| Zdarzenie | Data |
|---|---|
| Ustawa w mocy od | 3.04.2026 |
| Obowiązki z rozdziału 3 | 3.04.2027 |
| Pierwszy audyt (podmioty kluczowe) | 3.04.2028 |
| Pierwsze kary | po 3.04.2028 |
Wynik pojawia się na bieżąco. Dane nie są nigdzie wysyłane – kalkulacja działa w przeglądarce.
Każdy obszar z pliku: kolumna dla wybranej kategorii jest wyróżniona. Kategorię ustawia kreator – możesz też zmienić ją tutaj.
| Obszar | Podmiot publiczny: JST, szkoła, jednostka budżetowa (zwykle ważny) | Podmiot ważny (art. 5 ust. 2) | Podmiot kluczowy (art. 5 ust. 1) | Uwagi / podstawa ([A] = tekst ustawy z przekazanego PDF, [C] = interpretacja własna, [Z] = spoza przekazanego tekstu – do potwierdzenia) |
|---|---|---|---|---|
| Kwalifikacja | „Podmiot publiczny” = podmiot wskazany w zał. 1 lub 2 w sektorze „podmioty publiczne” (art. 2 pkt 11b). Zał. 2: samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury, spółki komunalne (użyteczność publiczna) → ważne, o ile realizują zadanie publiczne z użyciem systemów informacyjnych (art. 5 ust. 2 pkt 8). Zał. 1 (kluczowe): urząd gminy zatrudniający ≥ 50 osób (pełne etaty, umowa o pracę, stan na 1 stycznia), starostwo powiatowe, jednostki i zakłady budżetowe samorządu województwa (z wyłączeniami: oświata, piecza zastępcza, pomoc społeczna poza ROPS, WUP, parki krajobrazowe, jednostki obsługujące) ustawa. | Średni podmiot z zał. 1 (ust. 2 pkt 1); średni lub duży z zał. 2 (pkt 2); niekwalifikowany dostawca usług zaufania – mikro/mały/średni (pkt 3); przedsiębiorca komunikacji elektronicznej – mikro lub mały (pkt 4); podmiot nieprzedsiębiorca z zał. 2 (pkt 7); samorządowe podmioty publiczne (pkt 8); podmiot leczniczy niebędący przedsiębiorcą: 50–249 osób (ust. 8 pkt 1) ustawa. | Duży podmiot z zał. 1 (ust. 1 pkt 1); przedsiębiorca komunikacji elektronicznej – średni i większy (pkt 2); dostawca usług zarządzanych w cyberbezpieczeństwie – od małego (pkt 3); niezależnie od wielkości: DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, podmiot publiczny z zał. 1 (pkt 4 lit. d), nieprzedsiębiorca wskazany w zał. 1 z nazwy lub rodzaju (lit. g), TLD, rejestratorzy domen; podmiot leczniczy nieprzedsiębiorca ≥ 250 osób (ust. 8 pkt 2) ustawa. Dotychczasowi operatorzy usług kluczowych stali się kluczowymi z mocy prawa (art. 22 ust. 1 ustawy zmieniającej) ustawa. | Art. 4 pkt 1–2 tylko wymienia kategorie jako elementy KSC – status wynika z art. 5 + zał. 1–2. Spełnienie obu kryteriów = kluczowy (ust. 4). Wielkość: wg stanu na dzień sporządzenia sprawozdania finansowego (ust. 5); dla ust. 1 pkt 1–3 i ust. 2 pkt 1–4 nie stosuje się art. 3 ust. 4 zał. I rozp. 651/2014 (ust. 3) – własność publiczna nie wyłącza progów. Wyjątek niezależności systemów informacyjnych: ust. 6–7. Poza kategoriami: służby specjalne i podmioty podległe/nadzorowane przez MON (ust. 10–11). Sektor bankowości i infrastruktury rynków finansowych: wyłączenia z SZBI i zgłaszania incydentów (art. 8i). Szczegóły: arkusz „Art. 4 KSC – interpretacja”. |
| Ochrona zdrowia – SP ZOZ, NZOZ, spółki lekarzy | SP ZOZ i inne podmioty lecznicze niebędące przedsiębiorcami nie są wymienione w zał. 2 jako samorządowe jednostki budżetowe, więc ich kategoria wynika z art. 5 ust. 8 (liczba zatrudnionych), a nie z art. 5 ust. 2 pkt 8 interpretacja. Jeżeli zakład jest jednocześnie samorządową jednostką budżetową realizującą zadanie publiczne z użyciem systemów – zał. 4 (art. 8 ust. 3) interpretacja. | SP ZOZ / inny podmiot leczniczy niebędący przedsiębiorcą: 50–249 osób (art. 5 ust. 8 pkt 1) ustawa. NZOZ prowadzony przez spółkę (z o.o., S.A., komandytową, jawną, partnerską, cywilną lekarzy) to przedsiębiorca z zał. 1 (ochrona zdrowia): średni = ważny (art. 5 ust. 2 pkt 1) ustawa. | SP ZOZ ≥ 250 osób (art. 5 ust. 8 pkt 2) ustawa. Szpital/NZOZ w formie spółki – duży przedsiębiorca (art. 5 ust. 1 pkt 1) ustawa. Podmioty z zał. 1 niebędące przedsiębiorcami wskazane z nazwy lub rodzaju (URPL, urzędy PIS, Inspekcji Farmaceutycznej, KCMRM, publiczna służba krwi, jednostki IT ochrony zdrowia) – kluczowe niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. g) ustawa. | Mikro i mały NZOZ (np. mała spółka lekarzy, indywidualna praktyka) nie jest kluczowy ani ważny z samej wielkości ustawa; organ może uznać podmiot decyzją (art. 7l) ustawa. Zał. 1 wymienia też podwykonawców podmiotów kluczowych i ważnych w ochronie zdrowia oraz świadczeniodawców z SOR / Centrum Urazowym – przedsiębiorcy nadal podlegają progom wielkości interpretacja. Wielkość: zatrudnienie wg 651/2014, podmioty powiązane i partnerskie (np. wspólnicy) – art. 5 ust. 6–7. Systemy: HIS/EDM, PACS, aparatura medyczna – segmentacja sieci, DLP i NAC zalecane (dane o zdrowiu) interpretacja. Szczegóły w zakładce „Narzędzia” i „Oferta”. |
| Wodociągi i kanalizacja (zał. 1: woda pitna, ścieki) | Spółka komunalna (użyteczność publiczna) lub samorządowy zakład budżetowy realizujące zadanie publiczne z użyciem systemów informacyjnych: ważny publiczny (art. 5 ust. 2 pkt 8) ustawa – SZBI wg zał. 4 (art. 8 ust. 3) ustawa. Dla spółki ważnej na podstawie pkt 1–2 – interpretacja własna interpretacja. OT/SCADA: dodatkowe środki techniczne wg zał. 4 cz. II pkt 9 ustawa. | Przedsiębiorstwo wodociągowo-kanalizacyjne (spółka z o.o., S.A., prywatna) średnie = ważny (art. 5 ust. 2 pkt 1) ustawa. Mała lub mikro firma – poza kategoriami, o ile organ nie uzna jej decyzją (art. 7l) ustawa. Spółka komunalna nawet mała jest ważna publiczna przez art. 5 ust. 2 pkt 8 ustawa. | Duże przedsiębiorstwo wodociągowo-kanalizacyjne = kluczowy (art. 5 ust. 1 pkt 1) ustawa. Zakład budżetowy lub inna jednostka niebędąca przedsiębiorcą, dostarczająca wodę lub odprowadzająca ścieki – kluczowy niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. g; zał. 1 wskazuje rodzaj podmiotu) [C – w razie wątpliwości analiza]. | Wyłączone są podmioty, dla których dostarczanie wody lub odprowadzanie ścieków jest inną niż istotną częścią ogólnej działalności (zał. 1) ustawa. SZBI obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi (art. 8 ust. 1) – SCADA, telemetria, pompownie, SUW i oczyszczalnie (OT) ustawa: segmentacja IT/OT, kontrolowany zdalny dostęp serwisowy, plan ciągłości dostaw (art. 8 ust. 1 pkt 2 lit. f) ustawa, inwentaryzacja OT interpretacja. Narzędzia OT: zakładka „Narzędzia” (poziom O-OT). |
| Rejestracja / wykaz | Wpis z urzędu na podstawie rejestrów publicznych (art. 7a ust. 2 pkt 3). Minister doręcza zawiadomienie i wzywa do uzupełnienia danych w 6 mies. od doręczenia, pod rygorem kary (art. 7b ust. 1–2); jednostka uzupełnia dane wnioskiem o zmianę wpisu (art. 7b ust. 4). Zmiana danych: 14 dni (art. 7c ust. 3) ustawa. | Wniosek o wpis w ciągu 6 mies. od spełnienia przesłanek (art. 7c ust. 1); podmioty spełniające przesłanki w dniu wejścia w życie – wg harmonogramu z komunikatu ministra (art. 33 ust. 3, art. 34 ust. 3 pkt 1) ustawa. Termin 3.10.2026 wynika z komunikatu MC, nie z ustawy – MINĄŁ spoza tekstu. Telekomunikacja, dostawcy usług zaufania, podmioty publiczne i krytyczne są wpisywane z urzędu (art. 7a ust. 2) ustawa. | Jak podmiot ważny. Organ może wpisać z urzędu podmiot, który nie złożył wniosku w terminie (art. 7j ust. 1–3); decyzją może uznać podmiot niespełniający progów (art. 7l) ustawa. | Wniosek elektroniczny, podpisany (kwalifikowany/zaufany/osobisty) przez kierownika lub upoważnioną osobę, z oświadczeniem pod rygorem art. 233 § 6 KK (art. 7c ust. 5–6). Wpis następuje z chwilą złożenia wniosku (art. 7d ust. 1). Wpis, zmiana i wykreślenie to czynność materialno-techniczna o charakterze deklaratoryjnym (art. 7d ust. 5) ustawa – błędny wpis z urzędu nie zmienia statusu ustawowego. Kara za brak wniosku w terminie: art. 73 ust. 1a pkt 1 (organ „może”); za nieuzupełnienie danych po wezwaniu: art. 73 ust. 1 pkt 1 ustawa. |
| Terminy graniczne | 3.04.2027 – obowiązki rozdz. 3 (SZBI wg zał. 4, zgłaszanie incydentów). Audyt cykliczny: nie dotyczy. | 3.04.2027 – obowiązki rozdz. 3 (art. 33 ust. 1 ustawy zmieniającej) ustawa. | 3.04.2027 – obowiązki rozdz. 3; 3.04.2028 – pierwszy audyt (art. 33 ust. 2) ustawa. | Spełnienie przesłanek po 3.04.2026: obowiązki rozdz. 3 w 12 mies., pierwszy audyt kluczowego w 24 mies. od spełnienia przesłanek (art. 16) ustawa. Dotychczasowi operatorzy usług kluczowych: zgłaszanie incydentów wg nowych zasad w 6 mies. od wejścia w życie, tj. do 3.10.2026 (art. 33 ust. 4), do wdrożenia nowego SZBI stosują dotychczasowy (ust. 6). Przedsiębiorcy telekomunikacyjni z działu VIIa Prawa telekomunikacyjnego stosują dotychczasowe obowiązki do czasu rozpoczęcia obowiązków rozdz. 3 (ust. 5). CSIRT sektorowy ma powstać w 18 mies. (do 3.10.2027, art. 42); do komunikatu o jego gotowości incydenty zgłasza się do CSIRT MON/NASK/GOV (art. 44). Porozumienia administracyjne podmiotów publicznych – ważne do wyznaczenia jednostki wspólnej obsługi, max 2 lata (art. 43) ustawa. Pozycja dodana. |
