NIS2 w Polsce – nowe obowiązki firm w ustawie o KSC

Czym jest NIS2 i co zmienia w Polsce

Nowe przepisy dotyczą cyberbezpieczeństwa firm działających w kluczowych i ważnych sektorach gospodarki. Ich celem jest zwiększenie odporności państwa i przedsiębiorstw na cyberzagrożenia oraz zapewnienie ciągłości działania usług. Sprawdź mini przewodnik po przepisach NIS2 i KSC dla MŚP.

Podstawą zmian jest dyrektywa NIS2, czyli unijne prawo, które nakłada obowiązki w zakresie zarządzania ryzykiem, zgłaszania incydentów i organizacji bezpieczeństwa IT. W Polsce przepisy te zostały wdrożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (ustawa o KSC).

Krajowy system cyberbezpieczeństwa obejmuje między innymi:

• podmioty kluczowe i podmioty ważne
• zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), działające na poziomie:
  • krajowym: CSIRT GOV, CSIRT NASK, CSIRT MON
  • sektora lub podsektora – CSIRT sektorowe ustanowione przez organ właściwy do spraw cyberbezpieczeństwa dla danego sektora lub podsektora
• organy właściwe do spraw cyberbezpieczeństwa (są to między innymi ministrowie właściwi do spraw: energii, transportu, gospodarki morskiej, żeglugi śródlądowej, zdrowia, gospodarki wodnej, informatyzacji, Minister Obrony Narodowej, Komisja Nadzoru Finansowego).

Celem systemu jest zapewnienie bezpieczeństwa systemów informacyjnych oraz sprawne reagowanie na incydenty, które mogą zakłócić działanie usług.

Więcej informacji o krajowym systemie cyberbezpieczeństwa znajdziesz na stronie cyber.gov.pl. Strona, oprócz aktualności, oferuje usługi do zgłaszania incydentów, udostępniania informacji o zagrożeniach, a także dostęp do narzędzi takich jak S46, moje.cert.pl i bezpiecznedane.gov.pl.

Od kiedy firmy mają nowe obowiązki

Nowe przepisy obowiązują od 3 kwietnia 2026 roku, ale obowiązki wdrażasz etapami.

Krok 1: sprawdź, czy ustawa o KSC dotyczy twojej firmy

Ustal, czy twoja firma :

• jest podmiotem kluczowym lub ważnym
• działa w sektorze objętym ustawą o KSC.

Wypełnij ankietę samooceny i sprawdź, czy twoja firma ma obowiązki wynikające z ustawy o KSC i dyrektywy NIS2.
ROZPOCZNIJ

Krok 2: zarejestruj się w wykazie podmiotów kluczowych i ważnych

Od momentu, gdy spełnisz kryteria uznania za podmiot kluczowy lub ważny, masz 6 miesięcy na zgłoszenie do wykazu podmiotów kluczowych i ważnych.

Pamiętaj! Jeśli twoja firma spełniała kryteria dla podmiotu kluczowego lub ważnego z dniem wejścia w życie nowelizacji ustawy o KSC, czyli 3 kwietnia 2026 roku, to termin na zgłoszenie do wykazu upływa 3 października 2026 roku.

Wykaz jest prowadzony w Systemie S46. Wnioski o wpis, zmianę wpisu i wykreślenie składasz w Wykazie KSC, w postaci elektronicznej i opatrujesz podpisem elektronicznym.

Wpis do wykazu:

• potwierdza, że podlegasz przepisom ustawy o KSC
• umożliwia nadzór i komunikację w zakresie cyberbezpieczeństwa.

W niektórych przypadkach możesz zostać wpisany do wykazu z urzędu – wtedy otrzymasz zawiadomienie o wpisie.

Krok 3: wdroż środki bezpieczeństwa i zacznij raportować

Masz 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny, aby:

• wdrożyć system zarządzania bezpieczeństwem informacji (SZBI)
• wprowadzić procedury zarządzania ryzykiem i incydentami
• przygotować dokumentację bezpieczeństwa
• podłączyć się do systemu S46 i rozpocząć zgłaszanie incydentów.

Pamiętaj! Jeśli twoja firma spełnia przesłanki uznania za podmiot kluczowy lub ważny w dniu wejścia w życie nowelizacji ustawy o KSC, termin na wdrożenie obowiązków (koniec okresu dostosowawczego) mija 3 kwietnia 2027 roku.

