Wytyczne · stan prawny na 11.10.2026

Wspólne dla wszystkich jednostek publicznych

Każda jednostka gminy używająca systemów informatycznych podlega ustawie o KSC: urząd gminy od 50 etatów jako podmiot kluczowy, wszystkie pozostałe jako podmiot ważny. Najważniejsze: system zarządzania bezpieczeństwem informacji (SZBI), zgłaszanie incydentów poważnych przez system S46 oraz osobista odpowiedzialność kierownika. Pełne obowiązki zaczynają się 3.04.2027, kary od 3.04.2028, a poczta z SPF, DKIM i DMARC jest obowiązkowa już teraz.

Dotyczy: urzędy, szkoły, przedszkola, żłobki, OPS, zakłady i spółki komunalne.

§1Przepisy

Jakie przepisy obejmują jednostkę

Obszar	Dotyczy	Co to znaczy	Podstawa
Urząd gminy zatrudniający co najmniej 50 osób	tak	Podmiot KLUCZOWY. Liczą się etaty na podstawie umowy o pracę, stan na 1 stycznia danego roku. Pełny SZBI, audyt co 3 lata, zgłaszanie incydentów 24 h / 72 h / sprawozdanie końcowe.	art. 5 ust. 1 pkt 4 lit. d i zał. 1 (Podmioty publiczne, pkt 4) ustawy o KSC
Urząd gminy zatrudniający mniej niż 50 osób	tak	Podmiot WAŻNY (podmiot publiczny). SZBI według załącznika nr 4, zgłaszanie incydentów w 72 h. Obowiązuje niezależnie od wielkości.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC; Q&A MC 1.8 i 2.6
Szkoła publiczna (gminna jednostka budżetowa)	tak	Podmiot WAŻNY, samodzielnie, jako odrębna jednostka budżetowa. Obowiązki może wykonywać za szkołę jednostka wyznaczona przez gminę.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC; Q&A MC 1.16
Przedszkole publiczne (gminne)	tak	Podmiot WAŻNY, samodzielnie, tak samo jak szkoła.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC; Q&A MC 1.16
Żłobek gminny (jednostka budżetowa)	tak	Podmiot WAŻNY, bo działa jako jednostka budżetowa. Jeśli żłobek ma inną formę (np. prowadzi go podmiot niepubliczny), sprawdź formę – wtedy zwykle nie jest w sektorze podmiotów publicznych.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC
Ośrodek pomocy społecznej (gminny)	tak	Podmiot WAŻNY. Ministerstwo Cyfryzacji wprost potwierdza, że gminne OPS jako jednostki budżetowe podlegają ustawie.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC; Q&A MC 3.36
Samorządowy zakład budżetowy (np. gospodarki komunalnej lub odpadowej)	tak	Podmiot WAŻNY bez względu na wielkość.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC
Spółka komunalna wykonująca zadania użyteczności publicznej	tak	Podmiot WAŻNY jako podmiot publiczny, bez względu na wielkość. Przy gospodarce odpadami status może być podwójny – zob. uwagi.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC; Q&A MC 3.37
Prywatna firma odpadowa	warunkowo	Podmiot ważny tylko wtedy, gdy łącznie: jest co najmniej średnim przedsiębiorcą (w uproszczeniu od 50 osób albo obrót i suma bilansowa powyżej 10 mln EUR), ma wpis w rejestrze BDO i odpady są jej podstawową działalnością. Taka firma stosuje pełny art. 8 ust. 1–2 (nie zał. 4), wyznacza 2 osoby do kontaktu i składa pełne raporty o incydentach (24 h / 72 h / miesiąc).	art. 5 ust. 2 pkt 2, art. 8 ust. 1–3, art. 9 ust. 1 pkt 1 i zał. 2 ustawy o KSC; art. 49 ust. 1 uo
Poczta e-mail z SPF, DKIM i DMARC	tak	Obowiązek już teraz dla wszystkich podmiotów publicznych z zał. 1 i 2. Dostawca poczty musi też oferować uwierzytelnianie wieloskładnikowe (MFA), a korzystanie z niego jest zaleceniem. Kontroluje Prezes UKE.	art. 24 ust. 2, 3 i 6 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej
Krajowe Ramy Interoperacyjności (KRI)	tak	Dotyczy wszystkich jednostek sektora finansów publicznych: bezpieczeństwo informacji (§ 19) i logi (§ 20) do 22.02.2027, potem nowe przepisy.	§ 19 i § 20 KRI; art. 2 ust. 1 pkt 1 ustawy o informatyzacji

