Wytyczne · stan prawny na 11.10.2026

Urząd gminy

Urząd gminy to podmiot objęty KSC: KLUCZOWY, jeśli zatrudnia co najmniej 50 osób w przeliczeniu na pełne etaty (umowa o pracę, stan na 1 stycznia), a poniżej tego progu WAŻNY. Pełne obowiązki cyberbezpieczeństwa ruszają 3.04.2027, kary od 3.04.2028, a do 22.02.2027 działa jeszcze KRI z rocznym audytem wewnętrznym. Do tego dochodzą e-Doręczenia, BIP, dostępność, RODO, Centralny Rejestr Umów i obowiązki wójta przy sygnalistach, sesjach rady i ochronie ludności.

Dotyczy: urząd gminy wiejskiej, miejsko-wiejskiej lub miejskiej (wójt, burmistrz, prezydent jako kierownik urzędu).

Obowiązki z ustawy o KSC, KRI i zgłaszanie incydentów, wspólne dla wszystkich jednostek, opisano szczegółowo na stronie wspólne wymagania.

§1Przepisy

Jakie przepisy obejmują jednostkę

Obszar	Dotyczy	Co to znaczy	Podstawa
Cyberbezpieczeństwo (KSC)	tak	Urząd z co najmniej 50 etatami (umowa o pracę, stan na 1 stycznia) to podmiot KLUCZOWY: pełny SZBI, audyt co 3 lata, incydent poważny zgłasza się w 24 h (wczesne ostrzeżenie), 72 h (zgłoszenie) i w ciągu miesiąca (sprawozdanie końcowe). Urząd poniżej 50 etatów to podmiot WAŻNY: SZBI według zał. 4 i samo zgłoszenie w 72 h. Obowiązki od 3.04.2027, kary od 3.04.2028; status sprawdza się co roku na 1 stycznia.	art. 5 ust. 1 pkt 4 lit. d i zał. 1 pkt 4 (sektor „Podmioty publiczne”); art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC
Krajowe Ramy Interoperacyjności (KRI)	tak	Do 22.02.2027 obowiązuje SZBI z § 19 (analiza ryzyka, szkolenia, audyt wewnętrzny co najmniej raz w roku) oraz logi z § 20 przechowywane 2 lata. Od 23.02.2027 nowe przepisy; projekt usuwa SZBI z KRI, więc te wymagania mają wynikać już tylko z KSC i RODO.	art. 13 ust. 1 ustawy o informatyzacji; KRI § 19–20
Biuletyn Informacji Publicznej	tak	Urząd prowadzi stronę podmiotową BIP: instrukcja korzystania, dane redaktora, menu przedmiotowe, wyszukiwarka, dziennik zmian i metryczki treści. Kopia bazy co dobę po zmianie, niedostępność BIP nie dłuższa niż 24 godziny.	art. 4 ust. 1 pkt 1 i 4, art. 8 ust. 3, art. 9 ust. 2 ustawy o dostępie do informacji publicznej; rozp. MSWiA z 18.01.2007 (Dz.U. 2007 nr 10 poz. 68)
Dostępność (cyfrowa i ogólna)	tak	Deklaracja dostępności strony i aplikacji do przeglądu co roku do 31 marca. Koordynator ds. dostępności wyznaczony przez wójta. Raport o stanie zapewniania dostępności co 4 lata do 31 marca – następny do 31.03.2029. Nagrania sesji rady trzeba dostosować w 14 dni od transmisji.	udc art. 2 pkt 1, art. 5a, art. 10–11; ustawa o zapewnianiu dostępności art. 3 pkt 1, art. 6, art. 11, art. 14
