Cyberbezpieczeństwo nie jest już wyłącznie zagadnieniem technicznym ani wewnętrzną sprawą działów IT. Coraz częściej staje się elementem odpowiedzialności organizacyjnej, który dotyczy całych podmiotów – w tym osób nimi zarządzających. Wraz z wdrożeniem dyrektywy NIS2 do ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) obowiązki związane z reagowaniem na incydenty obejmują szerszy krąg podmiotów i sektorów niż dotychczas.
W praktyce kluczowe znaczenie nie polega na tym, czy incydent wystąpi, lecz na tym, czy organizacja potrafi właściwie na niego zareagować. Oznacza to zdolność do wykrycia zdarzenia, oceny jego wpływu na funkcjonowanie usług, zgłoszenia go do właściwego zespołu CSIRT oraz udokumentowania podjętych działań w sposób zgodny z przepisami. To właśnie na tych etapach najczęściej pojawiają się błędy, które później stają się źródłem odpowiedzialności prawnej i organizacyjnej.
Na dzień 7 lutego 2026 r. nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa wdrażająca dyrektywę NIS2 została uchwalona przez Sejm i przyjęta przez Senat bez poprawek. Przepisy wprowadzają nowe obowiązki, nowe role instytucjonalne oraz zmienione zasady zgłaszania i obsługi incydentów, które w najbliższym czasie staną się codzienną praktyką wielu podmiotów publicznych i prywatnych.
Spis treści
Czym jest KSC?
Krajowy System Cyberbezpieczeństwa (KSC) to system prawno-organizacyjny wprowadzony ustawą o krajowym systemie cyberbezpieczeństwa, którego celem jest budowa odporności cyfrowej państwa. Nie chodzi w nim o ochronę pojedynczych komputerów czy incydentalne reagowanie na ataki, lecz o zabezpieczenie procesów i usług, bez których funkcjonowanie państwa i gospodarki byłoby niemożliwe.
W praktyce KSC obejmuje obszary takie jak dostawy energii, systemy bankowe, transport, opiekę zdrowotną, infrastrukturę cyfrową czy administrację publiczną. System ten wdraża unijne regulacje w zakresie cyberbezpieczeństwa, w tym dyrektywę NIS2, i przekłada je na konkretne obowiązki techniczne, organizacyjne i raportowe dla podmiotów uznanych za istotne z punktu widzenia bezpieczeństwa państwa.
KSC nie jest więc abstrakcyjną konstrukcją prawną. To mechanizm, który ma zapewnić, że incydenty cyberbezpieczeństwa nie doprowadzą do paraliżu kluczowych usług ani do utraty ciągłości działania instytucji publicznych i przedsiębiorstw pełniących strategiczne funkcje.
Po co powstał KSC - trzy podstawowe filary systemu
Zrozumienie celu KSC pozwala spojrzeć na cyberbezpieczeństwo nie jak na koszt, lecz jak na element zarządzania ryzykiem i ciągłością działania.
1. Ochrona usług kluczowych
Pierwszym i podstawowym celem Krajowego Systemu Cyberbezpieczeństwa jest ochrona usług, których zakłócenie lub przerwanie mogłoby mieć poważne konsekwencje dla obywateli, gospodarki oraz funkcjonowania państwa. Chodzi o obszary, od których zależy codzienne życie społeczne i stabilność ekonomiczna, takie jak energetyka, ochrona zdrowia, transport, bankowość, zaopatrzenie w wodę czy administracja publiczna.
KSC wychodzi z założenia, że atak cybernetyczny na tego rodzaju usługi nie jest wyłącznie problemem jednego podmiotu. W wielu przypadkach jego skutki mogą rozlewać się szerzej – powodując przerwy w dostawach, utratę zaufania społecznego, zagrożenie dla zdrowia lub życia ludzi, a nawet destabilizację rynku. Dlatego ustawodawca nakłada na podmioty świadczące usługi kluczowe szczególne obowiązki w zakresie zapobiegania incydentom i reagowania na nie.
W praktyce oznacza to konieczność wdrażania systemów monitorowania bezpieczeństwa, które pozwalają na wczesne wykrywanie zagrożeń i anomalii w działaniu systemów informatycznych. Równolegle podmioty te są zobowiązane do systematycznej identyfikacji i oceny ryzyka, obejmującej nie tylko własną infrastrukturę, ale również zależności zewnętrzne, w tym ryzyka występujące w łańcuchu dostaw, u dostawców usług IT, chmurowych czy serwisowych.
Istotnym elementem ochrony usług kluczowych jest także zdolność do szybkiego i uporządkowanego reagowania na incydenty. Obejmuje to zarówno działania techniczne zmierzające do ograniczenia skutków zdarzenia, jak i realizację obowiązków informacyjnych, w szczególności zgłaszanie incydentów do właściwych zespołów CSIRT. Celem tego mechanizmu jest nie tylko wsparcie poszkodowanego podmiotu, ale również ochrona innych uczestników systemu przed rozprzestrzenieniem się zagrożenia.
KSC nie zakłada całkowitego wyeliminowania ryzyka cybernetycznego, co w praktyce byłoby niemożliwe. Jego celem jest ograniczenie skutków incydentów do minimum oraz zapewnienie, aby nawet w warunkach kryzysowych kluczowe usługi były w stanie funkcjonować lub zostały możliwie szybko przywrócone. To podejście koncentruje się na odporności i ciągłości działania, a nie na iluzorycznym poczuciu pełnego bezpieczeństwa.
2. Scentralizowana wymiana informacji o zagrożeniach
W cyberbezpieczeństwie czas i informacja mają najważniejsze znaczenie. Wiele incydentów nie jest zdarzeniami jednostkowymi, lecz elementami szerszych, zaplanowanych kampanii, które w krótkim czasie obejmują kolejne organizacje działające w tym samym sektorze lub korzystające z podobnych rozwiązań technicznych. Atak, który początkowo dotyka jednego podmiotu, bardzo często stanowi zapowiedź kolejnych zdarzeń.
