- Email: biuro@kicb.pl
- Rondo Organizacji Narodów Zjednoczonych 1, 00-124 Warszawa
3 kwietnia tego roku weszły w życie przepisy znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa, w tym przepisy unijnej dyrektywy NIS2. W odpowiedzi na liczne pytania związane z dostosowaniem się podmiotów ważnych i kluczowych do nowych przepisów Ministerstwo Cyfryzacji przygotowało zestaw pytań i odpowiedzi uwzględniający najważniejsze zagadnienia związane z ustawą. Dziś pora na aktualizację dokumentu, ponieważ pojawiło się w nim sporo nowych wątków.
Poniżej przedstawiamy kluczowe informacje z poradnika.
Przypomnijmy, że ustawa rezygnuje z dotychczasowego wyznaczania operatorów usług kluczowych decyzjami administracyjnymi. Teraz na podmiotach ciąży obowiązek samoidentyfikacji na podstawie wielkości (według stanu na dzień sporządzenia sprawozdania finansowego) oraz rodzaju faktycznie wykonywanej działalności. Organizacje dzielą się na:
podmioty kluczowe – duże firmy z kluczowych sektorów gospodarki (np. energetyka, transport, bankowość).
Muszą regularnie przeprowadzać audyty bezpieczeństwa co 3 lata.
podmioty ważne – średnie firmy z tych samych sektorów.
Audyty przeprowadzają tylko na żądanie organu nadzorczego.
Minister Cyfryzacji dokonał już wpisów z urzędu dla zidentyfikowanych podmiotów publicznych, operatorów telekomunikacyjnych, dostawców usług zaufania. Sukcesywna wysyłka oficjalnych zawiadomień o wpisie wraz z wezwaniami do uzupełnienia brakujących danych została rozpoczęta w maju br. i jest prowadzona przez NASK-PIB również w czerwcu.
Jeśli podmiot wie, że powinien zostać wpisany z urzędu, a w nadchodzących tygodniach nie otrzyma dokumentu, ma obowiązek zgłosić ten fakt operatorowi wykazu na e-mail: s46-admin@nask.pl.
Przy wpisach z urzędu dane są czerpane z rejestrów publicznych, które mogą być nieaktualne. Podmiot, który uważa, że w ogóle nie podlega pod ustawę, musi złożyć wniosek o wykreślenie, który organ rozpatruje w ciągu miesiąca. W przypadku błędów w polach zablokowanych do edycji (np. przypisany zespół CSIRT), należy wysłać zgłoszenie na adres s46-admin@nask.pl.
Od 12 czerwca 2026 roku podmioty mogą korzystać z platformy S46 Cyber Hub. Dane do logowania będą wysyłane na e-mail administratora konta. Podmioty, które posiadały dostęp przed 3 kwietnia 2026 r., zachowują go, podając w wykazie jedynie kod posiadanej już przestrzeni, aby uniknąć jej dublowania.
Podmioty muszą aktualizować swoje dane w rejestrze, w tym adresy IP i domeny, w ciągu 14 dni od ich zmiany.
Ostateczny termin na samodzielną rejestrację (dla podmiotów niewpisanych z urzędu) mija 3 października 2026 r. Czekanie do października nie odracza jednak terminu na wdrożenie samych obowiązków technicznych, który liczy się od momentu wejścia ustawy lub spełnienia przesłanek, a nie od dnia wpisu. Z kolei na uzupełnienie danych po wpisie z urzędu podmiot ma 6 miesięcy od dnia doręczenia wezwania.
Firmy muszą sprawdzać, czy ich pracownicy odpowiedzialni za bezpieczeństwo informacji nie mają na koncie przestępstw związanych z bezpieczeństwem informacji. Dotyczy to zarówno nowych, jak i obecnych pracowników. Weryfikacja ta bezwzględnie dotyczy również pracowników jednostek samorządowych realizujących te zadania.
Abonenci domen muszą podać swoje dane kontaktowe, które będą weryfikowane. Dane osób fizycznych są chronione przez RODO, ale dane firm muszą być publicznie dostępne. Organy państwowe mogą żądać udostępnienia danych o domenach w ciągu 72 godzin.
KSC 2026 odnosi się także do kwestii wspólnej obsługi w zakresie realizacji obowiązków wynikających z KSC. Objęcie podmiotu publicznego (będącego podmiotem ważnym) wspólną obsługą przez tzw. „jednostkę wyznaczoną” (np. centrum usług wspólnych IT) nie powoduje automatycznego podniesienia jego statusu prawnego do podmiotu kluczowego. Jednostka ta realizuje po prostu zadania w imieniu obsługiwanego podmiotu zgodnie z Załącznikiem nr 4 do ustawy.