e-Doręczenia	tak	Urząd ma jeden adres do doręczeń elektronicznych w Bazie Adresów Elektronicznych, wspólny dla gminy i jej organów. Obowiązek stosowania od 1.01.2025. Skrzynka ePUAP działa do 30.09.2029, usługa hybrydowa dla JST od 1.10.2029.	art. 8, art. 12 ust. 1a–1b, art. 155 ust. 6 ustawy o doręczeniach elektronicznych; komunikat Min. Cyfryzacji z 12.07.2024 (Dz.U. 2024 poz. 1078)
Ochrona sygnalistów	warunkowo	Wewnętrzna procedura zgłoszeń obowiązuje tylko wtedy, gdy na rzecz urzędu pracuje co najmniej 50 osób (stan na 1 stycznia lub 1 lipca) i gmina ma co najmniej 10 000 mieszkańców. Zgłoszenia zewnętrzne przyjmuje wójt jako organ publiczny niezależnie od progu: rejestr, sekcja w BIP, sprawozdanie do RPO do 31 marca.	ustawa o ochronie sygnalistów art. 23 ust. 1, 4, 5, art. 24, 33, 46–48
RODO, IOD, monitoring	tak	Inspektor ochrony danych jest obowiązkowy. Gmina jest administratorem i prowadzi rejestr czynności, rejestr naruszeń, umowy powierzenia i upoważnienia. Monitoring wizyjny, jeśli jest, ma ścisłe zasady (przechowywanie do 3 miesięcy, oznakowanie).	RODO art. 30, 33, 37 ust. 1 lit. a; uodo art. 9, 10; usg art. 9a
Kontrola zarządcza	tak	Wójt odpowiada za kontrolę zarządczą: cele, ryzyka i procedury według standardów Ministra Finansów.	ufp art. 68, art. 69 ust. 1 pkt 2
Zarządzanie kryzysowe i ochrona ludności	tak	Wójt jest organem właściwym: gminny plan zarządzania kryzysowego (po zmianach z 2026 r. plan zarządzania ryzykiem i plan reagowania kryzysowego), zespół kryzysowy, ostrzeganie mieszkańców, ewidencja zasobów, informacja dla rady co 2 lata.	ustawa o zarządzaniu kryzysowym art. 19 (zm. Dz.U. 2026 poz. 815); ustawa o ochronie ludności i obronie cywilnej art. 10
Kancelaria i archiwum	tak	Obowiązuje instrukcja kancelaryjna, JRWA i instrukcja archiwalna z rozporządzenia, a dokumentację (papierową i elektroniczną) trzeba ewidencjonować i chronić. Elektroniczne zarządzanie dokumentacją (EZD) jest dobrowolne.	ustawa o narodowym zasobie archiwalnym art. 5–6; rozp. PRM z 18.01.2011 (Dz.U. 2011 nr 14 poz. 67)
Obrady rady gminy	tak	Sesje rady są transmitowane i nagrywane, nagrania trafiają do BIP i na stronę gminy, a imienne wykazy głosowań radnych są jawne.	usg art. 14 ust. 2–4, art. 20 ust. 1b
Centralny Rejestr Umów (CRU)	tak	Konto w CRU i wpisywanie umów zawartych od 1.07.2026 w ciągu 30 dni od zawarcia lub zmiany.	ufp art. 34a–34b (Dz.U. 2025 poz. 1844)

