Samorządowa jednostka budżetowa, samorządowy zakład budżetowy albo instytucja kultury, która wykonuje zadanie publiczne z użyciem systemów informacyjnych, może być podmiotem ważnym publicznym w rozumieniu znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Jeśli tak jest, do 3 kwietnia 2027 musi mieć działający system zarządzania bezpieczeństwem informacji (SZBI), osobę do kontaktów, sposób obsługi i zgłaszania incydentów, a jej kierownik musi przejść szkolenie. Poniżej wyjaśniamy, jak to sprawdzić i od czego zacząć.
Nowelizacja ustawy o KSC w skrócie
Ustawa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) zmieniła ustawę o krajowym systemie cyberbezpieczeństwa i wdrożyła dyrektywę NIS2. Obowiązuje od 3 kwietnia 2026. Obejmuje znacznie więcej podmiotów niż dotąd i dzieli je na trzy rodzaje: kluczowe, ważne i ważne publiczne.
Na wdrożenie obowiązków ustawa daje dwanaście miesięcy, czyli do 3 kwietnia 2027 (art. 33 ust. 1 ustawy nowelizującej). Kary za ich niewykonanie można nałożyć dopiero po 3 kwietnia 2028 (art. 35). To nie jest dodatkowy rok na wdrożenie - to okres, w którym obowiązki już działają, a sankcji jeszcze nie ma.
Kto jest podmiotem ważnym publicznym
Ustawa wymienia wśród podmiotów ważnych publicznych m.in. samorządową jednostkę budżetową, samorządowy zakład budżetowy i instytucję kultury, jeżeli wykonują zadanie publiczne z użyciem systemów informacyjnych (art. 5 ust. 2 pkt 8 i załącznik nr 2). Lista w załączniku jest szersza niż te przykłady, dlatego warto ją przeczytać razem z prawnikiem albo inspektorem ochrony danych.
Dla jednostek, z którymi pracujemy najczęściej, oznacza to trzy pytania:
- Jaka jest forma prawna jednostki? Szkoła, przedszkole czy ośrodek pomocy społecznej prowadzone przez gminę często działają jako samorządowe jednostki budżetowe. Biblioteka, dom kultury i muzeum są zwykle instytucjami kultury. Formę prawną potwierdza statut albo akt o utworzeniu.
- Czy jednostka wykonuje zadanie publiczne? Edukacja, pomoc społeczna i działalność kulturalna prowadzone na rzecz mieszkańców to zadania publiczne samorządu.
- Czy robi to z użyciem systemów informacyjnych? Dziennik elektroniczny, system dziedzinowy, księgowość, poczta elektroniczna, strona internetowa. Niewiele jednostek pracuje dziś bez nich.
Wynik tej analizy warto zapisać - z datą, podstawą i nazwiskiem osoby, która ją przeprowadziła. Taki zapis jest punktem wyjścia do dalszych decyzji i odpowiedzią na pytanie organu, dlaczego jednostka uznała się (albo nie) za podmiot ważny publiczny.
Trzy rodzaje podmiotów - czym się różnią
Wszystkie trzy rodzaje wdrażają SZBI, wyznaczają osobę do kontaktów i zgłaszają incydenty poważne. Różnią się zakresem SZBI, terminami zgłoszeń i audytem.
| Podmiot kluczowy | Podmiot ważny | Podmiot ważny publiczny | |
|---|---|---|---|
| Kto | art. 5 ust. 1, załącznik nr 1 | art. 5 ust. 2, załącznik nr 2 | m.in. samorządowe jednostki budżetowe, zakłady budżetowe i instytucje kultury wykonujące zadanie publiczne z użyciem systemów |
| SZBI | art. 8 ust. 1 | art. 8 ust. 1 | art. 8 ust. 3 i załącznik nr 4 (18 punktów) |
| Incydent poważny | wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, sprawozdanie końcowe w miesiąc | jak kluczowy | tylko zgłoszenie w 72 h (art. 12c) |
| Audyt bezpieczeństwa | co 3 lata, pierwszy do 3 kwietnia 2028 | organ może go nakazać po incydencie poważnym albo naruszeniu | jak ważny |
| Przegląd SZBI | w ramach SZBI | w ramach SZBI | co najmniej raz w roku |
Co musi zrobić podmiot ważny publiczny
Do 3 kwietnia 2027 podmiot ważny publiczny musi:
- wdrożyć SZBI według art. 8 ust. 3 i załącznika nr 4 - osiemnastu punktów, które obejmują m.in. zasady dostępu do systemów, cyberhigienę i rejestrowanie incydentów,
- przeglądać SZBI co najmniej raz w roku (załącznik nr 4 cz. III),
- zgłaszać incydenty poważne w ciągu 72 godzin przez system S46 do właściwego CSIRT (art. 12c, art. 11 ust. 2),
- wyznaczyć osobę do kontaktów (art. 9),
- zapewnić szkolenie kierownika - kierownik odpowiada za wykonanie obowiązków osobiście i przechodzi szkolenie raz w roku (art. 8c-8e),
- uzyskać informację z Krajowego Rejestru Karnego od osoby realizującej zadania z ustawy (art. 8f).
