Obowiązek zgłaszania incydentów – dlaczego musisz być gotowy, zanim wydarzy się incydent 

Punkt przewodnika: procedura incydentowa i obowiązki zdarzeniowe – 24h, 72h, 1 miesiąc. Poziom: start. Zakładamy, że masz ustalony status podmiotu i wiesz, kiedy wchodzisz do Wykazu KSC. 

Straż pożarna nie kupuje węży w chwili pożaru. To zdanie brzmi banalnie, dopóki nie przełożysz go na terminy z ustawy o KSC: zegar wczesnego ostrzeżenia to 24 godziny od wykrycia incydentu i biegnie także w nocy, w weekend i w środku sezonu urlopowego. Nie startuje od poniedziałku, nie zatrzymuje się na czas zakładania konta w systemie państwowym i nie czeka, aż ktoś ustali, kto właściwie powinien zgłosić. 

Jest tu jeszcze jedna rzecz, którą łatwo przeoczyć w harmonogramie wdrożenia. Obowiązek zgłaszania incydentów poważnych powstaje z chwilą objęcia podmiotu ustawą, co do zasady od wpisu do Wykazu KSC – niezależnie od okresu przejściowego na budowę systemu zarządzania bezpieczeństwem informacji i niezależnie od moratorium na kary pieniężne do 3.04.2028 r. Innymi słowy: procedura incydentowa nie jest jednym z czternastu środków, które budujesz do kwietnia 2027 r. Jest tym, co musi działać już jesienią 2026 r. 

Czego się nauczysz 

1. Czym jest incydent poważny i gdzie szukać progów jego klasyfikacji. 

2. Jak wyglądają cztery etapy raportowania i od czego liczy się każdy termin. 

3. Do kogo zgłaszasz i jak sprawdzić swój właściwy CSIRT. 

4. Jak zbudować procedurę i dlaczego formularz musi być przetestowany. 

5. Jak zorganizować gotowość 24/7 bez dużego zespołu. 

6. Kiedy musisz poinformować użytkowników, a kiedy jest to fakultatywne. 

7. Co warto zgłaszać dobrowolnie i dlaczego to się opłaca. 

8. Jak policzyć asymetrię ryzyka i przekonać nią zarząd. 

1. Co to jest incydent poważny i jak go klasyfikować – progi z art. 11 ust. 4 

Zacznijmy od rzeczy najważniejszej i zarazem najbardziej niewygodnej: nie każdy incydent podlega zgłoszeniu. Zgłoszeniu podlega incydent poważny, a decyzja o tym, czy dany incydent jest poważny, należy do Ciebie. Ustawa nakłada obowiązek zapewnienia obsługi incydentu i jego klasyfikacji według progów istotności (art. 11 ust. 1 pkt 1 i 3), a progi określa rozporządzenie Rady Ministrów wydawane na podstawie art. 11 ust. 4. 

Warto wiedzieć, gdzie tych progów szukać, bo art. 11 ust. 4 sam ich nie zawiera – jest delegacją dla Rady Ministrów do ich określenia, według rodzaju zdarzenia w poszczególnych sektorach i podsektorach, w odniesieniu do liczby użytkowników, czasu oddziaływania incydentu, zasięgu geograficznego i innych czynników sektorowych. Do wejścia w życie nowego rozporządzenia obowiązuje dotychczasowe, wydane na podstawie art. 11 ust. 4 w brzmieniu poprzednim – nie dłużej jednak niż 12 miesięcy od wejścia nowelizacji w życie (art. 32 pkt 1 ustawy zmieniającej). Klasyfikację opierasz więc na progach z aktualnie obowiązującego rozporządzenia oraz na własnej, udokumentowanej procedurze oceny incydentu. Jeśli działasz w infrastrukturze cyfrowej lub świadczysz usługi zaufania, sprawdź dodatkowo rozporządzenie wykonawcze CIR 2024/2690, które precyzuje środki i progi incydentów dla tych obszarów. 