§2Dokumenty

Dokumentacja, którą trzeba mieć

„Obowiązek” wynika wprost z przepisu. „Zalecenie” to rekomendacja organów (CERT Polska, Ministerstwo Cyfryzacji, UODO) albo dobra praktyka.

Dokument	Kto przygotowuje lub zatwierdza	Aktualizacja	Podstawa
Instrukcja kancelaryjna, JRWA, instrukcja archiwalna; ewidencja i ochrona dokumentacjiobowiązek	Wójt; archiwista zakładowy. JRWA można uzupełnić zarządzeniem w porozumieniu z dyrektorem archiwum państwowego.	Przy nowych zadaniach, przed pojawieniem się dokumentacji danej klasy	rozp. PRM z 18.01.2011 § 3–5; ustawa o narodowym zasobie archiwalnym art. 6 ust. 1–2b
SZBI według KRI: polityka i regulacje wewnętrzne, analiza ryzyka, inwentaryzacja sprzętu i oprogramowania, uprawnienia, szkolenia, tryb zgłaszania incydentów, audyt wewnętrznyobowiązek	Kierownictwo urzędu; zatwierdza wójt (najlepiej zarządzeniem). Zgodność z PN-ISO/IEC 27001 uznaje się za spełnienie wymagań.	Audyt wewnętrzny co najmniej raz w roku; analiza ryzyka okresowo; obowiązuje do 22.02.2027	KRI § 19 ust. 1–2; § 20 (logi)
SZBI i dokumentacja KSC: urząd poniżej 50 etatów – SZBI według zał. 4 (18 elementów); urząd z co najmniej 50 etatami – pełny SZBI z szacowaniem ryzyka, polityką, łańcuchem dostaw i ciągłością działaniaobowiązek	Decyduje kierownik urzędu (wójt, art. 8d); przygotowuje komórka wewnętrzna, dostawca usług lub jednostka wyznaczona.	Wdrożenie do 3.04.2027; przegląd co najmniej raz w roku, a SZBI kluczowego na bieżąco	art. 8 ust. 1–3 i zał. 4 ustawy o KSC; dokumentacja bezpieczeństwa – art. 10
Osoby do kontaktu z podmiotami KSC – wyznacz 2 osobyobowiązek	Kierownik wyznacza 2 osoby i wpisuje ich dane do wykazu. Podmiot ważny publiczny: art. 9 ust. 3 wymaga co najmniej jednej osoby, ale kara dla kierownika (art. 73a ust. 1 pkt 6) dotyczy niewyznaczenia co najmniej 2 – dlatego 2. Podmiot kluczowy i podmiot ważny niepubliczny: co najmniej 2 osoby wprost z art. 9 ust. 1 pkt 1.	przy zmianie osoby – aktualizacja wykazu w 14 dni; od 3.04.2027	art. 9 ust. 1 pkt 1 i ust. 3, art. 73a ust. 1 pkt 6 ustawy o KSC
Wykaz podmiotów KSC, system S46 oraz informacja i kanał zgłoszeń na stronie wwwobowiązek	Podmiot publiczny jest wpisywany z urzędu i uzupełnia dane po wezwaniu. Kierownik podpisuje wniosek do wykazu podpisem kwalifikowanym, zaufanym lub osobistym. Na stronie www: informacja o cyberzagrożeniach i sposobach ochrony (wystarczy link do strony organu lub CSIRT) oraz własny kanał zgłaszania zagrożeń, incydentów i podatności, np. adres e-mail (link go nie zastępuje).	dane w wykazie: 6 miesięcy od doręczenia wezwania, zmiany w 14 dni; rejestracja w S46 najpóźniej do 3.04.2027; strona www – stale	art. 7b ust. 2 i 4, art. 7c ust. 3, art. 9 ust. 1 pkt 2–4 i ust. 4 ustawy o KSC; komunikat MC (Dz.Urz. MC 2026 poz. 7)
Dokumentacja bezpieczeństwa systemu informacyjnego (art. 10)obowiązek	Kierownik: ustanawia, stosuje i aktualizuje dokumentację; dostęp tylko dla upoważnionych, ochrona przed nieuprawnioną zmianą, kontrola wersji	na bieżąco, od 3.04.2027; przechowywanie według przepisów o archiwach i JRWA (art. 10 ust. 7), zniszczenie z protokołem	art. 10 ust. 1 i 6–8 ustawy o KSC (podmiot ważny publiczny – przez art. 16d)
Audyt bezpieczeństwa przez niezależnego audytora (tylko urząd z co najmniej 50 etatami); kopia dla organu w 3 dni roboczeobowiązek	Wójt zleca; audytor nie może wykonywać w urzędzie zadań z art. 8–13 (także w roku przed audytem).	Co najmniej raz na 3 lata; pierwszy do 3.04.2028	art. 15 ust. 1–1a ustawy o KSC
Potwierdzenie szkolenia kierownika i informacja z KRK dla osób wykonujących zadania KSCobowiązek	Wójt	Szkolenie raz w roku kalendarzowym; KRK przed powierzeniem zadań	art. 8e, 8f ustawy o KSC
Rejestr czynności przetwarzania, procedura naruszeń i rejestr naruszeńobowiązek	Gmina jako administrator (wójt); IOD wspiera	Na bieżąco; przegląd rejestru co najmniej raz w roku	RODO art. 30 ust. 1, art. 33 ust. 1 i 5, art. 34
