Obejrzyj wideo, a następnie pobierz Roadmapę na dole strony.

Nowelizacja KSC od wpisu do wykazu do osobistej odpowiedzialności zarządu

Nowelizacja KSC wyznacza organizacjom trzy terminy. Do 3 października 2026 roku podmioty spełniające kryteria składają wniosek o wpis do wykazu podmiotów kluczowych i ważnych, do 3 kwietnia 2027 roku wdrażają wymagania ustawy, a od 3 kwietnia 2028 roku organ nadzoru może nakładać nowe kary pieniężne. Odpowiedzialność za nadzór nad cyberbezpieczeństwem spoczywa przy tym osobiście na członkach zarządu, niezależnie od sankcji dla samej organizacji. Obowiązki mogą dotyczyć firm z sektora finansowego, energetyki, transportu, ochrony zdrowia, ICT, przemysłu, chemii, produkcji żywności i gospodarki odpadami, a także instytucji administracji publicznej. Artykuł wyjaśnia, jak ocenić status organizacji według trzech kryteriów ustawowych, jakie pięć obszarów trzeba wdrożyć w ciągu roku od wejścia nowelizacji w życie i w jakiej kolejności prowadzić prace. Omawia też odpowiedzialność kierownictwa oraz obowiązek aktualizacji wpisu, o którym organizacje często zapominają.

Jakie terminy wyznacza nowelizacja KSC?

Ustawa z dnia 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw weszła w życie 3 kwietnia 2026 roku i uruchomiła trzy terminy. Pierwszy dotyczy wpisu do wykazu, drugi wdrożenia wymagań, a trzeci pierwszego obowiązkowego audytu i początku stosowania kar. Wniosek o wpis składa się w aplikacji Wykaz KSC, w której samorejestracja trwa od 7 maja do 3 października 2026 roku. Do 3 kwietnia 2027 roku podmiot kluczowy lub ważny ma mieć działający system zarządzania bezpieczeństwem informacji, zapewnioną ciągłość działania całej organizacji, procedury obsługi incydentów i nadzór nad bezpieczeństwem łańcucha dostaw. W tym samym terminie trzeba podłączyć się do systemu S46, przez który zgłasza się incydenty.

Trzeci termin, 3 kwietnia 2028 roku, zamyka dwuletni okres, po którym organ nadzoru może stosować nowe kary pieniężne. Do tego dnia podmioty kluczowe objęte ustawą po raz pierwszy przeprowadzają obowiązkowy audyt bezpieczeństwa, powtarzany następnie co najmniej raz na trzy lata. Cykliczny audyt dotyczy wyłącznie podmiotów kluczowych. Nadzór działa od dnia wejścia nowelizacji w życie, a odroczenie obejmuje sankcje finansowe. Opisane terminy odnoszą się do organizacji, które spełniały kryteria ustawowe w dniu wejścia nowelizacji w życie.

Wymagania ustawy obejmują obszary, których wdrożenie trwa miesiącami, a część z nich zależy od wyników wcześniejszych etapów. Plan ciągłości działania wymaga gotowej analizy wpływu na działalność, a nowe klauzule w umowach z dostawcami wymagają negocjacji. Organizacje, które podlegały dotychczasowej ustawie, mają fundament, ale nowelizacja dodała obowiązki wykraczające poza wcześniejszy zakres. Decyzje o zakresie projektu, budżecie, podziale odpowiedzialności i metodyce zarząd podejmuje więc na początku, zanim zespoły rozpoczną pracę nad dokumentacją.

Jak sprawdzić, czy organizacja jest podmiotem kluczowym lub ważnym?

Status ocenia się samodzielnie według trzech kryteriów ustawowych, czyli sektora działalności, wielkości przedsiębiorstwa i miejsca świadczenia usług. Część organizacji minister cyfryzacji wpisuje do wykazu z urzędu, więc przed oceną trzeba ustalić, czy organizacja należy do tej grupy.

Z urzędu, bez wniosku, wpisywane są podmioty publiczne wymienione w art. 7a ust. 2 ustawy, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania oraz organizacje wpisane do wykazu prowadzonego na podstawie dotychczasowych przepisów. Te ostatnie z dniem 3 kwietnia 2026 roku stały się z mocy ustawy podmiotami kluczowymi. Organizacja z tej grupy otrzymuje zawiadomienie i wezwanie do uzupełnienia wpisu, a jej zadaniem jest sprawdzenie aktualności danych. Biegnie dla niej ten sam 12‐​miesięczny termin wdrożenia wymagań.

