# FAQ

Pytania zarządów o ustawę o KSC, pogrupowane według tematu: zakres, kierownik i pełnomocnik, terminy, wykaz, SZBI, incydenty, dostawcy, rekomendacje.

- Adres: <https://pelnomocnikcyber.pl/faq/>
- Aktualizacja: 17.10.2026
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

Poniżej zebrałem pytania, które słyszę najczęściej od zarządów, sekretarzy gmin i
dyrektorów, zwykle po otrzymaniu z ministerstwa zawiadomienia o wpisie do wykazu. Każda
odpowiedź wskazuje przepis, na którym się opiera, żeby można było ją sprawdzić w tekście
ustawy. Przy wielu z nich podaję artykuł, w którym piszę o tym szerzej. Odpowiedzi są
informacją ogólną, nie poradą prawną; o tym, jak je sprawdzam, piszę w
[zasadach publikacji](https://pelnomocnikcyber.pl/zasady-publikacji/).

## Najczęściej zadawane pytania

### Czy ustawa o KSC nas dotyczy?

#### Skąd wiem, czy moja organizacja jest podmiotem kluczowym, czy ważnym?

Z art. 5 ustawy o KSC. Podmiotem kluczowym jest między innymi podmiot z załącznika nr 1, który przewyższa wymogi dla średniego przedsiębiorstwa z rozporządzenia 651/2014, oraz podmioty z art. 5 ust. 1 pkt 4 ustawy o KSC niezależnie od wielkości. Podmiotem ważnym jest podmiot z załącznika nr 1, który spełnia wymogi dla średniego przedsiębiorcy i nie jest podmiotem kluczowym, a także podmioty z załącznika nr 2 na zasadach z art. 5 ust. 2. Decydują więc sektor i wielkość, a czasem sam rodzaj podmiotu.

Więcej: [Czy moja organizacja podlega ustawie o KSC i w jakiej roli?](https://pelnomocnikcyber.pl/artykuly/czy-moja-organizacja-podlega-ustawie-o-ksc/)

#### Co znaczy „przewyższa wymogi dla średniego przedsiębiorstwa”?

Art. 2 ust. 1 załącznika I do rozporządzenia 651/2014 zalicza do MŚP przedsiębiorstwa, które zatrudniają mniej niż 250 pracowników i których roczny obrót nie przekracza 50 milionów EUR lub roczna suma bilansowa nie przekracza 43 milionów EUR. Kto zatrudnia 250 osób lub więcej albo przekracza oba progi finansowe, jest dużym przedsiębiorstwem. Duże przedsiębiorstwo z sektora z załącznika nr 1 jest podmiotem kluczowym (art. 5 ust. 1 pkt 1 ustawy o KSC).

#### Czy mała spółka komunalna może być podmiotem kluczowym?

Może, jeśli należy do rodzajów podmiotów, które art. 5 ust. 1 pkt 4 ustawy o KSC wskazuje niezależnie od wielkości, na przykład jest podmiotem krytycznym, podmiotem publicznym z załącznika nr 1 w sektorze podmioty publiczne albo podmiotem wskazanym w załączniku nr 1 z nazwy lub przez określenie rodzaju, który nie jest przedsiębiorcą. Wielkość rozstrzyga dopiero wtedy, gdy podmiot nie mieści się w żadnym z tych wyjątków.

#### Czy publiczna szkoła podstawowa podlega ustawie o KSC?

Tak, jeśli jest samorządową jednostką budżetową. Załącznik nr 2 do ustawy o KSC wymienia w sektorze podmioty publiczne samorządowe jednostki budżetowe, a Ministerstwo Cyfryzacji potwierdza w pytaniu 1.31 swojego FAQ, że publiczna szkoła podstawowa prowadzona przez gminę jest podmiotem ważnym i trafia do wykazu z urzędu, niezależnie od wpisu urzędu gminy. Szkoły niepubliczne, także dotowane, co do zasady ustawie nie podlegają (pytanie 1.32).

Więcej: [Szkoła w ustawie o KSC. Co musi zrobić dyrektor i jak ująć e-dziennik i Classroom w SZBI?](https://pelnomocnikcyber.pl/artykuly/szkola-w-ustawie-o-ksc-co-musi-zrobic-dyrektor-i-jak-ujac-e-dziennik-w-chmurze/)

### Kierownik podmiotu i pełnomocnik

#### Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?

