Cyberbezpieczeństwo: obowiązki podmiotu z NIS2 i ustawy o KSC

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. (Dz.U. 2026 poz. 252). Podmioty, które w tym dniu spełniały przesłanki, miały na wniosek o wpis do wykazu czas do 3 października 2026 r., a pozostałe składają go w ciągu 6 miesięcy od spełnienia przesłanek. Wyjątkiem są między innymi podmioty publiczne, w tym jednostki samorządowe: te Minister Cyfryzacji wpisuje z urzędu, a one uzupełniają dane w ciągu 6 miesięcy od wezwania. Kwalifikację przeprowadza sam podmiot i sam ponosi skutki pomyłki.

Krajowy system cyberbezpieczeństwa po nowelizacji: co obowiązuje i od kiedy

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona 2 marca 2026 r. pod pozycją 252 Dziennika Ustaw i weszła w życie po upływie miesiąca od ogłoszenia, czyli 3 kwietnia 2026 r. Nie jest to nowa ustawa. Nadal obowiązuje ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tyle że w zmienionym kształcie. Ostatni tekst jednolity, Dz.U. 2026 poz. 20, pochodzi sprzed nowelizacji, więc trzeba go czytać razem z ustawą nowelizującą i późniejszymi zmianami.

Polska wdrożyła NIS2 z opóźnieniem. Termin upływał 17 października 2024 r., Komisja Europejska wysłała wezwanie 28 listopada 2024 r., a uzasadnioną opinię 7 maja 2025 r. Do Trybunału Sprawiedliwości Unii Europejskiej Polska nie została pozwana. Skargi z 8 lipca 2026 r. objęły Irlandię, Hiszpanię, Francję i Niderlandy.

Progi uznania incydentu za poważny w sektorach znanych dawnej ustawie — energii, transporcie, bankowości, ochronie zdrowia, zaopatrzeniu w wodę i infrastrukturze cyfrowej — nadal wyznacza rozporządzenie Rady Ministrów z 31 października 2018 r. (Dz.U. 2018 poz. 2180), najdłużej do 3 kwietnia 2027 r. W pozostałych sektorach, w tym w samorządzie, rozstrzyga ustawowa definicja incydentu poważnego (art. 2 pkt 7).

3 kwietnia 2026ustawa weszła w życie
do 3 października 2026wniosek o wpis do wykazu podmiotów spełniających przesłanki 3 kwietnia 2026 r. (poza wpisanymi z urzędu)
do 3 kwietnia 2027wdrożenie obowiązków, w tym zgłaszania incydentów
do 3 kwietnia 2028pierwszy audyt podmiotu kluczowego; po tym dniu — kary pieniężne

Podmiot kluczowy czy podmiot ważny: kwalifikację robi Państwo, nie organ

Ustawa dzieli adresatów na podmioty kluczowe i podmioty ważne. Punktem wyjścia są dwa załączniki: załącznik nr 1 wymienia sektory kluczowe, załącznik nr 2 sektory ważne. Do tego dochodzi wielkość podmiotu, mierzona progami z załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Podmiot z załącznika nr 1, który przewyższa progi dla średniego przedsiębiorstwa, jest podmiotem kluczowym. Ten, który je tylko spełnia, jest podmiotem ważnym. Podmiot z załącznika nr 2 spełniający progi dla średniego przedsiębiorstwa lub większy jest podmiotem ważnym. Gdy przesłanki się krzyżują, decyduje status kluczowy (art. 5 ust. 4). Wielkość bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5).

Istotne jest to, czego w tym schemacie nie ma. Podmiot, który spełnia ustawowe przesłanki, nie czeka na decyzję administracyjną: wpis do wykazu jest czynnością materialno-techniczną o charakterze deklaratoryjnym (art. 7d ust. 5), a obowiązki powstają z mocy prawa. Decyzja pojawia się tylko wyjątkowo — organ może nią objąć podmiot, który przesłanek nie spełnia, ale na przykład jako jedyny świadczy usługę o kluczowym znaczeniu (art. 7l). Wniosek o wpis zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego.

