Ustawa o krajowym systemie cyberbezpieczeństwa, w skrócie ustawa o KSC, to przepisy, które od 3 kwietnia 2026 r. wyznaczają w Polsce obowiązki z zakresu cyberbezpieczeństwa dla kilkudziesięciu tysięcy firm i instytucji. Dla części z nich jest to pierwszy taki zestaw wymagań w historii. Zacznijmy od zdania, które słyszymy najczęściej: „to chyba nas nie dotyczy”. Bywa prawdziwe. Tylko że sprawdzenie tego zajmuje jeden dzień, a jego brak potrafi kosztować znacznie więcej. Zwłaszcza że nawet organizacje spoza zakresu ustawy dostają te same pytania w ankietach od klientów, którzy w zakresie są. Ta strona jest informatorem po całości: kto podlega przepisom, jakie ma obowiązki, do kiedy i co się dzieje, gdy ich nie wykona. Każdy temat streszczamy tutaj i odsyłamy do artykułu, który rozkłada go na czynniki pierwsze.
Stan prawny: lipiec 2026 r. Podstawa: ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20) w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. wdrażającą dyrektywę NIS2 (Dz.U. 2026 poz. 252).
1. Ustawa o KSC a dyrektywa NIS2 – dlaczego to nie to samo
W rozmowach wszyscy mówią „NIS2”, a w dokumentach trzeba pisać „ustawa o KSC”. To nie jest drobiazg językowy, lecz różnica, która ma znaczenie przy kontroli. NIS2 to dyrektywa unijna, czyli zobowiązanie skierowane do państw, a nie bezpośrednio do firm. Państwo musi przenieść ją do własnego prawa i dopiero ten przepis krajowy obowiązuje organizacje. W Polsce zrobiła to nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r.
W praktyce znaczy to tyle, że w dokumentacji, w umowach i w rozmowie z urzędem powołujecie się na artykuł ustawy, a nie na motyw dyrektywy. Numer artykułu jest tym, co organ sprawdza. Są też branże z własnymi zasadami. Sektor finansowy stosuje unijne rozporządzenie DORA zamiast części przepisów ustawy o KSC.
Firmy dostarczające internetowy fundament – usługi DNS, chmurę, centra danych, sieci dostarczania treści, usługi zarządzane, platformy handlowe, wyszukiwarki i serwisy społecznościowe – mają dodatkowo doprecyzowane środki w unijnym rozporządzeniu wykonawczym 2024/2690.
Dlatego pierwszym krokiem nie jest lektura dyrektywy, a sprawdzenie własnej sytuacji w polskiej ustawie.
2. Branże, które podlegają w nieoczywistych przypadkach
Ustawa nie wymienia branż z nazwy. Wymienia rodzaje podmiotów, a te opisane są definicjami z innych ustaw. Dlatego firma potrafi być w zakresie, nie widząc siebie nigdzie na liście sektorów.
Cztery mechanizmy powtarzają się najczęściej.
Definicja szersza niż potoczna nazwa. Załącznik 1 mówi o hurtowniach, importerach i wytwórcach produktów leczniczych, a produktem leczniczym jest w rozumieniu Prawa farmaceutycznego także lek dla zwierząt. Branża weterynaryjna trafia więc do sektora ochrony zdrowia, choć w ustawie nie pada ani razu.
Działalność poboczna, która wystarcza. Przy obrocie paliwami ciekłymi przepis nie wymaga, żeby była to działalność dominująca. Stacja przy sklepie wielkopowierzchniowym, przy hotelu albo przy zakładzie liczy się tak samo jak sieć stacji. Ten sam mechanizm obejmuje punkty ładowania pojazdów elektrycznych.
Błędna klasyfikacja wewnątrz własnego sektora. Podsektory produkcyjne odsyłają do działów klasyfikacji NACE, a granice między nimi bywają nieostre dla praktyka i rozstrzygające dla organu. Producent czujników temperatury jest wytwórcą wyrobów elektronicznych, nie maszyn, a od tego zależy właściwy organ nadzoru.
