Czy moja firma musi wdrożyć KSC?
Przed uruchomieniem jakiegokolwiek projektu wdrożeniowego musisz odpowiedzieć na jedno pytanie: czy Twoja firma w ogóle podlega ustawie o Krajowym Systemie Cyberbezpieczeństwa? Obowiązek dotyczy podmiotów działających w sektorach wymienionych w załączniku 1 (podmioty kluczowe — PK) i załączniku 2 (podmioty ważne — PW). Katalog obejmuje m.in. energetykę, transport, bankowość, infrastrukturę cyfrową, ochronę zdrowia, wodociągi, produkcję i dystrybucję żywności, przestrzeń kosmiczną, chemię oraz usługi cyfrowe. Samo działanie w objętym sektorze nie wystarczy — znaczenie ma też wielkość: podmiotem kluczowym lub ważnym może być duży przedsiębiorca (≥ 250 pracowników lub (obrót > 50 mln EUR oraz bilans > 43 mln EUR)) lub średni przedsiębiorca (50–249 pracowników). Mikro i małe przedsiębiorstwa co do zasady nie podlegają, z wyjątkami wskazanymi wprost w ustawie (m.in. dostawcy DNS, MSSP, kwalifikowani dostawcy usług zaufania). Szczegółową weryfikację przeprowadzisz w artykule Czy podlegam pod KSC?, a różnice między PK i PW — w artykule Podmiot kluczowy vs. ważny.
Rejestracja w wykazie S46
Rejestracja w wykazie podmiotów kluczowych i ważnych to pierwszy formalny krok wdrożenia KSC. Obowiązek wynika z art. 7c ust. 1 ustawy — wpis musi nastąpić w terminie 6 miesięcy od dnia spełnienia przesłanek kwalifikacji. Dla podmiotów istniejących w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.) termin rejestracji upływa 3 października 2026 r. Rejestracja odbywa się elektronicznie przez system S46 i wymaga kwalifikowanego podpisu elektronicznego, profilu zaufanego lub podpisu osobistego. Pełny opis procesu znajdziesz w artykułach Rejestracja w wykazie S46 oraz KSC — rejestracja krok po kroku.
| Dane / dokument | Szczegóły | Uwagi praktyczne |
|---|---|---|
| NIP i REGON | Identyfikatory podmiotu rejestrowanego | Muszą być zgodne z aktualnym wpisem w KRS lub CEIDG |
| Sektor i podsektor | Zgodny z załącznikiem 1 lub 2 do ustawy | Jeden podmiot może działać w kilku sektorach — wpisujemy wszystkie |
| Klasyfikacja PK / PW | Podmiot kluczowy lub ważny | Wpływa na zakres obowiązków i termin audytu |
| Dane osób kontaktowych | Min. 2 osoby (dla MŚP i podmiotów ważnych publicznych: min. 1) | Imię, nazwisko, e-mail, telefon, zakres zadań — muszą być dostępne całą dobę |
| Adresy IP systemów | Publiczne adresy IP kluczowych systemów informacyjnych | Wymagane dla celów monitoringu sektorowego przez CSIRT |
| Podpis kwalifikowany / profil zaufany | Wniosek podpisuje kierownik podmiotu lub pełnomocnik | Pełnomocnictwo musi obejmować czynności prawne w zakresie KSC |
Wdrożenie SZBI: 14 obszarów art. 8
Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) to największe wyzwanie merytoryczne całego projektu. Ustawa — w art. 8 ust. 1 pkt 2 lit. a–n — wymienia 14 obligatoryjnych obszarów, które SZBI musi obejmować. Środki muszą być proporcjonalne do oszacowanego ryzyka i uwzględniać wielkość podmiotu, stan wiedzy technicznej oraz koszty wdrożenia. Poniższa tabela opisuje każdy obszar z przykładowymi środkami wdrożeniowymi.