§2Dokumenty

Dokumentacja, którą trzeba mieć

„Obowiązek” wynika wprost z przepisu. „Zalecenie” to rekomendacja organów (CERT Polska, Ministerstwo Cyfryzacji, UODO) albo dobra praktyka.

Dokument	Kto przygotowuje lub zatwierdza	Aktualizacja	Podstawa
SZBI według załącznika nr 4 (18 elementów części I – patrz pozycje poniżej i sekcja „Sprzęt i zabezpieczenia”)obowiązek	Kierownik jednostki (dyrektor, kierownik OPS, zarząd spółki); może to wykonywać jednostka wyznaczona przez gminę	przegląd co najmniej raz w roku; obowiązek od 3.04.2027 (podmiot ważny publiczny)	art. 8 ust. 3 i zał. 4 ustawy o KSC
Osoby do kontaktu z podmiotami KSC – wyznacz 2 osobyobowiązek	Kierownik wyznacza 2 osoby i wpisuje ich dane do wykazu. Podmiot ważny publiczny: art. 9 ust. 3 wymaga co najmniej jednej osoby, ale kara dla kierownika (art. 73a ust. 1 pkt 6) dotyczy niewyznaczenia co najmniej 2 – dlatego 2. Podmiot kluczowy i podmiot ważny niepubliczny: co najmniej 2 osoby wprost z art. 9 ust. 1 pkt 1.	przy zmianie osoby – aktualizacja wykazu w 14 dni; od 3.04.2027	art. 9 ust. 1 pkt 1 i ust. 3, art. 73a ust. 1 pkt 6 ustawy o KSC
Wykaz podmiotów KSC, system S46 oraz informacja i kanał zgłoszeń na stronie wwwobowiązek	Podmiot publiczny jest wpisywany z urzędu i uzupełnia dane po wezwaniu. Prywatna firma objęta ustawą sama składa wniosek o wpis. Kierownik podpisuje wniosek do wykazu podpisem kwalifikowanym, zaufanym lub osobistym. Na stronie www: informacja o cyberzagrożeniach i sposobach ochrony (wystarczy link do strony organu lub CSIRT) oraz własny kanał zgłaszania zagrożeń, incydentów i podatności, np. adres e-mail (link go nie zastępuje).	dane w wykazie: 6 miesięcy od doręczenia wezwania, zmiany w 14 dni; rejestracja w S46 najpóźniej do 3.04.2027; strona www – stale	art. 7b ust. 2 i 4, art. 7c ust. 3, art. 9 ust. 1 pkt 2–4 i ust. 4 ustawy o KSC; komunikat MC (Dz.Urz. MC 2026 poz. 7)
Dokumentacja bezpieczeństwa systemu informacyjnego (art. 10)obowiązek	Kierownik: ustanawia, stosuje i aktualizuje dokumentację; dostęp tylko dla upoważnionych, ochrona przed nieuprawnioną zmianą, kontrola wersji	na bieżąco, od 3.04.2027; przechowywanie według przepisów o archiwach i JRWA (art. 10 ust. 7), zniszczenie z protokołem	art. 10 ust. 1 i 6–8 ustawy o KSC (podmiot ważny publiczny – przez art. 16d)
SZBI pełny: szacowanie ryzyka, polityki, łańcuch dostaw, ciągłość działania, monitorowanie, kryptografia, kontrola dostępu, zarządzanie aktywamiobowiązek	Decyzje podejmuje kierownik (art. 8d pkt 1); przygotowuje komórka wewnętrzna lub dostawca usług zarządzanych	szacowanie ryzyka systematycznie; pierwsze wdrożenie do 3.04.2027 (podmiot kluczowy, np. urząd gminy od 50 etatów, i podmiot ważny niepubliczny, np. prywatna firma odpadowa)	art. 8 ust. 1 i 2 ustawy o KSC
Inwentaryzacja produktów, usług i procesów ICT (zał. 4 pkt I.1)obowiązek	Administrator IT, zatwierdza kierownik	stale aktualna	zał. 4 pkt I.1 ustawy o KSC; § 19 ust. 2 pkt 2 KRI
Zasady nadawania, zmiany i cofania uprawnień: dostęp tylko dla upoważnionych, minimalne uprawnienia, bezzwłoczne cofanie, zawieszenie po co najmniej 1 miesiącu nieobecności (zał. 4 pkt I.4–I.7)obowiązek	Kierownik i administrator	przy każdej zmianie zadań lub zatrudnienia	zał. 4 pkt I.4–I.7 ustawy o KSC; § 19 ust. 2 pkt 4–5 KRI
