Wytyczne · stan prawny na 11.10.2026

Szkoła podstawowa

Gminna szkoła podstawowa to podmiot ważny według ustawy o KSC: SZBI według zał. 4 i zgłaszanie poważnych incydentów w 72 h obowiązują od 3.04.2027. Od 1.09.2026 obowiązuje zakaz telefonów dla uczniów, a statut trzeba dostosować do 31.12.2026. Stałe obowiązki to standardy ochrony małoletnich, RODO z IOD, e-dziennik, SIO, BIP i deklaracja dostępności.

Dotyczy: publiczna szkoła podstawowa prowadzona przez gminę (samorządowa jednostka budżetowa).

Obowiązki z ustawy o KSC, KRI i zgłaszanie incydentów, wspólne dla wszystkich jednostek, opisano szczegółowo na stronie wspólne wymagania.

§1Przepisy

Jakie przepisy obejmują jednostkę

Obszar	Dotyczy	Co to znaczy	Podstawa
Cyberbezpieczeństwo (KSC)	tak	Podmiot ważny – SZBI według załącznika nr 4, zgłaszanie incydentów poważnych w 72 h, obowiązki od 3.04.2027, kary od 3.04.2028.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC
Krajowe Ramy Interoperacyjności (KRI)	tak	Jednostka sektora finansów publicznych: system zarządzania bezpieczeństwem informacji (§ 19) i logi (§ 20) do 22.02.2027, potem nowe przepisy.	art. 2 ust. 1 pkt 1 ustawy z 17.02.2005 o informatyzacji; KRI § 19–20
RODO i inspektor ochrony danych (IOD)	tak	Trzeba wyznaczyć IOD, zgłosić go Prezesowi UODO w 14 dni i podać jego dane na stronie internetowej.	art. 37 ust. 1 lit. a RODO; art. 9 pkt 1, art. 10, 11 uodo
BIP	tak	Jednostka tworzy własną stronę podmiotową BIP (odrębna strona WWW). Przepis wymaga „własnej strony”; czy wystarczy podstrona w BIP gminy, nie rozstrzyga.	art. 4 ust. 1 pkt 4 i 5, art. 8 ust. 3–6, art. 9 ust. 2 ustawy o dostępie do informacji publicznej; § 9 ust. 1 rozp. MSWiA z 18.01.2007
Dostępność (strona internetowa, budynek, informacja)	tak	Strona i aplikacje muszą spełniać wymagania z załącznika do ustawy (deklaracja dostępności, przegląd do 31 marca). Jednostka zapewnia też dostępność architektoniczną i informacyjną.	art. 2 pkt 1 udc; art. 3 pkt 1 i art. 6 ustawy o zapewnianiu dostępności
e-Doręczenia	tak	Jednostka ma mieć adres do doręczeń elektronicznych wpisany do bazy adresów; dla jednostki z numerem REGON tworzy się odrębny adres. Stosowanie najpóźniej od 1.01.2025.	art. 8, art. 12 ust. 1c, art. 155 ust. 6, 9 i 11 ustawy o doręczeniach elektronicznych
Sygnaliści	warunkowo	Procedura zgłoszeń wewnętrznych jest obowiązkowa przy co najmniej 50 osobach wykonujących pracę zarobkową (stan na 1 stycznia lub 1 lipca, pracownicy w przeliczeniu na pełne etaty). Poniżej progu – dobrowolna. Obowiązek nie dotyczy jednostek gmin liczących mniej niż 10 000 mieszkańców.	art. 23 ust. 1–2 i 4–5, art. 24 ust. 2 ustawy o ochronie sygnalistów
Standardy ochrony małoletnich	tak	Dyrektor jako organ zarządzający wprowadza standardy (pełne i skrócone), sprawdza personel w Rejestrze i w KRK oraz ocenia standardy co najmniej raz na 2 lata.	art. 21, art. 22b pkt 1, art. 22c ustawy z 13.05.2016
Monitoring wizyjny	warunkowo	Wolno go wprowadzić tylko, gdy jest niezbędny dla bezpieczeństwa uczniów i pracowników lub ochrony mienia. Dyrektor uzgadnia z organem prowadzącym i konsultuje z radą pedagogiczną, radą rodziców i samorządem uczniowskim; nagrania do 3 miesięcy.	art. 108a PO
Zakaz telefonów dla uczniów	tak	Od 1.09.2026 uczniowie nie mogą korzystać z telefonów i urządzeń do porozumiewania się lub rejestrowania obrazu i dźwięku podczas pobytu w szkole w związku z zajęciami. Wyjątki: zgoda nauczyciela, zgoda dyrektora (choroba, niepełnosprawność, szczególne potrzeby), bezpośrednie zagrożenie. Statuty – do 31.12.2026.	art. 98a–98d PO; art. 2 ust. 1 ustawy z 3.07.2026 (Dz.U. 2026 poz. 1036)
SIO	tak	Dane o szkole i uczniach przekazuje się do SIO; zmiany w ciągu 7 dni; dyrektor potwierdza zgodność danych.	art. 30 ust. 1, art. 49 ustawy o SIO
OSE (Ogólnopolska Sieć Edukacyjna)	warunkowo	Szkoła może korzystać z usług OSE (Internet i usługi bezpieczeństwa). To narzędzie, nie obowiązek – bez OSE łącze co najmniej 100 Mb/s zapewnia organ prowadzący.	art. 2, 5 i 7 ust. 5 ustawy z 27.10.2017 o OSE

