Ustawa o KSC — obowiązki, terminy, odpowiedzialność

Dwa warunki muszą być spełnione łącznie. Pierwszy: firma działa w jednym z sektorów wymienionych w załącznikach do ustawy — dla Podkarpacia najczęściej jest to produkcja spożywcza, chemiczna, maszynowa, motoryzacyjna, elektroniczna lub wyrobów medycznych, a także transport, gospodarowanie odpadami oraz woda i ścieki. Drugi: firma osiąga próg wielkości, czyli zatrudnia co najmniej 50 osób albo przekracza 10 mln EUR rocznego obrotu lub sumy bilansowej.

Przy liczeniu progu sumuje się dane przedsiębiorstw powiązanych i częściowo partnerskich, według unijnej definicji MŚP. Grupa trzech spółek po 30 osób każda, należących do jednego właściciela, przekracza próg — mimo że żadna z osobna go nie osiąga.

Kwalifikacja następuje z mocy prawa: nikt nie przyśle decyzji, że firma podlega ustawie. Podmiot ustala to sam i sam składa wniosek o wpis do wykazu. Ostateczną ocenę prawną potwierdzam we współpracy z radcą prawnym — ja odpowiadam za część techniczną.

Podmiot kluczowy to co do zasady duże przedsiębiorstwo z sektora wymienionego w Załączniku I do ustawy — na przykład zakład wodociągowy albo producent wyrobów medycznych powyżej 250 osób. Podmiot ważny to średnie przedsiębiorstwo z Załącznika I oraz podmioty z sektorów Załącznika II, w tym większość zakładów produkcyjnych.

Katalog obowiązków technicznych jest w obu przypadkach ten sam — te same środki z art. 8. Różnica dotyczy nadzoru: wobec podmiotów kluczowych organ może prowadzić kontrolę z urzędu, wobec podmiotów ważnych działa co do zasady wtedy, gdy pojawi się sygnał o naruszeniu. Różne są też górne granice kar.

Termin to 3 października 2026 r. — 6 miesięcy od wejścia w życie nowelizacji, która zaczęła obowiązywać 3 kwietnia 2026 r..

Wniosek składa się do ministra właściwego do spraw informatyzacji. Zawiera dane podmiotu, wskazanie sektora i podsektora z załącznika, dane osoby odpowiedzialnej za kontakt oraz — co bywa zaskoczeniem — wykaz adresów IP i nazw domen wykorzystywanych do świadczenia usługi. Zebranie tych danych zwykle wymaga sprawdzenia, co firma faktycznie wystawia do internetu.

Termin wdrożenia systemu zarządzania bezpieczeństwem informacji to 3 kwietnia 2027 r., czyli 12 miesięcy od wejścia w życie nowelizacji.

To znacznie więcej pracy niż wniosek o wpis. Wdrożenie obejmuje analizę ryzyka, procedury obsługi incydentów, monitoring, kopie zapasowe z testem odtworzenia, kontrolę dostępu i zarządzanie podatnościami — w wersji udokumentowanej, którą da się przedstawić organowi nadzoru. W firmie 50–250 osób rozsądny harmonogram to od trzech do sześciu miesięcy pracy, więc start w okolicach końca 2026 roku jest ostatnim komfortowym momentem.

Ustawa przenosi odpowiedzialność za wdrożenie środków bezpieczeństwa wprost na kierownika podmiotu — zarząd lub właściciela. Nie da się jej scedować na dział IT ani na zewnętrznego dostawcę. Kierownik ma też obowiązek odbycia szkolenia z zakresu cyberbezpieczeństwa i okresowego jego powtarzania.

Przepisy przewidują kary pieniężne wobec podmiotu oraz odrębną karę pieniężną wobec kierownika podmiotu, liczoną jako wielokrotność jego wynagrodzenia. W przypadku podmiotów kluczowych organ nadzoru może dodatkowo orzec czasowy zakaz pełnienia funkcji kierowniczych.

W praktyce ważniejsze od wysokości kar jest to, czego dotyczy kontrola: organ pyta o dowody, nie o deklaracje. Zapis w polityce, że kopie są testowane, nic nie znaczy bez protokołu z testu odtworzenia.

RODO chroni dane osobowe. Ustawa o KSC chroni ciągłość świadczenia usługi — a w firmie produkcyjnej usługą jest zdolność do wytwarzania i dostarczania wyrobu. Zatrzymanie linii przez ransomware to zdarzenie z zakresu ustawy o KSC nawet wtedy, gdy nie wyciekły żadne dane osobowe.

Różnią się też terminy zgłoszeń i adresat: RODO to 72 godziny do Prezesa UODO, ustawa o KSC to wczesne ostrzeżenie w 24 godziny i pełne zgłoszenie w 72 godziny do właściwego CSIRT. Część dokumentacji można wykorzystać wspólnie — rejestr aktywów, procedura postępowania z naruszeniem — ale zakresy nie pokrywają się w całości.

Nie. Uzupełniam ją o kompetencję, której zwykle nie ma w utrzymaniu: monitoring bezpieczeństwa i dokumentowanie zgodności. Firma IT dalej odpowiada za serwery, sieć, pocztę i helpdesk.

W praktyce pracuję z administratorem po stronie klienta lub z jego dostawcą IT: ja wskazuję, co ma być zebrane i wykryte, oni znają środowisko. Konfiguracje, które wprowadzam, zostają udokumentowane i przekazane — nie buduję zależności od siebie. Jeżeli klient zdecyduje się zakończyć współpracę, dostaje działający system i opis, jak go utrzymać.