Krok 4: przeprowadź pierwszy audyt

Jeśli jesteś podmiotem kluczowym najpóźniej w ciągu 24 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy musisz:

• przeprowadzić audyt zgodności z przepisami, aby potwierdzić spełnienie obowiązków i przygotować się na kontrole organów
• sprawdzić, czy wdrożone środki działają prawidłowo.

Po tym czasie organy nadzorcze mogą już nakładać kary za naruszenie przepisów.

Co to oznacza w praktyce:

• Nie musisz wdrażać wszystkiego od razu – masz czas na przygotowanie.
• Nie przegap pierwszego terminu (6 miesięcy).
• Obowiązki w zakresie cyberbezpieczeństwa muszą być w pełni wdrożone w ustawowych terminach – od tego momentu podlegają kontroli i mogą być egzekwowane.

Których sektorów dotyczą obowiązki z zakresu cyberbezpieczeństwa

Dyrektywa NIS2 i wdrażająca ją w Polsce ustawa o KSC, dotyczą firm działających w sektorach istotnych dla funkcjonowania państwa i gospodarki. Są to sektory o wysokim stopniu krytyczności (sektory kluczowe), takie jak energia, transport czy woda pitna i sektory ważne, takie jak produkcja, gospodarka odpadami czy usługi cyfrowe.

Pełną listę sektorów objętych systemem cyberbezpieczeństwa znajdziesz w załącznikach 1 i 2 do ustawy o KSC.

Sektory kluczowe to:

• energia (na przykład energia elektryczna, gaz, paliwa i ropa, ciepło)
• transport lotniczy, kolejowy, wodny i drogowy
• finanse (bankowość i infrastruktura rynku finansowego, jak instytucje kredytowe, operatorzy systemów obrotu i partnerzy centralni)
• ochrona zdrowia, w tym podmioty świadczące opiekę zdrowotną, producenci podstawowych produktów farmaceutycznych i wyrobów medycznych o krytycznym znaczeniu oraz laboratoria referencyjne UE
• woda pitna
• ścieki
• infrastruktura cyfrowa, w tym dostawcy usług centrów danych, usług przetwarzania w chmurze, publicznych sieci łączności elektronicznej i publicznie dostępnych usług łączności elektronicznej
• zarządzanie usługami ICT (teleinformatycznymi)
• przestrzeń kosmiczna
• wybrane podmioty publiczne.

Jeśli twoja firma działa w jednej z tych branż, sprawdź, czy spełnia kryteria uznania za podmiot kluczowy lub ważny.

Sektory ważne to:

• usługi pocztowe, w tym kurierskie
• inwestycje energetyki jądrowej
• gospodarka odpadami
• produkcja, wytwarzanie i dystrybucja chemikaliów
• produkcja, przetwarzanie i dystrybucja żywności
• produkcja, w szczególności wyrobów medycznych, komputerowych, elektronicznych i optycznych, niektórych rodzajów sprzętu elektrycznego i maszyn, pojazdów silnikowych i innego sprzętu transportowego
• dostawcy usług cyfrowych w zakresie internetowych platform handlowych, wyszukiwarek i sieci społecznościowych
• badania naukowe
• podmioty publiczne (regionalne): samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, samorządowe instytucje kultury, spółki realizujące zadania użyteczności publicznej.

Jeśli działasz w jednej z tych branż, sprawdź czy twoja firma może zostać uznana za podmiot ważny.

Których firm dotyczy ustawa o KSC

NIS2 i ustawa o KSC dzielą przedsiębiorców, których dotyczą obowiązki z zakresu cyberbezpieczeństwa, na podmioty kluczowe i ważne.

Podmioty kluczowe to przede wszystkim duże firmy. W określonych przypadkach podmiotem kluczowym może być też firma mała lub średnia.

Podmioty ważne to najczęściej mali lub średni przedsiębiorcy.

Te grupy różnią się poziomem nadzoru, tym w jaki sposób są egzekwowane wymagania z zakresu cyberbezpieczeństwa oraz wysokością kar. Dlatego tak ważna jest prawidłowa samoidentyfikacja – jej brak może prowadzić do naruszenia obowiązków ustawowych, a w konsekwencji do nałożenia sankcji administracyjnych.

