Cyberbezpieczeństwo - ustawa o KSC i NIS2

Decydują sektor, wielkość, a czasem sam rodzaj podmiotu (art. 5 ustawy o KSC). Podmiotem kluczowym jest między innymi duże przedsiębiorstwo z sektora z załącznika nr 1, czyli takie, które zatrudnia co najmniej 250 osób albo przekracza oba progi finansowe dla średniego przedsiębiorstwa. Niektóre podmioty są kluczowe niezależnie od wielkości, na przykład urząd gminy zatrudniający co najmniej 50 osób w przeliczeniu na pełne etaty i starostwo powiatowe.

Podmiotami ważnymi są średnie przedsiębiorstwa z sektorów z załącznika nr 1 oraz podmioty z załącznika nr 2. Należą do nich także samorządowe jednostki budżetowe, w tym publiczne szkoły prowadzone przez gminę, samorządowe instytucje kultury i spółki komunalne, jeśli wykonują zadanie publiczne z użyciem systemów informacyjnych. Pierwsza rozmowa, w której to ustalamy, jest bezpłatna.

Nowelizacja z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. Podmioty, które tego dnia spełniały przesłanki, miały czas do 3 października 2026 r. na wniosek o wpis do wykazu. Obowiązki z rozdziału 3 ustawy, w tym system zarządzania bezpieczeństwem informacji i obsługę incydentów, realizują do 3 kwietnia 2027 r. Podmioty kluczowe przeprowadzają pierwszy audyt w ciągu 24 miesięcy od wejścia nowelizacji w życie.

Spóźniony wniosek o wpis nie odsuwa terminu na wdrożenie obowiązków, bo liczy się on od dnia spełnienia przesłanek.

Nie. Ustawa nie zna takiej funkcji. Wymaga, żeby kierownik podmiotu przydzielił zadania z zakresu cyberbezpieczeństwa i nadzorował ich wykonanie (art. 8d), a podmiot realizował je przez własne struktury albo na podstawie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Pełnomocnik to przyjęta w praktyce nazwa osoby, która te zadania koordynuje.

Nie. Kierownik podmiotu odpowiada za wykonywanie obowiązków także wtedy, gdy powierzył je innej osobie za jej zgodą (art. 8c ust. 3 ustawy o KSC). My rekomendujemy i wykonujemy powierzone zadania, a decyzje o zabezpieczeniach i wydatkach zostają przy kierowniku. Kierownik musi też raz w roku przejść szkolenie z obowiązków wymienionych w art. 8e.

Nie. Ustawa nie wskazuje normy, według której buduje się system zarządzania bezpieczeństwem informacji, i nie przewiduje domniemania zgodności dla certyfikatu. Poza normą zostają obowiązki czysto ustawowe, na przykład zgłaszanie incydentów poważnych w terminach z art. 11 i coroczne szkolenie kierownika. Certyfikat to dobry punkt wyjścia do analizy luk.

Nie w organizacji, w której wykonujemy zadania z art. 8 lub art. 9 do 13, ani przez rok po ich zakończeniu, bo zakazuje tego art. 15 ust. 2a ustawy o KSC. Pomagamy przygotować się do audytu i wybrać audytorów, sam audyt przeprowadza ktoś inny. Podmiot kluczowy wykonuje audyt na własny koszt co najmniej raz na 3 lata.

Podmiotowi kluczowemu grozi kara do 10 000 000 euro lub 2% przychodów, podmiotowi ważnemu do 7 000 000 euro lub 1,4% przychodów (art. 73 ust. 3 i 4). Kierownikowi podmiotu grozi kara do 300% wynagrodzenia, a w podmiocie publicznym do 100% (art. 73a). Kary można nakładać dopiero po upływie 2 lat od wejścia nowelizacji w życie, czyli od kwietnia 2028 r. Obowiązki trzeba wdrożyć wcześniej: podmioty objęte ustawą od 3 kwietnia 2026 r. mają na to czas do 3 kwietnia 2027 r.

Nie z samego faktu, że jesteśmy dostawcą. Ustawa nakłada obowiązki na podmioty kluczowe i ważne, a od dostawców wymaga się bezpieczeństwa łańcucha dostaw przez umowę (art. 8 ust. 1 pkt 2 lit. e). Dlatego w umowach serwisowych wpisujemy to, czego potrzebuje Twój system zarządzania bezpieczeństwem: termin powiadomienia o incydencie, sposób dostępu do systemów, częstotliwość kopii zapasowych i testów ich odtwarzania.

Może, jeśli nie prowadzi to do konfliktu interesów, którego zakazuje art. 38 ust. 6 RODO. Konflikt powstaje, gdy ta sama osoba dobiera zabezpieczenia, a potem jako IOD ocenia ich adekwatność. W praktyce oznacza to odrębne umowy dla obu funkcji, brak uprawnień wykonawczych i ocenę konfliktu interesów zatwierdzoną przez kierownictwo. Więcej o ochronie danych osobowych piszemy na stronie RODO.