Krajowy system cyberbezpieczeństwa po wdrożeniu NIS2
Dla podmiotów kluczowych i ważnych, ich kierownictwa oraz zespołów odpowiedzialnych za zgodność.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zmieniła nie tyle listę zabezpieczeń, ile sposób, w jaki państwo egzekwuje ich stosowanie. Zniknął model, w którym organ wskazywał operatora usługi kluczowej decyzją. Dziś organizacja sama ustala, czy podlega ustawie, sama wpisuje się do wykazu i sama odpowiada za skutki błędnej oceny — a odpowiedzialność za to przypisano imiennie kierownikowi podmiotu.
Ta strona porządkuje wymagania ustawy w formie, w jakiej patrzy na nie audytor: co dokładnie nakazuje przepis, jak organizacje zwykle to rozwiązują i co po takim rozwiązaniu zostaje jako dowód możliwy do zweryfikowania.
Co realnie zmieniła nowelizacja
- Samoidentyfikacjaart. 5, art. 7c
- Podmiot sam ocenia, czy spełnia przesłanki, i składa wniosek o wpis do wykazu. Brak decyzji organu nie jest już usprawiedliwieniem bierności.
- Dwie kategorie podmiotówart. 5 ust. 1 i 2
- Operator usługi kluczowej i dostawca usługi cyfrowej ustąpili miejsca podmiotom kluczowym i ważnym. Zakres sektorowy jest wyraźnie szerszy.
- Imienna odpowiedzialność kierownikaart. 8c, art. 73a
- Obowiązku zatwierdzenia środków zarządzania ryzykiem nie da się scedować. Kara pieniężna może zostać nałożona na kierownika niezależnie od kary dla podmiotu.
- Łańcuch dostaw jako obowiązek własnyart. 8, art. 67b–67c
- Ryzyko dostawcy przestało być kwestią umowną. Doszła krajowa procedura dostawcy wysokiego ryzyka wraz z obowiązkiem wycofania jego produktów.
- Audyt z wymuszoną niezależnościąart. 15 ust. 2 i 2a
- Ustawa określa, kto może przeprowadzić audyt, i wyłącza z tej roli osoby, które wcześniej wdrażały u audytowanego SZBI lub obsługiwały incydenty.
- Nowy pułap sankcjiart. 73, art. 73a
- Do 10 mln EUR albo 2% przychodu, a w przypadku poważnego cyberzagrożenia — odrębna kara do 100 mln zł, nieprzewidziana w samej dyrektywie.
Jak czytać ten materiał
Pod każdą parą wskazujemy dowody — artefakty, których audytor będzie szukał na potwierdzenie, że obowiązek jest realizowany, a nie tylko opisany.
Nie wiesz, czy ustawa dotyczy Twojej organizacji? Kwalifikacja opiera się na sektorze i wielkości przedsiębiorstwa. Trzy pytania wystarczą, żeby ustalić kierunek i zobaczyć, które terminy zaczynają biec.
Ustalenie statusu podmiotu
Kwalifikacja opiera się na dwóch niezależnych przesłankach: przynależności sektorowej i wielkości przedsiębiorstwa. Obie muszą być spełnione łącznie — z zastrzeżeniem katalogu podmiotów objętych ustawą niezależnie od wielkości.
Kwalifikator wstępny
1. Do którego załącznika ustawy należy podstawowa działalność organizacji?
2. Jaka jest wielkość przedsiębiorstwa według kryteriów unijnych?
3. Czy zachodzi którakolwiek z okoliczności szczególnych?
Chodzi m.in. o: bycie jedynym dostawcą danej usługi w kraju, świadczenie usług rejestracji nazw domen, DNS, punktów wymiany ruchu, usług zaufania lub komunikacji elektronicznej, status podmiotu administracji publicznej, a także wskazanie podmiotu przez organ w drodze decyzji.
Wynik ma charakter orientacyjny. Ostateczna kwalifikacja wymaga analizy formy prawnej, struktury grupy kapitałowej i rzeczywistego zakresu świadczonych usług.
Sektory objęte ustawą
Załącznik nr 1 — sektory kluczowe
- Energia: elektroenergetyka, ciepło, ropa, gaz, wodór
- Transport: lotniczy, kolejowy, wodny, drogowy
- Bankowość i infrastruktura rynków finansowych
- Ochrona zdrowia, w tym laboratoria i wytwórcy
- Woda pitna oraz ścieki
- Infrastruktura cyfrowa: IXP, DNS, rejestry TLD, centra danych, CDN, usługi zaufania
- Komunikacja elektroniczna — po nowelizacji, z Prezesem UKE jako organem właściwym
- Zarządzanie usługami ICT w modelu B2B: MSP i MSSP
- Administracja publiczna
- Przestrzeń kosmiczna
Załącznik nr 2 — sektory ważne
- Usługi pocztowe i kurierskie — również objęte nowelizacją
- Gospodarowanie odpadami
- Produkcja, wytwarzanie i dystrybucja chemikaliów
- Produkcja, przetwarzanie i dystrybucja żywności
- Produkcja: wyroby medyczne, elektronika, maszyny, pojazdy
- Dostawcy usług cyfrowych: platformy handlowe, wyszukiwarki, sieci społecznościowe
- Badania naukowe
Sektor finansowy. Dla podmiotów objętych rozporządzeniem DORA reżim unijny stanowi lex specialis wobec części obowiązków KSC. Zakres, w jakim wyłączenie działa, zależy od rodzaju podmiotu i wymaga odrębnej analizy — nie zakładamy automatycznie ani pełnego wyłączenia, ani pełnego nakładania się obu reżimów.
Terminy ustawowe i ile z nich zostało
art. 33–35 ustawy nowelizującej · art. 7c · art. 16
Terminy biegną od dnia spełnienia przesłanek uznania za podmiot kluczowy albo ważny. Dla organizacji, które spełniały je już w dniu wejścia nowelizacji w życie, punktem odniesienia jest 3 kwietnia 2026 r.