| SZBI i polityki | Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1 w zakresie zadań publicznych realizowanych z użyciem systemów informacyjnych, lecz wdraża SZBI spełniający zał. nr 4 (art. 8 ust. 3); uwzględnia systemy dostarczane przez inny podmiot publiczny (ust. 4). Zał. 4: inwentaryzacja, kontrola uprawnień, kopie odseparowane logicznie i fizycznie oraz testy odtwarzania, antywirus, procedury awarii/incydentu, szkolenia, cyberhigiena; przegląd SZBI co najmniej raz w roku; dokumentowanie ustawa. Poza zadaniami publicznymi (np. działalność gospodarcza spółki komunalnej) stosuje się art. 8 ust. 1 interpretacja. | SZBI w zakresie art. 8 ust. 1: szacowanie ryzyka i zarządzanie nim, środki techniczne i organizacyjne (polityki, łańcuch dostaw, ciągłość, monitoring ciągły, edukacja, MFA w stosownych przypadkach, zarządzanie aktywami i dostępem), zarządzanie incydentami ustawa. | SZBI w zakresie art. 8 ust. 1 (jak podmiot ważny). Dostawcy DNS, chmury, DC i in. stosują środki z rozp. wykonawczego 2024/2690 (art. 8b ust. 1) ustawa. | Kierownik: decyzje, środki finansowe, zadania, świadomość personelu, zgodność (art. 8d). Dokumentacja bezpieczeństwa (art. 10 ust. 1–6); przechowywanie co najmniej 2 lata od wycofania, z wyłączeniem podmiotów podlegających ustawie o narodowym zasobie archiwalnym i archiwach (art. 10 ust. 7) – dla jednostek publicznych zwykle nie stosuje się ustawa / interpretacja. Podmiot musi mieć wewnętrzne struktury cyberbezpieczeństwa albo umowę z dostawcą usług zarządzanych w cyberbezpieczeństwie (art. 14) ustawa. |
| Analiza ryzyka | Art. 8 ust. 3 wyłącza stosowanie ust. 1, więc obowiązek szacowania ryzyka z art. 8 ust. 1 pkt 1 nie dotyczy; zał. 4 nie wymienia szacowania ryzyka ustawa. Dobra praktyka: adekwatna ocena ryzyka mimo to interpretacja. | Wymagana: systematyczne szacowanie ryzyka i zarządzanie nim (art. 8 ust. 1 pkt 1) ustawa. | Wymagana: systematyczne szacowanie ryzyka i zarządzanie nim (art. 8 ust. 1 pkt 1) ustawa. | Uwzględnić prawdopodobieństwo, wpływ, zależności i środki ograniczające ryzyko. Brak szacowania ryzyka podlega karze (art. 73 ust. 1 pkt 2) ustawa. |
| Ochrona stacji / serwerów | Zał. 4 pkt 13: oprogramowanie antywirusowe (AV) ustawa. Antywirus wystarcza jako wymóg minimalny z zał. 4. interpretacja EDR zalecany dodatkowo na serwerach, kontrolerze domeny i stacjach administratorów oraz wszędzie tam, gdzie nie ma SOC ani usługi monitorowania. | Środki proporcjonalne do ryzyka (art. 8 ust. 1 pkt 2, pkt 5) ustawa. interpretacja AV jako baza na wszystkich stacjach; EDR na serwerach, stacjach administracyjnych, stacjach osób z dostępem do danych wrażliwych i urządzeniach zdalnych. | Środki proporcjonalne do ryzyka (art. 8 ust. 1 pkt 2, pkt 5) ustawa. interpretacja Sam AV zwykle nie wystarcza do wykazania monitorowania w trybie ciągłym – EDR na wszystkich serwerach i stacjach; XDR, gdy wiele źródeł (poczta, tożsamość, sieć, chmura) ma być korelowanych. | Antywirus/EDR/XDR to możliwe środki; ustawa nie nakłada obowiązku zakupu konkretnego produktu. Ustawa nie wymienia z nazwy EDR/XDR/SIEM/SOC/DLP/NAC – wskazania interpretacja to rekomendacje wynikające z proporcjonalności do ryzyka (art. 8 ust. 1 pkt 2, 5), nie wymóg ustawowy. |
| EDR / XDR | interpretacja Nie jest wymagany ustawowo (zał. 4 wymaga antywirusa). Zalecany tam, gdzie wartościowe systemy (serwery, AD, finanse, dane osobowe) lub brak całodobowej obsługi; alerty EDR kierować do wyznaczonych osób. | interpretacja Rekomendowany na serwerach i stacjach o podwyższonym ryzyku; alerty muszą trafiać do osoby/zespołu zdolnego zareagować (art. 8 ust. 1 pkt 2 lit. g, pkt 4) ustawa. | interpretacja Praktycznie oczekiwany jako element monitorowania w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g) ustawa: EDR/XDR na całości środowiska + obsługa alertów (SOC własny lub zewnętrzny). | Wykazać, jak rozwiązanie wspiera zapobieganie, wykrywanie i reakcję. Różnica: AV – blokuje znane zagrożenia; EDR – rejestruje i analizuje zachowania na urządzeniu oraz umożliwia izolację; XDR – koreluje wiele źródeł. Ustawa nie wymienia z nazwy EDR/XDR/SIEM/SOC/DLP/NAC – wskazania interpretacja to rekomendacje wynikające z proporcjonalności do ryzyka (art. 8 ust. 1 pkt 2, 5), nie wymóg ustawowy. |
| Firewall / sieć | Zabezpieczyć sieć, dostęp zdalny, urządzenia i segmentację stosownie do ryzyka; zał. 4 pkt 8: praca mobilna i zdalna. | Wdrożyć odpowiednie i proporcjonalne środki techniczne i organizacyjne. | Wdrożyć odpowiednie i proporcjonalne środki techniczne i organizacyjne. | Sprawdzić reguły firewall, VLAN, VPN, zarządzanie urządzeniami i ekspozycję usług. Art. 8 ust. 1 pkt 5 lit. d: niezwłoczne działania po wykryciu podatności, w tym czasowe ograniczenie ruchu przychodzącego. |
| Tożsamość i dostęp | Zał. 4 pkt 4–7: uprawnienia, minimalne uprawnienia, cofanie i modyfikacja uprawnień ustawa. | Polityki kontroli dostępu (art. 8 ust. 1 pkt 2 lit. n); MFA „w stosownych przypadkach” (lit. l) ustawa. | Polityki kontroli dostępu (art. 8 ust. 1 pkt 2 lit. n); MFA „w stosownych przypadkach” (lit. l) ustawa. | MFA szczególnie dla administratorów, dostępu zdalnego i usług krytycznych, zgodnie z oceną ryzyka. |
| Kopie zapasowe | Zał. 4 pkt 10–11: kopie odseparowane logicznie i fizycznie od danych produkcyjnych oraz testy kompletności i odtwarzania ustawa. | Plany ciągłości i odtworzenia (art. 8 ust. 1 pkt 2 lit. f) ustawa. | Plany ciągłości i odtworzenia (art. 8 ust. 1 pkt 2 lit. f) ustawa. | Testować odtwarzanie; zabezpieczyć kopie konfiguracji. |
| Aktualizacje / podatności | Zał. 4 pkt 15–16: monitorowanie wydań i cyklu życia produktów ICT, stabilne wersje bez krytycznych podatności ustawa. | Regularne aktualizacje wg zaleceń producenta z analizą wpływu (art. 8 ust. 1 pkt 5 lit. b); zbieranie informacji o cyberzagrożeniach i podatnościach (pkt 3) ustawa. | Jak podmiot ważny; usuwanie podatności wskazanych w art. 32 ust. 2 – kara (art. 73 ust. 1 pkt 12) ustawa. | Prowadzić rejestr zasobów, wersji, wyjątków i terminów napraw. |
| Monitoring / logi | Zał. 4 cz. II pkt 5: monitorowanie dostępu i stanu systemów – element dodatkowy („może”) ustawa. Ustawa nie wymaga ciągłej obserwacji przez człowieka. interpretacja Wystarczy centralny zapis logów + automatyczne alerty (e-mail/SMS) do wyznaczonych osób odpowiedzialnych za cyberbezpieczeństwo (np. informatyk urzędu, jednostka wspólnej obsługi) i cykliczny przegląd logów; reakcja na alert tak szybka, by dotrzymać zgłoszenia w 72 h. | Objęcie systemu monitorowaniem w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g) ustawa. interpretacja Nie wystarczy sam zapis logów – potrzebny analizator/SIEM z alertami oraz osoby (dyżur, SOC, usługa zarządzana) reagujące na alerty. | Objęcie systemu monitorowaniem w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g) ustawa. interpretacja Centralna analiza logów (SIEM/log analyzer z korelacją), EDR/XDR, całodobowa zdolność reakcji (własny SOC lub usługa zarządzana, art. 14). | Ciągłość monitorowania ≠ człowiek patrzący w ekran 24/7: ważne, by system działał stale i alert trafiał do kogoś, kto zareaguje interpretacja. Art. 3a: obsługa incydentu może obejmować analizę ruchu sieciowego ustawa. Ustawa nie wymienia z nazwy EDR/XDR/SIEM/SOC/DLP/NAC – wskazania interpretacja to rekomendacje wynikające z proporcjonalności do ryzyka (art. 8 ust. 1 pkt 2, 5), nie wymóg ustawowy. |
| Analizator logów / SIEM | interpretacja Nie wymagany ustawowo. Minimum: centralny zbiór logów (serwery, AD, poczta, firewall) z alertami na zdarzenia krytyczne (wiele nieudanych logowań, nowe konto administratora, wyłączenie AV, zmiana reguł firewall). | interpretacja Zalecany analizator logów z korelacją zdarzeń i alertami; retencja logów zgodna z polityką bezpieczeństwa; zabezpieczenie logów przed modyfikacją. | interpretacja SIEM z korelacją i scenariuszami wykrywania, integracja z EDR/XDR, firewall, AD, pocztą, chmurą i OT; retencja i integralność logów; dane do zgłoszeń 24 h / 72 h / miesiąc. | Sam zapis logów nie jest monitorowaniem – potrzebna analiza i alert interpretacja; art. 8 ust. 1 pkt 2 lit. g (ciągłe monitorowanie) ustawa. Ustawa nie wymienia z nazwy EDR/XDR/SIEM/SOC/DLP/NAC – wskazania interpretacja to rekomendacje wynikające z proporcjonalności do ryzyka (art. 8 ust. 1 pkt 2, 5), nie wymóg ustawowy. |