Praktyczny wniosek: progi są, ale to Ty odpowiadasz za metodę ich zastosowania. Rozporządzenie mówi językiem skutków, więc musisz pokazać, jak je mierzysz – i że robisz to konsekwentnie. 

Jak to zrobić bez zgadywania: 

• Odczytaj progi wprost z obowiązującego rozporządzenia wydanego na podstawie art. 11 ust. 4 i przenieś je do procedury w brzmieniu oryginalnym, nie w parafrazie. Parafraza jest miejscem, w którym rodzą się spory. 

• Przełóż progi na własne wskaźniki. Przepisy mówią językiem skutków, Ty musisz umieć je zmierzyć: liczba dotkniętych użytkowników, czas niedostępności usługi, zasięg geograficzny, straty, wpływ na dane. Dla każdego progu wskaż, z jakiego systemu bierzesz liczbę i kto ją podaje. 

• Zbuduj macierz decyzyjną – jedną kartkę, która prowadzi dyżurnego od objawu do decyzji „poważny / nie poważny / eskalacja do decydenta”. 

• Prowadź rejestr klasyfikacji. Zapisuj każdą decyzję wraz z uzasadnieniem, także decyzję negatywną. To Twój dowód, że proces działa, a nie tylko istnieje. 

• Zaplanuj przegląd. Nowe rozporządzenie zastąpi dotychczasowe najpóźniej w ciągu 12 miesięcy od wejścia nowelizacji w życie, więc macierz będzie wymagała aktualizacji. Wpisz ten przegląd do procedury już teraz. 

Zwróć uwagę na jedno: decyzja o klasyfikacji jest podejmowana pod presją czasu, bo zegar 24 godzin biegnie od wykrycia, a nie od zakończenia analizy. Dlatego macierz musi być czytelna dla osoby, która widzi ją o trzeciej nad ranem, a nie tylko dla jej autora. 

Rekap: zgłaszasz incydenty poważne. Progi daje rozporządzenie wydane na podstawie art. 11 ust. 4, metodę ich zastosowania musisz mieć własną i udokumentowaną. 

Zrób teraz: wypisz pięć najbardziej prawdopodobnych scenariuszy awarii u siebie i przy każdym wpisz jedno zdanie: „poważny, bo…” albo „nie poważny, bo…”. To surowa wersja Twojej przyszłej macierzy – i najlepszy test, czy progi są w ogóle mierzalne w Twoich systemach. 

2. Cztery etapy raportowania: 24h, 72h, sprawozdanie okresowe, sprawozdanie końcowe 

Ustawa nie mówi „zgłoś incydent”. Rozpisuje sekwencję czterech kroków, z których każdy ma inny termin i inną treść. 

Etap	Termin	Co zawiera	Podstawa
Wczesne ostrzeżenie	24h od wykrycia	pierwszy sygnał do CSIRT – że coś się dzieje	art. 12 ust. 1-2
Zgłoszenie incydentu poważnego	72h od wykrycia	wpływ, przyczyny, przebieg, podjęte działania	art. 12 ust. 3-8
Sprawozdanie okresowe	na wniosek CSIRT	stan obsługi na żądanie	art. 11 ust. 1 pkt 4b
Sprawozdanie końcowe	1 miesiąc od zgłoszenia	zamknięcie sprawy; gdy obsługa trwa dłużej – sprawozdanie z postępu	art. 12a-12b

Trzy rzeczy, które warto zapamiętać na pamięć, bo najczęściej się mylą. 

Pierwsza: oba główne terminy liczą się od wykrycia, nie od siebie. 72 godziny nie oznaczają „trzy dni po wysłaniu wczesnego ostrzeżenia”. Jeśli wykryłeś incydent w piątek o 22:00, masz czas do soboty 22:00 na wczesne ostrzeżenie i do poniedziałku 22:00 na pełne zgłoszenie. 

Druga: wczesne ostrzeżenie nie wymaga pełnej wiedzy. To sygnał, nie raport. Czekanie z nim do momentu, w którym „będziemy wiedzieli więcej”, jest najczęstszym sposobem przekroczenia terminu, a przecież pełną analizę składasz dopiero w kolejnym kroku. 