Pierwszym kryterium jest sektor. Załącznik nr 1 do ustawy obejmuje między innymi energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną i odprowadzanie ścieków, infrastrukturę cyfrową, zarządzanie usługami teleinformatycznymi (ICT service management), administrację publiczną i przestrzeń kosmiczną. Załącznik nr 2 obejmuje wszystkich operatorów pocztowych i kurierskich, gospodarkę odpadami, produkcję i dystrybucję chemikaliów, produkcję żywności, wybrane rodzaje produkcji przemysłowej, dostawców usług cyfrowych oraz badania naukowe.

Drugim kryterium jest wielkość. Ustawa obejmuje co do zasady średnie i duże przedsiębiorstwa w rozumieniu załącznika I do rozporządzenia Komisji (UE) nr 651/​2014, czyli organizacje zatrudniające co najmniej 50 osób albo osiągające roczny obrót i roczną sumę bilansową powyżej dziesięciu milionów euro. Duże przedsiębiorstwo z sektora wymienionego w załączniku nr 1 jest podmiotem kluczowym, a średnie przedsiębiorstwo z tego samego sektora oraz średnie i duże przedsiębiorstwa z sektorów z załącznika nr 2 są podmiotami ważnymi. Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu i dostawcy usług zaufania podlegają ustawie niezależnie od wielkości. Przy liczeniu zatrudnienia i obrotu uwzględnia się dane przedsiębiorstw partnerskich i powiązanych, co ma znaczenie dla spółek w grupach kapitałowych.

Trzecim kryterium jest miejsce świadczenia usług. Siedziba organizacji w Czechach, Estonii czy na Cyprze pozostaje bez znaczenia, jeśli świadczy ona usługi w Polsce. Wpis do wykazu ma charakter deklaratoryjny, a obowiązki powstają z dniem spełnienia ustawowych przesłanek. Organizacja, która spełnia kryteria i nie złoży wniosku, może zostać wpisana przez organ z urzędu i objęta nadzorem w dowolnym momencie. Traci wtedy kontrolę nad harmonogramem przygotowań, ponieważ obowiązki ciążą na niej od dnia spełnienia przesłanek.

Na etapie samoidentyfikacji powtarzają się trzy błędy. Grupy kapitałowe oceniają spółkę dominującą i pomijają spółki zależne, na przykład centra usług wspólnych IT, spółki telekomunikacyjne lub logistyczne, które mogą samodzielnie spełniać kryteria ustawowe. Każda spółka w grupie odpowiada za własną ocenę. Drugi błąd to oczekiwanie na wpis z urzędu, który obejmuje wyłącznie wymienione wyżej kategorie podmiotów. Trzeci błąd polega na utożsamianiu wpisu z gotowością do audytu. Wpis rozpoczyna proces wdrożenia, a ustawa daje czas na zbudowanie systemu, którego ten wpis dotyczy.

Co trzeba wdrożyć do 3 kwietnia 2027 roku w ramach nowelizacji KSC?

Do 3 kwietnia 2027 roku podmiot kluczowy lub ważny wdraża środki zarządzania ryzykiem, które nowelizacja KSC przenosi z art. 21 dyrektywy NIS2. Dyrektywa wymienia dziesięć grup środków, a w praktyce można je uporządkować w pięć obszarów. Są to system zarządzania bezpieczeństwem informacji, analiza ryzyka, ciągłość działania, obsługa incydentów i bezpieczeństwo łańcucha dostaw.

System zarządzania bezpieczeństwem informacji (Information Security Management System, ISMS), w polskiej praktyce nazywany SZBI, to zestaw polityk, procedur i mechanizmów kontrolnych zapewniających systematyczne podejście do bezpieczeństwa informacji. Ustawa dopuszcza oparcie go na normie ISO/​IEC 27001 lub na Krajowych Ramach Interoperacyjności. Większość dużych organizacji wybiera ISO/​IEC 27001, a te, które mają już wdrożony system, zaczynają od solidnego fundamentu. Każda z tych podstaw wymaga uzupełnienia o obowiązki ustawowe, których norma i Krajowe Ramy Interoperacyjności nie przewidują.