| SOC (centrum operacji bezpieczeństwa) | interpretacja Własny SOC nie jest potrzebny. Wystarczą wskazane osoby odpowiedzialne za cyberbezpieczeństwo lub wspólna usługa dla jednostek (wspólna obsługa JST, art. 16e ustawa) albo umowa z dostawcą usług zarządzanych. | interpretacja SOC (własny lub zewnętrzny) zalecany, gdy monitoring ma być realnie ciągły; alternatywa: dyżur wewnętrzny + automatyczne alerty. | interpretacja SOC 24/7 (własny lub usługa zarządzana) – praktyczny sposób wykazania ciągłego monitorowania i dotrzymania terminu wczesnego ostrzeżenia w 24 h. Art. 14: struktury wewnętrzne lub umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa ustawa. | SOC nie jest wymieniony w ustawie; wymaga go skutek proporcjonalności i ciągłości monitorowania interpretacja. Dostawca usług zarządzanych w cyberbezpieczeństwie sam jest podmiotem kluczowym od małego przedsiębiorcy (art. 5 ust. 1 pkt 3) ustawa. |
| DLP (ochrona przed wyciekiem danych) | interpretacja Nie jest wymagane. Minimum: uprawnienia minimalne, szyfrowanie nośników, blokada nieautoryzowanych nośników USB/chmur prywatnych, kontrola poczty (zał. 4 pkt 3–9 ustawa). DLP wskazane tam, gdzie przetwarzane są dane osobowe lub wrażliwe (np. pomoc społeczna, USC, podatki). | interpretacja DLP zalecane na poczcie, stacjach i w chmurze dla danych wrażliwych, osobowych i tajemnicy przedsiębiorstwa. | interpretacja DLP na poczcie, stacjach, chmurze i brzegu sieci + klasyfikacja danych i polityka postępowania z informacją. | Podstawa: ochrona przed kradzieżą i nieuprawnionym dostępem (zał. 4 pkt 3 ustawa; art. 8 ust. 1 pkt 2 ustawa); DLP to rekomendowane narzędzie interpretacja. Ustawa nie wymienia z nazwy EDR/XDR/SIEM/SOC/DLP/NAC – wskazania interpretacja to rekomendacje wynikające z proporcjonalności do ryzyka (art. 8 ust. 1 pkt 2, 5), nie wymóg ustawowy. |
| NAC (kontrola dostępu do sieci) | interpretacja Nie jest wymagane. Zał. 4 pkt 1 i 4 ustawa (inwentaryzacja, dostęp tylko dla uprawnionych) – minimum: rejestr urządzeń, VLAN dla gości, wyłączone nieużywane porty, zabezpieczone WiFi. | interpretacja NAC (np. 802.1X) zalecany w sieci biurowej i WiFi: tylko znane i zgodne urządzenia dostają dostęp do zasobów. | interpretacja NAC na LAN/WLAN/VPN z oceną stanu urządzenia (aktualizacje, AV/EDR), kwarantanną i segmentacją IT/OT. | Art. 8 ust. 1 pkt 2 ustawa (środki techniczne i organizacyjne proporcjonalne do ryzyka); NAC jako rekomendacja interpretacja. Ustawa nie wymienia z nazwy EDR/XDR/SIEM/SOC/DLP/NAC – wskazania interpretacja to rekomendacje wynikające z proporcjonalności do ryzyka (art. 8 ust. 1 pkt 2, 5), nie wymóg ustawowy. |
| Powiadomienia i pełna analiza | interpretacja Alerty (e-mail/SMS) z AV/EDR, backupu, firewall i logów do wyznaczonych osób (min. 1 osoba kontaktowa – art. 9 ust. 1 pkt 1 ustawa) + zastępca i instrukcja reakcji. Pełna analiza incydentu wykonywana doraźnie (własna lub zewnętrzna). | interpretacja System alertów z eskalacją i zastępstwami, rejestr zgłoszeń/ticketing, playbooki; pełna analiza zdarzeń (SIEM/EDR) i analiza powłamaniowa. | interpretacja Alertowanie z eskalacją 24/7, ticketing, playbooki, pełna analiza (SIEM + EDR/XDR + forensics), przygotowanie danych do wczesnego ostrzeżenia (24 h), zgłoszenia (72 h) i sprawozdania końcowego. | Obsługa incydentów i zapobieganie: art. 8 ust. 1 pkt 4–5 ustawa; zgłoszenia: art. 11–12c ustawa. |
| Tryb nadzoru: człowiek czy powiadomienia | ustawa Zał. 4 nie wymaga monitorowania w trybie ciągłym. interpretacja Dopuszczalne powiadomienia do wskazanych osób (np. informatyk gminy, osoba odpowiedzialna za cyberbezpieczeństwo, jednostka wspólnej obsługi) w godzinach pracy + procedura na alert poza godzinami; zakres dostosować do ryzyka (np. wodociągi, szpital, urząd z danymi wrażliwymi – szerzej). | ustawa Monitorowanie w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g). interpretacja System działa stale i automatycznie; ludzie reagują na alerty (dyżur lub usługa zewnętrzna). Obserwacja ekranu przez człowieka 24/7 nie jest wymagana wprost. | ustawa Monitorowanie w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g). interpretacja Automatyczny monitoring 24/7 + całodobowa zdolność reakcji (SOC własny/zewnętrzny); skala i krótkie terminy zgłoszeń czynią dyżur praktycznie niezbędnym. | Różnica kategorii: kluczowy/ważny – ciągłe monitorowanie ustawa; ważny publiczny – zał. 4, monitoring opcjonalny ustawa. Kto i jak reaguje, ustala analiza ryzyka interpretacja. |
| Incydenty | Art. 12c: stosuje się art. 11 i 12 z wyjątkiem wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu i sprawozdania końcowego – zostaje zgłoszenie incydentu poważnego w 72 h (art. 11 ust. 1 pkt 4a) ustawa. Jednostka wyznaczona do wspólnej obsługi może zgłaszać w imieniu podmiotu publicznego (art. 16h) ustawa. | Incydent poważny: wczesne ostrzeżenie w 24 h (art. 11 ust. 1 pkt 4), zgłoszenie w 72 h (pkt 4a), sprawozdanie okresowe na wniosek (pkt 4b), sprawozdanie końcowe w miesiąc od zgłoszenia (pkt 4c) – do CSIRT sektorowego, przez S46 (ust. 2) ustawa. | Jak podmiot ważny (24 h / 72 h / miesiąc). Dostawca usług zaufania: 24 h (art. 11 ust. 1a) ustawa. | Informować użytkowników o poważnym cyberzagrożeniu i incydencie poważnym (art. 11 ust. 2a–2b). Progi „poważności” określi rozporządzenie Rady Ministrów (art. 11 ust. 4) – do sprawdzenia, czy wydane spoza tekstu. Do komunikatu o gotowości CSIRT sektorowego zgłasza się do CSIRT MON/NASK/GOV (art. 44). Brak zgłoszenia = kara (art. 73 ust. 1 pkt 6–9) ustawa. |
| Ciągłość działania | Zał. 4 pkt 12, 18: procedury na wypadek awarii, incydentu lub cyberzagrożenia, ich testowanie ustawa. | Wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości i odtworzenia (art. 8 ust. 1 pkt 2 lit. f) ustawa. | Wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości i odtworzenia (art. 8 ust. 1 pkt 2 lit. f) ustawa. | Plan odtworzenia, RTO/RPO, ćwiczenia i testy. |
| Dostawcy / łańcuch dostaw | Uwzględnić w SZBI systemy dostarczane przez inny podmiot publiczny (art. 8 ust. 4); zał. 4 cz. II pkt 7: zapisy bezpieczeństwa w umowach serwisowych („może”) ustawa. | Bezpieczeństwo i ciągłość łańcucha dostaw ICT z uwzględnieniem podatności i jakości produktów dostawcy (art. 8 ust. 1 pkt 2 lit. e, ust. 2) ustawa. | Jak podmiot ważny ustawa. | Dostawcy wysokiego ryzyka: dopiero po decyzji ministra (art. 67b ust. 15) podmioty nie wprowadzają produktów objętych decyzją i wycofują je w 7 lat od ogłoszenia (art. 67c ust. 1); przedsiębiorcy telekomunikacyjni – 4 lata dla funkcji krytycznych z zał. 3 (ust. 2); zamawiający z PZP nie mogą nabywać (ust. 4). Postępowanie dotyczy podmiotów kluczowych i ważnych (poza komunikacją elektroniczną) oraz przedsiębiorców komunikacji elektronicznej z przychodem z działalności telekomunikacyjnej > 10 mln zł (art. 67b ust. 1) ustawa. |
| Szkolenia | Kierownik jednostki oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa: raz w roku kalendarzowym, udokumentowane (art. 8e) ustawa. Personel: zał. 4 pkt 17 ustawa. | Jak obok (art. 8e); edukacja personelu (art. 8 ust. 1 pkt 2 lit. i) ustawa. | Jak obok (art. 8e); edukacja personelu (art. 8 ust. 1 pkt 2 lit. i) ustawa. | Zakres szkolenia kierownika: art. 7b ust. 4, 7c, 7f ust. 3, 8, 8d, 8f ust. 1–2, 9–12b, 14, 15 (art. 8e ust. 2). Brak szkolenia – kara dla kierownika (art. 73a ust. 1 pkt 4). Zachować program, daty, uczestników. |
| Osoby i dostępy do zadań | Podmiot ważny publiczny: co najmniej 1 osoba do kontaktu (art. 9 ust. 3) ustawa. | Co najmniej 2 osoby do kontaktu; mikro/mały przedsiębiorca – 1 (art. 9 ust. 1 pkt 1, ust. 2) ustawa. | Co najmniej 2 osoby do kontaktu (art. 9 ust. 1 pkt 1) ustawa. | Osoba realizująca zadania z art. 8 lub 11 przedstawia przed rozpoczęciem informację z KRK o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f; poświadczenie bezpieczeństwa „poufne” lub wyższe zastępuje). Użytkownik usługi musi mieć dostęp do wiedzy o cyberzagrożeniach i możliwość zgłoszenia incydentu (art. 9 ust. 1 pkt 2–3) ustawa. Pozycja dodana. |