Nie. Ustawa o KSC nie zna takiej funkcji, a Ministerstwo Cyfryzacji potwierdza w pytaniu 3.44 swojego FAQ, że nie ma obowiązku powołania pełnomocnika ds. SZBI. Art. 8d pkt 3 nakazuje kierownikowi podmiotu przydzielić zadania z zakresu cyberbezpieczeństwa i nadzorować ich wykonanie, a art. 14 wymaga, by podmiot realizował zadania z art. 8 i art. 9 do 13 przez wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo na podstawie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Pełnomocnik to przyjęta w praktyce nazwa osoby, która te zadania koordynuje.

Więcej: [Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?](https://pelnomocnikcyber.pl/artykuly/czy-ustawa-o-ksc-wymaga-pelnomocnika-ds-cyberbezpieczenstwa/)

#### Kto odpowiada za cyberbezpieczeństwo w podmiocie kluczowym lub ważnym?

Kierownik podmiotu. Art. 8c ust. 1 ustawy o KSC przypisuje mu odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, a ust. 3 przesądza, że odpowiada także wtedy, gdy obowiązki powierzono innej osobie za jej zgodą. Powierzyć można więc wykonanie zadań, odpowiedzialności już nie. Art. 8d wymienia, co kierownik robi sam, między innymi podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji i planuje na to środki finansowe.

Więcej: [Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?](https://pelnomocnikcyber.pl/artykuly/co-kierownik-podmiotu-moze-powierzyc-pelnomocnikowi/)

#### Czy kierownik podmiotu musi się szkolić?

Tak. Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie z obowiązków wymienionych w art. 8e ust. 2 ustawy o KSC, a udział w szkoleniu jest udokumentowany (art. 8e ust. 1 i 3). Według Ministerstwa Cyfryzacji (pytanie 3.46) podmioty objęte ustawą 3 kwietnia 2026 r. przeprowadzają pierwsze szkolenie najpóźniej w 2027 r.

#### Ile osób do kontaktu trzeba wyznaczyć i kto może nią być?

Co najmniej dwie (art. 9 ust. 1 pkt 1 ustawy o KSC). Mikro- i mały przedsiębiorca (art. 9 ust. 2) oraz podmiot ważny będący podmiotem publicznym (art. 9 ust. 3) wyznaczają co najmniej jedną. Według Ministerstwa Cyfryzacji osobą do kontaktu może być każdy, kto jest związany z podmiotem umową o pracę lub innym stosunkiem zatrudnienia, bez wymogu wykształcenia (pytanie 3.18), także sam kierownik podmiotu (pytanie 3.43). Nawet tam, gdzie wystarczy jedna osoba, radzę wyznaczyć dwie, bo termin 24 godzin na wczesne ostrzeżenie nie czeka, aż ktoś wróci z urlopu.

Więcej: [Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?](https://pelnomocnikcyber.pl/artykuly/plan-do-3-kwietnia-2027-dla-zarzadu-ktory-zaczyna-teraz/)

#### Czy zewnętrzny pełnomocnik musi przedstawić informację z Krajowego Rejestru Karnego?

Tak. Art. 8f ust. 1 ustawy o KSC wymaga, by osoba, która ma realizować zadania z art. 8 lub art. 11, przed ich rozpoczęciem przedstawiła podmiotowi informację z KRK o niekaralności za przestępstwa przeciwko ochronie informacji. Kierownik dopuszcza ją do zadań dopiero po otrzymaniu tej informacji. Ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej zastępuje ten wymóg (art. 8f ust. 3). Według Ministerstwa Cyfryzacji (pytanie 3.48) przepis obejmuje pracowników podmiotu i osoby na umowach cywilnoprawnych zawartych bezpośrednio z podmiotem; personel wykonawców i podwykonawców sprawdza się w ramach łańcucha dostaw i umowy.

#### Co powinna zawierać umowa z zewnętrznym pełnomocnikiem?

Które zadania z art. 8 i art. 9 do 13 ustawy o KSC wykonawca realizuje, a które zostają w podmiocie, jak przygotowuje decyzje dla kierownika, na jakich zasadach dostaje dostęp do systemów i informacji, w jakim czasie reaguje na incydent. Do tego obowiązek z art. 8f (informacja z KRK) i zastrzeżenie, że wykonawca nie przeprowadzi w tym podmiocie audytu z art. 15.

