Przewodnik zgodności dla podmiotów kluczowych i ważnych. Wdraża dyrektywę NIS2. Zastępuje pojęcia OUK i DUC nowymi kategoriami podmiotów.
Kluczowe różnice w stosunku do poprzedniej ustawy o krajowym systemie cyberbezpieczeństwa.
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz. U. 2026 poz. 252). Wdraża dyrektywę NIS2 (UE 2022/2555). Zastępuje pojęcia OUK i DUC nowymi kategoriami: podmioty kluczowe i podmioty ważne.
OUK i DUC zastąpione przez "podmioty kluczowe" i "podmioty ważne" — szerszy katalog sektorów i podmiotów.
Podmioty samodzielnie oceniają czy spełniają kryteria i rejestrują się — nie czekają na decyzję organu.
Nowe wymogi dot. łańcucha dostaw, zarządu, weryfikacji karalności, szkoleń.
Osobista odpowiedzialność finansowa kierownictwa — do 300% miesięcznego wynagrodzenia.
Do 10M EUR lub 2% obrotu (poprzednio max 1M PLN).
Nowa procedura oceny i wycofania produktów/usług dostawcy uznanego za DHR.
Najważniejsze przepisy i ich przedmiot.
Dwie kategorie podmiotów z różnymi poziomami nadzoru i sankcji.
Surowsze wymogi nadzorcze i wyższe kary. Organ nadzoru może przeprowadzać kontrole prewencyjne.
Nadzór reaktywny — organ działa po incydencie lub skardze. Mniejsze kary, ale te same obowiązki podstawowe.
Załącznik I (kluczowe) i Załącznik II (ważne) do ustawy.
Art. 5 ustawy KSC — trzy kroki do ustalenia statusu podmiotu.
Czy Twoja działalność wchodzi w zakres Załącznika I lub II do ustawy?
250+ prac. lub obrót >50M EUR = kluczowy. 50-249 prac. lub 10-50M EUR = ważny.
Złóż wniosek o wpis do wykazu w ciągu 6 miesięcy od spełnienia kryteriów (art. 7c ust. 1).
Niezależnie od wielkości ustawie podlegają podmioty, jeśli są jedynym dostawcą danej usługi w Polsce, ich zakłócenie miałoby istotny wpływ na bezpieczeństwo publiczne, lub organ nadzorczy wskaże je z urzędu.
Kompletny katalog obowiązków z Art. 8 i nast. Obowiązki dotyczą zarówno podmiotów kluczowych, jak i ważnych.
Chronologiczne zestawienie kluczowych terminów ustawy KSC 2026.
Ustawa KSC 2026 podpisana i opublikowana w Dz. U. 2026 poz. 252
Podmioty muszą złożyć wniosek o wpis do wykazu podmiotów kluczowych lub ważnych
Art. 7c ust. 1Pełne wdrożenie systemu zarządzania bezpieczeństwem informacji i środków zarządzania ryzykiem — od dnia spełnienia przesłanek uznania za podmiot
Art. 16 pkt 1Przeprowadzenie pierwszego audytu — niezależny podmiot zewnętrzny, bez konfliktu interesów. Termin od dnia spełnienia przesłanek uznania za podmiot kluczowy.
Art. 16 pkt 2Regularne audyty bezpieczeństwa nie rzadziej niż co 3 lata
Art. 15 ust. 1Roczne szkolenie z cyberbezpieczeństwa dla kierownictwa i osoby odpowiedzialnej za cyber
Art. 8e ust. 1Art. 9-11 ustawy KSC 2026 — obowiązkowy proces zgłaszania incydentów poważnych.
Kryteria Art. 9 — spełnienie jednego z poniższych:
Administracja rządowa, służby specjalne, infrastruktura krytyczna
Pozostałe podmioty, dostawcy usług cyfrowych, obywatele
Podmioty z sektora obronnego i wojskowego
ISO 27001 i ISO 22301 znacząco wspierają zgodność z KSC 2026, ale nie zapewniają automatycznie pełnej zgodności.