Zasady bezpiecznej pracy mobilnej i zdalnej (zał. 4 pkt I.8)obowiązek	Kierownik	przy zmianie	zał. 4 pkt I.8 ustawy o KSC; § 19 ust. 2 pkt 8 KRI
Procedura na wypadek awarii lub incydentu oraz procedury działania przy cyberzagrożeniu – przygotowane i przetestowane (zał. 4 pkt I.12 i I.18)obowiązek	Kierownik	testować regularnie (termin przepis pozostawia jednostce)	zał. 4 pkt I.12 i I.18 ustawy o KSC
Zasady cyberhigieny dla pracowników, także dla kierownika (zał. 4 pkt I.14)obowiązek	Kierownik	przy zmianie; przypominać przy szkoleniach	zał. 4 pkt I.14 ustawy o KSC
Szkolenia osób przetwarzających informacje: rodzaje zagrożeń, cyberhigiena, reagowanie na incydent, skutki naruszeń (zał. 4 pkt I.17)obowiązek	Kierownik; plan szkoleń	regularnie; potwierdzenia przechowywać	zał. 4 pkt I.17 ustawy o KSC; § 19 ust. 2 pkt 6 KRI
Potwierdzenie szkolenia kierownika (i osoby, której powierzono obowiązki)obowiązek	Kierownik	raz w roku kalendarzowym; udział trzeba udokumentować	art. 8e ust. 1–3 ustawy o KSC
Informacja z Krajowego Rejestru Karnego (KRK) o niekaralności za przestępstwa przeciwko ochronie informacji dla osób wykonujących zadania cyberbezpieczeństwa (także zewnętrznych)obowiązek	Kierownik; osobę dopuszcza dopiero po otrzymaniu informacji. Wystarczy też poświadczenie bezpieczeństwa „poufne” lub wyższe	przed rozpoczęciem zadań; ponownie na wezwanie przy uzasadnionym podejrzeniu skazania	art. 8f ustawy o KSC; Q&A MC 3.12 i 3.29
Dokumentowanie realizacji działań i przegląd SZBI (także po rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa lub po zmianie okoliczności zwiększającej ryzyko incydentu poważnego)obowiązek	Kierownik	co najmniej raz w roku oraz bezzwłocznie po wskazanych zdarzeniach	zał. 4 cz. III i IV ustawy o KSC
Raport z audytu bezpieczeństwa wykonanego przez niezależnego audytoraobowiązek	Audytor niezależny; kopię wysyła się organowi w ciągu 3 dni roboczych. Tylko podmiot kluczowy; podmiotowi ważnemu organ może audyt nakazać po incydencie poważnym	co najmniej raz na 3 lata; pierwszy do 3.04.2028	art. 15 ust. 1 i 1a ustawy o KSC
SZBI według KRI: regulacje wewnętrzne, okresowa analiza ryzyka, plan szkoleń, zapisy o bezpieczeństwie w umowach serwisowych oraz audyt wewnętrznyobowiązek	Kierownictwo jednostki. Spełnienie wymagań uznaje się przy zgodności z PN-ISO/IEC 27001, 27002 i 27005 (§ 19 ust. 3)	audyt wewnętrzny nie rzadziej niż raz na rok, do 22.02.2027	§ 19 ust. 1–2 KRI (pkt 1, 3, 6, 10, 14)
Uchwała rady gminy lub porozumienie o wspólnej obsłudze obowiązków KSC przez jednostkę wyznaczonązalecenie	Rada gminy (uchwała) albo porozumienie między jednostkami samorządu; dotyczy tylko gmin, które wybiorą tę opcję	dotychczasowe porozumienia obowiązują najdłużej do 3.04.2028	art. 16e ust. 5–9 ustawy o KSC; art. 10a–10d i 74 ustawy o samorządzie gminnym
Zasady korzystania z chmury publicznej i z ogólnodostępnej generatywnej sztucznej inteligencji (część II zał. 4 jest fakultatywna)zalecenie	Kierownik	przy zmianie narzędzi	zał. 4 cz. II ustawy o KSC; Q&A MC 3.40
Zapisy w umowach z dostawcami IT o niezwłocznym zgłaszaniu incydentów (moment wykrycia incydentu liczy się także od informacji od dostawcy)zalecenie	Kierownik, przy zawieraniu i zmianie umów	przy każdej umowie lub aneksie	Q&A MC 6.5 (rekomendacja)

