131 pytań Ministerstwa Cyfryzacji o KSC

Czym jest zestaw pytań MC i ile ma pytań

Ministerstwo Cyfryzacji publikuje zestaw „Pytania i odpowiedzi” do znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Tytuł tego artykułu odnosi się do pierwszego wydania dokumentu, które zawierało 131 pytań w 13 rozdziałach. Zestaw był potem dwukrotnie uzupełniany (aktualizacje oznaczone w dokumencie jako „czerwiec 2026 r.” i „październik 2026 r.”). Aktualne wydanie z października 2026 r. zawiera 279 pytań w 14 rozdziałach. Poniżej omawiamy aktualne wydanie i podajemy numery pytań według jego numeracji (np. „Q&A 2.19”).

14 rozdziałów — przegląd dokumentu

Dokument dzieli się na 14 rozdziałów. Najbardziej rozbudowane są rozdziały o identyfikacji podmiotów, o wykazie i o obowiązkach podmiotów kluczowych i ważnych — razem 165 z 279 pytań. Liczby pytań w tabeli policzyliśmy na podstawie spisu treści wydania z października 2026 r.

Rozdz. 1 — identyfikacja PK i PW

Rozdział 1 odpowiada na pytanie, czy podmiot w ogóle podlega ustawie. Status nie jest nadawany decyzją — podmiot ustala go sam (samoidentyfikacja). Wstępną orientację daje klasyfikator na stronie głównej, a szczegóły kryteriów omawiamy w artykule Podmiot kluczowy vs ważny.

• Q&A 1.1 — przedsiębiorca, który nie wie, czy podlega ustawie, ustala swoją wielkość (sprawozdanie finansowe, liczba personelu) i rodzaj działalności (kody PKD oraz koncesje, zezwolenia, wpisy do rejestrów działalności regulowanej), a następnie analizuje art. 5 ustawy i załączniki nr 1 i 2.
• Q&A 1.12 — podmiot kluczowy ani ważny nie dostaje decyzji administracyjnej o kwalifikacji; każdy podmiot z działalnością z załączników nr 1 i 2 musi sam przeanalizować swój status. Wyjątek: organ właściwy może uznać za PK lub PW podmiot, który co do zasady nie spełnia wymogów, ale spełnia jedną z przesłanek szczególnych (np. jako jedyny świadczy usługę o kluczowym znaczeniu).
• Q&A 1.11 — merytoryczne obowiązki podmiotu kluczowego i ważnego są takie same. Różnica dotyczy nadzoru: wobec PK ma on charakter ex ante, wobec PW — ex post. PK przeprowadza audyt co 3 lata i na żądanie organu, PW — wyłącznie na żądanie organu.
• Q&A 1.6 — przy ustalaniu wielkości dolicza się przedsiębiorstwa partnerskie i powiązane, ale MC wskazuje, że danych takiego przedsiębiorstwa nie należy ujmować, jeżeli podmiot nie świadczy z nim tej samej usługi, a jego systemy informacyjne mogą być niezależne. Należy to odpowiednio udokumentować.
• Q&A 1.21 — spółka IT realizująca zadania z zakresu cyberbezpieczeństwa tylko dla własnej grupy kapitałowej podlega ustawie, jeżeli jest co najmniej małym przedsiębiorstwem. Dokument nie przewiduje ogólnego wyłączenia dla grup kapitałowych.
• Q&A 1.8 — podmioty publiczne z załącznika nr 1 są podmiotami kluczowymi, a z załącznika nr 2 — ważnymi, niezależnie od wielkości. Nie wpisują się do wykazu samodzielnie: wpisu dokonuje z urzędu minister właściwy do spraw informatyzacji, a przy brakach danych wzywa podmiot do ich uzupełnienia w terminie 6 miesięcy od doręczenia wezwania. Urząd gminy jest podmiotem kluczowym tylko wtedy, gdy na 1 stycznia zatrudnia co najmniej 50 osób w przeliczeniu na pełne etaty na podstawie umowy o pracę.
• Q&A 1.20 — podmioty, które się nie zarejestrują, mogą zostać wpisane z urzędu przez organy właściwe; konsekwencją mogą być czynności nadzorcze, a w dalszej perspektywie kara pieniężna. Podmiot wpisany, który nie podlega ustawie, może zostać wykreślony.

