Punkt przewodnika: obowiązek jednorazowy J12 – przegląd łańcucha dostaw ICT. Poziom: średni. Materiał przydatny także dla działu zakupów i działu prawnego.
Możesz mieć wzorowe polityki, pełne monitorowanie i MFA na każdym koncie, a i tak Twoje bezpieczeństwo będzie zależeć od firmy, która utrzymuje Twój system ERP, i od producenta oprogramowania, którego aktualizacje instalujesz automatycznie. Ustawa to widzi i traktuje łańcuch dostaw jako osobny obszar wymagań.
Jest tu też mechanizm o wyjątkowo długim horyzoncie, jedyny taki w całej ustawie. Decyzja o uznaniu dostawcy za dostawcę wysokiego ryzyka oznacza zakaz wprowadzania do użytkowania oraz obowiązek wycofania technologii w ciągu 7 lat od ogłoszenia decyzji w Monitorze Polskim – a w niektórych przypadkach w ciągu 4 lat (art. 67c). To nie jest kara za Twoje zaniedbanie; to konsekwencja decyzji podjętej poza
Twoją organizacją, która może dotknąć umowy podpisanej dziś. Dlatego rejestr dostawców nie jest formalnością, a narzędziem planowania.
Termin dla przeglądu łańcucha dostaw to 3.04.2027 r. (obowiązek J12).
Czego się nauczysz
- Co ustawa rozumie przez łańcuch dostaw ICT.
- Jakie trzy kryteria musi uwzględniać ocena dostawcy.
- Co powinien zawierać rejestr dostawców.
- Które klauzule warto mieć w umowie i jak je egzekwować.
- Co się dzieje po decyzji z art. 67c i jak się na nią przygotować.
- Jak prowadzić zarządzanie ryzykiem dostawców jako proces ciągły.
- Kogo dotyczy rozporządzenie CIR 2024/2690.
- Jak zorganizować rejestr w grupie spółek.
1. Co to jest łańcuch dostaw ICT w rozumieniu KSC
Podstawa: art. 8 ust. 1 pkt 2 lit. e (środek e) oraz art. 8 ust. 2
Środek e wymaga zapewnienia bezpieczeństwa i ciągłości łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków między bezpośrednim dostawcą sprzętu lub oprogramowania a Twoim podmiotem. Kluczowe jest to, że wymóg nie ogranicza się do dostawców, którzy „mają dostęp do naszych danych” – obejmuje bezpieczeństwo relacji z dostawcami produktów i usług teleinformatycznych jako całość.
Analogia, która pomaga to poukładać: producent żywności odpowiada za bezpieczeństwo swojego wyrobu także wtedy, gdy skażony był składnik od podwykonawcy. Nie może powiedzieć „to nie nasza mąka”. Może natomiast pokazać, że wybierał dostawców świadomie, badał ich i miał zapisane wymagania.
W praktyce warto wyodrębnić cztery grupy dostawców, bo każda wnosi inne ryzyko:
- Dostawcy oprogramowania i sprzętu – ich podatności stają się twoimi podatnościami z chwilą instalacji.
- Dostawcy usług utrzymania i wsparcia – mają zwykle dostęp uprzywilejowany, często zdalny.
- Dostawcy usług chmurowych i hostingu – odpowiadają za dostępność i za część warstwy fizycznej.
- Dostawca usług zarządzanych bezpieczeństwem – szczególny przypadek, o którym warto pamiętać osobno: odpowiedzialność kierownika podmiotu nie przechodzi na niego (art. 8c ust. 3), umowa w zakresie zadań z art. 8 i 11 trafia do Wykazu KSC, a jej zawarcie lub zmiana uruchamia 14 dni na aktualizację wpisu (art. 7c ust. 3).
Ustawa dzieli pracę w tym obszarze na dwa etapy. Pierwszy to ocena wstępna i kwalifikacja przy wyborze dostawcy. Drugi to monitorowanie ciągłe już po podpisaniu umowy. Większość organizacji ma zaczątki pierwszego i nie ma drugiego – a właśnie drugi wraca w cyklu rocznym jako obowiązek z dowodem.
Rekap: środek e obejmuje dostawców produktów i usług ICT, w dwóch etapach: kwalifikacja przy wyborze i monitorowanie po podpisaniu umowy.
