Ustawa o KSC: obowiązki, terminy, odpowiedzialność

Dwa warunki muszą być spełnione łącznie. Pierwszy: firma działa w jednym z sektorów wymienionych w załącznikach do ustawy. Dla Podkarpacia najczęściej jest to produkcja spożywcza, chemiczna, maszynowa, motoryzacyjna, elektroniczna lub wyrobów medycznych, a także transport, gospodarowanie odpadami oraz woda i ścieki. Drugi: firma osiąga próg wielkości, czyli zatrudnia co najmniej 50 osób albo przekracza 10 mln EUR rocznego obrotu lub sumy bilansowej.

Przy liczeniu progu sumuje się dane przedsiębiorstw powiązanych i częściowo partnerskich, według unijnej definicji MŚP. Grupa trzech spółek po 30 osób każda, należących do jednego właściciela, przekracza próg, mimo że żadna z osobna go nie osiąga.

Kwalifikacja następuje z mocy prawa: nikt nie przyśle decyzji, że firma podlega ustawie. Podmiot ustala to sam i sam składa wniosek o wpis do wykazu. Ostateczną ocenę prawną potwierdzam we współpracy z radcą prawnym, a sam odpowiadam za część techniczną.

Podmiot kluczowy to co do zasady duże przedsiębiorstwo z sektora wymienionego w Załączniku I do ustawy, na przykład zakład wodociągowy albo producent wyrobów medycznych powyżej 250 osób. Podmiot ważny to średnie przedsiębiorstwo z Załącznika I oraz podmioty z sektorów Załącznika II, w tym większość zakładów produkcyjnych.

Katalog obowiązków technicznych jest w obu przypadkach ten sam: te same środki z art. 8. Różnica dotyczy nadzoru: wobec podmiotów kluczowych organ może prowadzić kontrolę z urzędu, wobec podmiotów ważnych działa co do zasady wtedy, gdy pojawi się sygnał o naruszeniu. Różne są też górne granice kar.

Termin minął 3 października 2026 r. Wynosił 6 miesięcy od wejścia w życie nowelizacji, która zaczęła obowiązywać 3 kwietnia 2026 r. Firmy, które wniosku nie złożyły, składają go po terminie.

Wniosek składa się do ministra właściwego do spraw informatyzacji. Zawiera dane podmiotu, wskazanie sektora i podsektora z załącznika, dane osoby odpowiedzialnej za kontakt oraz, co bywa zaskoczeniem, wykaz adresów IP i nazw domen wykorzystywanych do świadczenia usługi. Zebranie tych danych zwykle wymaga sprawdzenia, co firma faktycznie wystawia do internetu.

Termin wpisu minął 3 października 2026 r., więc wniosek trzeba złożyć po terminie.

Wpis po terminie jest nadal możliwy i obowiązkowy, a obowiązki z art. 8 nie zależą od wpisu.

Kwalifikację z wnioskiem składanym po terminie przygotowuję w tej samej formie i cenie: 1 200 zł netto, odpowiedź w 24 godziny robocze.

Termin wdrożenia systemu zarządzania bezpieczeństwem informacji to 3 kwietnia 2027 r., czyli 12 miesięcy od wejścia w życie nowelizacji.

To znacznie więcej pracy niż wniosek o wpis. Wdrożenie obejmuje analizę ryzyka, procedury obsługi incydentów, monitoring, kopie zapasowe z testem odtworzenia, kontrolę dostępu i zarządzanie podatnościami, w wersji udokumentowanej, którą da się przedstawić organowi nadzoru. W firmie zatrudniającej od 50 do 250 osób rozsądny harmonogram to od trzech do sześciu miesięcy pracy, więc start w okolicach końca 2026 roku jest ostatnim komfortowym momentem.

Ustawa przenosi odpowiedzialność za wdrożenie środków bezpieczeństwa wprost na kierownika podmiotu, czyli zarząd lub właściciela. Nie da się jej scedować na dział IT ani na zewnętrznego dostawcę. Kierownik ma też obowiązek odbycia szkolenia z zakresu cyberbezpieczeństwa i okresowego jego powtarzania.

Przepisy przewidują kary pieniężne wobec podmiotu oraz odrębną karę pieniężną wobec kierownika podmiotu, liczoną jako wielokrotność jego wynagrodzenia. W przypadku podmiotów kluczowych organ nadzoru może dodatkowo orzec czasowy zakaz pełnienia funkcji kierowniczych.