Rozdz. 2 — wykaz podmiotów

Rozdział 2 urósł najbardziej — z 10 pytań w pierwszym wydaniu do 66. Najczęściej mylone kwestie dotyczą tego, od kiedy liczyć terminy i kto wpisuje się sam. Procedurę opisujemy krok po kroku w artykule Rejestracja w wykazie, a sytuację podmiotów wezwanych do uzupełnienia danych — w tekście o wezwaniu do uzupełnienia danych.

• Q&A 2.48 — wpis do wykazu ma charakter deklaratoryjny: nie nadaje statusu podmiotu kluczowego albo ważnego, tylko go ujawnia. Status wynika z ustawy i z rodzaju prowadzonej działalności.
• Q&A 2.31 i 3.32 — termin do 3 października 2026 r. dotyczy wyłącznie wpisu. Terminy na realizację obowiązków liczy się od spełnienia przesłanek uznania za PK lub PW, a nie od dnia wpisu — zwlekanie z rejestracją nie daje więcej czasu na dostosowanie.
• Q&A 2.1 i 2.17 — wniosek o wpis składa się w terminie 6 miesięcy od spełnienia przesłanek. Dla podmiotów spełniających je w dniu wejścia ustawy w życie (3 kwietnia 2026 r.) termin upłynął 3 października 2026 r.
• Q&A 2.32 — samorejestracja jest dostępna przez cały czas. Podmiot, który zacznie spełniać przesłanki po 3 października 2026 r., wpisuje się samodzielnie w ciągu 6 miesięcy od spełnienia przesłanek.
• Q&A 2.3 — z urzędu wpisywani są przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty publiczne i dotychczasowi operatorzy usług kluczowych. Wezwanie do uzupełnienia danych trafia m.in. na adres do doręczeń elektronicznych.
• Q&A 2.36 i 2.40 — podmiot wpisany z urzędu uzupełnia brakujące dane w ciągu 6 miesięcy od doręczenia wezwania (nie od wejścia ustawy w życie ani od dnia wpisu). Przykład z Q&A 2.40: samorządowe biblioteki publiczne są podmiotami ważnymi wpisywanymi z urzędu i nie muszą dokonywać samorejestracji.
• Q&A 2.19 — dane w wykazie aktualizuje się wnioskiem o zmianę danych; podmiot ma 14 dni od dnia zmiany na aktualizację danych z art. 7 ust. 2 pkt 1–18 ustawy.
• Q&A 2.14 i 2.22 — podmiot błędnie wpisany z urzędu składa wniosek o wykreślenie, a gdy zgadza się z wpisem, ale dane są błędne — wniosek o zmianę wpisu. Organ właściwy rozpatruje wniosek o wykreślenie w ciągu miesiąca.
• Q&A 2.7 — w wykazie należy wykazywać działalność faktycznie wykonywaną.

Rozdz. 3–4 — obowiązki podmiotu i kierownika

Rozdział 3 zawiera kalendarz wdrożenia i najwięcej praktycznych stanowisk dotyczących SZBI. Harmonogram rozpisujemy w artykule Terminy wdrożenia KSC.

• Q&A 3.6 i 3.7 — organizacje, które wdrożyły SZBI według jednego z dostępnych standardów, mogą wykorzystać i dostosować istniejącą dokumentację. MC podkreśla jednak, że sama dokumentacja to za mało: kupiona dokumentacja „zgodna z NIS2” nie zapewnia zgodności — cyberbezpieczeństwo ma być realne, a nie papierowe.
• Q&A 3.8 — podmiot musi edukować personel w obszarze cyberbezpieczeństwa; edukacja ma odbywać się na bieżąco i uwzględniać obowiązki w ramach SZBI, procedury, cyberzagrożenia i przykłady incydentów. Obowiązkowemu szkoleniu podlega też kierownik podmiotu — według Q&A 4.3 raz na rok.
• Q&A 3.46 — w podmiotach, które spełniały przesłanki 3 kwietnia 2026 r., pierwsze szkolenie kierownika musi się odbyć najpóźniej w 2027 r.; można je przeprowadzić już w 2026 r., a kolejne w 2027 r.
• Q&A 3.10 — zadań z zakresu SZBI i zgłaszania incydentów nie mogą wykonywać osoby skazane za przestępstwa przeciwko ochronie informacji (art. 265–269b k.k.). Ponowne wezwanie do przedstawienia zaświadczenia wymaga uzasadnionego podejrzenia; cykliczne wzywanie nie jest uzasadnionym działaniem. Weryfikacja dotyczy obecnego i przyszłego personelu (Q&A 3.29).
• Q&A 3.48 — weryfikacja niekaralności obejmuje pracowników podmiotu i osoby wykonujące zadania na podstawie umów cywilnoprawnych zawartych bezpośrednio z podmiotem. Nie obejmuje personelu wykonawców i podwykonawców — tu bezpieczeństwo zapewnia się w ramach zarządzania ryzykiem łańcucha dostaw i postanowień umownych.
• Q&A 3.14 i 3.15 — samorządowe podmioty publiczne będące podmiotami ważnymi stosują uproszczone wymagania z załącznika nr 4 (lista kontrolna minimalnych wymogów) i formalnie nie mają obowiązku szacowania ryzyka. MC przypomina jednak o art. 32 RODO, który wymaga analizy ryzyka niezależnie od wielkości podmiotu.
• Q&A 3.39 — załącznik nr 4 nie jest przeznaczony dla podmiotów kluczowych: realizują one pełny zakres wymagań SZBI z art. 8 ustawy.
• Q&A 3.16 i 3.44 — ustawa nie narzuca konkretnych rozwiązań (np. własnego SOC) ani obowiązku powołania pełnomocnika ds. SZBI; o organizacji decyduje podmiot i jego kierownik.

