Ustawa o krajowym systemie cyberbezpieczeństwa — co realnie nakłada i na kogo
Znowelizowana ustawa o KSC obowiązuje od 3 kwietnia 2026 r. i wdraża do prawa polskiego dyrektywę NIS2. Objęła tysiące podmiotów, które wcześniej cyberbezpieczeństwa nie regulowały wcale — w tym urzędy gmin, powiatów i spółki komunalne. Poniżej rozłożone na części: czym jest sam system, skąd bierze się obowiązek, jakie są terminy i kto za co odpowiada.
Sprawdź status swojej jednostki →Krajowy system cyberbezpieczeństwa a ustawa o KSC
Skróty KSC i UKSC krążą zamiennie i dlatego mylą. Rozdzielenie ich zajmuje dwa zdania i porządkuje całą resztę.
Krajowy system cyberbezpieczeństwa
Struktura organizacyjna państwa: podmioty kluczowe i ważne wpisane do wykazu, organy właściwe dla poszczególnych sektorów, zespoły reagowania CSIRT NASK, CSIRT GOV i CSIRT MON, Pełnomocnik Rządu oraz system teleinformatyczny S46, przez który płyną zgłoszenia incydentów i komunikaty o zagrożeniach.
Ustawa o krajowym systemie cyberbezpieczeństwa
Akt prawny z 5 lipca 2018 r., znowelizowany ze skutkiem od 3 kwietnia 2026 r. Tworzy powyższą strukturę i nakłada obowiązki na podmioty z wykazu. To ona jest podstawą prawną, którą powołuje się w dokumentacji i w korespondencji z organem — nie dyrektywa NIS2, która wiąże państwo, a nie bezpośrednio podmiot.
W obiegu funkcjonuje jeszcze określenie KSC 2.0 — to potoczna nazwa tej samej nowelizacji, używana w materiałach branżowych i szkoleniowych. Wszystkie trzy skróty prowadzą do jednego tekstu prawnego. Pojedyncze pojęcia rozpisaliśmy w słowniku KSC i NIS2.
Dwie drogi wejścia do wykazu KSC
Obowiązki nie zaczynają się od samodzielnej oceny podmiotu, tylko od wpisu do wykazu. Wejść do niego można dwiema drogami, a od tego, którą podmiot wszedł, zależy jego indywidualny termin.
Wpis z urzędu
Organ wpisał podmiot samodzielnie — wpisy prowadzono między 13 kwietnia a 6 maja 2026 r. i objęły m.in. urzędy gmin, miast i starostwa powiatowe. Wpisany podmiot dostaje wezwanie do uzupełnienia danych i ma na to 6 miesięcy od dnia jego doręczenia. Termin jest zatem indywidualny dla każdej jednostki i liczy się od daty na potwierdzeniu odbioru.
Wniosek o wpis (samoidentyfikacja)
Podmiot, którego organ nie wpisał, a który spełniał przesłanki ustawy 3 kwietnia 2026 r., składał wniosek o wpis do 3 października 2026 r. Ta droga dotyczy przede wszystkim spółek — komunalnych i prywatnych — działających w sektorach objętych ustawą, na przykład zakładów wodociągowych, ciepłowniczych czy podmiotów ochrony zdrowia.
Wstępną kwalifikację można przejść samodzielnie w teście statusu — osiem pytań, wynik z podaniem podstawy prawnej i wyliczonym terminem, bez podawania danych kontaktowych.
Terminy wynikające z ustawy o KSC
| Termin | Co się dzieje |
|---|---|
| 3 kwietnia 2026 | Znowelizowana ustawa o KSC wchodzi w życie. |
| 13 kwietnia – 6 maja 2026 | Wpisy z urzędu do wykazu KSC — objęły m.in. urzędy jednostek samorządu terytorialnego. Wpisany podmiot uzupełnia dane w terminie 6 miesięcy od doręczenia wezwania, liczonym indywidualnie. |
| 3 października 2026 | Termin złożenia wniosku o wpis dla podmiotów, których nie wpisano z urzędu, a które spełniały przesłanki ustawy 3 kwietnia 2026 r. |
| 3 kwietnia 2027 | Koniec okresu dostosowawczego: wdrożony system zarządzania bezpieczeństwem informacji (art. 8) oraz operacyjne korzystanie z systemu S46. |
| 3 kwietnia 2028 | Pierwszy audyt bezpieczeństwa podmiotów kluczowych (art. 15). Od tej daty organ może nakładać kary pieniężne. |
Podmioty wpisane z urzędu mają ponadto własny, indywidualny termin uzupełnienia danych — sześć miesięcy od doręczenia wezwania. Dwie jednostki sąsiadujące ze sobą mogą więc mieć terminy odległe o kilka tygodni.