W praktyce ważniejsze od wysokości kar jest to, czego dotyczy kontrola: organ pyta o dowody, nie o deklaracje. Zapis w polityce, że kopie są testowane, nic nie znaczy bez protokołu z testu odtworzenia.

RODO chroni dane osobowe. Ustawa o KSC chroni ciągłość świadczenia usługi, a w firmie produkcyjnej usługą jest zdolność do wytwarzania i dostarczania wyrobu. Zatrzymanie linii przez ransomware to zdarzenie z zakresu ustawy o KSC nawet wtedy, gdy nie wyciekły żadne dane osobowe.

Różnią się też terminy zgłoszeń i adresat: RODO to 72 godziny do Prezesa UODO, ustawa o KSC to wczesne ostrzeżenie w 24 godziny i pełne zgłoszenie w 72 godziny do właściwego CSIRT. Część dokumentacji można wykorzystać wspólnie, na przykład rejestr aktywów i procedurę postępowania z naruszeniem, ale zakresy nie pokrywają się w całości.

Nie. Uzupełniam ją o kompetencję, której zwykle nie ma w utrzymaniu: monitoring bezpieczeństwa i dokumentowanie zgodności. Firma IT dalej odpowiada za serwery, sieć, pocztę i helpdesk.

W praktyce pracuję z administratorem po stronie klienta lub z jego dostawcą IT: ja wskazuję, co ma być zebrane i wykryte, oni znają środowisko. Konfiguracje, które wprowadzam, zostają udokumentowane i przekazane. Nie buduję zależności od siebie. Jeżeli klient zdecyduje się zakończyć współpracę, dostaje działający system i opis, jak go utrzymać.

To bardzo dobry punkt wyjścia: analiza ryzyka, polityki i przeglądy zarządzania zwykle są już na miejscu i można je uznać za dowód dla kilku środków z art. 8. Ale certyfikat sam w sobie nie jest równoznaczny ze zgodnością z ustawą.

Najczęstsze luki w firmach z ISO 27001: brak technicznego monitoringu zdarzeń z retencją odporną na modyfikację, brak przetestowanego odtworzenia z kopii i brak gotowej ścieżki zgłoszenia incydentu do CSIRT w wymaganym czasie. Ocena zgodności pokazuje, które elementy systemu ISO można wprost przenieść, a co trzeba dobudować.

Nie. Pracuję na Wazuh, otwartej platformie SIEM/XDR bez opłat licencyjnych za punkt końcowy. Koszt to serwer (zwykle maszyna wirtualna w istniejącej infrastrukturze lub niewielki serwer dedykowany), przestrzeń na dane i praca nad regułami wykrywania.

Dla firmy zatrudniającej od 50 do 250 osób oznacza to zwykle rząd wielkości kilku tysięcy złotych na start infrastruktury, a nie kilkudziesięciu tysięcy rocznie za licencje. Jeżeli firma ma już Microsoft 365 w planie zawierającym logi audytowe, wykorzystuję to, co jest, zamiast dokładać drugie źródło.

To normalna sytuacja i ustawa jej nie ignoruje: środki mają być proporcjonalne do ryzyka i uwzględniać stan techniki oraz koszt wdrożenia. Stacja sterująca na starym systemie operacyjnym, której producent maszyny nie pozwala aktualizować, nie jest naruszeniem samym w sobie.

Naruszeniem jest brak świadomej decyzji. Rozwiązaniem jest udokumentowane ryzyko, segmentacja sieci odcinająca ten segment od reszty, ograniczenie dostępu zdalnego serwisu do okna czasowego i monitorowanie ruchu do i z tego segmentu. To wszystko da się pokazać kontrolerowi jako środek kompensujący.

Tak, ale w 24 godzinach mieści się wczesne ostrzeżenie, czyli krótka informacja, że wystąpił incydent poważny, wraz ze wstępną oceną, czy ma charakter złośliwy i czy może mieć skutki transgraniczne. Pełne zgłoszenie z oceną skutków składa się w ciągu 72 godzin, a sprawozdanie końcowe zwykle w ciągu miesiąca.

Praktyczny wniosek jest taki, że decyzję trzeba podjąć w nocy albo w weekend, na podstawie niepełnych danych. Dlatego przy wdrożeniu przygotowuję kartę decyzyjną z progami klasyfikacji i gotowymi formularzami, żeby kierownik nie zaczynał od czytania ustawy.

