Osoba do kontaktu

Podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważny wyznacza co najmniej dwie osoby do kontaktu (art. 9 ust. 1 pkt 1 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.). Mikro- i mały przedsiębiorca oraz podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będący podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. wyznaczają co najmniej jedną (art. 9 ust. 2 i 3 ustawy o KSC). Imię i nazwisko, służbowy telefon i służbowy adres e-mail każdej z nich podaje się we wniosku o wpis do wykazu (art. 7 ust. 2 pkt 11 ustawy o KSC), a zmianę tych danych zgłasza w ciągu 14 dni (art. 7c ust. 3 ustawy o KSC).

Ustawa nie mówi, kto może pełnić tę rolę. Według Ministerstwa Cyfryzacji może to być każdy, kto jest związany z podmiotem umową o pracę lub innym stosunkiem zatrudnienia, bez wymogu wykształcenia (FAQ, pytanie 3.18), także sam kierownik podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. (pytanie 3.43). To inna rola niż pełnomocnik ds. cyberbezpieczeństwaPełnomocnik ds. cyberbezpieczeństwa Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań., choć często łączy je jedna osoba.

Niewyznaczenie osób do kontaktu może kosztować dwa razy: organ może nałożyć karę na podmiot (art. 73 ust. 1a pkt 2 ustawy o KSC) i na kierownika podmiotu (art. 73a ust. 1 pkt 6 ustawy o KSC). Nawet tam, gdzie wystarczy jedna osoba, radzę wyznaczyć dwie, bo termin 24 godzin na wczesne ostrzeżenieWczesne ostrzeżenie Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin. nie czeka, aż ktoś wróci z urlopu.

Stan prawny na dzień publikacji: 17.10.2026. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).