| Audyt | Brak cyklicznego audytu; zał. 4 nie przewiduje audytu. Organ może nakazać audyt zewnętrzny po incydencie poważnym lub innym naruszeniu ustawy (art. 15 ust. 1b) ustawa. | Brak cyklicznego audytu; audyt zewnętrzny na decyzję organu po incydencie poważnym lub innym naruszeniu (art. 15 ust. 1b–1c, natychmiastowa wykonalność) ustawa. | Co najmniej raz na 3 lata na własny koszt, licząc od podpisania raportu z poprzedniego audytu (art. 15 ust. 1); kopia raportu do organu w 3 dni robocze (ust. 1a); audyt na decyzję organu w każdym czasie (ust. 1b). Pierwszy audyt do 3.04.2028 ustawa. | Audytor nie może realizować zadań z art. 8–13 w audytowanym podmiocie ani realizować ich w ciągu roku przed audytem (art. 15 ust. 2a) ustawa. Nie przenosić wymogu audytu z podmiotu kluczowego na każdą jednostkę. |
| Nadzór | Organ właściwy w sektorze podmiotów publicznych: minister cyfryzacji (art. 41a ust. 1); dla samorządowych podmiotów publicznych wymienionych też w innym sektorze organ sektora nie przejmuje nadzoru (art. 41a ust. 4) ustawa. | Nadzór następczy, w szczególności przy uzasadnionym podejrzeniu naruszenia (art. 53 ust. 3 pkt 2); stosuje się wybrane środki z ust. 2, 4, 5 (art. 53 ust. 17) ustawa. | Nadzór prewencyjny i następczy (art. 53 ust. 3 pkt 1); kontrole doraźne, ostrzeżenia, nakazy (art. 53 ust. 2, 4, 5) ustawa. | Realna różnica między kategoriami to nadzór, audyt i poziom kar, a nie lista środków technicznych interpretacja. Pozycja dodana. |
| Kary / odpowiedzialność | Podmiot ważny publiczny podlega karze za niewykonanie art. 8 ust. 3 (art. 73 ust. 1c) ustawa. Kierownik podmiotu publicznego: do 100% wynagrodzenia, chyba że podmiot podlega ustawie także z innego sektora – wtedy do 300% (art. 73a ust. 5) ustawa. | Do 7 000 000 EUR lub 1,4% przychodów (wyższa kwota), nie mniej niż 15 000 zł (art. 73 ust. 4) ustawa. | Do 10 000 000 EUR lub 2% przychodów (wyższa kwota), nie mniej niż 20 000 zł (art. 73 ust. 3) ustawa. Kierownik: do 300% wynagrodzenia (art. 73a ust. 4) ustawa. | Moratorium: kary z art. 73 ust. 1–4, 73a–73c i 76b mogą być nałożone po raz pierwszy po 2 latach od wejścia w życie, tj. po 3.04.2028 (art. 35). Nie obejmuje art. 73 ust. 5 (kara do 100 mln zł za naruszenie powodujące bezpośrednie i poważne zagrożenie). Czy moratorium obejmuje też art. 73 ust. 1a–1d – przepis wymienia „ust. 1–4”, do rozstrzygnięcia interpretacja. Pozycja dodana. |
| Odpowiedzialność kierownictwa | Kierownik jednostki (JSFP: art. 53 ust. 1 ufp – art. 2 pkt 8a) odpowiada za obowiązki z art. 8c ust. 1, także gdy powierzył je innej osobie (art. 8c ust. 3) ustawa. | Kierownik odpowiada za wykonywanie obowiązków (art. 8c); decyduje o SZBI, planuje środki, nadzoruje zadania (art. 8d) ustawa. | Jak podmiot ważny ustawa. | Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej – odpowiadają wszyscy członkowie (art. 8c ust. 2). Oświadczenie kierownika we wniosku o wpis (art. 7c ust. 5). Zatwierdzenia, nadzór, akceptacja ryzyka i zasoby. |
Interpretacja robocza, nie opinia prawna. Pewność: A = potwierdzone w przekazanym tekście Dz.U. 2026 poz. 252, C = interpretacja własna, Z = spoza przekazanego tekstu (np. niezmienione pkt art. 4, których ustawa zmieniająca nie cytuje). Brak orzecznictwa i wykładni MC – wnioski C to hipotezy do potwierdzenia.
| Punkt art. 4 | Treść | Zmiana względem stanu sprzed 3.04.2026 | Uwaga | Pewność |
|---|---|---|---|---|
| pkt 1 | podmioty kluczowe | Nowe brzmienie; dotychczasowi operatorzy usług kluczowych stali się podmiotami kluczowymi z mocy prawa (art. 22 ust. 1 ustawy zmieniającej) | Kategoria zdefiniowana w art. 5 ust. 1 | ustawa |
| pkt 2 | podmioty ważne | Nowe brzmienie (dawne brzmienie pkt 2 nie jest cytowane w przekazanym tekście) | Kategoria zdefiniowana w art. 5 ust. 2 | ustawa |
| pkt 3–5 | (niezmienione; brzmienie spoza przekazanego tekstu – wg dotychczasowego art. 4: CSIRT MON, CSIRT NASK, CSIRT GOV) | Bez zmian | Adresaci zgłoszeń incydentów: art. 11 ust. 1 pkt 2, 5; art. 44 | spoza tekstu |
| pkt 6 | CSIRT sektorowe | Nowe brzmienie; zespół CSIRT sektorowy ma powstać w 18 mies. (art. 42); istniejący sektorowy zespół cyberbezpieczeństwa staje się CSIRT sektorowym z dniem wejścia w życie (art. 46) | Do komunikatu o gotowości zgłasza się do CSIRT MON/NASK/GOV (art. 44) | ustawa |
| pkt 7–16 | (uchylone) | UCHYLONO wyliczenie kategorii podmiotów (wg komentarzy m.in. JSFP, instytuty badawcze, NBP, BGK, UDT, PAŻP, PCA, NFOŚiGW, spółki użyteczności publicznej – treść uchylonych punktów nie jest w przekazanym tekście) | Dziś te podmioty wchodzą do systemu przez art. 5 i zał. 1–2; część z nich wymieniono wprost w zał. 1 w sektorze „podmioty publiczne” (m.in. JSFP z art. 9 pkt 1, 3, 5–6, 8, 9 ufp, państwowe instytucje kultury, instytuty badawcze, NBP, BGK, UDT, PAŻP, PCA, NFOŚiGW) | ustawa / spoza tekstu |
| pkt 17–20 (+17a) | (niezmienione) + nowy pkt 17a: Połączone Centrum Operacyjne Cyberbezpieczeństwa, „PCOC” | pkt 17a dodany | Numerację i brzmienie niezmienionych punktów sprawdzić w tekście jednolitym | ustawa / spoza tekstu |
| Kto / co | Podstawa | Co to oznacza | Przykłady | Pewność |
|---|---|---|---|---|
| Podmioty kluczowe (art. 4 pkt 1) | Art. 5 ust. 1; zał. 1 | SZBI wg art. 8 ust. 1; incydenty 24 h/72 h/miesiąc; audyt co ≥ 3 lata (pierwszy do 3.04.2028); nadzór prewencyjny i następczy; kary do 10 mln EUR / 2% przychodów. | Duże podmioty z zał. 1 (np. duże wodociągi), ISP średni i więksi, DNS, urząd gminy ≥ 50 etatów, starostwo, podmiot leczniczy ≥ 250 osób, państwowe instytucje kultury | ustawa |
| Podmioty ważne (art. 4 pkt 2) | Art. 5 ust. 2; zał. 1–2 | SZBI wg art. 8 ust. 1; incydenty jak wyżej; brak audytu cyklicznego (audyt na decyzję po incydencie lub naruszeniu); nadzór następczy; kary do 7 mln EUR / 1,4%. | Średnie podmioty z zał. 1, średnie i duże z zał. 2, mikro/mali ISP, podmioty lecznicze 50–249 osób | ustawa |
| w tym: ważne podmioty publiczne | Art. 5 ust. 2 pkt 8; art. 8 ust. 3, art. 12c; zał. 4 | SZBI wg zał. 4; tylko zgłoszenie incydentu w 72 h; min. 1 osoba kontaktowa; możliwa wspólna obsługa JST; kierownik karany do 100% wynagrodzenia. | Szkoły i przedszkola samorządowe, samorządowe jednostki i zakłady budżetowe, instytucje kultury, spółki komunalne (w zakresie zadań publicznych), urzędy gmin < 50 etatów | ustawa / interpretacja |
| Podwójna kwalifikacja | Art. 5 ust. 4 | Gdy spełnione kryteria obu kategorii – podmiot kluczowy. | Podmiot z zał. 1 i jednocześnie z zał. 2 | ustawa |
| Poza podmiotami (instytucje KSC) | Art. 4 pkt 3–6, 17–20 | Nie podlegają SZBI; są adresatami zgłoszeń lub organami nadzoru. | CSIRT MON/NASK/GOV, CSIRT sektorowe, PCOC, Pełnomocnik, Kolegium | ustawa / spoza tekstu |
| Poza KSC / reżimy szczególne | Art. 5 ust. 10–11; art. 8i | Służby specjalne i podmioty MON nie są kluczowe/ważne; bankowość i infrastruktura rynków finansowych mają wyłączenia z SZBI i zgłaszania incydentów. | Służby specjalne; banki | ustawa |
| Pułapka | Dlaczego | Jak uniknąć |
|---|---|---|
| Opieranie się na starym art. 4 | Pkt 7–16 uchylono; poradniki sprzed 3.04.2026 opisują operatorów usług kluczowych i dawny wykaz kategorii. | Sprawdzać datę materiału; korzystać z Dz.U. 2026 poz. 252 i tekstu jednolitego. |
| Automatyczne „urząd = kluczowy” | Próg 50 etatów (umowa o pracę, pełne etaty, 1 stycznia). Art. 7 ust. 2 pkt 13 mówi o deklaracji wg dnia sprawozdania finansowego – rozbieżność dat do wyjaśnienia. | Policzyć etaty wg zał. 1 i udokumentować przyjętą datę. |
| Wielkość liczona bez powiązań | Rozp. 651/2014 uwzględnia podmioty powiązane i partnerskie; wyjątek niezależności systemów (ust. 6–7); własność publiczna nie wyłącza progów (ust. 3). | Udokumentować powiązania i niezależność systemów. |
| Poleganie na wpisie z urzędu | Wpis jest deklaratoryjny (art. 7d ust. 5) i opiera się na rejestrach; może być błędny, a po wezwaniu trzeba uzupełnić dane w 6 mies. pod rygorem kary. | Zweryfikować kategorię i dane w wykazie; zmiany zgłaszać w 14 dni. |
| „Ważny” ≠ „brak obowiązków” | Rozdz. 3 (SZBI, incydenty, szkolenia kierownika, osoby kontaktowe) dotyczy obu kategorii; różnią się audyt, nadzór, kary i zakres dla podmiotów publicznych (zał. 4, art. 12c). | Planować wdrożenie na 3.04.2027 niezależnie od kategorii. |
| ISP: błędne przyjęcie, że mikro/mały operator jest poza KSC | Art. 5 ust. 2 pkt 4 czyni mikro i małych przedsiębiorców komunikacji elektronicznej podmiotami ważnymi. | Sprawdzić wielkość wg rozp. 651/2014 i wpis z urzędu. |
Daty wyliczone z art. 33, 35, 42–44 ustawy zmieniającej (termin wniosku 3.10.2026 pochodzi z komunikatu ministra – spoza tekstu). Pozycje dla Twojej kategorii są wyróżnione po wyborze w kreatorze.
