Przejdź do treści
[email protected] +48 604 548 169
Idealdata

KSC 2026: obowiązki, terminy i audyt cyberbezpieczeństwa

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r.

Wprowadziła kategorie podmiotów kluczowych i ważnych oraz nowe obowiązki dotyczące zarządzania ryzykiem, SZBI i zgłaszania incydentów.

Pomagamy ustalić zakres wymagań dla konkretnej organizacji, przeprowadzić analizę luk i zaplanować wdrożenie. Wynik zależy od statusu podmiotu, jego systemów i stanu zabezpieczeń; sam audyt ani certyfikat ISO/IEC 27001 nie potwierdza automatycznie zgodności z KSC.

01

Najpierw ustal status organizacji

Sprawdź działalność i sektor z załączników do ustawy, wielkość organizacji oraz szczególne reguły kwalifikacji. Od statusu podmiotu kluczowego lub ważnego zależą terminy, zakres audytu i sposób nadzoru. Podmioty, które spełniały przesłanki 3 kwietnia 2026 r. i nie zostały wpisane z urzędu, miały czas na wniosek o wpis do wykazu do 3 października 2026 r.

02

Zaplanuj wdrożenie SZBI i zgłaszanie incydentów

Dla podmiotów objętych nowymi obowiązkami okres dostosowania upływa 3 kwietnia 2027 r. Praca obejmuje analizę ryzyka, zasady zarządzania dostępem, ciągłość działania, bezpieczeństwo dostawców, szkolenia i procedurę zgłaszania incydentów. Ocenę zgodności należy oprzeć na rzeczywistych procesach, dowodach i wymaganiach właściwych dla organizacji.

03

Oddziel audyt KSC od audytu KRI

Podmiot kluczowy, który nie był wcześniej operatorem usługi kluczowej, ma czas na pierwszy audyt KSC do 3 kwietnia 2028 r.; kolejne audyty odbywają się co najmniej raz na trzy lata. W podmiotach realizujących zadania publiczne § 19 KRI przewiduje także coroczny audyt wewnętrzny bezpieczeństwa informacji. Te podstawy prawne oraz zakresy audytu należy rozpatrywać osobno.

Zobacz też: audyt i wdrożenie NIS2/KSC, audyt KRI oraz szkolenia z cyberbezpieczeństwa. Aktualne terminy publikuje Ministerstwo Cyfryzacji.

Harmonogram wdrożenia nowelizacji KSC

TerminObowiązek / wydarzenie
13.04.2026Uruchomienie Wykazu podmiotów kluczowych i ważnych KSC
13.04–6.05.2026Wpisy z urzędu realizowane przez Ministra Cyfryzacji
7.05–3.10.2026Samorejestracja — składanie wniosków o wpis do Wykazu KSC
12.06.2026Uruchomienie Systemu S46 dla nowych podmiotów
3.10.2026Koniec terminu na złożenie wniosku o wpis do Wykazu KSC
3.04.2027Koniec okresu dostosowawczego — wdrożone SZBI i pozostałe obowiązki ustawowe
3.04.2028Pierwszy audyt KSC dla podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych

Krajowy System Cyberbezpieczeństwa

KSC 2026 — najczęstsze pytania

Kogo obejmuje nowelizacja KSC?
Obowiązki podmiotu kluczowego lub ważnego zależą od rodzaju działalności, sektora, wielkości oraz wyjątków wskazanych w ustawie. Status każdej organizacji, także podmiotu publicznego, trzeba ustalić na podstawie konkretnych przepisów. Sam fakt bycia jednostką podległą JST nie przesądza o kwalifikacji.
Jakie są terminy zgłaszania incydentu poważnego?
Podmiot objęty tym obowiązkiem przekazuje wczesne ostrzeżenie do właściwego CSIRT do 24 godzin od wykrycia incydentu poważnego, zgłoszenie do 72 godzin od wykrycia, a sprawozdanie końcowe zasadniczo do miesiąca od zgłoszenia. Dla dostawców usług zaufania obowiązuje odrębny termin zgłoszenia incydentu.
Czy każdy podmiot ważny musi przeprowadzać okresowy audyt KSC?
Ustawowy cykl audytu co najmniej raz na trzy lata dotyczy podmiotów kluczowych. Podmiot ważny może zostać zobowiązany do audytu przez właściwy organ. Niezależnie od tego podmioty realizujące zadania publiczne powinny uwzględnić odrębny obowiązek audytu wewnętrznego bezpieczeństwa informacji co najmniej raz w roku wynikający z KRI.
Czy audyt KSC musi wykonywać firma zewnętrzna z certyfikatem CISA?
Nie ma ogólnej zasady, że jedyną dopuszczalną formą jest firma zewnętrzna z certyfikatem CISA. Dla ustawowego audytu podmiotu kluczowego trzeba spełnić wymagania dotyczące wykonawców i kwalifikacji określone w art. 15 ustawy. Zakres, bezstronność i kwalifikacje audytorów należy sprawdzić przed zleceniem audytu.
Czy trzeba audytować wszystkich dostawców ICT?
KSC wymaga uwzględnienia bezpieczeństwa łańcucha dostaw w zarządzaniu ryzykiem. Sposób oceny dostawcy powinien wynikać z ryzyka, rodzaju usługi i zależności organizacji. Sama ustawa nie ustanawia powszechnego obowiązku audytu każdego dostawcy ani wymagania, by każdy posiadał certyfikat.
Kogo dotyczy obowiązek szkolenia kierownictwa?
Art. 8e ustawy wymaga, by kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono jego obowiązki z zakresu cyberbezpieczeństwa, odbywali udokumentowane szkolenie co najmniej raz w roku kalendarzowym. Program powinien odpowiadać roli i zagrożeniom danej organizacji.
Czy każdy incydent zgłasza się równocześnie do CSIRT i UODO?
Nie. Zgłoszenie do CSIRT zależy od tego, czy zdarzenie jest incydentem podlegającym zgłoszeniu według KSC. Zgłoszenie do UODO ocenia się osobno według RODO, gdy doszło do naruszenia ochrony danych osobowych i spełnione są przesłanki zgłoszenia. Jedno zdarzenie może uruchomić oba obowiązki, lecz nie dzieje się tak automatycznie.
Co zmienia nowelizacja KSC w 2026 roku?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS2. Wprowadza kategorie podmiotów kluczowych i ważnych, obowiązki dotyczące SZBI, zarządzania incydentami i wyznaczania osób do kontaktu z podmiotami KSC. Zakres zależy od kwalifikacji konkretnej organizacji.
Jakie kary grożą za niespełnienie wymagań KSC?
Kary zależą od rodzaju podmiotu, naruszonego obowiązku i zasad wymiaru kary w ustawie. Dla części naruszeń przewidziano wysokie górne granice kwotowe lub procent obrotu. Nie każda organizacja ma ten sam limit; ocenę ryzyka sankcji trzeba odnieść do właściwego przepisu i statusu podmiotu.
Czy KSC dotyczy firm prywatnych?
Tak. Ustawa obejmuje także firmy prywatne w sektorach wskazanych w załącznikach, m.in. energetyce, transporcie, ochronie zdrowia, infrastrukturze cyfrowej i gospodarowaniu odpadami. O kwalifikacji decydują konkretna działalność, wielkość oraz wyjątki przewidziane w ustawie.
Jak przygotować organizację do KSC?
Przygotowanie obejmuje: analizę luk względem wymagań, mapowanie aktywów i ryzyk, opracowanie polityk i procedur SZBI, wdrożenie kontroli technicznych i organizacyjnych, szkolenia zespołu oraz audyt zgodności przed kontrolą organu nadzoru.

KSC 2026

Umów się na konsultację

Opisz krótko swoją sytuację — odpowiemy z propozycją zakresu i terminu. Konsultacja wstępna jest bezpłatna i do niczego nie zobowiązuje.

Konsultacja z ekspertem+48 604 548 169

Administratorem danych jest Idealdata sp. z o.o. Dane z formularza przetwarzamy, aby odpowiedzieć na wiadomość i prowadzić dalszą korespondencję (art. 6 ust. 1 lit. b i f RODO). Szczegóły i Twoje prawa: polityka prywatności.

Pola oznaczone gwiazdką (*) są wymagane.