Progi incydentu poważnego w KSC: co przewiduje projekt?

9 września 2026 r. Ministerstwo Cyfryzacji opublikowało projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny. Nowe progi mają pomóc podmiotom kluczowym i ważnym ustalić, kiedy zgłosić incydent według terminów z ustawy o KSC: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. Projekt obejmuje także sektory dodane nowelizacją, w tym podmioty publiczne.

Stan na 23 października 2026 r.: omawiamy projekt z 2 września, a nie obowiązujące nowe progi. Wartości mogą się zmienić; do decyzji operacyjnej trzeba sprawdzić akt ogłoszony w Dzienniku Ustaw. Wykaz prac KPRM przypisuje temu projektowi numer RD326. Podstrona Ministerstwa Cyfryzacji używa numeru RD236, ale w wykazie KPRM RD236 oznacza inny projekt. Poniżej używamy numeru z wykazu prac KPRM.

Dlaczego progi są tak ważne

Ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20, 252, 815 i 1003) definiuje incydent poważny ogólnie: jako incydent, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości świadczenia usługi, może powodować straty finansowe dla podmiotu albo wpływa na inne osoby przez wywołanie poważnej szkody materialnej lub niematerialnej. Taka definicja nie wystarczy, żeby dyżurny administrator o drugiej w nocy zdecydował, czy zgłaszać zdarzenie do CSIRT.

Tę lukę wypełnia rozporządzenie wydawane na podstawie art. 11 ust. 4 ustawy. Określa ono konkretne wartości progowe w czterech kategoriach:

• liczba użytkowników, których dotyczy zakłócenie świadczenia usługi,
• czas oddziaływania incydentu na świadczoną usługę,
• zasięg geograficzny obszaru, którego dotyczy incydent,
• inne czynniki charakterystyczne dla danego sektora lub podsektora.

Według projektu wystarczy spełnienie jednego progu. Jak wskazano w jego uzasadnieniu, proponowane wartości w danym sektorze są niezależne: nie trzeba jednocześnie przekroczyć progu czasu i liczby użytkowników. Przed zastosowaniem tej zasady trzeba sprawdzić ogłoszony tekst rozporządzenia.

Od tej kwalifikacji zależą konkretne obowiązki z art. 11 ust. 1 ustawy. Podmiot kluczowy lub ważny zgłasza do właściwego CSIRT sektorowego (do czasu ogłoszenia jego zdolności operacyjnej — do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV, art. 44 ustawy nowelizującej):

Zgłoszenia przekazuje się przez system teleinformatyczny, o którym mowa w art. 46 ustawy, czyli S46. Dlatego tak ważny jest wcześniejszy wpis do Wykazu KSC i dostęp do S46 Cyber Hub. Ocena skutków regulacji dołączona do projektu podkreśla, że brak zgłoszenia incydentu poważnego oznacza administracyjną karę pieniężną.

Terminy dla konkretnego incydentu można policzyć w kalkulatorze terminów zgłoszenia incydentu, a każde zdarzenie, także poniżej progów, zapisać w bezpłatnym wzorze rejestru incydentów.

Skąd się wziął projekt i kiedy mógłby wejść w życie?

Nowe rozporządzenie zastąpi rozporządzenie Rady Ministrów z 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz.U. poz. 2180). Stary akt pozostaje w mocy do czasu wydania nowego, nie dłużej jednak niż 12 miesięcy od wejścia w życie nowelizacji ustawy o KSC z 23 stycznia 2026 r. (Dz.U. poz. 252). Problem polega na tym, że akt z 2018 r. nie obejmuje sektorów dodanych nowelizacją.

• Projektowane wejście w życie: po upływie 14 dni od ogłoszenia. To zapis projektu, a nie potwierdzona data obowiązywania.
• Konsultacje: pismem z 8 września 2026 r. Ministerstwo Cyfryzacji poprosiło organizacje o uwagi w terminie 21 dni od otrzymania pisma. To opis wcześniejszego etapu prac; bieżący status trzeba sprawdzić w wykazie KPRM.
• Okres dostosowawczy: uzasadnienie wprost wskazuje, że bezwzględny obowiązek zgłaszania incydentów poważnych zaistnieje po 3 kwietnia 2027 r., czyli po zakończeniu okresu dostosowawczego dla podmiotów kluczowych i ważnych.

