Bezpłatny Test Phishingowy

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 i wiąże się z trzema kluczowymi terminami: samoidentyfikacja i wpis do Wykazu KSC do 3 października 2026, podłączenie do systemu S46 do 3 kwietnia 2027, a pierwszy audyt SZBI do 3 kwietnia 2028. Ministerstwo Cyfryzacji szacuje, że UKSC będzie dotyczyć nawet 42 tysięcy podmiotów w Polsce.  

Trzech kamieni milowych rozstawionych na osiemnaście miesięcy nie da się poprowadzić jako jednego projektu z jednym deadline’em. Obaj prelegenci webinaru SECAWA opisali ten sam mechanizm – im dalej do terminu, tym spokojniej patrzymy na temat i tym niżej spada on na liście priorytetów. Jednak zapas czasu niczego nie załatwia, bo dojrzałość, monitoring i kulturę zarządzania cyberbezpieczeństwem buduje się miesiącami, a przez cały ten czas ktoś musi trzymać rękę na pulsie. Tutaj potrzebna jest lekcja z zarządzania zwinnego – zgodność z KSC lepiej rozpisać na krótkie cykle i rozliczać się co dwa tygodnie, zamiast czekać na kwartalny raport.

Nowelizacja UKSC wyznacza trzy różne rodzaje pracy

Wpis do Wykazu KSC, podłączenie do systemu zarządzania bezpieczeństwem informacji i pierwszy audyt SZBI wymagają innych kompetencji i innych właścicieli w organizacji. Kwalifikacja opiera się na sektorze, progach finansowych i liczbie zatrudnionych, więc prowadzi ją dział prawny. Podłączenie do S46 wymaga integracji technicznej i działającej procedury zgłaszania incydentów, więc jest po stronie IT i Security. Audyt SZBI sprawdza dojrzałość procesów. 

→ 3 października 2026 – kwalifikacja i wpis do wykazu, prowadzi dział prawny wspólnie z zarządem
→ 3 kwietnia 2027 – podłączenie do systemu S46 i zarządzanie incydentami, prowadzi IT
→ 3 kwietnia 2028 – pierwszy audyt SZBI wymaga niezależnego audytora wewnętrznego z odpowiednimi kompetencjami lub zewnętrznej firmy eksperckiej, a także jednostki certyfikującej, czyli instytucji. 

Na webinarze radca prawny Jerzy Muszyński wspomniał o procesach długofalowych, których organizacje nie chcą u siebie prowadzić:

Obecnie żyjemy w wysokim tempie i chcemy zrobić wszystko szybko. Chcemy mieć tematy pozamykane. Nie jesteśmy otwarci na najczęściej na procesy długoterminowe, długofalowe, bo one są angażujące, one są kosztowne. One powodują, że jest cały czas jakiś temat w zawieszeniu, jakieś istniejące ryzyko, a tego organizacje nie lubią […]. Zazwyczaj chcemy zamykać tematy do konkretnych, wyznaczonych deadline’ów i iść dalej.
Jerzy Muszyński, radca prawny

A w wyniku tego najczęściej pojawiają się po prostu błędy przy wdrożeniu dyrektywy NIS2 lub ryzykowna zwłoka. Dla przykładu, pierwszą pułapką jest brak kar za brak zgodności przez pierwsze dwa lata obowiązywania ustawy, do kwietnia 2028 – w wyniku czego przedsiębiorstwa odkładają temat na ostatnią chwilę. 

Co ustawodawca zakłada, projektując KSC jako proces

Zgodność z KSC widać w zapisach, które zostawia po sobie działający system. Audytor pyta o rejestr incydentów z wpisami, o protokół z przeglądu dostępów, o raport z testu odtworzenia kopii. Każdy z nich ma datę i autora, czego sam komplet procedur nie zapewnia.

Marcin Serafin tłumaczył na webinarze, na czym opiera się ta konstrukcja:

Ustawodawca myśli, że jeżeli będziemy zajmować się zagadnieniami, będziemy myśleć o tym, w jaki sposób się dostosować, będziemy analizować ryzyko, które się z nami wiąże i w związku z tym dostosujemy się i będzie to pewien proces, a nie projekt jednorazowy, który się skończy. Powiemy odbębniliśmy, zgłaszamy, koniec.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Jerzy Muszyński zwrócił uwagę na to, że bez aktywnego udziału zarządu albo wyznaczonych przez niego osób odpowiedzialnych proces nie ruszy z miejsca, a osoba odpowiadająca za cyberbezpieczeństwo nie może działać w cieniu struktury, bo każdy pracownik musi wiedzieć, komu zgłosić incydent.

Najlepiej widać to w raporcie statusowym. Procent gotowości dokumentacji dobrze brzmi na spotkaniu, ale nie daje audytorowi niczego do sprawdzenia, więc zamiast niego lepiej pokazywać konkrety:

→ zamiast „polityka gotowa w 80%” – data zatwierdzenia i nazwisko właściciela dokumentu
→ zamiast „mamy procedurę incydentową” – data pierwszego zgłoszenia zrobionego zgodnie z nią
→ zamiast „backupy działają” – czas odtworzenia zmierzony na konkretnej usłudze

Zakres tych zapisów zależy od tego, czy jesteś podmiotem kluczowym, czy ważnym, a pełny katalog wymagań nowelizacji UKSC rozłożyliśmy w osobnym tekście.

Jak wdrażać wymogi KSC, wykorzystując metodyki zwinne

Krótkie cykle przesuwają moment, w którym trzeba się z pracy rozliczyć, i w tym tkwi ich przewaga nad kaskadą. Marcin Serafin, partner kancelarii prawa cyfrowego STERBERG, sięgnął po porównanie, które zna każdy, kto pamięta w IT przesiadkę z kaskady na metodyki zwinne:

W przypadku projektów prowadzonych tradycyjnie, które są rozpisane na rok czasu, najwyższy poziom zaangażowania jest przez ostatni miesiąc. W przypadku projektów zwinnych, gdzie […] te sprinty nam się pojawiają co tydzień, co dwa tygodnie, czasami rzadziej, czasami częściej […] no to tutaj rozliczenie jest co tydzień, co dwa tygodnie.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Sprint we wdrożeniu KSC oznacza dwutygodniowy odcinek zamknięty jednym sprawdzalnym rezultatem, na przykład zatwierdzoną procedurą incydentową albo przetestowanym kanałem zgłoszeń. Nie potrzebujesz do tego ceremoniału Scruma ani nowego narzędzia, wystarczy lista zadań z właścicielem i data przeglądu. Marcin Serafin zwrócił też uwagę, że o celach rocznych myślimy dopiero wtedy, gdy zbliża się termin premii, więc krótszy horyzont rozliczenia zmienia zachowanie skuteczniej niż podniesienie samego celu.

Najlepiej sprawdza się rezultat, który da się przeczytać w tabeli. Radca prawny Jerzy Muszyński pokazał to na przykładzie wdrożeń RODO. Prezes jednej ze spółek przekładał spotkania i nie zamierzał czytać kilkudziesięciostronicowej polityki bezpieczeństwa, natomiast zainteresował się rejestrem czynności przetwarzania, bo w tabeli zobaczył własne procesy, usługi, umowy i ryzyka. Ta sama zasada działa przy wdrożeniu KSC – mapa systemów, rejestr dostawców i rejestr ryzyk domykają cykl skuteczniej niż polityka, ponieważ pokazują stan organizacji, a nie intencje.

Zapytani o największe wyzwanie NIS2 obaj prelegenci wskazali to samo miejsce. Serafin odpowiedział, że trzeba się w końcu zabrać za temat na poważnie i zaangażować całą organizację, a Muszyński nazwał to wybudzeniem zarządu i zaangażowaniem pracowników.

Krótki cykl jest narzędziem, które to wymusza, bo co dwa tygodnie ktoś musi pokazać zamkniętą pozycję.

Trzy cykle: od samoidentyfikacji do dowodów działania

Pierwsze 90 dni da się rozpisać na trzy główne odcinki z checklistą zadań. Ramy poniżej pochodzą z planu, który pokazaliśmy podczas naszego bezpłatnego webinaru o KSC (nagranie i materiały wciąż dostępne tutaj). We własnej organizacji warto rozbić te etapy dalej, na dwutygodniowe sprinty z osobnym właścicielem i osobnym dowodem zamknięcia, ponieważ dopiero taki podział daje rytm rozliczania znany z metodyk zwinnych. 

Cykl 1 (0–30 dni): diagnoza i decyzje

Pierwszy cykl ma najbliższy termin ustawowy, bo wpis do Wykazu KSC domyka się 3 października 2026.

→ Kwalifikacja do KSC wymaga udokumentowanego wyniku samoidentyfikacji, który przygotowuje dział prawny. Samoidentyfikację KSC krok po kroku opisaliśmy w osobnym poradniku.
→ Wybór właściciela wdrożenia zapada uchwałą zarządu albo zapisem w protokole.
→ Mapa usług, systemów i dostawców powstaje w IT jako lista z przypisaną krytycznością.
→ Analiza luk i krytycznych ryzyk buduje rejestr ryzyk z ocenami i datą przeglądu.
→ Plan dowodowy porządkuje to, co należy pokazać kontroli.

Cykl 2 (31–60 dni): kontrole i procesy

Drugi cykl uruchamia minimum organizacyjne, techniczne i kontraktowe, na którym oprze się cała późniejsza dokumentacja.

→ Procedura incydentowa (24 i 72 godzin) działa dopiero po próbnym zgłoszeniu przeprowadzonym do końca, a nie po zatwierdzeniu dokumentu.
→ Rejestr incydentów i ścieżka eskalacji sprawdzają się przy pierwszym wpisie wykonanym przez pracownika spoza zespołu wdrożeniowego.
→ Przegląd dostępów i wdrożenie MFA dają raport z listą kont bez drugiego czynnika i datą ich wyłączenia.
→ Klasyfikacja dostawców krytycznych wskazuje w rejestrze tych dostawców, których awaria przerywa ciągłość działania.
→ Wymagania cyberbezpieczeństwa w umowach ICT trafiają do podpisanego aneksu albo klauzuli wzorcowej do kolejnych postępowań.
→ Monitoring systemów krytycznych potrzebuje listy alertów, na które ktoś reaguje w ustalonym czasie.

Cykl 3 (61–90 dni): testy i dowody

Trzeci cykl sprawdza, czy uruchomione procesy działają i zostawiają ślad audytowy.