| Lit. | Obszar SZBI (art. 8 ust. 1 pkt 2) | Przykładowe środki techniczne i organizacyjne |
|---|---|---|
| a | Polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego | Metodyka szacowania ryzyka (ISO 27005, NIST CSF), rejestr ryzyk, przeglądy min. raz w roku |
| b | Bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego | Secure SDLC, testy penetracyjne, zarządzanie podatnościami (patch management), DAST/SAST |
| c | Bezpieczeństwo fizyczne i środowiskowe z kontrolą dostępu | Strefy bezpieczeństwa, karty dostępu, CCTV, systemy UPS i klimatyzacji, polityka clean desk |
| d | Bezpieczeństwo zasobów ludzkich | Weryfikacja kandydatów, NDA, procedura onboardingu i offboardingu, natychmiastowe odbieranie dostępów |
| e | Bezpieczeństwo łańcucha dostaw produktów, usług i procesów ICT | Rejestr dostawców ICT z oceną ryzyka, kwestionariusze bezpieczeństwa, klauzule umowne SLA + bezpieczeństwo |
| f | Plany ciągłości działania (BCP) — opracowanie, dokumentowanie, testowanie, utrzymanie | Analiza BIA, RTO/RPO, testy BCP min. raz w roku, kopie zapasowe 3-2-1, DRP |
| g | Monitorowanie systemu informacyjnego w trybie ciągłym | SIEM, IDS/IPS, monitoring logów 24/7, alerty on-call, integracja z CSIRT sektorowym |
| h | Polityki oceny skuteczności środków bezpieczeństwa | Wskaźniki KPI/KRI bezpieczeństwa, raporty z testów, przeglądy zarządu min. raz w roku |
| i | Edukacja z zakresu cyberbezpieczeństwa dla personelu | Szkolenia obowiązkowe przy onboardingu i cyklicznie, testy phishingowe, e-learning |
| j | Podstawowe zasady cyberhigieny | Polityka haseł (min. 12 znaków + MFA), zakaz shadow IT, zasady BYOD i nośników zewnętrznych |
| k | Polityki kryptografii i szyfrowania | TLS 1.2+, szyfrowanie dysków (BitLocker/LUKS), zarządzanie kluczami, zakaz przestarzałych algorytmów |
| l | Bezpieczna komunikacja elektroniczna | Szyfrowanie poczty dla kanałów krytycznych, VPN dla zdalnego dostępu, polityka e-mail i MDM |
| m | Zarządzanie aktywami | Rejestr aktywów IT, klasyfikacja informacji (publiczne / wewnętrzne / poufne), inwentaryzacja sprzętu |
| n | Polityki kontroli dostępu | Zasada najmniejszych uprawnień, przeglądy kont co 6 miesięcy, PAM dla dostępów uprzywilejowanych |
Personel, szkolenia, weryfikacja
KSC nakłada konkretne wymagania kadrowe — nie wystarczy wyznaczyć jednej osoby „odpowiedzialnej za IT" i uznać temat za zamknięty.
- Osoby kontaktowe (art. 9 ust. 1). Podmiot musi wyznaczyć co najmniej 2 osoby kontaktowe zdolne do całodobowego kontaktu z właściwym CSIRT sektorowym. Dla MŚP oraz podmiotów ważnych publicznych wystarczy 1 osoba. Dane wpisywane są do S46 i muszą być aktualizowane przy każdej zmianie w terminie 14 dni.
- Szkolenie kierownictwa (art. 8e ust. 1–3). Kierownik podmiotu oraz wyznaczona osoba odpowiedzialna za realizację obowiązków KSC mają obowiązek odbycia szkolenia z zakresu cyberbezpieczeństwa raz w roku, udokumentowanego zaświadczeniem z datą, programem i podpisem uczestnika. Odpowiedzialność kierownika za realizację wszystkich obowiązków KSC wynika z art. 8c ust. 1 — jest osobista i nieprzenaszalna. Więcej w artykule Odpowiedzialność kierownika w KSC.