§3Technika

Sprzęt i zabezpieczenia

Środek	Na czym polega	Podstawa lub źródło
Ochrona informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniem i zakłóceniem (zał. 4 pkt I.3)obowiązek	Do wyboru: ochrona fizyczna pomieszczeń, oprogramowanie lub sprzęt zabezpieczający, a przy chmurze lub kolokacji udokumentowanie zabezpieczeń dostawcy.	zał. 4 pkt I.3 ustawy o KSC
Kontrola dostępu do systemów, usług sieciowych i aplikacji (zał. 4 pkt I.4–I.7)obowiązek	Konta tylko dla upoważnionych, zasada minimalnych uprawnień, szybkie cofanie i zmiana uprawnień oraz środki przeciw nieautoryzowanemu dostępowi.	zał. 4 pkt I.4–I.7 ustawy o KSC; § 19 ust. 2 pkt 4–5 KRI
Kontrola wersji używanego oprogramowania i usług (zał. 4 pkt I.2)obowiązek	Wiesz, co jest zainstalowane i w jakiej wersji, także na urządzeniach mobilnych, jeśli to możliwe.	zał. 4 pkt I.2 ustawy o KSC
Aktualizacje, cykl życia produktów i stabilne wersje (zał. 4 pkt I.15–I.16)obowiązek	Śledzisz nowe wersje, źródła dystrybucji i koniec wsparcia oraz używasz stabilnych wersji bez znanych krytycznych podatności.	zał. 4 pkt I.15–I.16 ustawy o KSC; § 19 ust. 2 pkt 12 i 14 KRI
Poczta e-mail z SPF, DKIM i DMARC (zał. 4 pkt I.9)obowiązek	Mechanizmy uwierzytelniania nadawcy, które utrudniają podszywanie się pod domenę jednostki.	art. 24 ust. 1–2 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej; zał. 4 pkt I.9
Kopie zapasowe odseparowane logicznie i fizycznie od danych produkcyjnych (zał. 4 pkt I.10)obowiązek	Nie muszą być w innym budynku, ale nie mogą być narażone na te same ryzyka co dane produkcyjne.	zał. 4 pkt I.10 ustawy o KSC; Q&A MC 3.41
Testy kompletności i odtwarzania kopii zapasowych (zał. 4 pkt I.11)obowiązek	Regularnie sprawdzasz, że kopię da się odtworzyć. Termin testów nie jest określony w przepisie.	zał. 4 pkt I.11 ustawy o KSC
Oprogramowanie antywirusowe (zał. 4 pkt I.13)obowiązek	Ochrona na stacjach roboczych i serwerach.	zał. 4 pkt I.13 ustawy o KSC
Dzienniki systemów (logi): dostęp administracyjny, zmiany konfiguracji, dostęp do danych chronionychobowiązek	Przechowywanie przez 2 lata, chyba że przepisy odrębne stanowią inaczej. Obowiązek do 22.02.2027, projekt nowych przepisów mówi o okresie „uzasadnionym i proporcjonalnym”.	§ 20 KRI
MFA i szyfrowanie – podmiot kluczowy i podmiot ważny niepublicznyobowiązek	Uwierzytelnianie wieloskładnikowe (poczta, konta administracyjne, dostęp zdalny) i szyfrowanie dysków laptopów i nośników – w stosownych przypadkach, według szacowania ryzyka.	art. 8 ust. 1 pkt 2 lit. k–l ustawy o KSC
MFA i szyfrowanie – podmiot ważny publicznyzalecenie	Te same środki chronią konta przed przejęciem i dane przy zgubieniu lub kradzieży sprzętu. Dla podmiotu ważnego publicznego to rekomendacja; szyfrowanie wspiera też RODO.	rekomendacja CERT Polska i MC; art. 32 ust. 1 lit. a RODO
Kopia offline lub niezmienialna (immutable) i regularny test odtworzeniazalecenie	Rozwija wymagania pkt I.10–I.11 zał. 4: kopia, której nie zaszyfruje ani nie skasuje atakujący.	rekomendacja CERT Polska i MC
Skanowanie własnych domen i poczty (Artemis, moje.cert.pl, bezpiecznapoczta.cert.pl)zalecenie	CERT Polska skanuje z urzędu instytucje publiczne (m.in. SPF/DMARC, otwarte porty, nieaktualne CMS-y, publiczne kopie zapasowe), a własne domeny można sprawdzić samodzielnie. Strona CERT nie podaje, czy skanowanie na zamówienie jest bezpłatne.	rekomendacja CERT Polska
Stanowisko do systemu S46zalecenie	Stacja robocza z antywirusem i ochroną antymalware, aktualna przeglądarka oparta na Chromium, łącze co najmniej 10 Mb/s.	wymagania techniczne operatora S46 (Q&A MC 7.5)