Więcej: [Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?](https://pelnomocnikcyber.pl/artykuly/co-kierownik-podmiotu-moze-powierzyc-pelnomocnikowi/)

#### Czy pełnomocnik może przeprowadzić audyt bezpieczeństwa z art. 15?

Nie w podmiocie, w którym realizuje zadania z art. 8 oraz art. 9 do 13, ani przez rok po ich zakończeniu (art. 15 ust. 2a ustawy o KSC). Audyt przeprowadza jednostka oceniająca zgodność, co najmniej dwóch audytorów o kwalifikacjach z art. 15 ust. 2 pkt 2 albo CSIRT sektorowy. Podmiot kluczowy wykonuje audyt na własny koszt co najmniej raz na 3 lata (art. 15 ust. 1).

#### Czy ta sama osoba może być IOD i pełnomocnikiem ds. cyberbezpieczeństwa?

Może, jeśli nie prowadzi to do konfliktu interesów, którego zakazuje art. 38 ust. 6 RODO. Konflikt powstaje, gdy ta sama osoba dobiera zabezpieczenia, a potem jako IOD ocenia ich adekwatność. W praktyce oznacza to odrębne umowy, brak uprawnień decyzyjnych i wykonawczych, ocenę skuteczności środków wykonywaną przez kogoś innego oraz udokumentowaną ocenę konfliktu zatwierdzoną przez kierownictwo.

### Terminy i kary

#### Jakie terminy wynikają z nowelizacji z 2026 r.?

Nowelizacja z 23 stycznia 2026 r. weszła w życie 3 kwietnia 2026 r. Podmioty, które tego dnia spełniały przesłanki, realizują obowiązki z rozdziału 3 ustawy o KSC w terminie 12 miesięcy od wejścia w życie (art. 33 ust. 1 ustawy nowelizującej), czyli do 3 kwietnia 2027 r., a podmioty kluczowe przeprowadzają pierwszy audyt w terminie 24 miesięcy (art. 33 ust. 2). Wniosek o wpis do wykazu składa się według harmonogramu ogłoszonego przez ministra właściwego do spraw informatyzacji (art. 33 ust. 3 i art. 34 ust. 3); dla tych podmiotów termin upływa 3 października 2026 r.

Więcej: [Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?](https://pelnomocnikcyber.pl/artykuly/plan-do-3-kwietnia-2027-dla-zarzadu-ktory-zaczyna-teraz/)

#### Jaka kara grozi podmiotowi kluczowemu lub ważnemu?

Art. 73 ust. 1 ustawy o KSC wymienia naruszenia, za które podmiot podlega karze pieniężnej, między innymi brak szacowania ryzyka, niewdrożony SZBI, niezgłoszony incydent i audyt nieprzeprowadzony w terminie. Podmiotowi kluczowemu grozi kara do 10 000 000 euro lub 2 % przychodów z roku obrotowego poprzedzającego wymierzenie kary, przy czym stosuje się kwotę wyższą, nie mniej niż 20 000 zł (art. 73 ust. 3). Podmiotowi ważnemu do 7 000 000 euro lub 1,4 % przychodów, nie mniej niż 15 000 zł (art. 73 ust. 4). Za spóźniony wniosek o wpis do wykazu i za niewykonanie obowiązków z art. 9, w tym niewyznaczenie osób do kontaktu, organ może nałożyć karę, jeśli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a). Kary można nakładać dopiero po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy nowelizującej).

#### Jaka kara grozi kierownikowi podmiotu?

Kara pieniężna do 300 % wynagrodzenia, a w podmiocie publicznym do 100 % wynagrodzenia, obliczanego według zasad ustalania ekwiwalentu za urlop (art. 73a ust. 4 i 5 ustawy o KSC). Art. 73a ust. 1 wymienia zaniechania, za które można ją nałożyć, w tym niewykonanie obowiązków z art. 8, 8d, 8e, 8f, 11 i 15. Zgodnie z art. 35 ustawy nowelizującej z 23 stycznia 2026 r. kary mogą być po raz pierwszy nałożone po upływie 2 lat od jej wejścia w życie.

