Nowelizacja KSC oznacza konkretne obowiązki dla podmiotów kluczowych i ważnych. Sprawdź, od czego zacząć analizę, jak ustalić status podmiotu i kiedy wpisać się do Wykazu KSC.
Nie pytaj, czy NIS 2 Cię dotyczy. Sprawdź, czy podlegasz pod KSC
Po zakończeniu serii poświęconej wytycznym ENISA przechodzimy do kolejnego, bardzo praktycznego etapu.
Tym razem skupiamy się na polskiej ustawie o krajowym systemie cyberbezpieczeństwa po nowelizacji oraz na FAQ Ministerstwa Cyfryzacji, przygotowanym w formule pytań i odpowiedzi.
To ważna zmiana perspektywy.
W poprzedniej serii omawialiśmy wymagania organizacyjne i techniczne wynikające z europejskich wytycznych. Teraz schodzimy poziom niżej, do pytań, które dziś zadaje sobie wiele organizacji:
czy ustawa mnie dotyczy,
czy jestem podmiotem kluczowym albo ważnym,
kiedy mam wpisać się do Wykazu KSC,
od kiedy liczyć terminy,
co oznacza obowiązek wdrożenia SZBI,
kto w organizacji za to odpowiada?
Ministerstwo Cyfryzacji wprost wskazuje, że przygotowany dokument FAQ nie ma mocy prawnej i nie jest dokumentem wiążącym, ale może być przydatny przy dokonywaniu wykładni przepisów ustawy. Dlatego w tej serii będziemy traktować go dokładnie w taki sposób: jako pomoc w rozumieniu ustawy, a nie jako odrębne źródło obowiązków.
Najpierw trzeba odpowiedzieć na jedno pytanie
Pierwszy krok nie polega na pisaniu polityk, zamawianiu dokumentacji ani wdrażaniu narzędzi.
Pierwszy krok brzmi:
czy organizacja spełnia przesłanki uznania za podmiot kluczowy albo podmiot ważny?
To od tej odpowiedzi zależy cała reszta.
Ustawa wskazuje, że krajowy system cyberbezpieczeństwa obejmuje m.in. podmioty kluczowe i podmioty ważne, a następnie w rozdziale dotyczącym identyfikacji i rejestracji określa, kto może zostać zakwalifikowany do jednej z tych kategorii.
W praktyce oznacza to, że organizacja powinna zacząć od sprawdzenia swojej działalności w kontekście załączników do ustawy, kryteriów wielkościowych oraz szczególnych kategorii podmiotów wskazanych bezpośrednio w przepisach.
FAQ Ministerstwa Cyfryzacji ujmuje to bardzo prosto: podmiot powinien przeanalizować swoją działalność i odpowiedzieć sobie na pytanie, czy spełnia kryteria uznania za podmiot kluczowy lub podmiot ważny. Dopiero jeżeli odpowiedź jest twierdząca, kolejnym krokiem jest wpis do wykazu.
Nie sama forma prawna, tylko faktyczna działalność
To ważne, bo wiele organizacji zaczyna analizę od pytania: „jaką mamy formę prawną?”. Tymczasem samo to nie wystarcza.
FAQ Ministerstwa Cyfryzacji wyjaśnia, że sama forma prawna nie decyduje o objęciu ustawą o KSC. Znaczenie ma przede wszystkim rodzaj faktycznie wykonywanej działalności oraz spełnienie przesłanek uznania za podmiot kluczowy albo podmiot ważny, w szczególności wielkość podmiotu.
To oznacza, że analiza nie powinna ograniczać się do nazwy podmiotu, kodów PKD czy ogólnego opisu działalności.
Trzeba spojrzeć na to, co organizacja rzeczywiście robi, w jakim sektorze działa, jakie usługi świadczy i czy mieści się w kategoriach przewidzianych przez ustawę.
Podmiot kluczowy albo ważny, czyli kwalifikacja ma znaczenie
Ustawa rozróżnia podmioty kluczowe i podmioty ważne.
Nie jest to wyłącznie kwestia nazewnictwa. Od statusu zależą konkretne obowiązki, sposób nadzoru i niektóre terminy, w tym obowiązek audytu dla podmiotów kluczowych.
Ustawa wskazuje m.in., że podmiotem kluczowym może być podmiot z załącznika nr 1, który przewyższa wymogi dla średniego przedsiębiorstwa, ale przewiduje też kategorie podmiotów kluczowych niezależnie od wielkości, takie jak określeni dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, wskazane podmioty publiczne czy rejestry nazw domen najwyższego poziomu.
Z kolei podmiotem ważnym może być m.in. podmiot wskazany w załączniku nr 1 spełniający wymogi dla średniego przedsiębiorcy, podmiot z załącznika nr 2 spełniający lub przewyższający te wymogi, a także wskazane w ustawie kategorie podmiotów publicznych realizujących zadanie publiczne z wykorzystaniem systemów informacyjnych.
Warto też pamiętać o jednej prostej zasadzie z ustawy: jeżeli podmiot spełnia jednocześnie wymogi dla podmiotu kluczowego i ważnego, jest podmiotem kluczowym.
Wpis do Wykazu KSC to kolejny krok, ale nie jedyny obowiązek
Jeżeli organizacja ustali, że spełnia przesłanki uznania za podmiot kluczowy albo ważny, powinna przejść do rejestracji w Wykazie KSC.
Zgodnie z ustawą podmiot kluczowy lub podmiot ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy albo podmiot ważny.