§2Dokumenty

Dokumentacja, którą trzeba mieć

„Obowiązek” wynika wprost z przepisu. „Zalecenie” to rekomendacja organów (CERT Polska, Ministerstwo Cyfryzacji, UODO) albo dobra praktyka.

Dokument	Kto przygotowuje lub zatwierdza	Aktualizacja	Podstawa
Standardy ochrony małoletnich (pełne i skrócone dla dzieci)obowiązek	dyrektor wprowadza (forma np. zarządzenie – zalecenie)	ocena co najmniej raz na 2 lata, wnioski pisemnie; publikacja na stronie i wywieszenie w widocznym miejscu	art. 22b, art. 22c ust. 1–2 i 4–7 ustawy z 13.05.2016. Muszą zawierać m.in.: zasady bezpiecznych relacji i zachowania niedozwolone, procedurę interwencji przy podejrzeniu krzywdzenia, osoby odpowiedzialne za zawiadomienia (przestępstwo, sąd opiekuńczy, Niebieska Karta), zasady przeglądu, szkolenie personelu, udostępnianie rodzicom, osoby przyjmujące zgłoszenia, sposób dokumentowania i przechowywania incydentów zagrażających dziecku, zasady korzystania z urządzeń z Internetem i ochrony przed szkodliwymi treściami.
Informacja z Rejestru z dostępem ograniczonym, informacja z KRK, oświadczenia o pobytach za granicąobowiązek	dyrektor; przed zatrudnieniem lub dopuszczeniem do pracy z dziećmi (także wolontariusze, praktykanci)	przy każdym zatrudnieniu; wydruki do akt osobowych	art. 21 ust. 2–9 ustawy z 13.05.2016
Rejestr czynności przetwarzania danychobowiązek	dyrektor (administratorem jest jednostka reprezentowana przez dyrektora)	na bieżąco, przy zmianie procesów	art. 30 RODO
Umowy powierzenia przetwarzania (np. e-dziennik, monitoring, hosting, kadry), upoważnienia do przetwarzania, klauzule informacyjneobowiązek	dyrektor, obsługa prawna gminy	przy zmianie dostawcy lub zakresu danych	art. 28, 29, 13, 14 RODO
Rejestr naruszeń ochrony danych (także tych niezgłaszanych do UODO)obowiązek	dyrektor, IOD	po każdym naruszeniu	art. 33 ust. 5 RODO
Dokumentacja środków technicznych i organizacyjnych ochrony danychobowiązek	dyrektor	okresowa analiza ryzyka	art. 24–25, 32 RODO; art. 68 ust. 1 pkt 12 PO
Zawiadomienie Prezesa UODO o IOD i dane IOD na stronie internetowejobowiązek	dyrektor	14 dni od wyznaczenia, zmiany lub odwołania IOD	art. 10, 11 uodo
SZBI według załącznika nr 4 (18 elementów, m.in. inwentaryzacja, uprawnienia, kopie zapasowe, procedura incydentu, szkolenia)obowiązek	kierownik jednostki (dyrektor); może to wykonywać jednostka wyznaczona przez gminę	przegląd co najmniej raz w roku; pełne wdrożenie do 3.04.2027	art. 8 ust. 3 i zał. 4 ustawy o KSC
Osoby do kontaktu z podmiotami KSC – wyznacz 2 osobyobowiązek	Kierownik wyznacza 2 osoby i wpisuje ich dane do wykazu. Podmiot ważny publiczny: art. 9 ust. 3 wymaga co najmniej jednej osoby, ale kara dla kierownika (art. 73a ust. 1 pkt 6) dotyczy niewyznaczenia co najmniej 2 – dlatego 2.	przy zmianie osoby – aktualizacja wykazu w 14 dni; od 3.04.2027	art. 9 ust. 1 pkt 1 i ust. 3, art. 73a ust. 1 pkt 6 ustawy o KSC
Wykaz podmiotów KSC, system S46 oraz informacja i kanał zgłoszeń na stronie wwwobowiązek	Podmiot publiczny jest wpisywany z urzędu i uzupełnia dane po wezwaniu. Kierownik podpisuje wniosek do wykazu podpisem kwalifikowanym, zaufanym lub osobistym. Na stronie www: informacja o cyberzagrożeniach i sposobach ochrony (wystarczy link do strony organu lub CSIRT) oraz własny kanał zgłaszania zagrożeń, incydentów i podatności, np. adres e-mail (link go nie zastępuje).	dane w wykazie: 6 miesięcy od doręczenia wezwania, zmiany w 14 dni; rejestracja w S46 najpóźniej do 3.04.2027; strona www – stale	art. 7b ust. 2 i 4, art. 7c ust. 3, art. 9 ust. 1 pkt 2–4 i ust. 4 ustawy o KSC; komunikat MC (Dz.Urz. MC 2026 poz. 7)