Podmiotami kluczowymi są:

• Duzi przedsiębiorcy z sektorów kluczowych, czyli:
  • podmiot (osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej) wskazany w załączniku nr 1 do ustawy o KSC
  • który przekracza próg średniego przedsiębiorstwa (zgodnie z rozporządzeniem 651/2014/UE)
• Wybrane podmioty – według rodzaju działalności:
  • przedsiębiorca komunikacji elektronicznej – co najmniej średni przedsiębiorca według kryteriów rozporządzenia 651/2014/UE
  • dostawca usług zarządzanych w zakresie cyberbezpieczeństwa – co najmniej mały albo średni przedsiębiorca według kryteriów rozporządzenia 651/2014/UE
• Podmioty uznawane za kluczowe niezależnie od wielkości:
  • dostawca usług DNS
  • kwalifikowany dostawca usług zaufania
  • podmiot krytyczny
  • podmiot publiczny wskazany w załączniku nr 1do ustawy o KSC (sektor podmioty publiczne)
  • podmiot uznany decyzją organu za kluczowy (na przykład ze względu na znaczenie usługi)
  • państwowa osoba prawna zidentyfikowana jako podmiot kluczowy
  • podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy o KSC z nazwy albo przez określenie jego rodzaju
  • operator obiektu energetyki jądrowej
  • rejestr nazw domen najwyższego poziomu (TLD)
  • podmiot świadczący usługi rejestracji nazw domen.

Podmiotami ważnymi są:

• Średni przedsiębiorcy z sektorów kluczowych, czyli:

  • podmiot (osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej) wskazany w załączniku nr 1 do ustawy o UKSC
  • który spełnia kryteria średniego przedsiębiorstwa (zgodnie z rozporządzeniem 651/2014/UE)
  • i nie jest podmiotem kluczowym

• Średni lub duzi przedsiębiorcy z sektorów ważnych

  • podmiot (osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej) wskazany w załączniku nr 2 do ustawy o KSC
  • który spełnia kryteria średniego przedsiębiorstwa (zgodnie z rozporządzeniem 651/2014/UE) lub przewyższa te wymogi
  • i nie jest podmiotem kluczowym

• Wybrane podmioty według rodzaju działalności

  • niekwalifikowany dostawca usług zaufania – mikro, mały lub średni przedsiębiorca
  • przedsiębiorca komunikacji elektronicznej – mikro lub mały przedsiębiorca

• Podmioty uznawane za ważne niezależnie od wielkości

  • inwestor obiektu energetyki jądrowej
  • podmiot uznany decyzją organu za ważny (na przykład ze względu na znaczenie usługi)
  • podmiot wskazany w załączniku nr 2 do ustawy o KSC (również, jeśli nie jest przedsiębiorcą)
  • podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 2 do ustawy o KSC z nazwy albo przez określenie jego rodzaju
• Podmioty publiczne, które nie są podmiotami kluczowymi oraz są samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej, jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Ważne! Ustawa o krajowym systemie cyberbezpieczeństwa nie zawiera odrębnego katalogu przedsiębiorców zwolnionych z jej stosowania. Zakres stosowania ustawy określa się przede wszystkim przez wskazanie sektorów i podmiotów objętych regulacją. Jeżeli twoja działalność nie mieści się w tych sektorach lub nie spełniasz kryteriów określonych w ustawie, przepisy nie będą miały zastosowania.

Warunki terytorialne – kiedy ustawa o KSC ma zastosowanie

Przepisy ustawy o KSC stosuje się, jeżeli podmiot:

• kluczowy lub ważny działa w Polsce, czyli:

  • ma miejsce zamieszkania na terytorium Polski lub
  • prowadzi na terytorium Polski działalność przez siedzibę, oddział lub transgranicznie
• będący przedsiębiorcą komunikacji elektronicznej – świadczy usługi na terytorium Polski

• z branży usług cyfrowych ma w Polsce główne miejsce prowadzenia działalności, dotyczy to:

  • dostawców usług DNS
  • rejestrów nazw domen najwyższego poziomu (TLD)
  • podmiotów świadczących usługi rejestracji nazw domen
  • dostawców chmury obliczeniowej
  • dostawców usługi centrum przetwarzania danych
  • dostawców sieci dostarczania treści
  • dostawców usług zarządzanych
  • dostawców usług zarządzanych w zakresie cyberbezpieczeństwa
  • dostawców internetowej platformy handlowej
  • dostawców wyszukiwarki internetowej
  • dostawców platformy usług sieci społecznościowych
• będący przedsiębiorcą spoza UE, oferuje swoje usługi na terytorium Polski.