Brak progu wielkości. Część podmiotów wchodzi w zakres niezależnie od skali. Dotyczy to między innymi usług rejestracji nazw domen, a dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa podlegają już od małego przedsiębiorcy.
Wspólny wniosek jest taki, że pytanie „czy moja branża jest w ustawie” bywa źle postawione. Właściwe brzmi: czy którakolwiek z prowadzonych przez nas działalności odpowiada opisowi z załącznika 1 albo 2. Odpowiedź bywa twierdząca w firmach, które o cyberbezpieczeństwie nigdy nie myślały jako o obowiązku prawnym.
Branże, które podlegają pod ustawę o KSC
3. Kto podlega ustawie o KSC – podmioty kluczowe i ważne
Ustawa dzieli objęte organizacje na dwie klasy: podmioty kluczowe i podmioty ważne. Kwalifikacja ma dwa filtry i kolejność ma znaczenie.
Filtr pierwszy: sektor. Załączniki 1 i 2 do ustawy zawierają listy sektorów. Jeśli Waszej działalności tam nie ma, dalsze liczenie jest bezcelowe.
Filtr drugi: wielkość. Progi nie są zapisane w samej ustawie – opierają się na definicjach z załącznika I do unijnego rozporządzenia 651/2014/UE.
Upraszczając: podmiotem kluczowym jest zwykle organizacja z załącznika 1, która przewyższa wymogi dla średniego przedsiębiorcy, a podmiotem ważnym ta, która je spełnia, albo organizacja z załącznika 2. Są sytuacje, w których wielkość nie ma znaczenia. Podmiot krytyczny jest podmiotem kluczowym niezależnie od skali. Byli operatorzy usługi kluczowej stali się podmiotami kluczowymi z mocy prawa, z dniem wejścia nowelizacji w życie. Czym się różnią obie klasy? Nie zakresem obowiązków, bo wymagania merytoryczne są zbliżone. Różnią się intensywnością nadzoru, wysokością kar i jednym obowiązkiem: audyt bezpieczeństwa co najmniej raz na 3 lata dotyczy wyłącznie podmiotów kluczowych.
Jedna uwaga na koniec tej sekcji: wynik „nie podlegamy” też jest wynikiem i też wymaga dokumentu. Jeśli urząd zapyta, dlaczego nie ma Was w rejestrze, odpowiedzią jest arkusz kwalifikacji, a nie wspomnienie rozmowy.
Nie wiesz, w której grupie jesteście? Sprawdź to bezpłatnie w NIS2 Testerze – test zajmuje kilka minut i kończy się raportem.
Samoidentyfikacja krok po kroku
4. Progi wielkości i pułapka grup kapitałowych
Tu przewracają się najbardziej pewne siebie kwalifikacje.
Wielkość liczy się z uwzględnieniem przedsiębiorstw powiązanych i partnerskich. Spółka, która samodzielnie nie zbliżyłaby się do progów, może więc wejść w zakres ustawy, bo liczy się razem z grupą.
Ustawa przewiduje wyjście z tej sytuacji, ale wymaga spełnienia jednego z dwóch warunków (art. 5 ust. 6-7): albo system informacyjny spółki jest niezależny od systemów pozostałych przedsiębiorstw, albo spółka nie świadczy usług wspólnie z nimi. System informacyjny to po ludzku systemy i dane wraz z ludźmi oraz procesami, które je obsługują.
Przy scentralizowanej infrastrukturze pierwszy warunek zwykle nie zadziała – jedna domena, jedno logowanie, jeden zespół informatyczny i wspólny system do obsługi zamówień trudno opisać jako niezależność. Zostaje warunek drugi i trzeba go ocenić osobno, na piśmie.
Jest jeszcze techniczny szczegół, który porządkuje liczenie. Przesłanki bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Do arkusza kwalifikacji wpisujecie więc dane z zamkniętego okresu i tę datę, a nie liczby z pamięci. Konsekwencja praktyczna jest podwójna. Formalnie samoidentyfikację robicie osobno dla każdej spółki, bo status przypisany jest do podmiotu, nie do grupy. Praktycznie werdykt zwykle wychodzi wspólny.