Analiza ryzyka w reżimie ustawy działa jako stały mechanizm zarządzania. Decyzje o budżecie, priorytetach i akceptacji ryzyka mają wynikać z aktualnej, udokumentowanej analizy, powtarzanej cyklicznie i po każdej istotnej zmianie. Organizacja sama definiuje, co uznaje za istotną zmianę, i zapisuje tę definicję w metodyce analizy ryzyka. Akceptowalna jest każda metodyka oparta na uznanych standardach, o ile odpowiada skali i profilowi organizacji, zgodnie z zasadami normy ISO 31000.

Obszar ciągłości działania powtarza wymagania dyrektywy NIS2 dotyczące kopii zapasowych, odtwarzania po awarii i zarządzania kryzysowego. W praktyce oznacza to udokumentowany plan ciągłości działania całego podmiotu, obejmujący procesy biznesowe oprócz systemów informacyjnych. Strategia kopii zapasowych ma być odporna na oprogramowanie wymuszające okup (ransomware), na przykład dzięki kopiom przechowywanym poza siecią lub kopiom niezmienialnym (immutable). Procedury odtwarzania określają docelowy czas odtworzenia (Recovery Time Objective, RTO) i docelowy punkt odtworzenia (Recovery Point Objective, RPO). Plan zarządzania kryzysowego przypisuje z kolei role i zakresy odpowiedzialności na czas sytuacji kryzysowej.

Obsługa incydentów podlega ścisłemu harmonogramowi. Wczesne ostrzeżenie o incydencie poważnym trzeba przekazać w ciągu 24 godzin od jego wykrycia, pełne zgłoszenie w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca. Te same osoby w tym czasie ograniczają skutki incydentu, odtwarzają systemy i przygotowują zgłoszenia do organu, dlatego plan ciągłości działania i procedura zgłaszania incydentów muszą tworzyć jedną całość. Procesy zgłaszania potrzebują przy tym własnych procedur awaryjnych na wypadek niedostępności podstawowych kanałów komunikacji.

Bezpieczeństwo łańcucha dostaw jest obszarem najczęściej niedoszacowanym, ponieważ wymaga zmian w umowach, procesach zakupowych i procedurach należytej staranności (due diligence). Ustawa nakłada obowiązek oceny ryzyka związanego z bezpośrednimi dostawcami, co w praktyce oznacza prowadzenie procesu zarządzania ryzykiem stron trzecich (third‐​party risk management, TPRM) dla dostawców krytycznych. Dostawcy zwykle negocjują aneksy z nowymi obowiązkami i mają do tego prawo, więc ten etap trwa dłużej od pozostałych. Pięć opisanych obszarów najlepiej prowadzić jako jeden system zarządzania ryzykiem ze wspólnymi procesami, dokumentami i przeglądami, co ogranicza powielanie pracy.

Kto w zarządzie odpowiada osobiście za cyberbezpieczeństwo według nowelizacji KSC?

Nowelizacja KSC wprowadza odrębną odpowiedzialność administracyjną kierownika podmiotu kluczowego lub ważnego, niezależną od kar nakładanych na samą organizację. Członek zarządu może zostać ukarany indywidualnie, a jeżeli w organie wieloosobowym nie wskazano osoby odpowiedzialnej za obowiązki z ustawy, odpowiedzialność ponoszą wszyscy członkowie tego organu.

Delegowanie zadań, również w formie pełnomocnictw lub prokury, na dyrektora do spraw bezpieczeństwa informacji (Chief Information Security Officer, CISO) albo na wyspecjalizowaną spółkę pozostawia kierownictwu obowiązek nadzoru. Zatwierdzanie środków zarządzania ryzykiem i zabezpieczeń technicznych oraz nadzór nad ich wdrażaniem należą do organu zarządzającego. Z tego powodu ustawa wymaga od kierownictwa cyklicznych szkoleń, które pozwalają ocenić skutki podejmowanych decyzji. Rola zarządu polega na zadawaniu pytań, weryfikowaniu odpowiedzi i świadomej akceptacji ryzyka, a tworzenie polityk pozostaje zadaniem zespołów.

