Czy moja organizacja potrzebuje pełnomocnika ds. cyberbezpieczeństwa?
Pełnomocnik ds. cyberbezpieczeństwa nie występuje w ustawie o KSC, a mimo to coraz więcej podmiotów kluczowych i ważnych go szuka. Kiedy taka rola ma sens, co mówi ustawa o odpowiedzialności zarządu, jakie terminy biegną od 3 kwietnia 2026 r., czego uczą MyDr, MPK Kraków i ataki na wodociągi oraz co powinno znaleźć się w umowie.
W skrócie: ustawa o KSC nie zna pełnomocnika ds. cyberbezpieczeństwa, ale wymaga, żeby ktoś wykonywał obowiązki z art. 8 i art. 9-13, i pozwala zlecić je na zewnątrz (art. 14). Odpowiedzialność zostaje przy kierowniku podmiotu, także po powierzeniu zadań innej osobie (art. 8c ust. 3). Podmiot, który 3 kwietnia 2026 r. spełniał przesłanki, ma czas na wpis do wykazu do 3 października 2026 r., a na wdrożenie systemu zarządzania bezpieczeństwem informacji i zgłaszanie incydentów do 3 kwietnia 2027 r. Kary organy mogą nakładać od 3 kwietnia 2028 r. Pełnomocnik ma sens wtedy, gdy w organizacji nie ma nikogo, kto zna jednocześnie ustawę, własną infrastrukturę i kalendarz. Stan prawny opisany niżej może się zmienić, o czym piszę na końcu.
Od kwietnia 2026 r. to pytanie zadaje mi co kilka tygodni prezes spółki komunalnej, sekretarz gminy albo dyrektor placówki, zwykle po otrzymaniu z Ministerstwa Cyfryzacji zawiadomienia o wpisie do wykazu. Odpowiedź brzmi „to zależy”, ale da się powiedzieć, od czego.
Podstawa prawna: ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (dalej „uksc”; tekst jednolity ogłoszony obwieszczeniem Marszałka Sejmu z 29 grudnia 2025 r., Dz.U. 2026 poz. 20, ze zmianami), znowelizowana ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252, obowiązującą od 3 kwietnia 2026 r.), która wdraża dyrektywę (UE) 2022/2555, czyli NIS2.
Skąd wzięła się ta nazwa, skoro nie ma jej w ustawie?
Ustawa o KSC zna kierownika podmiotu, osobę odpowiedzialną wskazywaną przy organie wieloosobowym (art. 8c ust. 2), osobę, której kierownik powierzył obowiązki za jej zgodą (art. 8c ust. 3), osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1) oraz, do realizacji zadań z art. 8 i art. 9-13, wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Pełnomocnika w tym katalogu nie ma.
Nazwa przyszła z praktyki, trochę przez analogię do pełnomocnika ds. systemu zarządzania z ISO 27001, i przyjęła się, bo jest zrozumiała dla zarządu. Tak też nazywam swoją rolę na stronie O mnie, a samej ustawie o KSC i NIS2 z perspektywy pełnomocnika poświęciłem osobny serwis, pelnomocnikcyber.pl. Trzeba tylko pamiętać, że to nie jest pełnomocnictwo w rozumieniu Kodeksu cywilnego i że umowa z takim pełnomocnikiem jest z punktu widzenia ustawy umową z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Definicja z art. 2 pkt 4j uksc obejmuje wprost doradztwo, więc mieści się w niej także umowa czysto doradcza. Ma to dwa skutki, które zaskakują przy podpisywaniu: informację o takiej umowie wraz z danymi dostawcy ujawnia się w wykazie (art. 7 ust. 2 pkt 16), a zmianę zgłasza w 14 dni (art. 7c ust. 3).
Kto odpowiada, a kto tylko pomaga?
Kierownik podmiotu. Art. 8c ust. 1 uksc wymienia obowiązki, za które ponosi odpowiedzialność, a ust. 3 dodaje, że ponosi ją także wtedy, gdy niektóre albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą. Art. 8d idzie dalej i opisuje, co kierownik robi osobiście: podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji, planuje adekwatne środki finansowe, przydziela zadania i nadzoruje ich wykonanie, dba o świadomość personelu i o zgodność z prawem. Raz w roku przechodzi udokumentowane szkolenie, tak samo jak osoba, której powierzył obowiązki (art. 8e).