Zrób teraz: wypisz dostawców, których awaria zatrzymałaby Twoją główną usługę. Zwykle jest ich od pięciu do dziesięciu – to rdzeń Twojego rejestru.
2. Kryteria oceny dostawcy (art. 8 ust. 2)
Art. 8 ust. 2 nie zostawia pełnej swobody w projektowaniu ankiety. Wskazuje, co ocena musi uwzględniać:
- Podatności związane z dostawcą sprzętu lub oprogramowania – jego własna ekspozycja, historia incydentów, sposób obsługi zgłoszeń bezpieczeństwa i tempo wydawania poprawek.
- Ogólna jakość produktów ICT, usług ICT i procesów ICT pochodzących od tego dostawcy – dojrzałość procesów wytwarzania, wsparcie, cykl życia produktu, dostępność aktualizacji.
- Wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy (art. 22 ust. 1 dyrektywy 2022/2555).
- Wyniki postępowania prowadzonego na podstawie art. 67b.
Dwa ostatnie punkty są tymi, których nie da się wypełnić samodzielnie – to informacje zewnętrzne, pochodzące z prac na poziomie unijnym i krajowym. Praktyczna konsekwencja: karta oceny dostawcy musi mieć pole, które sprawdza się cyklicznie w źródłach zewnętrznych, a nie tylko w odpowiedziach dostawcy.
Kartę oceny zalecamy zbudować jako jedną stronę z czterema blokami: dane dostawcy i zakres usługi, ocena według czterech kryteriów ustawowych, wynik i klasyfikacja krytyczności, decyzja i data ponownej oceny.
Do tego dwie zasady, które ratują wiarygodność oceny:
Dowody, nie deklaracje. Odpowiedź „stosujemy szyfrowanie” jest oświadczeniem. Certyfikat, raport z testu albo zapis w umowie to dowód. Przy dostawcach krytycznych warto prosić o dowody.
Proporcjonalność. Dostawca krytyczny przechodzi pełną ocenę; dostawca drobnego narzędzia – skróconą. Zapisz w procedurze, co decyduje o poziomie oceny, żeby wybór nie wyglądał na dowolny.
Rekap: cztery kryteria ustawowe – podatności dostawcy, ogólna jakość jego produktów, usług i procesów ICT, wyniki oceny Grupy Współpracy oraz wyniki postępowania z art. 67b. Dwa ostatnie sprawdzasz w źródłach zewnętrznych.
Zrób teraz: dopisz do swojej ankiety dostawcy jedno brakujące pole – „wyniki skoordynowanej oceny bezpieczeństwa i postępowań z art. 67b” – z datą ostatniego sprawdzenia.
3. Rejestr dostawców ICT – co musi zawierać
Dokument: rejestr dostawców ICT wraz z ocenami i klauzulami umownymi (dokument 5 z listy SZBI) Dowód: aktualny rejestr, karty ocen, zapisy przeglądów
Rejestr jest sercem tego obszaru, bo łączy trzy rzeczy, które inaczej żyją osobno: kto jest dostawcą, jak został oceniony i co mówi jego umowa. Zalecamy prowadzić go jako jeden arkusz z takimi kolumnami:
| Kolumna | Co wpisujesz |
| Dostawca i zakres usługi | nazwa oraz co konkretnie dostarcza |
| Krytyczność | czy awaria zatrzymuje usługę – tak, częściowo, nie |
| Systemy i dane | czego dotyczy, jakie ma dostępy |
| Rodzaj dostępu | brak, zdalny, uprzywilejowany, ciągły |
| Ocena wg art. 8 ust. 2 | wynik czterech kryteriów i data oceny |
| Klauzule bezpieczeństwa | czy są w umowie i jakie – z odesłaniem do paragrafu |
| Właściciel relacji | imiennie, po naszej stronie |
| Data ponownej oceny | konkretny miesiąc |
| Status w Wykazie KSC | dotyczy dostawcy usług bezpieczeństwa w zakresie art. 8 i 11 |
Dwie wskazówki, które decydują o użyteczności rejestru. Pierwsza: klasyfikacja krytyczności przed oceną, nie po. To ona ustala, ilu dostawców przechodzi pełną ocenę, więc nie da się zaplanować pracy bez niej.