Trzecia: sprawozdanie końcowe liczy się od zgłoszenia, nie od zakończenia obsługi. Jeśli obsługa incydentu trwa dłużej niż miesiąc, nie milczysz – składasz sprawozdanie z postępu. 

Do tej sekwencji dochodzą obowiązki towarzyszące, o których łatwo zapomnieć w napięciu zdarzenia: niezwłoczne działania po dostrzeżeniu podatności lub cyberzagrożeń (art. 8 ust. 1 pkt 5 lit. d), usunięcie podatności w terminie wyznaczonym po wezwaniu organu na wniosek CSIRT (art. 32 ust. 2) oraz współdziałanie z CSIRT podczas obsługi incydentu poważnego lub krytycznego, w tym przekazywanie danych (art. 11 ust. 1 pkt 5). 

Rekap: 24h sygnał, 72h treść, sprawozdanie okresowe na wniosek, sprawozdanie końcowe miesiąc od zgłoszenia. 

Zrób teraz: narysuj tę sekwencję na jednej kartce z konkretnymi godzinami dla przykładowego incydentu wykrytego w piątek wieczorem. Powieś ją tam, gdzie pracuje dyżurny. 

3. Do kogo zgłaszać – CSIRT sektorowy, NASK, GOV, MON 

CSIRT to zespół reagowania na incydenty komputerowe – instytucja państwowa, do której trafiają zgłoszenia. Docelowo zgłaszasz do CSIRT sektorowego, właściwego dla Twojego sektora. Do dnia ogłoszenia komunikatu o osiągnięciu przez niego zdolności operacyjnej zgłoszenia przyjmują CSIRT NASK, CSIRT GOV albo CSIRT MON – właściwy dla Twojego podmiotu (art. 44 ust. 1 i 2 ustawy zmieniającej). 

Nie ustalaj tego z pamięci ani z analogii do innej firmy z branży. Właściwy CSIRT jest jedną z informacji, które w Wykazie KSC uzupełnia z urzędu minister właściwy do spraw informatyzacji – obok wskazania właściwego organu, numeru w wykazie i daty wpisu. Po wpisie sprawdź więc swój rekord w wykazie i zapisz nazwę właściwego CSIRT w procedurze. To najprostszy sposób, żeby o trzeciej nad ranem nikt nie szukał adresata. 

Kanałem zgłoszenia jest system S46 (art. 46) – to samo „jedno okno kontaktu z państwem”, w którym prowadzony jest Wykaz KSC. Trzy praktyczne konsekwencje: 

• Konto musi być aktywne wcześniej. System jest dostępny od 12.06.2026 r., a zakładanie konta w trakcie liczenia 24 godzin to strata najcenniejszych godzin. 

• Niekorzystanie z S46 przy obowiązkach incydentowych, gdy jest wymagane, stanowi samodzielną podstawę kary dla podmiotu (art. 73 ust. 1 pkt 13). To uchybienie karalne samo w sobie, niezależnie od tego, jak dobrze poradziłeś sobie z samym incydentem. 

• Korespondencja wraca tym samym kanałem – a w S46 obowiązuje fikcja doręczenia: pismo uznaje się za doręczone po 14 dniach od wysłania, nawet nieotwarte (art. 46b), i od tej daty biegną terminy. Wniosek CSIRT o sprawozdanie okresowe też przyjdzie tą drogą. 

Rekap: docelowo CSIRT sektorowy, przejściowo NASK, GOV albo MON. Adresata potwierdzasz w swoim wpisie w wykazie, kanałem jest S46. 

Zrób teraz: wpisz do procedury dwie konkretne rzeczy: nazwę właściwego CSIRT i login do S46 wraz z nazwiskami osób, które mają do niego dostęp. Procedura, w której adresat jest opisany słowem „odpowiedni”, nie jest procedurą. 