Oś czasu
Uchwalenie nowelizacji
Ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
Ogłoszenie w Dzienniku Ustaw
Dz.U. 2026 poz. 252. Tekst jednolity ustawy z 5 lipca 2018 r. — Dz.U. 2026 poz. 20.
Wejście w życie
Od tego dnia biegną terminy dla podmiotów, które w dniu wejścia w życie spełniały już przesłanki ustawowe.
Wniosek o wpis do wykazu
Wniosek składany elektronicznie w systemie S46, opatrzony kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią. Zmiany danych aktualizuje się w ciągu 14 dni.
Pełne wdrożenie obowiązków rozdziału 3
System zarządzania bezpieczeństwem informacji, środki techniczne i organizacyjne, procedury incydentowe oraz korzystanie z systemu teleinformatycznego organu.
Pierwszy audyt bezpieczeństwa — podmioty kluczowe
Audyt na koszt podmiotu. Kolejne co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z poprzedniego audytu.
Początek egzekwowania kar pieniężnych
Kary z art. 73 ust. 1–4 oraz art. 73a–73c mogą być nakładane po upływie 2 lat od wejścia ustawy w życie. Wyjątkiem jest kara z art. 73 ust. 5 — za bezpośrednie i poważne cyberzagrożenie.
Termin praktyczny, którego nie ma w ustawie. Audyt z art. 15 wymaga dowodów operacyjnych z okresu poprzedzającego badanie — rejestrów, zgłoszeń, przeglądów, zapisów ze szkoleń. Organizacja, która wdroży SZBI dopiero w kwietniu 2027 r., przystąpi do pierwszego audytu z rocznym materiałem dowodowym. To zwykle za mało, by wykazać skuteczność środków, a nie tylko ich istnienie.
Katalog obowiązków — wymóg i typowe rozwiązanie
Ten sam katalog obowiązuje podmioty kluczowe i ważne. Różnica dotyczy trybu nadzoru, obowiązku audytowego i wysokości sankcji, nie zakresu wymagań merytorycznych. Rozwiń pozycję, aby zobaczyć zestawienie.
Prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzania tym ryzykiem, w odniesieniu do systemów informacyjnych wykorzystywanych w procesach wpływających na świadczenie usługi.
Metodyka oparta na ISO/IEC 27005 lub uproszczonej skali prawdopodobieństwo × skutek, z rejestrem ryzyk aktualizowanym cyklicznie i po każdej istotnej zmianie.
- Powiązanie ryzyk z inwentaryzacją aktywów i procesów
- Plan postępowania z ryzykiem zatwierdzany przez kierownika podmiotu
- Formalna akceptacja ryzyka rezydualnego
Wdrożenie udokumentowanych polityk bezpieczeństwa informacji oraz polityk szacowania ryzyka, adekwatnych do oszacowanego poziomu ryzyka.
Polityka nadrzędna zatwierdzana przez kierownictwo, uzupełniona zestawem polityk szczegółowych. Struktura zwykle odwzorowuje układ załącznika A do ISO/IEC 27001.
- Jasno wyznaczony zakres systemu — granice organizacyjne i techniczne
- Wersjonowanie, właściciel dokumentu, cykl przeglądu
- Potwierdzone zapoznanie się personelu
Wdrożenie środków obejmujących wykrywanie, rejestrowanie, analizę, klasyfikację i reagowanie na incydenty, a także działania po incydencie.
Procedura z jednoznaczną ścieżką eskalacji i progami czasowymi zharmonizowanymi z terminami zgłoszeniowymi z art. 11, w połączeniu z monitorowaniem zdarzeń.
- Kryteria klasyfikacji incydentu jako poważnego, opisane wprost
- Role i zastępstwa, w tym poza godzinami pracy
- Ćwiczenia scenariuszowe i przegląd wniosków po zdarzeniu
Zapewnienie ciągłości działania, w tym zarządzania kopiami zapasowymi, odtwarzania po awarii oraz zarządzania kryzysowego.
Analiza wpływu na działalność wyznaczająca RTO i RPO dla usług objętych ustawą, plany ciągłości i odtwarzania oraz udokumentowane testy odtwarzania.
- Testy odtwarzania z kopii, nie tylko weryfikacja wykonania kopii
- Kopie odseparowane od środowiska produkcyjnego
- Struktura zgodna z ISO 22301 — najczystsza droga do wykazania zgodności
Zapewnienie bezpieczeństwa łańcucha dostaw, z uwzględnieniem relacji między podmiotem a jego bezpośrednimi dostawcami lub usługodawcami oraz podatności charakterystycznych dla każdego z nich.
Rejestr dostawców z klasyfikacją krytyczności, ocena ryzyka przed zawarciem umowy i cyklicznie, klauzule bezpieczeństwa oraz plan zastąpienia dostawcy.
- Prawo do audytu albo akceptowany dowód zastępczy — certyfikat, raport SOC 2
- Obowiązek notyfikacji incydentu po stronie dostawcy
- Powiązanie rejestru dostawców z procedurą dostawcy wysokiego ryzyka
Bezpieczeństwo w procesie nabywania, rozwoju i utrzymania systemów informacyjnych, w tym obsługa i ujawnianie podatności.
Proces zarządzania podatnościami z ustalonymi oknami naprawczymi zależnymi od krytyczności, oraz wymagania bezpieczeństwa wpięte w cykl zmian.
- Skanowanie i priorytetyzacja oparte o CVSS wraz z kontekstem biznesowym
- Kontrolowany proces zmian z testami przed wdrożeniem
- Kanał przyjmowania zgłoszeń o podatnościach z zewnątrz
Stosowanie polityk i procedur oceny skuteczności środków technicznych i organizacyjnych zarządzania ryzykiem.
Program audytów wewnętrznych, mierniki skuteczności oraz przegląd zarządzania prowadzony przez kierownictwo — cykl zgodny z rozdziałami 9 i 10 ISO/IEC 27001.
- Wskaźniki dobierane pod decyzje, nie pod raport
- Niezgodności z przypisanym właścicielem i terminem
- Weryfikacja skuteczności działań korygujących
Stosowanie podstawowych praktyk cyberhigieny oraz prowadzenie szkoleń z zakresu cyberbezpieczeństwa.