Druga: jeden właściciel relacji z imieniem i nazwiskiem. Rejestr, którego właścicielem jest „dział zakupów”, starzeje się w ciągu kwartału.
Najczęstsza luka w tym obszarze jest przewidywalna: rejestr istnieje w formie listy faktur z księgowości – bez ocen, bez klasyfikacji, bez informacji o dostępach i bez powiązania z umowami. To lista wydatków, nie
rejestr dostawców.
Rekap: jeden arkusz łączący dostawcę, ocenę i umowę, z imiennym właścicielem i datą ponownej oceny.
Zrób teraz: weź listę dostawców od księgowości i dopisz do niej dwie kolumny – „krytyczność” oraz „rodzaj dostępu”. To najszybsza droga od listy faktur do rejestru.
4. Klauzule bezpieczeństwa w umowach
Ocena dostawcy odpowiada na pytanie, komu zaufać. Umowa odpowiada na pytanie, co zrobisz, gdy coś się stanie. Bez tej drugiej warstwy pierwsza jest tylko opinią.
Zestaw klauzul, który zalecamy jako punkt wyjścia do negocjacji:
- Poziom usług (SLA) z gwarantowanym czasem reakcji, w szczególności dla zdarzeń bezpieczeństwa.
- Obowiązek niezwłocznego informowania o incydentach po stronie dostawcy – to Twoje realne źródło wiedzy o zdarzeniu, od którego zależy zmieszczenie się w terminach 24 i 72 godzin.
- Wymagania bezpieczeństwa i obowiązek informowania o podatnościach dotyczących dostarczanego produktu lub usługi.
- Prawo do audytu lub prawo do żądania dowodów – raportów z testów, certyfikatów, wyników przeglądów.
- Zasady dostępu zdalnego i uprzywilejowanego – MFA, konta imienne, rejestrowanie sesji, tryb nadawania i odbierania dostępu.
- Podwykonawcy – obowiązek informowania o ich zmianie i przeniesienie na nich wymagań bezpieczeństwa.
- Zwrot i usunięcie danych po zakończeniu umowy oraz potwierdzenie wykonania.
- Podział odpowiedzialności przy usługach bezpieczeństwa – ze świadomością, że odpowiedzialność ustawowa kierownika pozostaje po Twojej stronie (art. 8c ust. 3).
Do tego dwie klauzule, o których warto pomyśleć właśnie ze względu na art. 67c: prawo wyjścia z umowy oraz współpraca przy migracji w przypadku decyzji organu dotyczącej dostawcy. Bez nich plan wycofania technologii realizujesz na warunkach dostawcy, a nie na swoich.
I rzecz najważniejsza w tej sekcji, bo tu ginie najwięcej wartości: klauzula bez egzekwowania jest zapisem, nie zabezpieczeniem. Egzekwowanie oznacza cztery konkretne czynności: pilnowanie terminów raportów, korzystanie z prawa do dowodów przy dostawcach krytycznych, zapisywanie tego w rejestrze i wracanie do rozmowy, gdy dostawca nie dostarcza. Przegląd klauzul i poziomów usług jest częścią corocznego przeglądu dostawców.
Rekap: SLA, informowanie o incydentach i podatnościach, prawo do dowodów, zasady dostępu, podwykonawcy, wyjście z umowy. Klauzula działa tylko wtedy, gdy ktoś ją egzekwuje.
Zrób teraz: sprawdź w umowie jednego kluczowego dostawcy jedną rzecz – czy ma obowiązek informowania Cię o incydentach i w jakim czasie.
5. Dostawca wysokiego ryzyka (art. 67c)
To najbardziej dalekosiężny mechanizm w całej ustawie i jednocześnie ten, na który masz najmniejszy wpływ. Postępowanie prowadzi minister właściwy do spraw informatyzacji (art. 67b ust. 1), a decyzja o uznaniu za dostawcę wysokiego ryzyka jest ogłaszana w Monitorze Polskim. Uruchamia dwa skutki:
- Zakaz wprowadzania do użytkowania produktów ICT, usług ICT i procesów ICT objętych decyzją; podmioty stosujące Prawo zamówień publicznych nie mogą ich też nabywać (art. 67c ust. 1 pkt 1 i ust. 4).