→ Test procedury incydentowej zostawia raport z czasami reakcji na każdym etapie zgłoszenia.
→ Test odtworzenia backupu pokazuje zmierzony czas powrotu usługi, porównany z założeniem z planu ciągłości działania.
→ Ćwiczenie z udziałem zarządu daje listę decyzji podjętych w jego trakcie, z nazwiskami i godzinami.
→ Raport dla kierownictwa domyka plan dalszego doskonalenia z datą kolejnego przeglądu.
→ Pakiet dowodów na kontrolę zbiera artefakty z datami zatwierdzenia i właścicielami.

Ten cykl warto domknąć audytem stanu wyjściowego, ponieważ dopiero zewnętrzna weryfikacja zamienia zbiór dokumentów w dowód.

Jak rozliczać wdrożenie ustawy o KSC?

Po dziewięćdziesięciu dniach każda organizacja powinna mieć trzy rzeczy:

Kolejne sprinty nie kończą się na dziewięćdziesiątym dniu, zmienia się tylko ich przedmiot – zamiast postępu prac rozliczamy aktualność tego, co już działa. Rejestr incydentów, rejestr dostawców, plany ciągłości działania i dokumentacja SZBI dostają więc właściciela i datę kolejnego przeglądu, ponieważ zapisy, do których nikt nie wraca, rozjeżdżają się z rzeczywistością w kilka miesięcy.

Największą przeszkodą jest przekonanie, że wpis do Wykazu KSC domyka temat. Jerzy Muszyński nazwał ten błąd na webinarze tak:

Samorejestracja takie hasło jako meta zamiast startu. Czyli my zakładamy, że się zarejestrowaliśmy i to wszystko. Że tak naprawdę teraz czekamy na jakąś kontrolę, na jakiś audyt i więcej obowiązków nie mamy. To jest kolejny, kolejny duży błąd.
Jerzy Muszyński, radca prawny

Szybciej od dokumentacji starzeje się jednak gotowość ludzi. Marcin Serafin nazwał ją „budową pamięci mięśniowej” i zwrócił uwagę, że pracownik, który nigdy nie widział incydentu bezpieczeństwa, nie rozpozna go również wtedy, gdy incydent stanie mu przed oczami. Stąd w KSC pojawia się myślenie znane jako assumption of breach – założenie, że incydent na pewno wystąpi, a pytaniem pozostaje kiedy i w jakim rozmiarze.

Rytm przeglądów obejmuje więc trzy rzeczy naraz:

→ Dokumentację i rejestry przeglądamy w cyklu rocznym, z datą kolejnego przeglądu wpisaną przy zamknięciu poprzedniego.
→ Monitoring i zarządzanie incydentami rozliczamy co tydzień, bo tam liczy się czas reakcji, a nie kompletność opisu.
→ Zdolność pracowników do rozpoznania i zgłoszenia incydentu mierzy tylko taki test, którego nikt nie rozpozna jako testu.

Marcin Serafin porównał ćwiczenie zapowiedziane z góry do alarmu przeciwpożarowego, o którym cała firma wie od dwóch godzin – termin znany, ważne spotkania przeniesione, wszyscy gotowi zejść na dół. Ten sam mechanizm psuje szkolenia z cyberbezpieczeństwa robione raz na jakiś czas i zapowiadane wcześniej, ponieważ pracownik przechodzi je w trybie egzaminu, a nie w trybie pracy. Dlatego w Praktycznym Treningu Antyphishingowym symulacje cyberataków są łudząco wiarygodne i dopasowane do konkretnej organizacji a przede wszystkim – systematyczne, kilka razy w miesiącu w różnych, nieznanych pracownikom porach. Program sprawdza rzeczywistą zdolność rozpoznania manipulacji, a nie znajomość teorii ze szkolenia.

W samym zgłaszaniu obowiązuje przy tym zasada, która padła na webinarze wprost: lepiej zgłosić za dużo niż za mało, zarówno w relacji pracownik-zespół bezpieczeństwa, jak i podmiot-organy. Osobista odpowiedzialność kierownika podmiotu włącza w ten rytm zarząd, co przebudowuje też pozycję CISO w organizacji.

Podsumowanie

Wdrożenie UKSC wymaga sporo pracy, rozdzielonej odpowiedzialności i konsekwentnej egzekucji, a żadnej z tych trzech rzeczy nie da się nadrobić w tygodniu przed terminem. Metodyki zwinne, które przenoszą pracę w rytm sprintów dobrze znany zespołom IT, pozwalają rozłożyć ją na odcinki z własnym właścicielem i własnym dowodem zamknięcia. 

Jeśli Twoja organizacja potrzebuje wsparcia przy wdrożeniu UKSC, zachęcamy do kontaktu. 

Samoidentyfikacja KSC to samodzielna ocena, czy organizacja podlega ustawie o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażającej dyrektywę NIS2, i przypisanie się do jednej z trzech kategorii: podmiot kluczowy, podmiot ważny albo brak obowiązku. Żeby ją przeprowadzić, trzeba sprawdzić sektor działalności, wielkość przedsiębiorstwa oraz przesłanki z art. 5 ustawy. Skutkiem pozytywnej kwalifikacji jest obowiązek wpisu do Wykazu KSC w terminie do 3 października 2026 roku. Nowelizacja ustawy o KSC obejmie według szacunków Ministerstwa Cyfryzacji około 38-42 tysięcy podmiotów objętych regulacją w Polsce.

Co to jest samoidentyfikacja w KSC?

Być może prowadzisz firmę działającą w sektorze objętym przepisami KSC 2.0. Nie otrzymujesz jednak urzędowego pisma z informacją, że od dziś jesteś podmiotem kluczowym albo ważnym. To Twoja organizacja musi jako pierwsza sprawdzić, czy nowe obowiązki rzeczywiście jej dotyczą.

Na tym właśnie polega samoidentyfikacja. Jest to samodzielna ocena, czy prowadzona działalność podlega ustawie o KSC 2.0, a jeżeli tak – czy organizacja powinna zostać zakwalifikowana jako podmiot kluczowy, czy jako podmiot ważny. Punktem wyjścia do takiej analizy jest art. 5 ustawy oraz załączniki nr 1 i nr 2, w których wskazano sektory, podsektory i rodzaje działalności objęte regulacją.

W praktyce nie wystarczy jednak sprawdzić kodu PKD wpisanego w KRS. Znacznie ważniejsze jest to, czym firma rzeczywiście się zajmuje, jakie usługi świadczy i na jakim rynku działa. Jeżeli faktyczna działalność organizacji należy do sektora objętego ustawą, przepisy mogą mieć zastosowanie nawet wtedy, gdy główny kod PKD na to nie wskazuje.

Prawidłowo przeprowadzona samoidentyfikacja powinna zakończyć się jasną odpowiedzią:

Jeżeli analiza wykaże, że firma należy do jednej z dwóch pierwszych kategorii, kolejnym krokiem będzie dokonanie wpisu do Wykazu KSC. Jest to urzędowy rejestr podmiotów kluczowych i ważnych, prowadzony przez Ministra Cyfryzacji w aplikacji wykaz-ksc.gov.pl i technicznie oparty na Systemie S46.

Kogo dotyczy obowiązek samoidentyfikacji?

Obowiązek samoidentyfikacji dotyczy każdego podmiotu działającego w sektorze wskazanym w załącznikach do ustawy o Krajowym Systemie Cyberbezpieczeństwa – niezależnie, czy to firma prywatna, spółka z udziałem samorządu, czy urząd. O przynależności do systemu decydują dwa filary łącznie: sektor działalności i wielkość organizacji.

Sektor rozstrzyga, czy dana działalność w ogóle mieści się w katalogu chronionym przez ustawę – energetyka, finanse, ochrona zdrowia, transport, gospodarka wodno-ściekowa i kilkanaście innych branż wymienionych w załącznikach nr 1 i 2 (przeczytaj więcej w artykule o nowelizacji KSC). Wielkość rozstrzyga natomiast, do której z dwóch kategorii podmiotów trafia podmiot spełniający kryterium sektorowe.

Kryteria podmiotu kluczowego z załącznika nr 1 różnią się od kryteriów podmiotu ważnego z załącznika nr 2 przede wszystkim wagą potencjalnych skutków incydentu dla państwa i gospodarki, nie samym mechanizmem oceny.

Przy liczeniu wielkości uwzględnia się nie tylko własne zatrudnienie i finanse, ale też przedsiębiorstwa powiązane i partnerskie – polska spółka może nagle stać się dużym przedsiębiorcą przez zagranicznego inwestora albo udziały w grupie kapitałowej, nawet jeśli sama zatrudnia niewiele osób. Ustawa o Krajowym Systemie Cyberbezpieczeństwa nie rozróżnia przy tym sektora prywatnego i publicznego: obowiązki obejmują oba, a fakt, że właścicielem spółki jest gmina albo Skarb Państwa, sam w sobie nie przesądza o kwalifikacji.

Możemy pomóc ustalić, czy Twoja organizacja podlega pod KSC – w ramach audytu SZBI, który łączy perspektywę radcy prawnego z techniczną diagnozą bezpieczeństwa i praktycznym treningiem zespołu.

Zapytaj o audyt SZBI

Jak dokonać samoidentyfikacji KSC? Trzy kroki według Ministerstwa Cyfryzacji

Ministerstwo Cyfryzacji rozkłada proces samoidentyfikacji na trzy kroki: sprawdzenie sektora, określenie wielkości przedsiębiorstwa i analizę art. 5 ustawy. Kolejność ma znaczenie – dopiero wynik wszystkich trzech kroków razem daje odpowiedź, czy podmiot jest kluczowy, ważny, czy nie podlega ustawie w ogóle.

01 Sprawdź sektor działalności

Pierwszy krok to weryfikacja, czy prowadzona działalność mieści się w sektorach lub podsektorach wskazanych w załączniku nr 1 (podmioty kluczowe) albo załączniku nr 2 (podmioty ważne) do ustawy. Ministerstwo Cyfryzacji podkreśla, że przy tej ocenie liczy się rzeczywisty charakter prowadzonej działalności, a kod PKD ma znaczenie wyłącznie pomocnicze – decydujący jest faktyczny zakres świadczonych usług lub wykonywanych zadań, nie wpis w rejestrze.

Przykładowo firma, która na papierze działa w jednej branży, ale realnie świadczy usługi z sektora objętego ustawą – np. jako podwykonawca w łańcuchu dostaw energetyki czy ochrony zdrowia – powinna sprawdzić się względem tego realnego zakresu działalności, nie względem kodu w KRS. Nawet podmiot świadczący usługi tylko częściowo objęte zakresem ustawy powinien przeanalizować tę część działalności osobno.

02 Określ wielkość przedsiębiorstwa

Drugi krok to określenie wielkości podmiotu według progów mikro, małego, średniego i dużego przedsiębiorstwa, z uwzględnieniem przedsiębiorstw powiązanych i partnerskich.

