Słownik — ustawa o KSC / NIS2

Słownik pojęć KSC i NIS2

Ta sama regulacja funkcjonuje pod sześcioma nazwami, a jej pojęcia bywają mylone nawet w dokumentach zamówieniowych. Zebraliśmy 24 definicji, którymi posługuje się ustawa i praktyka — każda w kilku zdaniach, z artykułem ustawy tam, gdzie ma to znaczenie.

NIS2: NIS2 to unijna dyrektywa w sprawie cyberbezpieczeństwa (dyrektywa 2022/2555), następczyni pierwszej dyrektywy NIS. W Polsce została wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 r. Dyrektywa nie działa bezpośrednio — obowiązki wynikają z polskiej ustawy.
Ustawa o KSC (UKSC): Ustawa o krajowym systemie cyberbezpieczeństwa z 2018 r. — polski akt regulujący cyberbezpieczeństwo podmiotów kluczowych i ważnych. Jej nowelizacja wdrażająca dyrektywę NIS2 weszła w życie 3 kwietnia 2026 r. i objęła ponad 10 tysięcy podmiotów.
KSC 2.0 / KSC2: KSC 2.0 to potoczna nazwa znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa — wersji wdrażającej NIS2. Nie jest odrębnym aktem prawnym; NIS2, KSC 2.0, UKSC i „nowelizacja ustawy o KSC" opisują tę samą zmianę prawa.
Podmiot kluczowy: Podmiot kluczowy to kategoria podmiotów o najszerszych obowiązkach w ustawie o KSC — m.in. z obowiązkowym audytem bezpieczeństwa co 3 lata (pierwszy do 3 kwietnia 2028 r.). W samorządzie status kluczowy wskazywany jest m.in. dla starostw, większych urzędów (od 50 pracowników), spółek wodno-kanalizacyjnych i ciepłowniczych oraz SPZOZ.
Podmiot ważny: Podmiot ważny to druga kategoria podmiotów ustawy o KSC. Wykonuje obowiązki podstawowe — wpis do wykazu, SZBI, zgłaszanie incydentów, coroczne szkolenie kierownika — ale nie podlega obowiązkowemu audytowi cyklicznemu z art. 15. W samorządzie to co do zasady mniejsze urzędy, jednostki organizacyjne i pozostałe spółki komunalne.
Wykaz podmiotów kluczowych i ważnych (wykaz KSC): Wykaz KSC to rejestr podmiotów objętych ustawą, prowadzony przez Ministra Cyfryzacji w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), uruchomiony 13 kwietnia 2026 r. Wpis do wykazu jest pierwszym formalnym obowiązkiem podmiotu; zmiany danych zgłasza się w 14 dni.
Wpis z urzędu: Wpis z urzędu to wpis do wykazu KSC dokonany przez Ministra Cyfryzacji bez wniosku podmiotu — między 13 kwietnia a 6 maja 2026 r. objął m.in. urzędy JST i inne podmioty publiczne. Podmiot wpisany z urzędu nie składa wniosku o wpis; uzupełnia dane w terminie 6 miesięcy od doręczenia wezwania.
Wniosek o wpis (samoidentyfikacja): Wniosek o wpis to obowiązek podmiotu, którego nie wpisano do wykazu KSC z urzędu, a który spełnia przesłanki ustawy. Podmioty spełniające przesłanki 3 kwietnia 2026 r. składają wniosek do 3 października 2026 r. w aplikacji Wykaz KSC; wpis następuje z chwilą złożenia kompletnego wniosku.
Wezwanie do uzupełnienia danych: Wezwanie do uzupełnienia danych to pismo doręczane podmiotom wpisanym do wykazu KSC z urzędu (wysyłane od maja 2026 r. przez NASK-PIB). Zawiera kod do formularza w aplikacji Wykaz KSC. Od dnia doręczenia biegnie sześciomiesięczny, indywidualny termin na uzupełnienie danych jednostki.
System S46: S46 to rządowy system teleinformatyczny krajowego systemu cyberbezpieczeństwa — służy do zgłaszania incydentów, wymiany informacji o zagrożeniach i komunikacji z organami oraz CSIRT-ami. Podmioty z wykazu KSC muszą operacyjnie korzystać z S46 najpóźniej od 3 kwietnia 2027 r.
S46 Cyber Hub: S46 Cyber Hub to moduł operacyjny systemu S46, przez który podmiot obsługuje zgłoszenia i komunikację. Nowym podmiotom z wykazu jest udostępniany od 12 czerwca 2026 r.; dostęp wymaga wskazania administratora konta w danych wykazu.
SZBI (system zarządzania bezpieczeństwem informacji): SZBI to całość polityk, procedur i środków, którymi organizacja zarządza bezpieczeństwem swoich systemów informacyjnych. Ustawa o KSC wymaga wdrożenia SZBI w zakresie z art. 8 do 3 kwietnia 2027 r. SZBI z ustawy o KSC jest obowiązkiem odrębnym od SZBI z rozporządzenia KRI.