Podmiotu ważnego publicznego nie obejmuje cykliczny audyt bezpieczeństwa. Organ może jednak nakazać audyt po incydencie poważnym albo po naruszeniu przepisów (art. 15 ust. 1b).
O incydentach i terminach piszemy szerzej w artykule Incydent poważny w KSC - terminy i zgłoszenie.
Wspólna obsługa przez gminę
Jednostka samorządu terytorialnego może zapewnić wspólną obsługę obowiązków z ustawy o KSC albo zawrzeć porozumienie w tej sprawie (art. 16e ust. 5-6). Dla gminy, która prowadzi kilka szkół, ośrodek pomocy społecznej i bibliotekę, to praktyczna droga: jeden zespół, jedna procedura incydentów i jedna osoba, która zna S46, zamiast kilku równoległych prób.
Zanim gmina i jednostki się porozumieją, warto ustalić na piśmie:
- kto jest osobą do kontaktów dla każdej jednostki,
- kto ocenia, czy incydent jest poważny, i kto go zgłasza,
- kto prowadzi rejestry - aktywów, incydentów, uprawnień i dostawców,
- kto organizuje coroczne szkolenie kierowników i przegląd SZBI,
- jak jednostka informuje zespół gminy o zdarzeniu, także poza godzinami pracy.
Wpis do wykazu podmiotów kluczowych i ważnych
Nowelizacja prowadzi wykaz podmiotów kluczowych i ważnych. Trafia się do niego na dwa sposoby:
- z urzędu - Minister Cyfryzacji wpisuje bez wniosku m.in. podmioty publiczne, przedsiębiorców telekomunikacyjnych i dawnych operatorów usług kluczowych. Podmiot dostaje zawiadomienie o wpisie z wezwaniem do uzupełnienia danych, linkiem i kodem dostępu. Na uzupełnienie ma 6 miesięcy od doręczenia wezwania - nie od wejścia w życie ustawy i nie od dnia wpisu. Zawiadomienia wysyła NASK, a wpisy samorządowych instytucji kultury ministerstwo zapowiadało jako kolejny etap;
- na wniosek - pozostałe podmioty składały go same w aplikacji Wykaz KSC (wykaz-ksc.gov.pl) od 7 maja do 3 października 2026.
Jeśli jednostka nie dostała zawiadomienia, a uważa, że spełnia kryteria, warto to wyjaśnić z ministerstwem jak najszybciej. Wpis nie przesuwa terminu wdrożenia: obowiązki z rozdziału 3 trzeba wykonać do 3 kwietnia 2027, a do tego dnia jednostka ma też być podłączona do systemu S46. Więcej w artykule o wykazie KSC i samorejestracji.
Pierwsze kroki
- Ustal status jednostki i zapisz wynik analizy.
- Porozmawiaj z gminą o wspólnej obsłudze albo porozumieniu.
- Wyznacz osobę do kontaktów i osobę, która będzie zgłaszać incydenty przez S46.
- Zaplanuj szkolenie kierownika jeszcze przed 3 kwietnia 2027.
- Spisz systemy, dostawców ICT i uprawnienia - bez tej listy nie powstanie ani analiza ryzyka, ani rejestr uprawnień.
- Sięgnij po dokumentację RODO. Wykaz osób i stanowisk, pomieszczeń, aktywów i podmiotów przetwarzających to fundament, na którym buduje się SZBI.
- Rozpisz plan na kwartały - podpowiadamy go w artykule Wdrożenie SZBI krok po kroku.
Jedno zastrzeżenie: do końca października 2026 nie znaleźliśmy rozporządzeń wykonawczych do nowej ustawy, w tym określających progi incydentu poważnego. Dotychczasowe przepisy wykonawcze obowiązują najdłużej do 3 kwietnia 2027. Część szczegółów może się więc jeszcze zmienić, a dokumenty SZBI warto pisać tak, by odsyłały do przepisów wykonawczych zamiast je powtarzać.
Jak pomaga Cyberenu
Cyberenu składa dokumentację RODO z danych wprowadzonych raz, a dla podmiotów objętych ustawą o KSC buduje na niej SZBI. Rodzaj podmiotu wybierasz w danych jednostki, a system dobiera listę wymagań, terminy incydentów i zakres audytu. Konsultant obsługujący kilka jednostek gminy widzi je na jednym ekranie. Jeśli jednostka nie ma jeszcze uporządkowanej dokumentacji RODO, zaczniemy od niej. Formy współpracy opisuje oferta, a pytania możesz zadać przez formularz kontaktowy.