Rozdział 4 (Q&A 4.4) wylicza zakres odpowiedzialności kierownika — od aktualnego wpisu do wykazu, przez wdrożenie SZBI i weryfikację personelu, po zgłaszanie incydentów i audyty. Kierownik odpowiada także wtedy, gdy powierzył obowiązki innej osobie za jej zgodą. Więcej: odpowiedzialność kierownika i weryfikacja niekaralności personelu.

Rozdz. 6–7 — incydenty i system S46

Rozdział 6 porządkuje obowiązki przy obsłudze incydentów, a rozdział 7 opisuje system S46, przez który składa się zgłoszenia. Praktyczny opis zgłoszeń: raportowanie incydentów i CSIRT sektorowe.

• Q&A 6.3 — każdy incydent trzeba obsłużyć, ale obowiązkowemu zgłoszeniu podlegają tylko incydenty poważne.
• Q&A 6.4 — wczesne ostrzeżenie o incydencie poważnym najpóźniej w ciągu 24 godzin od wykrycia, zgłoszenie incydentu poważnego najpóźniej w ciągu 72 godzin, sprawozdanie końcowe najpóźniej w ciągu miesiąca od zgłoszenia; sprawozdanie okresowe — na wniosek CSIRT sektorowego.
• Q&A 6.5 — momentem wykrycia jest chwila, w której podmiot może stwierdzić, że zdarzenie jest incydentem, a nie moment jego zaistnienia. W umowach z dostawcami należy zawrzeć obowiązek niezwłocznego informowania o incydentach związanych z ich usługą.
• Q&A 6.12 — podmioty publiczne będące podmiotami ważnymi nie zgłaszają wczesnego ostrzeżenia ani sprawozdań (okresowego, z postępu, końcowego). Składają wyłącznie zgłoszenie incydentu poważnego.
• Q&A 6.13 i 6.17 — incydenty poważne zgłasza się przez system S46. Gdy jeden incydent dotyka usług w kilku sektorach, wystarczy jedno zgłoszenie — zespoły CSIRT informują się wzajemnie i przekazują zgłoszenie zgodnie z właściwością.
• Q&A 6.15 — jeżeli w chwili zgłoszenia brakuje części danych, zgłasza się to, co wiadomo, i uzupełnia w trakcie obsługi incydentu.
• Q&A 7.2 — S46 działa jako „jedno okienko”: zgłoszenie trafia do właściwego CSIRT poziomu krajowego (GOV, MON lub NASK), a docelowo będzie trafiać do odpowiedniego CSIRT sektorowego.
• Q&A 7.6 — podmiot publiczny wpisany z urzędu musi samodzielnie zarejestrować się w S46 po otrzymaniu informacji o wpisie; może to zrobić, zanim uzupełni dane w wykazie.