### Wykaz i system S46

#### Do kiedy trzeba złożyć wniosek o wpis do wykazu, jeśli nikt nas nie zawiadomił?

Podmiot kluczowy lub ważny składa wniosek w terminie 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1 ustawy o KSC). Kto spełniał je już 3 kwietnia 2026 r., miał według harmonogramu Ministra Cyfryzacji czas do 3 października 2026 r. Brak zawiadomienia niczego nie zmienia: z urzędu ministerstwo wpisało tylko część podmiotów, między innymi dawnych operatorów usług kluczowych i podmioty publiczne, a pozostałe składają wniosek same, w aplikacji Wykaz KSC w systemie S46. Jeśli podmiot nie złoży wniosku w terminie, organ właściwy do spraw cyberbezpieczeństwa może wpisać go z urzędu i wezwać do uzupełnienia danych w 6 miesięcy pod rygorem kary pieniężnej (art. 7j ust. 1 i 3 ustawy o KSC). Za samo spóźnienie organ może nałożyć karę, jeśli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a pkt 1 ustawy o KSC), ale dopiero po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy nowelizującej). Późniejszy wpis nie odsuwa terminu na wdrożenie obowiązków: według Ministerstwa Cyfryzacji liczy się on od spełnienia przesłanek, a nie od wpisu.

#### Czy pracownik może wypełnić wniosek o wpis do wykazu, a prezes go podpisać?

Nie w aplikacji Wykaz KSC. Ministerstwo Cyfryzacji wyjaśnia w pytaniu 2.55 swojego FAQ, że wniosek wypełnia osoba przypisana do niego jako właściciel i ta sama osoba musi go podpisać; niezgodność aplikacja oznacza statusem „Błąd podpisu”. Ustawa dopuszcza podpis kierownika podmiotu albo osoby przez niego upoważnionej (art. 7c ust. 6 ustawy o KSC), więc pracownik może wypełnić i podpisać wniosek, jeśli ma elektroniczne pełnomocnictwo dołączone do wniosku (art. 7c ust. 7). Odpowiedzialność za wniosek zostaje przy kierowniku (pytanie 2.66).

Więcej: [Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?](https://pelnomocnikcyber.pl/artykuly/jak-zarejestrowac-sie-w-systemie-s46-i-zglaszac-incydenty/)

#### Kiedy po wpisie do wykazu podmiot dostaje dostęp do S46 Cyber Hub?

Bez osobnego wniosku. Po zatwierdzeniu wpisu system tworzy przestrzeń podmiotu, a administratorzy wskazani w sekcji F wniosku dostają na podany adres e-mail wiadomość z linkiem ważnym 7 dni. Pierwsze logowanie przez Węzeł Krajowy aktywuje dostęp. Ustawa nakazuje rozpocząć korzystanie z systemu po uzyskaniu wpisu (art. 9 ust. 1 pkt 4 ustawy o KSC), najpóźniej w terminie 12 miesięcy od spełnienia przesłanek (art. 46 ust. 4); dla podmiotów objętych ustawą 3 kwietnia 2026 r. harmonogram ministra wyznacza okres od 12 czerwca 2026 r. do 3 kwietnia 2027 r.

Więcej: [Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?](https://pelnomocnikcyber.pl/artykuly/jak-zarejestrowac-sie-w-systemie-s46-i-zglaszac-incydenty/)

#### Kiedy we wniosku podaje się dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa?

Tylko wtedy, gdy podmiot zawarł z zewnętrzną firmą umowę na realizację zadań z art. 8 albo art. 11 ustawy o KSC (art. 7 ust. 2 pkt 16). Kto wykonuje te zadania własnymi siłami, zostawia pole puste (FAQ Ministerstwa Cyfryzacji, pytanie 2.51). Sam helpdesk to według ministerstwa usługa zarządzana, a nie usługa zarządzana w zakresie cyberbezpieczeństwa (pytanie 1.34), więc do wykazu nie trafia. Trafia ta sama firma, jeśli ma w umowie na przykład monitorowanie, zarządzanie podatnościami albo obsługę incydentów.

Więcej: [Których dostawców wpisać do wykazu KSC jako dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa?](https://pelnomocnikcyber.pl/artykuly/ktorych-dostawcow-wpisac-do-wykazu-ksc/)

#### W jakim terminie zgłasza się zmianę danych w wykazie?

W ciągu 14 dni od dnia zmiany. Art. 7c ust. 3 ustawy o KSC nakazuje złożyć wniosek o zmianę wpisu w zakresie danych z art. 7 ust. 2 pkt 1 do 18, a więc także wtedy, gdy zmieni się dostawca usług zarządzanych w zakresie cyberbezpieczeństwa. Wniosek składa się w systemie S46 (art. 7c ust. 6).