Program obejmujący wdrożenie nowych pracowników, szkolenie cykliczne dla wszystkich, moduły dla ról technicznych oraz ćwiczenia praktyczne.
- Symulacje phishingowe mierzone trendem, nie pojedynczym wynikiem
- Odrębne treści dla administratorów i zespołu reagowania
- Ewidencja uczestnictwa — podstawowy dowód w audycie
Stosowanie polityk i procedur dotyczących wykorzystywania kryptografii, w tym w stosownych przypadkach szyfrowania.
Polityka kryptograficzna wskazująca dopuszczalne algorytmy i długości kluczy, wraz z zasadami zarządzania kluczami przez cały cykl życia.
- Szyfrowanie danych w spoczynku i w tranzycie, z określonymi wyjątkami
- Rotacja i deponowanie kluczy, procedura na wypadek kompromitacji
- Wycofywanie algorytmów uznanych za przestarzałe
Zapewnienie bezpieczeństwa zasobów ludzkich, kontroli dostępu do informacji oraz zarządzania aktywami.
Powiązanie procesów kadrowych z uprawnieniami: nadanie przy zatrudnieniu, zmiana przy przeniesieniu, odebranie przy odejściu, z okresowym przeglądem.
- Inwentaryzacja aktywów ICT z wyznaczonym właścicielem i śledzeniem EoL/EoS
- Konta uprzywilejowane objęte odrębnym reżimem
- Przegląd uprawnień dokumentowany, nie deklarowany
Stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.
MFA obowiązkowe dla dostępu zdalnego, kont administracyjnych i systemów krytycznych, oraz wyznaczony kanał łączności kryzysowej niezależny od podstawowej infrastruktury.
- Kanał zapasowy testowany, z listą kontaktów utrzymywaną poza systemem produkcyjnym
- Udokumentowane uzasadnienie tam, gdzie MFA nie jest technicznie możliwe
Wyznaczenie co najmniej dwóch osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa oraz powołanie wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo albo zawarcie umowy z podmiotem świadczącym takie usługi.
W mniejszych organizacjach — umowa z dostawcą usług bezpieczeństwa, z zachowaniem wewnętrznego właściciela procesu. W większych — własny zespół lub funkcja CISO.
- Dane osób kontaktowych zgodne z wpisem w wykazie i aktualizowane w ciągu 14 dni
- Powierzenie zadań nie przenosi odpowiedzialności kierownika podmiotu
Uwaga redakcyjna. Oznaczenia jednostek redakcyjnych podano według układu art. 8 ust. 1 pkt 2 ustawy w brzmieniu po nowelizacji. Dla podmiotów publicznych część obowiązków doprecyzowuje załącznik nr 4. Przy powoływaniu podstawy prawnej w dokumentacji wewnętrznej zalecamy każdorazową weryfikację w tekście jednolitym.
Zgłaszanie incydentów poważnych
Zegar rusza od wykrycia incydentu, nie od jego wystąpienia i nie od zakończenia analizy. To najczęstsze źródło naruszenia terminu: organizacja czeka z powiadomieniem do momentu, w którym wie już wszystko.
Zakres poszczególnych zgłoszeń
Wczesne ostrzeżenie
- Informacja o wykryciu incydentu
- Podejrzenie działania bezprawnego lub umyślnego
- Możliwe skutki transgraniczne
- Wstępny, szacunkowy zakres wpływu
Zgłoszenie właściwe
- Aktualizacja informacji z wczesnego ostrzeżenia
- Ocena dotkliwości i wpływu na usługę
- Wskaźniki naruszenia bezpieczeństwa
- Zastosowane środki zaradcze
Sprawozdanie końcowe
- Szczegółowy opis przebiegu
- Przyczyna źródłowa i typ zagrożenia
- Zastosowane i planowane środki
- Skutki transgraniczne, jeżeli wystąpiły
Kiedy incydent jest poważny
Kwalifikacja opiera się na skutku, także potencjalnym. Wystarczy spełnienie jednej przesłanki:
- spowodował lub może spowodować poważne zakłócenie świadczenia usługi albo straty finansowe podmiotu
- wpłynął lub może wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe lub niemajątkowe
Sformułowanie „może spowodować” oznacza, że decyzja o zgłoszeniu zapada przy niepełnej wiedzy. Procedura powinna zawierać regułę rozstrzygania wątpliwości na rzecz zgłoszenia.
Kanał i adresat
CSIRT NASK
Podmioty spoza właściwości CSIRT GOV i CSIRT MON, dostawcy usług cyfrowych, samorząd, sektor prywatny.
CSIRT GOV
Organy władzy publicznej, podmioty o szczególnym znaczeniu dla bezpieczeństwa państwa.
CSIRT MON
Podmioty podległe Ministrowi Obrony Narodowej i przedsiębiorcy o szczególnym znaczeniu obronnym.
Zgłoszenia kierowane są przez system teleinformatyczny S46. W sektorach, w których ustanowiono CSIRT sektorowy, pełni on rolę pierwszej linii — warto ustalić właściwość zanim wystąpi incydent, a nie w trakcie liczenia 24 godzin.
Łańcuch dostaw i dostawca wysokiego ryzyka
art. 8 · art. 67b–67c · załącznik nr 3
Obowiązek dotyczący dostawców ma dwie warstwy. Pierwsza to zarządzanie ryzykiem relacji z dostawcami — analogiczne do wymagań ISO. Druga to krajowa procedura administracyjna, która nie ma odpowiednika w żadnej normie i której skutki są nieodwracalne dla zaangażowanych technologii.
Procedura dostawcy wysokiego ryzyka
Z urzędu albo na wniosek
Postępowanie prowadzi minister właściwy do spraw informatyzacji. Przedmiotem jest dostawca produktów, usług lub procesów ICT.
Kryteria techniczne i pozatechniczne
Podatności produktów, historia naruszeń, zdolność dostawcy do zapewnienia bezpieczeństwa, a także powiązania z państwem trzecim i ryzyko wpływu.