Samorząd, spółki komunalne, szpitale i wodociągi

Pogląd, że samorządu to nie dotyczy, jest nieaktualny. W sektorze podmiotów publicznych z załącznika nr 1 wymieniono starostwo powiatowe bez żadnego progu oraz urząd gminy, jeżeli 1 stycznia danego roku zatrudniał co najmniej 50 osób w przeliczeniu na pełne etaty na umowę o pracę. Takie jednostki są podmiotami kluczowymi bez względu na obrót (art. 5 ust. 1 pkt 4 lit. d). Brak progu 50 osób nie przesądza jeszcze o pozostawaniu urzędu gminy poza ustawą.

Reszta samorządu wchodzi niżej. Samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury oraz spółki wykonujące zadania o charakterze użyteczności publicznej są podmiotami ważnymi, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8). Progu zatrudnienia tu nie ma.

Status kluczowy może wynikać też z rodzaju działalności. W załączniku nr 1 są między innymi przedsiębiorstwa wodociągowo-kanalizacyjne i przedsiębiorstwa energetyczne z koncesją na ciepło. Spółka komunalna z tej listy jest podmiotem kluczowym, jeżeli przewyższa progi średniego przedsiębiorstwa, a ważnym, jeżeli je spełnia; udział gminy w kapitale nie odbiera jej przy tym statusu średniego przedsiębiorstwa (art. 5 ust. 3). Gminna jednostka bez osobowości prawnej, która sama prowadzi wodociągi albo kanalizację, nie jest przedsiębiorcą, więc może być podmiotem kluczowym bez względu na wielkość (art. 5 ust. 1 pkt 4 lit. g). Podmiot leczniczy niebędący przedsiębiorcą jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób, a kluczowym od 250 osób (art. 5 ust. 8), choć przy jego kwalifikacji liczy się też rodzaj świadczeń, w tym prowadzenie SOR lub centrum urazowego. Jedna gmina bywa więc właścicielem kilku adresatów ustawy. Obsługę wolno połączyć: gmina może zapewnić swoim jednostkom wspólną obsługę, a kilka gmin, powiatów lub województw zawrzeć porozumienie (art. 16e ust. 5 i 6).

Obowiązki podmiotu: zarządzanie ryzykiem, obsługa incydentów, audyt

Rdzeniem jest system zarządzania bezpieczeństwem informacji (art. 8): systematyczne szacowanie ryzyka oraz środki techniczne i organizacyjne, w tym bezpieczeństwo łańcucha dostaw, plany ciągłości działania, cyberhigiena i, w stosownych przypadkach, uwierzytelnianie wieloskładnikowe. Podmiot ważny będący podmiotem publicznym stosuje zamiast tego wymogi z załącznika nr 4. Dochodzą do tego: dokumentacja przechowywana co najmniej 2 lata od wycofania z użytkowania, chyba że podmiot, jak jednostka samorządowa, stosuje przepisy archiwalne (art. 10); co najmniej dwie osoby do kontaktu, a w mikro- i małym przedsiębiorstwie oraz w podmiocie ważnym publicznym co najmniej jedna (art. 9); informacja z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji dla osób dopuszczanych do tych zadań (art. 8f).

Zakres obowiązków zależy od kwalifikacji podmiotu. Terminy zgłoszenia incydentu poważnego biegną od wykrycia, a nie od wyjaśnienia przyczyn. Co do zasady zgłasza się niezwłocznie, a najpóźniej: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4, 4a i 4c). Podmiot ważny będący podmiotem publicznym, na przykład mniejsza jednostka samorządowa, nie przekazuje wczesnego ostrzeżenia ani sprawozdania końcowego, tylko samo zgłoszenie w ciągu 72 godzin (art. 12c). Wyjątek nie obejmuje każdego podmiotu publicznego, a odrębne zasady mają dostawcy usług zaufania.

Podmiot kluczowy przeprowadza audyt na własny koszt co najmniej raz na 3 lata i przekazuje kopię raportu organowi w 3 dni robocze (art. 15 ust. 1 i 1a). Podmiot ważny audytuje się tylko na nakaz organu. Ten sam incydent bywa jednocześnie naruszeniem ochrony danych osobowych, o czym piszemy na stronie /rodo/.