Krajowy System Cyberbezpieczeństwa został zaprojektowany tak, aby umożliwić szybki i uporządkowany przepływ informacji o zagrożeniach pomiędzy uczestnikami systemu. Rolę centralnego punktu tej wymiany pełnią krajowe zespoły CSIRT, które gromadzą zgłoszenia incydentów, analizują je w szerszym kontekście oraz identyfikują powtarzające się schematy ataków, podatności lub nowe techniki działania sprawców.
Na podstawie tych analiz zespoły CSIRT przekazują ostrzeżenia, rekomendacje oraz informacje techniczne do innych podmiotów objętych systemem. Dzięki temu organizacje, które jeszcze nie padły ofiarą ataku, mogą z wyprzedzeniem wdrożyć środki zapobiegawcze, zaktualizować konfiguracje lub wzmocnić monitoring. W praktyce oznacza to, że pojedyncze zgłoszenie incydentu może przyczynić się do ochrony całego sektora lub większej części infrastruktury państwa.
Scentralizowana wymiana informacji pozwala również na koordynację działań w sytuacjach, w których incydent dotyczy wielu podmiotów jednocześnie lub ma potencjalnie poważne skutki systemowe. Zamiast rozproszonych, niespójnych reakcji, KSC umożliwia prowadzenie działań w sposób skoordynowany, z jasnym podziałem ról i odpowiedzialności.
Dzięki temu cyberbezpieczeństwo przestaje być problemem rozwiązywanym w izolacji przez pojedyncze organizacje. Staje się elementem wspólnego systemu reagowania, w którym wiedza o zagrożeniach jest wykorzystywana nie tylko do obsługi bieżących incydentów, ale również do budowania długoterminowej odporności całej infrastruktury.
3. Profesjonalizacja i jasna odpowiedzialność
Jednym z kluczowych założeń Krajowego Systemu Cyberbezpieczeństwa jest uporządkowanie odpowiedzialności za bezpieczeństwo systemów informatycznych. System ten odchodzi od modelu, w którym cyberbezpieczeństwo było rozproszone pomiędzy różne działy, funkcjonowało w sposób nieformalny lub było postrzegane wyłącznie jako problem techniczny, pozostawiony specjalistom IT.
KSC wprowadza jasne zasady odpowiedzialności i wskazuje, że cyberbezpieczeństwo jest elementem zarządzania organizacją, a nie wyłącznie obszarem operacyjnym. W praktyce oznacza to, że odpowiedzialność za zapewnienie właściwego poziomu bezpieczeństwa spoczywa na podmiocie jako całości, a w wielu przypadkach bezpośrednio na osobach nim kierujących. To kierownictwo odpowiada za to, aby odpowiednie procedury istniały, były wdrożone i realnie stosowane.
Ustawa precyzuje również ramy czasowe reagowania na incydenty oraz obowiązki raportowe. Oznacza to, że działania podejmowane po wykryciu zdarzenia nie mogą być przypadkowe ani odkładane w czasie. Podmiot objęty KSC musi posiadać zdolność do szybkiej oceny sytuacji, podjęcia decyzji oraz przekazania wymaganych informacji do właściwych zespołów CSIRT w określonych terminach.
Istotnym elementem profesjonalizacji jest także określenie minimalnych standardów technicznych i organizacyjnych, które muszą być spełnione przez podmioty funkcjonujące w obszarze infrastruktury krytycznej lub świadczące usługi kluczowe. Standardy te obejmują nie tylko zabezpieczenia techniczne, ale również procedury wewnętrzne, podział ról, szkolenia personelu oraz regularną ocenę ryzyka.
W efekcie KSC buduje model, w którym cyberbezpieczeństwo staje się stałym elementem zarządzania organizacją. Odpowiedzialność jest jasno przypisana, procesy są sformalizowane, a reagowanie na incydenty przestaje być improwizacją, a staje się zaplanowanym i kontrolowanym działaniem.
Jak zbudowana jest struktura KSC - poziomy reagowania i odpowiedzialności
Krajowy System Cyberbezpieczeństwa został zaprojektowany jako system wielopoziomowy, którego zadaniem jest zapewnienie wsparcia na każdym etapie obsługi incydentu – od jego wykrycia, przez analizę i koordynację działań, aż po ograniczenie skutków i wyciąganie wniosków na przyszłość. Struktura ta opiera się na jasnym podziale ról i odpowiedzialności pomiędzy organy państwowe, zespoły reagowania oraz podmioty objęte systemem.
Na najwyższym poziomie funkcjonują właściwe organy nadzorcze, czyli ministrowie i inne organy odpowiedzialne za poszczególne sektory gospodarki. W zależności od obszaru są to m.in. Minister Cyfryzacji, ministrowie właściwi dla energii, transportu czy zdrowia, a także wyspecjalizowane organy, takie jak Komisja Nadzoru Finansowego. Ich rola polega na sprawowaniu nadzoru nad realizacją obowiązków z zakresu cyberbezpieczeństwa, wydawaniu zaleceń, ostrzeżeń oraz – w określonych sytuacjach – nakładaniu środków nadzorczych.
Kolejny poziom struktury KSC tworzą krajowe zespoły reagowania na incydenty bezpieczeństwa komputerowego, czyli CSIRT-y. To one pełnią funkcję operacyjnego „centrum reagowania” w cyberprzestrzeni, zapewniając analizę incydentów, koordynację działań i wymianę informacji pomiędzy podmiotami systemu.
W polskim systemie funkcjonują trzy krajowe CSIRT-y: CSIRT NASK, CSIRT GOV oraz CSIRT MON. Każdy z nich ma jasno określony zakres odpowiedzialności, odpowiadający specyfice obsługiwanych podmiotów.
CSIRT NASK – rola, zadania i zakres koordynacji
CSIRT NASK prowadzony jest przez Naukową i Akademicką Sieć Komputerowa – Państwowy Instytut Badawczy. Jest to zespół o szerokim zakresie kompetencji, który pełni kluczową rolę w obsłudze incydentów zgłaszanych przez sektor publiczny, samorządowy oraz znaczną część sektora prywatnego.