Jak liczyć podmioty powiązane?
5. Terminy wdrożenia – trzy daty, które organizują wszystko
Cała mapa terminów sprowadza się do trzech dat.
3 października 2026 r. – rejestracja w Wykazie KSC. Wykaz KSC to rejestr podmiotów objętych ustawą, prowadzony przez ministra właściwego do spraw informatyzacji. Sama data nie wynika wprost z ustawy, lecz z harmonogramu ogłaszanego przez ministra w komunikacie – a harmonogram wskazuje terminy dla poszczególnych rodzajów podmiotów i może być zmieniany. Sprawdźcie w nim swoją kategorię.
3 kwietnia 2027 r. – pełne wdrożenie systemu bezpieczeństwa. Do tego dnia mają działać czternaście środków bezpieczeństwa z art. 8, dokumentacja z art. 10 oraz procedura zgłaszania incydentów.
3 kwietnia 2028 r. – pierwszy audyt i początek kar. Dwie rzeczy w jednej dacie: termin pierwszego obowiązkowego audytu podmiotu kluczowego oraz moment, od którego można nakładać kary pieniężne. Do tego jedna rzecz, którą warto zapisać dokładnie, bo bywa mylona. Obowiązki realizuje się w terminie 12 miesięcy, a pierwszy audyt zapewnia w terminie 24 miesięcy – licząc od dnia spełnienia warunków uznania za podmiot kluczowy lub ważny (art. 16 pkt 1 i 2). Organizacje objęte ustawą już 3 kwietnia 2026 r. liczą te same terminy od wejścia nowelizacji w życie (art. 33 ust. 1 i 2 ustawy zmieniającej). Punktem odniesienia nie jest data wpisu do rejestru.
6. Rejestracja w Wykazie KSC
Wpis do Wykazu KSC to brama wejściowa całego systemu. Od niego zaczyna się Wasza obecność w krajowym systemie cyberbezpieczeństwa i od niego działa obowiązek zgłaszania poważnych incydentów.
Wniosek składa się w postaci elektronicznej, w państwowym systemie teleinformatycznym wskazanym w art. 46 ust. 1. Podaje się w nim dane z art. 7 ust. 2 pkt 1-18 – od danych rejestrowych i osób do kontaktu, przez opis usług, po adresy internetowe, domeny i informację o umowie z dostawcą usług zarządzanych bezpieczeństwem. Cały wpis w rejestrze liczy 26 pozycji, ale pozostałe uzupełnia z urzędu minister.
Trzy rzeczy, które warto wiedzieć przed otwarciem formularza.
- Podpis kwalifikowany nie jest jedyną opcją. Ustawa dopuszcza też podpis zaufany, podpis osobisty kierownika lub osoby przez niego upoważnionej oraz kwalifikowaną pieczęć elektroniczną (art. 7c ust. 6).
- Do wniosku dochodzi oświadczenie kierownika o zgodności danych z prawdą, składane pod odpowiedzialnością karną (art. 7c ust. 5).
- Wpis następuje z chwilą złożenia wniosku i ma charakter deklaratoryjny, czyli potwierdza stan, a nie tworzy go (art. 7d ust. 1 i 5).
Po wpisie zaczyna działać obowiązek aktualizacji: zmianę danych zgłaszacie w 14 dni (art. 7c ust. 3), a na wezwanie urzędu do poprawienia macie 7 dni (art. 7k).
Jak zarejestrować się w Wykazie KSC
7. Obowiązki zarządu i odpowiedzialność kierownika
Cyberbezpieczeństwo w tej ustawie nie jest tematem działu informatycznego. Odpowiedzialność za wykonanie obowiązków ponosi kierownik podmiotu, czyli zarząd albo osoba na jego czele (art. 8c ust. 1).