Dokumentacja bezpieczeństwa systemu informacyjnego (art. 10)obowiązek	Kierownik: ustanawia, stosuje i aktualizuje dokumentację; dostęp tylko dla upoważnionych, ochrona przed nieuprawnioną zmianą, kontrola wersji	na bieżąco, od 3.04.2027; przechowywanie według przepisów o archiwach i JRWA (art. 10 ust. 7), zniszczenie z protokołem	art. 10 ust. 1 i 6–8 ustawy o KSC (podmiot ważny publiczny – przez art. 16d)
Informacja z KRK o niekaralności dla osób realizujących zadania z zakresu cyberbezpieczeństwaobowiązek	kierownik; dopuszcza osobę dopiero po otrzymaniu informacji	przed rozpoczęciem zadań; od 3.04.2027	art. 8f ustawy o KSC
System zarządzania bezpieczeństwem informacji według KRI (regulacje wewnętrzne, analiza ryzyka, plan szkoleń, audyt wewnętrzny)obowiązek	dyrektor (kierownictwo podmiotu)	audyt wewnętrzny nie rzadziej niż raz na rok; obowiązuje do 22.02.2027	§ 19 KRI (rozp. RM z 21.05.2024, Dz.U. 2024 poz. 773); wymagania uznaje się za spełnione przy oparciu o PN-ISO/IEC 27001 (§ 19 ust. 3)
Deklaracja dostępności strony i aplikacji; raport o stanie zapewniania dostępnościobowiązek	dyrektor	deklaracja: przegląd do 31 marca każdego roku; raport: co 4 lata do 31 marca, publikacja w BIP, adresat wojewoda (następny 2029)	art. 10, 11 udc; art. 11 ustawy o zapewnianiu dostępności
Procedura zgłoszeń wewnętrznych (sygnaliści) i rejestr zgłoszeń – przy co najmniej 50 osobachobowiązek	dyrektor po konsultacji ze związkami lub przedstawicielami pracowników; wchodzi w życie 7 dni po podaniu do wiadomości	rejestr przechowuje się 3 lata po zakończeniu roku, w którym zakończono działania	art. 24–25, 29 ustawy o ochronie sygnalistów
Instrukcja kancelaryjna, jednolity rzeczowy wykaz akt (JRWA), instrukcja archiwalnaobowiązek	dyrektor, w porozumieniu z właściwym archiwum państwowym	okresy przechowywania wg JRWA	art. 6 ust. 1–2 ustawy z 14.07.1983 o narodowym zasobie archiwalnym i archiwach
Adres do doręczeń elektronicznych i administrator skrzynkiobowiązek	dyrektor (wniosek o adres, wyznaczenie administratora)	stała obsługa skrzynki; zmiana administratora	art. 8, art. 12 ust. 1c i ust. 2 pkt 7 ustawy o doręczeniach elektronicznych
Dokumentacja wypadków dzieci: protokół powypadkowy, rejestr wypadkówobowiązek	dyrektor, zespół powypadkowy	protokół w 21 dni od zakończenia postępowania (§ 44a)	§ 41–52 rozp. MENiS z 31.12.2002 (t.j. Dz.U. 2020 poz. 1604), w tym § 50
Dokumentacja przebiegu nauczania: księga uczniów, dziennik lekcyjny i świetlicy, dzienniki innych zajęć, dziennik specjalisty, arkusze ocen, teczka pomocy psychologiczno-pedagogicznejobowiązek	nauczyciele, dyrektor (odpowiada za właściwe prowadzenie i przechowywanie – § 26)	na bieżąco; zapis e-dziennika na nośniku w 10 dni po zakończeniu roku szkolnego	§ 3–4, 8–9, 11, 14–15, 18–19 rozp. MEN z 25.08.2017 (t.j. Dz.U. 2024 poz. 50); § 21–22 (e-dziennik)
Statut szkoły z warunkami korzystania z telefonów (m.in. wycieczki) i ewentualnymi miejscami przechowywania telefonówobowiązek	dyrektor, rada pedagogiczna; miejsca przechowywania za zgodą rady pedagogicznej i rady rodziców	dostosowanie do 31.12.2026	art. 98a ust. 3 i art. 98b PO; art. 2 ust. 1 ustawy z 3.07.2026
Program wychowawczo-profilaktyczny oparty o coroczną diagnozę zagrożeń, także związanych z Internetemobowiązek	dyrektor	diagnoza co roku	art. 26 ust. 1–3 PO
Zgody rodziców na wizerunek (osobne dla każdego celu publikacji)obowiązek	dyrektor	przy każdej publikacji; wycofanie zgody	art. 81 ust. 1 ustawy o prawie autorskim; art. 6–8 RODO; poradnik UODO/MEN 2018
Dokumentacja monitoringu wizyjnego (jeśli wprowadzony): uzgodnienie z organem prowadzącym, konsultacje, informacja dla pracowników, klauzula, wpis do rejestru czynnościobowiązek	dyrektor i organ prowadzący	zgodnie z art. 108a; nagrania kasowane po 3 miesiącach	art. 108a PO; art. 13 RODO

