Nowelizacja KSC 2026: Przewodnik po obowiązkach, audycie i systemach zarządzania

Zgodnie z aktualnymi przepisami, podmiot ma obowiązek wysłać wczesne ostrzeżenie do właściwego CSIRT w ciągu 24 godzin od momentu wykrycia incydentu poważnego. Kolejnym krokiem jest przekazanie pełnego zgłoszenia incydentu w ciągu 72 godzin, a raport końcowy musi zostać dostarczony w ciągu miesiąca od zakończenia obsługi zdarzenia.

Tak, nowelizacja KSC obejmuje administrację publiczną szerokim zakresem, traktując urzędy gmin, powiatów oraz inne jednostki budżetowe jako podmioty kluczowe lub ważne. Wielkość jednostki wpływa na skalę wdrożonych środków, ale nie zwalnia z obowiązku posiadania SZBI i regularnego przeprowadzania audytów bezpieczeństwa.

Kary administracyjne są nakładane w sposób proporcjonalny do skali naruszenia i mogą wynieść do 10 000 000 EUR dla podmiotów kluczowych. Warto jednak podkreślić, że oprócz kar finansowych, organ nadzorczy ma prawo do wydawania wiążących zaleceń, przeprowadzania doraźnych kontroli, a w skrajnych przypadkach do czasowego zawieszenia certyfikatów lub uprawnień kadry zarządzającej.

Tak, nowelizacja KSC obejmuje administrację publiczną szerokim zakresem, traktując urzędy gmin, powiatów oraz inne jednostki budżetowe jako podmioty kluczowe lub ważne. Wielkość jednostki wpływa na skalę wdrożonych środków, ale nie zwalnia z obowiązku posiadania Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz regularnego przeprowadzania audytów bezpieczeństwa przez niezależne podmioty zewnętrzne.

Obowiązek ten nakłada na organizację konieczność weryfikacji wszystkich dostawców produktów i usług ICT pod kątem ich odporności cyfrowej. W praktyce oznacza to przeprowadzanie audytów u dostawców, sprawdzanie ich certyfikatów bezpieczeństwa oraz wprowadzanie do umów rygorystycznych zapisów dotyczących ochrony danych i zgłaszania podatności. Podmiot nie może tłumaczyć się błędem dostawcy, jeśli wcześniej nie dokonał jego należytej weryfikacji.

Główna różnica tkwi w charakterze nadzoru. Podmioty kluczowe podlegają rygorystycznemu nadzorowi uprzedniemu (ex-ante), co oznacza regularne, planowe audyty i kontrole organów nadzorczych. Podmioty ważne są nadzorowane następczo (ex-post) – kontrola następuje zazwyczaj w przypadku wystąpienia incydentu lub podejrzenia naruszenia przepisów, jednak w obu przypadkach standardy zabezpieczeń technicznych pozostają na zbliżonym, wysokim poziomie.

Ustawa nakłada na członków zarządów i kierowników jednostek obowiązek odbywania regularnych szkoleń w zakresie cyberbezpieczeństwa. Celem jest nabycie kompetencji niezbędnych do identyfikacji ryzyk oraz zrozumienia wpływu zagrożeń na ciągłość działania podmiotu. Brak udokumentowanego przeszkolenia kadry zarządzającej jest traktowany jako istotne uchybienie podczas audytu zgodności.

Przepisy wymagają, aby audyt był przeprowadzany przez osobę lub podmiot posiadający odpowiednie certyfikaty (np. CISA, CISM) oraz zachowujący pełną niezależność i obiektywizm. Choć audyty wewnętrzne są dobrą praktyką, to oficjalny audyt certyfikujący lub okresowy audyt wymagany ustawą powinien być realizowany przez wykwalifikowanych audytorów zewnętrznych, co gwarantuje bezstronność oceny.

Cyberbezpieczeństwo w ramach KSC oraz ochrona danych osobowych w ramach RODO to obszary komplementarne. Naruszenie bezpieczeństwa systemów IT często wiąże się z wyciekiem danych, co nakłada na jednostkę obowiązek równoległego raportowania do CSIRT (zgodnie z KSC) oraz do Urzędu Ochrony Danych Osobowych (zgodnie z RODO). Spójny System Zarządzania Bezpieczeństwem Informacji pozwala na jednoczesne spełnienie obu tych reżimów prawnych.

Poza wysokimi karami finansowymi nakładanymi na organizację, nowelizacja przewiduje sankcje wpływające na bieżące funkcjonowanie podmiotu. Organ nadzorczy może wydać ostrzeżenie publiczne, wyznaczyć kuratora ds. cyberbezpieczeństwa lub w skrajnych przypadkach tymczasowo zakazać osobom odpowiedzialnym pełnienia funkcji kierowniczych, jeśli ich zaniechania bezpośrednio zagrażają bezpieczeństwu państwa lub obywateli.