Mechanizm jest prosty i warto go znać przed pierwszym posiedzeniem. Jeśli kierownikiem jest organ wieloosobowy i nie wskaże osoby odpowiedzialnej za cyberbezpieczeństwo, odpowiedzialność ponoszą wszyscy jego członkowie (art. 8c ust. 2). Brak decyzji nie rozprasza odpowiedzialności, tylko zostawia ją przy każdym. Powierzenie zadań nic tu nie zmienia. Kierownik odpowiada nadal, także gdy obowiązki wykonuje dział informatyczny albo firma zewnętrzna (art. 8c ust. 3).
Umowa kupuje zdolność do działania, nie zwolnienie z obowiązku. Do tego dochodzą dwa obowiązki dotyczące ludzi, o których łatwo zapomnieć, bo wykonuje się je w kadrach.
Szkolenie. Kierownik oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, przechodzą udokumentowane szkolenie raz w roku kalendarzowym. Zakres wskazuje art. 8e ust. 2. Dowodem jest zaświadczenie z udziału, nie faktura za szkolenie.
Niekaralność. Osoba, która ma realizować zadania z art. 8 lub 11, przedstawia przed ich rozpoczęciem informację o osobie z Krajowego Rejestru Karnego, stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). Alternatywą jest ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej.
Odpowiedzialność kierownika i szkolenia kierownictwa.
8. Od czego zacząć wdrożenie – audyt luki
Naturalny odruch po ustaleniu statusu to otworzyć edytor i napisać politykę bezpieczeństwa. To najdroższa możliwa kolejność, bo nie wiadomo jeszcze, ile z wymaganych rzeczy już macie – często pod inną nazwą i w innym dziale.
Dlatego drugim krokiem jest audyt luki, czyli porównanie stanu obecnego z wymaganiami ustawy. Jego efektem nie jest raport do szuflady, a lista zadań z nazwiskami i terminami. Obowiązuje przy tym jedna reguła, która zmienia wyniki takich audytów najczęściej.
Wymaganie jest spełnione, gdy macie trzy warstwy: przepis, dokument mówiący „jak ma być” oraz zapis pokazujący, że tak faktycznie było. Brak którejkolwiek to luka. I nie jest to nasza interpretacja – organ może wprost żądać dowodów realizacji wymogów z art. 8 ust. 1 (art. 53 ust. 2 pkt 6).
Jeśli macie wdrożone ISO 27001, jesteście zwykle w około 70% zgodności z merytoryczną stroną ustawy. Norma nie obejmuje natomiast całej warstwy kontaktu z państwem: wpisu do rejestru, zgłaszania incydentów, korzystania z państwowego systemu, odpowiedzialności i szkoleń kierownika, sprawdzania niekaralności. A certyfikat, choć jest mocnym dowodem dojrzałości, nie zastępuje wskazania przepisu przy każdym wymaganiu.
W organizacjach dojrzałych brakuje zwykle nie dokumentów, a dowodów: protokołów z testów, raportów z przeglądów uprawnień, potwierdzeń szkoleń, dzienników zdarzeń z zachowanym okresem przechowywania.
9. Czym jest SZBI według ustawy o KSC
SZBI, czyli System Zarządzania Bezpieczeństwem Informacji, to serce merytorycznej części ustawy. I najczęściej mylone pojęcie w całym temacie, bo brzmi jak nazwa systemu, który się kupuje.
Ustawa opisuje go inaczej. Art. 8 ust. 1 nie wylicza dokumentów, które mają powstać, lecz pięć zadań, które system ma wykonywać: regularne szacowanie ryzyka i zarządzanie nim, wdrożenie środków dopasowanych do tego ryzyka, zbieranie informacji o zagrożeniach i podatnościach, zarządzanie incydentami oraz działania zapobiegawcze.
Zakres wyznacza jeden fragment definicji: system wdraża się w procesach wpływających na świadczenie usługi. To nie całe IT w firmie i nie jedna aplikacja. Na SZBI składają się dwie części: dokumentacja z art. 10 oraz czternaście środków bezpieczeństwa z art. 8 ust. 1 pkt 2.