Statusy zapisują się lokalnie w tej przeglądarce (localStorage). Postęp liczy punkty „Spełnione” i „Nie dotyczy”.
62 narzędzia i funkcje (EDR, XDR, SIEM, SOC, DLP, NAC, NDR, backup, OT i inne) z poziomem dla każdej kategorii podmiotu: obowiązkowy (O), zalecany (Z) lub nieobowiązkowy (N). Katalog pochodzi z udostępnionej rozmowy; przypisanie do kategorii i podstawy prawne to opracowanie własne wg Dz.U. 2026 poz. 252. Ustawa nie wymienia tych narzędzi z nazwy – ustawa wskazuje przepis, który je pośrednio uzasadnia, interpretacja to rekomendacja.
| Mam | Lp. | Narzędzie / system | Ważny publiczny | Ważny | Kluczowy | Podstawa w ustawie [A] / uwagi [C] |
|---|---|---|---|---|---|---|
| A. Ochrona komputerów, serwerów i użytkowników | ||||||
| 1 | EDR (Endpoint Detection and Response) Wykrywanie zagrożeń na stacjach i serwerach, analiza zachowania procesów, izolacja urządzeń, reakcja na ransomware i kradzież poświadczeń (np. Defender for Endpoint, CrowdStrike, SentinelOne). |
Z | O | O | Ustawa nie nazywa EDR. Podstawa pośrednia: art. 8 ust. 1 pkt 2 lit. g, pkt 4–5 ustawa. Zał. 4 wymaga tylko antywirusa (pkt 13) – dla ważnego publicznego EDR jest wg ryzyka (zalecany na serwerach, AD, stacjach administratorów). | |
| 2 | NGAV / antywirus nowej generacji Ochrona przed złośliwym oprogramowaniem, skryptami i znanymi zagrożeniami; często część EDR – nie musi być osobną licencją. |
O | O | O | Ważny publiczny: zał. 4 pkt 13 – stosowanie oprogramowania antywirusowego ustawa. Pozostali: art. 8 ust. 1 pkt 2, 5 ustawa. | |
| 3 | XDR (Extended Detection and Response) Korelacja zdarzeń z endpointów, poczty, tożsamości, chmury i sieci. Nie musi być osobnym produktem, jeśli EDR/SIEM zapewnia te funkcje. |
N | Z | Z | Rekomendacja interpretacja; zasadne przy wielu źródłach do skorelowania i braku SIEM. | |
| 4 | SEG – ochrona poczty (antyphishing, antyspam, analiza załączników) Antyphishing, analiza załączników i linków, blokowanie podszywania się pod domenę, ochrona przed BEC. |
O | O | O | Ważny publiczny: zał. 4 pkt 9 – kontrola poczty z mechanizmami z art. 24 ust. 1 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej ustawa; pełna brama SEG – wg ryzyka interpretacja. Opcja: dedykowana poczta przez jednostkę wspólnej obsługi (zał. 4 cz. II pkt 2). | |
| 5 | IAM / MFA / PAM (zespół tożsamości) Zarządzanie tożsamością, uwierzytelnianie wieloskładnikowe, role i uprawnienia, kontrola kont uprzywilejowanych. |
O | O | O | Art. 8 ust. 1 pkt 2 lit. l (MFA „w stosownych przypadkach”), lit. n ustawa. Ważny publiczny: zał. 4 pkt 4–7 – tylko uprawnieni, minimalne uprawnienia, cofanie i zmiana uprawnień ustawa; MFA/PAM szczegółowo – wiersze 38–40. | |
| B. Monitoring, wykrywanie i reagowanie | ||||||
| 6 | SIEM Centralne zbieranie i korelacja logów z serwerów, firewalli, VPN, AD/Entra, EDR i aplikacji; reguły detekcji, alerty, raportowanie. |
Z | O | O | Art. 8 ust. 1 pkt 2 lit. g – monitorowanie w trybie ciągłym ustawa. SIEM nie jest wymieniony z nazwy interpretacja. Ważny publiczny: zał. 4 cz. II pkt 5 – monitorowanie („może”), także przez dostawcę usług zarządzanych ustawa; minimum: centralny zbiór logów z alertami. | |
| 7 | SOC / MDR / usługa SOC (własny lub zewnętrzny) Zespół analizujący alarmy, prowadzący monitoring, eskalację i reakcję. Sam zakup SIEM nie oznacza, że ktoś reaguje na alerty. |
Z | O | O | Art. 14: wewnętrzne struktury cyberbezpieczeństwa albo umowa z dostawcą usług zarządzanych ustawa; art. 8 ust. 1 pkt 2 lit. g ustawa. Ciągłość ≠ człowiek patrzący w ekran 24/7: system działa stale, alerty trafiają do zdolnych zareagować interpretacja. Ważny publiczny: wystarczą powiadomienia do wyznaczonych osób lub wspólna obsługa (art. 16e) interpretacja. | |
| 8 | SOAR Automatyzacja reakcji: blokada IP, izolacja stacji przez EDR, unieważnianie sesji, tworzenie zgłoszeń. |
N | N | Z | Rekomendacja interpretacja; dojrzały poziom, gdy alertów jest dużo. | |
| 9 | NDR (Network Detection and Response) Analiza ruchu sieciowego, anomalie, komunikacja z C2, ruch boczny. |
N | N | Z | Art. 3a – obsługa incydentu może obejmować analizę ruchu sieciowego ustawa; narzędzie interpretacja. | |
| 10 | IDS / IPS Inspekcja ruchu i sygnatur ataków; IPS może blokować. Często funkcja NGFW. |
N | Z | Z | Rekomendacja interpretacja; zwykle dostarcza je NGFW. | |
| C. Kontrola dostępu do sieci i ochrona danych | ||||||
| 11 | NAC (kontrola dostępu do sieci) Kontrola urządzeń dopuszczanych do sieci, segmentacja dostępu, kwarantanna. |
N | Z | Z | Ustawa nie wymienia NAC. Podstawa pośrednia: art. 8 ust. 1 pkt 2 lit. m, n ustawa; zał. 4 pkt 1, 4 ustawa (inwentaryzacja, dostęp tylko dla uprawnionych). Minimum dla ważnego publicznego: rejestr urządzeń, VLAN gości, zabezpieczone WiFi interpretacja. | |
| 12 | DLP (ochrona przed wyciekiem danych) Wykrywanie i ograniczanie wycieku danych przez pocztę, USB, WWW i chmurę. |
N | Z | Z | Ustawa nie wymienia DLP. Podstawa pośrednia: art. 8 ust. 1 pkt 5 lit. a ustawa; zał. 4 pkt 3 – ochrona przed kradzieżą informacji ustawa. Wskazane przy danych osobowych/wrażliwych interpretacja. | |
| 13 | NGFW (firewall nowej generacji) Filtrowanie aplikacji, IPS, VPN, kontrola ruchu. |
O | O | O | Art. 8 ust. 1 pkt 5 lit. d ustawa (czasowe ograniczenie ruchu przychodzącego); zał. 4 pkt 3 lit. b – zabezpieczenia sprzętowe ustawa. Dla ważnego publicznego wystarcza podstawowy firewall. | |
| 14 | WAF Ochrona aplikacji webowych przed atakami HTTP/HTTPS. |
N | N | Z | Wg ryzyka interpretacja; zasadne, gdy publikujesz aplikacje/ePUAP-podobne portale w Internecie. | |
| 15 | ZTNA Kontekstowy dostęp do aplikacji zamiast szerokiego VPN. |
N | N | Z | Rekomendacja interpretacja. | |
| 16 | DNS Security Blokowanie domen phishingowych, malware i C2. |
N | Z | Z | Rekomendacja interpretacja; tani i skuteczny element warstwy sieciowej. | |
| 17 | SWG / CASB Kontrola ruchu WWW oraz użycia usług chmurowych i danych w SaaS. |
N | N | Z | Ważny publiczny: zał. 4 cz. II pkt 4 – zasady korzystania z chmury i generatywnej AI („może”) ustawa; narzędzie interpretacja. | |
| 18 | SASE / SSE Zintegrowana ochrona dostępu do Internetu, chmury i użytkowników zdalnych. |
N | N | N | Rozwiązanie specjalistyczne interpretacja. | |
| 19 | VPN z MFA Szyfrowany dostęp zdalny i administracyjny. |
O | O | O | Zał. 4 pkt 8 – bezpieczna praca mobilna i zdalna ustawa; art. 8 ust. 1 pkt 2 lit. l ustawa. | |
| 20 | PKI / KMS / HSM Certyfikaty, zarządzanie kluczami, bezpieczne operacje kryptograficzne. |
N | N | Z | Art. 8 ust. 1 pkt 2 lit. k – polityki kryptografii, szyfrowanie w stosownych przypadkach ustawa; narzędzie interpretacja. | |
| D. Podatności, konfiguracja i zasoby | ||||||
| 21 | Skaner podatności Skanowanie podatności serwerów, stacji, urządzeń sieciowych i aplikacji. |
Z | O | O | Art. 8 ust. 1 pkt 3 i pkt 5 lit. d ustawa. Ważny publiczny: zał. 4 pkt 15–16 – cykl życia i stabilne wersje ustawa; skaner wg ryzyka. | |
| 22 | Patch management Centralne zarządzanie aktualizacjami systemów i oprogramowania. |
O | O | O | Art. 8 ust. 1 pkt 5 lit. b ustawa; zał. 4 pkt 15–16 ustawa, cz. II pkt 8 ustawa. | |
| 23 | ASM / EASM Inwentaryzacja i wykrywanie zasobów widocznych z Internetu. |
N | N | Z | Rekomendacja interpretacja. | |
| 24 | ITAM / CMDB (rejestr zasobów) Rejestr urządzeń, systemów, właścicieli i zależności. |
O | O | O | Art. 8 ust. 1 pkt 2 lit. m – zarządzanie aktywami ustawa; zał. 4 pkt 1 – inwentaryzacja produktów, usług i procesów ICT ustawa. | |