4. Jak przygotować procedurę incydentową i przetestowane formularze 

Procedura incydentowa to obowiązek J9 w naszej sekwencji wdrożenia: podstawa art. 11-12b, dowodem są przetestowane formularze oraz działający kontakt w trybie 24/7. Terminy formalne są dwa – byli operatorzy usługi kluczowej zgłaszają incydenty poważne na nowych zasadach od 3.10.2026 r., czyli po 6 miesiącach od wejścia nowelizacji w życie (art. 33 ust. 4 ustawy zmieniającej), a pozostałe podmioty mają czas do 3.04.2027 r. – ale przypominamy zasadę priorytetu z początku artykułu: sam obowiązek zgłaszania działa od objęcia ustawą, więc realny termin gotowości to data Twojego wpisu do wykazu. 

Co powinna zawierać procedura, żeby dała się wykonać pod presją: 

1. Definicje i macierz klasyfikacji – z progami z art. 11 ust. 4 i wskazaniem, kto podejmuje decyzję oraz kto ją podejmuje w zastępstwie. 

2. Ścieżkę zgłoszenia z godzinami – kto wysyła wczesne ostrzeżenie, z jakiego konta, na podstawie jakiego szablonu. 

3. Progi eskalacji – kiedy budzi się kierownika podmiotu, a kiedy wystarcza dyżurny. 

4. Cztery szablony – wczesne ostrzeżenie, pełne zgłoszenie, sprawozdanie okresowe, sprawozdanie końcowe wraz z wariantem sprawozdania z postępu. 

5. Rejestr incydentów i log klasyfikacji – w systemie ticketowym albo dedykowanym rejestrze; to warstwa dowodowa, bez której zgodność jest nieobronna. 

6. Playbooki dla najczęstszych scenariuszy – ransomware, wyciek danych, niedostępność usługi, incydent u dostawcy. 

7. Zasady współpracy z CSIRT – kanały, osoby, reguły przekazywania danych, w tym danych osobowych. 

8. Powiązanie z podatnościami – kto i w jakim czasie usuwa podatność, w tym po wezwaniu organu (art. 8 ust. 1 pkt 5 lit. d, art. 32 ust. 2). 

Teraz najważniejsze zdanie tej sekcji: formularz nieprzetestowany nie jest formularzem. Test polega na tym, że osoba dyżurna – nie autor procedury – wypełnia szablon dla fikcyjnego incydentu, z zegarkiem w ręku, korzystając wyłącznie z zapisów procedury. Jeśli w trakcie musi kogokolwiek pytać o dostęp, adresata albo o to, które pole jest obowiązkowe, procedura jest jeszcze nieskończona. 

Analogia jest lotnicza: karta procedur awaryjnych w kokpicie nie służy do nauki, lecz do wykonania. Uczysz się wcześniej, na symulatorze. 

Rekap: procedura z godzinami, cztery szablony, rejestr, playbooki. Test wykonuje dyżurny, nie autor. 

Zrób teraz: przeprowadź test na sucho jednego scenariusza w ciągu najbliższych dwóch tygodni i zapisz, ile minut zajęło wypełnienie wczesnego ostrzeżenia. Ta liczba jest Twoim realnym marginesem bezpieczeństwa. 

5. Dyżury 24/7 – jak zorganizować gotowość operacyjną bez dużego zespołu 

Zegar biegnie w nocy i w weekend, więc gotowość musi obejmować noc i weekend. Nie znaczy to jednak, że potrzebujesz trzyzmianowego zespołu. 

Ustawa daje Ci wybór modelu (art. 14): możesz powołać własne struktury bezpieczeństwa albo zawrzeć umowę z dostawcą usług zarządzanych bezpieczeństwem. To obowiązek J6 z terminem do 3.04.2027 r., ale decyzję warto podjąć wcześniej, bo determinuje sposób organizacji dyżurów. Uwaga: brak jednego i drugiego jest samodzielną podstawą kary dla kierownika podmiotu (art. 73a ust. 1 pkt 13 w zw. z art. 14). 

Cztery rzeczy, które trzeba wiedzieć o modelu z dostawcą, zanim się go wybierze: 

• Odpowiedzialność nie przechodzi na dostawcę. Kierownik podmiotu odpowiada nadal (art. 8c ust. 3). Kupujesz zdolność operacyjną, nie zwolnienie z obowiązku. 

