- Znaczenie
- Krajowa jednostka koordynująca
- Zadanie
- Wymiana informacji między organami państw UE
- Poziom
- Jeden na państwo członkowskie
- W Polsce
- Minister właściwy do spraw informatyzacji
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest SPOC?
Każde państwo członkowskie UE wyznacza na mocy NIS2 jednostkę o nazwie Pojedynczy Punkt Kontaktowy (SPOC). Ta centralna jednostka koordynuje wymianę transgraniczną i dba o to, by informacje o incydentach trafiły do właściwych instytucji w innych państwach i na poziomie UE. To rola wyłącznie koordynacyjna i łącznikowa – w odróżnieniu od tego, czym jest organ właściwy, odpowiadający za nadzór i egzekwowanie, oraz CSIRT, który prowadzi operacyjną obsługę incydentów.
Po co istnieje SPOC
Cyberataki nie zatrzymują się na granicach. Pojedynczy Punkt Kontaktowy dba o to, by informacje płynęły bez tarć między państwami członkowskimi a instytucjami UE – to jeden z filarów europejskiej współpracy. Bez jednoznacznie wskazanego adresu organy musiałyby w kryzysie najpierw ustalać, do kogo zwrócić się w sąsiednim kraju; SPOC skraca tę drogę do jednej znanej instytucji.
SPOC w układzie NIS2
Pojedynczy Punkt Kontaktowy współpracuje z organami właściwymi, zespołami CSIRT oraz z ENISA na poziomie unijnym. W Polsce tej roli nie łączy się z pozostałymi: nadzór sprawują organy właściwe dla sektorów, obsługę incydentów CSIRT NASK, CSIRT GOV i CSIRT MON, a Pojedynczy Punkt Kontaktowy prowadzi minister właściwy do spraw informatyzacji, czyli Ministerstwo Cyfryzacji jako urząd go obsługujący. Od wejścia w życie ustawy o krajowym systemie cyberbezpieczeństwa 3 kwietnia 2026 r. Pojedynczy Punkt Kontaktowy jest stałym elementem krajowej architektury cyberbezpieczeństwa.
Znaczenie dla firm
Firmy zwykle nie mają bezpośredniego kontaktu z Pojedynczym Punktem Kontaktowym – ich zgłoszenia incydentów biegną przez system S46 do właściwego CSIRT, a punktem wejścia do krajowego systemu jest Wykaz KSC. Pojedynczy Punkt Kontaktowy dba natomiast o to, by te informacje dotarły tam, gdzie są potrzebne.
Incydent w skali UE
Wyobraź sobie, że dostawca usług chmurowych z siedzibą w Polsce zostaje zaatakowany, a skutki odczuwają też klienci w Niemczech i Czechach. Firma zgłasza incydent przez system S46 do właściwego CSIRT. Polski Pojedynczy Punkt Kontaktowy informuje następnie przez sieć instytucji swoje odpowiedniki w państwach dotkniętych zdarzeniem, żeby tamtejszy nadzór mógł zareagować – bez konieczności osobnego zgłaszania w każdym kraju.
Źródło uzupełniające: Ministerstwo Cyfryzacji – cyberbezpieczeństwo
Najczęstsze pytania
Czym jest Pojedynczy Punkt Kontaktowy?
Pojedynczy Punkt Kontaktowy (SPOC) to centralna krajowa jednostka koordynująca, którą na mocy NIS2 wyznacza każde państwo członkowskie. Zapewnia transgraniczną wymianę informacji między organami państw członkowskich a instytucjami UE, w tym ENISA. To rola wyłącznie koordynacyjna i łącznikowa – w odróżnieniu od organu właściwego, który odpowiada za nadzór i egzekwowanie, oraz od CSIRT, który prowadzi operacyjną obsługę incydentów.
Kto pełni funkcję Pojedynczego Punktu Kontaktowego w Polsce?
W Polsce Pojedynczy Punkt Kontaktowy prowadzi minister właściwy do spraw informatyzacji, czyli Ministerstwo Cyfryzacji. Inaczej niż w państwach, które skupiają wszystko w jednym urzędzie, pozostałe role są u nas rozdzielone: nadzór sprawują organy właściwe dla sektorów, m.in. UKE i KNF, a obsługą incydentów zajmują się CSIRT NASK, CSIRT GOV i CSIRT MON. Od wejścia w życie ustawy o krajowym systemie cyberbezpieczeństwa 3 kwietnia 2026 r. Pojedynczy Punkt Kontaktowy jest stałym elementem krajowej architektury cyberbezpieczeństwa.
Czy firmy mają bezpośredni kontakt z Pojedynczym Punktem Kontaktowym?
Zwykle nie: zgłoszenia podmiotów idą przez system S46 do właściwego CSIRT, a nie do Pojedynczego Punktu Kontaktowego. Ten działa w tle i dba o to, by informacje o incydencie dotarły do właściwych instytucji w innych państwach członkowskich. Dzięki temu firma nie musi zgłaszać incydentu transgranicznego osobno w każdym kraju, lecz tylko raz w kraju macierzystym.