Podmiot spoza UE, który działa w Polsce musi wyznaczyć przedstawiciela posiadającego jednostkę̨ organizacyjną na terytorium Polski (jeśli nie zrobił tego w innym państwie członkowskim UE).

Nadzór i kary – co grozi za naruszenie przepisów

To, czy i jak zostaną zastosowane środki nadzorcze i sankcje wobec twojej firmy, zależy od tego, czy jesteś podmiotem kluczowym czy ważnym.

Ustawa o KSC przewiduje dwa poziomy nadzoru:

• podmioty kluczowe – podlegają stałemu (aktywnemu) nadzorowi
• podmioty ważne – podlegają nadzorowi następczemu (na przykład po incydencie lub naruszeniu).

Za co grozi kara

Organ nadzorczy może nałożyć karę, jeśli nie wywiążesz się z obowiązków wynikających z ustawy o KSC, na przykład:

• nie wdrożysz środków zarządzania ryzykiem
• nie zapewnisz bezpieczeństwa systemów informacyjnych
• nie zgłosisz incydentu w wymaganym terminie
• nie prowadzisz wymaganej dokumentacji
• nie wykonasz zaleceń organu nadzorczego.

Jakie środki może zastosować organ

Zanim zostanie nałożona kara pieniężna, organ może zastosować inne środki, na przykład:

• wydać zalecenia lub polecenia usunięcia nieprawidłowości
• zobowiązać do wdrożenia konkretnych środków bezpieczeństwa
• przeprowadzić kontrolę lub audyt
• wyznaczyć termin na usunięcie naruszeń.

Wysokość kar – różnice między podmiotami

Podmioty kluczowe:

• do 10 mln euro lub
• do 2% przychodów osiągniętych przez podmiot kluczowy z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary.

Stosuje się wyższą z tych kwot. Kara ta nie może być jednak niższa niż 20 000 zł.

Podmioty ważne:

• do 7 mln euro lub
• do 1,4% przychodów osiągniętych przez podmiot ważny z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary.

Kara ta nie może być jednak niższa niż 15 000 zł.

Maksymalna kara administracyjna w systemie krajowym może sięgać 100 mln zł.

Uwaga! Nowe przepisy przewidują możliwość nakładania kar pieniężnych także na osoby zarządzające. Zarząd powinien nadzorować wdrożenie środków cyberbezpieczeństwa. Brak działań w tym zakresie może mieć konsekwencje prawne.

Jak uniknąć kar:

• sprawdź, czy podlegasz ustawie
• wdroż środki bezpieczeństwa i procedury
• przygotuj dokumentację
• zgłaszaj incydenty w terminie
• reaguj na zalecenia organów nadzorczych.

Kiedy MŚP mają obowiązki z zakresu cyberbezpieczeństwa

Mikro, małe i średnie przedsiębiorstwa (MŚP) mogą podlegać przepisom ustawy o KSC, jeżeli spełniają określone warunki.

Twoja firma może mieć obowiązki z zakresu cyberbezpieczeństwa, jeżeli:

• bezpośrednio spełnia warunki określone w ustawie o KSC (zgodnie z zasadami określonymi w ustawie jest podmiotem ważnym albo kluczowym)
• została zakwalifikowana jako podmiot ważny albo kluczowy organ właściwy do spraw cyberbezpieczeństwa (spełnia szczególne kryteria)
• jest dostawcą lub klientem firmy objętej ustawą o KSC, która nakłada określone obowiązki w związku z bezpieczeństwem łańcucha dostaw.

Gdy spełniasz kryteria dla podmiotu kluczowego albo ważnego

Ustawa ma zastosowanie do podmiotów kluczowych i ważnych . Każdy przedsiębiorca musi przeprowadzić analizę, czy jego wielkość, sektor i charakter świadczonych usług sprawiają, że podlega ustawie o KSC.