| 25 | CSPM Kontrola konfiguracji usług chmurowych. |
N | N | Z | Tylko gdy korzystasz z chmury publicznej interpretacja. Zał. 4 pkt 3 lit. c – udokumentowanie mechanizmów przy usługach chmurowych ustawa. | |
| 26 | CIS Benchmark / zgodność konfiguracji Weryfikacja bezpiecznej konfiguracji serwerów, stacji i urządzeń. |
Z | O | O | Art. 8 ust. 1 pkt 2 lit. b, h ustawa; zał. 4 pkt 2 – kontrola podstawowych wersji ustawa. | |
| 27 | SAST / DAST / SCA Testowanie bezpieczeństwa aplikacji, kodu i bibliotek. |
N | N | Z | Gdy rozwijasz własne aplikacje; art. 8 ust. 1 pkt 2 lit. b – testowanie systemu ustawa. | |
| 28 | Testy penetracyjne Praktyczne sprawdzanie możliwości wykorzystania podatności. |
N | Z | Z | Ważny publiczny: zał. 4 cz. II pkt 6 – testowanie poziomów bezpieczeństwa („może”) ustawa. | |
| 29 | Threat Intelligence / CTI Informacje o zagrożeniach, kampaniach, wskaźnikach kompromitacji i podatnościach. |
N | Z | Z | Art. 8 ust. 1 pkt 3 – zbieranie informacji o cyberzagrożeniach i podatnościach (proces obowiązkowy ustawa; narzędzie komercyjne interpretacja – wystarczą też źródła CSIRT/CERT). | |
| 30 | Monitorowanie powierzchni ataku Wykrywanie nowych usług, błędnych ekspozycji i zmian. |
N | N | Z | Rekomendacja interpretacja. | |
| E. Kopie zapasowe i ciągłość działania | ||||||
| 31 | Oprogramowanie do backupu Kopie serwerów, baz, stacji i konfiguracji. |
O | O | O | Zał. 4 pkt 10 – kopie odseparowane logicznie i fizycznie ustawa; art. 8 ust. 1 pkt 2 lit. f ustawa. | |
| 32 | Kopie niezmienne (immutable / WORM) Ochrona kopii przed usunięciem lub modyfikacją, np. przez ransomware. |
Z | Z | O | Art. 8 ust. 1 pkt 5 lit. c – ochrona przed nieuprawnioną modyfikacją ustawa; zał. 4 pkt 10 – separacja ustawa. | |
| 33 | Disaster Recovery (DR) Odtwarzanie systemów i usług po awarii lub cyberataku. |
Z | O | O | Art. 8 ust. 1 pkt 2 lit. f ustawa; zał. 4 cz. II pkt 3 – wysoka dostępność („może”) ustawa. | |
| 34 | BCM / BCP / DRP (plany ciągłości) Planowanie ciągłości i odtwarzania. |
O | O | O | Art. 8 ust. 1 pkt 2 lit. f ustawa; zał. 4 pkt 12, 18 – procedury na awarię/incydent ustawa. | |
| 35 | Monitoring backupu Kontrola poprawności kopii, alarmy o błędach. |
Z | O | O | Rekomendacja interpretacja wspierająca zał. 4 pkt 10–11. | |
| 36 | Testy odtworzeniowe Sprawdzenie, czy kopie pozwalają przywrócić systemy. |
O | O | O | Zał. 4 pkt 11 – testowanie kompletności i możliwości odtworzenia ustawa. | |
| F. Tożsamość, dostęp i użytkownicy | ||||||
| 37 | Ochrona AD / Entra ID Ochrona katalogu użytkowników i konfiguracji tożsamości. |
Z | O-jeśli używasz | O-jeśli używasz | Art. 8 ust. 1 pkt 2 lit. n ustawa; rekomendacja narzędzi interpretacja. | |
| 38 | PAM (konta uprzywilejowane) Konta administratorów, sejf haseł, nagrywanie sesji. |
N | Z | O | Art. 8 ust. 1 pkt 2 lit. n ustawa; narzędzie PAM interpretacja. | |
| 39 | IGA (nadawanie i przeglądy uprawnień) Nadawanie, przeglądy i odbieranie uprawnień. |
N | N | Z | Zał. 4 pkt 5–7 – proces minimalnych uprawnień i cofania ustawa; narzędzie IGA interpretacja. | |
| 40 | MFA Drugi składnik uwierzytelniania, szczególnie dla administratorów i dostępu zdalnego. |
Z | O | O | Art. 8 ust. 1 pkt 2 lit. l – „w stosownych przypadkach” ustawa. Dla ważnego publicznego zalecane (admini, zdalny dostęp) interpretacja. | |
| 41 | MDM / UEM Zarządzanie laptopami, telefonami, szyfrowaniem i politykami urządzeń. |
Z | Z | Z | Zał. 4 pkt 2 i 8 – kontrola instalacji na urządzeniach mobilnych, praca mobilna ustawa. | |
| 42 | Szkolenia i symulacje phishingu Szkolenia, testy odporności na phishing. |
O | O | O | Art. 8 ust. 1 pkt 2 lit. i, j; art. 8e (kierownik raz w roku) ustawa; zał. 4 pkt 14, 17 ustawa. | |
| 43 | Menedżer haseł Bezpieczne zarządzanie hasłami. |
Z | Z | Z | Rekomendacja interpretacja. | |
| G. Fizyczne i OT/ICS | ||||||
| 44 | OT/ICS – inwentaryzacja urządzeń przemysłowych Sterowniki PLC, HMI, SCADA. |
Z | O-OT | O-OT | Dla podmiotów z OT/ICS (woda, ścieki, energia, ciepło, produkcja) – podstawowe; art. 8 ust. 1 pkt 2 lit. m ustawa. | |
| 45 | OT NDR / monitoring ICS Pasywne monitorowanie komunikacji przemysłowej i anomalii. |
N | N | Z | Rekomendacja interpretacja; w OT preferowany monitoring pasywny. | |
| 46 | Segmentacja IT/OT (DMZ, strefy) Oddzielenie IT od OT, kontrolowane połączenia. |
Z | O-OT | O-OT | Rekomendacja interpretacja oparta na art. 8 ust. 1 pkt 5 ustawa. | |
| 47 | Bezpieczny zdalny dostęp serwisowy Kontrolowany dostęp serwisantów do sterowników i SCADA. |
Z | O-OT | O-OT | Art. 8 ust. 1 pkt 2 lit. e, n ustawa; zał. 4 cz. II pkt 7 – umowy serwisowe ustawa. | |
| 48 | Firewall przemysłowy Filtrowanie protokołów przemysłowych między strefami. |
N | N | Z | Rekomendacja interpretacja. | |
| 49 | Zarządzanie podatnościami OT Ocena podatności bez niebezpiecznego skanowania urządzeń produkcyjnych. |
N | N | Z | Rekomendacja interpretacja; testy uzgadniać z producentem. | |
| 50 | Fizyczna kontrola dostępu Kontrola wejścia do serwerowni, szaf i pomieszczeń technicznych. |
O | O | O | Art. 8 ust. 1 pkt 2 lit. c ustawa; zał. 4 pkt 3 lit. a ustawa. | |
| 51 | Monitoring środowiskowy serwerowni Temperatura, wilgotność, zalanie, zasilanie. |
N | Z | Z | Rekomendacja interpretacja. | |
| 52 | UPS / monitoring zasilania Ochrona przed zanikiem zasilania. |
Z | Z | Z | Zał. 4 cz. II pkt 3 – wysoka dostępność („może”) ustawa. | |
| H. Incydenty, zgodność i audyt | ||||||
| 53 | ITSM / rejestr incydentów Rejestr incydentów, odpowiedzialności, eskalacja i historia działań. |
Z | O | O | Art. 8 ust. 1 pkt 4; art. 11 ustawa. Proces postępowania z incydentem obowiązkowy także dla ważnego publicznego (zał. 4 pkt 12, 18) – narzędzie wg ryzyka. | |
| 54 | GRC (ryzyko, kontrole, zgodność) Zarządzanie ryzykiem, kontrolami i działaniami naprawczymi. |
Z | O | O | Art. 8 ust. 1 pkt 1 ustawa; zał. 4 cz. IV – dokumentowanie działań ustawa. | |
| 55 | SZBI (system zarządzania bezpieczeństwem informacji) Np. zgodny z ISO 27001. |
O | O | O | Kluczowy/ważny: art. 8 ust. 1; ważny publiczny: zał. 4 wg art. 8 ust. 3 ustawa. | |
| 56 | Rejestr ryzyk Rejestr ryzyk, oceny i plany postępowania. |
Z | O | O | Art. 8 ust. 1 pkt 1 ustawa; dla ważnego publicznego dobra praktyka interpretacja. | |
| 57 | Reagowanie na incydenty / DFIR Analiza incydentów, zabezpieczanie dowodów, odtworzenie przebiegu. |
Z | O | O | Art. 8 ust. 1 pkt 4; art. 11–12c ustawa. | |
| 58 | Narzędzia do analizy powłamaniowej (forensic) Analiza dysków, pamięci, logów i artefaktów. |
N | N | Z | Rekomendacja interpretacja; można zlecić zewnętrznie. | |
| 59 | Zarządzanie audytami Planowanie audytów, dowody, niezgodności i zalecenia. |
Z | Z | O | Kluczowy: audyt co ≥ 3 lata (art. 15) ustawa; ważny: na decyzję organu; ważny publiczny: przegląd SZBI raz w roku (zał. 4 cz. III) ustawa. | |
| 60 | Ryzyko łańcucha dostaw Ocena dostawców, usług IT, oprogramowania i dostępu serwisowego. |
Z | O | O | Art. 8 ust. 1 pkt 2 lit. e, ust. 2 ustawa; zał. 4 cz. II pkt 7 ustawa; ewentualne decyzje DWR (art. 67b–67c) ustawa. | |
| 61 | S46 / obsługa zgłoszeń Zgłoszenia incydentów i obowiązki komunikacyjne w krajowym systemie. |
O | O | O | Obowiązek ustawowy: art. 9, 11, 12c ustawa. | |
| 62 | Repozytorium dokumentacji bezpieczeństwa Polityki, procedury, wyniki testów, dowody kontroli. |
O | O | O | Art. 10 – dokumentacja ustawa; zał. 4 cz. IV ustawa. | |
Wstępna kwalifikacja typowych podmiotów (z pliku). Kliknij „Uruchom w kreatorze”, aby sprawdzić własne dane.