Progi sprawdza się rozłącznie: wystarczy przekroczyć jedno kryterium – zatrudnienia albo finansowe – żeby firma trafiła do wyższej kategorii wielkości, nawet gdy drugie kryterium pozostaje niespełnione.

Od tej zasady jest jeden wyraźny wyjątek. Przedsiębiorcy telekomunikacyjni, objęci nowelizacją ustawy niezależnie od wielkości, mają inny próg kwalifikacji do kategorii kluczowy/ważny niż pozostałe branże:

WielkośćRodzaj podmiotu (przedsiębiorca telekomunikacyjny)
Duży przedsiębiorcapodmiot kluczowy
Średni przedsiębiorcapodmiot kluczowy
Mały przedsiębiorcapodmiot ważny
Mikroprzedsiębiorcapodmiot ważny

To dokładnie ten wyjątek tłumaczy kazus z naszego webinaru o KSC: organizacja telekomunikacyjna zatrudniająca poniżej 50 osób, ale z przychodem powyżej 10 mln euro, jest podmiotem kluczowym – mimo małej liczby pracowników, bo w telekomunikacji już średni przedsiębiorca ma status kluczowy, nie ważny.

Zaprosiliśmy radcę prawnego i partnera kancelarii prawa cyfrowego do dyskusji o UKSC / NIS2, podczas której szeroko omówiliśmy temat samoidentyfikacji i wpisu do Wykazu KSC – odbierz bezpłatnie dostęp do nagrania i dodatkowych materiałów!

Bezpłatny webinar o KSC – odbierz nagranie i materiały!

03 Przeanalizuj art. 5 ustawy

Trzeci krok to analiza art. 5 KSC (art. 5 ustawy o Krajowym Systemie Cyberbezpieczeństwa), który określa szczegółowe zasady uznawania podmiotów za kluczowe albo ważne, w tym przypadki objęcia ustawą niezależnie od wielkości. Dopiero po przeanalizowaniu tego przepisu można ostatecznie ustalić, czy podmiot jest kluczowy, jest ważny, czy nie podlega przepisom w ogóle.

Spełnienie przesłanek z art. 5 jednoznacznie oznacza objęcie podmiotu przepisami ustawy niezależnie od wyniku kroku drugiego – to właśnie ta ścieżka pozwala np. małej spółce komunalnej wpaść w kategorię podmiotu ważnego mimo niespełnienia progów wielkościowych (pełny kazus w sekcji poniżej). W niektórych przypadkach podmiotem kluczowym albo ważnym staje się więc organizacja, która formalnie nie spełnia kryteriów wielkościowych, ale spełnia przesłanki sektorowe z art. 5.

Dodatkowe narzędzia pomagające w samoidentyfikacji

Zanim zaczniesz ręczną analizę od zera, zderz swoje ustalenia z gotowymi narzędziami:

  1. Kwalifikator MŚP od PARP – oficjalne narzędzie do ustalenia wielkości przedsiębiorstwa.
  2. Walidator UKSC/NIS2 kancelarii Muszyński – bezpłatne narzędzie poglądowe, obejmujące wszystkie trzy kroki.
  3. Poradniki Ministerstwa Cyfryzacji – oficjalne wyjaśnienia i odpowiedzi na pytania, aktualizowane na bieżąco.

Żadne z tych narzędzi nie zastępuje analizy prawnej. Dają wynik orientacyjny, oparty na danych, które samodzielnie wprowadzasz – nie uwzględniają niuansów typu przedsiębiorstwa powiązane, wyjątki sektorowe czy przesłanki z art. 5.

Przy wątpliwościach co do kwalifikacji podmiotów kluczowych i ważnych najlepiej nie zgadywać na własną rękę – skontaktuj się z nami, żeby omówić wynik samoidentyfikacji i zakres audytu SZBI dopasowany do Twojej organizacji.

Podmiot kluczowy czy ważny? Przykłady kwalifikacji z praktyki

Same kryteria sektora i wielkości brzmią prosto na papierze, ale w praktyce prawnicy specjalizujący się w KSC regularnie dostają pytania o graniczne przypadki. Poniższa tabela pokazuje sześć typowych sytuacji i wynik ich kwalifikacji.

Spółka komunalna: wodociągi i kanalizacja, 20 pracowników

Spółka z o.o. ze 100% udziałów gminy, działająca w sektorze wodno-ściekowym (zał. nr 1) i zatrudniająca 20 osób, nie osiąga progu średniego przedsiębiorcy pod względem wielkości. Mimo to kwalifikuje się jako podmiot ważny – nie spełnia kryteriów wielkościowych, ale realizuje zadanie użyteczności publicznej z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 UKSC).

Przedsiębiorca telekomunikacyjny poniżej progu zatrudnienia

Firma telekomunikacyjna zatrudniająca poniżej 50 osób, ale z przychodem powyżej 10 mln EUR, spełnia kryteria średniego przedsiębiorcy mimo niskiego zatrudnienia. W telekomunikacji już średni przedsiębiorca ma status kluczowy – to wyjątek sektorowy, więc firma kwalifikuje się jako podmiot kluczowy.

Operator energetyczny powyżej 250 pracowników

Duże przedsiębiorstwo energetyczne (zał. nr 1), zatrudniające ponad 250 osób, kwalifikuje się jako podmiot kluczowy – sektor i wielkość jednoznacznie na to wskazują. Warto jednak pamiętać, że część operatorów o szczególnym znaczeniu dla systemu energetycznego (np. operatorzy systemów przesyłowych) może być podmiotami kluczowymi niezależnie od wielkości – podobnie jak w wyjątku telekomunikacyjnym opisanym wyżej. Dlatego krok 3, czyli analizę art. 5, warto zweryfikować nawet przy pozornie oczywistych przypadkach.

Firma cateringowa poza sektorami z załączników

Mała firma cateringowa, zatrudniająca 15 osób, działa poza sektorami wskazanymi w załącznikach do ustawy – nie podlega KSC. Sektor spożywczy objęty nowelizacją dotyczy głównie hurtowej dystrybucji oraz przemysłowej produkcji i przetwarzania żywności na dużą skalę, nie usług gastronomicznych i cateringowych działających lokalnie. Firma z branży spożywczej powinna sprawdzić, po której stronie tej granicy faktycznie się znajduje, zamiast opierać się wyłącznie na ogólnym haśle „sektor spożywczy”.

Dostawca IT dla operatora energetycznego

Mała firma IT (30 pracowników), świadcząca usługi dla operatora energetycznego, sama nie działa w sektorze wskazanym w załącznikach – nie podlega automatycznie. Bycie dostawcą podmiotu objętego KSC samo w sobie nie przesądza objęcia ustawą, ale kontrahent może narzucić wymagania umowne.

Wynik samoidentyfikacji opartej na sektorze i wielkości nie zawsze jest ostateczny

Ustawa przewiduje dodatkową ścieżkę: minister może decyzją administracyjną uznać podmiot za kluczowy, jeśli jako jedyny świadczy za pomocą systemu informacyjnego usługę o kluczowym znaczeniu dla krytycznej działalności społecznej lub gospodarczej – niezależnie od tego, że według progów wielkościowych podmiot wypadałby jako ważny albo nawet poza zakresem ustawy. Dotyczy to na przykład jedynego dostawcy wody w gminie, bez alternatywy dla mieszkańców: brak konkurencji na rynku lokalnym może być podstawą decyzji ministra, nawet jeśli spółka nie spełnia progu średniego przedsiębiorcy.

Osobną kategorię stanowią dostawcy usług cyfrowych (np. dostawcy chmury, platform handlowych czy wyszukiwarek internetowych) oraz dotychczasowi operatorzy usług kluczowych, działający pod starą ustawą z 2018 roku – obie grupy zostały wpisane do Wykazu KSC z urzędu, bez konieczności samorejestracji.

Kazus spółki komunalnej z powyższej tabeli pochodzi wprost z pytań zadanych na naszym webinarze o wdrożeniu KSC. Radca prawny Jerzy Muszyński tłumaczył, kiedy taka spółka może zostać uznana za podmiot ważny mimo niespełnienia progu zatrudnienia:

Może przesądzać fakt, że spółka realizuje zadania publiczne, zadanie użyteczności publicznej w rozumieniu ustawy o gospodarce komunalnej, i realizuje zadania publiczne z wykorzystaniem systemów informacyjnych.
Jerzy Muszyński, radca prawny w SECAWA

Marcin Serafin zwrócił uwagę na próg, o którym łatwo zapomnieć przy takiej spółce – liczba pracowników to nie jedyne kryterium:

To jest coś, co potencjalnie może być istotne […], bo jeżeli będzie miała osiągać ten próg dziesięć milionów euro obrotów albo sumy bilansowej, no to będzie podlegać niezależnie od tego, czy ma dwudziestu pracowników, czy dwustu.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Dwudziestu pracowników spółki wodno-kanalizacyjnej z naszej tabeli to za mało, żeby przekroczyć próg średniego przedsiębiorcy – ale gdyby jej obrót albo suma bilansowa sięgnęły 10 mln euro, kwalifikacja byłaby przesądzona niezależnie od zatrudnienia.

Do kiedy trzeba dokonać samoidentyfikacji? Kluczowe terminy

Termin na samoidentyfikację i wpis do Wykazu KSC upływa 3 października 2026 roku. Harmonogram wygląda następująco:

Samorejestracja odbywa się przez aplikację Wykaz KSC, po zalogowaniu profilem zaufanym, e-dowodem, bankowością elektroniczną albo podpisem kwalifikowanym.

Brak kar do 2028 roku nie oznacza braku obowiązku – zaniechanie samoidentyfikacji i rejestracji jest naruszeniem przepisów od pierwszego dnia, tylko nieegzekwowanym finansowo. Dlaczego to rozróżnienie bywa mylące, opisaliśmy szerzej w artykule o tym, dlaczego brak kar do 2028 roku to pułapka.

Najczęstsze błędy przy samoidentyfikacji i starcie wdrożenia Nowelizacji KSC

Radca prawny Jerzy Muszyński, opierając się na doświadczeniach z wdrożeń i praktyce kontroli, wskazał na webinarze sześć błędów, które najczęściej przesądzają o tym, że wdrożenie KSC rusza w złym kierunku już na starcie:

Do grona podmiotów kluczowych i ważnych, które popełniają te błędy, należą zarówno duże, doświadczone organizacje, jak i te wchodzące do systemu po raz pierwszy. KSC nakłada obowiązek nie tylko rejestracji, ale przede wszystkim realnego zarządzania ryzykiem – zaniedbanie obowiązków podmiotów kluczowych ujawnia się zwykle dopiero podczas kontroli albo incydentu bezpieczeństwa.

Dlaczego warto zostawić ślad dowodowy?