Za niewykonanie tych obowiązków kierownikowi grozi kara pieniężna do 300% wynagrodzenia, a kierownikowi podmiotu publicznego do 100% (art. 73a ust. 4 i 5). Jest tu pułapka dla spółek komunalnych: jeżeli podmiot publiczny podlega ustawie także z innego sektora, na przykład jako przedsiębiorstwo wodociągowo-kanalizacyjne, do jego kierownika stosuje się próg 300% (art. 73a ust. 5 zdanie drugie). Sam podmiot kluczowy może zapłacić do 10 mln euro albo 2% przychodów (art. 73 ust. 3), a podmiot ważny do 7 mln euro albo 1,4% (art. 73 ust. 4).
Z tego wynika granica roli pełnomocnika, którą warto zapisać w pierwszym paragrafie umowy. Pełnomocnik przygotowuje, rekomenduje, koordynuje i pilnuje kalendarza. Decyzje o środkach bezpieczeństwa, o pieniądzach i o tym, kto za co odpowiada w organizacji, podejmuje kierownik i zostawia po nich ślad, choćby w formie krótkiej notatki albo uchwały. Zarząd, który słyszy od wykonawcy „my to bierzemy na siebie”, powinien poprosić o wskazanie przepisu, bo ustawa mówi co innego.
Czy ustawa w ogóle dotyczy mojej organizacji?
Zanim zaczniesz szukać pełnomocnika, ustal status. Art. 5 uksc dzieli podmioty na kluczowe i ważne według dwóch kryteriów: sektora z załącznika nr 1 lub 2 oraz wielkości liczonej według załącznika I do rozporządzenia 651/2014. Są też kategorie niezależne od wielkości, między innymi podmiot krytyczny i podmiot publiczny wskazany w załączniku nr 1 w sektorze podmioty publiczne (art. 5 ust. 1 pkt 4).
Dwie rzeczy z tej kwalifikacji mylą się najczęściej.
Po pierwsze, spółka komunalna nie jest „dużym przedsiębiorcą” tylko dlatego, że w całości należy do gminy. Art. 5 ust. 3 uksc wyłącza stosowanie art. 3 ust. 4 załącznika I do rozporządzenia 651/2014, czyli reguły, według której przedsiębiorstwo kontrolowane w co najmniej 25% przez organ publiczny nie jest MŚP. Spółka wod-kan z sześćdziesięcioma pracownikami jest więc przy wpisie do wykazu podmiotem ważnym, a nie kluczowym, i nie ma obowiązkowego audytu z art. 15. Sam popełniłem ten błąd w pierwszej wersji analizy dla jednego z klientów i poprawiłem go dopiero po przeczytaniu przepisu w tekście ustawy, a nie w omówieniu.
Po drugie, wpis z urzędu nie zamyka sprawy. Ministerstwo wpisało wiele spółek komunalnych z urzędu w sektorze „podmioty publiczne”, ale zawiadomienie jest jednocześnie wezwaniem do uzupełnienia danych w 6 miesięcy od doręczenia (art. 7b ust. 2), także w zakresie działalności, której wpis z urzędu nie objął (art. 7b ust. 4). Spółka wodociągowa wpisana jako spółka komunalna sama dopisuje sobie sektor zaopatrzenia w wodę i ścieków. Od tego, w jakim sektorze i jako jaki podmiot jest wpisana, zależy potem, czy stosuje pełny art. 8 ust. 1, czy załącznik nr 4 (art. 8 ust. 3), i czy obejmuje ją uproszczony tryb zgłaszania incydentów z art. 12c. Rozpisałem to na przykładzie sektora wod-kan we wpisie o ustawie o KSC w przedsiębiorstwie wodociągowo-kanalizacyjnym.
Wniosek o wpis, zmianę wpisu i wykreślenie zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5 uksc). Deklaracja wielkości podmiotu w wykazie wymaga danych ze sprawozdania finansowego, a nie oceny na oko.
