Obowiązek zgłaszania incydentów bez tajemnic

Czym jest obowiązek zgłaszania incydentów?

Zacznijmy od podstaw. Obowiązek zgłaszania incydentów zobowiązuje objęte podmioty do zgłaszania incydentów poważnych właściwemu zespołowi CSIRT. Chodzi o to, by organy mogły zareagować wcześnie, ostrzec dotknięte osoby trzecie i zapobiec podobnym atakom w całej gospodarce. W NIS2 – w Polsce wdrożonej ustawą o krajowym systemie cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 r. – zgłoszenie jest celowo wieloetapowe i dzięki temu zespół reagowania bardzo szybko dostaje pierwszy obraz sytuacji, uzupełniany w kolejnych krokach, zamiast czekać tygodniami na jeden kompletny raport.

Trzy etapy zgłoszenia w szczegółach

• Wczesne ostrzeżenie (w ciągu 24 godzin): pierwsza, krótka informacja o wystąpieniu incydentu poważnego – wraz ze wskazaniem, czy podejrzewa się tło bezprawne lub transgraniczne.
• Zgłoszenie incydentu poważnego (w ciągu 72 godzin): pierwsza wiarygodna ocena wagi, skutków i – o ile są znane – przyczyn oraz opis podjętych działań doraźnych.
• Sprawozdanie końcowe (w ciągu 1 miesiąca): pełny opis przyczyny, skutków i trwałych środków zaradczych.

Ścieżka zgłoszeń w skrócie

Zegar biegnie od chwili wykrycia incydentu. Każdy etap opiera się na poprzednim, a poniższa tabela pokazuje, co i w jakim terminie musi trafić do właściwego CSIRT. Krajowy system cyberbezpieczeństwa koordynuje Ministerstwo Cyfryzacji – zgłoszenia przyjmują CSIRT NASK, CSIRT GOV i CSIRT MON:

Lista kontrolna: czy mój incydent podlega zgłoszeniu?

Kilka odhaczonych pól? Wtedy biegnie zegar 24 godzin. W razie wątpliwości lepiej zgłosić.

• ☐ Czy wystąpiło poważne zakłócenie dostępności, integralności lub poufności?
• ☐ Czy doszło albo grozi przestój, szkoda finansowa lub większy wyciek danych?
• ☐ Czy mogą ucierpieć inne osoby fizyczne lub prawne?
• ☐ Czy Twoja organizacja jest w NIS2 sklasyfikowana jako podmiot kluczowy albo podmiot ważny?
• ☐ Czy osoby odpowiedzialne za zgłoszenie do CSIRT są osiągalne – także w weekend?

Kiedy incydent jest „poważny”?

Zgłoszeniu podlegają wyłącznie incydenty poważne – na przykład takie z dłuższymi przestojami, dużym wyciekiem danych, odczuwalnymi szkodami finansowymi albo wieloma dotkniętymi użytkownikami. Drobniejsze zakłócenia nie uruchamiają obowiązku zgłoszenia, ale warto je dokumentować wewnętrznie, żeby w razie wątpliwości dało się wykazać, dlaczego zgłoszenia nie było.

Kto jest adresatem zgłoszenia?

W Polsce zgłoszenia trafiają do właściwego CSIRT: CSIRT NASK, CSIRT GOV albo CSIRT MON. Wcześniej podmiot musi jednak trafić do rejestru, jakim jest Wykaz KSC – za koordynację krajowego systemu cyberbezpieczeństwa odpowiada Ministerstwo Cyfryzacji jako organ właściwy. Samoidentyfikacja przez wykaz-ksc.gov.pl jest obowiązkowa do 3 października 2026 r., a podmioty spełniające kryteria później mają na to 6 miesięcy. Konta i dostępy powinny działać, zanim wydarzy się pierwszy incydent.

Co konkretnie trzeba zrobić?

• Zawczasu sprawdź swój wpis w rejestrze o nazwie Wykaz KSC oraz wyznacz osoby uprawnione do zgłoszeń – nie dopiero w trakcie incydentu.
• Wyznacz osoby odpowiedzialne za zgłoszenia i ich zastępstwa, osiągalne całą dobę.
• Miej pod ręką gotowe wzory dla zgłoszenia 24-godzinnego, 72-godzinnego i miesięcznego.
• Przy podejrzeniu od razu zacznij oś czasu: kto, kiedy i co zauważył?
• Zadbaj, by obrona i zgłoszenie szły w parze – służy do tego plan reagowania na incydenty, w którym oba procesy biegną równolegle.

Incydent w piątkowy wieczór

Piątek, 22:14. Przedsiębiorstwo energetyczne zauważa, że ransomware zaszyfrował oprogramowanie dyspozytorni. Gdy jeden zespół jeszcze tej samej nocy izoluje przejęte systemy, drugi równolegle formułuje wczesne ostrzeżenie i wysyła je do właściwego CSIRT przed upływem 24 godzin; w poniedziałek w terminie idzie zgłoszenie incydentu poważnego z pierwszą oceną szkód, a cztery tygodnie później wpływa sprawozdanie końcowe z pełną analizą przyczyn i trwałymi środkami utwardzającymi. Nie zdecydowało szczęście. Role, dostępy i wzory były gotowe, zanim zaczął się atak.

Co grozi za naruszenia?

Naruszenie obowiązków zgłoszeniowych grozi dotkliwymi karami pieniężnymi: podmiotom kluczowym do 10 mln EUR lub 2 % rocznego obrotu światowego, podmiotom ważnym do 7 mln EUR lub 1,4 %. Do tego dochodzi nadzór kierownictwa: organ zarządzający zatwierdza środki zarządzania ryzykiem i nadzoruje ich wdrożenie. Przygotowany plan reagowania na incydenty pomaga pewnie dotrzymać terminów.

Źródło uzupełniające: Dyrektywa NIS2 (UE) 2022/2555 – obowiązki zgłoszeniowe według art. 23