacji wyjaśnia w pytaniu 2.55 swojego FAQ, że wniosek wypełnia osoba przypisana do niego jako właściciel i ta sama osoba musi go podpisać; niezgodność aplikacja oznacza statusem „Błąd podpisu”. Ustawa dopuszcza podpis kierownika podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. albo osoby przez niego upoważnionej (art. 7c ust. 6 ustawy o KSC), więc pracownik może wypełnić i podpisać wniosek, jeśli ma elektroniczne pełnomocnictwo dołączone do wniosku (art. 7c ust. 7). Odpowiedzialność za wniosek zostaje przy kierowniku (pytanie 2.66).

Więcej: Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?

Bez osobnego wniosku. Po zatwierdzeniu wpisu system tworzy przestrzeń podmiotuPrzestrzeń podmiotu w S46 Konto podmiotu kluczowego lub ważnego w S46 Cyber Hub, w którym pracują wszyscy jego użytkownicy. Powstaje automatycznie po wpisie do wykazu, a jej dane pochodzą z wpisu., a administratorzy wskazani w sekcji F wniosku dostają na podany adres e-mail wiadomość z linkiem ważnym 7 dni. Pierwsze logowanie przez Węzeł Krajowy aktywuje dostęp. Ustawa nakazuje rozpocząć korzystanie z systemu po uzyskaniu wpisu (art. 9 ust. 1 pkt 4 ustawy o KSC), najpóźniej w terminie 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4); dla podmiotów objętych ustawą 3 kwietnia 2026 r. harmonogram ministra wyznacza okres od 12 czerwca 2026 r. do 3 kwietnia 2027 r.

Więcej: Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?

Tylko wtedy, gdy podmiot zawarł z zewnętrzną firmą umowę na realizację zadań z art. 8 albo art. 11 ustawy o KSC (art. 7 ust. 2 pkt 16). Kto wykonuje te zadania własnymi siłami, zostawia pole puste (FAQ Ministerstwa Cyfryzacji, pytanie 2.51). Sam helpdesk to według ministerstwa usługa zarządzana, a nie usługa zarządzana w zakresie cyberbezpieczeństwa (pytanie 1.34), więc do wykazu nie trafia. Trafia ta sama firma, jeśli ma w umowie na przykład monitorowanie, zarządzanie podatnościamiPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. albo obsługę incydentów.

Więcej: Których dostawców wpisać do wykazu KSC jako dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa?

W ciągu 14 dni od dnia zmiany. Art. 7c ust. 3 ustawy o KSC nakazuje złożyć wniosek o zmianę wpisu w zakresie danych z art. 7 ust. 2 pkt 1 do 18, a więc także wtedy, gdy zmieni się dostawca usług zarządzanych w zakresie cyberbezpieczeństwaDostawca usług zarządzanych w zakresie cyberbezpieczeństwa Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.. Wniosek składa się w systemie S46System S46 System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu. (art. 7c ust. 6).

Podaje obszary, a nie gotowy zestaw. Art. 8 ust. 1 pkt 2 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. wymaga środków technicznych i organizacyjnych odpowiednich i proporcjonalnych do oszacowanego ryzyka, z uwzględnieniem między innymi kosztów wdrożenia, wielkości podmiotu i prawdopodobieństwa incydentów, a potem wymienia obszary, które te środki mają objąć. Ministerstwo Cyfryzacji pisze w pytaniu 3.42 swojego FAQ, że ustawa jest neutralna technologicznie i żadna klasa systemów, na przykład SIEMSystem SIEM Security Information and Event Management: system, który zbiera w jednym miejscu logi z wielu systemów i urządzeń, żeby można je było analizować i wykrywać w nich ślady incydentów. czy SOCCentrum operacji bezpieczeństwa Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent., nie jest obowiązkowa. Konkretne zabezpieczenia wynikają z szacowania ryzyka.

Więcej: Skąd zarząd ma wiedzieć, że jego firma ma odpowiednie zabezpieczenia?

Nie. Ustawa o KSC nie wskazuje normy, według której buduje się SZBISystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów., i nie przewiduje domniemania zgodności dla certyfikatu. Art. 8 ust. 1 wymaga systemu obejmującego system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi i zapewniającego środki wymienione w tym przepisie. Certyfikat pokazuje zgodność z normą w zakresie, który wybrała organizacja. Poza normą zostają też obowiązki czysto ustawowe, na przykład zgłaszanie incydentu poważnegoIncydent poważny Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego. w terminach z art. 11 ust. 1 i coroczne szkolenie kierownika z art. 8e. Certyfikat to dobry punkt wyjścia do analizy luk.