Odpowiedzialność osobista kierownika podmiotu i kary pieniężne

Kierownik podmiotu odpowiada osobiście za wykonywanie obowiązków z zakresu cyberbezpieczeństwa (art. 8c ust. 1); gdy kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie. Powierzenie zadań komuś innemu tej odpowiedzialności nie znosi. Kierownik planuje na nie środki finansowe (art. 8d) i co roku przechodzi udokumentowane szkolenie (art. 8e).

Kara dla kierownika może sięgnąć 300 % jego wynagrodzenia, liczonego jak ekwiwalent za urlop. W podmiocie publicznym górna granica wynosi 100 %, chyba że ten sam podmiot podlega ustawie także z racji innego sektora, jak spółka komunalna prowadząca wodociągi — wtedy znów 300 % (art. 73a ust. 4 i 5). Organ może ukarać kierownika niezależnie od kary dla podmiotu. Jeżeli podmiot kluczowy nie wykona nakazu albo decyzji organu, organ może też zakazać kierownikowi pełnienia funkcji zarządczych, każdorazowo na nie dłużej niż 14 dni, aż do usunięcia uchybień; w podmiotach publicznych tego zakazu się nie stosuje (art. 53 ust. 9 pkt 6 i ust. 10).

Podmiot kluczowy odpowiada do 10 000 000 euro albo 2 % przychodów z działalności gospodarczej za poprzedni rok obrotowy, przy czym stosuje się kwotę wyższą, nie mniej niż 20 000 zł. Podmiot ważny do 7 000 000 euro albo 1,4 % przychodów, nie mniej niż 15 000 zł. Kary te można nałożyć po raz pierwszy dopiero po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Odroczenie nie obejmuje kary do 100 000 000 zł, którą organ nakłada, gdy naruszenie ustawy powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa lub porządku publicznego albo życia i zdrowia ludzi, albo grozi poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług (art. 73 ust. 5).

Na co zwrócić uwagę przy wdrażaniu obowiązków z KSC

Czekanie na pismo z ministerstwa. Wpis z urzędu obejmuje tylko część adresatów, między innymi dawnych operatorów usług kluczowych i podmioty publiczne. Pozostali rejestrują się sami, w terminie zależnym od tego, kiedy spełnili przesłanki. Brak wniosku niczego nie odracza, bo wpis jest deklaratoryjny, i otwiera organowi drogę do wpisu z urzędu (art. 7j).

Traktowanie moratorium na kary jako wolnego czasu. Odroczenie możliwości nakładania określonych kar nie jest odroczeniem obowiązków ani nadzoru. Termin wykonania obowiązków trzeba ustalać osobno, według przepisów przejściowych właściwych dla danego podmiotu, a środki nadzoru ustawa daje organom bez odroczenia: nakazy, nakazany audyt zewnętrzny i nakaz podania naruszenia do publicznej wiadomości, a wobec podmiotów kluczowych także urzędnika monitorującego i — poza podmiotami publicznymi — zakaz pełnienia funkcji zarządczych.

Liczenie terminów zgłoszenia od ustalenia przyczyn. Zegar rusza w chwili wykrycia, a ustawa wymaga zgłoszenia niezwłocznie. Kto czeka ze zgłoszeniem do końca analizy, spóźnia się z definicji.

Przeniesienie odpowiedzialności na dział IT albo firmę zewnętrzną. Umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa jest dopuszczalnym sposobem wykonania obowiązku (art. 14), ale odpowiedzialności kierownika nie przenosi.

Zlecenie audytu osobie, która wdrażała system. Audytu nie może przeprowadzić osoba realizująca w podmiocie zadania z art. 8 oraz art. 9–13 ani osoba, która robiła to w ciągu roku przed jego rozpoczęciem (art. 15 ust. 2a).

Jak wygląda praca z Kancelarią

Zaczynamy od kwalifikacji, bo wszystko inne od niej zależy. Na pierwsze spotkanie prosimy o odpis z rejestru, ostatnie sprawozdanie finansowe albo dane o zatrudnieniu na 1 stycznia, wykaz świadczonych usług oraz listę jednostek i spółek powiązanych. Wynikiem jest pisemna kwalifikacja ze wskazaniem pozycji załącznika, na której się opiera.

