KSC i NIS2 w Polsce - kogo dotyczą nowe obowiązki i jakie konsekwencje grożą firmom?

Cyberbezpieczeństwo przestało być wyłącznie technicznym problemem działu IT. Dziś jest elementem odpowiedzialności zarządu, ciągłości działania firmy, ochrony przychodów oraz bezpieczeństwa całego łańcucha dostaw. Jedną z najważniejszych regulacji w tym obszarze jest ustawa o krajowym systemie cyberbezpieczeństwa, nazywana w skrócie KSC.

Nowelizacja KSC, która wdrożyła do polskiego prawa wymagania unijnej dyrektywy NIS2, znacząco rozszerzyła katalog podmiotów objętych regulacją. Zamiast dotychczasowych operatorów usług kluczowych i dostawców usług cyfrowych wprowadzono podział na podmioty kluczowe oraz podmioty ważne. Według szacunków Ministerstwa Cyfryzacji nowe przepisy mogą objąć około 38 tysięcy organizacji, w tym około 27 tysięcy podmiotów publicznych.

Czym jest Krajowy System Cyberbezpieczeństwa?

Krajowy System Cyberbezpieczeństwa to zbiór przepisów, instytucji, procedur i mechanizmów, których zadaniem jest zwiększenie odporności państwa, administracji oraz przedsiębiorstw na cyberataki.

KSC określa między innymi:

• które organizacje podlegają obowiązkom w zakresie cyberbezpieczeństwa;

• jakie zabezpieczenia organizacyjne i techniczne powinny wdrożyć;

• jak mają zarządzać ryzykiem;

• w jaki sposób powinny wykrywać i obsługiwać incydenty;

• kiedy i komu należy zgłaszać poważne incydenty;

• jak wygląda kontrola realizacji obowiązków;

• jakie sankcje mogą zostać nałożone na firmę oraz jej kierownictwo.

  
  

Nie należy przy tym traktować KSC jak pojedynczego certyfikatu, produktu lub systemu informatycznego. Firma nie „wdraża KSC” w taki sam sposób, jak wdraża program antywirusowy. W praktyce organizacja musi wdrożyć system zarządzania bezpieczeństwem informacji, procedury, odpowiedzialności, zabezpieczenia techniczne oraz proces ciągłego zarządzania ryzykiem.

Kogo dotyczą przepisy KSC?

Samo prowadzenie działalności gospodarczej nie oznacza automatycznie objęcia ustawą. Należy przeanalizować jednocześnie:

1. rodzaj prowadzonej działalności;

2. sektor wskazany w załącznikach do ustawy;

3. wielkość przedsiębiorstwa;

4. powiązania kapitałowe i organizacyjne;

5. znaczenie świadczonych usług;

6. wyjątki, w których wielkość firmy nie ma znaczenia.

   
   

Proces ten nazywany jest samoidentyfikacją. Podmiot samodzielnie ocenia, czy spełnia przesłanki uznania go za podmiot kluczowy albo ważny. Analiza powinna opierać się przede wszystkim na art. 5 ustawy oraz załącznikach nr 1 i 2.

Podmioty kluczowe

Do tej kategorii należą przede wszystkim większe organizacje działające w sektorach uznanych za kluczowe dla państwa i społeczeństwa. Zasadniczo dotyczy to podmiotów wskazanych w załączniku nr 1, które przewyższają kryteria średniego przedsiębiorstwa.

Podmiotami kluczowymi mogą być między innymi organizacje działające w sektorach:

• energii, ciepłownictwa, gazu, paliw, wodoru i energetyki jądrowej;

• transportu lotniczego, kolejowego, wodnego i drogowego;

• bankowości i infrastruktury rynków finansowych;

• ochrony zdrowia;

• produkcji i dystrybucji produktów leczniczych oraz wyrobów medycznych;

• zaopatrzenia w wodę pitną;

• odprowadzania i oczyszczania ścieków;

• infrastruktury cyfrowej;

• komunikacji elektronicznej;

• zarządzania usługami ICT;

• przestrzeni kosmicznej;

• administracji i podmiotów publicznych.

  
  

W określonych przypadkach organizacja może być podmiotem kluczowym niezależnie od wielkości. Dotyczy to między innymi dostawców usług DNS, kwalifikowanych dostawców usług zaufania, podmiotów krytycznych, niektórych podmiotów publicznych, rejestrów domen najwyższego poziomu oraz podmiotów świadczących usługi rejestracji domen.

Podmioty ważne

Podmiotem ważnym może być między innymi średnie przedsiębiorstwo działające w sektorze kluczowym, które nie spełnia warunków uznania go za podmiot kluczowy, albo średnie i większe przedsiębiorstwo z sektora wymienionego w załączniku nr 2.