Więcej: SZBI według ustawy o KSC i NIS2. Co zmienić w systemie, który firma już ma?

Nie automatycznie. Art. 15 ust. 1 ustawy o KSC dotyczy bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, a art. 15 ust. 2 określa, kto może go przeprowadzić. Audyt certyfikacyjny ocenia zgodność z normą w zakresie certyfikatu. Oba da się zaplanować razem, ale raport z audytu z art. 15 musi odpowiadać na wymagania ustawy, a audytorem nie może być osoba, która w podmiocie realizuje zadania z art. 8 lub art. 9 do 13 (art. 15 ust. 2a).

Podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będący podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. nie stosuje art. 8 ust. 1, tylko wdraża system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy o KSC (art. 8 ust. 3). Załącznik wymaga między innymi kopii zapasowych odseparowanych logicznie i fizycznie, testowania odtworzenia danych z tych kopii oraz przygotowania i testowania procedury na wypadek awarii lub incydentu. Podmiot publiczny będący podmiotem kluczowymPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. stosuje art. 8 ust. 1 w pełni.

Tak. Art. 8 ust. 1 pkt 2 lit. f ustawy o KSC wymienia wśród środków technicznych i organizacyjnych wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działaniaCiągłość działania Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane., planów awaryjnychPlan awaryjny Plan na pierwsze godziny incydentu: kto decyduje, co odłączyć, kogo powiadomić i kto liczy termin zgłoszenia do CSIRT. Ustawa o KSC wymienia go obok planu ciągłości działania i planu odtworzenia. oraz planów odtworzenia działalnościPlan odtworzenia działalności Disaster recovery plan: jak odbudować systemy informacyjne po zdarzeniu, które przerosło własne siły podmiotu. W jakiej kolejności, z których kopii, na jakim sprzęcie i kto to robi.. Ustawa nie mówi, co plan ma zawierać ani jak często go testować. Sam przyjmuję co najmniej jedno ćwiczenie i jeden test odtworzenia każdego krytycznego systemu w roku.

Więcej: Plan ciągłości działania: z czego się składa i jak sprawdzić, że działa?

Wymienia je w art. 8 ust. 1 pkt 2 lit. l, przy bezpiecznych środkach komunikacji elektronicznej, z zastrzeżeniem „w stosownych przypadkach”. Gdzie jest stosowne, rozstrzyga szacowanie ryzykaSzacowanie ryzyka Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”. z art. 8 ust. 1 pkt 1. Ministerstwo Cyfryzacji w odpowiedziach do ustawy zachęca do stosowania uwierzytelniania wieloskładnikowegoUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa. tam, gdzie jest to możliwe.

Więcej: Duński rejestr CPR wyciekł przez konto dwuosobowej firmy. Co sprawdzić u siebie według ustawy o KSC?

Tak, jeśli biorą udział w świadczeniu usługi podmiotu kluczowego lub ważnego. Art. 2 pkt 14 lit. b ustawy o KSC obejmuje definicją systemu informacyjnego urządzenie lub grupę połączonych urządzeń i oprogramowania zaprogramowanych w celu przetwarzania danych, a art. 8 ust. 1 wymaga SZBI w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. SterownikSterownik PLC Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem. pompy w wodociągu, sterownik chłodni w zakładzie spożywczym i centrala wentylacyjna w szpitalu spełniają tę definicję.

Więcej: Systemy OT w firmie. Skąd bierze się ryzyko i co pełnomocnik ds. cyberbezpieczeństwa ma powiedzieć zarządowi?

Nie. Ustawa o KSC nie wymienia żadnego narzędzia ani technologii. Art. 8 ust. 1 wymaga systematycznego szacowania ryzyka wystąpienia incydentu i środków proporcjonalnych do tego ryzyka, w tym zarządzania aktywami (pkt 2 lit. m), polityk kontroli dostępu (pkt 2 lit. n) i bezpieczeństwa łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem. (pkt 2 lit. e). Zewnętrzna usługa AI, do której trafiają informacje podmiotu, podlega tym samym wymaganiom co każda inna usługa ICT.

Więcej: Shadow AI w podmiocie kluczowym i ważnym. Jak ująć ChatGPT w SZBI, zamiast go zakazywać?