Co ustawa nakłada — artykuł po artykule
| Podstawa | Obowiązek | Na czym polega |
|---|---|---|
| art. 8 | System zarządzania bezpieczeństwem informacji | Analiza ryzyka, polityki i procedury, zarządzanie incydentami, ciągłość działania, bezpieczeństwo łańcucha dostaw, dokumentacja wykazująca zgodność. |
| art. 8c | Odpowiedzialność kierownika podmiotu | Wdrożenie i nadzór nad SZBI należą do kierownika podmiotu — wójta, burmistrza, prezydenta, starosty, zarządu spółki. Odpowiedzialności tej nie da się przenieść na informatyka ani na dostawcę. |
| art. 8e | Szkolenie kierownika | Kierownik odbywa szkolenie w zakresie wskazanym w art. 8e ust. 2 — obejmuje ono obowiązki podmiotu i jego własną odpowiedzialność, nie obsługę narzędzi. |
| art. 9 | Zgłaszanie incydentów | Obsługa incydentów i zgłaszanie incydentów poważnych do właściwego CSIRT w terminach ustawowych, z wykorzystaniem systemu S46. |
| art. 15 | Audyt bezpieczeństwa | Podmiot kluczowy przeprowadza audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata. Podmiotów ważnych ten obowiązek nie obejmuje. |
| art. 16e | Wspólna realizacja obowiązków | Jednostki samorządu mogą realizować obowiązki wspólnie — przez centrum usług wspólnych albo porozumienie. Przy kilkunastu jednostkach podległych to zwykle jedyny wykonalny wariant organizacyjny. |
Ustawa umieszcza odpowiedzialność za wdrożenie i nadzór po stronie kierownika podmiotu (art. 8c) — w jednostce samorządu jest nim wójt, burmistrz, prezydent miasta albo starosta, w spółce zarząd. Powierzenie zadań informatykowi, spółce zależnej albo firmie zewnętrznej organizuje wykonanie, natomiast samej odpowiedzialności nie przenosi. Z tego powodu ustawa przewiduje osobny obowiązek szkolenia kierownika (art. 8e), obejmujący obowiązki podmiotu i zakres własnej odpowiedzialności kierownika.
Kary pieniężne mogą być nakładane od 3 kwietnia 2028 r. Okres wcześniejszy ustawodawca przeznaczył na dostosowanie, a pierwszy audyt podmiotów kluczowych bada stan zbudowany właśnie w tym czasie.
Od czego zacząć
Kolejność ma znaczenie: bez ustalenia statusu i zakresu nie da się rzetelnie wycenić wdrożenia, a bez wdrożenia audyt daje sam raport braków.
Ustalenie statusu
Czy podmiot jest w wykazie, jako kluczowy czy ważny, i jaki ma indywidualny termin.
Test statusu → 02Audyt zerowy
Zestawienie stanu faktycznego z wymaganiami ustawy i lista działań ułożona według wagi.
Audyt zgodności → 03Wdrożenie SZBI
Dokumentacja, analiza ryzyka, obsługa incydentów i S46 — w zakresie z art. 8.
Wdrożenie → 04Finansowanie
Nabory i programy, z których jednostki finansują wdrożenie cyberbezpieczeństwa.
Źródła finansowania →Najczęstsze pytania o ustawę o KSC
Co to jest UKSC?