Do głównych zadań CSIRT NASK należy rejestrowanie i obsługa zdarzeń naruszających bezpieczeństwo sieci oraz aktywne reagowanie w przypadku wystąpienia bezpośrednich zagrożeń dla użytkowników. Zespół prowadzi stałą współpracę z innymi zespołami CERT i CSIRT w Polsce oraz za granicą, uczestniczy w krajowych i międzynarodowych projektach z zakresu cyberbezpieczeństwa, a także realizuje działalność badawczą obejmującą metody wykrywania incydentów, analizę złośliwego oprogramowania oraz systemy wymiany informacji o zagrożeniach.
Istotnym elementem działalności CSIRT NASK jest rozwijanie własnych narzędzi do wykrywania, monitorowania, analizy i korelacji zagrożeń, a także regularne publikowanie Raportu CSIRT NASK o bezpieczeństwie polskich zasobów Internetu. Uzupełnieniem tych działań są inicjatywy informacyjno-edukacyjne, których celem jest podnoszenie świadomości w zakresie bezpieczeństwa teleinformatycznego.
CSIRT NASK koordynuje incydenty zgłaszane m.in. przez:
- jednostki samorządu terytorialnego,
- jednostki budżetowe oraz samorządowe zakłady budżetowe,
- agencje wykonawcze i instytucje gospodarki budżetowej,
- uczelnie publiczne oraz Polską Akademię Nauk,
- Urząd Dozoru Technicznego i Polskie Centrum Akredytacji,
- Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej oraz wojewódzkie fundusze ochrony środowiska,
- spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej.
Z perspektywy praktycznej istotne jest również to, że CSIRT NASK przyjmuje zgłoszenia incydentów od obywateli. Takie zgłoszenia wzmacniają system wczesnego ostrzegania i pozwalają szybciej identyfikować nowe kampanie ataków oraz podatności pojawiające się w cyberprzestrzeni.
Projekt SiSSDeN – uzupełnienie systemu wymiany informacji
W ramach działalności NASK realizowany jest również projekt SiSSDeN, finansowany ze środków programu Horizon 2020. Jego celem jest poprawa stanu cyberbezpieczeństwa europejskich instytucji i użytkowników końcowych poprzez rozwój świadomości sytuacyjnej oraz współdzielenie użytecznych informacji o zagrożeniach.
Projekt ten zakłada m.in. nieodpłatne powiadamianie ofiar o atakach oraz ścisłą współpracę z krajowymi zespołami CSIRT, dostawcami usług internetowych, właścicielami sieci i organami ścigania. W praktyce SiSSDeN wzmacnia zdolność systemu do szybkiego reagowania na zagrożenia, które wykraczają poza granice jednego państwa lub jednego sektora.
CSIRT GOV - ochrona administracji i infrastruktury krytycznej
CSIRT GOV prowadzony jest przez Agencję Bezpieczeństwa Wewnętrznego i koncentruje się na zagrożeniach istotnych z punktu widzenia ciągłości funkcjonowania państwa. Jego zadaniem jest rozpoznawanie, zapobieganie i wykrywanie incydentów dotyczących systemów teleinformatycznych organów administracji publicznej oraz infrastruktury krytycznej.
CSIRT GOV koordynuje incydenty zgłaszane przez:
- organy władzy publicznej, w tym administrację rządową, organy kontroli państwowej i ochrony prawa oraz sądy i trybunały,
- Zakład Ubezpieczeń Społecznych, KRUS, Narodowy Fundusz Zdrowia,
- Polską Agencję Żeglugi Powietrznej,
- Narodowy Bank Polski oraz Bank Gospodarstwa Krajowego.
Wspólnie z CSIRT NASK zespół ten obsługuje system ARAKIS-GOV, który pełni funkcję systemu wczesnego ostrzegania o zagrożeniach w sieci Internet. System ten agreguje dane o podejrzanym ruchu sieciowym i koreluje wskaźniki ataków, takie jak adresy IP, porty, sygnatury czasowe czy typy zagrożeń, wspierając ochronę zasobów teleinformatycznych administracji państwowej.
CSIRT MON - cyberbezpieczeństwo w obszarze obronności
CSIRT MON prowadzony jest przez Ministerstwo Obrony Narodowej i odpowiada za obsługę incydentów w obszarze obronności państwa. Koordynuje on zdarzenia zgłaszane przez podmioty podległe lub nadzorowane przez Ministra Obrony Narodowej, w tym jednostki, których systemy teleinformatyczne są objęte wykazem infrastruktury krytycznej.
Zakres odpowiedzialności CSIRT MON obejmuje również przedsiębiorców o szczególnym znaczeniu gospodarczo-obronnym, wobec których Minister Obrony Narodowej pełni funkcję organu organizującego i nadzorującego wykonywanie zadań na rzecz obronności państwa.
Dodatkowe kompetencje CSIRT-ów
Ustawa o Krajowym Systemie Cyberbezpieczeństwa przewiduje możliwość ścisłej współpracy pomiędzy wszystkimi zespołami CSIRT w Polsce. Zespoły te mogą wspólnie opracowywać procedury postępowania w przypadku incydentów wymagających koordynacji międzysektorowej, a także uzgadniać zasady współdziałania z sektorowymi zespołami cyberbezpieczeństwa.
Co istotne, CSIRT-y mogą – na podstawie porozumień – powierzać sobie wzajemnie wykonywanie określonych zadań w odniesieniu do niektórych kategorii podmiotów. Dodatkowo ustawa przyznaje im uprawnienia do prowadzenia badań urządzeń lub oprogramowania w celu identyfikacji podatności, które mogą zagrażać integralności, poufności, dostępności lub autentyczności danych.
Na podstawie takich badań zespoły CSIRT mogą formułować rekomendacje dotyczące usunięcia podatności w systemach i rozwiązaniach stosowanych przez podmioty objęte KSC. W praktyce oznacza to realne wsparcie techniczne i analityczne, a nie wyłącznie funkcję nadzorczą czy formalną.
Podmioty kluczowe i ważne w dyrektywie NIS 2
Dyrektywa NIS 2 rezygnuje z dotychczasowego podziału na operatorów usług kluczowych, podmiotów publicznych i dostawców usług cyfrowych, wprowadzając w to miejsce nową klasyfikację na podmioty kluczowe oraz podmioty ważne.