Wdrożenie ISO 27001 równolegle z KSC pozwala efektywnie zbudować SZBI wymagany przez art. 8 ustawy. Ustawa nie uznaje wprost certyfikatu ISO 27001 jako automatycznego dowodu zgodności, ale certyfikacja pozostaje najsilniejszym argumentem merytorycznym przy kontroli. ISO 27001 + ISO 22301 łącznie pokrywają ~85% wymagań.
| Wymaganie KSC 2026 | Art. KSC | ISO 27001 | ISO 22301 | Pokrycie |
|---|---|---|---|---|
| Polityki bezpieczeństwa i szacowania ryzyka | Art. 8 ust. 1 pkt 2 lit. a | Kl. 5.2, A.5.1 | Kl. 5.2 | Pełne |
| Zarządzanie ryzykiem cyberbezpieczeństwa | Art. 8 ust. 1 pkt 1 | Kl. 6.1, A.8 | Kl. 6.1 | Pełne |
| Obsługa incydentów | Art. 8; art. 9-11 | A.5.24-5.28 | — | Częściowe |
| Terminy zgłaszania incydentów (24h/72h/1M) | Art. 11 | — | — | Brak |
| Ciągłość działania i DRP | Art. 8 ust. 1 pkt 2 lit. f | A.5.29-5.30 | Kl. 8, 9, 10 | Pełne (22301) |
| Bezpieczeństwo łańcucha dostaw ICT | Art. 8; art. 8e-8f | A.5.19-5.22 | — | Częściowe |
| Procedura DHR (dostawca wysokiego ryzyka) | Art. 8 ust. 1 | — | — | Brak |
| MFA / bezpieczna komunikacja | Art. 8 ust. 1 pkt 2 lit. l | A.8.5 | — | Pełne |
| Kryptografia i szyfrowanie | Art. 8 ust. 1 pkt 2 lit. k | A.8.24 | — | Pełne |
| Bezpieczeństwo zasobów ludzkich | Art. 8 ust. 1 pkt 2 lit. d | A.6.1-6.6 | — | Pełne |
| Weryfikacja karalności (KRK) | Art. 8f ust. 1 | A.6.1 (częściowo) | — | Brak |
| Szkolenia — zarząd (roczne) | Art. 8e ust. 1 | Kl. 5.1 (ogólnie) | — | Częściowe |
| Odpowiedzialność osobista kierownictwa | Art. 73a | — | — | Brak |
| Rejestracja w wykazie podmiotów | Art. 7c ust. 1 | — | — | Brak |
| Audyt bezpieczeństwa co 3 lata | Art. 15; art. 16 | — | — | Brak |
Wymagania KSC 2026, które nie są pokryte przez ISO 27001 ani ISO 22301. Krytyczne luki do uzupełnienia.
Złożenie wniosku o wpis do wykazu w ciągu 6 miesięcy. Wniosek składany elektronicznie, podpisany kwalifikowanym podpisem.
Działanie: wniosek formalno-administracyjnyISO daje ramy procesu, ale nie definiuje ustawowych terminów zgłaszania do CSIRT. KSC nakłada sztywne ramy czasowe.
Działanie: procedura z konkretnymi progami czasowymiArt. 8f nakłada obowiązek sprawdzenia w Krajowym Rejestrze Karnym. ISO 27001 A.6.1 wymaga background checks, ale nie precyzuje KRK.
Działanie: procedura weryfikacji + dokumentacja KRKSpecyficzna procedura oceny i potencjalnego wycofania produktów/usług dostawcy uznanego za DHR. Brak odpowiednika w ISO.
Działanie: opracowanie procedury DHR + plan migracjiOdrębny od recertyfikacji ISO. Zakaz konfliktu interesów — audytor nie może realizować zadań operacyjnych.
Działanie: zlecenie audytu niezależnemu podmiotowiKierownik jednostki odpowiada osobiście karą do 300% wynagrodzenia (sektor prywatny) lub 100% (sektor publiczny). Art. 73a. ISO nie generuje odpowiedzialności osobistej.
Działanie: szkolenie zarządu + dokumentacjaWymagają rozszerzenia lub adaptacji dla KSC.
ISO daje ramy procesu, ale KSC dodaje: klasyfikację jako "poważny", terminy 24h/72h/1M, obowiązek zgłoszenia do CSIRT.
ISO wymaga zarządzania relacjami z dostawcami, ale KSC precyzuje obowiązek oceny ryzyka DHR i planu migracji.