UKSC to skrót od ustawy o krajowym systemie cyberbezpieczeństwa — ustawy z 5 lipca 2018 r., znowelizowanej ze skutkiem od 3 kwietnia 2026 r. Nowelizacja wdraża do prawa polskiego dyrektywę NIS2 i bywa nazywana „KSC 2.0". Ta sama ustawa występuje w materiałach pod skrótami UKSC, KSC i ustawa o KSC.
Czym różni się KSC od UKSC?
KSC to krajowy system cyberbezpieczeństwa, czyli sama struktura: podmioty kluczowe i ważne, organy właściwe, zespoły CSIRT (NASK, GOV, MON), Pełnomocnik Rządu i system S46. UKSC to ustawa, która tę strukturę tworzy i nakłada obowiązki. W praktyce oba skróty bywają używane zamiennie i oznaczają to samo źródło obowiązków.
Czym różni się NIS2 od ustawy o KSC?
NIS2 to dyrektywa Unii Europejskiej (2022/2555), która wiąże państwa członkowskie co do celu i wymaga wdrożenia do prawa krajowego. Podmiot w Polsce stosuje przepisy ustawy o KSC, nie dyrektywę bezpośrednio — dlatego w piśmie do organu i w dokumentacji powołuje się artykuły ustawy, a nie artykuły dyrektywy.
Skąd wiadomo, czy podmiot podlega ustawie o KSC?
Dwiema drogami. Podmioty wpisane do wykazu KSC z urzędu (m.in. urzędy JST — wpisy między 13 kwietnia a 6 maja 2026 r.) otrzymały wezwanie do uzupełnienia danych i mają na to 6 miesięcy od jego doręczenia. Podmioty niewpisane z urzędu, które spełniały przesłanki ustawy 3 kwietnia 2026 r., składały wniosek o wpis do 3 października 2026 r. Kwalifikację wstępną można przejść w teście statusu.
Jaka jest różnica między podmiotem kluczowym a ważnym?
Podział wynika z sektora działalności i wielkości podmiotu. Dla obowiązków znaczenie ma przede wszystkim to, że podmiot kluczowy przechodzi obowiązkowy audyt bezpieczeństwa co 3 lata (art. 15), a podmiot ważny takiego obowiązku nie ma. Zakres samego SZBI z art. 8 jest w obu przypadkach ten sam.
Czy wdrożenie ISO 27001 wystarczy do zgodności z ustawą o KSC?
Norma ISO/IEC 27001 pokrywa znaczną część wymagań organizacyjnych SZBI i porządkuje pracę, natomiast zgodności z ustawą sama nie przesądza. Ustawa nakłada obowiązki, których norma nie zna — zgłaszanie incydentów poważnych do CSIRT w ustawowych terminach, korzystanie z systemu S46, szkolenie kierownika z art. 8e czy audyt z art. 15. Certyfikat jest dobrym punktem wyjścia i skraca wdrożenie.
Czy audyt KRI zastępuje obowiązki z ustawy o KSC?
Nie. To dwa odrębne reżimy. Audyt z Krajowych Ram Interoperacyjności dotyczy podmiotów publicznych i jest coroczny, a audyt z art. 15 ustawy o KSC obejmuje podmioty kluczowe co 3 lata. Wykonanie jednego nie zwalnia z drugiego — w zamówieniach jednostek samorządu te dwa audyty bywają mylone, co bywa kwestionowane przy rozliczeniu.
Od kiedy grożą kary za brak zgodności?
Kary pieniężne mogą być nakładane od 3 kwietnia 2028 r. Wcześniejszy okres służy dostosowaniu: SZBI ma działać od 3 kwietnia 2027 r., a pierwszy audyt podmiotów kluczowych przypada na rok 2028. Przedmiotem tego audytu będzie stan zbudowany w latach 2026–2027.
Zapytaj o zakres obowiązków swojego podmiotu
Odpowiadamy w 24 godziny robocze. Pierwsza rozmowa służy ustaleniu, co w konkretnym podmiocie wynika z ustawy, a co zostało już zrobione — i jest bez opłat.
- Prowadzi radca prawny — rozmowa objęta tajemnicą zawodową
- Bez sprzedaży sprzętu, licencji i usług monitorowania
- Zakres i wycena na piśmie przed rozpoczęciem prac