Jakie terminy biegną od 3 kwietnia 2026 r.?
| Termin | Obowiązek | Podstawa |
|---|---|---|
| 3 kwietnia 2026 r. | wejście w życie nowelizacji | Dz.U. 2026 poz. 252 |
| 7 maja - 3 października 2026 r. | wniosek o wpis do wykazu dla podmiotów, które 3 kwietnia 2026 r. spełniały przesłanki, z wyłączeniem wpisanych z urzędu | art. 7c ust. 1 uksc, art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej, komunikat MC z 8 kwietnia 2026 r. |
| 6 miesięcy od doręczenia wezwania | uzupełnienie danych przez podmiot wpisany z urzędu, w tym o działalność nieobjętą wpisem | art. 7b ust. 2 i 4 uksc |
| 14 dni od zmiany | wniosek o zmianę wpisu przy każdej zmianie danych, także po zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa | art. 7c ust. 3, art. 7 ust. 2 pkt 16 uksc |
| 3 października 2026 r. | dawni operatorzy usług kluczowych zgłaszają incydenty poważne według nowych zasad | art. 33 ust. 4 ustawy nowelizującej |
| 12 czerwca 2026 r. - 3 kwietnia 2027 r. | okno na rozpoczęcie korzystania z Systemu S46 przez podmioty bez wcześniejszego porozumienia | art. 9 ust. 1 pkt 4 uksc, komunikat MC z 8 kwietnia 2026 r. |
| 3 kwietnia 2027 r. | wykonanie obowiązków z rozdziału 3: SZBI, osoby kontaktowe, obsługa i zgłaszanie incydentów | art. 33 ust. 1 ustawy nowelizującej |
| 3 kwietnia 2027 r. | koniec obowiązywania rozporządzenia z 2018 r. o progach incydentu poważnego, jeżeli nowe nie wejdzie wcześniej | art. 32 ustawy nowelizującej |
| 3 kwietnia 2028 r. | pierwszy audyt bezpieczeństwa podmiotu kluczowego | art. 33 ust. 2 ustawy nowelizującej, art. 15 uksc |
| od 3 kwietnia 2028 r. | możliwość nakładania kar pieniężnych z art. 73-73c i art. 76b | art. 35 ustawy nowelizującej |
| raz w roku kalendarzowym | udokumentowane szkolenie kierownika i osoby, której powierzono obowiązki | art. 8e uksc |
| 24 h / 72 h / 1 miesiąc | wczesne ostrzeżenie, zgłoszenie incydentu poważnego, sprawozdanie końcowe (liczone od zgłoszenia) | art. 11 ust. 1 pkt 4, 4a i 4c uksc |
Dwie uwagi do tej tabeli. Termin 3 października 2026 r. dotyczy samorejestracji, a nie podmiotów wpisanych z urzędu: te liczą 6 miesięcy od doręczenia wezwania, co w praktyce wypada na początek 2027 r. Nie radzę jednak czekać, bo od wniosku o zmianę wpisu zależy wskazanie administratora konta w S46, a bez konta w S46 nie da się zgłosić incydentu w wymaganej formie (art. 11 ust. 2). Druga uwaga: karencja kar do 3 kwietnia 2028 r. dotyczy kar z ustawy o KSC. Nie dotyczy 72 godzin na zgłoszenie naruszenia ochrony danych do UODO, które biegną od dawna i niezależnie.
Czego uczą incydenty z ostatnich lat?
Wyciek z systemu MyDr, ujawniony w sierpniu 2026 r., objął dane nawet 18,8 mln osób i ponad 12 tysięcy placówek. Włamanie nastąpiło u dostawcy, a obowiązki zgłoszenia i zawiadomienia pacjentów spadły na tysiące przychodni, z których większość nigdy nie zweryfikowała, jak ten dostawca zabezpiecza dane. Opisałem to w osobnym wpisie. Dla ustawy o KSC ta sprawa jest ilustracją art. 8 ust. 1 pkt 2 lit. e: bezpieczeństwo łańcucha dostaw ICT jest obowiązkiem podmiotu, a nie jego dostawcy.
Atak na MPK Kraków w grudniu 2024 r. pokazał, jak wygląda incydent w spółce komunalnej, gdy równolegle biegną dwa zegary: obsługa incydentu po linii cyberbezpieczeństwa i ocena naruszenia ochrony danych po linii RODO. Pisałem o nim tutaj. W 2025 r. celem ataków były kolejno stacje uzdatniania wody i oczyszczalnie ścieków w kilku gminach, a Najwyższa Izba Kontroli oceniła w sierpniu 2026 r., że zabezpieczenia operatorów dostarczających wodę były w latach 2021-2025 niewystarczające. W dużej części chodziło o panele sterownicze wystawione wprost do internetu, często z domyślnymi hasłami.