Dokumentacja ma przy tym dwie warstwy – jedna mówi „jak ma być”, druga pokazuje „tak było”. Nie wszyscy budują SZBI według tych samych zasad. Podmiot ważny, który jest podmiotem publicznym, oraz uczelnie w zakresie zadań publicznych stosują załącznik nr 4 do ustawy, z przeglądem co najmniej raz w roku (art. 8 ust. 3).
Czym jest SZBI w rozumieniu ustawy o KSC
10. Jak zbudować SZBI – zakres, ryzyko, dokumentacja
Wiedza, czym jest SZBI, nie mówi jeszcze, w jakiej kolejności go zbudować. A kolejność decyduje o kosztach.
Zakres. Zaczynacie od usługi, nie od mapy serwerów: nazywacie usługę, sprawdzacie, bez których systemów ona nie działa, i zapisujecie tę decyzję wraz z uzasadnieniem.
Ryzyko. Szacowanie ryzyka jest osobnym wymaganiem ustawowym (art. 8 ust. 1 pkt 1), a nie fragmentem polityki. Obowiązuje podejście all-hazards, czyli bierzecie pod uwagę nie tylko ataki, ale też awarie, błędy ludzi, zdarzenia fizyczne i ryzyka po stronie dostawców. Po zakończonym cyklu zostaje metodyka, lista ryzyk, plan działań i powiązanie ryzyk ze środkami z art. 8.
Odpowiedzialność. Przydział zadań, decyzje i pieniądze to zadania kierownika wymienione w art. 8d. Formalna akceptacja systemu przez kierownictwo jest częścią SZBI.
Dokumentacja. Każdy dokument powinien wskazywać, jaki zapis wytwarza, kto go wytwarza i gdzie ten zapis trafia. Polityka szkoleń wytwarza listy obecności, plan ciągłości działania – protokół z testu. Dokumenty przechowuje się co najmniej 2 lata od wycofania z użycia (art. 10 ust. 7), z oznaczaniem kolejnych wersji (art. 10 ust. 6).
Kolejność środków. Wyznacza ją audyt luki. Typowa sekwencja to ryzyko, dostępy, uwierzytelnianie wieloskładnikowe, monitorowanie – bo trzy ostatnie obszary dają najszybszą redukcję realnego zagrożenia.
Jak wdrożyć SZBI krok po kroku
11. 14 środków bezpieczeństwa z art. 8
Art. 8 ust. 1 pkt 2 wylicza czternaście środków oznaczonych literami od a do n. W tej formie czyta się je źle, dlatego warto pracować w czterech grupach.
Zarządcze: polityki ryzyka i bezpieczeństwa, ocena skuteczności środków, zarządzanie majątkiem informatycznym.
Techniczne: bezpieczeństwo systemów w całym ich życiu, ciągłe monitorowanie, szyfrowanie, bezpieczna komunikacja, kontrola dostępu.
Ludzkie i fizyczne: ochrona pomieszczeń i sprzętu, sprawy pracownicze, szkolenia personelu, cyberhigiena – czyli codzienne nawyki, takie jak silne hasła, aktualizacje i rozpoznawanie fałszywych wiadomości.
Ciągłość i dostawcy: bezpieczeństwo łańcucha dostaw technologii oraz plany działania i odtworzenia na wypadek awarii.
Dwie rzeczy, które w art. 8 najczęściej umykają.
Pierwsza: litery od a do n dotyczą tylko punktu 2. Punkty 1 oraz 3-5 to cztery osobne wymagania bez własnych liter, więc plan budowy ma osiemnaście pozycji, nie czternaście.
Druga: ustawa wymaga środków „odpowiednich i proporcjonalnych do oszacowanego ryzyka”, z uwzględnieniem stanu wiedzy, kosztów, wielkości podmiotu i skutków społecznych.
Przy uwierzytelnianiu wieloskładnikowym i szyfrowaniu pojawia się dopisek „w stosownych przypadkach”. To nie znosi wymogu – przenosi ciężar na ocenę ryzyka. Musicie umieć wykazać, dlaczego stosujecie je tu, a nie tam.