§4Kalendarz

Co i kiedy zrobić

Kiedy	Co zrobić	Podstawa
już teraz	Poczta z SPF, DKIM i DMARC (obowiązek dla wszystkich podmiotów publicznych).	art. 24 ust. 2 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej
6 miesięcy od doręczenia wezwania	Uzupełnij dane w wykazie podmiotów kluczowych i ważnych (wykaz-ksc.gov.pl), w tym 2 osoby do kontaktu; potem zmiany w 14 dni. Jeśli wezwanie nie przyszło, napisz na S46-admin@nask.pl.	art. 7b ust. 2 i 4, art. 7c ust. 3 ustawy o KSC; Q&A MC 2.11
od 12.06.2026, najpóźniej do 3.04.2027	Zarejestruj się w systemie S46 po informacji o wpisie do wykazu.	art. 9 ust. 1 pkt 4 ustawy o KSC; komunikat MC (Dz.Urz. MC 2026 poz. 7); Q&A MC 7.6
do 22.02.2027	Obowiązuje KRI z 2024 r.: SZBI z § 19, audyt wewnętrzny co najmniej raz w roku, logi przechowywane 2 lata.	§ 19 i § 20 KRI
23.02.2027	Wchodzi nowy art. 18 ustawy o informatyzacji i nowe rozporządzenie w sprawie KRI (na razie projekt – sprawdź ostateczny tekst). Według projektu SZBI zniknie z KRI i zostanie tylko w ustawie o KSC.	art. 17 ustawy z 25.07.2025 (Dz.U. 2025 poz. 1158); projekt RD313
3.04.2027	Pełne obowiązki z rozdziału 3 ustawy o KSC: SZBI, osoby do kontaktu, obsługa i zgłaszanie incydentów, szkolenie kierownika, informacje z KRK, dokumentacja.	art. 33 ust. 1 przepisów przejściowych ustawy z 23.01.2026; Q&A MC 3.1
do 3.10.2027	Ustawowy termin na ustanowienie CSIRT sektorowych. Do czasu komunikatu o ich gotowości zgłoszenia trafiają do CSIRT NASK.	art. 42 ust. 1 i art. 44 przepisów przejściowych
3.04.2028	Organ może nakładać kary pieniężne. Pierwszy audyt podmiotu kluczowego. Wygasają dotychczasowe porozumienia o wspólnej obsłudze.	art. 33 ust. 2, art. 35 i art. 43 przepisów przejściowych
co roku 1 stycznia	Policz etaty w urzędzie gminy (umowa o pracę, przeliczenie na pełny wymiar). Od progu 50 zależy, czy urząd jest kluczowy czy ważny.	zał. 1 (Podmioty publiczne, pkt 4) ustawy o KSC
co rok kalendarzowy	Szkolenie kierownika i osoby z powierzonymi obowiązkami, z dokumentacją udziału.	art. 8e ustawy o KSC
co najmniej raz w roku	Przegląd SZBI według załącznika nr 4.	zał. 4 cz. III pkt 1
bezzwłocznie	Przegląd SZBI po rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa albo po zmianie okoliczności zwiększającej ryzyko incydentu poważnego.	zał. 4 cz. III pkt 2–3
14 dni od zmiany	Zaktualizuj dane w wykazie (np. nowa osoba do kontaktu).	art. 7c ust. 3 ustawy o KSC
co najmniej co 3 lata	Audyt bezpieczeństwa (tylko podmiot kluczowy, czyli urząd gminy od 50 etatów).	art. 15 ust. 1 ustawy o KSC

§5Zgłoszenia

Co, gdzie i kiedy zgłaszać

Termin podaje kolumna „Termin”. Terminy z ustawy o KSC liczy się od wykrycia incydentu, także gdy wykrył go dostawca IT; termin z RODO – od stwierdzenia naruszenia. Gdy zagrożone jest życie, zdrowie lub mienie, najpierw dzwoń pod 112.