Definicja i klasyfikacja podmiotów
Podstawowym kryterium kwalifikacji jest sektor działalności (wymieniony w załącznikach I i II do dyrektywy) oraz wielkość przedsiębiorstwa.
Kryterium wielkości (Średnie przedsiębiorstwa)
Zgodnie z unijnymi zaleceniami, za średnie przedsiębiorstwo uznaje się podmiot:
- zatrudniający co najmniej 50 i mniej niż 250 osób;
- którego roczny obrót lub roczna suma bilansowa mieści się w przedziale od 10 mln EUR do 50 mln EUR.
Podmioty kluczowe (Essential Entities)
Do tej kategorii zaliczamy m.in.:
- Podmioty z sektorów wysokiej krytyczności (Załącznik I), które przekraczają pułapy dla średnich przedsiębiorstw.
- Dostawców usług zaufania, rejestry nazw domen najwyższego poziomu oraz dostawców usług DNS (niezależnie od ich wielkości).
- Dostawców publicznych sieci łączności elektronicznej (jeśli kwalifikują się jako średnie przedsiębiorstwa).
- Podmioty administracji publicznej na poziomie rządu centralnego.
- Podmioty wskazane jako krytyczne na podstawie dyrektywy o odporności podmiotów krytycznych (CER)
- Podmioty, które dane państwo członkowskie wskazało przed wejściem w życie NIS2 jako operatorów usług kluczowych zgodnie z dyrektywą (UE) 2016/1148 lub prawem krajowym.
Podmioty ważne (Important Entities)
Kategoria ta obejmuje:
- Podmioty z sektorów wymienionych w załączniku I lub II, które nie zostały zakwalifikowane jako podmioty kluczowe.
- Podmioty wskazane przez państwo członkowskie na podstawie specyficznych kryteriów dyrektywy.
Wyjątki: Podmioty objęte dyrektywą bez względu na wielkość
W określonych przypadkach nawet małe firmy mogą zostać uznane za kluczowe lub ważne, jeśli:
- są jedynym dostawcą usługi w danym państwie, kluczowej dla utrzymania krytycznej działalności społecznej lub gospodarczej;
- usługi świadczone są przez dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej, dostawców usług zaufania, rejestry nazw domen najwyższego poziomu oraz dostawców usług systemów nazw domen
- zakłócenie ich usług mogłoby mieć znaczący wpływ na porządek publiczny, bezpieczeństwo lub zdrowie publiczne;
- zakłócenie usługi mogłoby prowadzić do powstania poważnego ryzyka systemowego (szczególnie o wpływie transgranicznym);
- podmiot ma charakter krytyczny ze względu na jego szczególne znaczenie na poziomie krajowym lub regionalnym dla konkretnego sektora lub rodzaju usługi lub dla innych współzależnych sektorów w państwie członkowskim;
- podmiot jest podmiotem administracji publicznej na poziomie rządu centralnego, zdefiniowanym przez państwo członkowskie zgodnie z prawem krajowym lub na poziomie lokalnym, zdefiniowanym przez państwo członkowskie zgodnie z prawem krajowym, który zgodnie z oceną opartą na analizie ryzyka świadczy usługi, których zakłócenie mogłoby mieć znaczący wpływ na krytyczną działalność społeczną lub gospodarczą;
- podmiot zidentyfikowany został jako krytyczny;
- świadczą usługi rejestracji nazw domen;
- opcjonalnie (do decyzji państw członkowskich): podmiot jest organem administracji publicznej na poziomie lokalnym, podmiot jest instytucją edukacyjną, zwłaszcza prowadzi działalność badawczą o krytycznym znaczeniu.
Wyłączenia i zwolnienia z obowiązków dyrektywy NIS 2
Dyrektywa przewiduje szczególne przypadki, w których określone grupy podmiotów lub rodzaj prowadzonej przez nie działalności nie podlegają pod rygor nowych przepisów.
1. Administracja publiczna i sektory bezpieczeństwa
Z zakresu stosowania dyrektywy wyłączone są organy administracji publicznej, których aktywność koncentruje się na:
- Bezpieczeństwie narodowym i publicznym;
- Obronności kraju;
- Egzekwowaniu prawa, co obejmuje zapobieganie, wykrywanie, ściganie przestępstw oraz prowadzenie postępowań w ich sprawie.
2. Podmioty realizujące zadania o charakterze wrażliwym
Państwa członkowskie mają prawo zwolnić z obowiązków (wynikających z art. 21 i 23 dotyczących zarządzania ryzykiem i raportowania) konkretne podmioty, które:
- Działają w obszarach wymienionych powyżej (obronność, bezpieczeństwo, ściganie);
- Świadczą usługi wyłącznie na rzecz wspomnianych organów administracji publicznej.
W zakresie tej konkretnej, zwolnionej działalności, podmioty te nie podlegają nadzorowi ani egzekwowaniu przepisów przewidzianych w rozdziale VII dyrektywy. Jeżeli podmiot zajmuje się wyłącznie taką działalnością, może zostać również całkowicie zwolniony z wymogów rejestracyjnych (art. 3 i 27).
3. Istotne ograniczenia i wyjątki od zwolnień
- Dostawcy usług zaufania: Nie mogą oni zostać zwolnieni z obowiązków na powyższych zasadach, nawet jeśli działają w sferach bezpieczeństwa.
- Relacja z DORA: Przepisów NIS 2 nie stosuje się do podmiotów, które na mocy art. 2 ust. 4 rozporządzenia DORA zostały wyłączone z jego stosowania.
Obowiązki podmiotów kluczowych i ważnych
Dyrektywa wprowadza prawie takie same obowiązki dla podmiotów kluczowych i ważnych – każdy podmiot ma obowiązek wprowadzić dane środki:
Proporcjonalne środki zarządzania ryzykiem w cyberbezpieczeństwie uwzględniające ryzyko, wielkość podmiotu i prawdopodobieństwo wystąpienia incydentów i ich dotkliwość,
Środki te muszą uwzględniać stopień narażenia na ryzyko, wielkość podmiotu oraz prawdopodobieństwo wystąpienia incydentów. Obowiązkowe elementy to m.in.:
- Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych.