| Przykład | Wstępna kwalifikacja (do potwierdzenia) | Co sprawdzić / zastrzeżenie | |
|---|---|---|---|
| Urząd gminy / miasta | Kluczowy, jeżeli na 1 stycznia zatrudnia ≥ 50 osób w przeliczeniu na pełne etaty na podstawie umowy o pracę (zał. 1, sektor „podmioty publiczne”, pkt 4) ustawa. Poniżej progu – ważny jako samorządowa jednostka budżetowa (zał. 2, art. 5 ust. 2 pkt 8) interpretacja. | Starostwo powiatowe – kluczowe (zał. 1 pkt 3). Uwaga: zał. 1 mówi o stanie na 1 stycznia, a art. 7 ust. 2 pkt 13 – o deklaracji liczby osób wg stanu na dzień sprawozdania finansowego; przy wątpliwości stosować przepis szczególny załącznika interpretacja. Jednostki organizacyjne gminy ocenia się odrębnie. | |
| Szkoła / przedszkole samorządowe | Samorządowa jednostka budżetowa → ważny (zał. 2; art. 5 ust. 2 pkt 8), o ile realizuje zadanie publiczne z użyciem systemów informacyjnych ustawa / interpretacja; odrębny podmiot od urzędu gminy. | SZBI wg zał. 4 (art. 8 ust. 3); jednostka może korzystać ze wspólnej obsługi JST (art. 16e ust. 5–9). Zał. 1 wyłącza jednostki oświatowe samorządu województwa z kategorii kluczowych ustawa. Sam dziennik elektroniczny nie przesądza o kategorii. | |
| Samorządowa instytucja kultury | Ważny (art. 5 ust. 2 pkt 8; zał. 2) ustawa. Państwowe instytucje kultury – kluczowe (zał. 1 pkt 1 lit. c) ustawa. | Warunek: zadanie publiczne z użyciem systemów informacyjnych. | |
| Wodociągi / kanalizacja (spółka lub zakład) | Zał. 1: podmiot dostarczający wodę pitną / odprowadzający lub oczyszczający ścieki, w tym przedsiębiorstwo wodociągowo-kanalizacyjne – z wyłączeniem podmiotów, dla których to działalność niebędąca istotną częścią ogółu ustawa. Duży przedsiębiorca → kluczowy; średni → ważny; mikro/mała spółka komunalna → ważna przez art. 5 ust. 2 pkt 8 ustawa / interpretacja. | Zakład budżetowy niebędący przedsiębiorcą wskazany w zał. 1 z rodzaju może być kluczowy niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. g) – wymaga analizy interpretacja. Spełnienie obu ścieżek = kluczowy (ust. 4). Nadzór dla samorządowych podmiotów publicznych: minister cyfryzacji (art. 41a ust. 4). | |
| Operator telekomunikacyjny / ISP | Przedsiębiorca komunikacji elektronicznej: średni lub większy → kluczowy (art. 5 ust. 1 pkt 2); mikro lub mały → ważny (art. 5 ust. 2 pkt 4) ustawa. | Telekomunikacja jest wpisywana z urzędu (art. 7a ust. 2) – sprawdzić wpis i uzupełnić dane. Do rozpoczęcia obowiązków rozdz. 3 stosuje się dotychczasowe obowiązki z działu VIIa Prawa telekomunikacyjnego (art. 33 ust. 5). DWR: tylko gdy przychód z działalności telekomunikacyjnej > 10 mln zł (art. 67b ust. 1 pkt 2). Wielkość wg rozp. 651/2014 z uwzględnieniem podmiotów powiązanych. | |
| Podmiot leczniczy niebędący przedsiębiorcą | 50–249 osób → ważny; ≥ 250 → kluczowy (art. 5 ust. 8) ustawa. | Przedsiębiorcy – wg zasad ogólnych (zał. 1). | |
| Firma z sektora załącznika nr 2 | Średnia lub duża → ważna, o ile nie jest kluczowa (art. 5 ust. 2 pkt 2) ustawa. | Nie kwalifikować wyłącznie na podstawie nazwy firmy lub PKD – wpis z urzędu bywa błędny, a status wynika z ustawy (wpis ma charakter deklaratoryjny, art. 7d ust. 5). | |
| NZOZ – spółka z o.o. (średnia, ok. 90 osób) | Podmiot leczniczy będący przedsiębiorcą z zał. 1 (ochrona zdrowia): średni → ważny (art. 5 ust. 2 pkt 1) ustawa; duży → kluczowy (art. 5 ust. 1 pkt 1) ustawa. | Sprawdź podmioty powiązane i partnerskie (art. 5 ust. 6–7), sposób liczenia zatrudnienia, wpis do wykazu w 6 miesięcy (art. 7c) ustawa. Dane o zdrowiu: DLP, segmentacja, kopie niezmienne interpretacja. | |
| NZOZ – spółka lekarzy (cywilna / jawna / partnerska, ok. 12 osób) | Mikro lub mały przedsiębiorca – poza kategoriami z samej wielkości ustawa; organ może uznać podmiot decyzją (art. 7l) ustawa. | Zatrudnienie liczy się z uwzględnieniem wspólników prowadzących regularną działalność oraz podmiotów powiązanych spoza tekstu. Jeśli jesteście podwykonawcą podmiotu kluczowego/ważnego – zał. 1 wymienia takich podwykonawców ustawa, ale próg wielkości nadal obowiązuje interpretacja. | |
| SP ZOZ / szpital powiatowy (ok. 120 osób) | Podmiot leczniczy niebędący przedsiębiorcą: 50–249 osób → ważny (art. 5 ust. 8 pkt 1) ustawa. | SP ZOZ nie jest samorządową jednostką budżetową z zał. 2 interpretacja – kategoria wynika z ust. 8. SOR / Centrum Urazowe: zał. 1 – sprawdź pozostałe obowiązki. Zasady z art. 8 ust. 1 (SZBI), nie zał. 4, o ile nie jest jednocześnie podmiotem publicznym z art. 8 ust. 3 interpretacja. | |
| SP ZOZ / szpital wojewódzki (ok. 400 osób) | Podmiot leczniczy niebędący przedsiębiorcą: ≥ 250 osób → kluczowy (art. 5 ust. 8 pkt 2) ustawa. | Audyt co ≥ 3 lata (art. 15, pierwszy do 3.04.2028) ustawa, SZBI art. 8 ust. 1, systemy medyczne (HIS/EDM, PACS, aparatura) w zakresie SZBI interpretacja. | |
| Wodociągi – spółka z o.o. komunalna (duża, ok. 280 osób) | Duży przedsiębiorca z zał. 1 (woda pitna / ścieki) → kluczowy (art. 5 ust. 1 pkt 1) ustawa. Mała lub średnia spółka komunalna → ważny publiczny (art. 5 ust. 2 pkt 8) ustawa. | OT/SCADA, pompownie, SUW/oczyszczalnie w zakresie SZBI; wyłączenie, gdy woda/ścieki nie są istotną częścią działalności (zał. 1) ustawa. Dla ważnego publicznego – zał. 4 ustawa. | |
| Wodociągi – zakład budżetowy gminy (nieprzedsiębiorca) | Podmiot dostarczający wodę lub odprowadzający ścieki niebędący przedsiębiorcą, wskazany w zał. 1 przez rodzaj → kluczowy niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. g) interpretacja. Jednocześnie ważny publiczny (pkt 8) ustawa – kluczowy przeważa (ust. 4) ustawa. | Interpretacja własna interpretacja – w razie wątpliwości zapytaj organ lub zrób analizę prawną. Zwróć uwagę na wyłączenie dla działalności nieistotnej ustawa. | |
| Wodociągi – prywatna firma (średnia) | Przedsiębiorstwo wodociągowo-kanalizacyjne średnie → ważny (art. 5 ust. 2 pkt 1) ustawa; duże → kluczowy ustawa. | Mała firma – poza kategoriami, o ile organ nie uzna jej decyzją (art. 7l) ustawa. |
Źródłem prawdy jest tekst Dz.U. 2026 poz. 252 przekazany przez użytkownika. Oznaczenia: ustawa ustawa, interpretacja interpretacja własna, spoza tekstu spoza przekazanego tekstu.