Zdarzenie	Do kogo i jak	Termin	Podstawa
Incydent poważny – podmiot ważny publiczny (szkoła, przedszkole, żłobek, OPS, urząd poniżej 50 etatów, zakład budżetowy, spółka komunalna)	System S46. Formalnie do właściwego CSIRT sektorowego, a do czasu jego uruchomienia do CSIRT NASK. Jeśli gmina wyznaczyła jednostkę do wspólnej obsługi, zgłasza ona w imieniu jednostki, a jednostka przekazuje jej informacje w terminach, które wskaże.	niezwłocznie, najpóźniej 72 h od wykrycia; bez wczesnego ostrzeżenia i bez sprawozdania końcowego	art. 11 ust. 1 pkt 4a, art. 12 ust. 3–8 i art. 12c ustawy o KSC; art. 16f i 16h; Q&A MC 6.12
Incydent poważny – podmiot kluczowy (urząd gminy od 50 etatów) i podmiot ważny niepubliczny (np. prywatna firma odpadowa)	System S46, do CSIRT sektorowego, do czasu jego uruchomienia do CSIRT NASK.	wczesne ostrzeżenie: niezwłocznie, najpóźniej 24 h; zgłoszenie: najpóźniej 72 h; sprawozdanie końcowe: najpóźniej miesiąc od zgłoszenia (a przy dłuższej obsłudze sprawozdanie z postępu i końcowe w miesiąc od jej zakończenia)	art. 11 ust. 1 pkt 4–4c, art. 12, 12a i 12b ustawy o KSC
Awaria systemu S46	Kanał zapasowy wskazany przez CSIRT w komunikacie w BIP.	jak w przypadku zgłoszenia, którego dotyczy	art. 31 ust. 1 i 3 ustawy o KSC
Incydent poważny, który niekorzystnie wpływa na świadczone usługi	Użytkownicy usług (np. rodzice, mieszkańcy, klienci OPS).	niezwłocznie (termin nie jest określony)	art. 11 ust. 2b ustawy o KSC (przez art. 12c także podmiot ważny publiczny)
Poważne cyberzagrożenie	Użytkownicy, na których może wpłynąć: informacja o środkach zapobiegawczych.	niezwłocznie	art. 11 ust. 2a ustawy o KSC
Pozostałe incydenty, cyberzagrożenia i podatności	CSIRT przez S46 albo (dla jednostek spoza KSC) CSIRT NASK, np. incydent.cert.pl. Zgłoszenie dobrowolne. Każdy incydent trzeba jednak obsłużyć.	dobrowolnie	art. 13, art. 30 ust. 1 i art. 31 ust. 2 ustawy o KSC; Q&A MC 6.3
Naruszenie ochrony danych osobowych	Prezes UODO (formularz UODO); osoby, których dane dotyczą, przy wysokim ryzyku.	72 h od stwierdzenia, chyba że naruszenie raczej nie skutkuje ryzykiem	art. 33 i 34 RODO
Przestępstwo ścigane z urzędu (np. art. 269 kk)	Prokurator lub Policja. Do ich przybycia zabezpiecz ślady.	niezwłocznie	art. 304 § 2 kpk
Przestępstwo ścigane na wniosek (np. nieuprawniony dostęp, art. 267 kk)	Policja lub prokurator; wniosek składa pokrzywdzony.	według decyzji jednostki; kwalifikację czynu oceń z prawnikiem	art. 267 § 5 kk
Brak wezwania do wykazu albo błędny wpis	S46-admin@nask.pl albo wniosek o zmianę lub wykreślenie w wykaz-ksc.gov.pl.	bez terminu; korekta danych niezgodnych ze stanem faktycznym w 7 dni od wezwania	art. 7f ust. 3 i art. 7k ust. 2 ustawy o KSC; Q&A MC 2.11 i 2.14