### SZBI i zabezpieczenia

#### Czy ustawa o KSC podaje listę obowiązkowych zabezpieczeń?

Podaje obszary, a nie gotowy zestaw. Art. 8 ust. 1 pkt 2 ustawy o KSC wymaga środków technicznych i organizacyjnych odpowiednich i proporcjonalnych do oszacowanego ryzyka, z uwzględnieniem między innymi kosztów wdrożenia, wielkości podmiotu i prawdopodobieństwa incydentów, a potem wymienia obszary, które te środki mają objąć. Ministerstwo Cyfryzacji pisze w pytaniu 3.42 swojego FAQ, że ustawa jest neutralna technologicznie i żadna klasa systemów, na przykład SIEM czy SOC, nie jest obowiązkowa. Konkretne zabezpieczenia wynikają z szacowania ryzyka.

Więcej: [Skąd zarząd ma wiedzieć, że jego firma ma odpowiednie zabezpieczenia?](https://pelnomocnikcyber.pl/artykuly/skad-zarzad-ma-wiedziec-ze-zabezpieczen-jest-dosc/)

#### Czy certyfikat ISO/IEC 27001 oznacza zgodność z ustawą o KSC?

Nie. Ustawa o KSC nie wskazuje normy, według której buduje się SZBI, i nie przewiduje domniemania zgodności dla certyfikatu. Art. 8 ust. 1 wymaga systemu obejmującego system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi i zapewniającego środki wymienione w tym przepisie. Certyfikat pokazuje zgodność z normą w zakresie, który wybrała organizacja. Poza normą zostają też obowiązki czysto ustawowe, na przykład zgłaszanie incydentu poważnego w terminach z art. 11 ust. 1 i coroczne szkolenie kierownika z art. 8e. Certyfikat to dobry punkt wyjścia do analizy luk.

Więcej: [SZBI według ustawy o KSC i NIS2. Co zmienić w systemie, który firma już ma?](https://pelnomocnikcyber.pl/artykuly/szbi-wedlug-ustawy-o-ksc-i-nis2-co-zmienic-w-systemie-iso-27001/)

#### Czy audyt certyfikacyjny ISO/IEC 27001 zastępuje audyt z art. 15 ustawy o KSC?

Nie automatycznie. Art. 15 ust. 1 ustawy o KSC dotyczy bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, a art. 15 ust. 2 określa, kto może go przeprowadzić. Audyt certyfikacyjny ocenia zgodność z normą w zakresie certyfikatu. Oba da się zaplanować razem, ale raport z audytu z art. 15 musi odpowiadać na wymagania ustawy, a audytorem nie może być osoba, która w podmiocie realizuje zadania z art. 8 lub art. 9 do 13 (art. 15 ust. 2a).

#### Czy podmiot publiczny ma te same obowiązki co firma?

Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1, tylko wdraża system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy o KSC (art. 8 ust. 3). Załącznik wymaga między innymi kopii zapasowych odseparowanych logicznie i fizycznie, testowania odtworzenia danych z tych kopii oraz przygotowania i testowania procedury na wypadek awarii lub incydentu. Podmiot publiczny będący podmiotem kluczowym stosuje art. 8 ust. 1 w pełni.

#### Czy ustawa o KSC wymaga planu ciągłości działania?

Tak. Art. 8 ust. 1 pkt 2 lit. f ustawy o KSC wymienia wśród środków technicznych i organizacyjnych wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania, planów awaryjnych oraz planów odtworzenia działalności. Ustawa nie mówi, co plan ma zawierać ani jak często go testować. Sam przyjmuję co najmniej jedno ćwiczenie i jeden test odtworzenia każdego krytycznego systemu w roku.

Więcej: [Plan ciągłości działania: z czego się składa i jak sprawdzić, że działa?](https://pelnomocnikcyber.pl/artykuly/plan-ciaglosci-dzialania-co-zawiera-i-jak-sprawdzic-ze-dziala/)

#### Czy ustawa o KSC wymaga uwierzytelniania wieloskładnikowego?

Wymienia je w art. 8 ust. 1 pkt 2 lit. l, przy bezpiecznych środkach komunikacji elektronicznej, z zastrzeżeniem „w stosownych przypadkach”. Gdzie jest stosowne, rozstrzyga szacowanie ryzyka z art. 8 ust. 1 pkt 1. Ministerstwo Cyfryzacji w odpowiedziach do ustawy zachęca do stosowania uwierzytelniania wieloskładnikowego tam, gdzie jest to możliwe.