Uznanie za dostawcę wysokiego ryzyka
Decyzja podlega ogłoszeniu. Od dnia ogłoszenia obowiązuje zakaz nabywania objętych nią produktów, usług i procesów ICT.
Do 7 lat, a dla funkcji krytycznych do 4 lat
Produkty, usługi i procesy nabyte przed ogłoszeniem decyzji mogą być wykorzystywane nie dłużej niż 7 lat od jej ogłoszenia. Dla wykorzystywanych do funkcji krytycznych, określonych w załączniku nr 3 do ustawy, termin skraca się do 4 lat.
Skutek dla zamówień publicznych
Nowelizacja zmieniła również Prawo zamówień publicznych. Podstawy odrzucenia oferty z art. 226 ust. 1 pkt 17 i 19 Pzp w nowym brzmieniu obowiązują od 3 kwietnia 2026 r. Dla jednostek sektora publicznego oznacza to, że status dostawcy trzeba badać na etapie postępowania, a nie dopiero przy realizacji umowy.
Co robi się z tym w praktyce
- Rejestr dostawców i komponentów ICT z możliwością szybkiego wyszukania producenta
- Klauzula umożliwiająca rozwiązanie umowy w razie decyzji o uznaniu za dostawcę wysokiego ryzyka
- Wstępnie zidentyfikowana ścieżka zastąpienia dla technologii o najwyższej koncentracji
- Monitorowanie ogłoszeń w Monitorze Polskim
Praktyczna obserwacja. Większość organizacji potrafi wskazać dostawców, z którymi ma podpisane umowy. Znacznie mniej potrafi w rozsądnym czasie odpowiedzieć, jakie komponenty jakiego producenta pracują w ich infrastrukturze. Procedura dostawcy wysokiego ryzyka czyni z tej drugiej zdolności wymóg operacyjny.
Odpowiedzialność kierownika podmiotu
Najdalej idąca zmiana nowelizacji nie dotyczy technologii. Ustawa przypisała konkretne obowiązki osobie kierującej podmiotem i powiązała je z sankcją nakładaną na tę osobę, niezależnie od kary dla organizacji.
Kierownik podmiotu zatwierdza środki zarządzania ryzykiem w cyberbezpieczeństwie i nadzoruje ich wdrożenie. Odpowiedzialność pozostaje po jego stronie także wtedy, gdy część albo całość obowiązków powierzono innej osobie za jej zgodą.
Formalne zatwierdzenie planu postępowania z ryzykiem i polityki nadrzędnej uchwałą albo zarządzeniem, z cyklicznym punktem cyberbezpieczeństwa w agendzie zarządu.
- Protokoły posiedzeń jako dowód sprawowanego nadzoru
- Rejestr decyzji dotyczących ryzyk zaakceptowanych świadomie
Kierownik podmiotu odbywa szkolenie z zakresu wykonywania obowiązków wynikających z ustawy, nie rzadziej niż raz w roku.
Szkolenie dedykowane poziomowi zarządczemu, obejmujące obowiązki ustawowe, konsekwencje ich niewykonania i proces decyzyjny w sytuacji incydentu.
- Zaświadczenie imienne z zakresem tematycznym i datą
- Objęcie szkoleniem osoby, której powierzono zadania
Obowiązek weryfikacji karalności w zakresie określonym ustawą, w odniesieniu do wskazanych w niej osób.
Procedura pozyskiwania zaświadczeń z Krajowego Rejestru Karnego wpięta w proces kadrowy, z określonym cyklem odnawiania i zasadami retencji dokumentów.
- Podstawa i zakres przetwarzania danych ustalone przed uruchomieniem procesu
- ISO/IEC 27001 wymaga postępowań sprawdzających, ale nie przesądza formy — KRK to wymóg krajowy
Kara pieniężna może zostać nałożona na kierownika podmiotu kluczowego albo ważnego niezależnie od kary nałożonej na podmiot. Wymiar: do 300% wynagrodzenia ukaranego, obliczanego według zasad ustalania ekwiwalentu za urlop; dla kierownika podmiotu publicznego — do 100%, z wyjątkiem sytuacji, gdy podmiot podlega ustawie także z tytułu sektora z załącznika nr 1 lub 2.
Budowanie ścieżki dowodowej należytej staranności: udokumentowane decyzje, zatwierdzenia, przydzielone zasoby i reakcja na zgłaszane ryzyka.
- Ślad decyzyjny dla odrzuconych wniosków budżetowych dotyczących bezpieczeństwa
- Regularne raportowanie stanu zgodności do organu zarządzającego
Czego nie da się delegować. Powierzenie zadań dostawcy usług bezpieczeństwa, powołanie CISO albo wyznaczenie osoby kontaktowej to działania organizacyjne. Odpowiedzialność prawna z art. 8c pozostaje przy kierowniku podmiotu.
Sankcje administracyjne
art. 73 · art. 73a · art. 67g · art. 35 ustawy nowelizującej
Polski ustawodawca nie poprzestał na pułapach z dyrektywy. Obok kar znanych z NIS2 wprowadzono odrębną, wyższą sankcję za naruszenia powodujące bezpośrednie i poważne cyberzagrożenie — rozwiązanie krajowe, bez odpowiednika w prawie unijnym.