Samoidentyfikacja bez udokumentowania to samoidentyfikacja, która nie istnieje w oczach kontrolującego. Jak podkreślał Jerzy Muszyński:

Każda firma powinna dokonać takiej samoidentyfikacji i podejść do tej samoidentyfikacji w sposób dowodowy, czyli zostawić po tej samoidentyfikacji jakiś ślad.
Jerzy Muszyński, radca prawny w SECAWA

W praktyce ślad dowodowy oznacza konkretny zestaw dokumentów, nie samą decyzję zapisaną w mailu czy ustaloną na spotkaniu zarządu. Warto przygotować:

Taki zestaw dokumentów pełni dwie funkcje naraz. Po pierwsze porządkuje samą analizę – trudno pomylić kategorię, kiedy dane są zestawione w jednym miejscu, a nie rozproszone w pamięci kilku osób. Po drugie staje się materiałem obronnym: jeśli organ nadzoru zapyta, dlaczego firma zakwalifikowała się w określony sposób, odpowiedzią jest dokument, nie wspomnienie z rozmowy sprzed półtora roku.

Dokumentacja z samoidentyfikacji nie jest oderwanym śladem – staje się pierwszym elementem szerszej dokumentacji systemu zarządzania bezpieczeństwem informacji (SZBI), którą trzeba będzie rozbudować po wpisaniu się do wykazu. Pozytywny wynik samoidentyfikacji rodzi obowiązek wpisu do Wykazu KSC, a dokumentacja, o której mowa wyżej, jest dowodem, że ten obowiązek wpisu został poprzedzony rzetelną analizą, nie zgadywaniem.

Zgłoszenie do Wykazu KSC – najczęściej zadawane pytania

Czym jest samoidentyfikacja w KSC? Samoidentyfikacja to samodzielna ocena, czy organizacja podlega ustawie o Krajowym Systemie Cyberbezpieczeństwa, i przypisanie się do kategorii podmiotu kluczowego, ważnego albo ustalenie, że ustawa jej nie dotyczy. Analizę przeprowadza się samodzielnie, bez wezwania ze strony urzędu.

Do kiedy trzeba dokonać samoidentyfikacji? Okno na samorejestrację w Wykazie KSC trwa od 7 maja do 3 października 2026 roku. Podmioty wpisywane z urzędu – m.in. publiczne i przedsiębiorcy telekomunikacyjni – zostały zarejestrowane wcześniej, do 6 maja 2026 roku.

Czy brak zgłoszenia do 3 października 2026 roku grozi karą? Nie od razu. Kary pieniężne obowiązują dopiero od 3 kwietnia 2028 roku, ale sam obowiązek rejestracji biegnie niezależnie od tego wyłączenia – zwłoka nie usuwa naruszenia przepisów, tylko odracza jego finansowe egzekwowanie.

Czy firma będąca dostawcą podmiotu objętego KSC też podlega ustawie? Nie automatycznie. Sam fakt bycia dostawcą podmiotu kluczowego lub ważnego nie przesądza objęcia ustawą, ale kontrahent może narzucić wymagania bezpieczeństwa w umowie – to typowy mechanizm rozprzestrzeniania obowiązków podmiotów objętych regulacją na resztę łańcucha dostaw.

Czy outsourcing w KSC zwalnia z obowiązków ustawowych? Nie. Outsourcing w KSC – na przykład zlecenie hostingu, chmury czy usługi centrum przetwarzania danych zewnętrznemu dostawcy – nie przenosi odpowiedzialności ustawowej. Podmiot kluczowy zapewnia bezpieczeństwo swoich systemów niezależnie od tego, czy infrastrukturę utrzymuje sam, czy przez podwykonawcę, i musi to nadzorować w ramach zarządzania łańcuchem dostaw.

Jakie narzędzia pomagają w samoidentyfikacji? Kwalifikator MŚP od PARP i walidator UKSC/NIS2 kancelarii Muszyński dają wynik orientacyjny na podstawie samodzielnie wprowadzonych danych. Żadne z nich nie zastępuje analizy prawnej – przy wątpliwościach warto skonsultować wynik z prawnikiem specjalizującym się w KSC.

Podsumowanie

Samoidentyfikacja rozstrzyga się na styku trzech elementów: sektora działalności, wielkości przedsiębiorstwa i przesłanek z art. 5 ustawy – żaden z nich osobno nie daje pewnej odpowiedzi. Błąd popełniony na tym etapie kosztuje więcej niż sama pomyłka w klasyfikacji: prowadzi do zbędnego projektu wdrożeniowego, przeoczonych obowiązków albo dokumentacji, która nie wytrzyma pytania kontrolującego, dlaczego firma zakwalifikowała się akurat tak, a nie inaczej.

Termin na rejestrację w Wykazie KSC mija 3 października 2026 roku, a organizacje, które już dziś nie mają pewności co do własnego statusu, zwykle nie zaczynają też żadnych innych prac wdrożeniowych.

Prowadzimy wdrożenie KSC w sojuszu prawa (Kancelaria Muszyński) i technologii (SECAWA) – od kwalifikacji podmiotu, przez audyt cyberbezpieczeństwa, po plan działań i szkolenia zespołu. Jeśli chcesz ustalić, na czym stoi Twoja organizacja, zapytaj o audyt SZBI.

Umów audyt SZBI: analiza prawna kwalifikacji podmiotu, techniczny przegląd zabezpieczeń i raport z priorytetami działań w jednym opracowaniu.

Zapytaj o audyt SZBI

Kary za brak zgodności z UKSC/NIS2 nie grożą do kwietnia 2028 – brzmi jak dobra wiadomość, ale nią nie jest. Dwuletni okres bez sankcji łatwo pomylić z wrażeniem, że czasu jest jeszcze sporo. A to najgorszy powód, żeby zwlekać z wdrożeniem nowelizacji ustawy (KSC 2.0).

Bo kara to nie jest pierwsze, co się wydarzy. Najpierw przychodzi incydent: przerwana ciągłość działania, klienci, których nie da się obsłużyć, i kontrakty, które odchodzą do lepiej przygotowanej konkurencji.

Dlatego prawdziwy termin, o którym warto myśleć przy wdrożeniu UKSC/NIS2, nie jest zapisany w ustawie. Wyznacza go pierwszy incydent, presja klientów i osobista odpowiedzialność zarządu – a te nie czekają do 2028 roku. Na webinarze o wdrożeniu KSC rozłożyliśmy tę pułapkę na czynniki pierwsze – jeśli chcesz uzyskać dostęp do nagrań i materiałów, wypełnij formularz na tej stronie.

Skąd wziął się dwuletni okres bez kar?

Ustawa przewiduje przejściowy okres, w którym administracyjne kary pieniężne za brak zgodności nie są nakładane. Obejmuje on pierwsze dwa lata obowiązywania przepisów, czyli czas do kwietnia 2028 roku. Dotyczy to również sytuacji, w której podmiot nie zgłosi się w terminie do Wykazu KSC (do 3 października 2026 roku).

Przez pierwsze dwa lata od wejścia ustawy, czyli do kwietnia 2028, kary w ogóle nie będą nakładane. Jest tu wyraźne wyłączenie w naszej ustawie – nie będzie można nałożyć kary finansowej za to, że ktoś nie zgłosi się do wykazu podmiotów KSC do trzeciego października.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Warto jednak oddzielić dwie rzeczy: brak kary od braku obowiązku. Przepisy obowiązują od dnia wejścia ustawy w życie – wyłączona jest wyłącznie możliwość ich finansowego egzekwowania w pierwszym okresie. Terminy na samo wdrożenie (pełne wdrożenie SZBI i podłączenie do systemu S46 do 3 kwietnia 2027 roku) biegną niezależnie od tego wyłączenia.

Odkładanie tematu do 2028 to tak naprawdę jego porzucenie

Głównym skutkiem zwłoki jest to, że organizacja w ogóle nie rozpoczyna prac. Brak zgłoszenia do wykazu jest zwykle objawem szerszego problemu – niepewności co do własnego statusu, która blokuje kolejne kroki. Zwrócił na to uwagę Marcin Serafin:

Jeżeli ktoś się nie zgłosi, to prawdopodobnie nie dlatego, że wie już wszystko, a tylko zapomniał tego zrobić – tylko prawdopodobnie dlatego, że odłożył to i cały czas jeszcze nie do końca jest pewien, czy podlega, w jakim zakresie podlega, a w konsekwencji nie może też rozpocząć realnie prac związanych z wdrożeniem.  I tak naprawdę tu jest całe clou.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Odłożony zostaje cały proces przygotowania organizacji – od kwalifikacji, przez inwentaryzację systemów, po procedury reagowania. Warto przy tym pamiętać, że zgodność nie jest stanem domyślnym: jak zaznaczono w rozmowie, większość organizacji dopiero wymaga dostosowania do NIS2 i KSC, a bycie zgodnym „z automatu” jest wyjątkiem, nie regułą.

Ryzyko kary rośnie wraz z ryzykiem incydentu

Kara administracyjna rzadko pojawia się w oderwaniu od zdarzenia. W praktyce jest następstwem incydentu – utraty danych albo przerwania ciągłości działania – a nie samego uchybienia formalnego. Im mniej przygotowana organizacja, tym większe prawdopodobieństwo, że do takiego zdarzenia dojdzie, i tym poważniejsze jego skutki.

Na webinarze o KSC padło istotne zastrzeżenie: głośne, ujawniane publicznie ataki ransomware to jedynie wierzchołek góry lodowej. Pod nim znajdują się organizacje, które w wyniku incydentów poniosły wymierne, liczone w milionach straty, choć nigdy nie trafiły do nagłówków. Z tej perspektywy data 2028 nie ma znaczenia dla oceny ryzyka – zdarzenia nie kierują się kalendarzem ustawodawcy.

Do tego dochodzi wymiar osobisty. Nowelizacja czyni kierownictwo odpowiedzialnym za cyberbezpieczeństwo, a delegowanie zadań do działu IT nie zdejmuje z niego tej odpowiedzialności – to zresztą zmienia też pozycję samej osoby odpowiedzialnej za bezpieczeństwo, o czym pisaliśmy szerzej w artykule „Jak UKSC/NIS2 wpływa na rolę CISO?”.

Dlaczego kary nie są głównym narzędziem egzekwowania zgodności z UKSC?


Sankcje nie są mechanizmem, na którym ustawodawca opiera skuteczność regulacji. Gdyby celem było wymuszanie zgodności groźbą kar, konstrukcja przepisów wyglądałaby inaczej.

