O co chodzi w ustawie
Ustawa o krajowym systemie cyberbezpieczeństwa, w skrócie KSC, obowiązuje w Polsce od 2018 roku. W 2026 roku została gruntownie zmieniona. Nowelizacja weszła w życie 3 kwietnia 2026 r. i wprowadza do polskiego prawa unijną dyrektywę NIS2.
Najprościej mówiąc, państwo uznało, że atak hakerski na firmę ważną dla gospodarki albo codziennego życia jest dziś tak samo realnym zagrożeniem jak pożar czy poważna awaria. Każda firma musi dbać o BHP i ochronę przeciwpożarową. Podobnie wybrane firmy muszą teraz w uporządkowany sposób dbać o bezpieczeństwo swoich komputerów, systemów i danych.
Nie chodzi tylko o ochronę danych osobowych, bo to reguluje RODO. Chodzi o to, żeby firma mogła dalej działać, czyli dostarczać energię, paliwo, żywność czy usługi transportowe, nawet jeśli ktoś spróbuje ją sparaliżować.
Wcześniej przepisy obejmowały stosunkowo wąską grupę firm wskazywanych przez urzędy. Teraz zakres jest znacznie szerszy. Co najważniejsze, firma sama musi sprawdzić, czy ustawa jej dotyczy, i nie powinna czekać na pismo z urzędu.
Kogo dotyczy ustawa
O tym, czy firma podlega ustawie, decydują jednocześnie dwie rzeczy: branża i wielkość.
Branże są wymienione w dwóch załącznikach do ustawy. Załącznik nr 1 obejmuje sektory o szczególnym znaczeniu, na przykład energetykę (w tym paliwa i gaz), transport, bankowość, ochronę zdrowia, wodę pitną i infrastrukturę cyfrową. Załącznik nr 2 obejmuje między innymi usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję i dystrybucję żywności, chemikaliów oraz niektóre gałęzie przemysłu. Liczy się to, czym firma faktycznie się zajmuje. Sam kod PKD w rejestrze nie przesądza sprawy.
Wielkość ustala się według unijnych definicji. Co do zasady ustawa nie obejmuje mikro- i małych firm, czyli takich, które zatrudniają mniej niż 50 osób i mają roczny obrót lub sumę bilansową nie większą niż 10 mln euro. Dotyczy firm średnich i dużych.
Jeśli firma należy do grupy kapitałowej, do jej danych co do zasady dolicza się dane spółek powiązanych i partnerskich. Dlatego niewielka spółka z dużej grupy może zostać objęta ustawą. Istnieją od tego wyjątki, ale trzeba je starannie przeanalizować i udokumentować.
Podmiot kluczowy i podmiot ważny
Firmy objęte ustawą dzielą się na dwie grupy.
Podmioty kluczowe to przede wszystkim duże firmy z branż wymienionych w załączniku nr 1.
Podmioty ważne to średnie firmy z tych samych branż oraz średnie i duże firmy z branż z załącznika nr 2.
Obowiązki obu grup są w dużej mierze takie same. Podmioty ważne mają jednak trzy ułatwienia: nie muszą przeprowadzać obowiązkowego audytu zewnętrznego, urząd kontroluje je głównie wtedy, gdy pojawi się sygnał, że coś jest nie tak (na przykład po incydencie), a maksymalne kary są dla nich niższe.
Co musi zrobić podmiot ważny
Krok 1. Ustalić swój status i zarejestrować się
Pierwszym obowiązkiem jest złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Wniosek składa się elektronicznie w aplikacji dostępnej pod adresem wykaz-ksc.gov.pl i podpisuje podpisem lub pieczęcią elektroniczną. Firma składa przy tym oświadczenie, że podane dane są prawdziwe, pod rygorem odpowiedzialności karnej.
Firmy, które spełniały warunki w dniu wejścia ustawy w życie, mają czas do 3 października 2026 r. Firma, która spełni warunki później (na przykład urośnie albo rozpocznie nową działalność), ma na złożenie wniosku 6 miesięcy od tego momentu.
Obowiązki wynikają bezpośrednio z ustawy, a nie z samego wpisu. Firma, która się nie zarejestruje, nie unika więc obowiązków. Urząd może ją wpisać z urzędu i nałożyć karę.
Krok 2. Wyznaczyć osoby kontaktowe
Firma musi wskazać co najmniej dwie osoby, które będą utrzymywać kontakt z instytucjami państwowymi odpowiedzialnymi za cyberbezpieczeństwo. Po wpisie firma korzysta z państwowego systemu S46, przez który zgłasza się incydenty i otrzymuje ostrzeżenia.
Krok 3. Zbudować system zarządzania bezpieczeństwem informacji
To najważniejszy i najbardziej pracochłonny obowiązek. Ustawa nazywa go systemem zarządzania bezpieczeństwem informacji, w skrócie SZBI. Nie jest to jeden program komputerowy do kupienia, tylko zestaw zasad, procedur, zabezpieczeń technicznych i odpowiedzialności, który opisuje, jak firma chroni swoje systemy. Zabezpieczenia mają być dopasowane do skali ryzyka, więc od średniej firmy nie oczekuje się rozwiązań na miarę banku.
