Ustawa o KSC bez tajemnic

Czym jest ustawa o KSC?

Podstawowe znaczenie ma tu Ustawa o KSC – formalnie ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, ogłoszona w Dz.U. 2026 poz. 252. Wdraża ona do prawa polskiego dyrektywę NIS2, czyli dyrektywę (UE) 2022/2555. Dyrektywy unijne nie obowiązują wprost: dopiero ustawa krajowa czyni ich wymogi wiążącymi i egzekwowalnymi dla polskich firm. Skrótowo nazywa się ją: ustawa o KSC – choć pełny tytuł nowelizacji brzmi: ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa. Nowelizacja zmienia ustawę o krajowym systemie cyberbezpieczeństwa z 2018 r. i wyraźnie poszerza krąg podmiotów objętych regulacją.

Od kiedy obowiązuje

Ustawa obowiązuje od 3 kwietnia 2026 r. Od tej daty obowiązki w zakresie cyberbezpieczeństwa wiążą objęte nią podmioty – to już nie zalecenie, lecz obowiązek ustawowy. Samoidentyfikacja i wpis do wykazu KSC to pierwszy z nich – termin upływa 3 października 2026 r. i wciąż biegnie. Podmioty, które spełnią kryteria później, mają na zgłoszenie 6 miesięcy od chwili ich spełnienia, a pełny zakres obowiązków obowiązuje od 3 kwietnia 2027 r.

Czego konkretnie wymaga

• Samoidentyfikacja i wpis do wykazu KSC pod adresem wykaz-ksc.gov.pl, wraz z samodzielną oceną, czy podmiot jest kluczowy, czy ważny.
• Zarządzanie ryzykiem oraz adekwatne środki techniczne i organizacyjne odpowiadające aktualnemu stanowi wiedzy technicznej.
• Dotrzymanie trzystopniowych obowiązków zgłaszania incydentów w razie incydentu poważnego: wczesne ostrzeżenie w 24 godziny, zgłoszenie incydentu poważnego w 72 godziny, sprawozdanie końcowe w miesiąc – przez system S46 do właściwego CSIRT.
• Zatwierdzanie środków zarządzania ryzykiem i nadzór nad ich wdrożeniem, za które odpowiada organ zarządzający – a także regularne szkolenia kierownictwa.

Powiązania prawne: jakich aktów dotyczy nowelizacja

Nowelizacja nie tworzy nowego aktu od zera, lecz zmienia ustawę już obowiązującą – ustawę o krajowym systemie cyberbezpieczeństwa z 2018 r. Najważniejsze punkty odniesienia w skrócie:

Co zmienia się konkretnie

• Krąg podmiotów objętych regulacją rośnie daleko poza dotychczasowy zakres ustawy o krajowym systemie cyberbezpieczeństwa z 2018 r. – obejmuje teraz wiele średnich firm z 18 sektorów wskazanych w załącznikach do dyrektywy.
• Dobrowolne dotąd dobre praktyki stają się egzekwowalnym obowiązkiem: kto zaniecha środków, ryzykuje karę pieniężną.
• Ustawa wprowadza sztywne terminy, jakich wymaga ścieżka zgłoszeń – wczesne ostrzeżenie w 24 godziny, zgłoszenie incydentu poważnego w 72 godziny, sprawozdanie końcowe w miesiąc.
• Podstawowe znaczenie ma tu organ zarządzający – zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i przechodzi szkolenia z cyberbezpieczeństwa.

Kto nadzoruje wykonanie ustawy?

Nadzór jest podzielony według sektorów. Koordynację krajowego systemu cyberbezpieczeństwa prowadzi Ministerstwo Cyfryzacji, które prowadzi wykaz KSC i pełni funkcję Pojedynczego Punktu Kontaktowego, natomiast nadzór nad konkretnymi podmiotami i kary pieniężne należą do organów właściwych dla sektorów – m.in. UKE w łączności elektronicznej i usługach pocztowych oraz KNF w sektorze finansowym. Kary sięgają 10 mln EUR lub 2 % rocznego obrotu światowego dla podmiotów kluczowych i 7 mln EUR lub 1,4 % dla podmiotów ważnych.

Przykład: regionalne przedsiębiorstwo wodociągowe orientuje się, że jest objęte ustawą. Sprawdza sektor i progi wielkości, kwalifikuje się jako podmiot kluczowy i samo zgłasza się do wykazu KSC; następnie dokumentuje zarządzanie ryzykiem, ustawia proces zgłaszania incydentów poważnych przez system S46 i doprowadza do formalnego zatwierdzenia środków przez organ zarządzający – dzięki czemu podstawowe obowiązki ustawy da się wykazać bez luk.

Co konkretnie trzeba zrobić?

• Sprawdzić objęcie: czy organizacja ze względu na sektor i wielkość podlega ustawie o krajowym systemie cyberbezpieczeństwa?
• Dokonać samoidentyfikacji w wykazie KSC – termin upływa 3 października 2026 r., a nowe podmioty mają 6 miesięcy od spełnienia kryteriów.
• Udokumentować zarządzanie ryzykiem i środki techniczne odpowiadające aktualnemu stanowi wiedzy technicznej.
• Ustawić i przetestować proces zgłaszania incydentów w terminach 24 i 72 godzin.
• Przeszkolić organ zarządzający i pisemnie utrwalić zatwierdzenie środków.

Źródło uzupełniające: Ministerstwo Cyfryzacji – cyberbezpieczeństwo