§6Odpowiedzialność

Kto odpowiada

Kto	Za co	Sankcja	Podstawa
Kierownik jednostki: dyrektor, kierownik OPS, wójt lub burmistrz (urząd), zarząd (spółka)	Odpowiada za wykonanie obowiązków z ustawy o KSC także wtedy, gdy powierzył je innej osobie lub firmie. Decyduje o SZBI, planuje środki finansowe, przydziela i nadzoruje zadania, dba o świadomość personelu. Kara za brak SZBI, szkolenia (art. 8e), informacji z KRK (art. 8f), osób do kontaktu, niewykonanie art. 11 i 15 – także za jednorazowe zaniechanie.	kara do 100% wynagrodzenia (do 300%, gdy podmiot podlega ustawie także w innym sektorze); od 3.04.2028	art. 8c, 8d i art. 73a ust. 1–5 ustawy o KSC
Spółka komunalna – członkowie zarządu	Jeśli nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy członkowie zarządu.	kara jak dla kierownika (wymiar 100% czy 300% – zob. uwagi)	art. 8c ust. 2 i art. 73a ust. 5 ustawy o KSC
Podmiot ważny (w tym ważny publiczny)	Brak SZBI według zał. 4, niezgłoszenie incydentu, niekorzystanie z S46, nieuzupełnienie wykazu i inne naruszenia.	kara do 7 mln EUR albo 1,4% przychodów, co najmniej 15 000 zł; od 3.04.2028	art. 73 ust. 1, 1c i 4 ustawy o KSC
Podmiot kluczowy (urząd gminy od 50 etatów)	Brak SZBI, szacowania ryzyka, dokumentacji, audytu, niezgłoszenie incydentu i inne naruszenia.	kara do 10 mln EUR albo 2% przychodów, co najmniej 20 000 zł; od 3.04.2028	art. 73 ust. 1 i 3 ustawy o KSC
Każdy podmiot	Naruszenie powodujące bezpośrednie i poważne cyberzagrożenie dla bezpieczeństwa, życia lub zdrowia albo poważną szkodę.	kara do 100 mln zł	art. 73 ust. 5 ustawy o KSC
Każdy podmiot	Niewykonanie decyzji organu nadzoru.	kara okresowa 500–100 000 zł za każdy dzień	art. 76b ustawy o KSC
Jednostka wyznaczona przez gminę (wspólna obsługa)	Jeśli akt wyznaczenia powierza jej także zadania kierownika, odpowiada kierownik jednostki wyznaczonej. Jednostka obsługiwana musi współpracować: przekazywać informacje o incydentach, wykonywać decyzje i uczestniczyć w szkoleniach.	–	art. 16e–16h ustawy o KSC; Q&A MC 3.30 i 4.6