| Źródło prawdy dla tej wersji | Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 (PDF „D20260252L”, 103 s., wydruk 2026-03-03) – dostarczone przez użytkownika jako jedyne zaufane źródło. Plik zawiera przepisy zmieniające (art. 1 pkt 1–…), przepisy przejściowe (art. 22–48), art. 49 oraz załączniki 1–4 ustawy zmienianej. |
| Ograniczenie źródła | To tekst ustawy ZMIENIAJĄCEJ, nie tekst jednolity KSC. Zawiera nowe brzmienie zmienianych przepisów (m.in. art. 5, 7–7m, 8–16h, 53, 67b–67c, 73–74 oraz załączniki), ale nie przepisy, których nowelizacja nie dotknęła (np. niezmienione pkt art. 4, pozostała część art. 1 ust. 2). Twierdzeń o takich przepisach nie da się z niego zweryfikować – w pliku są oznaczone spoza tekstu albo pominięte. |
| Wejście w życie | Art. 49: po upływie miesiąca od ogłoszenia (ogłoszenie 2.03.2026 → 3.04.2026; data ogłoszenia z metadanych ELI) ustawa / spoza tekstu. Ustawa zmieniana: Dz.U. 2026 poz. 20 (wg art. 1). |
| Zmiana art. 4 | Art. 1 pkt 8: pkt 1–2 („podmioty kluczowe”, „podmioty ważne”), pkt 6 („CSIRT sektorowe”), uchylenie pkt 7–16, dodanie pkt 17a (PCOC) ustawa. |
| Przepisy przejściowe | Art. 22 (OUK → kluczowe), art. 33 (terminy: 12 mies., 24 mies., wniosek wg harmonogramu, OUK 6 mies., telekomunikacja), art. 34 (wykaz, harmonogram), art. 35 (moratorium kar 2 lata), art. 42–44 (CSIRT sektorowy, 18 mies.), art. 43 (porozumienia podmiotów publicznych, max 2 lata) ustawa. |
| Spoza przekazanego tekstu [Z] | Data 3.10.2026 jako termin wniosków (komunikat ministra z art. 34 ust. 3 – ogłoszony poza ustawą). Rozporządzenie Rady Ministrów o progach incydentów poważnych (art. 11 ust. 4). Ewentualne decyzje o dostawcach wysokiego ryzyka (art. 67b ust. 15). Ewentualne postępowanie przed TK. Wszystko to sprawdzić w ELI / Monitorze Polskim. |
| NIS2 | Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (wdrażana – odnośnik 1 do tytułu ustawy) ustawa. |
| Oficjalne źródła | https://eli.gov.pl/eli/DU/2026/252/ogl ; https://isap.sejm.gov.pl/ ; https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=pl ; https://www.gov.pl/web/cyfryzacja |
| Legenda oznaczeń | ustawa – potwierdzone w przekazanym tekście ustawy (z numerem przepisu); interpretacja – interpretacja własna; spoza tekstu – informacja spoza przekazanego tekstu, do potwierdzenia. |
| Ważne zastrzeżenie | Arkusz jest materiałem roboczym do kwalifikacji i planowania audytu, a nie opinią prawną. Nie zastępuje analizy tekstu jednolitego, rozporządzeń wykonawczych ani statusu konkretnej jednostki. |
| Produkty IT | Ustawa określa wymagane cele i środki; nie wymienia EDR, SIEM ani SOC z nazwy jako obowiązkowych. Zał. 4 wymaga m.in. antywirusa oraz kopii odseparowanych logicznie i fizycznie. |
| Miejsce | Było | Zmieniono / dlaczego |
|---|---|---|
| Źródło prawdy | W wersji 1 część twierdzeń oparta na blogach i komentarzach. | Wersja 2 zweryfikowana z przekazanym tekstem Dz.U. 2026 poz. 252 (ustawa zmieniająca z załącznikami). Informacje, których tekst nie potwierdza, oznaczono spoza tekstu lub usunięto (m.in. statystyki wpisów, wzmianka o TK). |
| Porównanie obowiązków – nagłówki | Brak wiersza nagłówków: wiersz 3 (dane „Kwalifikacja”) miał styl nagłówka, filtr i zamrożenie okien były przesunięte; kolumny B–E bez opisu. | Dodano nagłówki (podmiot publiczny / ważny / kluczowy / uwagi), poprawiono filtr i zamrożenie. |
| Porównanie – kolumny C i D | Niemal identyczne we wszystkich wierszach. | Rozróżniono tam, gdzie ustawa różnicuje (audyt, nadzór, kary, terminy, incydenty podmiotów publicznych, zał. 4); wiersze techniczne wskazują konkretne przepisy art. 8 i zał. 4. |
| POPRAWKA: mikro/mali ISP | W wersji 1: „mikro/mały → sprawdzić”. | Art. 5 ust. 2 pkt 4: mikro i mali przedsiębiorcy komunikacji elektronicznej to podmioty ważne; średni i więksi – kluczowe (pkt 2). |
| POPRAWKA: art. 1 ust. 2 | W wersji 1 sugerowano wyłączenia dla telekomunikacji (lex specialis). | Art. 1 ust. 2 pkt 1–2 uchylono; dla telekomunikacji jest tylko okres przejściowy (art. 33 ust. 5). Usunięto błędne zastrzeżenie. |
| POPRAWKA: incydenty podmiotów publicznych | Źródła wtórne były rozbieżne. | Art. 12c rozstrzyga: podmiot ważny publiczny zgłasza tylko incydent poważny w 72 h (bez wczesnego ostrzeżenia i sprawozdań). |
| POPRAWKA: dokumentacja 2 lata | „Przechowywanie ≥ 2 lata” dla wszystkich. | Art. 10 ust. 7: liczone od wycofania dokumentacji; nie dotyczy podmiotów podlegających ustawie o narodowym zasobie archiwalnym (zwykle jednostki publiczne). |
| POTWIERDZONE: wpis deklaratoryjny | Wniosek własny. | Art. 7d ust. 5 wprost: wpis ma charakter deklaratoryjny. |
| POTWIERDZONE: kary i terminy | Limity kar i numeracja art. 33–35 ze źródła wtórnego. | Art. 73 ust. 3–4 (10 mln EUR/2%, 7 mln EUR/1,4%), art. 73a ust. 4–5 (300%/100%), art. 33, 35 – zgodne z tekstem. Uwaga: termin 3.10.2026 wynika z komunikatu ministra (art. 34 ust. 3), nie z ustawy. |
| Nowe w porównaniu | – | Terminy (art. 22, 33, 42–44), nadzór (art. 53, 41a), kary, osoby kontaktowe i niekaralność (art. 8f, 9), struktury/MSSP (art. 14), niezależność audytora (art. 15 ust. 2a), wspólna obsługa JST (art. 16e), DWR (art. 67b–67c). |
| Checklista | 15 punktów, bez wpisu z urzędu, wielkości, zał. 4, szkolenia kierownika, S46, terminów. | Rozszerzona do 23 punktów z odwołaniami do przepisów; lista rozwijana statusu; filtr. |
| Przykłady podmiotów | Ogólniki „sprawdzić…” | Wstępna kwalifikacja dla gminy, szkoły, instytucji kultury, wodociągów, ISP, podmiotu leczniczego, firmy z zał. 2 – z przepisami. |
| Nowy arkusz „Art. 4 KSC – interpretacja” | – | Brzmienie art. 4 po zmianie, 8 tez interpretacyjnych, macierz „kogo dotyczy”, pułapki. |
| Do potwierdzenia poza ustawą zmieniającą | – | Niezmienione pkt art. 4 (3–5, 17–20), treść uchylonych pkt 1–2 art. 1 ust. 2, rozporządzenie o progach incydentów (art. 11 ust. 4), ewentualne decyzje DWR, komunikat MC o harmonogramie; czy moratorium z art. 35 obejmuje art. 73 ust. 1a–1d; rozbieżność dat dla urzędu gminy (zał. 1: 1 stycznia, art. 7 ust. 2 pkt 13: dzień sprawozdania). |
| Porównanie obowiązków / Checklista | Brak pozycji o systemach (DLP, NAC, SIEM, SOC, EDR/XDR vs AV, tryb monitorowania). | Dodano wiersze: analizator logów/SIEM, SOC, DLP, NAC, powiadomienia i pełna analiza, tryb nadzoru (człowiek vs powiadomienia); rozszerzono AV/EDR/XDR i monitoring; 7 punktów checklisty. Ustawa nie wymienia tych narzędzi z nazwy – wskazania interpretacja to rekomendacje; podstawy ustawa: art. 8 ust. 1 pkt 2 lit. g, pkt 4–5, art. 9 ust. 1 pkt 1, art. 14, zał. 4 pkt 13 i cz. II pkt 5. |
| Nowy arkusz „Macierz narzędzi” | Brak przypisania narzędzi (EDR, SIEM, SOC, DLP, NAC, NDR, SOAR, backup, OT itd.) do kategorii. | Dodano macierz 62 narzędzi/funkcji z poziomem dla kluczowego, ważnego i ważnego publicznego (A/B/C/–) wraz z podstawą w ustawie ustawa lub rekomendacją interpretacja. Katalog narzędzi pochodzi z udostępnionej rozmowy, przypisanie kategorii i podstawy – opracowanie własne. Poziomy oznaczone O (obowiązkowy), Z (zalecany), N (nieobowiązkowy). |
| Porównanie obowiązków / Przykłady | Brak osobnych wierszy dla ochrony zdrowia (SP ZOZ, NZOZ, spółki lekarzy) i wodociągów. | Dodano 2 wiersze sektorowe (ochrona zdrowia; wodociągi i kanalizacja) oraz 7 przykładów (NZOZ w spółce, spółka lekarzy, SP ZOZ, wodociągi: spółka komunalna, zakład budżetowy, firma prywatna). |