- Obowiązek wycofania w terminie 7 lat od dnia ogłoszenia decyzji w Monitorze Polskim (art. 67c ust. 1 pkt 2). Termin 4 lat jest wyjątkiem: dotyczy przedsiębiorców komunikacji elektronicznej w zakresie funkcji krytycznych z załącznika nr 3 do ustawy (ust. 2) oraz – przy zakupach dokonanych w trybie zamówień publicznych – produktów, usług i procesów wykorzystywanych do tych funkcji krytycznych (ust. 5).
Zwróć uwagę, że to obowiązek zdarzeniowy: wyzwalaczem jest decyzja, nie Twój kalendarz, a terminy liczy się od dnia jej ogłoszenia w Monitorze Polskim. Do czasu wycofania wolno korzystać z posiadanych rozwiązań w zakresie naprawy, modernizacji, wymiany elementu lub aktualizacji, jeżeli jest to niezbędne dla jakości i ciągłości usług (art. 67c ust. 3).
Cztery i siedem lat brzmi jak odległa przyszłość, ale w praktyce oznacza dwie rzeczy dziejące się od razu. Po pierwsze, natychmiast blokuje plany rozwoju opartego na danej technologii – a wiele wdrożeń jest projektowanych na dekadę. Po drugie, wymusza migrację systemów, które zwykle są głęboko osadzone w architekturze, więc realny czas przygotowania jest krótszy niż termin formalny.
Jak się na to przygotować, nie wiedząc, kogo decyzja dotknie:
- Wiedz, co masz. Rejestr dostawców z informacją, które produkty obsługują funkcje krytyczne, to jedyna podstawa, żeby w ogóle ocenić skutki decyzji. Bez rejestru pierwszym krokiem po decyzji jest inwentaryzacja – a to strata tygodni.
- Oznacz funkcje krytyczne wcześniej. Krótszy termin opiera się na wykazie funkcji krytycznych z załącznika nr 3, więc przypisanie krytyczności do systemów – zwłaszcza przy zakupach w trybie zamówień publicznych – lepiej przemyśleć spokojnie niż pod presją.
- Sprawdzaj status dostawców cyklicznie. To dwa ostatnie kryteria z art. 8 ust. 2: wyniki oceny Grupy Współpracy i wyniki postępowań z art. 67b.
- Unikaj monokultury w funkcjach krytycznych. Architektura, w której jeden dostawca obsługuje całość funkcji krytycznej, jest najtrudniejsza do wycofania.
- Miej procedurę reakcji. Kto sprawdza, czy decyzja nas dotyczy, kto zatrzymuje nowe wdrożenia, kto przygotowuje plan wycofania z etapami i budżetem, kto informuje zarząd.
Warto też pamiętać o narzędziu pokrewnym, działającym w znacznie krótszym czasie: polecenie zabezpieczające ministra (art. 67g), które nakazuje wykonanie określonych czynności w trybie wskazanym w poleceniu.
Rekap: decyzja z art. 67c to zakaz wprowadzania do użytkowania plus wycofanie w 7 lat od ogłoszenia decyzji, z wyjątkowym terminem 4 lat dla komunikacji elektronicznej i zakupów publicznych w funkcjach krytycznych. Przygotowaniem jest rejestr i oznaczenie funkcji krytycznych.
Zrób teraz: zaznacz w rejestrze, które produkty ICT obsługują funkcje krytyczne i które pochodzą z zamówień publicznych. Te dwie kolumny decydują, czy w razie decyzji masz 4 czy 7 lat – i czy w ogóle to wiesz.
6. TPRM – zarządzanie ryzykiem stron trzecich jako proces ciągły
Zarządzanie ryzykiem stron trzecich (TPRM) to proces oceny i nadzoru nad dostawcami ICT. Słowo „nadzór” jest tu ważniejsze niż „ocena”, bo ustawa wymaga stałego monitorowania bezpieczeństwa dostawców i łańcucha dostaw, a nie jednorazowej kwalifikacji przy podpisaniu umowy.
Cykl, który zalecamy, ma cztery punkty:
Kwalifikacja przed umową. Karta oceny według czterech kryteriów z art. 8 ust. 2, klasyfikacja krytyczności, decyzja i klauzule w umowie.