Struktura sankcji
| Adresat i podstawa | Wymiar |
|---|---|
| Podmiot kluczowy art. 73 ust. 3 | Do 10 000 000 EUR albo do 2% rocznego przychodu z działalności gospodarczej za rok poprzedni — kwota wyższa. Kara nie może być niższa niż 15 000 zł. |
| Podmiot ważny art. 73 ust. 4 | Do 7 000 000 EUR albo do 1,4% rocznego przychodu — kwota wyższa. Dolna granica jak wyżej. Przy działalności krótszej niż 12 miesięcy podstawę wymiaru stanowi kwota 250 000 EUR. |
| Poważne cyberzagrożenie art. 73 ust. 5 | Do 100 000 000 zł, gdy naruszenie powoduje bezpośrednie i poważne zagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi. |
| Niewykonanie polecenia zabezpieczającego art. 67g | Do 100 000 000 zł, nakładane przez ministra właściwego do spraw informatyzacji. |
| Kierownik podmiotu art. 73a ust. 4–5 | Do 300% wynagrodzenia ukaranego, obliczanego według zasad ustalania ekwiwalentu pieniężnego za urlop. Dla kierownika podmiotu publicznego — do 100%, chyba że podmiot podlega ustawie także z tytułu sektora z załącznika nr 1 lub 2. Kara nakładana niezależnie od kary dla podmiotu. |
Kiedy kary zaczną być nakładane. Zgodnie z art. 35 ustawy nowelizującej egzekwowanie kar z art. 73 ust. 1–4 oraz art. 73a–73c rozpoczyna się po upływie dwóch lat od wejścia ustawy w życie, czyli od 3 kwietnia 2028 r. Wyłączona z tego okresu jest kara z art. 73 ust. 5 — może być nałożona wcześniej. Okres przejściowy dotyczy sankcji, nie samych obowiązków: te wiążą od terminów wskazanych w zakładce „Terminy”.
Co wpływa na wymiar kary
Okoliczności przemawiające na korzyść
- Niezwłoczne usunięcie naruszenia po jego stwierdzeniu
- Współdziałanie z organem w toku czynności
- Udokumentowany, realizowany plan wdrożenia
- Certyfikacja systemu przez akredytowaną jednostkę
- Brak wcześniejszych naruszeń
Okoliczności obciążające
- Umyślność albo rażące niedbalstwo
- Powtarzalność naruszeń
- Rozmiar szkody i liczba dotkniętych odbiorców
- Skutki transgraniczne
- Utrudnianie czynności kontrolnych
Audyt bezpieczeństwa systemu informacyjnego
Ustawa nie ogranicza się do nakazania audytu. Określa, kto może go przeprowadzić, kto jest z tej roli wyłączony i w jakim terminie raport trafia do organu. To najbardziej sformalizowany element całego reżimu.
Kto może przeprowadzić audyt
| Podstawa | Warunki |
|---|---|
| Jednostka oceniająca zgodność art. 15 ust. 2 pkt 1 |
Akredytowana zgodnie z ustawą z 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, w zakresie właściwym dla bezpieczeństwa systemów informacyjnych. |
| Co najmniej dwóch audytorów art. 15 ust. 2 pkt 2 |
Legitymujących się certyfikatami z rozporządzenia wydanego na podstawie art. 15 ust. 8 — m.in. CISA, CISM, CRISC, CGEIT, CIA, CISSP, SSCP, audytor wiodący ISO/IEC 27001, audytor wiodący ISO 22301, ISA/IEC 62443 Cybersecurity Expert — albo wykazujących wymaganą praktykę. |
| CSIRT sektorowy art. 15 ust. 2 pkt 3 |
Ustanowiony dla sektora lub podsektora z załącznika nr 1, jeżeli jego audytorzy spełniają warunki jak wyżej. |
| Praktyka zamiast certyfikatu art. 15 ust. 3 |
Co najmniej trzyletnia praktyka w zakresie audytu bezpieczeństwa systemów informacyjnych, albo dwuletnia w połączeniu z dyplomem studiów podyplomowych w tym zakresie. Praktykę wykazuje się m.in. trzema udokumentowanymi audytami w ostatnich trzech latach. |
Wyłączenie z roli audytora
art. 15 ust. 2a. Audytu nie może przeprowadzić osoba realizująca w podmiocie audytowanym zadania, o których mowa w art. 8 oraz art. 9–13, ani osoba, która realizowała je w okresie roku poprzedzającego dzień rozpoczęcia audytu.
Konsekwencje bywają niedoszacowane na etapie planowania budżetu:
- konsultant, który wdrażał SZBI, nie może rok później zaudytować własnego wdrożenia
- wewnętrzny zespół bezpieczeństwa realizujący zadania z art. 8 jest wyłączony
- dostawca usług bezpieczeństwa działający na podstawie art. 14 musi wyznaczyć do audytu inne osoby — a i to rozwiązanie bywa kwestionowane
Rozdzielenie ról wdrożeniowej i audytowej najtaniej przeprowadza się na początku projektu. Później oznacza to zwykle zmianę wykonawcy pod presją terminu.
Podmiot ważny a audyt
Brak obowiązku cyklicznego
Podmiot ważny nie podlega audytowi co trzy lata. Organ właściwy może jednak nakazać przeprowadzenie audytu w drodze decyzji — w szczególności po wystąpieniu incydentu poważnego lub innego naruszenia. Decyzja podlega natychmiastowemu wykonaniu.
Obowiązek oceny skuteczności pozostaje
Art. 8 ust. 1 pkt 2 lit. f wymaga stosowania polityk i procedur oceny skuteczności środków. W praktyce podmiot ważny i tak prowadzi audyty — poza reżimem art. 15, najczęściej w formule audytu wewnętrznego według ISO/IEC 27001.
Zakres badania
Stanowisko Ministerstwa Cyfryzacji jest szersze niż literalne brzmienie przepisu: audyt powinien obejmować cały system informacyjny podmiotu, nie tylko fragmenty związane z konkretną usługą. Przy ustalaniu zakresu warto tę rozbieżność rozstrzygnąć przed rozpoczęciem prac, bo determinuje ona pracochłonność.
Warstwa organizacyjna
Polityki, role, proces zarządzania ryzykiem, nadzór kierownictwa, kompetencje, dokumentacja i jej rzeczywiste stosowanie.
Warstwa techniczna
Konfiguracja, segmentacja, kontrola dostępu, kryptografia, zarządzanie podatnościami, monitorowanie i rejestrowanie zdarzeń.
Warstwa fizyczna
Kontrola dostępu do pomieszczeń, ochrona infrastruktury i nośników, zabezpieczenia środowiskowe.
Dokumentacja, której szuka audytor
Perspektywa audytora
Poniższe zestawienie nie jest listą dokumentów wymaganych przez ustawę — ustawa nie narzuca formy dokumentacji. To katalog artefaktów, które w praktyce audytowej najskuteczniej wykazują realizację poszczególnych obowiązków.