Gdy zostaniesz uznany za podmiot kluczowy lub ważny decyzją organu

Nawet jeśli nie spełniasz kryteriów określonych w ustawie o KSC, możesz zostać uznany za podmiot objęty ustawą.

Organ właściwy do spraw cyberbezpieczeństwa może wydać decyzję, w której:

• uzna podmiot za kluczowy albo ważny
• określi sektor i podsektor
• wpisze podmiot do wykazu.

Może to nastąpić na przykład wtedy, gdy:

• świadczysz usługę o szczególnym znaczeniu dla społeczeństwa lub gospodarki
• zakłócenie twojej działalności mogłoby spowodować poważne zagrożenie dla bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego, obronności lub zdrowia publicznego.

Gdy jesteś podmiotem wskazanym w ustawie niezależnie od wielkości

Niektóre podmioty podlegają przepisom niezależnie od tego, czy są mikro, małe, średnie czy duże.

Dotyczy to między innymi:

• dostawców usług DNS
• rejestrów nazw domen najwyższego poziomu (TLD)
• dostawców usług rejestracji nazw domen
• kwalifikowanych dostawców usług zaufania
• podmiotów publicznych wskazanych w ustawie
• operatorów obiektów energetyki jądrowej.

Gdy jesteś częścią łańcucha dostaw

Ustawa nakłada na podmioty kluczowe i ważne obowiązek stosowania środków zarządzania ryzykiem. Środki te obejmują również relacje z dostawcami i partnerami biznesowymi.

Oznacza to, że:

• podmiot objęty ustawą może wymagać od swoich dostawców lub klientów spełnienia określonych standardów bezpieczeństwa
• w praktyce także MŚP spoza zakresu ustawy mogą być zobowiązane do wdrożenia adekwatnych środków bezpieczeństwa.

Łańcuch dostaw to sieć organizacji, ludzi, działań, informacji i zasobów, które współpracują ze sobą, aby dostarczyć produkt lub usługę z początkowego etapu do rąk konsumenta końcowego albo końcowego odbiorcy biznesowego. W łańcuchu dostaw uczestniczą firmy, które dostarczają komponenty podmiotom kluczowym lub ważnym niezbędne w danym produkcie bądź usłudze.

Czym jest wykaz podmiotów kluczowych i ważnych

Wykaz podmiotów kluczowych i ważnych to rejestr, który służy do:

• identyfikacji podmiotów objętych ustawą o KSC
• kontaktu i wymiany informacji o incydentach, zagrożeniach i podatnościach między podmiotami, a CSIRT-ami i właściwymi organami
• prowadzenia nadzoru nad podmiotami objętymi ustawą.

Wykaz prowadzą w Systemie S46 organy właściwe do spraw cyberbezpieczeństwa w zakresie nadzorowanego sektora. Na przykład dla sektora energii wykaz prowadzi minister do spraw energii.

Jeżeli twoja firma spełnia warunki uznania za podmiot kluczowy albo ważny, masz obowiązek zgłosić ją do wykazu.

Masz na to:

• 6 miesięcy od dnia spełnienia przesłanek
• 14 dni na aktualizację danych, gdy coś się zmieni.

Wniosek o wpis do wykazu składa elektronicznie, w Wykazie KSC, kierownik podmiotu albo osoba przez niego upoważniona. Wpis ma charakter deklaratoryjny. Możliwy jest także wpis z urzędu, jeżeli nie dopełnisz obowiązku.

We wniosku podajesz między innymi:

• dane identyfikacyjne
• dane techniczne (adresy IP, domeny)
• dane kontaktowe
• informacje o działalności i sektorze
• dane potrzebne do współpracy z właściwym organem nadzoru i CSIRT.

Dane z wykazu:

• nie są udostępniane jako informacja publiczna
• są przekazywane tylko uprawnionym instytucjom (na przykład CSIRT, organom nadzorczym)
• publicznie dostępne są jedynie dane zbiorcze (statystyki).

Wykreślenie z wykazu następuje między innymi w przypadku utraty statusu lub zaprzestania działalności, a decyzje w tym zakresie podlegają kontroli sądowej.

Jakie są obowiązki firm objętych ustawą o KSC

Podmioty kluczowe i podmioty ważne mają obowiązek zapewnić bezpieczeństwo systemów informacyjnych, z których korzystają przy świadczeniu usług.