• Umowa trafia do Wykazu KSC, jeśli dotyczy zadań z art. 8 i 11 – a jej zawarcie lub zmiana uruchamia 14 dni na aktualizację wpisu (art. 7c ust. 3). 

• Dostawca prowadzący Twój system nie może go sam audytować w audycie obowiązkowym (art. 15 ust. 2a). Jeśli jesteś podmiotem kluczowym, zaplanuj audytora osobno. 

• Dostawca ma własne obowiązki informacyjne – publikuje informacje o swojej działalności w zakresie obsługi incydentów, w tym o zakresie usług i danych kontaktowych (art. 8g). To wygodny punkt weryfikacji przy wyborze partnera. 

Jak zbudować gotowość w małej organizacji, praktycznie: 

• Dwie osoby kontaktowe to minimum ustawowe (art. 9; mikro- i mali podmioty – jedna). Przy dyżurach traktuj jedną osobę jak pojedynczy punkt awarii: zawsze wyznacz zastępcę. 

• Opisz osiągalność, nie dostępność. Nie „dyżur 24/7”, ale numer telefonu, kanał zapasowy, maksymalny czas odebrania i zasada, kto przejmuje po jego upływie. 

• Rozdziel dwie role. Kto ocenia techniczne skutki, a kto ma uprawnienie do wysłania zgłoszenia. Zgłoszenie nie może czekać na naradę. 

• Przeszkol osoby kontaktowe w obsłudze S46 – to warunek dowodowy J10 i praktyczny warunek zmieszczenia się w terminie. 

• Wpisz dyżury w kalendarz urlopowy. Najczęstsza luka operacyjna w małych zespołach to nie brak procedury, a sierpień. 

Rekap: własny SOC albo dostawca, ale odpowiedzialność zostaje u Ciebie. Minimum to dwie osoby, opisana osiągalność i uprawnienie do wysłania zgłoszenia. 

Zrób teraz: wykonaj test telefoniczny w niedzielę wieczorem. Zadzwoń pod numer dyżurny z procedury. Wynik tej jednej próby powie Ci więcej niż cały dokument. 

6. Komunikacja do użytkowników: kiedy i jak informować 

Zgłoszenie do CSIRT nie wyczerpuje obowiązków komunikacyjnych. Ustawa przewiduje dwa różne przypadki i warto ich nie mieszać, bo mają inny charakter. 

Incydent z niekorzystnym wpływem na świadczone usługi – informowanie obowiązkowe. Użytkowników informujesz niezwłocznie (art. 11 ust. 2b). Tu nie ma miejsca na ocenę, czy komunikat jest wygodny wizerunkowo. 

Poważne cyberzagrożenie – informowanie o środkach zapobiegawczych. Obowiązek powstaje w stosownych przypadkach, czyli gdy zagrożenie realnie dotyczy użytkowników; w pozostałych sytuacjach komunikacja jest fakultatywna (art. 11 ust. 2a). 

Różnica jest istotna: pierwszy przypadek dotyczy skutku, który już wystąpił, drugi – ryzyka, przed którym użytkownik może się zabezpieczyć. Dlatego treść też jest inna. W pierwszym mówisz, co się stało i co robisz.

W drugim mówisz, co użytkownik ma zrobić. 

Żeby to działało pod presją, przygotuj wcześniej: 

• Dwa szablony komunikatów – po jednym dla każdego przypadku, w tonie zrozumiałym dla odbiorcy, bez żargonu. 

• Kryteria uruchomienia – kto decyduje o wysłaniu i na podstawie jakiej przesłanki. Bez tego decyzja przechodzi w dyskusję. 

• Kanały i zastępcze kanały. Jeśli incydent dotyczy Twojej poczty lub portalu, komunikat musi wyjść inną drogą. To najczęściej pomijany element planu. 

• Spójność z tym, co poszło do CSIRT. Komunikat publiczny i zgłoszenie muszą opisywać ten sam stan faktyczny. 

