Rekomendacja Pełnomocnika

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa to minister właściwy do spraw informatyzacji albo sekretarz lub podsekretarz stanu w jego urzędzie (art. 61 ust. 3 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.). To ktoś inny niż pełnomocnik ds. cyberbezpieczeństwaPełnomocnik ds. cyberbezpieczeństwa Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań., którego podmiot wyznacza u siebie.

Ustawa przewiduje dwa rodzaje jego rekomendacji. Te z art. 67a ust. 1 ustawy o KSC opisują środki techniczne i organizacyjne, na przykład ochronę przed ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. albo zabezpieczenie poczty, i mogą wskazywać kategorie podmiotów, do których są kierowane (art. 67a ust. 4 ustawy o KSC). Ich stosowanie jest dobrowolne (art. 67a ust. 5 ustawy o KSC). Rekomendacja nr 2026-67a-9 z 15 października 2026 r. zbiera takie środki dla wszystkich podmiotów krajowego systemu cyberbezpieczeństwa.

Rekomendacje z art. 33 ust. 4 ustawy o KSC dotyczą stosowania produktów ICT lub usług ICT i często wzywają do pilnej aktualizacji. Pełnomocnik może je wydać z urzędu, gdy informacja o cyberzagrożeniu uprawdopodobni incydent krytycznyIncydent krytyczny Incydent o znacznych skutkach dla bezpieczeństwa publicznego, gospodarki, instytucji publicznych albo życia i zdrowia ludzi. Klasyfikuje go właściwy CSIRT krajowy. (art. 33 ust. 4a ustawy o KSC). Ustawa nie nazywa ich dobrowolnymi: podmiot może w ciągu 14 dni od publikacji wnieść zastrzeżenia (art. 33 ust. 5 ustawy o KSC), na wniosek Pełnomocnika informuje go, jak rekomendację uwzględnił (art. 33 ust. 7 ustawy o KSC), a jej nieuwzględnienie pozwala Pełnomocnikowi powiadomić organ sprawujący nadzór nad podmiotem (art. 33 ust. 8 ustawy o KSC).

Oba rodzaje Pełnomocnik publikuje na swojej stronie podmiotowej Biuletynu Informacji Publicznej (art. 33 ust. 4c i art. 67a ust. 2 ustawy o KSC). Podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będący podmiotem publicznymPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. po wydaniu rekomendacji bezzwłocznie przegląda swój SZBISystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. w zakresie, w jakim dotyczy ona jego systemów, produktów lub usług ICT (załącznik nr 4 do ustawy o KSC, część III pkt 2).

Więcej odpowiedzi w FAQ, w grupie o rekomendacjach.

Stan prawny na dzień publikacji: 17.10.2026. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).