Co przygotować przed zgłoszeniem
Zgłoszenie incydentu poważnego do właściwego CSIRT sektorowego (a do czasu ogłoszenia przez organ, że właściwy CSIRT sektorowy osiągnął zdolność operacyjną, zgłoszenia kieruje się do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV (art. 44 ustawy nowelizującej)) to ustawowy obowiązek podmiotu kluczowego i ważnego (art. 11 ust. 1 pkt 4-4c ustawy o KSC). Zanim wypełnisz formularz, upewnij się, że masz dostęp do danych operacyjnych — brak jednej z kluczowych informacji nie zwalnia z obowiązku zgłoszenia w terminie, ale może narazić na kolejne pytania ze strony CSIRT. Zanim zaczniesz wypełniać formularz, sprawdź terminy zgłoszenia incydentu dla swojego przypadku.
- Moment wykrycia incydentu (timestamp z dokładnością do minuty) — od tego biegnie zegar 24h/72h.
- Lista systemów objętych incydentem (identyfikator systemu, klasyfikacja wrażliwości, liczba użytkowników).
- Wstępna ocena wpływu na usługę kluczową/ważną (czy jest przerwa w świadczeniu, jaka liczba dotkniętych odbiorców, zasięg geograficzny).
- Dane osoby zgłaszającej — imię, nazwisko, stanowisko, telefon kontaktowy 24/7, e-mail służbowy.
- NIP i REGON podmiotu oraz numer wpisu w wykazie S46 (jeśli przyznany).
- Wstępne informacje o wektorze ataku (jeśli znany) — phishing, exploit, insider, ransomware, DDoS, inne.
Wczesne ostrzeżenie (24h) — pole po polu
Wczesne ostrzeżenie (art. 11 ust. 1 pkt 4 KSC) to pierwszy, szybki komunikat do CSIRT — ma służyć koordynacji reakcji i oszacowaniu skali zagrożenia. Formularz wczesnego ostrzeżenia zawiera minimalny zakres danych, bez wymogu pełnej diagnozy przyczyn. Uwaga: podmiot ważny będący podmiotem publicznym nie składa wczesnego ostrzeżenia ani sprawozdań — tylko zgłoszenie incydentu poważnego w 72 h (art. 12c, Q&A 6.12).
| Pole formularza | Wymagane dane | Przykład wypełnienia |
|---|---|---|
| Dane podmiotu | Nazwa, NIP, REGON, numer wpisu S46, sektor | ACME Sp. z o.o., NIP 525-xxx-xx-xx, PKD 61.10, PK zał. 1 pkt 5 (ICT) |
| Osoba zgłaszająca | Imię, nazwisko, służbowy telefon i e-mail | Jan Kowalski, CISO, +48 600 xxx xxx, incydenty@acme.pl |
| Osoba uprawniona do składania wyjaśnień | Imię, nazwisko, służbowy telefon i e-mail (może to być osoba zgłaszająca) | Anna Nowak, kierownik IT, +48 601 xxx xxx, a.nowak@acme.pl |
| Moment wystąpienia i wykrycia, czas trwania | Data i godzina (timezone: CET/CEST), czas trwania incydentu | Wystąpienie 2026-04-19 01:10, wykrycie 03:47 CEST, trwa |
| Typ zdarzenia (pomocniczo) | Wstępna klasyfikacja (phishing/DDoS/ransomware/inne) | Ransomware z kompromitacją AD |
| Wpływ transgraniczny | Czy incydent dotyka innych państw UE | Tak — użytkownicy w DE, FR, CZ, SK |
| Bezprawność działania | Czy zdarzenie ma podłoże bezprawne (tak/nie/nieokreślone) | Tak — żądanie okupu, szantaż |
Zgłoszenie pełne (72h) — rozszerzony zakres
Zgłoszenie pełne (art. 11 ust. 1 pkt 4a KSC) rozszerza zakres o informacje o przebiegu incydentu, podjętych działaniach i wpływie na usługę. Termin: 72 godziny od wykrycia. Jeśli wcześniej złożyłeś wczesne ostrzeżenie — zgłoszenie pełne je aktualizuje, nie zastępuje.
- Aktualizacja wstępnej klasyfikacji — czy potwierdza się typ ataku, wektor, motywacja sprawców.
- Szczegółowy opis przebiegu incydentu — chronologia: wykrycie, izolacja, eskalacja, kontakt z zespołem reagowania.
- Wpływ techniczny — liczba dotkniętych systemów, utrata danych (tak/nie/częściowa), degradacja wydajności, dostępność.
- Wpływ biznesowy — liczba dotkniętych użytkowników, zasięg geograficzny, szacowany czas przerwy w świadczeniu usługi.
- Podjęte działania zaradcze — izolacja systemów, odłączenie od sieci, przywrócenie z kopii, wymiana kluczy, kontakt z klientami.
- Ocena ryzyka kontynuacji — czy sprawcy nadal mają dostęp, jakie są ścieżki eskalacji, jakie dodatkowe systemy mogą zostać naruszone.
- Wnioski wstępne — hipotezy dot. przyczyny źródłowej (root cause), jeżeli są już dostępne.
Sprawozdanie końcowe (1 miesiąc)
Sprawozdanie końcowe (art. 11 ust. 1 pkt 4c KSC) to pełna dokumentacja incydentu — przyczyny źródłowe, ocena skutków, wdrożone środki zapobiegawcze. Termin: 1 miesiąc od zgłoszenia pełnego lub — jeżeli incydent nie został rozwiązany w tym terminie — raport o postępach, a raport końcowy w ciągu 1 miesiąca od zakończenia obsługi (art. 12b, Q&A 6.23). Podmiot ważny będący podmiotem publicznym sprawozdania końcowego nie składa (art. 12c).