§3Technika

Sprzęt i zabezpieczenia

Środek	Na czym polega	Podstawa lub źródło
Środki techniczne i organizacyjne ochrony danychobowiązek	Kontrola dostępu, kopie zapasowe i odtwarzanie, zabezpieczenie nośników, aktualizacje, rejestrowanie dostępu. Zakres wynika z analizy ryzyka – RODO nie podaje listy.	art. 32 RODO
Dzienniki zdarzeń (logi)obowiązek	Rejestrowanie dostępu administracyjnego, zmian konfiguracji zabezpieczeń i dostępu do danych chronionych; przechowywanie 2 lata.	§ 20 KRI (do 22.02.2027)
Wymagania zał. 4 do ustawy o KSC, część Iobowiązek	Inwentaryzacja sprzętu i usług, aktualizacje, antywirus, kopie zapasowe odseparowane od danych produkcyjnych z testami odtwarzania, przetestowana procedura awaryjna, szkolenia z cyberhigieny. Cała część I jest obowiązkowa.	zał. 4 cz. I ustawy o KSC (od 3.04.2027)
Poczta e-mail z SPF, DKIM i DMARCobowiązek	Mechanizmy uwierzytelniania poczty; kontroluje Prezes UKE. Dostawca poczty ma oferować MFA – korzystanie z MFA to zalecenie.	art. 24 ust. 2 i 6 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej
Adres do doręczeń elektronicznychobowiązek	Skrzynka z publiczną usługą rejestrowanego doręczenia; trzeba ją regularnie odbierać.	art. 8 ustawy o doręczeniach elektronicznych
Dostępność cyfrowa strony i aplikacjiobowiązek	Spełnienie wymagań z załącznika do ustawy (uznaje się je za spełnione przy zachowaniu pkt 9, 10, 11 normy PN-EN 301 549); alternatywa dla elementów niedostępnych.	art. 5 i 7 udc
Monitoring wizyjny (jeśli wprowadzony)obowiązek	Zakaz kamer w salach zajęć, toaletach, szatniach, pomieszczeniach odpoczynku pracowników i gabinecie zdrowotnym (wyjątki tylko przy zagrożeniu i z techniką uniemożliwiającą rozpoznanie osób); nagrania do 3 miesięcy; informacja dla pracowników 14 dni wcześniej, oznakowanie dzień wcześniej; środki ochrony nagrań uzgodnione z organem prowadzącym.	art. 108a PO
Elektroniczny dziennikobowiązek	Zabezpieczenie danych przed dostępem osób nieuprawnionych, zniszczeniem i utratą; historia zmian i autorzy; bezpłatny wgląd rodziców; eksport w formacie XML według schematu MEN; zgodność z WCAG 2.1 części dla rodziców i uczniów.	§ 21 ust. 3–4b rozp. MEN z 25.08.2017 (t.j. Dz.U. 2024 poz. 50)
Zabezpieczenie uczniów przed szkodliwymi treściami w Internecieobowiązek	Oprogramowanie zabezpieczające na urządzeniach szkoły dostępnych dla uczniów, regularnie aktualizowane. Obowiązek pozostaje na szkole także przy korzystaniu z OSE.	art. 27 PO; art. 22c ust. 2 pkt 2–3 ustawy z 13.05.2016
Usługi OSEzalecenie	Operator (NASK-PIB) zapewnia Internet co najmniej 100 Mb/s oraz ochronę przed szkodliwym oprogramowaniem i dostępem do treści zagrażających uczniom.	art. 5 pkt 2–3 i art. 7 ust. 5 ustawy o OSE
Kopie zapasowe zasadą 3-2-1 i test odtwarzaniazalecenie	Trzy kopie, dwa nośniki, jedna offline lub niezmienialna; regularny test odtworzenia.	zalecenia CSIRT/CERT Polska
MFA i szyfrowaniezalecenie	Uwierzytelnianie wieloskładnikowe (poczta, konta administracyjne, dostęp zdalny) oraz szyfrowanie dysków laptopów i nośników. Dla podmiotu ważnego to zalecenie.	zalecenia CERT Polska i MC; art. 32 ust. 1 lit. a RODO
Segmentacja siecizalecenie	Sieć dla dzieci i gości oddzielona od administracji i systemu e-dziennika; ograniczenie kont uprzywilejowanych; plan reagowania na incydent z ćwiczeniem.	zalecenia CSIRT (ransomware, 2025)