- Weryfikacja niekaralności (art. 8f ust. 1 i 4). Przed dopuszczeniem do realizacji zadań SZBI lub zarządzania incydentami każda osoba musi przedstawić zaświadczenie o niekaralności z KRK. Zakaz jest bezwzględny — osoba skazana prawomocnym wyrokiem za przestępstwa wymienione w art. 8f ust. 4 nie może pełnić tych funkcji. Weryfikacja musi nastąpić przed rozpoczęciem zadań. Szczegóły w artykule Weryfikacja niekaralności personelu.
Zarządzanie incydentami
Zarządzanie incydentami to jeden z najbardziej operacyjnych elementów wdrożenia KSC. Ustawa wymaga nie tylko reagowania na incydenty gdy już wystąpią, ale przede wszystkim posiadania gotowej, przetestowanej procedury — zanim dojdzie do pierwszego zdarzenia.
| Etap | Termin od wykrycia | Treść zgłoszenia | Adresat |
|---|---|---|---|
| Wczesne ostrzeżenie (art. 11 ust. 1 pkt 4) | 24 godziny | Informacja o podejrzeniu incydentu poważnego, wstępna klasyfikacja, możliwy zasięg transgraniczny | Właściwy CSIRT sektorowy przez S46 |
| Pełne zgłoszenie (art. 11 ust. 1 pkt 4a) | 72 godziny | Potwierdzenie klasyfikacji, opis zdarzenia, podjęte środki zaradcze, wstępna ocena skutków | Właściwy CSIRT sektorowy przez S46 |
| Sprawozdanie końcowe (art. 11 ust. 1 pkt 4c) | 1 miesiąc od zgłoszenia | Szczegółowa analiza przyczyn, zakres skutków, wdrożone środki naprawcze, wnioski | Właściwy CSIRT sektorowy przez S46 |
Audyt bezpieczeństwa
Audyt bezpieczeństwa jest obligatoryjny wyłącznie dla podmiotów kluczowych. Podmioty ważne podlegają audytowi jedynie na żądanie organu właściwego (art. 15 ust. 1b).
| Parametr | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Pierwszy audyt | W terminie 24 miesięcy od spełnienia przesłanek — dla istniejących podmiotów: do 3 kwietnia 2028 r. | Tylko na żądanie organu właściwego |
| Kolejne audyty | Co najmniej raz na 3 lata, licząc od daty podpisania raportu z poprzedniego audytu | Tylko na żądanie organu |
| Koszt | Na koszt podmiotu kluczowego (art. 15 ust. 1) | Na koszt podmiotu (jeśli nakazany) |
| Kopia raportu | Do organu właściwego w terminie 3 dni roboczych od podpisania raportu (art. 15 ust. 1a) | Tak samo, jeśli audyt przeprowadzony |
| Kto przeprowadza | Akredytowana jednostka oceniająca zgodność LUB min. 2 audytorów z certyfikatami lub 3-letnim doświadczeniem (art. 15 ust. 2) | Jak dla PK |
Plan działania na 24 miesiące
Plan działania poniżej jest skonstruowany dla podmiotu, który spełnił przesłanki kwalifikacji 3 kwietnia 2026 r. Miesiące liczone są od tej daty. Harmonogram uwzględnia ustawowe terminy graniczne i logiczną sekwencję zależności między etapami.