- Szczegółowy opis incydentu: wektor ataku, wykorzystana podatność/technika (TTP według MITRE ATT&CK), chronologia zdarzeń, narzędzia sprawców.
- Rodzaj zagrożenia: zewnętrzny atak (APT/cybercrime/haktywiści), insider, błąd ludzki, awaria techniczna, łańcuch dostaw.
- Szkody i skutki: straty finansowe (szacowane), utracone dane, utracona dostępność (RTO, RPO), wpływ reputacyjny, koszty reakcji.
- Zastosowane środki ograniczające ryzyko: izolacja, patch, wymiana klucza, zmiana polityki, dodatkowa segmentacja, szkolenia.
- Skutki transgraniczne (art. 12a KSC): czy incydent miał wpływ na podmioty lub osoby w innych państwach UE i jakie były działania koordynacyjne.
- Wnioski i rekomendacje: co zmieniono w SZBI, jakie kontrole dodano, jakie szkolenia przeprowadzono, jak zmieniono ocenę ryzyka.
Kanały zgłoszenia i uwierzytelnianie
Wczesne ostrzeżenie, zgłoszenie incydentu poważnego i sprawozdania składa się w systemie teleinformatycznym S46, prowadzonym przez Ministra Cyfryzacji (art. 11 ust. 2, Q&A 6.13). Aby z niego korzystać, trzeba najpierw uzyskać dostęp: wypełnić oświadczenie o dołączeniu do systemu i przekazać je przez formularz kontaktowy — instrukcja, oświadczenie i formularz są na gov.pl/web/system-s46/uzyskaj-dostep (Q&A 6.13, 7.3). Logowanie odbywa się przez Węzeł Krajowy: bankowość elektroniczna, profil zaufany, aplikacja mObywatel, e-dowód lub certyfikat kwalifikowany (Q&A 7.4). Telefon czy e-mail do dyżuru CSIRT pomaga w kontakcie, ale nie zastępuje zgłoszenia w S46. Informacje niejawne przekazuje się systemem z akredytacją bezpieczeństwa teleinformatycznego lub inną drogą przewidzianą w ustawie o ochronie informacji niejawnych (Q&A 6.21).
| Podmiot | Właściwy CSIRT | Kanał |
|---|---|---|
| Większość PK/PW — m.in. przedsiębiorcy, JST i urzędy je obsługujące, samorządowe jednostki budżetowe, SP ZOZ | CSIRT NASK (art. 26 ust. 6 KSC); docelowo CSIRT sektorowy po ogłoszeniu jego zdolności operacyjnej (art. 44 ustawy nowelizującej) | S46 |
| Organy władzy publicznej i administracja rządowa, ZUS, NFZ, jednostki podległe Prezesowi RM, NBP, BGK, UKNF, podmioty z wykazu infrastruktury krytycznej | CSIRT GOV (art. 26 ust. 7 KSC) | S46 |
| Podmioty podległe MON lub przez niego nadzorowane, przedsiębiorcy realizujący zadania na rzecz Sił Zbrojnych | CSIRT MON (art. 26 ust. 5 KSC) | S46 |
| Sektory, w których sektorowy zespół cyberbezpieczeństwa powołano przed 2025 r. (np. ochrona zdrowia — CSIRT CeZ) | Ten CSIRT sektorowy od razu (art. 44 ust. 3 i art. 46 ustawy nowelizującej) | S46 |
Najczęstsze błędy przy zgłoszeniu
W praktyce zespoły CSIRT zgłaszają powtarzające się błędy, które utrudniają obsługę zgłoszenia. Najczęstsze są skutkiem niewykonania obowiązków z art. 11 ust. 1 KSC (wczesne ostrzeżenie, zgłoszenie incydentu poważnego, sprawozdanie okresowe i końcowe) i mogą prowadzić do kar pieniężnych z art. 73 ust. 1 pkt 6–9 KSC (od 6 — wczesne ostrzeżenie, do 9 — sprawozdanie końcowe).
- Zbyt późne zgłoszenie — zegar biegnie od wykrycia, czyli od chwili, gdy możesz stwierdzić, że zdarzenie jest incydentem (Q&A 6.5), a nie od „zrozumienia skali”. Przy wątpliwościach — zgłoś wcześnie.
- Brak danych kontaktowych 24/7 — CSIRT musi mieć możliwość dzwonienia w nocy i w weekendy. Mail zbiorowy to za mało.
- Sklasyfikowanie jako incydent „zwykły" mimo spełnienia przesłanek incydentu poważnego (art. 2 pkt 7) — skutkuje karą za brak zgłoszenia.
- Pomieszanie ścieżek KSC i RODO — naruszenie danych osobowych wymaga też zgłoszenia do UODO (72h, art. 33 RODO), ale to osobna procedura.
- Brak aktualizacji zgłoszenia, gdy sytuacja ewoluuje — brakujące informacje trzeba uzupełniać w trakcie obsługi (art. 12 ust. 5, Q&A 6.15), a na wniosek CSIRT złożyć sprawozdanie okresowe (art. 11 ust. 1 pkt 4b).
- Niepoprawne dane podmiotu — w szczególności brak numeru wpisu S46 lub niewłaściwy sektor — generuje przekierowania i opóźnia reakcję.
- Ujawnienie zgłoszenia publicznie przed koordynacją z CSIRT — może naruszyć procedury zbiorowej reakcji na zagrożenie i ujawnić TTP sprawcom.