Materiały niedostępne publicznie. Wzory, matryce i listy kontrolne wskazane poniżej stanowią nasze opracowania własne, wykorzystywane w projektach. Nie udostępniamy ich do pobrania — również dlatego, że pusty szablon bez dopasowania do organizacji nie stanowi dowodu zgodności i bywa źródłem niezgodności w audycie.
Ocena zgodności i analiza luk
Zestaw pytań kontrolnych w podziale na obszary art. 8, z oceną spełnienia i miejscem na dowód.
Wersja uwzględniająca odmienny reżim nadzoru i brak cyklicznego obowiązku audytowego.
Odwzorowanie wymagań ustawy na klauzule i zabezpieczenia normy, z oznaczeniem poziomu pokrycia.
Mapowanie obowiązku ciągłości działania na wymagania systemu zarządzania ciągłością.
Dokumentacja systemowa
Dokument nadrzędny z określonym zakresem systemu, rolami i zasadami przeglądu.
Ścieżka od wykrycia do sprawozdania końcowego, z progami czasowymi z art. 11.
Okna naprawcze według krytyczności, wyjątki i ich zatwierdzanie.
Wraz z analizą wpływu na działalność oraz scenariuszami testów.
Klasyfikacja dostawców, ocena ryzyka, klauzule umowne, plan zastąpienia.
Rejestry i zapisy operacyjne
Właściciel, klasyfikacja, powiązanie z usługą, monitorowanie końca wsparcia producenta.
Ocena, plan postępowania, ryzyko rezydualne i zapis jego akceptacji.
Krytyczność, zakres usługi, status oceny, powiązanie z komponentami infrastruktury.
Uczestnicy, zakres tematyczny, wyniki symulacji, szkolenie kierownictwa z art. 8e.
Wyjście z procesu
Ustalenia, ocena zgodności, niezgodności z klasyfikacją, rekomendacje. Kopia przekazywana organowi w terminie 3 dni roboczych.
Właściciel, termin, kryterium zamknięcia i weryfikacja skuteczności.
Najczęstsza niezgodność. Komplet dokumentów bez zapisów z ich stosowania. Polityka podpisana i nigdy nieprzeglądana, procedura incydentowa bez ani jednego wpisu w rejestrze, plan ciągłości bez raportu z testu. Ustawa wymaga wdrożenia środków, a wdrożenie wykazuje się zapisami, nie dokumentacją.
Jak system zarządzania obejmuje wymagania ustawy
Pytanie „w ilu procentach norma pokrywa ustawę” jest źle postawione. Norma nie jest katalogiem obowiązków prawnych i nie musi znać przepisu wydanego po jej publikacji. Systemem, który ma objąć wymaganie prawne, jest SZBI — a ten dysponuje mechanizmem wprost do tego przewidzianym.
Mechanizm normy. Pkt 4.2 nakazuje ustalić wymagania stron zainteresowanych, w tym wymagania prawne. Zabezpieczenie A.5.31 wymaga ich zidentyfikowania i udokumentowania. Pkt 6.1.3 b) pozwala zaprojektować zabezpieczenia niezbędne do postępowania z ryzykiem — z dowolnego źródła, nie tylko z załącznika A, który w pkt 6.1.3 c) pełni wyłącznie rolę listy weryfikacyjnej. Zabezpieczenia własne trafiają do deklaracji stosowania na równi z tymi z załącznika.
Wymagania prawne identyfikuje się więc nie po to, by sporządzić listę dla audytora, lecz by ustalić ich wpływ na system i wprowadzić odpowiadające im polityki, procedury i zabezpieczenia. Przy takim podejściu pytanie o lukę nie powstaje — powstaje pytanie o źródło zabezpieczenia.
Mapowanie wymagań
Znacznik w ostatniej kolumnie wskazuje, skąd pochodzi zabezpieczenie realizujące dany obowiązek: Zał. A — wprost z załącznika A, Zał. A + — z załącznika, rozszerzone o szczegół ustawowy, 6.1.3 b) — zaprojektowane przez organizację i ujęte w deklaracji stosowania.
| Wymaganie KSC | Podstawa | ISO/IEC 27001 | ISO 22301 | Źródło zabezpieczenia |
|---|---|---|---|---|
| Polityki bezpieczeństwa informacji | art. 8 ust. 1 pkt 2 lit. a | pkt 5.2, A.5.1 | pkt 5.2 | Zał. A |
| Szacowanie i postępowanie z ryzykiem | art. 8 ust. 1 pkt 1 | pkt 6.1, 8.2, 8.3 | pkt 6.1 | Zał. A |
| Obsługa incydentu | art. 8 ust. 1 pkt 2 lit. b | A.5.24–A.5.28 | — | Zał. A + |
| Terminy zgłoszeń 24 h / 72 h / 1 mies. | art. 11 | — | — | 6.1.3 b) |
| Ciągłość działania i odtwarzanie | art. 8 ust. 1 pkt 2 lit. c | A.5.29–A.5.30, A.8.13 | pkt 8, 9, 10 | Zał. A |
| Bezpieczeństwo łańcucha dostaw | art. 8 ust. 1 pkt 2 lit. d | A.5.19–A.5.23 | — | Zał. A + |
| Procedura dostawcy wysokiego ryzyka | art. 67b–67c | — | — | 6.1.3 b) |
| Podatności i cykl życia systemów | art. 8 ust. 1 pkt 2 lit. e | A.8.8, A.8.25–A.8.32 | — | Zał. A |
| Ocena skuteczności środków | art. 8 ust. 1 pkt 2 lit. f | pkt 9.1–9.3, 10 | pkt 9 | Zał. A |
| Cyberhigiena i szkolenia personelu | art. 8 ust. 1 pkt 2 lit. g | pkt 7.2–7.3, A.6.3 | — | Zał. A |
| Kryptografia | art. 8 ust. 1 pkt 2 lit. h | A.8.24 | — | Zał. A |
| Zasoby ludzkie, dostęp, aktywa | art. 8 ust. 1 pkt 2 lit. i | A.5.9–A.5.18, A.6.1–A.6.6 | — | Zał. A |
| MFA i łączność kryzysowa | art. 8 ust. 1 pkt 2 lit. j | A.8.5, A.5.14 | pkt 8.4 | Zał. A + |
| Weryfikacja niekaralności w KRK | art. 8f | A.6.1 — bez wskazania formy | — | 6.1.3 b) |
| Coroczne szkolenie kierownika | art. 8e ust. 1 | pkt 5.1 — ogólnie | — | Zał. A + |
| Odpowiedzialność osobista kierownika | art. 8c, art. 73a | — | — | 6.1.3 b) |
| Wpis do wykazu i aktualizacja danych | art. 7c | — | — | 6.1.3 b) |
| Audyt ustawowy i przekazanie raportu | art. 15, art. 16 | pkt 9.2 — inny reżim | — | 6.1.3 b) |
Sześć obszarów wymagających zabezpieczeń zaprojektowanych
Wpis do wykazu i utrzymanie danych
Czynność formalna: wniosek w systemie S46, aktualizacja w ciągu 14 dni od zmiany. Żadna norma tego nie generuje.