- Obsługa incydentów oraz zarządzanie ciągłością działania (np. kopie zapasowe, zarządzanie kryzysowe).
- Bezpieczeństwo łańcucha dostaw (relacje z dostawcami i usługodawcami).
- Cyberhigiena i szkolenia dla pracowników.
- Kryptografia i szyfrowanie.
- Uwierzytelnianie wieloskładnikowe (MFA) lub ciągłe uwierzytelnianie (tam, gdzie to stosowne).
- Zgłaszanie incydentów: Obowiązek raportowania poważnych incydentów do właściwych organów (CSIRT).
- Szkolenia kadr: Obowiązkowe szkolenia dla kadry kierowniczej w zakresie cyberbezpieczeństwa.
- Powiadamianie odbiorców: Informowanie użytkowników o poważnych incydentach i możliwych środkach zaradczych.
- Rejestracja: Podmioty muszą przekazać swoje dane (adresowe, sektorowe) do krajowego wykazu w celu umożliwienia nadzoru.
Zgłaszanie incydentów w systemie KSC - poradnik dla podmiotów zobowiązanych
W systemie KSC – szczególnie po wdrożeniu NIS2 – jest to sformalizowany proces prawny, który ma znaczenie zarówno dla bezpieczeństwa państwa, jak i dla odpowiedzialności samego podmiotu. W 2026 roku prawidłowe zgłaszanie incydentów stanowi jeden z fundamentów legalnego i bezpiecznego funkcjonowania w obrocie gospodarczym. Błędy w tym procesie, takie jak opóźnienie zgłoszenia, błędna kwalifikacja zdarzenia, brak raportowania etapowego – niosą ze sobą ryzyko administracyjnych kar pieniężnych, a w określonych sytuacjach także odpowiedzialności cywilnej oraz pośrednich konsekwencji w obszarze RODO.
Kto ma obowiązek zgłoszenia incydentu?
Obowiązek zgłaszania incydentów nie dotyczy każdego przedsiębiorcy. Jest on przypisany do podmiotów, których działalność ma istotne znaczenie z punktu widzenia funkcjonowania państwa, gospodarki lub bezpieczeństwa cyfrowego.
Z perspektywy KSC i NIS2 obowiązek ten dotyczy przede wszystkim:
- podmiotów kluczowych i podmiotów ważnych (po wejściu w życie przepisów wdrażających NIS2),
- organizacji działających w sektorach uznanych za strategiczne lub wrażliwe,
- podmiotów publicznych realizujących zadania o znaczeniu systemowym.
W modelu historycznym (ustawa KSC z 2018 r.) były to w szczególności:
- operatorzy usług kluczowych – m.in. energetyka, transport, bankowość, ochrona zdrowia, zaopatrzenie w wodę,
- dostawcy usług cyfrowych – platformy handlowe online, wyszukiwarki internetowe, dostawcy usług chmurowych,
- podmioty publiczne – administracja rządowa, jednostki samorządu terytorialnego, uczelnie publiczne.
Po NIS2 zakres ten został rozszerzony i uporządkowany, ale zasada pozostaje ta sama: obowiązek zgłoszeniowy dotyczy tych podmiotów, których incydent może mieć wpływ wykraczający poza jedną organizację.
Co to znaczy „zgłosić incydent” - i dlaczego mail do IT nie jest zgłoszeniem
Zgłoszenie incydentu w rozumieniu Krajowego Systemu Cyberbezpieczeństwa nie polega na wewnętrznym powiadomieniu działu IT ani na utworzeniu zgłoszenia w systemie ticketowym. Tego rodzaju działania mają znaczenie operacyjne, ale nie realizują obowiązku ustawowego. Zgłoszenie incydentu jest formalnym przekazaniem informacji do właściwego zespołu CSIRT w celu uruchomienia mechanizmów systemowych. Ma ono umożliwić skoordynowanie reakcji na poziomie krajowym, ostrzeżenie innych podmiotów przed podobnymi zagrożeniami, ocenę skali i charakteru prowadzonej kampanii ataku oraz weryfikację, czy dany podmiot prawidłowo wywiązuje się z obowiązków nałożonych przepisami prawa.
Co istotne, zgłoszenie nie jest jednorazową czynnością. Ustawodawca traktuje je jako proces, który obejmuje raportowanie etapowe, przekazywanie aktualnych informacji w miarę rozwoju sytuacji oraz udokumentowanie działań naprawczych i prewencyjnych. Dopiero taki ciąg czynności spełnia wymogi KSC i pozwala uznać, że obowiązek zgłoszeniowy został wykonany w sposób prawidłowy.
Kiedy należy zgłosić incydent? Szczegółowe ramy czasowe
Czas w cyberbezpieczeństwie ma znaczenie prawne. Dyrektywa NIS 2 oraz przepisy krajowe wprowadzają rygorystyczny, wieloetapowy model raportowania, liczony od momentu powzięcia wiedzy o wystąpieniu poważnego incydentu. Co istotne, samo zgłoszenie nie nakłada na podmiot zgłaszający zwiększonej odpowiedzialności – jest ono traktowane jako dowód należytej staranności i współpracy z organami państwa.
W 2026 roku obowiązuje następujący harmonogram składania raportów:
Etap zgłoszenia | Termin (od wykrycia) | Zakres informacji |
Wczesne ostrzeżenie | do 24 godzin | Podstawowe dane o zdarzeniu; wskazanie, czy incydent mógł być wywołany działaniem bezprawnym oraz czy ma charakter transgraniczny. |
Zgłoszenie incydentu | do 72 godzin | Aktualizacja informacji; wstępna ocena dotkliwości i skutków incydentu oraz wskaźniki integralności systemu. |
Sprawozdanie okresowe | Na wniosek CSIRT | Bieżące aktualizacje statusu obsługi incydentu w miarę postępu prac. |
Sprawozdanie końcowe | do 1 miesiąca | Szczegółowa analiza przyczyn, skutków, podjętych środków ograniczających ryzyko oraz wpływ transgraniczny. |
Ważny wyjątek: Dostawcy usług zaufania są zobowiązani do dokonania pełnego zgłoszenia incydentu w skróconym terminie 24 godzin.