§4Kalendarz

Co i kiedy zrobić

Kiedy	Co zrobić	Podstawa
na bieżąco	Odbiór korespondencji ze skrzynki e-Doręczeń; aktualizacja BIP; odpowiedź na wniosek RODO w miesiąc; wpis naruszeń do rejestru; kasowanie nagrań z monitoringu po 3 miesiącach.	art. 8 ustawy o doręczeniach elektronicznych; art. 12 ust. 3 RODO; art. 108a ust. 4–5 PO
przy każdym zatrudnieniu	Sprawdzenie w Rejestrze z dostępem ograniczonym i w KRK, oświadczenia, upoważnienie do danych, szkolenie ze standardów.	art. 21 i art. 22c ust. 1 pkt 5 ustawy z 13.05.2016
7 dni od zmiany	Przekazanie zmiany do SIO; dane zbiorcze w terminach 10.01, 10.04, 7.06, 10.07, 10.10 (kto je przekazuje – ustalić z organem prowadzącym).	art. 30 ust. 1 ustawy o SIO; § 31 rozp. MEN z 28.08.2019
14 dni od zmiany	Zawiadomienie Prezesa UODO o IOD.	art. 10 uodo
do 31 marca każdego roku	Przegląd i aktualizacja deklaracji dostępności.	art. 11 udc
co roku	Audyt wewnętrzny bezpieczeństwa informacji (do 22.02.2027); od 3.04.2027 przegląd SZBI według zał. 4 co najmniej raz w roku; szkolenie kierownika; diagnoza zagrożeń do programu wychowawczo-profilaktycznego.	§ 19 ust. 2 pkt 14 KRI; zał. 4 cz. III i art. 8e ustawy o KSC; art. 26 ust. 2–3 PO
co 2 lata	Ocena i aktualizacja standardów ochrony małoletnich, pisemne wnioski, aktualizacja publikacji.	art. 22c ust. 6–7 ustawy z 13.05.2016
1 stycznia i 1 lipca	Sprawdzenie liczby osób względem progu 50 (sygnaliści).	art. 23 ust. 1 ustawy o ochronie sygnalistów
do 10 dni po zakończeniu roku szkolnego	Zapis e-dziennika na nośniku z podpisem kwalifikowanym, pieczęcią lub podpisem osobistym.	§ 22 rozp. MEN z 25.08.2017
początek roku szkolnego	Poinformowanie uczniów i rodziców o zasadach korzystania z telefonów (zakaz od 1.09.2026), aktualne zgody na wizerunek, upoważnienia do e-dziennika.	art. 98a–98b PO; RODO
do 31.12.2026	Dostosowanie statutu do przepisów o telefonach; do czasu zmiany obowiązują dotychczasowe postanowienia.	art. 2 ust. 1–2 ustawy z 3.07.2026
6 miesięcy od doręczenia wezwania	Uzupełnij dane w wykazie podmiotów kluczowych i ważnych (wykaz-ksc.gov.pl), w tym 2 osoby do kontaktu; potem zmiany w 14 dni. Jeśli wezwanie nie przyszło, napisz na S46-admin@nask.pl.	art. 7b ust. 2 i 4, art. 7c ust. 3 ustawy o KSC; Q&A MC 2.11
22.02.2027 / 23.02.2027	Do 22.02.2027 obowiązuje KRI z 2024 r.; od 23.02.2027 nowe przepisy (projekt usuwa SZBI z KRI).	art. 17 ustawy z 25.07.2025, Dz.U. 2025 poz. 1158
3.04.2027	Pełne obowiązki z ustawy o KSC: SZBI, osoby do kontaktu, rejestracja w S46, zgłaszanie incydentów, szkolenie kierownika, informacja z KRK; kary od 3.04.2028.	art. 33 ust. 1 i art. 35 przepisów przejściowych (ustawa z 23.01.2026, Dz.U. 2026 poz. 252)

§5Zgłoszenia

Co, gdzie i kiedy zgłaszać

Termin podaje kolumna „Termin”. Terminy z ustawy o KSC liczy się od wykrycia incydentu, także gdy wykrył go dostawca IT; termin z RODO – od stwierdzenia naruszenia. Gdy zagrożone jest życie, zdrowie lub mienie, najpierw dzwoń pod 112.