Wczesne ostrzeżenieWczesne ostrzeżenie Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin. do właściwego CSIRT sektorowegoCSIRT sektorowy Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny. niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia (art. 11 ust. 1 pkt 4 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.), zgłoszenie incydentu w ciągu 72 godzin (pkt 4a), sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (pkt 4c). Wszystko przez system teleinformatyczny z art. 46 ust. 1, czyli S46 (art. 11 ust. 2).

Więcej: Incydent poważny w praktyce: kto decyduje, co zgłosić i jak zdążyć w 24 godziny?

Sam podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważny. Art. 11 ust. 1 pkt 3 ustawy o KSC nakazuje mu klasyfikować incydent jako poważny na podstawie progów uznawania incydentu za poważny, a definicja z art. 2 pkt 7 obejmuje także incydent, który „może spowodować” poważne obniżenie jakości lub przerwanie usługi. Ustawa nie mówi, kto w podmiocie podejmuje tę decyzję, więc trzeba to zapisać w procedurze. Za wykonanie obowiązków z art. 11 odpowiada kierownik podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. (art. 8c ust. 1), także wtedy, gdy powierzył je komuś innemu (art. 8c ust. 3).

Więcej: Incydent poważny w praktyce: kto decyduje, co zgłosić i jak zdążyć w 24 godziny?

Od wykrycia incydentu poważnegoIncydent poważny Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego. (art. 11 ust. 1 pkt 4 ustawy o KSC). Według Ministerstwa Cyfryzacji wykrycie to chwila, w której podmiot uzyskał informację o zdarzeniu kwalifikującym się jako incydent, także od dostawcy usługi. Zegar nie czeka na koniec analizy ani na decyzję zarządu. Wczesne ostrzeżenie z art. 12 ust. 1 wymaga tylko danych podmiotu, osób do kontaktuOsoba do kontaktu Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie., czasu wystąpienia i wykrycia oraz wstępnej oceny, czy incydent był działaniem bezprawnym i czy dotyczy innych państw UE.

Nie. Podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będący podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. nie przekazuje wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi ani sprawozdania końcowego (art. 12c ustawy o KSC). Zgłasza incydent poważny w ciągu 72 godzin od wykrycia (art. 11 ust. 1 pkt 4a). Pozostałe obowiązki z art. 11, w tym obsługa incydentu, klasyfikacja według progów i współdziałanie z CSIRTCSIRT Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB)., dotyczą go w pełni. Podmiot kluczowy, także publiczny, zgłasza wszystko.

Nie. Zapisane zgłoszenie ma status „Nowy” i widzą je tylko użytkownicy twojego podmiotu. Do CSIRT trafia dopiero po kliknięciu „Wyślij zgłoszenie” i potwierdzeniu adresatów; wtedy system wpisuje datę wysłania w polu „Zgłoszono”. Termin z art. 11 ust. 1 pkt 4 ustawy o KSC dotyczy zgłoszenia do właściwego CSIRT sektorowego, więc liczy się chwila wysłania, nie zapisu.

Więcej: Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?

Obowiązek przekazywania wczesnego ostrzeżenia, zgłoszenia i sprawozdań przez system S46System S46 System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu. wynika z art. 11 ust. 2 ustawy o KSC. Podmioty objęte ustawą od 3 kwietnia 2026 r. realizują obowiązki z rozdziału 3, w tym art. 11, w terminie 12 miesięcy (art. 33 ust. 1 ustawy nowelizującej), czyli najpóźniej od 3 kwietnia 2027 r., i do tego dnia zaczynają korzystać z systemu według harmonogramu ministra. Dawni operatorzy usług kluczowych zgłaszają według nowych zasad już od 3 października 2026 r. (art. 33 ust. 4).

Więcej: Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?

Nie z tego powodu, że jest dostawcą. Ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nakłada obowiązki na podmioty kluczowePodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. i ważne, a dostawca podlega jej tylko wtedy, gdy sam spełnia przesłanki z art. 5, na przykład jako dostawca usług zarządzanych z załącznika nr 1. Art. 8 ust. 1 pkt 2 lit. e nakazuje natomiast podmiotowi zapewnić bezpieczeństwo i ciągłość łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem., więc wymagania wobec dostawcy wynikają z umowy, którą podmiot z nim zawiera.

Więcej: Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?