Więcej: [Duński rejestr CPR wyciekł przez konto dwuosobowej firmy. Co sprawdzić u siebie według ustawy o KSC?](https://pelnomocnikcyber.pl/artykuly/wyciek-rejestru-cpr-w-danii-co-sprawdzic-wedlug-ustawy-o-ksc/)

#### Czy sterowniki, SCADA i automatyka budynku podlegają ustawie o KSC?

Tak, jeśli biorą udział w świadczeniu usługi podmiotu kluczowego lub ważnego. Art. 2 pkt 14 lit. b ustawy o KSC obejmuje definicją systemu informacyjnego urządzenie lub grupę połączonych urządzeń i oprogramowania zaprogramowanych w celu przetwarzania danych, a art. 8 ust. 1 wymaga SZBI w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. Sterownik pompy w wodociągu, sterownik chłodni w zakładzie spożywczym i centrala wentylacyjna w szpitalu spełniają tę definicję.

Więcej: [Systemy OT w firmie. Skąd bierze się ryzyko i co pełnomocnik ds. cyberbezpieczeństwa ma powiedzieć zarządowi?](https://pelnomocnikcyber.pl/artykuly/systemy-ot-w-firmie-ryzyko-i-raport-dla-zarzadu/)

#### Czy ustawa o KSC zakazuje korzystania z ChatGPT w podmiocie kluczowym?

Nie. Ustawa o KSC nie wymienia żadnego narzędzia ani technologii. Art. 8 ust. 1 wymaga systematycznego szacowania ryzyka wystąpienia incydentu i środków proporcjonalnych do tego ryzyka, w tym zarządzania aktywami (pkt 2 lit. m), polityk kontroli dostępu (pkt 2 lit. n) i bezpieczeństwa łańcucha dostaw (pkt 2 lit. e). Zewnętrzna usługa AI, do której trafiają informacje podmiotu, podlega tym samym wymaganiom co każda inna usługa ICT.

Więcej: [Shadow AI w podmiocie kluczowym i ważnym. Jak ująć ChatGPT w SZBI, zamiast go zakazywać?](https://pelnomocnikcyber.pl/artykuly/shadow-ai-w-podmiocie-kluczowym-jak-ujac-w-szbi/)

### Incydenty

#### W jakim terminie zgłasza się incydent poważny?

Wczesne ostrzeżenie do właściwego CSIRT sektorowego niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia (art. 11 ust. 1 pkt 4 ustawy o KSC), zgłoszenie incydentu w ciągu 72 godzin (pkt 4a), sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (pkt 4c). Wszystko przez system teleinformatyczny z art. 46 ust. 1, czyli S46 (art. 11 ust. 2).

Więcej: [Incydent poważny w praktyce: kto decyduje, co zgłosić i jak zdążyć w 24 godziny?](https://pelnomocnikcyber.pl/artykuly/incydent-powazny-w-praktyce-kto-decyduje-i-jak-zdazyc-ze-zgloszeniem/)

#### Kto decyduje, że incydent jest poważny?

Sam podmiot kluczowy lub ważny. Art. 11 ust. 1 pkt 3 ustawy o KSC nakazuje mu klasyfikować incydent jako poważny na podstawie progów uznawania incydentu za poważny, a definicja z art. 2 pkt 7 obejmuje także incydent, który „może spowodować” poważne obniżenie jakości lub przerwanie usługi. Ustawa nie mówi, kto w podmiocie podejmuje tę decyzję, więc trzeba to zapisać w procedurze. Za wykonanie obowiązków z art. 11 odpowiada kierownik podmiotu (art. 8c ust. 1), także wtedy, gdy powierzył je komuś innemu (art. 8c ust. 3).

Więcej: [Incydent poważny w praktyce: kto decyduje, co zgłosić i jak zdążyć w 24 godziny?](https://pelnomocnikcyber.pl/artykuly/incydent-powazny-w-praktyce-kto-decyduje-i-jak-zdazyc-ze-zgloszeniem/)

#### Od kiedy liczy się 24 godziny na wczesne ostrzeżenie?

Od wykrycia incydentu poważnego (art. 11 ust. 1 pkt 4 ustawy o KSC). Według Ministerstwa Cyfryzacji wykrycie to chwila, w której podmiot uzyskał informację o zdarzeniu kwalifikującym się jako incydent, także od dostawcy usługi. Zegar nie czeka na koniec analizy ani na decyzję zarządu. Wczesne ostrzeżenie z art. 12 ust. 1 wymaga tylko danych podmiotu, osób do kontaktu, czasu wystąpienia i wykrycia oraz wstępnej oceny, czy incydent był działaniem bezprawnym i czy dotyczy innych państw UE.

