Fib.Code
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku, przenosząc dyrektywę NIS-2 do polskiego porządku prawnego. Objęła osiemnaście sektorów i tysiące organizacji, które wcześniej nie miały z tą regulacją nic wspólnego - od spółek komunalnych i wodociągów, przez podmioty lecznicze, po producentów i firmy logistyczne. Pierwszy twardy termin mija 3 października 2026 roku: do tego dnia kierownik podmiotu kluczowego lub ważnego składa wniosek o wpis do wykazu. Ustawodawca przyjął tu konstrukcję samoidentyfikacji, co oznacza rzecz istotną - nikt nie przyśle zawiadomienia, że organizacja została objęta obowiązkiem. Trzeba to ocenić samodzielnie, a oświadczenie kierownika składane jest pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego. Pomagamy przejść tę drogę od początku: ustalamy, czy i jako kto organizacja podlega ustawie, przygotowujemy wniosek, a następnie budujemy system, który wytrzyma kontrolę.
Samorządy, spółki komunalne, wodociągi i przedsiębiorstwa ciepłownicze
Podmioty lecznicze, szpitale i laboratoria diagnostyczne
Producenci, firmy logistyczne i przedsiębiorstwa transportowe
Dostawcy usług cyfrowych, ICT oraz zarządzania bezpieczeństwem (MSSP)
Podmioty z sektorów energetyki, gospodarki odpadami, żywności i chemii
Prowadzimy organizację przez wszystkie etapy - od rozstrzygnięcia, czy podlega ustawie, po gotowość na pierwszy audyt w 2028 roku.
Klasyfikacja podmiotu - ustalamy, czy organizacja spełnia przesłanki sektorowe i progowe - powyżej pięćdziesięciu pracowników albo dziesięciu milionów euro obrotu - i w której kategorii się mieści. Wynikiem jest raport, na którym kierownik może oprzeć swoje oświadczenie.
Wpis do wykazu - kompletujemy dane wymagane ustawą: zakresy adresów IP, nazwy domen, dane osób kontaktowych, informacje o dostawcach usług zarządzanych. Przygotowujemy wniosek do złożenia w systemie S46 przed 3 października 2026 roku.
Gap analysis - porównujemy stan faktyczny z wymaganiami ustawy i wskazujemy luki uszeregowane według ryzyka i pilności, z realnym oszacowaniem pracochłonności każdej z nich.
Budowa systemu zarządzania ryzykiem - opracowujemy politykę bezpieczeństwa, metodykę oceny ryzyka, plan postępowania z ryzykiem oraz procedury operacyjne - dopasowane do skali organizacji, a nie przepisane z szablonu.
Procedury incydentowe i szkolenia - wdrażamy proces zgłaszania incydentów poważnych do CSIRT w terminach ustawowych i szkolimy zarówno personel operacyjny, jak i kierownictwo, które odpowiada za cyberbezpieczeństwo osobiście.
Utrzymanie i przygotowanie do audytu - pozostajemy do dyspozycji przy przeglądach, aktualizacjach dokumentacji i przygotowaniu do obowiązkowego audytu bezpieczeństwa, który po raz pierwszy trzeba przeprowadzić do 3 kwietnia 2028 roku.
Nie dowie się Pani ani Pan tego z urzędowego pisma - ustawa opiera się na samoidentyfikacji. Trzeba sprawdzić trzy rzeczy: czy działalność mieści się w jednym z osiemnastu sektorów wskazanych w załącznikach, czy organizacja przekracza próg pięćdziesięciu pracowników albo dziesięciu milionów euro rocznego obrotu, oraz czy nie stosuje się jeden z wyjątków, w których wielkość nie ma znaczenia - dotyczy to między innymi rejestratorów domen, dostawców usług DNS i usług zaufania. Klasyfikacja bywa niejednoznaczna, zwłaszcza przy działalności mieszanej, i to właśnie od niej zaczynamy każdy projekt.
Złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Robi to kierownik podmiotu albo osoba przez niego upoważniona, elektronicznie w systemie S46, z użyciem kwalifikowanego podpisu elektronicznego. Wniosek wymaga danych identyfikacyjnych, wskazania sektora i rodzaju działalności, zakresów adresów IP i nazw domen, danych co najmniej dwóch osób kontaktowych oraz informacji o dostawcach usług zarządzanych bezpieczeństwem. Oświadczenie kierownika składane jest pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego, więc warto, by opierało się na rzetelnej analizie, a nie na przypuszczeniu.
Ustawa przewiduje kary do dziesięciu milionów euro lub dwóch procent całkowitego rocznego obrotu światowego dla podmiotów kluczowych oraz do siedmiu milionów euro lub jednego i czterech dziesiątych procent obrotu dla podmiotów ważnych - w obu przypadkach zastosowanie ma kwota wyższa. Nowością bez precedensu w polskim prawie jest odpowiedzialność osobista: kierownik podmiotu może zostać ukarany kwotą do sześciuset procent miesięcznego wynagrodzenia, a przy rażących zaniedbaniach organ może orzec czasowy zakaz pełnienia funkcji kierowniczych. Brak wpisu do wykazu nie zwalnia z obowiązków - organ może dokonać wpisu z urzędu, a obowiązki i tak ciążą na podmiocie.
To bardzo dobry punkt wyjścia i znaczna część pracy jest już wykonana - system zarządzania bezpieczeństwem informacji pokrywa większość wymagań dotyczących zarządzania ryzykiem. Ustawa o KSC idzie jednak dalej w trzech obszarach: nakłada konkretne terminy i formę zgłaszania incydentów do właściwego CSIRT, wymaga sformalizowanego podejścia do bezpieczeństwa łańcucha dostaw oraz przypisuje kierownictwu imienną odpowiedzialność, której norma nie zna. W praktyce prowadzimy wtedy projekt uzupełniający, a nie wdrożenie od zera.
Sam wniosek o wpis do wykazu przygotowujemy zwykle w dwa do trzech tygodni, licząc od przekazania danych. Pełne wdrożenie systemu zarządzania ryzykiem to najczęściej od trzech do sześciu miesięcy, w zależności od wielkości organizacji, dojrzałości obecnych procesów i liczby lokalizacji. Ustawodawca dał czas na dostosowanie do 3 kwietnia 2027 roku, a pierwszy obowiązkowy audyt bezpieczeństwa trzeba przeprowadzić do 3 kwietnia 2028 roku - harmonogram układamy tak, by oba te terminy zostały spełnione bez pośpiechu.