Mapa obowiązków KSC / NIS 2

Złóż wniosek o wpis do wykazu w terminie 6 miesięcy od spełnienia przesłanek. Jeśli spełniałeś je już 3.04.2026, termin samorejestracji upłynął 3.10.2026 — samorejestracja jest nadal dostępna, złóż wniosek niezwłocznie (Q&A 2.32). Z urzędu minister wpisuje m.in. przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne (art. 7a ust. 2) oraz dotychczasowych operatorów usług kluczowych (art. 34 ust. 2 ustawy nowelizującej) — jeśli należysz do tych grup, wybierz odpowiedni wariant mapy. Wniosek elektroniczny w S46 wypełnia i podpisuje ta sama osoba (kierownik, osoba upoważniona lub pełnomocnik), z oświadczeniem o prawdziwości danych. Zmiany danych zgłaszasz w 14 dni.

Dane osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (imię i nazwisko, służbowy telefon i e-mail; dla administratora konta w S46 także PESEL lub identyfikator eID) są obowiązkowym elementem wniosku o wpis — dlatego osoby kontaktowe musisz wskazać już przy wniosku, w terminie na wpis. Samo wyznaczenie osób kontaktowych (art. 9 ust. 1 pkt 1) jest obowiązkiem z rozdziału 3, objętym terminem 12 miesięcy (art. 16 pkt 1) — w praktyce jednak wyznaczasz je wcześniej, aby podać ich dane.

Zapewnij użytkownikom usług dostęp do wiedzy pozwalającej zrozumieć cyberzagrożenia i skutecznie się przed nimi chronić (np. informacje na stronie internetowej — wystarczy hiperłącze do stron organu właściwego lub CSIRT) oraz możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą.

Wdróż system zarządzania bezpieczeństwem informacji: systematyczne szacowanie ryzyka i proporcjonalne środki — polityki, łańcuch dostaw ICT, plany ciągłości działania, monitoring ciągły, kryptografia i MFA, cyberhigiena, kontrola dostępu, zarządzanie aktywami.

Opracuj i utrzymuj dokumentację SZBI, ochrony infrastruktury, ciągłości działania i techniczną oraz zapisy operacyjne. Zapewnij nadzór nad dokumentacją i przechowywanie min. 2 lata od wycofania.

Przygotuj proces: klasyfikacja incydentu poważnego wg progów, wczesne ostrzeżenie ≤ 24 h i zgłoszenie ≤ 72 h od wykrycia przez S46 — trafiają one do właściwego CSIRT MON, NASK lub GOV (Q&A 7.2), a docelowo do CSIRT sektorowego po ogłoszeniu jego zdolności operacyjnej (art. 44 ustawy nowelizującej); sprawozdanie końcowe ≤ 1 miesiąc od zgłoszenia, informowanie użytkowników. Wyjątek: dostawca usług zaufania zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 24 h od wykrycia (art. 11 ust. 1a) — nie 72 h.

Oceń dostawców sprzętu i oprogramowania, wprowadź wymogi bezpieczeństwa do umów, monitoruj podatności dostawców oraz decyzje o dostawcach wysokiego ryzyka.

Odbierz informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji od osób realizujących zadania z art. 8 lub art. 11: od obecnego personelu — w okresie dostosowawczym, od nowych osób — przed dopuszczeniem do zadań. Dotyczy pracowników i osób na umowach zawartych bezpośrednio z podmiotem, nie personelu wykonawców. Bez cyklicznego ponawiania — tylko przy uzasadnionym podejrzeniu skazania.

Rozpocznij korzystanie z systemu teleinformatycznego S46 po uzyskaniu wpisu do wykazu — to kanał zgłoszeń incydentów i komunikacji nadzorczej. Dostęp: oświadczenie o dołączeniu (Q&A 7.3), logowanie przez Węzeł Krajowy (Q&A 7.4). Dostosuj systemy do wymagań technicznych opublikowanych w BIP.

Przeprowadź na własny koszt audyt bezpieczeństwa systemu informacyjnego — przez akredytowaną jednostkę, co najmniej dwóch kwalifikowanych audytorów lub CSIRT sektorowy. Kopię raportu przekaż organowi właściwemu w 3 dni robocze. Kolejne audyty co najmniej raz na 3 lata. Wyjątek: jeśli byłeś operatorem usług kluczowych i wykonałeś audyt przed nowelizacją, termin 24 miesięcy nie ma zastosowania — kolejny audyt przeprowadzasz w ciągu 3 lat od podpisania raportu z ostatniego audytu (art. 25 ustawy nowelizującej, Q&A 9.5–9.6), co może oznaczać termin wcześniejszy niż wskazany.

Kierownik podmiotu (oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa) przechodzi udokumentowane szkolenie raz w roku kalendarzowym.

Zapewnij stałą edukację personelu z cyberbezpieczeństwa i podstawowych zasad cyberhigieny — to element SZBI podlegający ocenie skuteczności.