Kara dla kierownika podmiotu może wynieść do trzystu procent jego miesięcznego wynagrodzenia, a dla kierownika podmiotu publicznego co do zasady do stu procent. Wysokość kary zależy od wynagrodzenia osoby ukaranej, a sytuacja finansowa spółki pozostaje bez wpływu na jej wymiar. Podstawa obejmuje także premie i nagrody. Karę członek zarządu płaci z prywatnych środków.

Sankcje dla organizacji są odrębne. Podmiotowi kluczowemu grozi kara do dziesięciu milionów euro lub do dwóch procent rocznego światowego obrotu, przy czym stosuje się kwotę wyższą, a kara minimalna wynosi 20 tysięcy złotych. Podmiotowi ważnemu grozi kara do siedmiu milionów euro lub do jednej i czterech dziesiątych procent rocznego światowego obrotu, z minimum 15 tysięcy złotych.

Art. 73 ustawy przewiduje ponadto karę do 100 milionów złotych, gdy naruszenie przepisów wywoła poważne zagrożenie, między innymi dla bezpieczeństwa państwa lub porządku publicznego. Taka sytuacja może wystąpić, gdy skutki ataku na organizację przeniosą się na inne podmioty, infrastrukturę krytyczną lub administrację publiczną, a postępowanie wykaże, że nadzór był nieskuteczny albo go zabrakło. Kwota ta przewyższa dziesięć milionów euro i w wielu organizacjach także dwa procent obrotu. Wysokość sankcji przenosi rozmowę o cyberbezpieczeństwie z działu IT na poziom zarządu.

W jakiej kolejności wdrażać wymagania nowelizacji KSC?

Wdrożenie przebiega w pięciu etapach, z których każdy opiera się na wynikach poprzedniego. Punktem wyjścia jest decyzja zarządu, a punktem końcowym przegląd zarządzania i dokumentacja potwierdzająca gotowość na 3 kwietnia 2027 roku. Rekomendowana kolejność wygląda następująco:

1. Maj–czerwiec 2026 roku. Samoidentyfikacja, analiza luk wobec wymagań ustawy i mapowanie usług krytycznych, zakończone decyzją zarządu o zakresie projektu, budżecie i osobie odpowiedzialnej za realizację.
2. Lipiec–wrzesień 2026 roku. Analiza wpływu na działalność (Business Impact Analysis, BIA) i pierwsza pełna ocena ryzyka uwzględniająca wymagania ustawy. Na tych dokumentach opierają się wszystkie kolejne decyzje techniczne i organizacyjne, a ich powierzchowne przygotowanie sprawia, że system istnieje wyłącznie na papierze.
3. Październik–grudzień 2026 roku. Budowa lub uzupełnienie SZBI obejmujące polityki, procedury, środki kontroli, klasyfikację informacji, kontrolę dostępu i kryptografię. Równolegle pierwsza ocena dostawców krytycznych i aktualizacja umów o wymagane klauzule.
4. Październik 2026 roku – marzec 2027 roku. Plan ciągłości działania, procedury odtwarzania po awarii i testy z udziałem zespołów operacyjnych, a często także dostawców. Etap wymaga zapewnienia zasobów awaryjnych i przeprowadzenia rzeczywistych testów, dlatego trwa najdłużej.
5. Przełom marca i kwietnia 2027 roku. Przegląd zarządzania, decyzja o akceptacji ryzyka rezydualnego i dokumentacja potwierdzająca gotowość, o którą organ nadzoru może poprosić w każdej chwili od 3 kwietnia 2027 roku.

Organizacje, które pierwsze dwa etapy mają jeszcze przed sobą, prowadzą je równolegle z budową SZBI, zaczynając analizę wpływu od procesów o najwyższej krytyczności. Wdrożenie pełnego systemu zarządzania ciągłością działania trwa zwykle od sześciu do 18 miesięcy. Czas zależy od wielkości organizacji, a przede wszystkim od liczby procesów krytycznych objętych systemem.

Kiedy trzeba zaktualizować wpis w wykazie KSC albo wystąpić o wykreślenie?

Każdą zmianę danych objętych wpisem zgłasza się w terminie 14 dni, zgodnie z art. 7c ust. 3 ustawy. Organizacja, która przestała spełniać kryteria podmiotu kluczowego lub ważnego albo nigdy ich nie spełniała, ma obowiązek złożyć wniosek o wykreślenie z wykazu.