Wyznaczenie IOD i zawiadomienie Prezesa UODOobowiązek	Wójt wyznacza; zawiadomienie tylko elektronicznie	Zmiana lub odwołanie IOD – zawiadomienie w 14 dni	RODO art. 37 ust. 1 lit. a, art. 38–39; uodo art. 9–10
Upoważnienia do przetwarzania danych lub zobowiązania do poufnościobowiązek	Wójt lub osoba przez niego upoważniona	Przy zmianie stanowiska; przegląd co roku	RODO art. 29, art. 32 ust. 4
Umowy powierzenia przetwarzania danych (BIP, hosting, systemy dziedzinowe) i klauzule informacyjneobowiązek	Wójt; przy zamówieniach skarbnik; IOD opiniuje klauzule	Przy każdej umowie i przy zmianie celów lub odbiorców danych	RODO art. 28, art. 13–14
Zasady monitoringu wizyjnego (jeśli stosowany) i ocena skutków dla ochrony danych przy systematycznym monitorowaniu miejsc publicznych na dużą skalęobowiązek	Wójt; IOD doradza przy ocenie skutków	Przy zmianie systemu lub ryzyka	usg art. 9a ust. 1–6, art. 50 ust. 2; RODO art. 35 ust. 1, 3 lit. c
Strona podmiotowa BIP: instrukcja korzystania, dane redaktora, wyznaczone osoby odpowiedzialne za treść, dziennik zmian, metryczki (kto i kiedy wytworzył lub wprowadził)obowiązek	Wójt wyznacza redaktorów	Dziennik zmian kontrolowany każdego dnia roboczego; kopia bazy w ciągu doby po zmianie	ustawa o dostępie do informacji publicznej art. 8 ust. 3, 6; rozp. MSWiA z 18.01.2007 § 11, 15, 16
Imienne wykazy głosowań radnych oraz nagrania obrad w BIP i na stronie gminyobowiązek	Przewodniczący rady; obsługa – urząd	Po każdej sesji; wykazy głosowań niezwłocznie	usg art. 14 ust. 2–4, art. 20 ust. 1b
Deklaracja dostępności strony i aplikacji (wzór z decyzji KE 2018/1523)obowiązek	Wójt; osoba lub komórka ds. dostępności cyfrowej	Co roku do 31 marca i niezwłocznie po zmianach	udc art. 10–11
Koordynator ds. dostępności, plan działania (dane kontaktowe i plan w BIP) oraz raport o stanie zapewniania dostępnościobowiązek	Wójt wyznacza koordynatora i składa raport do wojewody	Plan na bieżąco; raport co 4 lata do 31 marca – następny 31.03.2029	ustawa o zapewnianiu dostępności art. 14 ust. 1–3, 5; art. 11 ust. 1–4, art. 58
Procedura zgłoszeń wewnętrznych sygnalistów i rejestr zgłoszeń (tylko gdy urząd ma co najmniej 50 osób, a gmina co najmniej 10 000 mieszkańców)obowiązek	Wójt po konsultacji ze związkami lub przedstawicielami pracowników; wchodzi w życie po 7 dniach od podania do wiadomości	Przy zmianach; rejestr przechowuje się 3 lata po zakończeniu roku	ustawa o ochronie sygnalistów art. 23–29
Procedura zgłoszeń zewnętrznych, rejestr zgłoszeń zewnętrznych i sekcja w BIP (niezależnie od progu zatrudnienia)obowiązek	Wójt	Na bieżąco; sprawozdanie do RPO co roku do 31 marca	ustawa o ochronie sygnalistów art. 33, 46, 48
Kontrola zarządcza: cele, ryzyka i procedury według standardów Ministra Finansówobowiązek	Wójt	Stale (aktualność standardów z 2009 r. do weryfikacji)	ufp art. 68, art. 69 ust. 1 pkt 2 i ust. 3
Plan zarządzania kryzysowego (docelowo gminny plan zarządzania ryzykiem i gminny plan reagowania kryzysowego), zarządzenie o zespole kryzysowym, dane o zasobach ochrony ludnościobowiązek	Wójt opracowuje, starosta zatwierdza plany; zasoby wprowadza wójt do Centralnej Ewidencji Zasobów	Plany co najwyżej co 3 lata; informacja dla rady o przygotowaniach co 2 lata; do zatwierdzenia nowych planów obowiązują dotychczasowe	ustawa o zarządzaniu kryzysowym art. 19 ust. 2 pkt 2, ust. 4–7, art. 6o ust. 1 (zm. Dz.U. 2026 poz. 815); ustawa o ochronie ludności i obronie cywilnej art. 10 ust. 1 pkt 9, 21, 25
Adres do doręczeń elektronicznych urzędu w Bazie Adresów Elektronicznych oraz konto w CRU z wyznaczonymi użytkownikami; wewnętrzna instrukcja obsługi skrzynki e-Doręczeń i ePUAP (kto odbiera, zastępstwa)obowiązek	Wójt (wniosek do ministra, konto w CRU); sekretarz – obsługa	Adres i konto stale; wpis umowy do CRU w 30 dni od zawarcia lub zmiany	ustawa o doręczeniach elektronicznych art. 8, art. 12 ust. 1a; ufp art. 34a–34b (instrukcja wewnętrzna – dobra praktyka)