| Faza | Miesiące | Termin graniczny | Kluczowe działania |
|---|---|---|---|
| Faza 1: Rozpoznanie i organizacja | M1–M2 | — | Potwierdzenie podlegania KSC; klasyfikacja PK/PW; decyzja zarządu o projekcie; powołanie właściciela projektu i zespołu wdrożeniowego; wstępna inwentaryzacja systemów i usług |
| Faza 2: Rejestracja i analiza luk | M3–M6 | 3.10.2026 — rejestracja S46 | Złożenie wniosku do S46; wyznaczenie min. 2 osób kontaktowych; inwentaryzacja aktywów IT; gap analysis względem 14 obszarów art. 8; weryfikacja niekaralności kluczowego personelu |
| Faza 3: Budowa SZBI | M7–M9 | — | Analiza ryzyka i rejestr ryzyk; opracowanie polityk bezpieczeństwa dla wszystkich 14 obszarów; wdrożenie środków priorytetowych (MFA, szyfrowanie, patch management); ocena ryzyk dostawców ICT |
| Faza 4: Operacjonalizacja | M10–M12 | 3.04.2027 — SZBI i obowiązki rozdz. 3 | Szkolenia zarządu i personelu (udokumentowane); wdrożenie monitoringu ciągłego (SIEM); uruchomienie procedury zarządzania incydentami; próbne raportowanie do CSIRT; weryfikacja kompletności SZBI |
| Faza 5: Dojrzałość i testy | M13–M18 | — | Testy BCP/DRP; przegląd skuteczności SZBI przez zarząd; aktualizacja polityk na podstawie wyników testów; weryfikacja łańcucha dostaw; aktualizacja danych w S46 |
| Faza 6: Audyt | M19–M24 | 3.04.2028 — pierwszy audyt PK | Pre-audyt wewnętrzny; wybór akredytowanej firmy audytorskiej (min. M19); przeprowadzenie audytu; podpisanie raportu; przekazanie kopii organowi właściwemu w 3 dni robocze |
Najczęstsze błędy wdrożeń
- Spóźniona lub pominięta samoidentyfikacja. Firmy z sektorów objętych KSC odkrywają obowiązek rejestracji po upływie terminu. Brak rejestracji podlega takiej samej karze jak naruszenia merytoryczne — do 10 mln EUR lub 2% obrotu. Samoidentyfikacja musi być krokiem zero, nie zadaniem na „po sezonie urlopowym".
- SZBI jako dokumenty w szufladzie. Najczęstszy błąd: firma zatrudnia konsultanta, który produkuje 14 polityk w pliku Word, i uznaje wdrożenie za zakończone. Ustawa wymaga faktycznej implementacji środków bezpieczeństwa. Organ w trakcie kontroli weryfikuje dowody: logi, konfiguracje, rejestry szkoleń, wyniki testów BCP, raporty z monitoringu.
- Pominięcie łańcucha dostaw. Obszar „e" jest systematycznie niedoszacowany. Firmy nie posiadają rejestru dostawców ICT z oceną ryzyka ani klauzul bezpieczeństwa w umowach z kluczowymi dostawcami — narażając się na naruszenie art. 8 ust. 1 pkt 2 lit. e.
- Brak procedury incydentowej przed wdrożeniem monitoringu. Monitoring bez procedury to narzędzie bez obsługi. Wykryto anomalię — ale kto decyduje o klasyfikacji jako „incydent poważny"? Kto wysyła wczesne ostrzeżenie w ciągu 24 godzin? Procedura musi istnieć i być przetestowana przed uruchomieniem produkcyjnym.
- Nieaktualne dane w S46. Dane osób kontaktowych muszą być aktualizowane przy każdej zmianie w terminie 14 dni. Wiele podmiotów zapomina o aktualizacji S46 po rotacji pracowników — co może stanowić naruszenie art. 7c.
- Brak dokumentacji szkoleń zarządu. Art. 8e wymaga rocznego, udokumentowanego szkolenia kierownika. Udział w konferencji branżowej bez zaświadczenia z datą i programem nie spełnia wymogu. Dokumentacja to element podlegający weryfikacji w trakcie kontroli.
- Weryfikacja niekaralności post factum. Weryfikacja musi nastąpić przed dopuszczeniem do realizacji zadań SZBI — nie można uzupełniać jej wstecz. Brak dokumentacji weryfikacji jest samodzielną przesłanką sankcji.
- Niedoszacowanie czasu selekcji audytora. Wybór akredytowanej firmy audytorskiej, negocjacja umowy i przeprowadzenie pełnego audytu trwa zwykle 3–6 miesięcy. Podmiot, który zacznie szukać audytora w M23, ryzykuje przekroczenie terminu 3 kwietnia 2028 r.