Sektory ważne obejmują między innymi:

• usługi pocztowe;

• gospodarowanie odpadami;

• produkcję, wytwarzanie i dystrybucję chemikaliów;

• produkcję, przetwarzanie i dystrybucję żywności;

• produkcję urządzeń elektrycznych;

• produkcję komputerów, elektroniki i urządzeń optycznych;

• produkcję maszyn i urządzeń;

• produkcję pojazdów, przyczep, naczep i sprzętu transportowego;

• dostawców usług cyfrowych;

• organizacje badawcze;

• określone podmioty publiczne i komunalne.

  
  

Ustawa przewiduje również szczególne zasady dla przedsiębiorców komunikacji elektronicznej, dostawców usług zaufania, dostawców usług zarządzanych w zakresie cyberbezpieczeństwa oraz podmiotów leczniczych. W niektórych przypadkach regulacją mogą zostać objęte także małe lub mikroprzedsiębiorstwa.

Dlatego samo stwierdzenie, że firma „jest za mała na NIS2”, może być błędne.

Najważniejsze obowiązki wynikające z KSC

1. Wpis do Wykazu KSC

Podmioty objęte ustawą mają obowiązek znaleźć się w Wykazie podmiotów kluczowych i podmiotów ważnych. Część organizacji jest wpisywana z urzędu, natomiast pozostałe powinny przeprowadzić samoidentyfikację i dokonać samodzielnego wpisu.

Podmioty, które spełniały kryteria w chwili wejścia w życie nowelizacji, powinny dokonać wpisu do 3 października 2026 r. 

Brak wpisu nie oznacza, że firma nie podlega przepisom. Jeżeli spełnia kryteria ustawowe, obowiązki mogą istnieć niezależnie od tego, czy przedsiębiorstwo prawidłowo przeprowadziło rejestrację.

2. System Zarządzania Bezpieczeństwem Informacji

Podstawowym obowiązkiem jest wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji - SZBI w systemach wykorzystywanych w procesach mających wpływ na świadczenie usług.

SZBI powinien obejmować systematyczne szacowanie ryzyka oraz proporcjonalne środki techniczne i organizacyjne. Ustawa wskazuje między innymi na:

• polityki bezpieczeństwa i zarządzania ryzykiem;

• bezpieczeństwo zakupu, rozwoju i eksploatacji systemów;

• testowanie zabezpieczeń;

• bezpieczeństwo fizyczne i środowiskowe;

• bezpieczeństwo personelu;

• zarządzanie ryzykiem dostawców i łańcucha dostaw;

• plany ciągłości działania, plany awaryjne i odtwarzanie po awarii;

• ciągłe monitorowanie systemów;

• procedury oceny skuteczności zabezpieczeń;

• szkolenia pracowników i cyberhigienę;

• kryptografię i szyfrowanie;

• bezpieczną komunikację;

• uwierzytelnianie wieloskładnikowe, gdy jest zasadne;

• zarządzanie aktywami;

• kontrolę dostępu;

• zarządzanie podatnościami i incydentami;

• regularne aktualizowanie oprogramowania.

  
  

W praktyce oznacza to, że nie wystarczy kupić firewalla, programu antywirusowego lub usługi monitoringu. Organizacja musi potrafić wykazać, że zabezpieczenia wynikają z analizy ryzyka, są udokumentowane, regularnie testowane i rzeczywiście stosowane.

3. Zarządzanie incydentami

Firma musi posiadać procedurę pozwalającą:

• wykryć incydent;

• określić jego skalę;

• zabezpieczyć dowody;

• ograniczyć rozprzestrzenianie zagrożenia;

• odtworzyć działanie usług;

• udokumentować przebieg zdarzenia;

• zgłosić incydent do właściwego CSIRT.

  
  

Dla poważnych incydentów obowiązują konkretne terminy:

• wczesne ostrzeżenie - nie później niż w ciągu 24 godzin od wykrycia;

• właściwe zgłoszenie - nie później niż w ciągu 72 godzin;

• sprawozdanie końcowe - co do zasady w ciągu miesiąca od zgłoszenia.

  
  

Tak krótkie terminy wymagają wcześniejszego przygotowania. Firma dopiero podczas ataku nie powinna ustalać, kto podejmuje decyzje, gdzie znajdują się logi, jak odłączyć zainfekowane urządzenie albo kto odpowiada za kontakt z CSIRT.

4. Odpowiedzialność kierownictwa

Nowe przepisy wyraźnie przenoszą cyberbezpieczeństwo na poziom zarządczy. Kierownik podmiotu odpowiada za realizację obowiązków, podejmowanie decyzji dotyczących SZBI, zaplanowanie budżetu, przydzielenie zadań i nadzorowanie ich wykonania.