§3Technika

Sprzęt i zabezpieczenia

Środek	Na czym polega	Podstawa lub źródło
Zabezpieczenia KSC i KRI: aktualizacje oprogramowania, ochrona przed złośliwym kodem (antywirus), kontrola dostępu i minimalne uprawnienia, inwentaryzacja, bezpieczna praca zdalna i mobilna, szkolenia pracownikówobowiązek	Urząd poniżej 50 etatów: wszystkie 18 elementów zał. 4 cz. I. Urząd z co najmniej 50 etatami: środki proporcjonalne do ryzyka z art. 8 ust. 1 pkt 2 (m.in. łańcuch dostaw, ciągłość działania, monitorowanie).	art. 8 ust. 1–3, zał. 4 cz. I ustawy o KSC (od 3.04.2027); KRI § 19 ust. 2 (do 22.02.2027)
Kopie zapasowe odseparowane logicznie i fizycznie od danych produkcyjnych oraz testy kompletności i odtwarzania; przetestowana procedura awaryjnaobowiązek	Kopie nie mogą być narażone na te same ryzyka co dane produkcyjne (nie muszą być w innym budynku). Urząd kluczowy dodatkowo ma plany ciągłości i odtworzenia, wdrożone i testowane.	zał. 4 pkt I.10–12 i art. 8 ust. 1 pkt 2 ustawy o KSC
Poczta e-mail z mechanizmami SPF, DKIM i DMARCobowiązek	Dostawca poczty musi też oferować uwierzytelnianie wieloskładnikowe (obowiązek dostawcy, nie urzędu). Kontroluje Prezes UKE.	art. 24 ust. 2 i 6 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej; zał. 4 pkt I.9
Dzienniki systemów (logi): dostęp z uprawnieniami administracyjnymi, zmiany konfiguracji, dostęp do danych chronionychobowiązek	Przechowywanie 2 lata, jeśli przepisy odrębne nie stanowią inaczej. Projekt nowego KRI mówi o okresie „uzasadnionym i proporcjonalnym”.	KRI § 20 ust. 4 (do 22.02.2027)
Zabezpieczenia BIP: moduł chroniący treść przed zniszczeniem i modyfikacją, kopia bazy na odrębne nośniki najpóźniej doba po zmianie, ochrona przed spowolnieniem, dziennik zmian i prób nieuprawnionych zmian, brak reklam, niedostępność do 24 godzinobowiązek	Dotyczy strony podmiotowej BIP urzędu.	rozp. MSWiA z 18.01.2007 § 11 ust. 2, § 16–19, § 21 ust. 2
e-Doręczenia i ePUAP: aktywny adres do doręczeń w Bazie Adresów Elektronicznych; skrzynka ePUAP do 30.09.2029obowiązek	Uwierzytelnienie użytkowników e-usług środkiem z węzła krajowego (profil zaufany, mObywatel) lub eID.	ustawa o doręczeniach elektronicznych art. 8; art. 16 ust. 1a i art. 20a ust. 1 ustawy o informatyzacji
Dostęp do rejestru mieszkańców i PESEL przez teletransmisję: system identyfikuje osobę pobierającą dane, zakres i datę oraz blokuje dostęp osobom nieuprawnionymobowiązek	Warunki dla innych rejestrów (np. rejestr dowodów, CEPiK) trzeba sprawdzić osobno dla każdego rejestru.	ustawa o ewidencji ludności art. 48 ust. 1 pkt 1–2
Transmisja i nagrywanie sesji rady; nagrania dostosowane do wymagań dostępności w 14 dni od końca transmisjiobowiązek	Transmisje na żywo są wyłączone z wymagań dostępności cyfrowej; nagrania publikowane po sesji już nie.	usg art. 20 ust. 1b; udc art. 3 ust. 2 pkt 1, art. 5a
Monitoring wizyjny: oznakowanie obiektów, nagrania przechowywane do 3 miesięcy, zabezpieczenie przed utratą i dostępem osób nieuprawnionych; zakaz w sanitariatach, szatniach, stołówkach i palarniachobowiązek	Stosuje się tylko, jeśli gmina prowadzi monitoring.	usg art. 9a ust. 2–3, 5–6
Ochrona ludności: gminne elementy wykrywania zagrożeń i ostrzegania w gotowości (syreny, system powiadamiania, ALERT RCB), zasoby na co najmniej 3 dni trwania zagrożeniaobowiązek	Wójt utrzymuje system powiadamiania i ostrzegania mieszkańców.	ustawa o ochronie ludności i obronie cywilnej art. 10 ust. 1 pkt 17, art. 33 ust. 3, art. 71
Urząd od 50 etatów (podmiot kluczowy): uwierzytelnianie wieloskładnikowe (MFA) i szyfrowanieobowiązek	MFA na poczcie, kontach administracyjnych i dostępie zdalnym oraz szyfrowanie dysków laptopów i nośników – w stosownych przypadkach, według szacowania ryzyka.	art. 8 ust. 1 pkt 2 lit. k–l ustawy o KSC
Urząd poniżej 50 etatów (podmiot ważny): MFA i szyfrowaniezalecenie	MFA na poczcie, kontach administracyjnych i dostępie zdalnym oraz szyfrowanie dysków laptopów i nośników. Dla podmiotu ważnego publicznego to zalecenie; szyfrowanie wspiera też art. 32 RODO.	zalecenie CERT Polska i MC; RODO art. 32 ust. 1 lit. a
Segmentacja sieci, szybkie łatanie, EDR, filtrowanie poczty, kontrola kont administratorów; kopia offline lub niezmienialna (model 3-2-1) z regularnym testem odtwarzaniazalecenie	Dobra praktyka powszechnie zalecana przez CERT Polska i CSIRT; kopia offline rozwija obowiązkowe kopie zapasowe z zał. 4 pkt I.10–11.	zalecenie CERT Polska
NSC 200 (minimalne wymagania bezpieczeństwa informacji podmiotów publicznych, MC), poradnik NASK „Cyberbezpieczny samorząd”, skany CERT Polska (Artemis, moje.cert.pl, bezpiecznapoczta.cert.pl)zalecenie	Wersję NSC 200 trzeba sprawdzić. Artemis skanuje instytucje publiczne z urzędu. Zgłoszenie osób kontaktowych do CSIRT NASK w 14 dni od wyznaczenia to praktyka MC (podstawa do weryfikacji).	zalecenie MC, CPPC, NASK i CERT Polska

