Po miesiącach prac legislacyjnych Polska zakończyła proces wdrażania unijnej dyrektywy NIS2. Znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) została opublikowana w Dzienniku Ustaw i weszła w życie 3 kwietnia 2026 r. Nowe przepisy istotnie rozszerzają katalog organizacji objętych obowiązkami z zakresu cyberbezpieczeństwa oraz zmieniają sposób zarządzania ryzykiem cybernetycznym.

Zmiana ma charakter fundamentalny. Cyberbezpieczeństwo przestaje być wyłącznie domeną działów IT, a staje się jednym z filarów zarządzania organizacją, jej odpornością operacyjną oraz ciągłością działania. Odpowiedzialność za właściwe zarządzanie ryzykiem w coraz większym stopniu spoczywa również na zarządach i najwyższym kierownictwie.

W praktyce oznacza to konieczność wdrożenia kompleksowego podejścia obejmującego nie tylko ochronę systemów informacyjnych, ale również zarządzanie ryzykiem, monitorowanie zagrożeń, zapewnienie ciągłości działania oraz skuteczne reagowanie na incydenty.

W artykule przedstawiam najważniejsze założenia nowych przepisów, ze szczególnym uwzględnieniem obowiązków podmiotów kluczowych i ważnych oraz harmonogramu ich realizacji.

Kogo dotyczą nowe przepisy?

Nowelizacja ustawy o KSC wprowadza podział organizacji objętych regulacjami na dwie podstawowe kategorie:

• podmioty kluczowe,
• podmioty ważne.

Do pierwszej grupy zaliczane są organizacje o szczególnym znaczeniu dla funkcjonowania państwa, gospodarki i świadczenia usług o krytycznym znaczeniu. Zakłócenie ich działalności mogłoby mieć poważne konsekwencje społeczne lub gospodarcze.

Podmioty ważne obejmują natomiast organizacje działające w sektorach o istotnym znaczeniu gospodarczym i społecznym, których działalność również wpływa na bezpieczeństwo i ciągłość świadczonych usług.

Przykładowe sektory objęte regulacjami

Podmioty kluczowe

Do tej kategorii zaliczają się m.in. organizacje działające w sektorach:

• energetyki,
• transportu,
• bankowości,
• infrastruktury rynków finansowych,
• ochrony zdrowia,
• zaopatrzenia w wodę pitną,
• gospodarki ściekowej,
• infrastruktury cyfrowej,
• zarządzania usługami ICT,
• administracji publicznej,
• sektora kosmicznego.

Podmioty ważne

Do tej grupy należą m.in. organizacje działające w obszarach:

• usług pocztowych i kurierskich,
• gospodarowania odpadami,
• produkcji, przetwarzania i dystrybucji chemikaliów,
• produkcji, przetwarzania i dystrybucji żywności,
• produkcji przemysłowej,
• usług cyfrowych,
• badań naukowych.

Warto podkreślić, że o zakwalifikowaniu organizacji jako podmiotu kluczowego lub ważnego nie decyduje wyłącznie sektor działalności. Znaczenie mają również dodatkowe kryteria określone
w ustawie, w tym wielkość organizacji oraz szczególne przesłanki wskazane przez ustawodawcę.

Zakres obowiązków podmiotów kluczowych i ważnych

Choć zakres nadzoru wobec obu kategorii różni się, podstawowe obowiązki z zakresu cyberbezpieczeństwa pozostają w dużej mierze wspólne.

Należą do nich:

1. Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI)
   Podmioty objęte ustawą są zobowiązane do wdrożenia i utrzymywania Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), opartego na analizie ryzyka oraz ciągłym doskonaleniu stosowanych zabezpieczeń.
   Podstawę tego obowiązku stanowi art. 8 ustawy o KSC, określający środki zarządzania ryzykiem w cyberbezpieczeństwie.
2. Zarządzanie ryzykiem cyberbezpieczeństwa
   Organizacje muszą identyfikować zagrożenia, oceniać poziom ryzyka oraz wdrażać odpowiednie środki techniczne, organizacyjne i operacyjne.
   Obowiązki te obejmują m.in.:
   – analizę ryzyka,
   – zarządzanie incydentami,
   – zapewnienie ciągłości działania,
   – bezpieczeństwo łańcucha dostaw,
   – polityki i procedury bezpieczeństwa,
   – szkolenia pracowników i kadry kierowniczej.
3. Obsługa i zgłaszanie incydentów
   Podmioty kluczowe i ważne są zobowiązane do wykrywania, klasyfikowania oraz zgłaszania poważnych incydentów do właściwych zespołów CSIRT.
   Przepisy określają również terminy raportowania oraz zakres przekazywanych informacji. Obowiązek ten wynika z art. 11–13 ustawy o KSC.
4. Zapewnienie ciągłości działania
   Organizacje muszą wdrożyć procedury zapewniające utrzymanie kluczowych usług podczas sytuacji kryzysowych. Obejmuje to przygotowanie planów ciągłości działania, procedur odtwarzania po awarii oraz mechanizmów reagowania kryzysowego.
5. Wyznaczenie osób odpowiedzialnych
   Konieczne jest wyznaczenie osób odpowiedzialnych za współpracę z organami właściwymi ds. cyberbezpieczeństwa oraz zespołami CSIRT, a także za koordynację realizacji obowiązków wynikających z ustawy.
6. Szkolenia i cyberhigiena
   Ustawa nakłada obowiązek zapewnienia odpowiedniego poziomu wiedzy i kompetencji w zakresie cyberbezpieczeństwa zarówno pracownikom, jak i członkom kadry zarządzającej.
   Regularne szkolenia oraz działania związane z cyberhigieną stanowią jeden z elementów środków zarządzania ryzykiem określonych w art. 8 ustawy o KSC.

Ważne: Podmioty kluczowe są zobowiązane do przeprowadzania okresowych audytów cyberbezpieczeństwa. Pierwszy audyt powinien zostać wykonany do 3 kwietnia 2028 r., a kolejne nie rzadziej niż raz na 3 lata.

Różnice między podmiotem kluczowym a podmiotem ważnym

Zakres obowiązków obu kategorii jest bardzo zbliżony. Najważniejsze różnice dotyczą sposobu sprawowania nadzoru oraz obowiązków audytowych.

• Podmiot kluczowy podlega nadzorowi proaktywnemu, co oznacza możliwość prowadzenia kontroli i działań sprawdzających niezależnie od wystąpienia incydentu.
• Podmiot ważny podlega przede wszystkim nadzorowi reaktywnemu, uruchamianemu po wystąpieniu incydentu lub stwierdzeniu naruszenia obowiązków ustawowych.
• Obowiązkowe cykliczne audyty cyberbezpieczeństwa dotyczą przede wszystkim podmiotów kluczowych.

Harmonogram najważniejszych terminów

Oprócz nowych obowiązków organizacje muszą pamiętać o terminach wynikających bezpośrednio z ustawy. Niedotrzymanie ustawowych terminów może skutkować konsekwencjami nadzorczymi i finansowymi, dlatego warto już teraz zaplanować działania wdrożeniowe.