W przypadku organu wieloosobowego odpowiedzialność może dotyczyć wszystkich jego członków, jeżeli nie wskazano konkretnej osoby odpowiedzialnej. Powierzenie zadań pracownikowi, zewnętrznemu informatykowi lub dostawcy usług nie zwalnia kierownictwa z odpowiedzialności.

Kierownictwo oraz osoby, którym powierzono obowiązki w zakresie cyberbezpieczeństwa, powinny również przechodzić udokumentowane szkolenie raz w roku.

5. Audyty cyberbezpieczeństwa

Podmioty kluczowe mają obowiązek przeprowadzania niezależnych audytów cyberbezpieczeństwa. Pierwszy audyt dla podmiotów objętych nowelizacją powinien zostać przeprowadzony do 3 kwietnia 2028 r., a kolejne co najmniej raz na trzy lata.

Audyt nie powinien ograniczać się do sprawdzenia dokumentów. Musi oceniać, czy procedury i zabezpieczenia są rzeczywiście wdrożone, skuteczne i zgodne z ryzykiem organizacji.

Jakie konsekwencje grożą za brak zgodności?

Kary finansowe dla podmiotów kluczowych

W przypadku podmiotu kluczowego kara może wynieść maksymalnie:

• 10 milionów euro albo

• 2% przychodów osiągniętych z działalności gospodarczej w poprzednim roku obrotowym,

  
  

przy czym zastosowanie ma wyższa z tych wartości. Minimalna kara wynosi 20 tysięcy złotych.

Kary dla podmiotów ważnych

W przypadku podmiotu ważnego maksymalna kara może wynieść:

• 7 milionów euro albo

• 1,4% przychodów z działalności gospodarczej w poprzednim roku obrotowym.

  
  

Minimalna kara wynosi 15 tysięcy złotych.

Kara do 100 milionów złotych

Jeżeli naruszenie spowoduje bezpośrednie i poważne cyberzagrożenie dla bezpieczeństwa państwa, porządku publicznego, obronności, życia lub zdrowia ludzi albo zagrożenie poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług, kara może wynieść nawet 100 milionów złotych.

Kary osobiste dla kierownictwa

Kara może zostać nałożona nie tylko na organizację, lecz także bezpośrednio na jej kierownika. Może wynieść do 300% miesięcznego wynagrodzenia danej osoby, a w przypadku kierownika podmiotu publicznego - do 100% wynagrodzenia.

Odpowiedzialność może powstać między innymi za:

• brak właściwego SZBI;

• niewłaściwe zarządzanie ryzykiem;

• brak szkolenia kierownictwa;

• brak zgłoszenia incydentu;

• niewykonanie audytu;

• niewskazanie osób kontaktowych;

• brak odpowiedniego nadzoru nad realizacją obowiązków.

  
  

Kary za każdy dzień opóźnienia

W celu przymuszenia organizacji do wykonania decyzji organ może nałożyć dodatkową karę okresową od 500 do 100 000 złotych za każdy dzień opóźnienia.

Ograniczenie albo wstrzymanie działalności

Wobec podmiotu kluczowego organ może zastosować środki znacznie poważniejsze niż kara finansowa. W określonych przypadkach możliwe jest:

• ograniczenie lub wstrzymanie zezwolenia na działalność;

• wstrzymanie części albo całości działalności;

• zakaz pełnienia funkcji zarządczych przez kierownika podmiotu;

• publikacja informacji o zastosowanych środkach w Biuletynie Informacji Publicznej.

  
  

Konsekwencje operacyjne i biznesowe

Poza sankcjami ustawowymi brak odpowiednich zabezpieczeń może doprowadzić do:

• zatrzymania produkcji lub świadczenia usług;

• zaszyfrowania danych przez ransomware;

• utraty dokumentacji i kopii zapasowych;

• przejęcia kont pracowników;

• kradzieży tajemnic przedsiębiorstwa;

• naruszenia danych osobowych;

• zerwania kontraktów;

• roszczeń klientów i kontrahentów;

• utraty dostępu do zamówień wymagających zgodności z KSC lub NIS2;

• wzrostu kosztów ubezpieczenia cybernetycznego;

• utraty reputacji i zaufania klientów;

• odpowiedzialności na podstawie innych regulacji, w tym RODO;

• konieczności kosztownego wdrażania zabezpieczeń w trybie awaryjnym.

  
  

Najczęściej to właśnie przestój, utrata danych i przerwanie dostaw generują większe straty niż sama kara administracyjna.