§4Kalendarz

Co i kiedy zrobić

Kiedy	Co zrobić	Podstawa
na bieżąco	Aktualizacja BIP; wykazy głosowań niezwłocznie, nagrania po sesji; wpis umowy do CRU w 30 dni; odpowiedź na wniosek o informację publiczną w 14 dni (do 2 miesięcy z powiadomieniem); odpowiedź na żądanie osoby z RODO w miesiąc	usg art. 14, 20; ufp art. 34a ust. 10; art. 13 ustawy o dostępie do informacji publicznej; RODO art. 12 ust. 3
po każdej sesji rady	Transmisja i nagranie; nagranie dostosować do wymagań dostępności w 14 dni od końca transmisji	usg art. 20 ust. 1b; udc art. 5a
1 stycznia i 1 lipca	Policz zatrudnionych: stan na 1 stycznia przesądza o statusie KSC (co najmniej 50 etatów = podmiot kluczowy); stan na 1 stycznia lub 1 lipca decyduje o procedurze sygnalistów (próg 50 osób)	zał. 1 pkt 4 ustawy o KSC; ustawa o ochronie sygnalistów art. 23 ust. 1–2
co roku do 31 marca	Przegląd i aktualizacja deklaracji dostępności; sprawozdanie ze zgłoszeń zewnętrznych sygnalistów do RPO (wzór: rozp. RM z 28.07.2025, Dz.U. 2025 poz. 1062)	udc art. 11; ustawa o ochronie sygnalistów art. 47 ust. 3
co roku	Audyt wewnętrzny bezpieczeństwa informacji (do 22.02.2027); przegląd SZBI według zał. 4; szkolenie kierownika z dokumentacją (rok kalendarzowy); przegląd rejestru czynności i upoważnień	KRI § 19 ust. 2 pkt 14; zał. 4 cz. III ustawy o KSC; art. 8e ustawy o KSC
co 2 lata	Informacja wójta dla rady o stanie przygotowań gminy do zadań ochrony ludności	ustawa o ochronie ludności i obronie cywilnej art. 10 ust. 1 pkt 25
co 3 lata	Aktualizacja planów zarządzania kryzysowego; audyt bezpieczeństwa w urzędzie kluczowym (co najmniej raz na 3 lata)	ustawa o zarządzaniu kryzysowym art. 6o ust. 1; art. 15 ust. 1 ustawy o KSC
6 miesięcy od doręczenia wezwania	Uzupełnij dane w wykazie podmiotów kluczowych i ważnych (wykaz-ksc.gov.pl), w tym 2 osoby do kontaktu; potem zmiany w 14 dni. Jeśli wezwanie nie przyszło, napisz na S46-admin@nask.pl.	art. 7b ust. 2 i 4, art. 7c ust. 3 ustawy o KSC; Q&A MC 2.11
22.02.2027 / 23.02.2027	Koniec obowiązywania KRI z 2024 r. / nowe brzmienie art. 13 i 18 ustawy o informatyzacji i nowe rozporządzenie (obecnie projekt)	Dz.U. 2025 poz. 1158; KRI
3.04.2027	Pełne obowiązki KSC: SZBI, osoby do kontaktu, zgłaszanie incydentów, szkolenie kierownika, informacja z KRK. Rejestracja w systemie S46 możliwa od 12.06.2026, najpóźniej do tego dnia	art. 33 ust. 1 przepisów przejściowych ustawy z 23.01.2026 (Dz.U. 2026 poz. 252); komunikat MC (Dz.Urz. MC 2026 poz. 7)
3.04.2028	Pierwszy audyt urzędu kluczowego; od tego dnia organ nadzoru może nakładać kary	art. 33 ust. 2 i art. 35 przepisów przejściowych ustawy z 23.01.2026
31.03.2029	Raport o stanie zapewniania dostępności (do wojewody i do BIP); kolejny po raporcie z 2025 r.	ustawa o zapewnianiu dostępności art. 11 ust. 1, art. 58
30.09.2029 / 1.10.2029	Koniec ePUAP (skrzynki i konta) / usługa hybrydowa dla JST	art. 147 ust. 1, art. 148, art. 155 ust. 6 ustawy o doręczeniach elektronicznych
w 14 dni od zmiany	Zawiadomienie UODO o zmianie IOD; aktualizacja danych (osoby do kontaktu) w wykazie KSC	uodo art. 10 ust. 4; art. 7c ust. 3 ustawy o KSC

§5Zgłoszenia

Co, gdzie i kiedy zgłaszać

Termin podaje kolumna „Termin”. Terminy z ustawy o KSC liczy się od wykrycia incydentu, także gdy wykrył go dostawca IT; termin z RODO – od stwierdzenia naruszenia. Gdy zagrożone jest życie, zdrowie lub mienie, najpierw dzwoń pod 112.