#### Czy gmina albo szpital będący podmiotem ważnym musi wysłać wczesne ostrzeżenie?

Nie. Podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi ani sprawozdania końcowego (art. 12c ustawy o KSC). Zgłasza incydent poważny w ciągu 72 godzin od wykrycia (art. 11 ust. 1 pkt 4a). Pozostałe obowiązki z art. 11, w tym obsługa incydentu, klasyfikacja według progów i współdziałanie z CSIRT, dotyczą go w pełni. Podmiot kluczowy, także publiczny, zgłasza wszystko.

#### Czy zapisanie zgłoszenia w S46 Cyber Hub wystarczy, żeby dotrzymać terminu 24 godzin?

Nie. Zapisane zgłoszenie ma status „Nowy” i widzą je tylko użytkownicy twojego podmiotu. Do CSIRT trafia dopiero po kliknięciu „Wyślij zgłoszenie” i potwierdzeniu adresatów; wtedy system wpisuje datę wysłania w polu „Zgłoszono”. Termin z art. 11 ust. 1 pkt 4 ustawy o KSC dotyczy zgłoszenia do właściwego CSIRT sektorowego, więc liczy się chwila wysłania, nie zapisu.

Więcej: [Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?](https://pelnomocnikcyber.pl/artykuly/jak-zarejestrowac-sie-w-systemie-s46-i-zglaszac-incydenty/)

#### Czy incydenty poważne trzeba zgłaszać przez S46 dopiero od 3 kwietnia 2027 r.?

Obowiązek przekazywania wczesnego ostrzeżenia, zgłoszenia i sprawozdań przez system S46 wynika z art. 11 ust. 2 ustawy o KSC. Podmioty objęte ustawą od 3 kwietnia 2026 r. realizują obowiązki z rozdziału 3, w tym art. 11, w terminie 12 miesięcy (art. 33 ust. 1 ustawy nowelizującej), czyli najpóźniej od 3 kwietnia 2027 r., i do tego dnia zaczynają korzystać z systemu według harmonogramu ministra. Dawni operatorzy usług kluczowych zgłaszają według nowych zasad już od 3 października 2026 r. (art. 33 ust. 4).

Więcej: [Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?](https://pelnomocnikcyber.pl/artykuly/plan-do-3-kwietnia-2027-dla-zarzadu-ktory-zaczyna-teraz/)

### Dostawcy i łańcuch dostaw

#### Czy dostawca podmiotu kluczowego albo ważnego musi spełniać wymagania ustawy o KSC?

Nie z tego powodu, że jest dostawcą. Ustawa o KSC nakłada obowiązki na podmioty kluczowe i ważne, a dostawca podlega jej tylko wtedy, gdy sam spełnia przesłanki z art. 5, na przykład jako dostawca usług zarządzanych z załącznika nr 1. Art. 8 ust. 1 pkt 2 lit. e nakazuje natomiast podmiotowi zapewnić bezpieczeństwo i ciągłość łańcucha dostaw, więc wymagania wobec dostawcy wynikają z umowy, którą podmiot z nim zawiera.

Więcej: [Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?](https://pelnomocnikcyber.pl/artykuly/lancuch-dostaw-w-ustawie-o-ksc-czego-wymagac-od-dostawcow-i-co-wpisac-do-umowy/)

#### Czy ustawa o KSC nakazuje zmienić umowy z dostawcami?

Wprost nie. Art. 8 ust. 1 pkt 2 lit. e i art. 8 ust. 2 ustawy o KSC mówią o środkach technicznych i organizacyjnych, a o treści umów milczą. Ministerstwo Cyfryzacji zaleca jednak przegląd umów z dostawcami sprzętu i oprogramowania oraz wpisanie do nich wymagań z zakresu cyberbezpieczeństwa i obowiązku niezwłocznego informowania o incydencie. Dla podmiotu ważnego będącego podmiotem publicznym postanowienia w umowach serwisowych są środkiem dodatkowym z części II pkt 7 załącznika nr 4.