Kogo rozporządzenie nie obejmuje

Projektowane krajowe progi nie dotyczą podmiotów, dla których kryteria określiła już Komisja Europejska w rozporządzeniu wykonawczym (UE) 2024/2690, wydanym na podstawie art. 23 ust. 11 dyrektywy NIS2. To m.in. dostawcy usług DNS (poza operatorami serwerów głównych), rejestry nazw domen najwyższego poziomu, dostawcy usług chmurowych i centrów danych, sieci dostarczania treści, dostawcy usług zarządzanych i zarządzanych usług bezpieczeństwa (MSP/MSSP), internetowe platformy handlowe, wyszukiwarki, platformy społecznościowe oraz dostawcy usług zaufania. Jedno z kryteriów unijnych to bezpośrednia strata finansowa przekraczająca 500 000 euro lub 5% rocznego obrotu, zależnie od tego, która wartość jest niższa; rozporządzenie wymienia także inne przesłanki. Sektor bankowy i infrastruktura rynków finansowych podlegają przepisom DORA.

Polski projekt ustala natomiast własne progi m.in. dla punktów wymiany ruchu internetowego (IXP), podmiotów świadczących usługi rejestracji nazw domen oraz przedsiębiorców komunikacji elektronicznej.

Najważniejsze progi w poszczególnych sektorach

W wielu sektorach powtarza się ten sam zestaw okoliczności „innych”, który samodzielnie przesądza o poważnym charakterze incydentu: śmierć człowieka, ciężki uszczerbek na zdrowiu, inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby, straty finansowe przekraczające 2 000 000 zł oraz ujawnienie tajemnicy prawnie chronionej, w tym tajemnicy przedsiębiorstwa. Poniżej wybrane progi specyficzne dla sektorów.

Tabela streszcza projekt załącznika, więc nie jest podstawą do traktowania proponowanych wartości jako już obowiązujących. Po ogłoszeniu rozporządzenia wiążący będzie jego opublikowany tekst; dla danego zdarzenia trzeba sprawdzić wszystkie kategorie właściwych progów.

Podmioty publiczne: co oznacza projekt dla urzędów i samorządów

Dla urzędów, jednostek samorządu terytorialnego i innych podmiotów publicznych projekt zawiera szczegółową listę progów. Według projektu incydent dotyczący realizacji zadania publicznego byłby uznany za poważny, jeżeli spełnia co najmniej jeden z warunków:

• narusza poufność, integralność lub autentyczność danych co najmniej 10% użytkowników systemu informacyjnego służącego realizacji zadania publicznego,
• uniemożliwia realizację zadania publicznego przez ponad 8 godzin, co uzasadnienie utożsamia z jednym dniem roboczym,
• uniemożliwia realizację zadań z zakresu obronności, bezpieczeństwa państwa, ochrony ludności, obrony cywilnej oraz bezpieczeństwa i porządku publicznego przez ponad 4 godziny,
• powoduje niedostępność systemu obsługującego rejestr publiczny, dziennika urzędowego, węzła krajowego identyfikacji elektronicznej lub systemu mObywatel przez ponad 4 godziny,
• prowadzi do ujawnienia tajemnicy prawnie chronionej,
• powoduje śmierć człowieka, ciężki uszczerbek na zdrowiu albo inny uszczerbek na zdrowiu więcej niż jednej osoby,
• powoduje straty finansowe przekraczające 2 000 000 zł.

Projekt przewiduje osobną przesłankę dla ransomware. Jeżeli dane w systemie informacyjnym podmiotu publicznego zostały zaszyfrowane i skierowano do niego żądanie okupu za ich odszyfrowanie, proponowany próg byłby spełniony bez względu na czas trwania czy liczbę osób, których dotyczy incydent. Podobny przepis projekt przewiduje dla Polskiej Agencji Kosmicznej. Już teraz warto sprawdzić, czy kopie zapasowe i plan odtworzenia po ataku ransomware faktycznie działają.

Projektowany próg 4 godzin dla rejestrów publicznych pokazuje, dlaczego urząd powinien znać czas niedostępności swoich systemów. Pojęcie rejestru publicznego z ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne jest szerokie: obejmuje rejestry, ewidencje, wykazy i spisy prowadzone na podstawie ustaw. Po wejściu nowych progów w życie awaria systemu obsługującego taki rejestr może wymagać szybkiej kwalifikacji i zgłoszenia.

Co zrobić już teraz: sześć praktycznych kroków

1. Przygotować matrycę klasyfikacji. Zbierz proponowane progi dla właściwego sektora lub sektorów, ale wyraźnie oznacz je jako projekt. Przed użyciem w procedurze zgłaszania porównaj je z tekstem ogłoszonego rozporządzenia. Wskaż właściciela dokumentu i termin aktualizacji.

2. Mierzyć czas, a nie go szacować. Projekt wymienia w różnych sektorach progi 1, 2, 4, 8 i 24 godzin. Potrzebne są wiarygodne znaczniki czasu: kiedy zdarzenie wystąpiło, kiedy je wykryto, kiedy usługa przestała być dostępna i kiedy ją przywrócono. Bez monitoringu dostępności i rejestru incydentów trudno będzie ocenić, czy zgłoszenie jest potrzebne.