Poza Polską mechanizm jest ten sam. Colonial Pipeline w maju 2021 r. zatrzymał na kilka dni największy rurociąg paliwowy wschodniego wybrzeża USA po tym, jak napastnicy weszli przez konto VPN bez uwierzytelniania wieloskładnikowego. Atak na Change Healthcare w lutym 2024 r. sparaliżował rozliczenia w amerykańskiej ochronie zdrowia na tygodnie i objął dane około 190 milionów osób. Punktem wejścia było znów konto bez drugiego składnika. To są dokładnie te środki, które art. 8 ust. 1 pkt 2 lit. l uksc nazywa „bezpiecznymi środkami komunikacji elektronicznej uwzględniającymi uwierzytelnianie wieloskładnikowe w stosownych przypadkach”.
Wspólny mianownik tych spraw jest organizacyjny. W każdej z nich ktoś w organizacji wiedział o luce albo mógł się o niej dowiedzieć z rutynowego przeglądu, a nie było osoby, do której należało pilnowanie, żeby ten przegląd się odbył i żeby jego wynik trafił do kogoś z prawem podjęcia decyzji. Tę lukę wypełnia pełnomocnik, wewnętrzny albo zewnętrzny.
Kiedy pełnomocnik jest potrzebny, a kiedy nie?
Nie jest potrzebny, jeżeli w organizacji jest już osoba, która zna ustawę, zna własną infrastrukturę, ma czas i ma dostęp do kierownika. W urzędzie z własnym informatykiem, który od lat prowadzi audyt KRI i rozumie, co zmienia ustawa o KSC, wystarczy powierzenie obowiązków z art. 8c ust. 3 i roczne szkolenie. Zewnętrzny doradca może się przydać do jednorazowej analizy luk, ale stały abonament byłby wydatkiem bez pokrycia.
Jest potrzebny, gdy spełniony jest jeden z poniższych warunków, a w spółkach komunalnych zwykle spełnione są trzy naraz.
- IT jest w outsourcingu, więc nikt wewnątrz nie zna infrastruktury, a dostawca IT nie jest stroną żadnej z polityk, których ma przestrzegać. W jednej ze spółek wodociągowych, z którą pracuję, obowiązki dostawcy IT były opisane w czternastu projektach polityk, a w umowie z tym dostawcą nie było o nich ani słowa.
- Usługa działa na OT: sterowniki, telemetria, panele HMI, zdalny dostęp serwisowy firmy automatyki przez modem GSM. Dokumentacja pisana z szablonu tego nie widzi. W tej samej spółce polityka czystego ekranu wymagała blokady ekranu po pięciu minutach także dla stanowiska dyspozytora, które musi stale pokazywać alarmy.
- Dokumentacja powstała z szablonów i opisuje zamiary, a nie stan. Czternaście polityk, żadna z metryką, każda odwołująca się do analizy ryzyka, która nie istnieje, i jedna rola koordynatora pod siedmioma różnymi nazwami. Polityka kopii zapasowych stwierdzała w jednym punkcie brak testów odtwarzania, a w dwóch innych deklarowała ich cykliczne przeprowadzanie. To jest pierwsza rzecz, którą znajdzie audytor albo kontrola po incydencie.
- Nikt nie pilnuje kalendarza: wezwanie do uzupełnienia danych leży w skrzynce e-Doręczeń, nikt nie wie, kto będzie administratorem konta w S46, a osoby kontaktowe z art. 9 nie zostały wyznaczone.
- Kierownik nie ma z kim porozmawiać o ryzyku w języku, który pozwala podjąć decyzję. Art. 8d wymaga od niego decyzji i planowania środków finansowych. Bez kogoś, kto przedstawi warianty i koszty, decyzja nie zapadnie albo zapadnie na podstawie oferty sprzedawcy.
W takiej organizacji pełnomocnik wykonuje pracę, którą ustawa i tak nakazuje wykonać: kwalifikację i wykaz, inwentaryzację IT i OT, analizę ryzyka z planem postępowania, przegląd i urealnienie dokumentacji, procedurę incydentową z dwiema ścieżkami zgłoszeń, plan ciągłości działania, ocenę dostawców, szkolenie zarządu z art. 8e i pracowników, raport dla kierownika. Ustawa nie wymaga, żeby robiła to jedna osoba z zewnątrz. Wymaga, żeby to zostało zrobione i żeby dało się to wykazać. O tym, jakiej wiedzy i jakiego doświadczenia wymaga ta praca oraz o co zapytać kandydata, pisałem we wpisie o kompetencjach pełnomocnika ds. cyberbezpieczeństwa.
Co powinno znaleźć się w umowie z pełnomocnikiem?