Terminy zgłoszeniowe
Norma daje proces obsługi incydentu. Ustawa dokłada sztywne progi liczone od wykrycia i konkretnego adresata.
Weryfikacja niekaralności
Postępowanie sprawdzające z A.6.1 nie przesądza formy. Ustawa wskazuje zaświadczenie z KRK.
Dostawca wysokiego ryzyka
Postępowanie administracyjne prowadzone przez ministra, ze skutkiem w postaci obowiązku wycofania technologii.
Audyt ustawowy
Odrębny od audytu certyfikacyjnego, z własnym katalogiem uprawnionych i własnym terminem raportowania do organu.
Odpowiedzialność kierownika
Norma wymaga przywództwa. Ustawa dodaje sankcję nakładaną imiennie na osobę fizyczną.
Wniosek praktyczny. Normy starzeją się już w dniu publikacji — proces normalizacyjny jest z natury wolniejszy niż legislacja i niż rynek. Właśnie dlatego ISO/IEC 27001 zawiera mechanizm rozszerzania zestawu zabezpieczeń zamiast zamkniętej listy. Organizacja, która z niego korzysta, obejmuje systemem całość wymagań ustawy; organizacja, która traktuje załącznik A jako katalog zamknięty, sama tworzy sobie lukę i nazywa ją brakiem pokrycia.
Certyfikat nie jest w świetle ustawy dowodem zgodności z KSC. Pozostaje jednak najmocniejszym materiałem dowodowym w kontakcie z organem: potwierdza, że system był badany przez niezależną, akredytowaną stronę trzecią.
Audyt KSC i obowiązki ustawowe — pytania i odpowiedzi
Odpowiedzi na pytania, które najczęściej padają na pierwszym spotkaniu z organizacją ustalającą swój status po nowelizacji. Każda z odesłaniem do przepisu, na którym się opiera.
Kwalifikacja wymaga spełnienia dwóch przesłanek łącznie: przynależności do sektora z załącznika nr 1 albo nr 2 oraz przekroczenia progu wielkościowego. Podmiot duży w sektorze z załącznika nr 1 to co do zasady podmiot kluczowy, podmiot średni albo działający w sektorze z załącznika nr 2 — podmiot ważny.
Od progu wielkościowego istnieją wyjątki. Ustawie podlegają niezależnie od wielkości między innymi rejestry nazw domen, dostawcy DNS, punkty wymiany ruchu, dostawcy usług zaufania, podmioty administracji publicznej oraz podmioty będące jedynym dostawcą danej usługi w kraju.
W terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy albo ważny. Dla organizacji, które spełniały je już w dniu wejścia nowelizacji w życie, termin upływa 3 października 2026 r.
Wniosek składa się elektronicznie w systemie S46, z kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną. Zmiany danych zgłasza się w ciągu 14 dni.
Ustawa wskazuje trzy kategorie: akredytowaną jednostkę oceniającą zgodność, zespół co najmniej dwóch audytorów z certyfikatami wskazanymi w rozporządzeniu wydanym na podstawie art. 15 ust. 8, albo CSIRT sektorowy, jeżeli jego audytorzy spełniają te same warunki.
Katalog certyfikatów obejmuje między innymi CISA, CISM, CRISC, CGEIT, CIA, CISSP, SSCP, audytora wiodącego ISO/IEC 27001, audytora wiodącego ISO 22301 oraz ISA/IEC 62443 Cybersecurity Expert. Alternatywą jest wykazanie praktyki — co najmniej trzyletniej, albo dwuletniej przy dyplomie odpowiednich studiów podyplomowych.
Nie, jeżeli realizuje on zadania z art. 8 oraz art. 9–13. Przepis wyłącza z roli audytora osobę, która wykonuje te zadania w podmiocie audytowanym, a także taką, która wykonywała je w okresie roku poprzedzającego dzień rozpoczęcia audytu.
Ta sama zasada eliminuje konsultanta, który wdrażał u klienta system zarządzania bezpieczeństwem informacji. Rozdzielenie roli wdrożeniowej i audytowej trzeba zaplanować na początku projektu, a nie na kilka tygodni przed terminem audytu.
Co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania przez audytorów raportu z poprzedniego audytu. Pierwszy audyt — w terminie 24 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy, czyli dla podmiotów istniejących 3 kwietnia 2026 r. do 3 kwietnia 2028 r.
Kopię raportu podmiot przekazuje organowi właściwemu w postaci elektronicznej w terminie 3 dni roboczych od dnia jego otrzymania.
Nie podlega audytowi cyklicznemu. Organ właściwy może jednak nakazać przeprowadzenie audytu decyzją — w szczególności po wystąpieniu incydentu poważnego lub innego naruszenia przepisów ustawy.