Zdarzenie	Do kogo i jak	Termin	Podstawa
Naruszenie ochrony danych osobowych (wyciek, zgubiony nośnik, błędny adresat, ransomware z dostępem do danych)	Prezes UODO – formularz elektroniczny na biznes.gov.pl albo moduł „Naruszenia” w systemie S46; zgłoszenie można uzupełniać. Przy wysokim ryzyku także osoby, których dane dotyczą. Zawsze wpis do własnego rejestru naruszeń.	bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia	art. 33, 34 RODO
Poważny incydent cyberbezpieczeństwa (np. atak uniemożliwiający pracę, utrata dostępu do systemów)	System S46 – zgłoszenie do CSIRT (do czasu uruchomienia CSIRT sektorowego: CSIRT NASK). Tylko zgłoszenie, bez wczesnego ostrzeżenia i sprawozdania końcowego. Jeśli obsługę prowadzi jednostka wyznaczona przez gminę, zgłasza w imieniu jednostki. Gdy incydent wpływa na usługi – informacja dla rodziców. Przestępstwo ścigane z urzędu: także Policja lub prokurator.	niezwłocznie, najpóźniej 72 godziny od wykrycia; obowiązkowo od 3.04.2027 (wcześniej zalecane: CSIRT NASK, incydent.cert.pl)	art. 11 ust. 1 pkt 4a i ust. 2b, art. 12 ust. 3–8, art. 12c ustawy o KSC; art. 44 ust. 1 przepisów przejściowych (ustawa z 23.01.2026, Dz.U. 2026 poz. 252); art. 304 § 2 KPK
Podejrzenie przestępstwa ściganego z urzędu na szkodę dziecka (przemoc, wykorzystanie seksualne)	Policja lub prokurator – pisemnie albo ustnie do protokołu; do przybycia organu zabezpieczyć ślady. Procedurę i osoby odpowiedzialne wskazują standardy ochrony małoletnich.	niezwłocznie	art. 304 § 2 KPK; art. 22c ust. 1 pkt 3 ustawy z 13.05.2016
Zagrożenie dobra dziecka	Sąd opiekuńczy (rodzinny)	przepis nie określa terminu	art. 572 § 1–2 KPC; art. 22c ust. 1 pkt 3 ustawy z 13.05.2016
Podejrzenie przemocy domowej	Procedura „Niebieskie Karty”: formularz „Niebieska Karta – A” wypełnia osoba, która powzięła podejrzenie w czynnościach służbowych; formularz trafia do zespołu interdyscyplinarnego. Kto wszczyna w jednostce, wpisuje się do standardów.	niezwłocznie, nie później niż 5 dni roboczych od wszczęcia	art. 9d ust. 1–4 ustawy z 29.07.2005 o przeciwdziałaniu przemocy domowej; rozp. RM z 6.09.2023 (Dz.U. 2023 poz. 1870) § 4–7
Wypadek dziecka lub ucznia	Każdy wypadek: rodzice, pracownik służby BHP, społeczny inspektor pracy, organ prowadzący, rada rodziców. Wypadek śmiertelny, ciężki lub zbiorowy: dodatkowo prokurator i kurator oświaty. Zatrucie: państwowy inspektor sanitarny.	niezwłocznie; protokół powypadkowy w 21 dni; zastrzeżenia do protokołu w 7 dni od doręczenia (rozpatruje organ prowadzący)	§ 40–41, 44a, 48–50 rozp. MENiS z 31.12.2002 (t.j. Dz.U. 2020 poz. 1604)
Wyznaczenie, zmiana lub odwołanie IOD	Prezes UODO – elektronicznie (podpis kwalifikowany lub profil zaufany)	14 dni	art. 10 uodo
Dane do SIO	System Informacji Oświatowej; przy negatywnej weryfikacji PESEL – wyjaśnić niezwłocznie i poinformować kierownika USC. Przekazanie danych oznacza potwierdzenie ich zgodności przez dyrektora.	7 dni od zmiany; dane zbiorcze według § 31 rozp. MEN z 28.08.2019	art. 30, 44, 49 ustawy o SIO; § 31 rozp. MEN z 28.08.2019 (t.j. Dz.U. 2024 poz. 83)