Rekap: wpływ na usługę – informujesz obowiązkowo. Poważne cyberzagrożenie – w stosownych przypadkach, o środkach zapobiegawczych. 

Zrób teraz: napisz dziś jedno zdanie otwierające komunikat o niedostępności usługi i pokaż je osobie spoza IT. Jeśli musi dopytać, co się stało, przepisz je. 

7. Dobrowolne zgłoszenia – co i kiedy warto zgłosić ponad obowiązek 

Art. 13 pozwala przekazywać do CSIRT informacje o innych incydentach, o cyberzagrożeniach i o podatnościach – także tych, które nie osiągnęły progu incydentu poważnego. To ścieżka dobrowolna, więc naturalne pytanie brzmi: po co z niej korzystać. 

Trzy powody, dla których warto ją mieć opisaną procedurą, a nie zostawiać uznaniu: 

Buduje dowód dojrzałości. Rejestr zgłoszeń dobrowolnych pokazuje, że proces oceny incydentów działa na bieżąco, a nie tylko w sytuacjach granicznych. 

Zdejmuje presję z decyzji klasyfikacyjnej. Gdy sprawa jest niejednoznaczna i próg trudno rozstrzygnąć, zgłoszenie dobrowolne jest bezpieczną drogą pośrednią między milczeniem a formalnym zgłoszeniem incydentu poważnego. 

Działa w obie strony. Ustawa przewiduje też udział w wymianie informacji o cyberzagrożeniach na podstawie porozumień (art. 8h) – obok źródeł threat intelligence i biuletynów CSIRT to część obowiązku zbierania informacji o zagrożeniach i podatnościach (art. 8 ust. 1 pkt 3). 

Jedna praktyczna ostrożność. Przekazując informacje dobrowolnie, oznaczaj to, co stanowi tajemnicę przedsiębiorstwa, i stosuj przyjęte zasady oznaczania odbiorców przy wymianie informacji. Procedura powinna wskazywać, kto ma prawo wysłać zgłoszenie dobrowolne i co można w nim ujawnić – żeby dobra praktyka nie stała się nieświadomym ujawnieniem. 

Rekap: art. 13 daje bezpieczną ścieżkę pośrednią. Warto ją opisać, wskazać właściciela i pilnować oznaczania informacji poufnych. 

Zrób teraz: dopisz do procedury jedno zdanie: kto może wysłać zgłoszenie dobrowolne i co wymaga zgody przed wysłaniem. 

8. Asymetria ryzyka: koszt gotowości vs. kara za przekroczenie terminu 

Ta sekcja jest po to, żebyś miał argument na spotkanie z zarządem. Nie opiera się na straszeniu, lecz na porównaniu dwóch liczb. 

Od 3.04.2028 r. kara dla podmiotu kluczowego może wynieść do 10 mln EUR lub 2% rocznego przychodu (art. 73 ust. 3), a dla podmiotu ważnego do 7 mln EUR lub 1,4% (art. 73 ust. 4). Odrębnie kierownik podmiotu odpowiada karą do 300% swojego wynagrodzenia (art. 73a ust. 4) – osobiście i niezależnie od tego, komu powierzył zadania (art. 8c ust. 3). Po drugiej stronie stoi koszt gotowości: procedura, cztery szablony, konto w S46, dwie osoby z opisaną osiągalnością, ewentualnie umowa z dostawcą. Jedna przegapiona godzina z terminu 72 godzin to ekspozycja nieporównywalnie większa niż ten koszt. To właśnie asymetria ryzyka i sedno całej rozmowy o incydentach. 

Trzy uzupełnienia, które domykają argument: 

Terminy zdarzeniowe są zero-jedynkowe. Przy większości obowiązków można dyskutować o stopniu wdrożenia. Tu nie: albo zgłoszenie wpłynęło w 24 godziny, albo nie. To najłatwiejsze do stwierdzenia naruszenie w całej ustawie. 

