Dlaczego rozporządzenia są kluczowe
Ustawa o KSC 2026 (tekst jednolity — Dz.U. 2026 poz. 20 i 252 ze zm.) zawiera kilkanaście delegacji ustawowych dla Rady Ministrów, Ministra Cyfryzacji i ministrów sektorowych. Bez rozporządzeń wykonawczych część obowiązków pozostaje w ogólnym zarysie — np. progi uznania incydentu za „poważny” są zróżnicowane dla każdego sektora i określane w rozporządzeniu RM, a nie w samej ustawie.
Praktyczny skutek dla progów incydentu poważnego: do czasu wydania nowego rozporządzenia RM na podstawie art. 11 ust. 4 zachowuje moc dotychczasowe rozporządzenie Rady Ministrów z 31 października 2018 r. w sprawie progów uznawania incydentu za poważny (Dz.U. 2018 poz. 2180) — nie dłużej niż przez 12 miesięcy od wejścia w życie nowelizacji, czyli najpóźniej do 3 kwietnia 2027 r. (art. 32 pkt 1 ustawy nowelizującej). Dla podmiotów cyfrowych objętych rozp. wykonawczym Komisji (UE) 2024/2690 progi wynikają bezpośrednio z tego aktu. Tam, gdzie żaden z tych aktów nie daje progu dla danego rodzaju podmiotu lub usługi, stosuje się definicję ogólną z art. 2 pkt 7 KSC. Nie zwalnia to z obowiązku zgłaszania incydentów.
Rozporządzenia Rady Ministrów
Rada Ministrów wydaje rozporządzenia ogólne — dotyczące wszystkich sektorów lub przekrojowe. Kluczowe akty przewidziane w ustawie:
| Rozporządzenie | Podstawa prawna | Zakres regulacji |
|---|---|---|
| O progach incydentu poważnego — sektorowo | art. 11 ust. 4 KSC (delegacja Rady Ministrów) | Ilościowe i jakościowe progi uznania incydentu za „poważny” dla każdego sektora zał. 1 i 2 (liczba dotkniętych użytkowników, czas trwania, strata finansowa, zasięg geograficzny) |
| O szczegółowych wymaganiach dla SZBI (sektorowo) | art. 8a KSC (delegacja fakultatywna Rady Ministrów) | Szczegółowe wymagania dla SZBI dla danego rodzaju działalności — minimalny zakres środków, dokumentacji, przeglądów, polityk; wydawane z uwzględnieniem rekomendacji ENISA i wielkości podmiotu |
Dotychczasowe przepisy wykonawcze wydane na podstawie art. 11 ust. 4 (progi incydentu poważnego — rozp. RM z 31.10.2018 r., Dz.U. 2018 poz. 2180) oraz art. 66 ust. 9 (Kolegium do Spraw Cyberbezpieczeństwa) zachowują moc do dnia wejścia w życie nowych przepisów wykonawczych, nie dłużej jednak niż do 3 kwietnia 2027 r., i mogą być w tym czasie zmieniane (art. 32 ustawy nowelizującej).
Obok rozporządzeń krajowych obowiązki kształtują akty innego rodzaju — nie są to rozporządzenia Rady Ministrów:
| Akt | Rodzaj i podstawa | Zakres |
|---|---|---|
| Rozporządzenie wykonawcze Komisji (UE) 2024/2690 | Akt prawa UE stosowany bezpośrednio (art. 8b ust. 1 KSC; art. 11 ust. 4 KSC wyłącza te podmioty z rozporządzenia RM o progach) | Środki zarządzania ryzykiem dla DNS, TLD, chmury, centrów danych, CDN, MSP, MSSP, platform handlowych, wyszukiwarek i platform społecznościowych (art. 8b ust. 1) oraz progi incydentu poważnego dla tych podmiotów i dostawców usług zaufania (Q&A 6.18–6.19) |
| Decyzja o uznaniu za dostawcę wysokiego ryzyka | Decyzja administracyjna ministra właściwego ds. informatyzacji (art. 67b ust. 15 KSC), ogłaszana w Monitorze Polskim; podlega natychmiastowemu wykonaniu (ust. 18) | Wskazuje typy produktów ICT, rodzaje usług ICT lub procesy ICT dostawcy (ust. 16); skutki dla podmiotów — art. 67c |
Stan prac (sierpień-październik 2026): większość projektów rozporządzeń RM znajduje się na etapie konsultacji publicznych lub uzgodnień międzyresortowych. Projekty publikowane są w Biuletynie Informacji Publicznej KPRM (legislacja.rcl.gov.pl). Śledzenie jest kluczowe — okres przejściowy dla zastosowania rozporządzenia wynosi zwykle 3-6 miesięcy od publikacji.
Rozporządzenia Ministra Cyfryzacji
Minister właściwy ds. informatyzacji (MC) wydaje rozporządzenia operacyjne — dotyczące wykazu S46, audytorów, wzorów formularzy, zasad wpisu i weryfikacji.