§6Odpowiedzialność

Kto odpowiada

Kto	Za co	Sankcja	Podstawa
Dyrektor	Kieruje szkołą, sprawuje opiekę nad uczniami, wdraża środki ochrony danych, odpowiada za właściwe prowadzenie i przechowywanie dokumentacji przebiegu nauczania, jest organem zarządzającym odpowiedzialnym za standardy ochrony małoletnich i potwierdza dane przekazane do SIO.	– (kary za RODO ponosi jednostka; kary z innych ustaw – patrz niżej)	art. 68 ust. 1 pkt 1, 3, 6, 12 PO; § 26 rozp. MEN z 25.08.2017; art. 22b ustawy z 13.05.2016; art. 49 ustawy o SIO
Inspektor ochrony danych (IOD)	Doradza i monitoruje zgodność z RODO; punkt kontaktowy dla Prezesa UODO i osób, których dane dotyczą. Jeden IOD może obsługiwać kilka jednostek publicznych.	–	art. 37–39 RODO
Organ prowadzący (gmina, wójt)	Zapewnia warunki działania i bezpieczne warunki nauki, uzgadnia monitoring i środki ochrony nagrań, zgadza się na dziennik wyłącznie elektroniczny, rozpatruje zastrzeżenia do protokołu powypadkowego, zapewnia łącze 100 Mb/s przy rezygnacji z OSE, kontroluje wykonywanie art. 21 i 22b ustawy z 13.05.2016.	–	art. 10 ust. 1 pkt 1 i 4, art. 108a ust. 1 i 9 PO; § 21 ust. 2 rozp. MEN; § 48 ust. 3 rozp. MENiS; art. 7 ust. 5 ustawy o OSE; art. 22x ust. 1 i 3 ustawy z 13.05.2016
Kurator oświaty	Nadzór pedagogiczny, kontrola art. 21 i 22b ustawy z 13.05.2016, przyjmowanie zawiadomień o wypadkach ciężkich, śmiertelnych i zbiorowych.	–	art. 51 ust. 1 pkt 1, art. 55 PO; art. 22x ust. 3 ustawy z 13.05.2016; § 41 ust. 2 rozp. MENiS
Prezes UODO	Nakłada kary na jednostkę (nie na dyrektora osobiście) i prowadzi postępowania; odpowiedzialność karna za przetwarzanie bez podstawy.	kara administracyjna dla jednostki sektora finansów publicznych do 100 000 zł; grzywna, ograniczenie wolności lub do 2 lat pozbawienia wolności (do 3 lat przy danych szczególnych kategorii)	art. 102 ust. 1 pkt 1, art. 107 ust. 1–2 uodo
Kierownik jednostki (dyrektor) – obowiązki z ustawy o KSC	Odpowiada za SZBI, szkolenie kierownika raz w roku, informacje z KRK, osoby do kontaktu, zgłaszanie incydentów – także po powierzeniu zadań innej osobie lub firmie. Organ nadzoru: Minister Cyfryzacji.	od 3.04.2028 kara do 100% wynagrodzenia (liczonego jak ekwiwalent za urlop), także za jednorazowe zaniechanie i niezależnie od kary dla jednostki	art. 8c, 8d, 8e, 8f, art. 41a ust. 1, art. 73a ust. 1–5 ustawy o KSC