Moratorium nie chroni od nadzoru. Moratorium na kary pieniężne wynika z art. 35 ustawy zmieniającej, ale kontrole, ostrzeżenia i nakazy działają już teraz na podstawie art. 53 ust. 2, 4 i 5 – w tym nakaz audytu na własny koszt (art. 15 ust. 1b) i polecenie zabezpieczające ministra (art. 67g). 

Papier tutaj nie wystarcza nawet w jednej spółce. Obowiązki liczone w godzinach i dniach od zdarzenia to jedyna kategoria, w której segregator i kalendarz przestają działać z definicji – bo nie wiedzą, że coś się stało. W grupie kapitałowej problem rośnie skokowo: jedna awaria wspólnego systemu ERP oznacza nawet kilkadziesiąt równoległych zgłoszeń, każde w reżimie 24 i 72 godzin. 

Rekap: ekspozycja to 10 mln EUR lub 2% przychodu przy podmiocie kluczowym, 7 mln EUR lub 1,4% przy ważnym, a odrębnie 300% wynagrodzenia kierownika. Koszt gotowości jest o rzędy wielkości niższy, a terminy zdarzeniowe nie podlegają negocjacji. 

Zrób teraz: policz właściwy dla siebie procent rocznego przychodu – 2% przy podmiocie kluczowym, 1,4% przy ważnym – i zapisz tę jedną liczbę na pierwszym slajdzie materiału dla zarządu. Reszta prezentacji będzie już tylko doprecyzowaniem. 

Checklista do samodzielnego wykonania 

Wszystko, co musi być gotowe przed pierwszym incydentem, zebraliśmy w liście nr 4 pliku „10 checklist zgodności z ustawą o KSC” – siedem punktów, od terminów w procedurze po przetestowaną ścieżkę zgłoszenia w S46. To ta jedna lista, którą warto wydrukować i powiesić przy stanowisku dyżurnego. W komplecie znajdziesz dziewięć pozostałych, obejmujących całą drogę do zgodności.

Mini-test – sprawdź się w 6 pytaniach 

1. Od którego momentu liczą się terminy 24h i 72h? 

2. Czym różni się treść wczesnego ostrzeżenia od pełnego zgłoszenia? 

3. Kiedy składasz sprawozdanie z postępu zamiast końcowego? 

4. Gdzie sprawdzisz, który CSIRT jest dla Ciebie właściwy? 

5. Który przypadek komunikacji do użytkowników jest obowiązkowy, a który warunkowy? 

6. Dlaczego obowiązek zgłaszania incydentów nie czeka na 3.04.2027 r.? 

Odpowiedzi: 1. Od wykrycia incydentu – oba, niezależnie od siebie. 2. Wczesne ostrzeżenie to sygnał, że coś się dzieje; pełne zgłoszenie opisuje wpływ, przyczyny, przebieg i podjęte działania (art. 12 ust. 3-8). 3. Gdy obsługa incydentu trwa dłużej niż miesiąc (art. 12a-12b). 4. W swoim rekordzie w Wykazie KSC – właściwy CSIRT uzupełnia z urzędu minister właściwy do spraw informatyzacji. 5. Incydent z niekorzystnym wpływem na usługi – obowiązkowo (art. 11 ust. 2b); poważne cyberzagrożenie – w stosownych przypadkach (art. 11 ust. 2a). 6. Bo powstaje z chwilą objęcia podmiotu ustawą, co do zasady od wpisu do Wykazu KSC, niezależnie od okresu przejściowego na budowę SZBI i od moratorium na kary. 

Co dalej 

Gotowość incydentowa jest pierwszą rzeczą, która musi działać, ale nie jest całym systemem. Kolejny krok to rdzeń wdrożenia: czternaście środków bezpieczeństwa z art. 8 i dokumentacja z art. 10, z terminem 3.04.2027 r. – w kolejności wyznaczonej przez Twoją gap analysis. O tym w następnym artykule przewodnika. 

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: lipiec 2026 r. Przy wdrożeniu weryfikuj wydawane rozporządzenia wykonawcze oraz komunikaty Ministerstwa Cyfryzacji – w szczególności wytyczne dotyczące klasyfikacji incydentów poważnych.