Kto z sektora publicznego jest podmiotem kluczowym? W aktualizacji Q&A szczegółowo rozpisano mapę drogową jednostek kluczowych. Oprócz organów władzy publicznej i ministerstw są to m.in. agencje wykonawcze (np. PARP, NCBR, NCN, ARiMR, KOWR), instytucje gospodarki budżetowej (np. COI, COAR), ZUS, KRUS, NFZ, NBP, BGK, UDT, PAŻP, PCA, UKNF, PAP, Wody Polskie, PFR, NFOŚiGW oraz wojewódzkie fundusze ochrony środowiska.
Podmiotami kluczowymi nie są wojewódzkie: przedszkola, szkoły, placówki oświatowe, artystyczne, poradnie psychologiczno-pedagogiczne, młodzieżowe ośrodki wychowawcze, biblioteki pedagogiczne, jednostki pomocy społecznej (oprócz ROPS), domy pomocy społecznej, wojewódzkie urzędy pracy, parki krajobrazowe oraz jednostki prowadzące ich wspólną obsługę.
Związki jednostek samorządu terytorialnego nie zostały ujęte w sektorze podmiotów publicznych. Nie będą one wpisywane do wykazu z urzędu. Mogą jednak wejść do systemu KSC, jeśli spełniają samodzielne kryteria z innych sektorów rynkowych (np. zaopatrzenie w wodę pitną). UWAGA! Gminne Ośrodki Pomocy Społecznej (GOPS) jako samorządowe jednostki budżetowe w pełni podlegają pod ustawę o KSC jako podmioty ważne.
Ministerstwo w czerwcowej aktualizacji zagadnień KSC wyjaśniło wymóg z Załącznika nr 4 do ustawy dotyczący tworzenia kopii zapasowych odseparowanych logicznie i fizycznie. Jak wyjaśnia w dokumencie, ustawa nie nakłada obowiązku przechowywania kopii w innych budynkach – minimalnym wymogiem fizycznej separacji jest przechowywanie ich w osobnym pomieszczeniu, zabezpieczonym przed ryzykami dotyczącymi danych produkcyjnych.
Dokument wskazuje precyzyjną listę kodów PKD (według klasyfikacji na rok 2025), które decydują o zakwalifikowaniu średniego/dużego przedsiębiorstwa spożywczego jako podmiot ważny (Handel hurtowy z Działu 46 oraz Przetwórstwo przemysłowe z Działu 10, 11 i 12).
Jeśli uczelnia prowadzi badania aplikacyjne i prace rozwojowe przy pomocy systemów informatycznych, ale nie jest to jej podstawowa działalność (odpowiada za to tylko jedna wewnętrzna jednostka), to cała uczelnia nie jest uznawana za organizację badawczą i podlega pod Załącznik nr 4. Jeśli jest to jej podstawowa działalność, podlega pod pełne SZBI z art. 8 ust. 1.
Ustawa obejmuje podmiot, jeśli prowadzi działalność z załączników, nawet jako poboczną. Wyjątek stanowią sektory: zaopatrzenia w wodę, ścieki i gospodarka odpadami – tam przepisy KSC stosuje się tylko wtedy, gdy jest to główna działalność podmiotu.
Definicja systemu informacyjnego obejmuje także urządzenia autonomiczne oraz rozwiązania Smart City. Urządzenie lub grupa połączonych urządzeń przetwarzająca dane na potrzeby usługi lub zadania publicznego podlega inwentaryzacji i SZBI nawet wtedy, gdy nie łączy się z publiczną siecią telekomunikacyjną.
Potwierdzono, że system zarządzania bezpieczeństwem informacji dla kilku różnych systemów informatycznych wykorzystywanych przez podmiot może być opracowany w jednym, wspólnym dokumencie.
Resort cyfryzacji zapowiedział nowelizację rozporządzenia w sprawie KRI (termin do 22 lutego 2027 r.), na mocy której usunięte zostaną z niego przepisy dotyczące wdrożenia SZBI, aby wyeliminować dublowanie się obowiązków z ustawą o KSC 2026. Do czasu tej zmiany rozporządzenie KRI formalnie nadal obowiązuje.
Z pełną wersją dokumentu można zapoznać się pod poniżej: QA Aktualizacja KSC 2026
Najnowsze komentarze