Zewnętrzna firma obsługująca IT i bezpieczeństwo	Nie przejmuje odpowiedzialności kierownika, choć może wykonywać zadania w jego imieniu.	–	art. 8c ust. 3 i art. 14 ustawy o KSC

§7Źródła

Podstawa prawna i zastrzeżenia

Stan prawny na 11.10.2026. Zestawienie ma charakter informacyjny i nie zastępuje porady prawnej ani analizy konkretnej jednostki. Przepisy wykonawcze do znowelizowanej ustawy o KSC wciąż się zmieniają.

Źródła

Do sprawdzenia w indywidualnej analizie

Spółka komunalna gospodarki odpadami może mieć podwójny status (podmiot publiczny i sektor odpadów). Niejasne jest, czy obowiązuje SZBI z zał. 4 czy pełny art. 8 ust. 1, który organ nadzoruje (Minister Cyfryzacji czy minister klimatu) i czy kara dla zarządu wynosi do 100% czy do 300% wynagrodzenia. Warto to ustalić z prawnikiem.
Nowe KRI (od 23.02.2027) to na razie projekt. Może się zmienić m.in. usunięcie SZBI i rocznego audytu wewnętrznego, nowy plan ciągłości e-usług i okres przechowywania logów. Po 22.02.2027 sprawdź ostateczny tekst w Dzienniku Ustaw.
Rozporządzenia o progach incydentu poważnego dla sektora publicznego jeszcze nie ma, więc decyduje definicja ustawowa. Przed 3.04.2027 zgłaszanie wydaje się dobrowolne, ale zaleca się zgłaszać do CSIRT NASK już teraz.
Nie jest jasne, jak liczyć karę „1,4% przychodów” dla jednostki bez przychodów z działalności gospodarczej (organ uwzględnia możliwości finansowe podmiotu publicznego, art. 76a ust. 1).
Żłobek bywa prowadzony w różnych formach, a szkoły niepubliczne i związki międzygminne nie są w sektorze podmiotów publicznych. Czy podlegają KSC lub KRI, zależy od konkretnej formy i zadań – oceń to indywidualnie.
Osoby do kontaktu i dokumentacja KSC: sprzeczność art. 9 ust. 3 (co najmniej jedna osoba) z art. 73a ust. 1 pkt 6 (kara za brak 2) oceni dopiero praktyka organu. Do oceny prawnika jest też, czy przy wspólnej obsłudze osoby do kontaktu może wyznaczyć jednostka wyznaczona przez gminę (art. 16e ust. 5) oraz jaki zakres art. 10 ust. 3 pkt 2–3 i art. 14 dotyczy podmiotu ważnego publicznego.