Ustalamy, czy podmiot jest objęty KSC, do jakiej kategorii należy i jaki obowiązek rejestrowy lub aktualizacyjny go dotyczy. Dalej przygotowujemy wniosek o wpis do wykazu z oświadczeniem kierownika albo uzupełnienie danych, opiniujemy dokumentację systemu zarządzania bezpieczeństwem informacji pod kątem art. 8 i piszemy procedurę obsługi incydentu z terminami właściwymi dla kategorii podmiotu. Do umów z dostawcami wprowadzamy klauzule o bezpieczeństwie łańcucha dostaw. Reprezentujemy w kontroli organu, w sprawie o karę pieniężną i w skardze do sądu administracyjnego. Wpis, uzupełnienie danych i sposób podpisania dokumentów ustalamy zależnie od kategorii podmiotu. Przy wniosku ustawa dopuszcza podpis kierownika lub osoby upoważnionej, działanie przez pełnomocnika oraz przewidzianą ustawą pieczęć elektroniczną.

Nie doradzamy technicznie i nie konfigurujemy systemów. Obowiązki wobec sygnalistów opisujemy na stronie /sygnalisci/, przegląd zgodności całej organizacji na stronie /audyt-prawny/, a pozostałe obszary regulacyjne w dziale /zgodnosc-i-audyty/.

Pytania i odpowiedzi

Czy NIS2 dotyczy mojej firmy?

Proszę sprawdzić dwie rzeczy naraz: czy rodzaj Państwa działalności figuruje w załączniku nr 1 albo nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa i czy podmiot osiąga progi wielkości z załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Sama dyrektywa NIS2 nie jest tu podstawą obowiązków, bo stosuje się polską ustawę, która ją wdraża. Część podmiotów jest objęta bez względu na wielkość, między innymi dostawcy usług DNS, kwalifikowani dostawcy usług zaufania i podmioty publiczne z załącznika nr 1.

Czy gmina podlega ustawie o KSC?

Starostwo powiatowe jest podmiotem kluczowym zawsze, a urząd gminy wtedy, gdy 1 stycznia danego roku zatrudniał co najmniej 50 osób w przeliczeniu na pełne etaty na podstawie umowy o pracę. Mniejszy urząd gminy nie wypada przez to z ustawy: jako samorządowa jednostka budżetowa może być podmiotem ważnym, ale ta ocena wymaga kwalifikacji jego statusu i realizowanych zadań. Wyjątek: urząd, który sam prowadzi wodociągi albo kanalizację, może być podmiotem kluczowym bez względu na zatrudnienie. Urzędu gminy nie trzeba zgłaszać do wykazu, bo Minister Cyfryzacji wpisuje go z urzędu. Odrębnie i niezależnie kwalifikuje się każdą jednostkę organizacyjną, instytucję kultury i spółkę komunalną.

Czy trzeba się rejestrować, jeśli nikt nas nie wezwał?

Tak, chyba że podmiot należy do kategorii wpisywanych z urzędu. Minister Cyfryzacji wpisuje z urzędu między innymi podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i dawnych operatorów usług kluczowych; one wniosku nie składają, tylko w ciągu 6 miesięcy od wezwania uzupełniają dane. Pozostali składają wniosek sami: jeżeli spełniali przesłanki 3 kwietnia 2026 r. — do 3 października 2026 r., zgodnie z komunikatem Ministra Cyfryzacji z 8 kwietnia 2026 r., a jeżeli później — w ciągu 6 miesięcy od spełnienia przesłanek. Późniejsze zgłoszenie nie sanuje opóźnienia, bo obowiązki biegną od dnia spełnienia przesłanek, a nie od wpisu.

Ile mam czasu na zgłoszenie incydentu?