FAQ Ministerstwa Cyfryzacji doprecyzowuje, że termin 3 października 2026 r. jest ostatnim dniem rejestracji dla podmiotów, które spełniały przesłanki wpisu do wykazu na dzień wejścia w życie ustawy o KSC. Jednocześnie samorejestracja ma być dostępna przez cały czas, więc podmiot, który zacznie spełniać przesłanki po 3 października 2026 r., również ma obowiązek samodzielnej rejestracji w terminie 6 miesięcy od spełnienia przesłanek.
To jest bardzo istotne: wpis do wykazu nie powinien być traktowany jako „koniec tematu”. To raczej formalny punkt wejścia do systemu, który umożliwia identyfikację podmiotu, wymianę informacji oraz prowadzenie czynności nadzorczych. Ustawa wskazuje, że wykaz prowadzony jest właśnie w tych celach.
Nie warto czekać z analizą do ostatniego dnia
Ministerstwo Cyfryzacji w FAQ odpowiada też na bardzo praktyczne pytanie: czy czekanie z wpisem do Wykazu KSC do października oznacza więcej czasu na realizację obowiązków?
Odpowiedź brzmi: nie.
FAQ wyjaśnia, że termin do 3 października 2026 r. dotyczy wyłącznie wpisu do wykazu. Co do zasady termin na realizację obowiązków liczy się od momentu spełnienia przesłanek uznania za podmiot kluczowy lub ważny, a nie od dnia wpisu.
To jedna z najważniejszych informacji praktycznych.
Organizacja nie powinna zakładać, że dopóki nie złoży wniosku albo dopóki nie uzyska wpisu, obowiązki „czekają”. Najpierw trzeba ustalić moment spełnienia przesłanek, a dopiero potem liczyć terminy.
Najważniejsze terminy na start
FAQ Ministerstwa Cyfryzacji wskazuje cztery podstawowe terminy wdrożeniowe dla podmiotów kluczowych i ważnych.
Wpis do wykazu powinien nastąpić w terminie 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy albo ważny. Dla podmiotów, które spełniały przesłanki na dzień wejścia w życie ustawy, FAQ wskazuje datę 3 października 2026 r.
Podłączenie do systemu S46 oraz wdrożenie obowiązków z zakresu systemu zarządzania bezpieczeństwem informacji po raz pierwszy powinno nastąpić w terminie 12 miesięcy od spełnienia przesłanek. Dla wskazanej grupy podmiotów FAQ podaje datę 3 kwietnia 2027 r.
Pierwszy audyt podmiotu kluczowego powinien nastąpić w terminie 24 miesięcy od spełnienia przesłanek, a w FAQ jako data dla tej grupy wskazany jest 3 kwietnia 2028 r.
To nie są daty do zapamiętania „na później”. To kalendarz działań, który powinien pojawić się na biurku osób odpowiedzialnych za organizację procesu dostosowania.
Co organizacja powinna zrobić na początku?
Na bazie ustawy i FAQ można ten pierwszy etap uporządkować bardzo prosto.
Organizacja powinna najpierw ustalić, czy jej działalność mieści się w zakresie ustawy. Następnie powinna sprawdzić, czy spełnia kryteria podmiotu kluczowego albo podmiotu ważnego. Jeżeli tak, powinna przygotować się do wpisu do Wykazu KSC, zebrać dane wymagane do wpisu, wskazać osoby do kontaktu i administratora konta w S46, a równolegle rozpocząć analizę obowiązków dotyczących SZBI, incydentów, dokumentacji, osób odpowiedzialnych i terminów.
FAQ Ministerstwa Cyfryzacji opisuje to właśnie w taki sposób: najpierw ustalenie kwalifikacji, następnie wpis do wykazu i przygotowanie danych, w tym danych kontaktowych, administratora konta w S46, informacji o zakresach adresów IP i domenach wykorzystywanych przez podmiot.
Na tym etapie nie chodzi jeszcze o rozstrzyganie wszystkich szczegółów.
Chodzi o to, żeby przestać działać na poziomie ogólnego pytania „czy NIS 2 nas dotyczy?”, a zacząć pracować na konkretnych przesłankach z ustawy o KSC.
KSC po nowelizacji w praktyce
W kolejnych wpisach będziemy omawiać konkretne obszary wynikające z ustawy oraz FAQ Ministerstwa Cyfryzacji:
- Wykaz KSC i S46, czyli jak wygląda wpis, jakie dane trzeba przygotować i od kiedy liczyć terminy.
- Obowiązki podmiotów kluczowych i ważnych, czyli co oznacza wdrożenie systemu zarządzania bezpieczeństwem informacji.
- Dokumentację SZBI, czyli dlaczego sama teczka dokumentów nie rozwiązuje problemu zgodności.
- Odpowiedzialność kierownika podmiotu, czyli kto podejmuje decyzje, planuje środki i nadzoruje wykonanie obowiązków.
- Zgłaszanie incydentów, czyli kiedy pojawia się wczesne ostrzeżenie, zgłoszenie incydentu poważnego i obowiązek współpracy z CSIRT.
- Audyt, nadzór i kary, czyli czego organizacje nie powinny odkładać na ostatni moment.
Twoje bezpieczeństwo to nasza pasja! 🌐 Jeśli interesuje Cię ochrona danych osobowych, bezpieczeństwo informacji czy cyberbezpieczeństwo, zajrzyj na stronę CAB oraz Platformę Cyberbezpieczeństwa. Szukasz informacji o ochronie sygnalistów? 📢 Sprawdź stronę Kanału Zgłoszeniowego. Czekają tam praktyczne porady i ekspercka wiedza!