Więcej: [Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?](https://pelnomocnikcyber.pl/artykuly/lancuch-dostaw-w-ustawie-o-ksc-czego-wymagac-od-dostawcow-i-co-wpisac-do-umowy/)

#### W jakim czasie dostawca ma powiadomić klienta o incydencie?

Ustawa o KSC tego nie określa, więc termin trzeba wpisać do umowy. Podmiot kluczowy lub ważny ma 24 godziny od wykrycia incydentu poważnego na wczesne ostrzeżenie do CSIRT sektorowego (art. 11 ust. 1 pkt 4), a według Ministerstwa Cyfryzacji wykrycie to moment, w którym podmiot uzyskał informację o zdarzeniu, także od dostawcy. Jeśli dostawca przetwarza dane osobowe, art. 33 ust. 2 RODO nakazuje mu zgłosić naruszenie administratorowi bez zbędnej zwłoki.

### Rekomendacje Pełnomocnika Rządu

#### Czym są rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa?

Pełnomocnik Rządu to minister właściwy do spraw informatyzacji albo sekretarz lub podsekretarz stanu w jego urzędzie (art. 61 ust. 3 ustawy o KSC), a nie osoba, którą podmiot sam wyznacza do spraw cyberbezpieczeństwa. Rekomendacje Pełnomocnika mają dwie podstawy w ustawie. Rekomendacje z art. 67a ust. 1 określają środki techniczne i organizacyjne zwiększające bezpieczeństwo systemów informacyjnych, na przykład w sprawie ransomware albo poczty. Rekomendacje z art. 33 ust. 4 i 4a dotyczą stosowania konkretnych produktów lub usług ICT i często dotyczą pilnej aktualizacji. Oba rodzaje są publikowane na stronie podmiotowej Biuletynu Informacji Publicznej Pełnomocnika (art. 33 ust. 4c, art. 67a ust. 2).

#### Czy rekomendacje Pełnomocnika są obowiązkowe?

Rekomendacje z art. 67a nie są: art. 67a ust. 5 ustawy o KSC stanowi, że ich stosowanie jest dobrowolne. Przy rekomendacjach z art. 33 dotyczących produktów i usług ICT ustawa takiego zdania nie ma. Podmiot może w ciągu 14 dni od publikacji wnieść zastrzeżenia (art. 33 ust. 5), na wniosek Pełnomocnika informuje, jak rekomendację uwzględnił (art. 33 ust. 7), a jej nieuwzględnienie pozwala Pełnomocnikowi powiadomić organ nadzorujący podmiot (art. 33 ust. 8). W obu przypadkach odstępstwo warto uzasadnić w szacowaniu ryzyka.

#### Co rekomendacja zmienia w podmiocie publicznym?

Podmiot ważny będący podmiotem publicznym dokonuje przeglądu swojego SZBI bezzwłocznie po wydaniu rekomendacji przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, w zakresie, w jakim dotyczy ona jego systemów informacyjnych, produktów ICT lub usług ICT (załącznik nr 4 do ustawy o KSC, część III pkt 2). Dobrowolność rekomendacji nie zwalnia więc z przeglądu. Wynik przeglądu warto zapisać, bo część IV tego załącznika wymaga dokumentowania działań.

#### Czy jest rekomendacja, która opisuje środki z art. 8 dla wszystkich podmiotów?

Tak, rekomendacja nr 2026-67a-9 z 15 października 2026 r. Nie dotyczy jednego sektora ani produktu i zbiera rekomendowane środki w ośmiu obszarach, od zarządzania ryzykiem po nadzór i audyt. Sama zastrzega, że ma charakter pomocniczy i nie zastępuje obowiązków z przepisów ani indywidualnej oceny ryzyka. Pokazuje jednak, jak ministerstwo rozumie wykonanie art. 8, więc warto ją położyć obok własnego SZBI.

Więcej: [Pełnomocnik rządu wydał katalog podstawowych środków cyberbezpieczeństwa dla podmiotów KSC](https://pelnomocnikcyber.pl/aktualnosci/rekomendacja-pelnomocnika-srodki-ksc/)

#### Jak sprawdzić, czy rekomendacja opisana w mediach jest nowa?

W wykazie rekomendacji na stronie Ministerstwa Cyfryzacji w BIP. Numer, datę i treść biorę zawsze z samego dokumentu, nie z artykułu, który go omawia. Zdarza się, że portal przedstawia jako nową rekomendację sprzed kilku tygodni.