| Rozporządzenie | Podstawa prawna | Zakres regulacji |
|---|---|---|
| Wykaz certyfikatów uprawniających do przeprowadzenia audytu | art. 15 ust. 8 KSC (obligatoryjna delegacja dla ministra właściwego do spraw informatyzacji) | Wykaz certyfikatów audytorskich — m.in. CIA, CISA, audytor wiodący ISO/IEC 27001 i ISO 22301, CISM, CRISC, CGEIT, CISSP, SSCP (pełna lista: Q&A 9.3). Wymogi praktyki, studiów podyplomowych i niezależności wynikają wprost z art. 15 ust. 2 i 2a |
| System S46 i wykaz podmiotów | art. 46 i art. 7 ust. 2 KSC (regulacja ustawowa — ustawa nie zawiera odrębnej delegacji do rozporządzenia w sprawie S46) | System teleinformatyczny zapewnia minister właściwy ds. informatyzacji (art. 46 ust. 1); zakres danych w wykazie wymienia wprost art. 7 ust. 2 pkt 1–14 |
| O wymianie informacji o cyberzagrożeniach | art. 8h KSC (zasady ustawowe — porozumienia w ust. 6) | Tryb wymiany informacji między podmiotami kluczowymi i ważnymi, CSIRT MON/NASK/GOV, CSIRT sektorowymi, dostawcami i organizacjami społecznymi; przekazywanie przez S46 lub porozumienia |
| O informacjach niejawnych w KSC | art. 37 KSC (odsyłanie do ustawy o ochronie informacji niejawnych z 5 sierpnia 2010 r.) | Obsługa klauzul (zastrzeżone, poufne, tajne), obowiązki podmiotów, sposób przekazywania zgodnie z odrębną ustawą |
Rozporządzenia sektorowe
Ministrowie sektorowi (zdrowia, klimatu, energii, rolnictwa, finansów, spraw wewnętrznych, obrony) wydają rozporządzenia dotyczące specyfiki swojego sektora — m.in. szczegółowych progów incydentów, struktury CSIRT sektorowego, sektorowych wymogów bezpieczeństwa.
- Sektor zdrowia — Minister Zdrowia: rozporządzenie o wymaganiach dla systemów HIS/EDM, minimalnych środkach bezpieczeństwa dla szpitali, procedurach ciągłości klinicznej.
- Sektor energetyczny — minister właściwy ds. energii (obecnie Minister Energii): rozporządzenie o bezpieczeństwie systemów OT (SCADA, DMS, EMS) w energetyce, wymogach segmentacji IT/OT, procedurach reagowania.
- Sektor finansowy — Minister Finansów/KNF: akty uzupełniające DORA w obszarach nieregulowanych przez rozporządzenie UE, wymogi specyficzne dla rynku polskiego.
- Sektor transportu — Minister Infrastruktury: rozporządzenie o bezpieczeństwie systemów transportu (lotnictwo, kolej, żegluga, drogi), współpraca z ULC/UTK.
- Sektor wodociągowo-kanalizacyjny — minister właściwy ds. gospodarki wodnej (obecnie Minister Infrastruktury): rozporządzenie o ochronie systemów SCADA w branży wodnej, współpraca z Wodami Polskimi.
- JST i administracja — MSWiA, MC: wzorcowe polityki bezpieczeństwa dla jednostek administracji publicznej, SZBI z załącznika nr 4.
Hierarchia: w sektorze finansowym rozporządzenie UE DORA (2022/2554) ma pierwszeństwo przed polskimi aktami wykonawczymi w zakresie odporności operacyjnej cyfrowej. Akty wykonawcze KSC stosuje się uzupełniająco — tam gdzie DORA nie reguluje lub odsyła do prawa krajowego.
Praktyczne wskazówki do czasu wydania rozporządzeń
Dopóki nowe rozporządzenia nie wejdą w życie, podmioty stosują ustawę, prawo UE oraz — w zakresie progów incydentu poważnego — dotychczasowe rozporządzenie RM z 2018 r., które zachowuje moc najpóźniej do 3 kwietnia 2027 r. (art. 32 pkt 1 ustawy nowelizującej). Poniższe wskazówki pomagają zachować zgodność bez czekania na akty wykonawcze.
- Klasyfikując incydent, sprawdź progi z dotychczasowego rozporządzenia RM z 31.10.2018 r. (Dz.U. 2018 poz. 2180 — moc do czasu nowego aktu, najpóźniej do 3.04.2027, art. 32 pkt 1 ustawy nowelizującej), a tam, gdzie nie odpowiadają one Twojej usłudze, stosuj definicję incydentu poważnego z art. 2 pkt 7 KSC — wpływ na ciągłość usługi, straty finansowe lub szkoda osób trzecich. Dokumentuj decyzję klasyfikacyjną.
- Dla infrastruktury cyfrowej stosuj rozporządzenie wykonawcze KE 2024/2690 (progi i procedury) — obowiązuje bezpośrednio jako prawo UE.
- SZBI możesz oprzeć na normach ISO 27001 i ISO 22301 — istniejący system wg normy można wykorzystać i dostosować do art. 8 ust. 1 KSC, ale certyfikat nie przesądza o zgodności (Q&A 3.6–3.7).
- W zakresie audytora sprawdź wykaz certyfikatów uprawniających do audytu (art. 15 ust. 8; m.in. CIA, CISA, audytor wiodący ISO/IEC 27001 i ISO 22301, CISM, CISSP — pełna lista: Q&A 9.3) oraz wymogi praktyki i niezależności z art. 15 ust. 2–2a.
- Monitoruj Biuletyn Informacji Publicznej KPRM (legislacja.rcl.gov.pl) — konsultacje trwają 21-30 dni i to okazja na zgłoszenie uwag.
- Buduj wewnętrzne polityki z marginesem zapasowym — w razie zaostrzenia wymogów w rozporządzeniu nie trzeba będzie przemodelowywać całego SZBI.
Źródła do śledzenia: legislacja.rcl.gov.pl (konsultacje), Dziennik Ustaw (dziennikustaw.gov.pl) — publikacja, ISAP (isap.sejm.gov.pl) — wersje ujednolicone, strona MC (gov.pl/web/cyfryzacja) — komunikaty i wytyczne.