Dyrektor / jednostka – standardy ochrony małoletnich i sprawdzanie personelu	Brak standardów; dopuszczenie do pracy z dziećmi bez sprawdzenia w Rejestrze lub bez KRK.	brak standardów: grzywna do 250 zł albo nagana, przy ponownym stwierdzeniu grzywna co najmniej 1000 zł; dopuszczenie bez sprawdzenia: areszt, ograniczenie wolności albo grzywna co najmniej 1000 zł	art. 23b ust. 1–2, art. 23 ust. 2–3 ustawy z 13.05.2016
Jednostka – dostępność cyfrowa i sygnaliści	Brak deklaracji dostępności lub uporczywy brak dostępności; brak procedury zgłoszeń wewnętrznych (przy co najmniej 50 osobach).	dostępność: do 5 000 zł (brak deklaracji) i do 10 000 zł (uporczywy brak dostępności); sygnaliści: grzywna (kwota według Kodeksu wykroczeń)	art. 19 ust. 5 udc; art. 58 ustawy o ochronie sygnalistów

§7Źródła

Podstawa prawna i zastrzeżenia

Stan prawny na 11.10.2026. Zestawienie ma charakter informacyjny i nie zastępuje porady prawnej ani analizy konkretnej jednostki. Przepisy wykonawcze do znowelizowanej ustawy o KSC wciąż się zmieniają.

Źródła

Do sprawdzenia w indywidualnej analizie

OSE nie jest obowiązkowe; skutki braku wniosku (łącze po stronie organu prowadzącego) zależą od stanu zgłoszenia konkretnej szkoły w harmonogramie operatora.
Dane zbiorcze do SIO (m.in. 10.10): kto je faktycznie przekazuje – szkoła czy obsługa lub organ prowadzący – wymaga ustalenia w gminie.
Art. 108a ust. 3 PO (wyjątek przy „istniejącym zagrożeniu” i techniki uniemożliwiające rozpoznanie osób): brak orzecznictwa; Prezes UODO zaproponował rozważenie zmiany przepisu (to propozycja, nie zmiana prawa).
Pierwszy dwuletni przegląd standardów ochrony małoletnich liczy się najpewniej od 15.08.2024 (czyli do 15.08.2026); przepis nie podaje punktu startu.
Rozporządzenie o KRI obowiązuje do 22.02.2027; projekt nowego rozporządzenia usuwa z KRI przepisy o SZBI, ale to tylko projekt – po tej dacie sprawdzić ostateczny tekst.
Osoby do kontaktu i dokumentacja KSC: sprzeczność art. 9 ust. 3 (co najmniej jedna osoba) z art. 73a ust. 1 pkt 6 (kara za brak 2) oceni dopiero praktyka organu. Do oceny prawnika jest też, czy przy wspólnej obsłudze osoby do kontaktu może wyznaczyć jednostka wyznaczona przez gminę (art. 16e ust. 5) oraz jaki zakres art. 10 ust. 3 pkt 2–3 i art. 14 dotyczy podmiotu ważnego publicznego.