Podmiot objęty ustawą musi w szczególności:

• zarządzać ryzykiem w cyberbezpieczeństwie
• wdrożyć odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w firmie
• zgłaszać incydenty cyberbezpieczeństwa
• zarządzać bezpieczeństwem łańcucha dostaw ICT
• monitorować status dostawców (na przykład czy zostali uznani za wysokiego ryzyka).

Zarządzanie ryzykiem i środki bezpieczeństwa

Środki bezpieczeństwa muszą być:

• proporcjonalne do ryzyka
• dostosowane do wielkości podmiotu
• uwzględniające prawdopodobieństwo i skutki incydentów.

Ustawa nie wskazuje jednego zestawu środków – podmiot dobiera je samodzielnie, zgodnie ze swoją działalnością.

System zarządzania bezpieczeństwem informacji

Podmiot kluczowy i ważny muszą wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) obejmujący cały cykl funkcjonowania systemów IT wykorzystywanych do świadczenia usług.

System ten musi zapewniać:

• systematyczną analizę i zarządzanie ryzykiem incydentów
• wdrożenie adekwatnych środków technicznych i organizacyjnych, między innymi:
  • polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego
  • bezpieczeństwa fizycznego, personelu, łańcucha dostaw oraz bezpieczeństwa w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych
  • polityki kontroli dostępu
  • zapewnienie ciągłości działania (plany awaryjne, odtworzeniowe), monitoring oraz testowanie zabezpieczeń
  • stosowanie środków ochrony danych (aktualizacje, kryptografia, zabezpieczenia komunikacji)
  • edukację pracowników i stosowanie zasad cyberhigieny
  • polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie
• zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty
• zarządzanie incydentami
• stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi.

Łańcuch dostaw

Podmiot kluczowy i ważny musi uwzględniać ryzyka związane z dostawcami ICT i usługodawcami.

W praktyce oznacza to między innymi:

• ocenę bezpieczeństwa dostawców
• uwzględnianie wymagań bezpieczeństwa w relacjach biznesowych.

Dokumentacja

Podmiot objęty ustawą ma obowiązek:

• opracować, stosować i aktualizować dokumentację bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi
• prowadzić dokumentację działań (zapisy poświadczające wykonywanie czynności wymaganych przez postanowienia dokumentacji normatywnej, w tym automatycznie generowane zapisy w dziennikach systemów informacyjnych).

Dokumentacja:

• dzieli się na normatywną (polityki, procedury, plany, zabezpieczenia techniczne i fizyczne, dokumentacja specyficzna dla sektora) i operacyjną (zapisy realizacji procedur, dzienniki systemowe)
• może być prowadzona elektronicznie lub papierowo
• musi być chroniona przed uszkodzeniem, prowadzona w wersjach i dostępna tylko dla upoważnionych osób ochrona
• powinna być przechowywana przez określony czas (co najmniej 2 lata po zakończeniu korzystania z systemu lub usługi).

Odpowiedzialność osób zarządzających

Za realizację obowiązków z ustawy o KSC odpowiada kierownik podmiotu (na przykład zarząd w spółce kapitałowej, wspólnicy prowadzący sprawy spółki w spółce osobowej). Ustawa o KSC przewiduje kary pieniężne dla kierowników za niewykonanie obowiązków określonych ustawą. Kierownik podmiotu ponosi odpowiedzialność także wtedy, gdy niektóre albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą.

Kierownik podmiotu kluczowego lub ważnego w szczególności:

• zatwierdza środki bezpieczeństwa
• nadzoruje ich wdrażanie
• zapewnia zasoby organizacyjne i finansowe
• dba o zgodność z przepisami prawa i świadomość personelu
• wyznacza co najmniej 2 osoby do kontaktu z krajowym systemem cyberbezpieczeństwa; a jeśli kieruje mikro lub małym przedsiębiorstwem – co najmniej 1 osobę.

Ustawa o KSC wprowadza obowiązek szkoleń dla kierowników podmiotu oraz kierowników z zakresu cyberbezpieczeństwa, a także wymogi niekaralności dla osób realizujących zadania z zakresu cyberbezpieczeństwa.

