Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - obowiązki podmiotów kluczowych i ważnych

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2, znacząco rozszerzyła katalog podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa i wprowadziła konkretne terminy na samoidentyfikację, rejestrację w wykazie KSC oraz wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI).
 
Kogo obejmuje nowelizacja?
Nowe przepisy zastępiły dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych kategorią podmiotów kluczowych i podmiotów ważnych, obejmując znacznie szerszą grupę firm i instytucji działających w sektorach istotnych dla funkcjonowania państwa, gospodarki i obywateli.
 
Sektory podmiotów kluczowych (załącznik nr 1)
Do podmiotów kluczowych zaliczono m.in. organizacje z sektorów:

• energia (wydobywanie kopalin, energia elektryczna, ciepło, energetyka jądrowa, wodór),
• transport (lotniczy, kolejowy, wodny, drogowy),
• bankowość i infrastruktura rynków finansowych,
• ochrona zdrowia (świadczenia zdrowotne, zdrowie publiczne, produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych),
• zaopatrzenie w wodę pitną i jej dystrybucja,
• zbiorowe odprowadzanie ścieków,
• infrastruktura cyfrowa (z wyłączeniem komunikacji elektronicznej),
• przestrzeń kosmiczna,
• podmioty publiczne.

 
Sektory podmiotów ważnych (załącznik nr 2)
Podmioty ważne to m.in.:

• usługi pocztowe,
• inwestycje energetyki jądrowej,
• gospodarowanie odpadami (zbieranie, transport),
• przemysł chemiczny i spożywczy,
• producenci w szerokim ujęciu.

 
Kryteria uznania za podmiot kluczowy lub ważny
Podmioty powinny przeanalizować swoją działalność pod kątem spełnienia łącznie trzech elementów:

1. Działalność w sektorze wskazanym w załączniku nr 1 lub nr 2 do ustawy.
2. Spełnienie kryteriów wielkościowych (co do zasady firmy zatrudniające powyżej 250 pracowników lub osiągające powyżej 50 mln EUR rocznego obrotu w wymienionych sektorach).
3. Spełnienie przesłanek z art. 5 ustawy, w tym znaczenia świadczonych usług lub prowadzonej działalności dla gospodarki, społeczeństwa albo ciągłości usług.

 
Jeśli organizacja spełnia te warunki i nie jest wpisywana do wykazu z urzędu, musi dokonać samoidentyfikacji i złożyć wniosek o wpis do wykazu KSC.
 
Kluczowe obowiązki i terminy
Podmioty kluczowe i ważne, które w dniu wejścia w życie nowelizacji spełniały ustawowe kryteria, mają obowiązek:

• dokonania wpisu do Wykazu KSC do 3 października 2026 r. (samoidentyfikacja przez system S46),
• podłączenia do systemu S46 do 3 kwietnia 2027 r. (możliwość korzystania dla nowych podmiotów uruchamiana od 12 czerwca 2026 r.),
• wdrożenia obowiązków wynikających z nowych przepisów do 3 kwietnia 2027 r., w tym:

• dokonania pierwszego obowiązkowego audytu cyberbezpieczeństwa do 3 kwietnia 2028 r. (dotyczy podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych); kolejne audyty co najmniej raz na trzy lata.

 
SZBI – System Zarządzania Bezpieczeństwem Informacji
Centralnym obowiązkiem jest wdrożenie i utrzymanie SZBI – Systemu Zarządzania Bezpieczeństwem Informacji, opartego na ryzyku. Ustawa precyzuje dziesięć kategorii środków, które muszą znaleźć się w tym systemie (na podstawie art. 21 dyrektywy NIS2):

• polityki bezpieczeństwa informacji i zarządzania ryzykiem,
• kontrola dostępu – zarządzanie uprawnieniami użytkowników i przypisanie każdej operacji do właściciela,
• integralność danych – brak możliwości wprowadzania zmian bez autoryzacji,
• dostępność danych – zdolność do odtworzenia danych z kopii zapasowej,
• poufność danych – brak nieautoryzowanego dostępu i pobierania,
• rejestrowanie i monitorowanie zmian – historia operacji powiązana z autorem, dostępna w raportach,
• zarządzanie incydentami – obowiązek wstępnego zgłoszenia do CSIRT w ciągu 24 godzin od wykrycia, pełnego w 72 godziny i raportu końcowego w ciągu miesiąca,
• bezpieczeństwo łańcucha dostaw – weryfikacja dostawców ICT i usług,
• ciągłość działania i zarządzanie kryzysowe,
• szkolenia pracowników w zakresie cyberbezpieczeństwa.

 
Dlaczego to ważne dla zarządów i rad nadzorczych?
Nowe przepisy nie tylko nakładają obowiązki techniczne i organizacyjne, ale także zwiększają odpowiedzialność kierowników za realizację zadań z zakresu cyberbezpieczeństwa. NIS2 wprost wiąże brak wdrożenia wymaganych środków z odpowiedzialnością zarządu, co czyni cyberbezpieczeństwo elementem ładu korporacyjnego, a nie tylko kwestią IT.
 
Co zrobić teraz?

1. Przeprowadź samoocenę i zweryfikuj, czy Twoja organizacja:

• działa w sektorze wskazanym w załączniku nr 1 lub nr 2 do ustawy,
• spełnia kryteria wielkościowe (liczba zatrudnionych, obroty),
• spełnia przesłanki z art. 5 ustawy (znaczenie działalności dla gospodarki, społeczeństwa lub ciągłości usług).

 

2. Zaplanuj rejestrację w wykazie KSC
   Jeśli samoocena wykaże, że jesteś podmiotem kluczowym lub ważnym:

• przygotuj wniosek o wpis do wykazu KSC,
• złóż go do 3 października 2026 r. za pośrednictwem systemu S46 (samoidentyfikacja).

 

3. Opracuj harmonogram wdrożenia SZBI
   Zaplanuj prace tak, aby do 3 kwietnia 2027 r. wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI), obejmujący w szczególności:

• polityki i procedury bezpieczeństwa,
• mechanizmy kontroli dostępu i zarządzania uprawnieniami,
• procesy zarządzania incydentami i zgłaszania ich do CSIRT,
• rozwiązania zapewniające ciągłość działania,
• program szkoleń pracowników z zakresu cyberbezpieczeństwa.

 

4. Przygotuj się na obowiązkowy audyt cyberbezpieczeństwa
   Dla podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych pierwszy obowiązkowy audyt cyberbezpieczeństwa należy przeprowadzić do 3 kwietnia 2028 r.