Zdarzenie	Do kogo i jak	Termin	Podstawa
Naruszenie ochrony danych osobowych z ryzykiem dla osób	Prezes UODO: system S46 (moduł „Naruszenia”) lub formularz UODO. Przy wysokim ryzyku także osoby, których dane dotyczą.	bez zbędnej zwłoki, w miarę możliwości do 72 h od stwierdzenia	RODO art. 33 ust. 1, art. 34 ust. 1
Incydent poważny – urząd kluczowy (co najmniej 50 etatów)	System S46, do właściwego CSIRT (do czasu uruchomienia CSIRT sektorowego – CSIRT NASK)	wczesne ostrzeżenie: 24 h od wykrycia; zgłoszenie: najpóźniej 72 h od wykrycia; sprawozdanie końcowe: do miesiąca od zgłoszenia (obowiązek od 3.04.2027)	art. 11 ust. 1 pkt 4–4c, art. 12, 12a, 12b ustawy o KSC
Incydent poważny – urząd poniżej 50 etatów (podmiot ważny)	System S46, do właściwego CSIRT (do czasu uruchomienia CSIRT sektorowego – CSIRT NASK). Bez wczesnego ostrzeżenia i sprawozdań. Do 3.04.2027 zgłaszanie jest zalecane.	niezwłocznie, najpóźniej 72 h od wykrycia (obowiązek od 3.04.2027)	art. 11 ust. 1 pkt 4a, art. 12 ust. 3–8, art. 12c ustawy o KSC
Przestępstwo ścigane z urzędu (np. włamanie, cyberatak, wyłudzenie)	Policja lub prokurator; do ich przybycia zabezpiecz ślady	niezwłocznie	KPK art. 304 § 2
Wyznaczenie, zmiana lub odwołanie IOD	Prezes UODO, wyłącznie elektronicznie (podpis kwalifikowany lub zaufany)	14 dni	uodo art. 10 ust. 1, 4, 6
Zawarcie lub zmiana umowy objętej obowiązkiem wpisu	Centralny Rejestr Umów JSFP (Ministerstwo Finansów)	do 30 dni (umowy zawarte od 1.07.2026)	ufp art. 34a ust. 10
Zgłoszenie zewnętrzne sygnalisty przyjęte przez wójta	Potwierdzenie sygnaliście, przekazanie do właściwego organu, informacja zwrotna, sprawozdanie do RPO	potwierdzenie 7 dni; przekazanie 14 dni (wyjątkowo 30); informacja zwrotna 3 miesiące (wyjątkowo 6); sprawozdanie do 31 marca	ustawa o ochronie sygnalistów art. 37, art. 34 ust. 1 pkt 4, art. 41, art. 47 ust. 3
Zgłoszenie wewnętrzne sygnalisty (gdy procedura obowiązuje)	Potwierdzenie przyjęcia zgłaszającemu i informacja zwrotna	7 dni; 3 miesiące	ustawa o ochronie sygnalistów art. 25 ust. 1 pkt 5 i 7
Raport o stanie zapewniania dostępności	Wojewoda oraz publikacja w BIP (formularz ministra właściwego ds. rozwoju regionalnego)	co 4 lata do 31 marca – następny do 31.03.2029	ustawa o zapewnianiu dostępności art. 11 ust. 1, 4 pkt 2
Zagrożenie dla mieszkańców, konieczność ostrzeżenia lub alarmowania	Mieszkańcy przez system powiadamiania, ostrzegania i alarmowania (syreny, ALERT RCB); wojewoda lub starosta zgodnie z planem	niezwłocznie	ustawa o ochronie ludności i obronie cywilnej art. 10 ust. 1 pkt 16, art. 71