Jak zgłaszać incydenty cyberbezpieczeństwa

Co to jest incydent cyberbezpieczeństwa

Incydent cyberbezpieczeństwa to każde zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych – na przykład narusza poufność, integralność lub dostępność danych albo zakłóca działanie usług.

Incydent jest poważny, jeśli:

• powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny albo straty finansowe straty finansowe tego podmiotu lub
• wpływa na inne osoby lub podmioty wywołując poważną szkodę materialną lub niematerialną.

Co musisz zrobić, gdy wystąpi poważny incydent

Jeśli w twojej firmie wystąpi poważny incydent, musisz:

• zgłosić go do właściwego CSIRT (CSIRT NASK, GOV, MON lub sektorowego)
• przekazać informacje, które pozwalają ocenić, czy incydent ma wpływ transgraniczny
• poinformować odbiorców usług, jeśli incydent może wpłynąć na usługi, z których korzystają
• poinformować odbiorców usług, których dotyczy poważne cyberzagrożenie o możliwych działaniach ochronnych, które ci odbiorcy mogą zastosować; w stosownych wypadkach należy ich również poinformować o samym poważnym cyberzagrożeniu.

Terminy zgłoszeń

Zgłoszenia incydentu poważnego przekazujesz etapami:

• Wczesne ostrzeżenie – do 24 godzin

  • informujesz o incydencie właściwy CSIRT sektorowy
  • wskazujesz, czy incydent mógł być wynikiem działania celowego (na przykład cyberataku)
  • określasz, czy incydent dotyczy innych państw członkowskich Unii Europejskiej

• Zgłoszenie incydentu – do 72 godzin

  • zgłaszasz incydent właściwemu CSIRT sektorowemu
  • w zgłoszeniu przedstawiasz: opis wpływu incydentu poważnego na świadczenie usługi, opis przyczyn tego incydentu, sposób jego przebiegu oraz prawdopodobne skutki, informacje o podjętych działaniach zapobiegawczych.

Uwaga! Dostawcy usług zaufania zgłaszają incydenty poważne maksymalnie w ciągu 24 godzin od jego wykrycia.

Sprawozdania po zgłoszeniu

Po zgłoszeniu incydentu musisz przekazać właściwemu CSIRT sektorowemu:

• sprawozdanie okresowe – jeśli poprosi o to CSIRT
• sprawozdanie końcowe – najpóźniej w ciągu miesiąca od zgłoszenia incydentu.

Sprawozdanie końcowe zawiera między innymi:

• opis incydentu i jego skutków
• przyczynę incydentu
• zastosowane środki naprawcze
• informacje o ewentualnym wpływie transgranicznym.

Jeśli incydent nadal trwa – najpierw składasz sprawozdanie z postępu , a sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi incydentu.

Dodatkowe obowiązki informacyjne

Podmiot kluczowy i ważny mogą przekazywać do CSIRT także informacje o:

• innych incydentach i cyberzagrożeniach
• podatnościach
• wynikach oceny ryzyka
• potencjalnych zdarzeniach dla cyberbezpieczeństwa
• wykorzystywanych technologiach.

Informacje można przekazywać:

• przez system teleinformatyczny S46
• albo innymi dostępnymi środkami komunikacji.

Pamiętaj! Oznacz w zgłoszeniu informacje stanowiące tajemnicę przedsiębiorstwa lub inne tajemnice prawnie chronione.

Audyty bezpieczeństwa

Jeśli jesteś podmiotem kluczowym:

• przeprowadzasz audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata, licząc od podpisania poprzedniego raportu z audytu (na własny koszt)
• przekazujesz raport z audytu organowi do spraw cyberbezpieczeństwa w formie elektronicznej w ciągu 3 dni roboczych od jego otrzymania.

Organ właściwy do spraw cyberbezpieczeństwa może nakazać przeprowadzenie zewnętrznego audytu:

• podmiotowi kluczowemu – w dowolnym momencie
• podmiotowi ważnemu – w przypadku incydentu poważnego lub innego naruszenia przepisów ustawy przez ten podmiot.

Nakaz określa termin przekazania kopii raportu z przeprowadzonego audytu i wskazuje rodzaj podmiotów uprawnionych do przeprowadzenia audytu. Może określać także zakres audytu. Jest natychmiast wykonalny.