Obowiązki informacyjne względem odbiorców i partnerów
Zgłoszenie do CSIRT to tylko jedna strona medalu. Podmiot ma również szereg obowiązków informacyjnych wobec podmiotów trzecich:
- Powiadamianie odbiorców usług: Należy poinformować użytkowników o poważnych incydentach, które mogą negatywnie wpłynąć na świadczone im usługi.
- Instrukcje zaradcze: Jeśli wystąpi poważne cyberzagrożenie, podmiot musi przekazać odbiorcom informacje o środkach, jakie mogą oni sami zastosować w celu ochrony (w tym o charakterze samego zagrożenia).
- Wpływ transgraniczny: Zgłoszenie musi zawierać dane pozwalające ustalić, czy incydent uderza w inne państwa członkowskie UE.
Wsparcie i informacja zwrotna: co dzieje się po zgłoszeniu?
Prawidłowy model działania zakłada dwustronną komunikację z właściwym zespołem CSIRT (NASK, GOV lub MON):
- Wstępna odpowiedź: Po przesłaniu wczesnego ostrzeżenia, CSIRT przekazuje podmiotowi wstępne informacje zwrotne.
- Wytyczne operacyjne: Na wniosek podmiotu, CSIRT może udzielić porad dotyczących wdrożenia konkretnych środków ograniczających ryzyko.
- Wsparcie techniczne: W uzasadnionych przypadkach podmiot może liczyć na dodatkowe wsparcie techniczne ze strony organów państwowych.
- Ścieżka karna: Jeśli incydent nosi znamiona przestępstwa, CSIRT lub właściwy organ automatycznie informują o tym organy ścigania.
Dobrowolne zgłaszanie informacji - „Lepiej wiedzieć więcej”
Poza obowiązkowym raportowaniem incydentów poważnych, system NIS 2 promuje kulturę współdzielenia wiedzy. Każdy podmiot (niezależnie od tego, czy jest kluczowy, ważny, czy w ogóle nie podlega dyrektywie) może dobrowolnie przekazywać zgłoszenia dotyczące:
- cyberzagrożeń,
- incydentów o mniejszej wadze,
- potencjalnych zdarzeń dla cyberbezpieczeństwa.
Kluczowa zasada: Dobrowolne zgłoszenia są rozpatrywane z taką samą powagą jak obowiązkowe, choć te drugie mogą mieć priorytet obsługi. Takie zgłoszenie nie nakłada na zgłaszającego żadnych dodatkowych obowiązków prawnych.
Kanał zgłoszeniowy - System S46 i inne ścieżki
Nowelizacja zakłada usprawnienie raportowania poprzez System S46, który działa jako „jedno okienko” – zgłoszenie trafia jednocześnie do CSIRT poziomu krajowego oraz (jeżeli dotyczy) do zespołu sektorowego.
W 2026 roku S46 nie jest jeszcze jedynym obowiązkowym kanałem dla wszystkich podmiotów. Dopuszczalne jest korzystanie z kanałów udostępnionych przez CSIRT-y, takich jak dedykowane formularze lub adresy e-mail. Kluczowe jest jednak zachowanie dowodu zgłoszenia i dochowanie terminu.
Do którego CSIRT zgłosić incydent?
Prawidłowa identyfikacja właściwego zespołu jest elementem obowiązku ustawowego:
- CSIRT NASK – sektor prywatny, podmioty kluczowe i ważne, samorządy,
- CSIRT GOV – administracja rządowa oraz infrastruktura krytyczna,
- CSIRT MON – podmioty podległe lub nadzorowane przez MON oraz sektor obronny.
Jak wygląda prawidłowy model działania organizacji w praktyce
W praktyce o poprawnym zgłoszeniu nie decyduje technologia, lecz procedura i decyzyjność.
- Wykrycie i zabezpieczenie śladów
Pierwszym krokiem nie jest „jak najszybsze przywrócenie systemu”, lecz:
- zabezpieczenie logów,
- opis osi czasu zdarzeń,
- ustalenie wektorów wejścia,
- zebranie wskaźników kompromitacji (IoC).
- Kwalifikacja incydentu
Organizacja musi mieć z góry ustalone:
- kto kwalifikuje incydent,
- jakie kryteria wpływu są stosowane,
- kiedy następuje eskalacja do kierownictwa lub zarządu.
- Zgłoszenie do właściwego CSIRT
Zgłoszenia dokonuje wyznaczona rola (np. koordynator incydentów), w sposób spójny z wewnętrznymi ustaleniami i gotowością do dalszej współpracy.
- Raportowanie uzupełniające i domknięcie
W trakcie incydentu obraz sytuacji się zmienia. Kluczowe jest:
- aktualizowanie zgłoszeń,
- dokumentowanie decyzji,
- wykazanie działań naprawczych i prewencyjnych.
NIS2 i nowelizacja KSC - jakich zmian możemy oczekiwać?
Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa wdrażająca dyrektywę NIS2 stanowi jedną z najistotniejszych zmian w obszarze bezpieczeństwa cyfrowego ostatnich lat. Nie ogranicza się ona do rozszerzenia katalogu podmiotów objętych regulacją, lecz wprowadza spójny, systemowy model zarządzania cyberbezpieczeństwem, oparty na analizie ryzyka, odpowiedzialności kierownictwa oraz skoordynowanym reagowaniu na incydenty.
Proces legislacyjny tej nowelizacji był wieloetapowy i odzwierciedlał wagę oraz złożoność regulacji. Projekt ustawy, pierwotnie przygotowany jeszcze w poprzedniej kadencji Sejmu, był procedowany w kolejnych wersjach – ostatecznie przyjęto jego 21. wersję oraz 4. wersję projektu obecnego rządu. Po pierwszym czytaniu projekt trafił do prac komisji, a następnie był ponownie analizowany po drugim czytaniu, w ramach Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii.