Analiza ryzyka: Analiza ryzyka to fundament SZBI: systematyczne szacowanie ryzyka dla systemów informacyjnych podmiotu, dokumentowane i zatwierdzane przez kierownika podmiotu. Z niej wynika dobór zabezpieczeń i plan postępowania z ryzykiem.
Incydent: Incydent to zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo systemów informacyjnych podmiotu. Ustawa wymaga jego wykrywania, rejestrowania, obsługi i — dla incydentów poważnych — zgłaszania przez system S46.
Incydent poważny: Incydent poważny to incydent podlegający zgłoszeniu do właściwego CSIRT: wczesne ostrzeżenie w 24 godziny od wykrycia, zgłoszenie w 72 godziny, raport końcowy po zakończeniu obsługi. Zgłoszenia przechodzą przez system S46; dla JST właściwy jest CSIRT NASK.
CSIRT NASK / CSIRT GOV / CSIRT MON: CSIRT-y krajowe to trzy zespoły reagowania na incydenty komputerowe, które odbierają zgłoszenia zależnie od sektora zgłaszającego. Dla jednostek samorządu terytorialnego właściwy jest CSIRT NASK; CSIRT GOV działa przy ABW, CSIRT MON — w resorcie obrony.
Kierownik podmiotu (art. 8c): Kierownik podmiotu to osoba odpowiadająca za realizację obowiązków ustawy o KSC — w samorządzie wójt, burmistrz, prezydent miasta lub starosta, w spółce prezes zarządu. Powierzenie zadań innej osobie nie zdejmuje odpowiedzialności z kierownika (art. 8c ust. 3). Kierownik zatwierdza analizę ryzyka i przechodzi coroczne szkolenie.
Szkolenie kierownika (art. 8e): Szkolenie kierownika podmiotu to obowiązek z art. 8e ustawy o KSC: raz w roku kalendarzowym, z udokumentowanym udziałem, w zakresie tematów wskazanych w art. 8e ust. 2. Ustawa nie określa wymiaru godzinowego ani wzoru certyfikatu.
Audyt bezpieczeństwa (art. 15): Audyt bezpieczeństwa systemu informacyjnego to obowiązek podmiotów kluczowych: co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028 r. Od tej samej daty organ nadzoru może nakładać kary pieniężne. Audyt z art. 15 jest czym innym niż coroczny audyt wewnętrzny z rozporządzenia KRI.
Wspólna realizacja obowiązków (art. 16e): Wspólna realizacja obowiązków to przewidziana w art. 16e ust. 5–9 ustawy o KSC możliwość wykonywania części obowiązków przez kilka podmiotów razem — m.in. przez centra usług wspólnych i porozumienia między JST. Obniża koszt przypadający na jednostkę, ale wymaga prawidłowego umocowania prawnego.
CUW (centrum usług wspólnych): CUW to jednostka obsługująca wspólnie zadania wielu jednostek organizacyjnych samorządu — np. księgowość, kadry lub IT. Na gruncie ustawy o KSC CUW może być wehikułem wspólnej realizacji części obowiązków cyberbezpieczeństwa (art. 16e).
LCC (Lokalne Centra Cyberbezpieczeństwa): Lokalne Centra Cyberbezpieczeństwa to program dotacyjny z FERC (działanie 2.2, operator CPPC) na wspólne centra kompetencji cyberbezpieczeństwa dla partnerstw co najmniej dwóch JST. W naborze ogłoszonym 31 lipca 2026 r. dostępne jest ok. 270 mln zł, wnioski do 30 października 2026 r.
KRI (Krajowe Ramy Interoperacyjności): KRI to rozporządzenie w sprawie Krajowych Ram Interoperacyjności — odrębny od ustawy o KSC reżim prawny, adresowany do podmiotów realizujących zadania publiczne, z własnym wymogiem SZBI i corocznym audytem wewnętrznym. Wdrożenie obowiązków ustawy o KSC nie konsumuje obowiązków KRI ani odwrotnie.
Osoba do kontaktu z KSC: Osoba do kontaktu to wskazana w wykazie KSC osoba, przez którą organy i CSIRT-y komunikują się z podmiotem. Jej dane (imię, nazwisko, e-mail, telefon) są częścią danych wykazu; każdą zmianę zgłasza się w terminie 14 dni.

Co dalej

Nie wiesz, którą kategorią jest Twoja jednostka i który termin ją wiąże? Sprawdź w teście statusu → Pełny przewodnik po regulacji: NIS2, KSC 2.0, UKSC — co to jest →