§6Odpowiedzialność

Kto odpowiada

Kto	Za co	Sankcja	Podstawa
Wójt, burmistrz, prezydent jako kierownik urzędu	Osobiście odpowiada za wykonanie obowiązków KSC (SZBI, szkolenie, KRK, osoby do kontaktu, zgłaszanie incydentów), także gdy powierzył je innej osobie; ponosi też odpowiedzialność za kontrolę zarządczą, IOD, BIP, e-Doręczenia, CRU i zarządzanie kryzysowe	KSC: kara do 100% wynagrodzenia (do 300%, jeśli urząd podlega ustawie także w innym sektorze, np. wodociągi); od 3.04.2028	art. 8c, 8d, 73a ustawy o KSC; ufp art. 69 ust. 1 pkt 2; usg art. 33 ust. 3
Urząd jako podmiot KSC	Brak SZBI, niezgłoszenie incydentu, brak audytu (urząd kluczowy), niekorzystanie z S46, nieuzupełnienie wykazu	podmiot kluczowy: do 10 mln EUR lub 2% przychodów, min. 20 000 zł; podmiot ważny: do 7 mln EUR lub 1,4% przychodów, min. 15 000 zł; organ uwzględnia możliwości finansowe podmiotu publicznego	art. 73 ust. 1, 1c, 3–4, art. 76a ustawy o KSC
Gmina jako administrator danych	Naruszenie RODO	administracyjna kara pieniężna Prezesa UODO do 100 000 zł	uodo art. 102 ust. 1 pkt 1; RODO art. 83
Osoba przetwarzająca dane bez podstawy (osobiście)	Nieuprawnione przetwarzanie danych; utrudnianie kontroli UODO	grzywna, ograniczenie wolności lub pozbawienie wolności do 2 lat (dane szczególne do 3 lat); utrudnianie kontroli do 2 lat	uodo art. 107, 108 ust. 1
Inspektor ochrony danych	Doradza, monitoruje zgodność, jest punktem kontaktu z UODO; nie odpowiada za zgodność zamiast administratora	–	RODO art. 39
Urząd – dostępność cyfrowa	Brak lub wadliwa deklaracja dostępności; uporczywy brak dostępności cyfrowej	kara pieniężna do 5 000 zł (deklaracja) lub do 10 000 zł (uporczywy brak dostępności), nakładana przez ministra ds. informatyzacji	udc art. 19 ust. 1–5, art. 13 ust. 1 pkt 2
Wójt – sygnaliści	Nieustanowienie procedury zgłoszeń wewnętrznych (gdy obowiązuje); ujawnienie tożsamości sygnalisty, działania odwetowe, utrudnianie zgłoszenia	grzywna (wykroczenie); odpowiedzialność karna: grzywna, ograniczenie lub pozbawienie wolności do 1 roku, za uporczywe działania odwetowe do 3 lat	ustawa o ochronie sygnalistów art. 54–56, 58–59
Kierownik urzędu – informacja publiczna	Nieudostępnienie informacji publicznej wbrew obowiązkowi	grzywna, ograniczenie wolności lub pozbawienie wolności do 1 roku	art. 23 ustawy o dostępie do informacji publicznej

§7Źródła

Podstawa prawna i zastrzeżenia

Stan prawny na 11.10.2026. Zestawienie ma charakter informacyjny i nie zastępuje porady prawnej ani analizy konkretnej jednostki. Przepisy wykonawcze do znowelizowanej ustawy o KSC wciąż się zmieniają.

Źródła

Do sprawdzenia w indywidualnej analizie

KSC: urząd poniżej 50 etatów jest podmiotem ważnym według stanowiska Ministerstwa Cyfryzacji. Progów incydentu poważnego jeszcze nie określono, na razie decyduje definicja z ustawy. Do 3.04.2027 zgłaszanie incydentów wydaje się dobrowolne – zalecane jest zgłaszanie do CSIRT NASK już teraz.
Sygnaliści: ustawa nie mówi, czyją liczbę mieszkańców i na jaki dzień brać do progu 10 000, a oficjalnej interpretacji brak. Gmina bliska progu powinna to śledzić. Do weryfikacji także zakres właściwości wójta jako organu zewnętrznego i to, czy sprawozdanie do RPO obowiązuje przy zerowej liczbie zgłoszeń.
e-Doręczenia: skutki prawne pism wpływających przez ePUAP po 31.12.2025 oraz zakres usługi hybrydowej dla urzędu nie są jednoznaczne. Przepisy nie przewidują kary za brak e-Doręczeń, ale adres jest obowiązkowy.
Zarządzanie kryzysowe: terminy nowych planów (zarządzania ryzykiem i reagowania kryzysowego) zależą od planów krajowych, wojewódzkich i powiatowych, więc praktycznie to lata 2027–2028. Do czasu zatwierdzenia nowych planów obowiązują dotychczasowe.
KRI: nowe rozporządzenie od 23.02.2027 to na razie projekt; po 22.02.2027 sprawdź ostateczny tekst. Wyliczenie raportu o dostępności na 31.03.2029 wynika z art. 11 i art. 58 ustawy o zapewnianiu dostępności i warto je potwierdzić.
Osoby do kontaktu i dokumentacja KSC: sprzeczność art. 9 ust. 3 (co najmniej jedna osoba) z art. 73a ust. 1 pkt 6 (kara za brak 2) oceni dopiero praktyka organu. Do oceny prawnika jest też, czy przy wspólnej obsłudze osoby do kontaktu może wyznaczyć jednostka wyznaczona przez gminę (art. 16e ust. 5) oraz jaki zakres art. 10 ust. 3 pkt 2–3 i art. 14 dotyczy podmiotu ważnego publicznego.