Czternaście środków bezpieczeństwa krok po kroku
12. Zgłaszanie incydentów – 24 godziny, 72 godziny, miesiąc
To obowiązek, który zaczyna działać najwcześniej: z chwilą objęcia podmiotu ustawą, w praktyce od wpisu do rejestru. Nie czeka na zbudowanie systemu. Ustawa nie mówi po prostu „zgłoś incydent”. Rozpisuje sekwencję czterech kroków:
- Wczesne ostrzeżenie do właściwego zespołu CSIRT, czyli państwowego zespołu reagowania na incydenty – w 24 godziny od wykrycia.
- Zgłoszenie poważnego incydentu w 72 godziny, wraz z wpływem, przyczynami i przebiegiem.
- Sprawozdanie okresowe na wniosek zespołu CSIRT.
- Sprawozdanie końcowe w miesiąc od zgłoszenia; jeśli obsługa trwa dłużej, składacie sprawozdanie z postępu.
Trzy rzeczy mylą się tu najczęściej. Oba główne terminy liczą się od wykrycia, a nie od siebie. Wczesne ostrzeżenie jest sygnałem, nie raportem, więc nie czeka się z nim na pełną wiedzę. A kanał jest jeden: zgłoszenia składa się w państwowym systemie z art. 46, a niekorzystanie z niego przy tych obowiązkach jest samodzielną podstawą kary dla podmiotu (art. 73 ust. 1 pkt 13). Progów, po których incydent uznaje się za poważny, nie ma w samej ustawie. Art. 11 ust. 4 upoważnia Radę Ministrów do wydania rozporządzenia, a do wejścia w życie nowego obowiązuje dotychczasowe.
Procedura zgłaszania incydentów poważnych
13. Obowiązki cykliczne i audyt bezpieczeństwa
Wdrożenie nie ma linii mety. Ma rytm – i właśnie w tym miejscu papierowa zgodność najczęściej zawodzi, bo dokument da się napisać raz, a powtarzalnych terminów z dowodami nie da się odhaczyć jednym projektem.
Obowiązki dzielą się na trzy kategorie.
- Jednorazowe uruchamia jedno zdarzenie na starcie: samoidentyfikacja, uchwała, wpis do rejestru.
- Cykliczne uruchamia kalendarz.
- Zdarzeniowe uruchamia sytuacja, najczęściej incydent – i tu terminy liczy się w godzinach.
W rytmie rocznym wraca zwykle siedem rzeczy: szkolenie kierownictwa, szacowanie ryzyka, przegląd systemu przez kierownika, ocena skuteczności środków, testy planów ciągłości działania, szkolenia personelu i przegląd ocen dostawców.
Wprost co roku ustawa wymaga tylko szkolenia kierownictwa (art. 8e) – przy pozostałych mówi o działaniu systematycznym, więc przyjęty rytm warto zapisać w polityce i uzasadnić ryzykiem. Podmiot kluczowy ma dodatkowo audyt bezpieczeństwa co najmniej raz na 3 lata, na własny koszt, z pierwszym terminem do 3 kwietnia 2028 r. Kopię raportu przekazuje urzędowi w 3 dni robocze od dnia jego otrzymania (art. 15 ust. 1a). Audytu nie może przeprowadzić osoba, która wykonuje w tym podmiocie zadania z art. 8 oraz 9-13, ani osoba, która robiła to w ciągu roku przed audytem (art. 15 ust. 2a).
Obowiązki cykliczne i pierwszy audyt
14. Łańcuch dostaw ICT i dostawcy wysokiego ryzyka
Możecie mieć wzorowe zabezpieczenia i nadal zależeć od firmy, która utrzymuje Wasz system do obsługi zamówień. Ustawa to widzi i traktuje łańcuch dostaw technologii jako osobny obszar wymagań.