Ustawodawca nie myśli o tym, że kary zmuszą kogoś do wdrożenia albo nie wdrożenia – bo jeżeli tak by było, to wdrożono by automatyczne skanowanie wszystkich, a nie postępowania administracyjne  i tak dalej. Natomiast ustawodawca myśli, że jeżeli będziemy zajmować się zagadnieniami, będziemy myśleć o tym, w jaki sposób się dostosować, będziemy analizować ryzyko, które się z nami wiąże i w związku z tym dostosujemy się i będzie to pewien proces, a nie projekt jednorazowy, który się skończy.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Celem regulacji jest skłonienie organizacji do zarządzania ryzykiem w sposób ciągły. Cyberbezpieczeństwo traktowane jako stały proces, a nie jednorazowy projekt zamknięty wpisem do wykazu, realnie ogranicza prawdopodobieństwo incydentu. To właśnie ta zmiana podejścia, a nie sama zgodność formalna, jest efektem, o który chodzi w UKSC.

Rynek egzekwuje wymagania szybciej niż ustawodawca

Zgodność z UKSC/NIS2 jest coraz częściej weryfikowana nie przez organy, lecz przez kontrahentów. Zwrócił na to uwagę Jerzy Muszyński, radca prawny:

Presja związana z KSC nie wynika z terminów i kar,  ale wynika z tego, że – w mojej ocenie – te wymagania zaczynają przechodzić przez łańcuch dostaw, umowy, audyty klientów, zapytania ofertowe i odpowiedzialność kierownictwa.  Bo w zasadzie to po raz pierwszy w kontekście takim szerszym możemy mówić o tym, że zarząd spółek ma być aktywnym podmiotem uczestniczącym w bieżącym zarządzaniu cyberbezpieczeństwem w strukturach firmy.
Jerzy Muszyński, radca prawny SECAWA

Potwierdza to doświadczenie z RODO. Przez osiem lat obowiązywania przepisów w Polsce nałożono około stu kar finansowych, a mimo to poziom bezpieczeństwa wyraźnie wzrósł – wymusiły to nie sankcje, ale wymagania rynku.

Przy UKSC mechanizm jest ten sam: podmiot objęty ustawą musi zarządzać bezpieczeństwem całego łańcucha dostaw, więc przenosi wymagania na swoich dostawców drogą umowną. Organizacja, która nie spełnia standardu, nie otrzyma grzywny od państwa, ale może utracić kontrakt – a to następuje na długo przed 2028 rokiem.

Jak wykorzystać czas na wdrożenie wymogów UKSC?

Czas do wejścia sankcji warto traktować jako przestrzeń na spokojne, udokumentowane wdrożenie, prowadzone bez presji ostatniej chwili. W pierwszej kolejności sensowne są cztery działania:

→ samoidentyfikacja z pozostawionym śladem dowodowym – ustalenie, czy i jako jaki podmiot organizacja podlega przepisom,
→ inwentaryzacja krytycznych systemów i weryfikacja kopii zapasowych danych, od których zależy ciągłość działania,
→ opracowanie i przetestowanie procedury reagowania na incydent,
→ plan wdrożenia w horyzoncie 30/60/90 dni, gotowy do przedstawienia zarządowi.

Podpowiadamy, jak podejść do wdrożenia KSC – od kwalifikacji podmiotu, przez audyt prawny i techniczny, po plan działań i edukację zespołu. Jeśli chcesz ustalić, na czym stoi Twoja organizacja, opisz nam krótko sytuację, a wskażemy pierwszy krok.

Zapytaj o wdrożenie KSC w Twojej organizacji

KSC nie tyle dokłada CISO nowych obowiązków, co zmienia jego rolę w organizacji. Budowanie odporności cyfrowej to przecież coś, co dojrzałe firmy robią od dawna – wiele z nich wdrożyło procedury bezpieczeństwa, wyznaczyło odpowiedzialne osoby, systematycznie prowadziło dopasowane i realistyczne symulacje phishingowe czy organizowało szkolenia z cyberbezpieczeństwa jeszcze zanim pojawiła się nowelizacja.

To nie nowy obowiązek techniczny podnosi dziś rangę roli CISO, lecz odpowiedzialność, która spadła na zarząd. Nowelizacja ustawy o KSC, wdrażająca dyrektywę NIS2, czyni kierownictwo osobiście odpowiedzialnym za cyberbezpieczeństwo.

O tym, jak ta zmiana wygląda w praktyce, rozmawialiśmy na webinarze z Marcinem Serafinem – specjalistą prawa cyfrowego i partnerem kancelarii Sterberg – oraz Jerzym Muszyńskim, radcą prawnym prowadzącym własną kancelarię. Rozmowę moderował Maciej Kołtoński, dzięki czemu nie zabrakło perspektywy biznesowej. A jeśli chcesz obejrzeć całe nagranie, wypełnij formularz na tej stronie.

Co realnie zmienia KSC w pozycji CISO?

KSC zmienia pozycję CISO – z osoby wykonującej zadania techniczne w partnera zarządu, który osobiście odpowiada za cyberbezpieczeństwo.

Do tej pory bezpieczeństwo bywało traktowane jak temat działu IT. Nowelizacja przesuwa ten ciężar wyżej, na sam szczyt organizacji: to kierownictwo zatwierdza analizę ryzyka, zapewnia budżet i ma obowiązek własnego szkolenia, a przekazanie zadań do IT nie zdejmuje z niego odpowiedzialności.

Jak podkreślił podczas webinaru radca prawny Jerzy Muszyński:

Po raz pierwszy w kontekście takim szerszym możemy mówić o tym, że […] zarząd spółek ma być aktywnym podmiotem uczestniczącym w bieżącym zarządzaniu cyberbezpieczeństwem w strukturach firmy.
Jerzy Muszyński, radca prawny w SECAWA

Zarząd potrzebuje CISO jako tłumacza ryzyka

Zarząd, który osobiście odpowiada za cyberbezpieczeństwo, siłą rzeczy musi mieć kogoś, kto rozumie ryzyko, potrafi nim zarządzać i przełoży je na język decyzji. To z tej zależności bierze się nowa pozycja CISO.

Marcin Serafin opisał ten mechanizm wprost:

W momencie, kiedy nasi członkowie zarządu mają swoje obowiązki w zakresie regularnego doszkalania się, podejmowania decyzji, nadzorowania całego tego systemu myślenia o cyberbezpieczeństwie, no to oni siłą rzeczy zaczynają musieć korzystać z kogoś, kto im tę rzeczywistość będzie tłumaczył. Kto realnie będzie ich wspierał, a nie tylko zastępował.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Innymi słowy: CISO przestaje być wykonawcą zleceń, a staje się doradcą, na którego analizie zarząd opiera własne decyzje – i własną odpowiedzialność.

CISO staje się nieodłączną częścią biznesu

KSC 2.0 kończy z traktowaniem cyberbezpieczeństwa jako osobnego świata, oderwanego od biznesu. Dziś systemy, dane i narzędzia to już jest biznes – nie jego dodatek.

Mam nadzieję, że skończy się problem wielu CISO, którzy byli pozostawieni sobie na zasadzie: róbcie te swoje, dłubcie w tych swoich urządzeniach, analizujcie te swoje raporty, ale nam nie przeszkadzajcie w biznesie. To jest rzecz, która musi się skończyć – bo ten biznes to już jest to oprogramowanie i te wszystkie narzędzia.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Dla organizacji oznacza to, że bezpieczeństwo nie jest już kosztem na uboczu, lecz warunkiem ciągłości działania.

Nie każdy jest zadowolony z tego ,,awansu”

Wzrost znaczenia CISO ma swoją cenę – bliską, wymagającą współpracę z zarządem. Nie każdy specjalista marzył o tym, by tłumaczyć ryzyko menedżerom i zasiadać przy stole decyzyjnym. „To jest pewnego rodzaju wzrost znaczenia roli CISO wewnątrz organizacji (…). CISO jako partner dla zarządu nie jest zostawiony sam sobie.” – powiedział Marcin Serafin podczas webinaru o KSC.

Plus jest jednak taki: CISO przestaje pracować w próżni. Zyskuje wsparcie zarządu, ale w zamian musi poświęcić więcej czasu na wyjaśnianie, na czym konkretnie polegają zagrożenia i jak je rozwiązać.

Dlaczego nie ma jednej, uniwersalnej definicji roli CISO?

CISO w jednej organizacji nie jest równy CISO w innej – te role bywają skrajnie różne. KSC doprecyzowuje obowiązki, ale nie narzuca jednego modelu obsadzenia tej funkcji.

CISO w organizacji nie [jest] równy innemu CISO w innej organizacji. Te role rzeczywiście są skrajnie różne.
Marcin Serafin, specjalista prawa cyfrowego, partner kancelarii Sterberg

Różnice w roli CISO dotyczą zasobów, samodzielności i prawa do decyzji – jedni działają niezależnie, inni są zależni od zarządu na każdym kroku.

Wniosek dla decydenta: zanim obsadzisz tę rolę, zarząd musi rozstrzygnąć zakres uprawnień, budżet i samodzielność CISO.

Co KSC oznacza w praktyce – dla zarządu i dla CISO

Realna zmiana następuje, gdy CISO dostaje dostęp do zarządu, budżet i prawo do decyzji – a nie sam tytuł.

W praktyce oznacza to trzy rzeczy:

→ dla zarządu: szkolenia, testy socjotechniczne i testy penetracyjne, zatwierdzanie analizy ryzyka i budżet na bezpieczeństwo to obowiązek, nie gest dobrej woli,
→ dla CISO: więcej czasu na tłumaczenie ryzyka językiem biznesu niż na same narzędzia,
→ dla organizacji: jasna ścieżka, do kogo trafia decyzja i kto za nią odpowiada.

Podsumowanie

Nowa pozycja CISO bierze się z odpowiedzialności, którą KSC nałożył na zarząd.

To zmiana, na której mogą zyskać obie strony:

Warunek jest jeden: rola CISO musi dostać zasoby, budżet i prawo do decyzji.

Cała rozmowa – z konkretnymi przykładami, terminarzem wdrożenia i sesją pytań jest dostępna na życzenie. Zapisz się, a otrzymasz dostęp do nagrania webinaru oraz komplet materiałów (prezentację i walidator UKSC/NIS2).

Bezpłatny webinar. Jak podejść do wdrożenia KSC rozsądnie: tak, żeby nie wziąć na siebie wszystkiego naraz, ale też zdążyć z obowiązkami w terminie.

Odbierz materiały i nagranie z webinaru!

Strategia Cyfryzacji Polski do 2035 to pierwszy w historii kraju kompleksowy dokument, który porządkuje transformację cyfrową państwa wokół jednego celu – poprawy jakości życia obywateli dzięki cyfryzacji. Opracowało ją Ministerstwo Cyfryzacji, a w październiku 2024 roku trafiła do konsultacji społecznych jako projekt zastępujący Program Zintegrowanej Informatyzacji Państwa.