Monitorowanie w trakcie. Obserwacja incydentów u dostawcy, komunikatów o podatnościach dotyczących jego produktów, zmian własnościowych i statusu w postępowaniach z art. 67b. Wykrycie podatności po
Twojej stronie uruchamia natychmiastowe działanie naprawcze (art. 8 ust. 1 pkt 5), a przy incydencie poważnym – obowiązek zgłoszenia w reżimie 24 i 72 godzin, niezależnie od tego, czy jego źródłem był Twój system czy system dostawcy.
Przegląd cykliczny. Ponowna ocena dostawców krytycznych, przegląd klauzul i poziomów usług, aktualizacja rejestru – zalecany cykl roczny, dowodem jest zaktualizowany rejestr.
Wyjście. Zakończenie umowy z odebraniem dostępów, zwrotem i usunięciem danych oraz potwierdzeniem wykonania. Ten etap najczęściej wypada z procesu – konta serwisowe byłych dostawców to jedna z najtrwalszych luk w kontroli dostępu.
Praktyczna wskazówka organizacyjna: TPRM nie jest procesem działu bezpieczeństwa. Wymaga trzech uczestników – zakupów, prawnego i bezpieczeństwa – a najlepiej działa, gdy karta oceny jest obowiązkowym załącznikiem do wniosku zakupowego. Wtedy proces uruchamia się sam, bez przypominania.
Rekap: kwalifikacja, monitorowanie, przegląd roczny, wyjście. Wyzwalaczem jest wniosek zakupowy, nie dobra wola.
Zrób teraz: dopisz do formularza wniosku zakupowego jedno pytanie – „czy dostawca ma dostęp do systemów lub danych”. Odpowiedź „tak” powinna uruchamiać kartę oceny.
7. CIR 2024/2690 – kogo dotyczy
CIR 2024/2690 to rozporządzenie wykonawcze Komisji Europejskiej, które precyzuje środki bezpieczeństwa oraz progi incydentów dla dostawców infrastruktury cyfrowej i usług zaufania. W mapie luk stanowi osobną grupę (L-10 – stosowalność aktu wykonawczego), a jego podstawą jest art. 8 ust. 1-2 ustawy w powiązaniu z art. 21 ust. 5 dyrektywy NIS2.
Znaczenie tego aktu jest dwustronne i warto rozumieć oba kierunki.
Jeśli jesteś takim podmiotem, Twoje wymagania są doprecyzowane bardziej niż ogólne przepisy ustawy – i to rozporządzenie wykonawcze, a nie tylko art. 8, wyznacza szczegóły środków oraz progi klasyfikacji incydentów. Sprawdzenie, czy podlegasz, jest zadaniem na etapie samoidentyfikacji, ale bywa pomijane, gdy status podmiotu ustalono szybko.
Jeśli jesteś odbiorcą usług takiego dostawcy, masz w ręku wygodne kryterium oceny: możesz pytać o zgodność z konkretnym, precyzyjnym reżimem, a nie o ogólne „stosowanie dobrych praktyk”. To jedno z najbardziej sprawdzalnych pytań w całej karcie oceny dostawcy.
Ponieważ akty wykonawcze i wytyczne w tym obszarze są wydawane etapami, weryfikuj bieżący stan – dla dostawców infrastruktury cyfrowej to najszybciej zmieniająca się część reżimu.
Rekap: CIR 2024/2690 precyzuje środki i progi incydentów dla dostawców infrastruktury cyfrowej i usług zaufania. Sprawdź, czy podlegasz – i pytaj o to dostawców.
Zrób teraz: przejrzyj rejestr i zaznacz dostawców, którzy mogą mieścić się w tej kategorii. Przy nich karta oceny może być krótsza, ale bardziej konkretna.
8. Łańcuch dostaw w grupie spółek
To obszar, w którym grupa kapitałowa zyskuje najwięcej, bo dostawcy są zwykle wspólni – a wspólne IT oznacza wspólnych dostawców infrastruktury i oprogramowania.
Skaluje się dobrze: centralny rejestr dostawców ICT, jedna procedura oceny i jedna karta oceny, jeden wzór klauzul bezpieczeństwa do umów, jedna grupowa umowa z dostawcą usług zarządzanych bezpieczeństwem, wspólne monitorowanie statusu dostawców w źródłach zewnętrznych, pakietowe negocjacje warunków bezpieczeństwa.