Wprost nie. Art. 8 ust. 1 pkt 2 lit. e i art. 8 ust. 2 ustawy o KSC mówią o środkach technicznych i organizacyjnych, a o treści umów milczą. Ministerstwo Cyfryzacji zaleca jednak przegląd umów z dostawcami sprzętu i oprogramowania oraz wpisanie do nich wymagań z zakresu cyberbezpieczeństwa i obowiązku niezwłocznego informowania o incydencie. Dla podmiotu ważnegoPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będącego podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. postanowienia w umowach serwisowych są środkiem dodatkowym z części II pkt 7 załącznika nr 4.

Więcej: Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?

Ustawa o KSC tego nie określa, więc termin trzeba wpisać do umowy. Podmiot kluczowy lub ważny ma 24 godziny od wykrycia incydentu poważnegoIncydent poważny Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego. na wczesne ostrzeżenieWczesne ostrzeżenie Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin. do CSIRT sektorowegoCSIRT sektorowy Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny. (art. 11 ust. 1 pkt 4), a według Ministerstwa Cyfryzacji wykrycie to moment, w którym podmiot uzyskał informację o zdarzeniu, także od dostawcy. Jeśli dostawca przetwarza dane osobowe, art. 33 ust. 2 RODO nakazuje mu zgłosić naruszenie administratorowi bez zbędnej zwłoki.

Pełnomocnik Rządu to minister właściwy do spraw informatyzacji albo sekretarz lub podsekretarz stanu w jego urzędzie (art. 61 ust. 3 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.), a nie osoba, którą podmiot sam wyznacza do spraw cyberbezpieczeństwa. Rekomendacje PełnomocnikaRekomendacja Pełnomocnika Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne. mają dwie podstawy w ustawie. Rekomendacje z art. 67a ust. 1 określają środki techniczne i organizacyjne zwiększające bezpieczeństwo systemów informacyjnych, na przykład w sprawie ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. albo poczty. Rekomendacje z art. 33 ust. 4 i 4a dotyczą stosowania konkretnych produktów lub usług ICT i często dotyczą pilnej aktualizacji. Oba rodzaje są publikowane na stronie podmiotowej Biuletynu Informacji Publicznej Pełnomocnika (art. 33 ust. 4c, art. 67a ust. 2).

Rekomendacje z art. 67a nie są: art. 67a ust. 5 ustawy o KSC stanowi, że ich stosowanie jest dobrowolne. Przy rekomendacjach z art. 33 dotyczących produktów i usług ICT ustawa takiego zdania nie ma. Podmiot może w ciągu 14 dni od publikacji wnieść zastrzeżenia (art. 33 ust. 5), na wniosek Pełnomocnika informuje, jak rekomendację uwzględnił (art. 33 ust. 7), a jej nieuwzględnienie pozwala Pełnomocnikowi powiadomić organ nadzorujący podmiot (art. 33 ust. 8). W obu przypadkach odstępstwo warto uzasadnić w szacowaniu ryzykaSzacowanie ryzyka Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”..

Podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będący podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. dokonuje przeglądu swojego SZBISystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. bezzwłocznie po wydaniu rekomendacji przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, w zakresie, w jakim dotyczy ona jego systemów informacyjnych, produktów ICT lub usług ICT (załącznik nr 4 do ustawy o KSC, część III pkt 2). Dobrowolność rekomendacji nie zwalnia więc z przeglądu. Wynik przeglądu warto zapisać, bo część IV tego załącznika wymaga dokumentowania działań.

Tak, rekomendacja nr 2026-67a-9 z 15 października 2026 r. Nie dotyczy jednego sektora ani produktu i zbiera rekomendowane środki w ośmiu obszarach, od zarządzania ryzykiemZarządzanie ryzykiem To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie. po nadzór i audyt. Sama zastrzega, że ma charakter pomocniczy i nie zastępuje obowiązków z przepisów ani indywidualnej oceny ryzyka. Pokazuje jednak, jak ministerstwo rozumie wykonanie art. 8, więc warto ją położyć obok własnego SZBI.

Więcej: Pełnomocnik rządu wydał katalog podstawowych środków cyberbezpieczeństwa dla podmiotów KSC

W wykazie rekomendacji na stronie Ministerstwa Cyfryzacji w BIP. Numer, datę i treść biorę zawsze z samego dokumentu, nie z artykułu, który go omawia. Zdarza się, że portal przedstawia jako nową rekomendację sprzed kilku tygodni.