Kilka zapisów, które zaoszczędzą sporu później. Wynikają z ustawy, z RODO i z praktyki.
- Rola doradcza, nie decyzyjna. Pełnomocnik rekomenduje, kierownik decyduje i dokumentuje decyzję (art. 8d pkt 1 uksc). Pełnomocnik nie ma kont administracyjnych w systemach, nie zatwierdza dostępów ani odstępstw i nie jest właścicielem ryzyka.
- Informacja z KRK przed rozpoczęciem pracy. Art. 8f ust. 1 uksc wymaga jej od każdej osoby realizującej zadania z art. 8 lub art. 11, a kierownik dopuszcza ją do zadań dopiero po otrzymaniu. Lepiej zamówić zaświadczenie przed podpisaniem umowy niż odkryć ten przepis w dniu startu.
- Wpis do wykazu. Zgoda wykonawcy na ujawnienie jego danych w wykazie (art. 7 ust. 2 pkt 16) i obowiązek podmiotu zgłoszenia zawarcia oraz zakończenia umowy w 14 dni (art. 7c ust. 3). Warto sprawdzić, czy dostawca IT także nie jest dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, bo wtedy i jego trzeba wpisać.
- Odrębna umowa powierzenia z art. 28 RODO, bo pełnomocnik zobaczy rejestry incydentów, listy szkoleń i dane pracowników.
- Rozdział od funkcji IOD, jeżeli tę samą osobę zatrudniasz w obu rolach. Art. 38 ust. 6 RODO zakazuje konfliktu interesów, a konflikt powstaje, gdy IOD dobiera zabezpieczenia, które potem sam ocenia. Odrębne umowy, katalog czynności wyłączonych, ocena skuteczności środków wykonywana przez kogoś innego i pisemna ocena konfliktu zatwierdzona przez kierownictwo, przeglądana co roku. Jeżeli tego rozdziału nie da się utrzymać, obie funkcje powinny pełnić różne osoby. Przy okazji trzeba przejrzeć umowę IOD: zapisy w rodzaju „określanie środków technicznych” albo „zarządzanie bezpieczeństwem danych” są zadaniami decyzyjnymi i same w sobie tworzą dowód konfliktu.
- Audyt poza pełnomocnikiem. Audyt z art. 15 dla podmiotu kluczowego przeprowadza podmiot zewnętrzny, a pełnomocnik nie audytuje obszarów, które sam projektował.
- Podział pracy i terminy. Kto pisze dokumenty, kto je recenzuje, kto zatwierdza, w jakim czasie kierownik podejmuje decyzje. Zgodność do 3 kwietnia 2027 r. nie da się dowieźć, jeżeli decyzje czekają miesiącami.
- Status samego wykonawcy. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który spełnia co najmniej wymogi małego przedsiębiorcy, jest podmiotem kluczowym niezależnie od sektora klienta (art. 5 ust. 1 pkt 3 uksc). Mikroprzedsiębiorca pozostaje poza ustawą. Warto wiedzieć, z kim się podpisuje umowę.
- Granice odpowiedzialności. Wykonawca odpowiada za rzetelność swoich rekomendacji i dokumentów, nie za skutki decyzji, których zarząd nie podjął, ani za kary administracyjne nałożone na podmiot i kierownika. Każdy przypadek niewdrożonej rekomendacji powinien być raportowany pisemnie, bo to jest jedyny dowód, że pełnomocnik zrobił swoje.
Czy stan prawny się zmieni?
Tak, i to w kilku miejscach, dlatego traktuj ten wpis jako opis stanu na dzień publikacji.
Prezydent podpisał nowelizację 19 lutego 2026 r. i jednocześnie skierował ją do Trybunału Konstytucyjnego w trybie kontroli następczej, wskazując na głosy przedsiębiorców uznających część obowiązków za nadmierne. Ustawa obowiązuje, ale orzeczenie Trybunału może zmienić jej fragmenty.
Ministerstwo Cyfryzacji opublikowało na początku września 2026 r. projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny, z 21-dniowym terminem konsultacji. Zastąpi ono rozporządzenie z 2018 r., które na mocy art. 32 ustawy nowelizującej obowiązuje najdłużej do 3 kwietnia 2027 r. W projekcie próg dla dostarczania wody to niedostępność usługi dla co najmniej 100 000 użytkowników powyżej 8 godzin albo incydent na terenie dwóch lub więcej gmin, a dla podmiotów publicznych między innymi naruszenie danych co najmniej 10% użytkowników systemu albo brak możliwości realizacji zadania publicznego powyżej 8 godzin. Dla małej spółki komunalnej oznacza to, że obowiązkowe zgłoszenie do CSIRT będzie rzadkością, ale obowiązek obsługi każdego incydentu z art. 11 ust. 1 pkt 1 pozostaje, tak jak 72 godziny wobec UODO.