Najważniejsze terminy

Dla podmiotów spełniających kryteria w dniu wejścia w życie nowelizacji obowiązują następujące terminy:

• 3 października 2026 r. - wpis do Wykazu KSC;

• 3 kwietnia 2027 r. - wdrożenie obowiązków, w tym SZBI, zarządzania incydentami i wymaganych procedur;

• 3 kwietnia 2027 r. - podłączenie do systemu S46;

• 3 kwietnia 2028 r. - pierwszy obowiązkowy audyt dla właściwych podmiotów kluczowych.

  
  

Ustawa przewiduje, że nowe kary pieniężne mogą być po raz pierwszy nakładane po upływie dwóch lat od wejścia nowelizacji w życie. Nie oznacza to jednak przesunięcia terminów wdrożenia obowiązków ani zwolnienia organizacji z odpowiedzialności za bezpieczeństwo.

Dlaczego warto wdrożyć wymagania KSC?

Mniejsza liczba incydentów

Uporządkowane zarządzanie aktywami, aktualizacjami, uprawnieniami i podatnościami pozwala wyeliminować wiele najczęstszych dróg ataku, zanim zostaną wykorzystane przez przestępców.

Krótsze przestoje

Plany ciągłości działania, sprawdzone kopie zapasowe oraz procedury odtworzeniowe ograniczają czas potrzebny do wznowienia pracy po awarii lub cyberataku.

Większa kontrola nad infrastrukturą

W wielu firmach wiedza o systemach, hasłach, dostawcach i konfiguracji znajduje się wyłącznie u jednej osoby albo zewnętrznego informatyka. KSC wymusza dokumentację, podział odpowiedzialności i regularną weryfikację zabezpieczeń.

Bezpieczniejszy łańcuch dostaw

Organizacja musi analizować nie tylko własne zabezpieczenia, lecz także ryzyko związane z dostawcami oprogramowania, chmury, hostingu, serwisu i usług IT. Ogranicza to możliwość przeprowadzenia ataku przez słabiej zabezpieczonego partnera.

Większa wiarygodność

Dojrzały system cyberbezpieczeństwa zwiększa wiarygodność firmy wobec klientów, inwestorów, ubezpieczycieli i partnerów biznesowych. Coraz więcej dużych przedsiębiorstw wymaga od swoich dostawców potwierdzenia stosowania odpowiednich zabezpieczeń, nawet jeżeli sam dostawca nie jest bezpośrednio objęty KSC.

Lepsze przygotowanie do innych regulacji

Dobrze wdrożony SZBI ułatwia spełnienie wymagań wynikających z RODO, ISO/IEC 27001, regulacji sektorowych, zasad bezpieczeństwa dostawców oraz wymagań kontraktowych.

Jak rozpocząć wdrożenie?

Pierwszym etapem powinna być formalna analiza podlegania ustawie. Następnie organizacja powinna:

1. określić usługi i procesy objęte regulacją;

2. zinwentaryzować systemy, urządzenia, dane i dostawców;

3. przeprowadzić analizę ryzyka oraz analizę luk;

4. wskazać osoby odpowiedzialne;

5. przygotować plan wdrożenia i budżet;

6. opracować dokumentację SZBI;

7. wdrożyć zabezpieczenia techniczne;

8. przygotować procedury obsługi i zgłaszania incydentów;

9. przetestować kopie zapasowe oraz ciągłość działania;

10. przeszkolić kierownictwo i pracowników;

11. zebrać dowody potwierdzające realizację obowiązków;

12. przygotować organizację do kontroli i audytu.

    
    

KSC to nie tylko obowiązek prawny

Największym błędem jest traktowanie zgodności z KSC jako jednorazowego projektu dokumentacyjnego. Nawet najlepiej przygotowane procedury nie zapewnią bezpieczeństwa, jeżeli nie będą stosowane, testowane i aktualizowane.

Prawidłowe wdrożenie powinno połączyć działania prawne, organizacyjne i techniczne. Obejmuje ono zarówno polityki i analizę ryzyka, jak również segmentację sieci, kontrolę dostępu, uwierzytelnianie wieloskładnikowe, bezpieczne kopie zapasowe, monitoring, ochronę urządzeń końcowych, zarządzanie podatnościami oraz przygotowanie firmy do reagowania na incydenty.

KSC należy więc traktować nie tylko jako wymóg ustawowy, ale jako podstawę budowy odpornej organizacji. Firma, która wcześniej uporządkuje swoje bezpieczeństwo, ogranicza ryzyko kar, przestojów i utraty danych, a jednocześnie zwiększa swoją wiarygodność oraz zdolność do dalszego, bezpiecznego rozwoju.

Materiał ma charakter informacyjny. Ostateczna kwalifikacja konkretnej organizacji jako podmiotu kluczowego lub ważnego powinna uwzględniać rodzaj działalności, wielkość przedsiębiorstwa, podmioty powiązane oraz szczegółowe postanowienia ustawy.