W praktyce oznacza to przede wszystkim:
Ocenę ryzyka. Firma musi ustalić, jakie systemy są dla niej ważne, co może im zagrozić i jak bardzo zaszkodziłaby jej ich awaria lub atak.
Zabezpieczenia. Na podstawie tej oceny wdraża się odpowiednie środki: kontrolę dostępu, regularne aktualizacje, szyfrowanie oraz logowanie wieloskładnikowe (na przykład hasło i kod z telefonu) tam, gdzie ma to sens.
Kopie zapasowe i plan ciągłości działania. Firma musi wiedzieć, jak odtworzy systemy i jak będzie działać, jeśli na przykład zaszyfruje je złośliwe oprogramowanie.
Obsługę incydentów. Musi istnieć procedura postępowania na wypadek ataku: kto co robi, kogo powiadamia i jak ogranicza szkody.
Bezpieczeństwo dostawców. Firma odpowiada także za ryzyko związane z zewnętrznymi dostawcami, na przykład firmą serwisującą systemy, dostawcą oprogramowania czy chmury. Wymagania bezpieczeństwa trzeba uwzględnić w umowach.
Szkolenia pracowników. Wiele ataków zaczyna się od kliknięcia w fałszywą wiadomość, więc pracownicy muszą wiedzieć, jak rozpoznać zagrożenie.
Dokumentację. Wszystko to trzeba spisać, żeby w razie kontroli móc wykazać, że system działa.
System obejmuje nie tylko komputery w biurze. W firmie paliwowej czy logistycznej trzeba uwzględnić też systemy sterujące instalacjami, monitoring zbiorników, system zarządzania flotą oraz zdalny dostęp serwisantów.
Ustawa wymaga też sprawdzenia niekaralności osób, które zajmują się w firmie tym systemem i obsługą incydentów.
Na wdrożenie systemu firmy mają czas do 3 kwietnia 2027 r.
Krok 4. Zgłaszać poważne incydenty
Poważny incydent to w uproszczeniu zdarzenie, które istotnie zakłóca działanie firmy albo może wyrządzić znaczne szkody, na przykład skuteczny atak, który zablokował systemy. Ustawa przewiduje trzy etapy zgłoszenia:
najpierw wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu, następnie zgłoszenie w ciągu 72 godzin, a na koniec sprawozdanie końcowe w ciągu miesiąca.
Incydenty zgłasza się do właściwego zespołu reagowania, tzw. CSIRT (prowadzonego przez MON, NASK lub ABW). Terminy są krótkie, dlatego procedurę trzeba przygotować wcześniej. W czasie ataku nie ma czasu na ustalanie, kto ma wysłać zgłoszenie.
Krok 5. Zaangażować kierownictwo
Cyberbezpieczeństwo przestaje być wyłącznie sprawą działu IT. Za wykonanie obowiązków odpowiada kierownik firmy, czyli w praktyce zarząd. Może powierzyć zadania innej osobie, ale nie zwalnia go to z odpowiedzialności.
Kierownik oraz osoba, której powierzył te obowiązki, muszą co roku przejść szkolenie z cyberbezpieczeństwa. Za zaniedbania grozi też kara osobista dla kierownika, sięgająca do trzykrotności jego miesięcznego wynagrodzenia.
Nadzór i kary
Nad podmiotami ważnymi urząd sprawuje tzw. nadzór następczy. Oznacza to, że zwykle nie przychodzi z rutynową kontrolą, ale reaguje, gdy ma informacje o nieprawidłowościach, na przykład po incydencie albo zgłoszeniu.
Maksymalna kara dla podmiotu ważnego wynosi 7 mln euro lub 1,4% rocznego obrotu, a minimalna 15 000 zł.
Kary za większość naruszeń można nakładać dopiero od 3 kwietnia 2028 r. Nie oznacza to jednak, że do tego czasu obowiązki nie obowiązują. Obowiązują od początku, a później organ może rozliczać firmę z zaniedbań.
Prezydent skierował ustawę do Trybunału Konstytucyjnego. Nie wstrzymuje to jednak jej stosowania.
Najważniejsze daty
Ustawa weszła w życie 3 kwietnia 2026 r. Do 3 października 2026 r. trzeba złożyć wniosek o wpis do wykazu. Do 3 kwietnia 2027 r. trzeba wdrożyć system zarządzania bezpieczeństwem i pozostałe wymagania. Od 3 kwietnia 2028 r. można nakładać kary.
Od czego zacząć
Najpierw warto rzetelnie ustalić, czy firma podlega ustawie i w jakiej kategorii, uwzględniając branżę, wielkość i ewentualną grupę kapitałową. Potem trzeba złożyć wniosek o wpis, wyznaczyć osoby odpowiedzialne i osoby kontaktowe. Kolejnym krokiem jest spis wszystkich ważnych systemów i dostawców oraz porównanie tego, co firma już ma, z wymaganiami ustawy. Na tej podstawie powstaje plan wdrożenia z terminami, który pozwoli zdążyć przed kwietniem 2027 roku.
Wiele firm ma już część potrzebnych elementów, na przykład kopie zapasowe, polityki bezpieczeństwa czy procedury wynikające z RODO. Ustawa wymaga jednak, żeby połączyć je w spójny, udokumentowany system i utrzymywać go na bieżąco.