Wniosek o wykreślenie składa się elektronicznie w aplikacji Wykaz KSC, a organ rozpatruje go w terminie miesiąca. Brak aktualizacji danych i brak wniosku o wykreślenie stanowią naruszenie obowiązku informacyjnego, zagrożone tymi samymi karami administracyjnymi co brak wpisu. Wpis wymaga zatem przeglądu przy każdej zmianie struktury, zakresu działalności lub danych kontaktowych organizacji.

Przykład z naszej praktyki dotyczy spółki, która wpisała się do wykazu, ponieważ kryterium wielkości spełniała wyłącznie łącznie z grupą kapitałową. Spółka świadczyła swoją usługę samodzielnie, bez udziału innych spółek z grupy, a jej systemy IT były odseparowane od systemów grupy. Po wyłączeniu danych grupy z oceny wielkości okazało się, że spółka nie spełnia kryteriów ustawowych. Właściwym krokiem był wniosek o wykreślenie wraz z udokumentowaniem niezależności systemu informacyjnego i samodzielnego świadczenia usługi.

Jeden system zarządzania ryzykiem zamiast trzech równoległych projektów

W większości obserwowanych przez nas projektów wdrożenia wymagań ustawy ten sam zakres realizowany jest trzykrotnie. Dział zgodności lub dział IT wdraża wymagania ustawy, zespół odpowiedzialny za ISO/​IEC 27001 prowadzi własny projekt, a zespół ciągłości działania realizuje swoje zadania osobno. Powstają trzy zestawy dokumentacji, które łatwo tracą spójność i wymagają uzgadniania przy każdej zmianie. Jeden system zarządzania ryzykiem, mapowany jednocześnie na wymagania ustawy, norm ISO/​IEC 27001 i ISO 22301 oraz rozporządzenia DORA (Digital Operational Resilience Act), pozwala przygotować dokumentację raz. Taki system utrzymuje się jako całość, przed zarządem i w trakcie audytu.

Najczęściej zadawane pytania

Czy wpis do wykazu KSC oznacza gotowość do audytu od pierwszego dnia?

Wpis rozpoczyna okres wdrożenia wymagań. Ustawa daje czas do 3 kwietnia 2027 roku na zbudowanie systemu, a pierwszy obowiązkowy audyt podmiotu kluczowego przypada do 3 kwietnia 2028 roku.

Czy spółka zarejestrowana w innym państwie UE podlega polskiej ustawie o KSC?

O zastosowaniu ustawy decyduje miejsce świadczenia usług, a kraj rejestracji pozostaje bez znaczenia. Organizacja świadcząca usługi w Polsce ocenia swój status według polskich przepisów. Odrębne zasady właściwości dotyczą części dostawców usług cyfrowych, dla których właściwe jest państwo głównej siedziby w Unii Europejskiej.

Czy delegowanie obowiązków na CISO zwalnia zarząd z odpowiedzialności?

Odpowiedzialność za nadzór pozostaje po stronie kierownictwa także po formalnym delegowaniu zadań. Zatwierdzanie środków zarządzania ryzykiem i nadzór nad ich wdrażaniem należą do organu zarządzającego. Jeżeli w zarządzie wieloosobowym nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie.

Co grozi za nieaktualne dane w wykazie KSC?

Zmianę danych objętych wpisem trzeba zgłosić w ciągu 14 dni. Brak aktualizacji lub brak wniosku o wykreślenie jest naruszeniem obowiązku informacyjnego, zagrożonym tymi samymi karami co brak wpisu.

Źródła

1. Ustawa z dnia 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
2. Ministerstwo Cyfryzacji, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC)
3. Ministerstwo Cyfryzacji, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) – obowiązki podmiotów kluczowych i ważnych”, czerwiec 2026.
4. Rozporządzenie Komisji (UE) nr 651/​2014 z dnia 17 czerwca 2014 roku uznające niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu, załącznik I.
5. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/​2555 z dnia 14 grudnia 2022 roku w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dyrektywa NIS2).

Potrzebujesz harmonogramu z decyzjami zarządu i terminami, do których trzeba je podjąć?

Kliknij i pobierz naszą Roadmapę:

Dokument PDF zawiera kamienie milowe wdrożenia, minimalną wymaganą dokumentację i terminy decyzji zarządu na kolejnych etapach.