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) zmienia ustawę o KSC od 28 października 2026 r. Zmiana dotyczy zadań organów systemu, a nie obowiązków podmiotów kluczowych i ważnych, ale tekst ujednolicony trzeba będzie pobrać na nowo.
Ustawa z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym (Dz.U. 2026 poz. 815), wdrażająca dyrektywę CER, uruchomiła identyfikację podmiotów krytycznych przez organy sektorowe. Podmiot uznany za krytyczny staje się podmiotem kluczowym niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. c uksc), z obowiązkowym audytem i nadzorem prewencyjnym. Dla spółki wodociągowej, która dziś jest podmiotem ważnym, to najbardziej prawdopodobna droga do zmiany statusu w 2027 r.
Ministerstwo zapowiada też publikację minimalnych wymagań technicznych i funkcjonalnych, z sześciomiesięcznym terminem na dostosowanie, a w maju 2026 r. konsultowało zestawienie norm i dokumentów wspierających wykonywanie obowiązków z ustawy. Rozporządzenie o Krajowych Ramach Interoperacyjności obowiązuje w obecnym kształcie do 23 lutego 2027 r.
Projektu kolejnej nowelizacji samej ustawy o KSC w wykazie prac legislacyjnych na dzień publikacji nie znalazłem. Jeżeli się pojawi, zaktualizuję ten wpis i datę stanu prawnego pod nim.
Od czego zacząć?
- Znajdź zawiadomienie o wpisie do wykazu albo ustal, że go nie ma, i policz termin: 3 października 2026 r. przy samorejestracji, 6 miesięcy od doręczenia wezwania przy wpisie z urzędu.
- Ustal status na tekście ustawy, z uwzględnieniem art. 5 ust. 3, i zapisz uzasadnienie. Sprawdź, czy wpis obejmuje całą działalność.
- Wyznacz osoby kontaktowe z art. 9 i administratora konta w S46. Bez tego nie zgłosisz incydentu.
- Zdecyduj, kto w organizacji odpowiada za cyberbezpieczeństwo z imienia i nazwiska, i czy kierownik powierza obowiązki komuś na podstawie art. 8c ust. 3. Zapisz to uchwałą albo zarządzeniem.
- Dopiero teraz odpowiedz na pytanie z tytułu. Jeżeli osoba z punktu czwartego zna ustawę, infrastrukturę i ma czas, pełnomocnik zewnętrzny nie jest potrzebny. Jeżeli nie, poszukaj kogoś, kto potrafi przeczytać zarówno art. 8 ust. 1, jak i konfigurację routera (o co go zapytać), i zapisz w umowie to, co wyżej.
- Zaplanuj szkolenie kierownika z art. 8e jeszcze w tym roku kalendarzowym.
Punkt czwarty jest tym, od którego wszystko zależy, i tym, który organizacje najchętniej odkładają. Rozmowa o tym, kto odpowiada, jest niewygodna, ale ustawa i tak ją rozstrzyga: odpowiada kierownik. Pełnomocnik może mu tylko pomóc tę odpowiedzialność unieść.
Najczęściej zadawane pytania
Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?
Kto odpowiada za cyberbezpieczeństwo w spółce komunalnej albo urzędzie?
Jakie terminy wynikają z nowelizacji ustawy o KSC z 2026 r.?
Czy pełnomocnik ds. cyberbezpieczeństwa może być jednocześnie IOD?
Czy zewnętrzny pełnomocnik musi przedstawić zaświadczenie z Krajowego Rejestru Karnego?
Czy stan prawny opisany we wpisie może się zmienić?
Źródła
- Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa
- Obwieszczenie Marszałka Sejmu z 29 grudnia 2025 r. - tekst jednolity ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20)
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
- Dyrektywa (UE) 2022/2555 (NIS2)
- Rozporządzenie (UE) 2016/679 (RODO)
- Ustawa z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz.U. 2026 poz. 815)
- Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003)
- Projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny (RD236)
- System S46 - uzyskaj dostęp (Ministerstwo Cyfryzacji)
Stan prawny na dzień publikacji: . Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).