Zgłasza się niezwłocznie, a najpóźniej: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu poważnego, samo zgłoszenie w ciągu 72 godzin od wykrycia, a sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. Dwa pierwsze terminy liczy się od wykrycia, nie od ustalenia przyczyny. Jeżeli po miesiącu obsługa incydentu trwa, przekazuje się sprawozdanie z postępu, a sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi. Podmiot ważny będący podmiotem publicznym, na przykład mniejsza jednostka samorządowa, przekazuje tylko zgłoszenie w ciągu 72 godzin.

Kto odpowiada za cyberbezpieczeństwo w spółce, zarząd czy informatyk?

Odpowiedzialność ustawową ponosi kierownik podmiotu, a gdy jest nim organ wieloosobowy i nie wskazano osoby odpowiedzialnej, wszyscy członkowie zarządu. Powierzenie obowiązków pracownikowi albo firmie zewnętrznej tej odpowiedzialności nie przenosi. Kara dla kierownika może sięgnąć 300 % jego wynagrodzenia. W podmiocie publicznym górna granica wynosi 100 %, chyba że podmiot podlega ustawie także z racji innego sektora, na przykład jako przedsiębiorstwo wodociągowe.

Czy kary już obowiązują?

Kary pieniężne przewidziane w art. 73 ust. 1–4, art. 73a–73c i art. 76b ustawy mogą być nałożone po raz pierwszy dopiero po upływie 2 lat od wejścia nowelizacji w życie, czyli po 3 kwietnia 2028 r. Odroczenie dotyczy chwili nałożenia kary i nie jest odroczeniem obowiązków, które biegną niezależnie od tego. Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., termin na wniosek o wpis upływał 3 października 2026 r., chyba że wpisano je z urzędu. System zarządzania bezpieczeństwem informacji, zgłaszanie incydentów i pozostałe obowiązki podmiot objęty ustawą od 3 kwietnia 2026 r. wdraża do 3 kwietnia 2027 r.; dawny operator usługi kluczowej zgłasza incydenty według nowych zasad najpóźniej od 3 października 2026 r. Pierwszy audyt podmiotu kluczowego przypada do 3 kwietnia 2028 r.

Czy szpital powiatowy jest podmiotem kluczowym?

Podmiot leczniczy niebędący przedsiębiorcą, na przykład samodzielny publiczny zakład opieki zdrowotnej, jest podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób, a podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób (art. 5 ust. 8). Przy kwalifikacji trzeba jednak uwzględnić formę prawną, liczbę zatrudnionych oraz rodzaj świadczeń, w tym prowadzenie SOR lub centrum urazowego, które załącznik nr 1 wymienia osobno. Sam próg zatrudnienia nie wystarcza do każdej kwalifikacji. Szpital prowadzony jako spółka kwalifikuje się według ogólnej reguły wielkości przedsiębiorstwa. Zatrudnienie bada się według stanu na dzień sporządzenia sprawozdania finansowego, a zmianę danych we wpisie zgłasza się w ciągu 14 dni.

Czy audyt musi przeprowadzić firma zewnętrzna?

Ustawa nie wymaga firmy zewnętrznej, ale wymaga kwalifikacji i niezależności. Audyt podmiotu kluczowego przeprowadza akredytowana jednostka oceniająca zgodność, co najmniej dwóch audytorów z wymaganymi certyfikatami albo praktyką, albo CSIRT sektorowy (art. 15 ust. 2). Audytorem nie może być osoba, która realizuje w podmiocie zadania z zakresu systemu zarządzania bezpieczeństwem informacji, dokumentacji, kontaktów z krajowym systemem albo obsługi incydentów, ani osoba, która robiła to w ciągu roku przed rozpoczęciem audytu. Organ może osobno nakazać audyt zewnętrzny i wskazać rodzaj podmiotów uprawnionych do jego przeprowadzenia.

Kontakt

Jeżeli mają Państwo wątpliwość, czy ustawa obejmuje Państwa jednostkę albo spółkę, zapraszamy do kontaktu. W pierwszej kolejności sprawdzamy, które terminy obowiązują dany podmiot i czy wymagają pilnego działania. Pracujemy z biur w Katowicach i w Zawierciu. Telefon 535 204 359, sekretariat@oca.com.pl, formularz na stronie /kontakt/.