Nowelizacja ustawy o KSC – co zmienia się od kwietnia 2026 i jak się przygotować?

Dnia 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), uchwalona 23 stycznia 2026 r. To najważniejsza zmiana w polskim prawie dotyczącym cyberbezpieczeństwa od lat – implementuje unijną dyrektywę NIS2 oraz rozwiązania wynikające z tzw. Toolbox 5G. Nowe przepisy dotyczą tysięcy firm i instytucji publicznych, które do tej pory nie podlegały regulacjom w tym zakresie.

Co się zmienia? Najważniejsze założenia nowelizacji

Dotychczasowa ustawa o KSC z 2018 roku opierała się na dyrektywie NIS1 i obejmowała stosunkowo wąski krąg podmiotów – głównie operatorów usług kluczowych i dostawców usług cyfrowych. Nowelizacja fundamentalnie zmienia ten model:

• Nowy podział podmiotów – zamiast „operatorów usług kluczowych" i „dostawców usług cyfrowych" wprowadzono kategorie podmiotów kluczowych i podmiotów ważnych
• Rozszerzenie sektorów – do dotychczasowych sektorów (energia, transport, zdrowie, woda pitna, infrastruktura cyfrowa, bankowość) doszły m.in.: ścieki, zarządzanie usługami ICT, przestrzeń kosmiczna, usługi pocztowe, produkcja i dystrybucja żywności, produkcja przemysłowa, gospodarka odpadami
• Podmioty publiczne w KSC – urzędy administracji, szkoły, szpitale i inne jednostki publiczne zostały objęte obowiązkami
• Osobista odpowiedzialność zarządów – kierownictwo podmiotów ponosi bezpośrednią odpowiedzialność za wdrożenie i nadzór nad środkami cyberbezpieczeństwa
• Mechanizm dostawców wysokiego ryzyka (HRV) – możliwość uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, co wiąże się z obowiązkiem ograniczenia lub wycofania jego technologii

Kogo dotyczy nowelizacja?

Nowelizacja KSC znacząco poszerza krąg podmiotów objętych regulacją. Kwalifikacja opiera się na dwóch kryteriach: sektorze działalności oraz wielkości podmiotu.

Podmioty kluczowe

To przede wszystkim duże przedsiębiorstwa (powyżej 250 pracowników lub obrót > 50 mln EUR) działające w sektorach o wysokim stopniu krytyczności:

• Energetyka (energia elektryczna, gaz, ropa, ciepłownictwo, wodór)
• Transport (lotniczy, kolejowy, wodny, drogowy)
• Bankowość i infrastruktura rynków finansowych
• Ochrona zdrowia
• Woda pitna i ścieki
• Infrastruktura cyfrowa i zarządzanie usługami ICT
• Administracja publiczna
• Przestrzeń kosmiczna

Podmioty ważne

To najczęściej średnie przedsiębiorstwa (50–250 pracowników) w sektorach kluczowych oraz firmy w sektorach dodatkowych:

• Usługi pocztowe i kurierskie
• Gospodarka odpadami
• Produkcja, wytwarzanie i dystrybucja chemikaliów
• Produkcja i dystrybucja żywności
• Produkcja przemysłowa (wyroby medyczne, komputery, elektronika, maszyny, pojazdy)
• Dostawcy usług cyfrowych (marketplace, wyszukiwarki, media społecznościowe)
• Badania naukowe

Nowe obowiązki – co trzeba wdrożyć?

Nowelizacja nakłada szereg konkretnych obowiązków, których niespełnienie grozi sankcjami finansowymi:

System zarządzania bezpieczeństwem informacji

Każdy podmiot kluczowy i ważny musi wdrożyć system zarządzania bezpieczeństwem informacji w oparciu o ocenę ryzyka. Obejmuje to:

• Politykę analizy ryzyka i bezpieczeństwa systemów informacyjnych
• Procedury obsługi incydentów
• Plan ciągłości działania i zarządzania kryzysowego
• Bezpieczeństwo łańcucha dostaw
• Bezpieczeństwo w nabywaniu, rozwijaniu i utrzymywaniu sieci i systemów IT
• Polityki i procedury oceny skuteczności środków zarządzania ryzykiem
• Stosowanie kryptografii i szyfrowania
• Kontrolę dostępu i zarządzanie zasobami
• Uwierzytelnianie wieloskładnikowe (MFA)
• Regularne szkolenia pracowników z zakresu cyberbezpieczeństwa

Zgłaszanie incydentów do CSIRT

Incydenty poważne muszą być zgłaszane do właściwego zespołu CSIRT w ściśle określonych terminach:

Zgłoszenia kierowane są do właściwego CSIRT – CSIRT NASK (dla podmiotów cywilnych), CSIRT GOV (dla administracji) lub CSIRT MON (dla sektora obronnego). Operacyjnie raportowanie odbywa się poprzez system S46.

Kluczowe terminy – kalendarz wdrożenia

Kary finansowe i odpowiedzialność zarządu

Nowelizacja wprowadza dwupoziomowy system kar, zależny od klasyfikacji podmiotu:

Dostawcy wysokiego ryzyka (HRV)

Nowelizacja wprowadza mechanizm uznawania dostawców sprzętu i oprogramowania za dostawców wysokiego ryzyka (HRV). Jest to implementacja unijnego Toolbox 5G, ale zakres nie ogranicza się wyłącznie do sieci 5G.

Jeżeli dostawca zostanie uznany za HRV, podmioty kluczowe i ważne będą zobowiązane do:

• Nieinstalowania nowych produktów lub usług tego dostawcy
• Wycofania istniejących rozwiązań w określonym terminie (do 7 lat od decyzji)
• Opracowania planu migracji do alternatywnych dostawców

Decyzja o uznaniu dostawcy za HRV podejmowana jest przez Kolegium ds. Cyberbezpieczeństwa na podstawie oceny ryzyka uwzględniającej m.in. powiązania z państwami trzecimi, strukturę właścicielską i podatność na wpływy pozaekonomiczne.

Jak się przygotować? Plan działania

Wdrożenie wymogów nowelizacji KSC to proces, który wymaga systematycznego podejścia. Oto rekomendowane kroki:

1. Dokonaj klasyfikacji – sprawdź, czy Twoja organizacja spełnia kryteria podmiotu kluczowego lub ważnego. Uwzględnij sektor działalności, wielkość firmy i rodzaj świadczonych usług
2. Przeprowadź audyt zerowy (GAP analysis) – oceń aktualny stan cyberbezpieczeństwa w organizacji i zidentyfikuj luki w stosunku do wymagań ustawy
3. Wdróż system zarządzania bezpieczeństwem – na bazie wyników audytu opracuj i wdróż polityki, procedury i środki techniczne. Rozważ certyfikację ISO/IEC 27001 jako ramy odniesienia
4. Przygotuj procedury zgłaszania incydentów – ustal kto, komu i jak zgłasza incydenty. Skonfiguruj łączność z właściwym CSIRT przez system S46
5. Zadbaj o łańcuch dostaw – zidentyfikuj kluczowych dostawców IT, oceń ich poziom bezpieczeństwa i włącz wymagania cyberbezpieczeństwa do umów
6. Przeszkol zarząd i pracowników – kierownictwo musi rozumieć swoje obowiązki i odpowiedzialność. Pracownicy potrzebują regularnych szkoleń z rozpoznawania zagrożeń
7. Złóż wniosek o wpis – od 7 maja 2026 zarejestruj organizację w wykazie podmiotów kluczowych lub ważnych (termin: 3 października 2026)

Najczęściej zadawane pytania