Podczas piątkowego posiedzenia Sejmu, w kolejnych głosowaniach po godzinie 17.30, Sejm przyjął projekt nowelizacji ustawy o KSC. W trzecim czytaniu projekt uzyskał zdecydowane poparcie – przyjęto go większością 407 głosów „za”, przy 10 głosach „przeciw” i 17 wstrzymujących się. Tym samym zakończono zasadniczy etap prac parlamentarnych nad regulacją.
Nowelizacja wdraża do polskiego porządku prawnego przepisy dyrektywy NIS2, której termin implementacji upłynął 18 października 2024 r., a także tzw. Toolbox 5G, czyli unijny zestaw narzędzi dotyczących bezpieczeństwa sieci piątej generacji. Po uchwaleniu przez Sejm ustawa została przekazana Senatowi, który nie wniósł do niej poprawek, a następnie skierowana do podpisu Prezydenta. Z perspektywy podmiotów objętych regulacją oznacza to, że nowe obowiązki i mechanizmy nadzorcze nie są już jedynie projektowanym kierunkiem zmian, lecz rzeczywistym i obowiązującym stanem prawnym.
Rozszerzenie zakresu podmiotowego i sektorowego KSC
Jednym z podstawowych elementów nowelizacji jest istotne rozszerzenie katalogu podmiotów objętych krajowym systemem cyberbezpieczeństwa. Regulacja dostosowuje zakres KSC do struktury sektorowej określonej w dyrektywie 2022/2555/UE (NIS2), obejmując nie tylko dotychczasowych operatorów usług kluczowych i dostawców usług cyfrowych, lecz również nowe sektory i podsektory gospodarki uznane za istotne dla ciągłości funkcjonowania państwa.
Zakres ten obejmuje w szczególności:
- gospodarkę wodno-ściekową,
- usługi pocztowe,
- zarządzanie usługami ICT,
- sektor kosmiczny,
- produkcję przemysłową,
- produkcję i dystrybucję żywności,
- wytwarzanie i obrót chemikaliami.
Rozszerzenie katalogu ma charakter celowy i systemowy. Ustawodawca obejmuje regulacją nie tylko końcowych dostawców usług, lecz również podmioty pełniące istotną rolę w łańcuchach dostaw i procesach wspierających funkcjonowanie kluczowych sektorów. W efekcie wiele przedsiębiorstw, które dotychczas pozostawały poza reżimem KSC, zostaje objętych obowiązkami w zakresie zarządzania ryzykiem cyberbezpieczeństwa i reagowania na incydenty.
Nowy podział: podmioty kluczowe i podmioty ważne
Nowelizacja zastępuje dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych nową klasyfikacją podmiotów na podmioty kluczowe oraz podmioty ważne. Podział ten ma lepiej odzwierciedlać rzeczywisty wpływ danego podmiotu na bezpieczeństwo państwa i ciągłość świadczenia usług społecznie oraz gospodarczo niezbędnych.
Podmioty kluczowe podlegają najszerszemu zakresowi obowiązków oraz intensywniejszemu nadzorowi, natomiast podmioty ważne realizują podobne obowiązki w reżimie proporcjonalnym do skali działalności i potencjalnych skutków incydentów. W praktyce oznacza to zróżnicowanie poziomu kontroli i sankcji, przy zachowaniu jednolitego standardu zarządzania ryzykiem.
Jednolite obowiązki w zakresie zarządzania ryzykiem cyberbezpieczeństwa
Nowelizacja wprowadza jednolite, systemowe obowiązki w zakresie zarządzania ryzykiem cyberbezpieczeństwa, obejmujące środki organizacyjne, techniczne i operacyjne. Obowiązki te nie mają charakteru jednorazowego wdrożenia, lecz stanowią proces ciągły, który musi być utrzymywany i aktualizowany w czasie.
Podmioty kluczowe i ważne są zobowiązane w szczególności do:
- identyfikacji i analizy ryzyk cyberbezpieczeństwa,
- wdrażania adekwatnych zabezpieczeń technicznych i organizacyjnych,
- zapewnienia ciągłości działania systemów informacyjnych,
- ochrony łańcucha dostaw, w tym relacji z dostawcami usług ICT,
- systematycznego testowania, audytowania i aktualizowania stosowanych środków bezpieczeństwa,
- prowadzenia szkoleń personelu oraz przeglądu procedur wewnętrznych.
Zakres środków powinien być dostosowany do wielkości podmiotu, charakteru działalności i profilu ryzyka, jednak ustawodawca wyraźnie podkreśla, że środki te muszą realnie funkcjonować, a nie ograniczać się do dokumentacji formalnej.
Rozbudowany system zgłaszania incydentów cyberbezpieczeństwa
Istotną zmianą wprowadzoną nowelizacją jest rozbudowanie systemu zgłaszania incydentów cyberbezpieczeństwa. Regulacja przewiduje wieloetapowy model raportowania, obejmujący:
- wstępne powiadomienie o incydencie,
- raporty uzupełniające,
- raport końcowy po zakończeniu obsługi zdarzenia.
Obowiązek zgłoszeniowy dotyczy incydentów wywierających istotny wpływ na świadczenie usług lub bezpieczeństwo systemów informacyjnych. Przepisy precyzują terminy, zakres przekazywanych informacji oraz tryb komunikacji z właściwymi organami i zespołami CSIRT.
Celem tego rozwiązania jest zapewnienie szybkiego przepływu informacji o zagrożeniach oraz skutecznej koordynacji działań naprawczych, zarówno na poziomie krajowym, jak i unijnym. Zgłaszanie incydentów przestaje być działaniem incydentalnym, a staje się integralnym elementem systemu reagowania.
Wzmocnienie roli CSIRT-ów i struktur instytucjonalnych
Nowelizacja wzmacnia rolę krajowych oraz sektorowych zespołów reagowania na incydenty cyberbezpieczeństwa. Oprócz dotychczasowych CSIRT-ów poziomu krajowego, ustawodawca zakłada rozwój CSIRT-ów sektorowych, których zadaniem jest specjalizacja branżowa, budowa baz wiedzy o podatnościach oraz wsparcie podmiotów w reagowaniu na specyficzne zagrożenia sektorowe.