3. Oceniać możliwe skutki wcześnie. Ustawowa definicja obejmuje także incydent, który może spowodować poważne skutki. Jeśli po godzinie od awarii widać, że rejestru publicznego nie uda się szybko przywrócić, uruchom wewnętrzną ocenę i sprawdź obowiązujące kryteria zgłoszenia. Termin wczesnego ostrzeżenia liczy się od wykrycia incydentu poważnego.

4. Przećwiczyć scenariusz ransomware. Projekt przewiduje dla podmiotów publicznych odrębny próg dotyczący zaszyfrowania danych połączonego z żądaniem okupu. Warto przygotować wzór wczesnego ostrzeżenia, listę kontaktów i ścieżkę decyzyjną. Pomocne są ćwiczenia typu tabletop, które opisaliśmy w artykule o planie reagowania na incydent.

5. Nie ograniczać analizy ryzyka do incydentów poważnych. Uzasadnienie projektu wyraźnie przypomina, że obowiązek systematycznego szacowania ryzyka (art. 8 ust. 1 pkt 1 ustawy) dotyczy wszystkich incydentów, które mogą wystąpić w podmiocie. Analiza zawężona do incydentów poważnych to, zdaniem projektodawcy, nieprawidłowość, która powinna zostać wykryta podczas audytu, kontroli lub przeglądu SZBI.

6. Zapewnić sobie dostęp do S46 przed pierwszym incydentem. Zgłoszenia idą przez system S46, a o terminie decydują godziny. Konto w systemie i przeszkolone osoby zgłaszające trzeba mieć, zanim wydarzy się pierwszy incydent. Samoidentyfikacji statusu podmiotu kluczowego lub ważnego dokonuje sam podmiot (art. 7c ustawy). Pomocny jest bezpłatny klasyfikator on-line na ksc.expert.

Jeżeli chcesz przełożyć nowe progi na procedurę zarządzania incydentami albo uporządkować system zarządzania bezpieczeństwem informacji przed 3 kwietnia 2027 r. zgodnie z wymaganiami znowelizowanej ustawy o KSC i dyrektywy NIS2, skontaktuj się z nami.

Najczęściej zadawane pytania

Czy nowe progi już obowiązują?

Nie. Na 23 października 2026 r. nowe wartości pozostają projektem. Akt z 31 października 2018 r. ma status obowiązujący; ustawa utrzymała go w mocy do wydania nowego rozporządzenia, nie dłużej niż przez 12 miesięcy od wejścia w życie nowelizacji KSC. Projekt przewiduje wejście nowego rozporządzenia w życie po upływie 14 dni od ogłoszenia. Przed podjęciem decyzji o zgłoszeniu sprawdź aktualny stan prawny i progi właściwe dla podmiotu.

Czy incydent musi przekroczyć wszystkie progi naraz?

Nie. Zgodnie z uzasadnieniem projektu wystarczy spełnienie jednego progu, np. tylko czasu niedostępności usługi albo tylko ujawnienia tajemnicy prawnie chronionej.

Czy atak ransomware na urząd zawsze trzeba zgłosić jako poważny?

Według projektu tak, jeżeli dane w systemie informacyjnym podmiotu publicznego zostały zaszyfrowane i do podmiotu skierowano żądanie okupu za ich odszyfrowanie. Czas trwania i liczba osób, których dotyczy incydent, nie mają wtedy znaczenia.

Co z incydentami, które nie przekraczają progów?

Zdarzenie poniżej właściwych progów może nie wymagać zgłoszenia jako incydent poważny, ale nadal trzeba je obsłużyć i uwzględnić w zarządzaniu ryzykiem. Sprawdź także inne obowiązki mające zastosowanie do danego zdarzenia; sama tabela projektowanych progów nie rozstrzyga wszystkich przypadków.

Czy firma chmurowa albo dostawca usług zarządzanych (MSP) stosuje te progi?

Nie. Dla nich progi określa rozporządzenie wykonawcze Komisji (UE) 2024/2690, które stosuje się bezpośrednio. Polski projekt wyłącza te podmioty ze swojego zakresu.

Źródła

• Wykaz prac KPRM: projekt progów incydentu poważnego RD326
• Projekt, uzasadnienie i załącznik na stronie Ministerstwa Cyfryzacji (na stronie oznaczony RD236)
• Ustawa z 23 stycznia 2026 r. o zmianie KSC (Dz.U. 2026 poz. 252)
• Rozporządzenie RM z 31 października 2018 r. o progach (Dz.U. 2018 poz. 2180)
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)