Dokument organizuje działania wokół czterech obszarów horyzontalnych:

Uzupełniają je obszary szczegółowe rozpisane na trzy płaszczyzny: państwo (m.in. e-usługi, tożsamość cyfrowa, chmura obliczeniowa, otwarte dane), ludzie (bezpieczna przestrzeń cyfrowa) oraz gospodarka i technologie (m.in. sztuczna inteligencja). Cyberbezpieczeństwo pełni w tej strukturze rolę fundamentu przecinającego pozostałe obszary, od niego zależy wiarygodność wszystkich e-usług.

Strategia wyznacza rosnącą ścieżkę nakładów na cyfryzację: z ok. 0,8% PKB w 2025 roku do 2% PKB w 2030 roku i docelowo 5% PKB w 2035 roku, co odpowiada rzędowi około 100 mld zł rocznie po 2030 roku.

Zespoły bezpieczeństwa odczują skutki Strategii bardzo konkretnie. Zapowiada ona:

W dalszej części wyjaśniamy, czym jest Strategia, co obejmuje, jaki ma harmonogram i jak przełożyć jej zapisy na priorytety zespołów bezpieczeństwa.

Czym jest Strategia Cyfryzacji Polski do 2035?

Strategia Cyfryzacji Polski do 2035 to ponadsektorowy dokument strategiczny w dziedzinie informatyzacji państwa, który po raz pierwszy ujmuje cyfryzację kraju całościowo – nie jako oddzielny resort, lecz jako proces przenikający niemal wszystkie obszary funkcjonowania społeczeństwa, państwa i gospodarki. Nadrzędnym celem dokumentu jest poprawa jakości życia obywateli poprzez cyfryzację do 2035 roku.

Strategię przygotowało Ministerstwo Cyfryzacji we współpracy z innymi urzędami administracji rządowej oraz z udziałem interesariuszy społecznych i biznesowych. Zastępuje ona Program Zintegrowanej Informatyzacji Państwa i ma stanowić podstawę strategiczną dla wydatkowania europejskich funduszy przeznaczonych na cyfryzację, wyznaczając kierunek negocjacji na nadchodzącą perspektywę finansową.

Cele dokumentu są rozwijane w powiązanych dokumentach sektorowych, między innymi w:

Wniosek dla kadry zarządzającej bezpieczeństwem nasuwa się sam: ogólne zapisy Strategii będą uszczegóławiane w regulacjach sektorowych, które wprost wpłyną na codzienną pracę zespołów IT i bezpieczeństwa. Śledzenie tych dokumentów to nie formalność, lecz źródło konkretnych obowiązków.

Dlaczego powstała Strategia?

Strategia Cyfryzacji Państwa powstała, by uporządkować rozwój cyfrowych usług, które dotąd budowano w oderwaniu od siebie, bez wspólnego kierunku. Jak ujął to wiceminister cyfryzacji Dariusz Standerski, dokument „kończy z tą epoką fragmentarycznego rozwoju cyfrowych usług” i po raz pierwszy „definiuje nasz cyfrowy plan na najbliższą dekadę”.

Obieramy w niej konkretne cele – za dziesięć lat to Polska będzie liderem cyfrowego rozwoju Europy. Do 2030 roku 100% kluczowych usług publicznych będzie dostępna cyfrowo, 85% Polaków będzie posiadać podstawowe kompetencje cyfrowe do 2035 roku, a na cyfryzację przeznaczymy 5% PKB.
Dariusz Standerski, Wiceminister Cyfryzacji

Dokument odpowiada na konkretną ambicję: Polska ma stać się liderem cyfryzacji w Unii Europejskiej, a nie pozostawać odbiorcą cudzych technologii. Temu służą mierzalne cele z terminami i wskaźnikami, między innymi:

Strategia jasno definiuje też, czego cyfryzacja robić nie powinna: uzależniać, dezinformować ani wykluczać. Ochrona praw cyfrowych obywateli, ochrona dzieci i młodzieży przed szkodliwymi mechanizmami platform oraz budowanie suwerenności technologicznej są w niej traktowane na równi z rozwojem e-usług. Całość wpisuje się w unijną agendę „Droga ku Cyfrowej Dekadzie” do 2030 roku.

Co obejmuje Strategia Cyfryzacji Polski?

Strategia porządkuje cyfryzację kraju w dwóch wymiarach: czterech obszarach horyzontalnych, które stanowią fundament transformacji, oraz trzech płaszczyznach mieszczących obszary szczegółowe.

Cztery obszary horyzontalne

To punkt wyjścia całej Strategii – obszary, których stan warunkuje powodzenie reszty:

Trzy płaszczyzny: Państwo, Ludzie, Gospodarka i technologie

Pozostałe cele Strategii pogrupowano w 17 obszarach w ramach trzech płaszczyzn:

Na jakich zasadach opiera się Strategia?

Strategia deklaruje zasady, według których ma przebiegać cyfryzacja – i to one wyznaczają granice wdrożeń:

Cele Strategii Cyfryzacji Polski

Strategia przekłada wizję na mierzalne cele, których wartości docelowe wyznaczono w większości na 2035 rok. Najważniejsze z nich:

Harmonogram Strategii Cyfryzacji Polski

Strategia rozkłada cele w czasie, od najpilniejszych zmian instytucjonalnych w latach 2025-2026 po docelowy rok 2035. Kluczowe kamienie milowe wynikające z tabeli wskaźników:

Strategia ma charakter wieloletni, dlatego przewiduje stały cykl zarządzania, czyli przegląd dokumentu co 2 lata oraz monitoring raz w roku, ze sprawozdaniem dla Komitetu do spraw Cyfryzacji i publikacją na stronie Ministerstwa Cyfryzacji.

Podsumowanie

Strategia Cyfryzacji Państwa do 2035 roku po raz pierwszy spina rozwój cyfrowy Polski w jeden, mierzalny plan, w którym cyberbezpieczeństwo jest jednym z czterech fundamentów warunkujących powodzenie reszty.

Dla zespołów bezpieczeństwa nie jest to zapowiedź konkretnych zmian: centralnej instytucji cyberbezpieczeństwa na bazie PCOC, obowiązkowych CSIRT-ów sektorowych, mechanizmu identyfikacji i ograniczania dostawców wysokiego ryzyka, krajowego planu migracji do kryptografii postkwantowej oraz powiązania przedsięwzięć IT z Architekturą Informacyjną Państwa.

Te kierunki zyskują moc wiążącą poprzez powiązane regulacje, przede wszystkim nowelizację ustawy o KSC wdrażającą dyrektywę NIS2 i ustawę o krajowym systemie certyfikacji cyberbezpieczeństwa. Im wcześniej organizacja przełoży zapisy Strategii na własną mapę obowiązków, tym mniejsze ryzyko, że dostosowanie do nowych wymogów stanie się działaniem awaryjnym zamiast zaplanowanym.

Krajowy System Cyberbezpieczeństwa (KSC) to system instytucji, przepisów i procedur, które mają chronić Polskę przed zagrożeniami w cyberprzestrzeni. Jego zasady określa ustawa o krajowym systemie cyberbezpieczeństwa, a od 3 kwietnia 2026 roku obowiązuje jej obszerna nowelizacja – KSC 2.0.

Nowe przepisy wdrażają unijną dyrektywę NIS2 i zastępują dotychczasowe regulacje obowiązujące od sierpnia 2018 roku. Prace nad projektem nowelizacji ustawy prowadziło Ministerstwo Cyfryzacji, a efektem jest rozszerzenie systemu o nowe sektory gospodarki i szereg obowiązków dla tysięcy firm oraz instytucji. Objęte podmioty muszą między innymi zarejestrować się w Wykazie KSC, czyli urzędowym wykazie podmiotów kluczowych i ważnych, oraz wdrożyć system zarządzania bezpieczeństwem informacji (SZBI). Za zaniedbania grożą dotkliwe kary pieniężne.

Czym jest Krajowy System Cyberbezpieczeństwa?

Krajowy System Cyberbezpieczeństwa (KSC) to ogół podmiotów odpowiedzialnych za bezpieczeństwo sieci i systemów informatycznych w Polsce: od instytucji państwowych, przez wyspecjalizowane zespoły reagowania na incydenty, po firmy i urzędy świadczące usługi istotne dla gospodarki. Jego celem jest zapewnienie ciągłości działania kluczowych usług oraz szybka reakcja na cyberzagrożenia.

Podstawą prawną systemu jest ustawa o Krajowym Systemie Cyberbezpieczeństwa, uchwalona w 2018 roku i gruntownie znowelizowana w 2026 roku. Prace nad projektem nowelizacji ustawy wynikały z dwóch powodów:

  1. Konieczność wdrożenia unijnej dyrektywy NIS2, która podniosła wymagania dla państw członkowskich.
  2. Rosnąca skala zagrożeń w cyberprzestrzeni, na którą dotychczasowe regulacje przestały wystarczać.

Nowe przepisy zmieniają system w trzech zasadniczych obszarach: rozszerzają katalog firm i instytucji objętych ustawą, precyzują ich obowiązki w zakresie zarządzania ryzykiem oraz wprowadzają realne sankcje za ich niewykonanie.

Czy da się wdrożyć KSC w tydzień?

Zapisz się na bezpłatny webinar!

Kogo obowiązują nowe przepisy? Podmioty kluczowe i podmioty ważne

Nowelizacja KSC porządkuje zakres podmiotów objętych ustawą według dwóch kategorii: podmiotów kluczowych i podmiotów ważnych. O przynależności decyduje połączenie dwóch kryteriów: sektora działalności (wskazanego w załącznikach do ustawy) oraz wielkości organizacji, liczonej z uwzględnieniem firm powiązanych i partnerskich.

Podmiot kluczowy a podmiot ważny

Podmioty kluczowe to organizacje, których zakłócenie działania miałoby najpoważniejsze skutki dla państwa i gospodarki, na przykład w energetyce, bankowości, ochronie zdrowia, transporcie czy infrastrukturze cyfrowej. Zaliczają się tu również dotychczasowi operatorzy usług kluczowych, którzy działali już pod starą ustawą. Podmioty ważne obejmują pozostałe branże dodane przez nowelizację, w których incydent jest poważny, lecz mniej dotkliwy w skali kraju. Podział ten przekłada się na intensywność nadzoru: podmioty kluczowe podlegają ściślejszej kontroli niż podmioty ważne.

Jakie branże i podmioty obejmuje ustawa?

Nowelizacja KSC znacząco poszerzyła katalog branż objętych krajowym systemem cyberbezpieczeństwa.