Zostaje lokalne: umowy podpisane historycznie przez poszczególne spółki, dostawcy specyficzni dla lokalnej działalności, dowody wykonania przeglądów oraz – co istotne – wpis do Wykazu KSC w zakresie umowy z dostawcą usług bezpieczeństwa, bo wykaz prowadzi się per podmiot i termin 14 dni na aktualizację biegnie osobno dla każdej spółki.
Rekomendowany model to ten sam co w całym wdrożeniu: piasta i szprychy. Centrala utrzymuje rejestr, kartę oceny, wzory klauzul i monitoruje status dostawców; spółki dostarczają informacje o umowach lokalnych i wykonują minimum lokalne. Zasada bez zmian: co da się zrobić raz, zrób raz i instancjonuj; co jest per podmiot z mocy ustawy, zautomatyzuj i pilnuj systemowo.
Jest tu jeszcze jeden efekt skali, o którym warto powiedzieć zarządowi, bo działa w drugą stronę. Wspólny dostawca to wspólne ryzyko: jedna decyzja z art. 67c dotycząca technologii używanej w całej grupie oznacza migrację w każdej spółce naraz, a jedna awaria wspólnego systemu może oznaczać kilkadziesiąt równoległych zgłoszeń incydentu w reżimie 24 i 72 godzin. Centralizacja obniża koszt zgodności i jednocześnie koncentruje ryzyko – obie strony tego równania warto mieć zapisane w rejestrze ryzyk.
Rekap: rejestr, karta oceny i wzory klauzul centralnie; umowy lokalne i dowody per spółka. Wspólny dostawca to wspólne ryzyko.
Zrób teraz: sprawdź, ilu dostawców krytycznych jest wspólnych dla wszystkich spółek w grupie. Ta liczba mówi zarówno o możliwych oszczędnościach, jak i o koncentracji ryzyka.
Checklista do samodzielnego wykonania
Rejestr dostawców, karta oceny z czterema kryteriami i procedura na wypadek decyzji z art. 67c – siedem punktów tego etapu znajdziesz jako listę nr 9 w pliku „10 checklist zgodności z ustawą o KSC”. Warto pobrać cały komplet także wtedy, gdy sam nie podlegasz przepisom: pozostałe dziewięć list pokazuje, o co będą pytać Cię klienci, którzy podlegają.
Mini-test – sprawdź się w 6 pytaniach
- Jakie trzy kryteria musi uwzględniać ocena dostawcy według art. 8 ust. 2?
- Które z tych kryteriów sprawdzasz poza własną organizacją?
- Jakie dwa skutki wywołuje decyzja z art. 67c i w jakich terminach?
- Od czego zależy, czy termin wycofania to 4 czy 7 lat?
- Dlaczego umowa z dostawcą usług bezpieczeństwa jest szczególnym przypadkiem?
- Który etap cyklu TPRM najczęściej wypada z procesu?
Odpowiedzi: 1. Podatności dostawcy, ogólna jakość jego produktów, usług i procesów ICT, wyniki oceny Grupy Współpracy oraz wyniki postępowania z art. 67b. 2. Dwa ostatnie – to informacje zewnętrzne. 3. Zakaz wprowadzania do użytkowania oraz wycofanie w 7 lat od ogłoszenia decyzji w Monitorze Polskim. 4. Termin 4 lat dotyczy przedsiębiorców komunikacji elektronicznej oraz zakupów publicznych w zakresie funkcji krytycznych z załącznika nr 3. 5. Bo odpowiedzialność kierownika nie przechodzi na dostawcę (art. 8c ust. 3), umowa w zakresie zadań z art. 8 i 11 trafia do Wykazu KSC, a jej zmiana uruchamia 14 dni na aktualizację wpisu. 6. Wyjście z umowy – odebranie dostępów, zwrot i usunięcie danych.
Co dalej
Łańcuch dostaw to ostatni duży obszar merytoryczny przed zmianą skali. Kolejny krok w przewodniku prowadzi do wdrożenia w grupie kapitałowej: co da się zrobić raz i instancjonować, co mnoży się przez liczbę spółek i dlaczego przy kilkudziesięciu podmiotach segregator i kalendarz przestają wystarczać.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: lipiec 2026 r. Przy wdrożeniu weryfikuj wydawane rozporządzenia wykonawcze oraz komunikaty Ministerstwa Cyfryzacji.