Ocena dostawcy nie jest dowolna. Art. 8 ust. 2 wskazuje cztery elementy, które musi uwzględniać: podatności związane z dostawcą sprzętu lub oprogramowania, ogólną jakość jego produktów, usług i procesów, wyniki wspólnej oceny bezpieczeństwa przeprowadzonej przez unijną Grupę Współpracy oraz wyniki postępowania z art. 67b. Dwóch ostatnich nie zbierzecie ankietą – to informacje zewnętrzne, które trzeba sprawdzać cyklicznie.
Jest tu też mechanizm o wyjątkowo długim horyzoncie. Decyzja o uznaniu dostawcy za dostawcę wysokiego ryzyka oznacza zakaz wprowadzania jego rozwiązań do użytkowania oraz wycofanie tych już działających – w terminie 7 lat od ogłoszenia decyzji w Monitorze Polskim.
Krótszy termin, 4 lata, dotyczy przedsiębiorców komunikacji elektronicznej w zakresie funkcji krytycznych z załącznika nr 3 oraz rozwiązań kupionych w trybie zamówień publicznych do takich funkcji (art. 67c). Przygotowaniem na decyzję, której nie kontrolujecie, nie jest prawnik. Jest rejestr dostawców, z którego wiadomo, kto co dostarcza i które z tych rozwiązań obsługuje funkcje krytyczne. Ta sekcja dotyczy też organizacji spoza zakresu ustawy: te same pytania przyjdą do Was w ankietach od klientów, którzy w zakresie są.
Ocena dostawców ICT i art. 67c
15. Kary i nadzór – co grozi za brak zgodności
Zdanie „mamy czas do 2028” jest prawdziwe tylko w połowie. Wstrzymanie dotyczy wyłącznie kar pieniężnych – te mogą być nakładane najwcześniej po 3 kwietnia 2028 r. (art. 35 ustawy zmieniającej).
Nadzór działa już teraz. Kontrole, w tym doraźne, ostrzeżenia i nakazy opierają się na art. 53. Organ może też w każdym czasie nakazać podmiotowi kluczowemu audyt na jego własny koszt, a podmiotowi ważnemu po poważnym incydencie lub innym naruszeniu przepisów (art. 15 ust. 1b) – i taka decyzja podlega natychmiastowemu wykonaniu. Same kary od 2028 r. zależą od klasy podmiotu:
| Adresat | Maksymalna kara | Podstawa |
|---|---|---|
| Podmiot kluczowy | do 10 mln EUR lub 2% rocznego przychodu, przy czym stosuje się kwotę wyższą | art. 73 ust. 3 |
| Podmiot ważny | do 7 mln EUR lub 1,4% rocznego przychodu | art. 73 ust. 4 |
| Kierownik podmiotu | do 300% wynagrodzenia | art. 73a ust. 4 |
Dwie rzeczy warto powiedzieć wprost. Odpowiedzialność kierownika jest odrębna i osobista – nie znika po powierzeniu zadań komukolwiek. A procent liczy się od przychodu, nie od zysku, co dla firm o niskiej marży zmienia skalę rozmowy o budżecie. Nadzór różni się przy tym między klasami: nad podmiotami kluczowymi jest zapobiegawczy i następczy, czyli kontrola może przyjść w każdym czasie, a nad podmiotami ważnymi następczy, w szczególności przy uzasadnionym podejrzeniu naruszenia (art. 53 ust. 3).
Kary za brak zgodności z ustawą o KSC
16. Wdrożenie w grupie kapitałowej
W grupie nie zmienia się treść obowiązków. Zmienia się ich liczba – i to zmienia narzędzia. Mnoży się przez liczbę spółek i nie ma tu oszczędności: wniosek o wpis do rejestru, uchwała zarządu, konto w państwowym systemie, osoby do kontaktu, zgłoszenia incydentów oraz wszystkie obowiązki cykliczne.
Jedna awaria wspólnego systemu do obsługi zamówień oznacza kilkadziesiąt równoległych zgłoszeń, każde w reżimie 24 i 72 godzin. Da się zrobić raz i tylko rozpisać na spółki: wzory dokumentów, jedna metodyka szacowania ryzyka, wspólne osoby do kontaktu, jedna grupowa umowa z dostawcą usług bezpieczeństwa, jedno coroczne szkolenie zarządów, centralny rejestr dostawców i jedna pełna analiza luki na spółce wzorcowej.