Rozdz. 9 i 11 — audyt i nadzór

• Q&A 9.1 — podmiot kluczowy przeprowadza na własny koszt audyt co najmniej raz na 3 lata. Audyt może być wewnętrzny lub zewnętrzny i powinien obejmować cały system informacyjny wykorzystywany przez podmiot, a nie tylko część związaną z konkretną usługą. Podmioty ważne nie mają obowiązku audytu cyklicznego.
• Q&A 9.2 i 9.3 — audyt może przeprowadzić akredytowana jednostka oceniająca zgodność, co najmniej dwóch audytorów z wymaganymi certyfikatami lub praktyką albo CSIRT sektorowy. Q&A 9.3 wymienia 11 uprawniających certyfikatów (m.in. CISA, CISSP, audytor wiodący ISO/IEC 27001 i ISO 22301).
• Q&A 9.5 i 9.6 — dotychczasowi operatorzy usług kluczowych zachowują swój cykl audytowy: pierwszy audyt po nowelizacji w ciągu 3 lat od podpisania raportu z ostatniego audytu.
• Q&A 11.4 i 11.5 — katalog czynności nadzorczych (kontrola, audyt ad hoc, ocena bezpieczeństwa, żądanie informacji, dowody realizacji wymogów SZBI) jest dla PK i PW podobny; wobec PK organ może dodatkowo wyznaczyć urzędnika monitorującego na nie dłużej niż miesiąc.
• Q&A 11.6 — organ może żądać dowodów realizacji SZBI: dokumentów, ale też relacji personelu. Liczy się udowodnienie stosowania przepisów, a nie formalnie poprawne dokumenty.

Szczegóły audytu omawiamy w artykule Audyt KSC, a różnice w nadzorze — w tekście Nadzór ex ante i ex post.

Rozdz. 12 — kary pieniężne

• Q&A 12.1 — kary pieniężne będą nakładane dopiero po 2 latach od wejścia ustawy w życie, tj. po 3 kwietnia 2028 r. Wyjątkiem jest kara ekstraordynaryjna. Dokument nie przewiduje żadnego innego „moratorium” ani okresu bez kar.
• Q&A 12.6 — kara ekstraordynaryjna (do 100 mln zł) dotyczy tylko poważnych naruszeń, gdy występuje bezpośrednie i poważne cyberzagrożenie m.in. dla obronności, bezpieczeństwa państwa lub życia i zdrowia ludzi oraz zagrożenie poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług.
• Q&A 12.4 — maksymalna kara dla PK to 10 mln euro albo 2% przychodów z roku obrotowego poprzedzającego wymierzenie kary, dla PW — 7 mln euro albo 1,4% przychodów; zastosowanie ma kwota wyższa. Kara minimalna: 20 000 zł (PK) i 15 000 zł (PW). Kara dla kierownika: do 100% wynagrodzenia w podmiocie publicznym i do 300% w podmiocie prywatnym.
• Q&A 12.5 — kara okresowa za każdy dzień opóźnienia wykonania decyzji: od 500 zł do 100 000 zł.
• Q&A 12.3 i 12.7 — decyzję o karze poprzedza ostrzeżenie (z czynnościami i terminem na ich wykonanie) oraz poinformowanie o wstępnych ustaleniach.
• Q&A 12.12 — organ może odstąpić od kary, jeżeli waga naruszenia jest znikoma, a podmiot zaprzestał naruszania prawa lub naprawił szkodę.

Co zmieniło się względem pierwszego wydania

Porównanie spisów treści obu wydań pokazuje, gdzie dokument urósł. Pytania dodane w aktualizacjach są w nim oznaczone dopiskiem „[NOWE – aktualizacja czerwiec 2026 r.]” albo „[NOWE – aktualizacja październik 2026 r.]”.

• Nowy rozdział 13 o obowiązkach rejestratorów nazw domen (dodany w czerwcu 2026 r.) przesunął dotychczasowy rozdział „Inne” na pozycję 14.
• Najwięcej nowych pytań dotyczy praktyki wykazu: wpisów z urzędu, wezwań do uzupełnienia danych, korekt, wykreśleń, pełnomocnictw i zaświadczeń.
• Część odpowiedzi z pierwszego wydania rozbudowano — np. Q&A 4.4 uzupełniono o zasady odpowiedzialności, gdy kierownikiem jest organ wieloosobowy, a Q&A 6.5 o wyjaśnienie, że moment wykrycia to identyfikacja zdarzenia jako incydentu, a nie chwila jego zaistnienia.
• Rozdziały o karach, nadzorze, CSIRT, wymianie informacji i szczególnych działaniach mają tyle samo pytań co w pierwszym wydaniu.