Obok energetyki, finansów i ochrony zdrowia ustawa obejmuje teraz między innymi gospodarowanie odpadami, produkcję i dystrybucję żywności oraz chemikaliów, usługi pocztowe, sektor kosmiczny i zarządzanie usługami ICT.

Ustawa nie rozróżnia przy tym sektora prywatnego i publicznego, obowiązki obejmują oba.

Po stronie państwa są podmioty administracji publicznej oraz podmioty samorządowe objęte ustawą, w tym urzędy gmin pełniące rolę podmiotu publicznego sektorowego. Po stronie rynku ustawie podlegają firmy produkcyjne i usługowe oraz dostawcy usług cyfrowych.

Wszystkie te organizacje łączy jedna zasada: samoidentyfikacja. To podmiot sam ocenia, czy spełnia kryteria sektora i wielkości, a następnie zgłasza się bez czekania na decyzję urzędu. Jeśli profil działalności wskazuje na status podmiotu kluczowego lub ważnego, obowiązek rejestracji powstaje automatycznie.

Jakie obowiązki nakłada KSC?

Podmioty kluczowe mają obowiązek wdrożenia spójnego systemu ochrony swoich sieci i systemów informatycznych, a podmioty ważne realizują te same wymogi ustawowe w nieco lżejszym zakresie.

Sednem obowiązków podmiotów kluczowych jest wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), czyli zestawu polityk, procedur i zabezpieczeń, które organizacja stosuje, dokumentuje i regularnie aktualizuje.

Na ten system składa się kilka filarów:

To wybrane filary szerszego katalogu środków, których wymaga ustawa o KSC. Pełny zakres obejmuje dodatkowo m.in. kryptografię i zabezpieczenie komunikacji, monitorowanie i testowanie zabezpieczeń, obsługę podatności oraz bezpieczeństwo fizyczne i bezpieczeństwo personelu.

Zgłaszanie incydentów i rola zespołów CSIRT

Obok ochrony prewencyjnej obowiązki ustawowe obejmują zgłaszanie incydentów. Każdy podmiot musi prowadzić procedury obsługi incydentów, a poważne zdarzenia raportować w określonych terminach do właściwego zespołu CSIRT.

CSIRT to zespoły reagowania na incydenty bezpieczeństwa komputerowego. W Polsce działają trzy zespoły poziomu krajowego, z których największą rolę wobec firm i samorządów pełni CSIRT NASK. Nowelizacja rozszerzyła ich kompetencje i dodała możliwość tworzenia CSIRT sektorowych, wspierających podmioty w konkretnych branżach. Zgłoszenie incydentu do CSIRT uruchamia wsparcie w analizie zdarzenia i ograniczaniu jego skutków, a zespół CSIRT może też ostrzegać inne podmioty przed powiązanym zagrożeniem.

Jak wpisać się do Wykazu KSC?

Każdy podmiot kluczowy i ważny po przeprowadzeniu samoidentyfikacji musi zgłosić się do urzędowego rejestru. Wykaz KSC to prowadzony przez Ministerstwo Cyfryzacji wykaz podmiotów kluczowych i ważnych, na podstawie którego państwo wie, kto odpowiada za świadczenie usług kluczowych i komu podlega obowiązek nadzoru.

Ustawa przewiduje dwa tryby wpisu podmiotu:

  1. Część organizacji trafia do rejestru z urzędu, czyli z inicjatywy ministra. Dotyczy to przede wszystkim podmiotów publicznych, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania oraz dawnych operatorów usług kluczowych wpisanych wcześniej do wykazu usług kluczowych.
  2. Pozostałe podmioty, głównie prywatne, składają wniosek samodzielnie.

Samorejestracja odbywa się jako rejestracja online w aplikacji Wykaz KSC. Logowanie następuje przez Węzeł Krajowy, czyli profil zaufany, e-dowód, bankowość elektroniczną lub kwalifikowany podpis elektroniczny. Wniosek składa i podpisuje kierownik podmiotu albo osoba przez niego upoważniona. Po wpisie podmiot podłącza się do systemu S46, centralnego kanału wymiany informacji i ostrzeżeń o zagrożeniach, pełniącego rolę cyfrowego cyber hubu krajowego systemu.

Najważniejszy termin to 3 października 2026 roku. Do tego dnia nowo objęte podmioty muszą przeprowadzić samoidentyfikację i złożyć wniosek o wpis.
Jerzy Muszyński, Radca Prawny SECAWA

Pełny wykaz podmiotów obowiązanych do rejestracji wynika z załączników do ustawy oraz kryteriów wielkościowych.

Jak dokonać samoidentyfikacji?

Samoidentyfikacja polega na samodzielnym sprawdzeniu, czy organizacja podlega ustawie, i przypisaniu się do właściwej kategorii. Ministerstwo Cyfryzacji opisuje ją w trzech krokach, opartych na art. 5 oraz załącznikach nr 1 i nr 2 do ustawy.

Po tej analizie podmiot ustala jeden z trzech wyników: jest podmiotem kluczowym, jest podmiotem ważnym albo nie podlega ustawie. Dwie pierwsze odpowiedzi rodzą obowiązek wpisu do Wykazu KSC.

Odpowiedzialność kierownika i kary za naruszenia – KSC

KSC 2.0 przenosi odpowiedzialność za cyberbezpieczeństwo na sam szczyt organizacji. To kierownik podmiotu, czyli zarząd, dyrektor czy wójt, osobiście odpowiada za realizację obowiązków ustawowych. Musi zatwierdzić analizę ryzyka i dobór zabezpieczeń, zapewnić na nie budżet oraz sam przejść szkolenie z cyberbezpieczeństwa. Przekazanie zadań działowi IT nie zdejmuje z niego tej odpowiedzialności.

Realizację obowiązków weryfikuje audyt. Pierwszy audyt SZBI podmiot kluczowy musi przeprowadzić w ciągu 24 miesięcy od objęcia ustawą, czyli najpóźniej do 3 kwietnia 2028 roku, a kolejne co najmniej raz na trzy lata. Audyt sprawdza, czy system zarządzania bezpieczeństwem informacji działa w praktyce, a nie tylko na papierze.

Przygotuj swoją organizację na KSC

Umów Audyt SZBI

Za niewykonanie obowiązków grożą sankcje za naruszenia w dwóch wymiarach.

  1. Organizacji można nałożyć administracyjne kary pieniężne, między innymi za brak wdrożenia SZBI lub brak rejestracji w wykazie.
  2. Odrębne kary pieniężne dotykają kierownika i mogą sięgnąć równowartości 100% jego wynagrodzenia. Istotny jest jednak harmonogram: kary za większość obowiązków administracyjnych mogą być nakładane dopiero po 3 kwietnia 2028 roku, co daje podmiotom czas na dostosowanie.

Podsumowanie

Krajowy System Cyberbezpieczeństwa po nowelizacji z 3 kwietnia 2026 roku obejmuje znacznie szerszy krąg organizacji niż wcześniej i dzieli je na podmioty kluczowe oraz podmioty ważne. Każda firma i instytucja z objętych sektorów musi sama sprawdzić swój status (samoidentyfikacja), wpisać się do Wykazu KSC do 3 października 2026 roku, wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) oraz zgłaszać incydenty do zespołów CSIRT. Odpowiedzialność za te obowiązki spoczywa osobiście na kierowniku podmiotu, a od 3 kwietnia 2028 roku za ich zaniedbanie grożą realne kary pieniężne.

Im wcześniej organizacja rozpocznie przygotowania, tym łatwiej spełni wymogi ustawy bez pośpiechu i ryzyka sankcji. Dobrym punktem wyjścia jest audyt SZBI SECAWA. Wraz z naszym radcą prawnym Jerzym Muszyńskim łączymy audyt prawny SZBI i kwalifikację podmiotu pod ustawę z technicznym audytem cyberbezpieczeństwa, dzięki czemu otrzymujesz pełny obraz luk prawnych i technicznych oraz czytelny raport z rekomendacjami i priorytetami działań, który posłuży także jako dowód należytej staranności podczas kontroli organu nadzorczego.

Analiza incydentów zgłoszonych do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) w 2025 roku rysuje niepokojący obraz: przeszło 22 400 zgłoszonych naruszeń  ochrony danych osobowych to sygnał, że dotychczasowe modele zarządzania ryzykiem stają się niewydolne. Ponadto zespół CERT Polska obsłużył w 2025 roku ponad 250 000 incydentów bezpieczeństwa (ponad 600 000 zgłoszeń, z których około 250 000 zidentyfikowano jako incydenty). Stanowi to wynik ponad 2 razy większy niż w roku 2024. 

W dobie pełnej implementacji  AI Act  (Rozporządzenia o sztucznej inteligencji) oraz ewolucji zagrożeń, cyberbezpieczeństwo przestaje być domeną działów IT, a staje się kluczowym elementem odpowiedzialności prawnej zarządów.

Modelowanie ryzyka w świetle Art. 15 AI Act

Choć wiele organizacji korzysta z systemów AI, które nie kwalifikują się jako systemy wysokiego ryzyka, to właśnie Art. 15 AI Act wyznacza dziś standardy ,,należytej staranności” w analizie ryzyka. Zgodnie z tym przepisem, systemy powinny być odporne na: 

W praktyce prawniczej coraz częściej rekomendujemy stosowanie frameworku z Art. 15 AI Act jako elementu oceny skutków dla ochrony danych (DPIA). Incydenty z 2025 r. pokazały, że nieautoryzowane wykorzystanie inteligentnych asystentów do transkrypcji spotkań bez zgody uczestników to nie tylko naruszenie prywatności, ale potencjalny delikt prawny. 

Tożsamość jako parametr prawny (Art. 32 RODO)

Statystyki są bezlitosne: 1/3 naruszeń w ubiegłym roku wynikała z przejęcia poświadczeń. Z punktu widzenia administratora danych (ADO), brak wdrożenia wieloskładnikowego uwierzytelniania (MFA) w 2025 roku może być interpretowany jako niedopełnienie obowiązku wdrożenia odpowiednich środków technicznych zgodnie z Art. 32 RODO. 

Przykład lekarza, pod którego podszyto się w celu wyłudzenia recept na opioidy, pokazuje, że skutki prawne naruszenia wykraczają poza administracyjne kary pieniężne – w grę wchodzi odpowiedzialność cywilna za szkody na osobie. 

Checklista AI Act dla CISO na 2026 rok:
Systemy AI wysokiego ryzyka

Pobierz bezpłatną checklistę

„Security by Design” – od kodu do zgodności 

„Bezpieczeństwo nie jest funkcją, a konsekwencją decyzji podejmowanych przy pisaniu kodu”. To stwierdzenie znajduje silne oparcie w zasadzie Privacy by Design (Art. 25 RODO). Ponad 75% incydentów IT stanowiących naruszenia danych wynikało z błędów w aplikacjach (np. SQL Injection). Dla prawnika oznacza to, że audyt zgodności musi obejmować nie tylko dokumentację (polityki, rejestry), ale również weryfikację procesów wytwórczych oprogramowania i regularne przeglądy kodu. 