To bardzo dobry punkt wyjścia — analiza ryzyka, polityki i przeglądy zarządzania zwykle są już na miejscu i można je uznać za dowód dla kilku środków z art. 8. Ale certyfikat sam w sobie nie jest równoznaczny ze zgodnością z ustawą.

Najczęstsze luki w firmach z ISO 27001: brak technicznego monitoringu zdarzeń z retencją odporną na modyfikację, brak przetestowanego odtworzenia z kopii i brak gotowej ścieżki zgłoszenia incydentu do CSIRT w wymaganym czasie. Ocena zgodności pokazuje, które elementy systemu ISO można wprost przenieść, a co trzeba dobudować.

Nie. Pracuję na Wazuh — otwartej platformie SIEM/XDR bez opłat licencyjnych za punkt końcowy. Koszt to serwer (zwykle maszyna wirtualna w istniejącej infrastrukturze lub niewielki serwer dedykowany), przestrzeń na dane i praca nad regułami wykrywania.

Dla firmy 50–250 osób oznacza to zwykle rząd wielkości kilku tysięcy złotych na start infrastruktury, a nie kilkudziesięciu tysięcy rocznie za licencje. Jeżeli firma ma już Microsoft 365 w planie zawierającym logi audytowe, wykorzystuję to, co jest, zamiast dokładać drugie źródło.

To normalna sytuacja i ustawa jej nie ignoruje — środki mają być proporcjonalne do ryzyka i uwzględniać stan techniki oraz koszt wdrożenia. Stacja sterująca na starym systemie operacyjnym, której producent maszyny nie pozwala aktualizować, nie jest naruszeniem samym w sobie.

Naruszeniem jest brak świadomej decyzji. Rozwiązaniem jest udokumentowane ryzyko, segmentacja sieci odcinająca ten segment od reszty, ograniczenie dostępu zdalnego serwisu do okna czasowego i monitorowanie ruchu do i z tego segmentu. To wszystko da się pokazać kontrolerowi jako środek kompensujący.

Tak, ale w 24 godzinach mieści się wczesne ostrzeżenie — krótka informacja, że wystąpił incydent poważny, wraz ze wstępną oceną, czy ma charakter złośliwy i czy może mieć skutki transgraniczne. Pełne zgłoszenie z oceną skutków składa się w ciągu 72 godzin, a sprawozdanie końcowe zwykle w ciągu miesiąca.

Praktyczny wniosek jest taki, że decyzję trzeba podjąć w nocy albo w weekend, na podstawie niepełnych danych. Dlatego przy wdrożeniu przygotowuję kartę decyzyjną z progami klasyfikacji i gotowymi formularzami — żeby kierownik nie zaczynał od czytania ustawy.

Ocena zgodności technicznej: 8 000 – 12 000 zł netto, w zależności od liczby lokalizacji i systemów. Cena jest znana z góry, przed rozpoczęciem pracy.

Wdrożenie wyceniam dopiero po ocenie — bez znajomości środowiska każda kwota byłaby zgadywaniem. Monitoring w abonamencie wyceniam od liczby monitorowanych źródeł zdarzeń i wymaganej retencji. Jeżeli firma zdecyduje się na wdrożenie w ciągu 60 dni od odbioru raportu, koszt oceny pomniejsza wycenę wdrożenia.

Częściowo. Odpowiadam za warstwę techniczną i faktograficzną: sektor, rzeczywisty zakres świadczonej usługi, systemy, adresy IP i domeny, dane potrzebne do wniosku. Kwalifikację prawną podmiotu — a szczególnie sytuacje sporne, jak grupy kapitałowe, spółki zależne czy działalność mieszczącą się w kilku sektorach — zawsze potwierdzam we współpracy z radcą prawnym.

Nie świadczę pomocy prawnej i nie wydaję opinii prawnych. Taki podział jest uczciwszy wobec klienta i bezpieczniejszy dla niego.

Świadcząc monitoring bezpieczeństwa w modelu abonamentowym, działam jako dostawca usług zarządzanych w zakresie cyberbezpieczeństwa. Ustawa nakłada na takich dostawców własne obowiązki — między innymi w zakresie bezpieczeństwa świadczonej usługi i współpracy przy obsłudze incydentów.

Dla klienta ma to praktyczne znaczenie w dwóch miejscach: po pierwsze, umowa musi opisywać zakres i sposób świadczenia usługi tak, żeby dało się to wykazać przy kontroli; po drugie, relacja z dostawcą podlega ocenie w ramach bezpieczeństwa łańcucha dostaw — po obu stronach.

Umowa o zachowaniu poufności podpisywana jest przed pierwszą wizytą, przed jakimkolwiek dostępem do danych. Podczas oceny pracuję na kontach o uprawnieniach do odczytu, w towarzystwie administratora klienta, i nie wprowadzam zmian w konfiguracji bez pisemnej zgody.

Przy monitoringu dostęp jest imienny, rejestrowany i ograniczony do systemu zbierania zdarzeń. Raporty i materiały dowodowe pozostają własnością klienta. Nie wykorzystuję nazw klientów w materiałach marketingowych bez ich pisemnej zgody — dlatego na tej stronie nie ma listy logotypów.