Regulacja przewiduje również rozwój zaplecza analitycznego i technicznego, możliwość finansowania modernizacji infrastruktury teleinformatycznej oraz podnoszenia kompetencji personelu odpowiedzialnego za cyberbezpieczeństwo. Rozwiązania te mają zapewnić skuteczne wykonywanie zadań państwa w zakresie zapobiegania incydentom, reagowania na nie i minimalizowania ich skutków.
Wzmocniony nadzór i odpowiedzialność kadry zarządzającej
Nowelizacja KSC wyraźnie wzmacnia odpowiedzialność osób pełniących funkcje kierownicze w podmiotach objętych systemem. Kadra zarządzająca jest zobowiązana nie tylko do formalnego zatwierdzania środków zarządzania ryzykiem cyberbezpieczeństwa, lecz również do nadzoru nad ich wdrażaniem i funkcjonowaniem.
Odpowiedzialność ta obejmuje konsekwencje niewywiązywania się z obowiązków ustawowych, w tym brak zapewnienia odpowiedniego poziomu ochrony systemów informacyjnych. Regulacja zmierza do ukształtowania kultury cyberbezpieczeństwa na poziomie decyzyjnym, w której zarząd odpowiada nie za istnienie dokumentów, lecz za skuteczność przyjętych rozwiązań.
Doprecyzowanie zasad nadzoru, kontroli i odpowiedzialności administracyjnej
Nowelizacja doprecyzowuje również zasady nadzoru i kontroli nad podmiotami objętymi KSC oraz mechanizmy odpowiedzialności administracyjnej. Organy właściwe ds. cyberbezpieczeństwa zyskują uprawnienia do wydawania ostrzeżeń, nakazywania przeprowadzania ocen bezpieczeństwa lub audytów oraz monitorowania realizacji obowiązków przez podmioty kluczowe i ważne.
Sankcje administracyjne stanowią element systemu egzekwowania przepisów, a nie środek ostateczny stosowany wyłącznie w wyjątkowych sytuacjach. W praktyce oznacza to konieczność wykazania nie tylko formalnej zgodności z przepisami, lecz także realnej zdolności do zarządzania cyberbezpieczeństwem i reagowania na incydenty.
Co zrobić przed początkiem obowiązywania NIS2 w Polsce?
Brak wdrożonej jeszcze nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa nie oznacza, że NIS2 jest tematem „na później”. Wręcz przeciwnie – to moment, w którym organizacje mogą przygotować się spokojnie, bez presji terminów, kar i nerwowych decyzji podejmowanych w trakcie realnego incydentu. 26 stycznia 2026 r. Sejm uchwalił tą nowlizację.
Pierwszym krokiem powinno być ustalenie, czy dana organizacja będzie podlegać pod reżim NIS2 po wejściu w życie przepisów krajowych. Nie chodzi wyłącznie o aktualny status, ale o ocenę działalności, skali organizacji oraz roli, jaką pełni ona w ekosystemie cyfrowym. W wielu przypadkach podmioty nie zdają sobie sprawy, że kwalifikują się jako „ważne” lub „kluczowe” nie dlatego, że są duże, lecz dlatego, że świadczą usługi istotne dla innych uczestników rynku. Ta kwalifikacja determinuje cały dalszy zakres obowiązków, dlatego warto ją ustalić z wyprzedzeniem.
Równolegle należy uporządkować sposób reagowania na incydenty cyberbezpieczeństwa. NIS2 nie wymaga tworzenia rozbudowanych, teoretycznych dokumentów, ale jasno określonych zasad działania. Organizacja powinna wiedzieć, kto podejmuje decyzje w sytuacji kryzysowej, kto odpowiada za analizę techniczną, kto komunikuje się na zewnątrz i w jaki sposób realizowane są obowiązki zgłoszeniowe. Brak takiego porządku skutkuje w praktyce chaosem decyzyjnym, który ujawnia się dopiero w momencie ataku.
Istotnym elementem przygotowań jest także wcześniejsze opracowanie schematu zgłoszenia incydentu oraz zebranie informacji, które w krytycznej sytuacji muszą być dostępne natychmiast. W realnym zdarzeniu nie ma czasu na ustalanie, jakie dane są potrzebne, gdzie się znajdują i kto ma do nich dostęp. Im więcej tych kwestii zostanie uporządkowanych wcześniej, tym mniejsze ryzyko opóźnień i błędów w raportowaniu.
Dobrym, a wciąż niedocenianym narzędziem są symulacje incydentów, prowadzone w formie ćwiczeń decyzyjnych. Pozwalają one sprawdzić, jak procedury działają w praktyce, gdzie pojawiają się wąskie gardła i czy osoby odpowiedzialne rzeczywiście wiedzą, jakie decyzje do nich należą. Tego typu ćwiczenia bardzo często ujawniają problemy, które nie są widoczne na etapie tworzenia dokumentacji, a które w rzeczywistym incydencie mogłyby sparaliżować organizację.
NIS2 wyraźnie przesuwa również ciężar odpowiedzialności w stronę łańcucha dostaw ICT. Dlatego przed wejściem w życie przepisów warto przyjrzeć się dostawcom usług IT, chmury, hostingu czy narzędzi bezpieczeństwa nie tylko pod kątem technicznym, ale również kontraktowym. Kluczowe staje się pytanie, kto za co odpowiada w razie incydentu i czy zakres odpowiedzialności dostawcy jest spójny z obowiązkami, jakie będą ciążyć na organizacji po wdrożeniu NIS2.
Na koniec pozostaje kwestia, która w praktyce decyduje o skuteczności całego systemu – sposób podejmowania decyzji. W sytuacji incydentu nie może dojść do rozmycia odpowiedzialności ani kolektywnego „czekania na zgodę”. Musi istnieć jasno wskazana osoba koordynująca działania, posiadająca realny mandat do podejmowania decyzji, w tym dotyczących komunikacji i zgłoszeń. Bez tego nawet najlepiej zaprojektowane procedury przestają funkcjonować prawidłowo.