Polecenia zabezpieczające (incydenty krytyczne)

W przypadku incydentu krytycznego minister właściwy do spraw informatyzacji może wydać polecenie zabezpieczające.

Incydent krytyczny to incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV.

Polecenie zabezpieczające jest decyzją dotyczącą nieokreślonej liczby podmiotów kluczowych lub ważnych oraz podmiotów finansowych (z wyjątkami określonymi w przepisach unijnych).

W poleceniu minister wskazuje obowiązek określonego zachowania zmniejszającego skutki incydentu krytycznego lub zapobiegającego jego rozprzestrzenianiu się.

Może ono na przykład nakazywać:

• oszacowanie ryzyka związanego ze stosowaniem określonego produktu, usługi lub procesu ICT i wprowadzenie środków ochrony proporcjonalnych do zidentyfikowanych ryzyk
• przegląd planów: ciągłości działania, awaryjnych i odtworzenia działalności
• zastosowanie określonej poprawki bezpieczeństwa w produkcie lub usłudze ICT posiadającym daną podatność
• szczególną konfigurację produktu lub usługi ICT, zabezpieczającej przed wykorzystaniem określonej podatności
• wstrzymanie dystrybucji lub zakaz instalacji określonej wersji oprogramowania
• wprowadzenie ograniczenia ruchu sieciowego
• zabezpieczenie określonych informacji

Polecenia są natychmiast wykonalne i mogą obowiązywać do 2 lat.

Dostawca wysokiego ryzyka – co to oznacza dla twojej firmy

Kto może zostać uznany za dostawcę wysokiego ryzyka

Minister właściwy do spraw informatyzacji może uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, jeśli stanowi on zagrożenie dla bezpieczeństwa państwa lub bezpieczeństwa i porządku publicznego.

Postępowanie może zostać wszczęte:

• z urzędu albo
• na wniosek przewodniczącego Kolegium do Spraw Cyberbezpieczeństwa.

Kogo dotyczą te przepisy

Procedura ma znaczenie dla podmiotów, które korzystają ze sprzętu lub usług dostawców ICT, w szczególności

• podmiotów kluczowych i ważnych (z wyłączeniem podsektora komunikacji elektronicznej)
• przedsiębiorców komunikacji elektronicznej o rocznych przychodach z działalności telekomunikacyjnej powyżej 10 mln zł
• podmiotów finansowych (z włączeniami wynikającymi z przepisów UE).

Jak przebiega postępowanie

• Minister prowadzi postępowanie wobec dostawcy.

• Kolegium do Spraw Cyberbezpieczeństwa wydaje opinię, w której ocenia między innymi:

  • zagrożenia dla bezpieczeństwa państwa
  • prawdopodobieństwo kontroli dostawcy przez państwo spoza UE/NATO
  • powiązania dostawcy z podmiotami wskazanymi w UE w kontekście cyberataków
  • liczbę i rodzaj wykrytych podatności ICT, incydentów, czas ich eliminowania
  • nadzór dostawcy nad procesem wytwarzania i dostarczania sprzętu/usług ICT
  • stosowane certyfikaty i zalecenia w zakresie cyberbezpieczeństwa.
• Minister wydaje decyzję.

Decyzja o uznaniu dostawcy ICT za dostawcę wysokiego ryzyka:

• wskazuje jakie typu produktów, rodzaje usług lub procesów ICT są objęte ograniczeniami
• jest publikowana w Monitorze Polskim i Biuletynie Informacji Publicznej
• podlega natychmiastowemu wykonaniu.

Co to oznacza dla twojej firmy

Jeśli korzystasz z produktów dostawcy wysokiego ryzyka:

• nie możesz wprowadzać do użytkowania typów produktów ICT, rodzajów usług ICT i konkretnych procesów ICT w zakresie objętym decyzją, dostarczanych przez dostawcę wysokiego ryzyka
• musisz wycofać już używane produkty, usługi i procesy:
  • co do zasady – w ciągu 7 lat od ogłoszenia decyzji
  • w przypadku krytycznych funkcji w telekomunikacji – w ciągu 4 lat.
• do czasu wycofania możesz je wykorzystywać tylko w ograniczonym zakresie, na przykład do:
  • utrzymania ciągłości działania
  • napraw
  • aktualizacji lub modernizacji.