ISO wymaga zaangażowania kierownictwa, ale nie precyzuje rocznego obowiązku szkolenia z cyberbezpieczeństwa.
ISO obejmuje bezpieczeństwo komunikacji, ale KSC wymaga specyficznie zabezpieczonych kanałów kryzysowych.
Rekomendowana kolejność wdrożenia dodatkowych środków.
| # | Działanie | Priorytet | Termin |
|---|---|---|---|
| 1 | Samoidentyfikacja: czy podmiot spełnia kryteria ustawy | Krytyczny | Natychmiast |
| 2 | Złożenie wniosku o wpis do wykazu podmiotów | Krytyczny | Do 6 miesięcy |
| 3 | Wyznaczenie osoby odpowiedzialnej za cyber + rejestracja w CSIRT | Krytyczny | Przy rejestracji |
| 4 | Weryfikacja KRK kierownictwa i osoby odpowiedzialnej | Krytyczny | Przy rejestracji |
| 5 | Aktualizacja procedury incydentowej o terminy 24h/72h/1M | Wysoki | Do 12 miesięcy |
| 6 | Opracowanie procedury DHR i rejestru dostawców krytycznych | Wysoki | Do 12 miesięcy |
| 7 | Wdrożenie rocznego szkolenia zarządu z cyberbezpieczeństwa | Wysoki | Do 12 miesięcy |
| 8 | Zlecenie pierwszego audytu KSC niezależnemu podmiotowi | Średni | Do 24 miesięcy |
| 9 | Opracowanie planu komunikacji kryzysowej | Średni | Do 12 miesięcy |
| 10 | Dokumentacja odpowiedzialności osobistej kierownictwa | Średni | Do 12 miesięcy |
Art. 73 i 73a ustawy KSC 2026. Organ stosuje wyższą z kwot.
Art. 73 ust. 3. Nadzór prewencyjny. Możliwość zawieszenia działalności.
Art. 73 ust. 4. Nadzór reaktywny (po incydencie lub skardze).
Art. 73a. Do 300% w sektorze prywatnym, do 100% w sektorze publicznym.
| Naruszenie | Kluczowy | Ważny |
|---|---|---|
| Brak rejestracji w wykazie podmiotów | Do 10M EUR / 2% | Do 7M EUR / 1,4% |
| Niezgłoszenie incydentu poważnego (24h/72h) | Do 10M EUR / 2% | Do 7M EUR / 1,4% |
| Brak wdrożenia SZBI | Do 10M EUR / 2% | Do 7M EUR / 1,4% |
| Brak lub nienależyte przeprowadzenie audytu | Do 10M EUR / 2% | Do 7M EUR / 1,4% |
| Niezastosowanie się do decyzji organu | Do 10M EUR / 2% | Do 7M EUR / 1,4% |
| Brak weryfikacji karalności (KRK) | Do 10M EUR / 2% | — |
| Naruszenie przez kierownika — brak nadzoru (art. 73a) | Do 300% wyn. (pryw.) / 100% (publ.) | Do 300% wyn. (pryw.) / 100% (publ.) |
Art. 8e-8f — jeden z najbardziej wymagających nowych obszarów KSC 2026. Wprowadza procedurę Dostawcy Wysokiego Ryzyka (DHR).
Art. 67b — unikalna procedura polska, brak odpowiednika w ISO.
Minister ds. cyfryzacji wszczyna postępowanie w sprawie uznania dostawcy za DHR (z urzędu lub na wniosek).
Analiza: powiązania dostawcy z państwem trzecim, historia naruszeń, luki w produktach, praktyki dostawcy.
Minister wydaje decyzję. Dostawca wpisany na listę DHR.
Podmioty kluczowe i ważne muszą opracować plan zastąpienia produktów/usług DHR (do 7 lat).
Wdrożenie alternatywnych rozwiązań. Nowe zamówienia produktów DHR zakazane od dnia decyzji.
Gap analysis, wdrożenie SZBI, procedury incydentowe, przygotowanie do audytu — od strategii do dokumentacji operacyjnej.
KSC 2026 Przewodnik Zgodności | Ustawa z dnia 23 stycznia 2026 r. (Dz. U. 2026 poz. 252) | Wdraża dyrektywę NIS2 (UE 2022/2555) | Dokument informacyjny — nie stanowi porady prawnej.