Wyzwania weryfikacji kadr: NIS-2 i UKSC 

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (uKSC) oraz wytyczne NIS-2 wprowadzają nowe rygory weryfikacji personelu. Warto zwrócić uwagę na Rozporządzenie wykonawcze 2024/20690, które w pkt 10.2 sugeruje weryfikację przeszłości pracowników w określonych przypadkach. 

Pojawia się tu jednak istotny zbieg z prawem pracy. Wyrok WSA (II SA/Wa 190/22) wyznacza granice dopuszczalności monitorowania aktywności pracowników w mediach społecznościowych. Administratorzy muszą balansować między obowiązkiem zapewnienia bezpieczeństwa a ochroną prywatności pracownika. 

Podsumowanie 

Rok 2025 udowodnił, że „nie potrzeba dużej dziury, by zatopić statek – wystarczy taka, o której nikt nie wie”. Skuteczna ochrona danych w 2026 roku wymaga porzucenia „papierowej zgodności” na rzecz realnego zarządzania podatnościami i włączania cyberbezpieczeństwa w strukturę KPI organizacji. 

Radca prawny specjalizujący się w prawie nowych technologii i cyberbezpieczeństwie (AI Act, RODO, NIS-2, DORA). Wspiera zarządy, IT i HR we wdrożeniach compliance, audytach oraz umowach IT/IP. Poznaj możliwości współpracy: Radca Prawny Jerzy Muszyński

Jerzy Muszyński

Choć niektóre przepisy AI Act obowiązują już od 2025 roku – w tym zakazy nieakceptowalnych praktyk oraz regulacje dotyczące ogólnych modeli AI (GPAI) – to kluczowy moment dla wielu organizacji przypada na 2 sierpnia 2026 roku. Od tego dnia wszystkie podmioty działające na terenie Unii Europejskiej, które oferują lub wykorzystują systemy sztucznej inteligencji wysokiego ryzyka, muszą spełnić szczegółowe wymagania wynikające z AI Act.

Obowiązki te nie ograniczają się do działów prawnych – obejmują CISO, zespoły IT, bezpieczeństwa, compliance i zarządy. Zaniedbania mogą prowadzić do surowych sankcji: do 35 mln euro lub 7% globalnego obrotu za stosowanie zakazanych praktyk (np. manipulacja behawioralna, scoring społeczny) oraz do 15 mln euro lub 3% za inne niezgodności.

W tym artykule pokazujemy, jak osiągnąć zgodność z AI Act – z naciskiem na działania kluczowe w 2026 roku.

Czym jest AI Act i kogo dotyczy?

Czym jest AI Act?

AI Act to rozporządzenie przyjęte przez Unię Europejską w celu stworzenia jednolitych zasad dotyczących projektowania, wdrażania i nadzorowania systemów sztucznej inteligencji. Obowiązuje bezpośrednio we wszystkich państwach członkowskich – podobnie jak RODO – i obejmuje zarówno firmy działające na terenie UE, jak i te spoza niej, jeśli ich systemy AI oddziałują na użytkowników w Unii.

AI Act nie ogranicza się do klasycznych modeli AI. Obejmuje również nowoczesne systemy generatywne, agentów autonomicznych, a nawet narzędzia wykorzystywane jedynie wewnętrznie (np. do HR, finansów czy IT). W praktyce, jeśli Twoja organizacja korzysta z jakiegokolwiek rozwiązania AI – nawet eksperymentalnie – to przepisy mają zastosowanie.

Jakie są główne cele AI Act?

AI Act ma jeden nadrzędny cel – zwiększyć zaufanie do sztucznej inteligencji. Robi to poprzez konkretne wymogi dotyczące bezpieczeństwa systemów, przejrzystości ich działania oraz ochrony praw podstawowych użytkowników. W praktyce oznacza to m.in.:

Co obejmują przepisy AI Act i kogo dotyczą?

Rozporządzenie AI Act obejmuje szeroki zakres podmiotów uczestniczących w cyklu życia systemów sztucznej inteligencji, niezależnie od tego, czy działają na terenie Unii Europejskiej, czy oferują swoje usługi użytkownikom w UE. Obowiązki wynikające z AI Act dotyczą w szczególności:

Zakres obowiązków zależy od poziomu ryzyka przypisanego danemu systemowi – im wyższe ryzyko, tym bardziej rygorystyczne wymagania w zakresie nadzoru, dokumentacji i zgodności. Szczegółowo o systemach wysokiego ryzyka przeczytasz w kolejnej części artykułu.

Checklista AI Act dla CISO:
Systemy AI wysokiego ryzyka

Sprawdź, jak spełnić wymagania na 2026 rok

Harmonogram wdrażania przepisów AI Act

AI Act formalnie wszedł w życie 1 sierpnia 2024 roku, ale przepisy będą wdrażane etapami – dając organizacjom czas na przygotowanie się do zgodności i wdrożenie niezbędnych zmian w systemach AI, dokumentacji i procesach operacyjnych.

Kluczowe daty AI Act

Co dalej?

Dlaczego w kontekście AI Act lata 2026-2027 są kluczowe dla CISO?

To właśnie w tych dwóch latach wchodzą w życie najbardziej operacyjne obowiązki dla organizacji korzystających z AI – zarówno w odniesieniu do modeli wysokiego ryzyka z załącznika III, jak i rozwiązań niestandardowych. Firmy muszą być gotowe nie tylko na zgodność z AI Act w zakresie nowych wdrożeń, ale również na audyt i dostosowanie wszystkich istniejących systemów, które zostaną zaklasyfikowane jako systemy wysokiego ryzyka zgodnie z art. 6 ust. 1 lub są objęte załącznikiem III.

Kiedy system AI trafia do kategorii wysokiego ryzyka?

System klasyfikacji ryzyka AI

AI Act klasyfikuje systemy sztucznej inteligencji według czterech poziomów ryzyka, bazując na wpływie, jaki ich stosowanie może mieć na zdrowie, bezpieczeństwo i prawa podstawowe obywateli UE. Klasyfikacja ta determinuje zakres obowiązków organizacji wdrażających lub stosujących dany system.

Cztery poziomy ryzyka AI wg AI Act

  1. Zabronione zastosowania AI (Unacceptable risk)
    Zakazane są systemy AI, które z definicji stanowią poważne zagrożenie dla praw i wolności człowieka – np. manipulacja behawioralna, ocenianie obywateli (social scoring), masowe rozpoznawanie emocji w miejscu pracy czy szkołach.
  2. Wysokie ryzyko (High risk)
    To systemy, które – ze względu na swój wpływ na życie jednostek – podlegają najbardziej rygorystycznym regulacjom. Obejmują one m.in. AI w rekrutacji, edukacji, ochronie zdrowia, infrastrukturze krytycznej, egzekwowaniu prawa czy kredytowaniu.
  3. Ograniczone ryzyko (Limited risk)
    Systemy AI, które nie wpływają bezpośrednio na bezpieczeństwo lub prawa użytkowników, ale wymagają przejrzystości działania. Przykład: chatboty – użytkownik musi być poinformowany, że rozmawia z AI, a nie z człowiekiem.
  4. Minimalne lub żadne ryzyko (Minimal risk)
    AI stosowana w narzędziach o charakterze czysto funkcjonalnym lub rozrywkowym – np. filtry zdjęć, rekomendacje produktów. Brak szczególnych obowiązków regulacyjnych, ale zalecane jest wdrażanie dobrych praktyk.

Bezpłatny cykl spotkań dla CISO
AI vs Cybersecurity

Odbierz nagrania i materiały

Jakie systemy AI są uznawane za wysokiego ryzyka?

Systemy sztucznej inteligencji klasyfikowane jako wysokiego ryzyka (high-risk AI systems) to te, które mogą realnie wpływać na bezpieczeństwo, prawa podstawowe lub życie użytkowników. AI Act szczegółowo określa, które zastosowania podlegają takiej klasyfikacji – opierając się na podejściu do ryzyka znanym z regulacji sektorowych, takim jak NIS2.

Zgodnie z Załącznikiem III do AI Act, systemy uznaje się za wysokiego ryzyka, jeśli są wykorzystywane w następujących obszarach:

Już od 2 sierpnia 2026 roku obowiązki związane z tymi systemami będą mieć zastosowanie dla organizacji wprowadzających je na rynek lub stosujących je w działalności operacyjnej. Od 2 sierpnia 2027 roku – również dla systemów, które nie zostały wprost wymienione w załączniku, ale spełniają ogólne kryteria wysokiego ryzyka określone w art. 6 ust. 1 AI Act.

Jakie obowiązki ciążą na organizacjach wdrażających systemy wysokiego ryzyka?

Organizacje, które tworzą lub wdrażają systemy AI sklasyfikowane jako wysokiego ryzyka, muszą spełnić szereg technicznych, organizacyjnych i dokumentacyjnych wymagań określonych w Rozdziale III AI Act. Celem tych obowiązków jest zapewnienie bezpieczeństwa, przejrzystości oraz zgodności z prawami podstawowymi użytkowników końcowych.

Do kluczowych obowiązków należą:

Wszystkie powyższe działania muszą być udokumentowane, regularnie przeglądane i dostępne do weryfikacji przez organy nadzoru. Od sierpnia 2026 roku niespełnienie któregokolwiek z tych obowiązków może skutkować sankcjami finansowymi oraz zakazem stosowania systemu AI.

Jak przygotować organizację na AI Act? Kluczowe wskazówki dla CISO na 2026 rok

Podsumowanie

AI Act, czyli unijne rozporządzenie o sztucznej inteligencji, wprowadza spójne przepisy dla systemów sztucznej inteligencji wykorzystywanych na terenie Unii Europejskiej. Od sierpnia 2026 roku organizacje wdrażające systemy sztucznej inteligencji wysokiego ryzyka muszą wykazać się pełną zgodnością z nowymi regulacjami.

Przepisy AI Act obejmują m.in. ocenę zgodności, wdrożenie systemu zarządzania jakością, nadzór człowieka nad działaniem AI, transparentność modeli oraz obowiązkową dokumentację i rejestrację. Regulacja dotycząca sztucznej inteligencji przewiduje też istotne sankcje za naruszenia – dlatego każda organizacja wykorzystująca technologie AI powinna już teraz przygotować się do spełnienia obowiązków, które akt o sztucznej inteligencji ma wprowadzić.