Niezależnie od tego art. 8 ust. 1 pkt 2 lit. f wymaga stosowania polityk i procedur oceny skuteczności wdrożonych środków, co w praktyce oznacza prowadzenie audytów wewnętrznych poza reżimem art. 15.
Nie — ustawa nie uznaje certyfikatu za dowód zgodności. Prawidłowo zbudowany system zarządzania obejmuje jednak całość wymagań art. 8, ponieważ wymagania prawne wchodzą do niego przez pkt 4.2 i A.5.31, a zabezpieczenia spoza załącznika A wprowadza się na podstawie pkt 6.1.3 b). Akredytowany certyfikat pozostaje najmocniejszym materiałem dowodowym w kontakcie z organem.
Sześć obowiązków — wpis do wykazu, terminy zgłoszeń incydentów, weryfikacja niekaralności, procedura dostawcy wysokiego ryzyka, audyt ustawowy i osobista odpowiedzialność kierownika — nie ma odpowiednika w załączniku A. Nie oznacza to luki: system obejmuje je zabezpieczeniami zaprojektowanymi na podstawie pkt 6.1.3 b) i ujętymi w deklaracji stosowania.
Egzekwowanie kar z art. 73 ust. 1–4 oraz art. 73a–73c rozpoczyna się po upływie dwóch lat od wejścia ustawy w życie, czyli od 3 kwietnia 2028 r. Wyjątkiem jest kara z art. 73 ust. 5, za naruszenie powodujące bezpośrednie i poważne cyberzagrożenie — ta może być nałożona wcześniej.
Okres przejściowy dotyczy wyłącznie sankcji. Same obowiązki wiążą od terminów ustawowych — wpis do wykazu do 3 października 2026 r., wdrożenie środków do 3 kwietnia 2027 r.
Kara pieniężna do 300% wynagrodzenia ukaranego, obliczanego według zasad ustalania ekwiwalentu pieniężnego za urlop. Dla kierownika podmiotu publicznego — do 100%, chyba że podmiot podlega ustawie także z tytułu sektora z załącznika nr 1 lub 2.
Kara jest nakładana niezależnie od kary dla podmiotu. Odpowiedzialności z art. 8c nie można przenieść na CISO, dostawcę usług bezpieczeństwa ani doradcę zewnętrznego — pozostaje ona przy kierowniku również wtedy, gdy zadania powierzono innej osobie.
Od liczby i zróżnicowania systemów objętych badaniem, liczby lokalizacji, dojrzałości dokumentacji oraz dostępności zapisów operacyjnych z okresu poprzedzającego audyt.
Największym pojedynczym czynnikiem jest zakres. Stanowisko Ministerstwa Cyfryzacji wskazuje, że audyt powinien obejmować cały system informacyjny podmiotu, a nie tylko fragmenty związane z konkretną usługą — tę kwestię warto rozstrzygnąć przed rozpoczęciem prac.
Nie znalazłeś swojego pytania? Kwalifikacja podmiotu i zakres obowiązków zależą od formy prawnej, struktury grupy i rzeczywistego katalogu świadczonych usług. Skontaktuj się — ustalenie statusu zajmuje zwykle jedną rozmowę.
Audyt KSC, certyfikacja ISO/IEC 27001 i ISO 22301
Prowadzimy niezależną ocenę zgodności. Nie wdrażamy systemów u podmiotów, które audytujemy — zachowanie tego rozdziału jest warunkiem ważności audytu z art. 15 i podstawą wiarygodności certyfikacji.
Audyt bezpieczeństwa — art. 15 KSC
Badanie warstwy organizacyjnej, technicznej i fizycznej. Raport w układzie odpowiadającym oczekiwaniom organu właściwego, z klasyfikacją niezgodności i planem działań.
ISO/IEC 27001 — certyfikacja i audyt
Audyt etapu 1 i 2, audyty nadzoru, recertyfikacja. Także audyt drugiej strony u dostawców krytycznych, gdy realizowane jest umowne prawo do audytu.
ISO 22301 — ciągłość działania
Ocena systemu zarządzania ciągłością, adekwatności analizy wpływu na działalność oraz rzeczywistej testowalności planów.
Dlaczego nie wdrażamy
Nie wdrażamy SZBI, nie piszemy polityk operacyjnych i nie obsługujemy incydentów u podmiotów, które audytujemy. Nie jest to kwestia oferty, tylko przepisu: art. 15 ust. 2a wyklucza z roli audytora osobę, która realizowała u audytowanego zadania z art. 8 oraz art. 9–13, w tym w okresie roku poprzedzającego audyt.
Wdrożenie prowadzą współpracujący z nami konsultanci i zespoły klienta. Rozdzielenie tych ról od początku projektu chroni ważność późniejszego audytu.
Ocena gotowości przed audytem
Dla organizacji, które nie mają jeszcze pełnego materiału dowodowego, prowadzimy ocenę gotowości — badanie o zakresie audytu ustawowego, ale bez skutku formalnego. Wynikiem jest lista luk uporządkowana według ryzyka niezgodności, pozwalająca zaplanować prace wdrożeniowe przed właściwym audytem. Ocena gotowości nie jest doradztwem wdrożeniowym i nie wyłącza nas z roli audytora.
Opracowanie i kontakt:
Ekspert w zakresie systemów zarządzania ISO, cyberbezpieczeństwa, compliance i AI governance. Audytor, konsultant, trener.
Metryka opracowania
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa
- tekst jednolity: Dz.U. 2026 poz. 20
- nowelizacja: ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), ogłoszona 2 marca 2026 r., w mocy od 3 kwietnia 2026 r.
- akt wdrażany: dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS 2)
- PN-EN ISO/IEC 27001:2023 — systemy zarządzania bezpieczeństwem informacji
- PN-EN ISO 22301:2020 — systemy zarządzania ciągłością działania
- PN-EN ISO/IEC 27002:2023 — zabezpieczenia bezpieczeństwa informacji
Stan prawny: sierpień 2026 r. · Ostatnia aktualizacja opracowania: 28 sierpnia 2026 r.
“Jedyną stałą rzeczą w życiu jest zmiana”
Peter F. Drucker