Sprawdza się model piasty i szprych: centrala utrzymuje wzorce, metodykę i rejestry oraz organizuje szkolenia i audyty pakietowo, a spółki wykonują minimum lokalne – uchwałę, rejestrację, podpis pod swoją wersją dokumentacji i udział kierownika w szkoleniu.
Wąskie gardło w tym modelu rzadko jest prawne. To dostępność osób uprawnionych do podpisania wniosków i terminy posiedzeń zarządów w tym samym okresie.
17. Najczęstsze pytania
Czym jest SZBI według ustawy o KSC? Systemem opisanym przez pięć zadań z art. 8 ust. 1: szacowanie ryzyka i zarządzanie nim, wdrożenie środków dopasowanych do ryzyka, zbieranie informacji o zagrożeniach i podatnościach, zarządzanie incydentami oraz działania zapobiegawcze. Nie jest to zbiór dokumentów. Więcej o SZBI.
Kto podlega ustawie o KSC? Podmioty kluczowe i ważne z sektorów wskazanych w załącznikach 1 i 2, spełniające progi wielkości opartych na załączniku I do rozporządzenia 651/2014/UE. Część podmiotów wchodzi w zakres niezależnie od wielkości. Więcej KSC vs NIS2.
Do kiedy trzeba się zarejestrować w Wykazie KSC? Termin wynika z harmonogramu ogłaszanego przez ministra; dla większości podmiotów wypada 3 października 2026 r. Harmonogram wskazuje terminy dla poszczególnych rodzajów podmiotów i może być zmieniany. Więcej o Wykazie KSC.
Czy ISO 27001 wystarcza do zgodności z ustawą o KSC? Nie, choć daje zwykle około 70% zgodności z merytoryczną częścią przepisów. Poza normą zostaje warstwa kontaktu z państwem oraz obowiązek wskazania przepisu i dowodu przy każdym wymaganiu. Więcej o ISO27001 vs KSC.
Ile wynoszą kary? Dla podmiotu kluczowego do 10 mln EUR lub 2% rocznego przychodu, dla podmiotu ważnego do 7 mln EUR lub 1,4%, a dla kierownika podmiotu odrębnie do 300% wynagrodzenia. Kary mogą być nakładane od 3 kwietnia 2028 r. Szczegóły w sekcji 14.
Czy podmiot ważny ma obowiązek audytu? Nie ma audytu cyklicznego – ten dotyczy tylko podmiotów kluczowych. Organ może jednak nakazać podmiotowi ważnemu audyt po poważnym incydencie albo innym naruszeniu przepisów. Szczegóły w sekcji 12.
Od kiedy trzeba zgłaszać incydenty? Od objęcia podmiotu ustawą, w praktyce od wpisu do Wykazu KSC. Okres przejściowy dotyczy budowy systemu, nie reakcji na zdarzenia. Szczegóły w sekcji 11.
Co z firmami spoza zakresu ustawy w łańcuchu dostaw? Nie mają obowiązków z ustawy, ale dostają pytania od klientów, którzy je mają – bo podmiot objęty przepisami musi oceniać swoich dostawców według czterech kryteriów z art. 8 ust. 2. Szczegóły w sekcji 13.
Co dalej
Nie wiesz, czy podlegasz przepisom – sprawdź status bezpłatnie w NIS2 Testerze. Wpisujesz numer NIP, przechodzisz przez pytania i kończysz raportem.
Chcesz przejść całą drogę samodzielnie – pobierz zestaw dziesięciu checklist, od sprawdzenia statusu po pierwszy audyt. Siedemdziesiąt punktów z podstawami prawnymi.
Masz status i chcesz wiedzieć, ile pracy przed Wami – zacznij od audytu luki. Pokaże, które braki są najpilniejsze, ile pracy wymaga każdy z nich i jaki przepis stoi za każdym zadaniem.