Kwalifikacja z wnioskiem o wpis: 1 200 zł netto, cena stała. Jeżeli firma nie podlega ustawie, pisemne uzasadnienie kosztuje tyle samo. Faktura VAT po przesłaniu notatki i wniosku, termin płatności 7 dni.

Ocena zgodności technicznej: od 8 000 do 12 000 zł netto, w zależności od liczby lokalizacji i systemów. Cena jest znana z góry, przed rozpoczęciem pracy.

Wdrożenie wyceniam dopiero po ocenie, bo bez znajomości środowiska każda kwota byłaby zgadywaniem. Monitoring w abonamencie wyceniam od liczby monitorowanych źródeł zdarzeń i wymaganej retencji. Jeżeli firma zdecyduje się na wdrożenie w ciągu 60 dni od odbioru raportu, koszt oceny pomniejsza wycenę wdrożenia.

Częściowo. Odpowiadam za warstwę techniczną i faktograficzną: sektor, rzeczywisty zakres świadczonej usługi, systemy, adresy IP i domeny, dane potrzebne do wniosku. Kwalifikację prawną podmiotu, a szczególnie sytuacje sporne, jak grupy kapitałowe, spółki zależne czy działalność mieszczącą się w kilku sektorach, zawsze potwierdzam we współpracy z radcą prawnym.

Pisemną kwalifikację z wypełnionym wnioskiem o wpis można zamówić jako osobną usługę, bez rozmowy i bez wizyty.

Nie świadczę pomocy prawnej i nie wydaję opinii prawnych. Taki podział jest uczciwszy wobec klienta i bezpieczniejszy dla niego.

Tak, w zakresie, który decyduje o wyniku. Dane przedsiębiorstw powiązanych sumuje się w całości, a partnerskich proporcjonalnie do udziału, według unijnej definicji MŚP. Pominięcie grupy to najczęstszy powód błędnej kwalifikacji, dlatego formularz pyta o nią wprost, a dane pozostałych spółek ustalam mailem.

Notatka i wniosek dotyczą spółki wskazanej w formularzu. Jeżeli wniosek ma złożyć kilka spółek z grupy, każda potrzebuje własnej notatki i własnego wniosku. Zakres i cenę dla grupy ustalamy wtedy mailem, przed rozpoczęciem pracy.

Faktura VAT po przesłaniu notatki i wniosku, termin płatności 7 dni. Nie pobieram przedpłaty: najpierw dostają Państwo notatkę i wypełniony wniosek, potem fakturę.

Cena jest stała i znana z góry: 1 200 zł netto. Jeżeli firma nie podlega ustawie, pisemne uzasadnienie kosztuje tyle samo.

Bo do odpowiedzi wystarczą dane, które da się podać w formularzu: NIP lub KRS, PKD, zatrudnienie, przychody, suma bilansowa i powiązania kapitałowe. Rozmowa nic do nich nie dodaje, a po terminie wpisu liczy się każdy dzień zwłoki.

Odpowiedź na piśmie ma też drugą zaletę: zostaje w dokumentacji. Przy kontroli pytanie, dlaczego firma uznała się za podmiot ważny, a nie kluczowy, jest naturalne, a datowana notatka z uzasadnieniem jest na nie gotową odpowiedzią.

Rozmowa wstępna nadal jest bezpłatna i dostępna dla tych, którzy wolą od niej zacząć.

Świadcząc monitoring bezpieczeństwa w modelu abonamentowym, działam jako dostawca usług zarządzanych w zakresie cyberbezpieczeństwa. Ustawa nakłada na takich dostawców własne obowiązki, między innymi w zakresie bezpieczeństwa świadczonej usługi i współpracy przy obsłudze incydentów.

Dla klienta ma to praktyczne znaczenie w dwóch miejscach: po pierwsze, umowa musi opisywać zakres i sposób świadczenia usługi tak, żeby dało się to wykazać przy kontroli; po drugie, relacja z dostawcą podlega ocenie w ramach bezpieczeństwa łańcucha dostaw, po obu stronach.

Umowa o zachowaniu poufności podpisywana jest przed pierwszą wizytą, przed jakimkolwiek dostępem do danych. Podczas oceny pracuję na kontach o uprawnieniach do odczytu, w towarzystwie administratora klienta, i nie wprowadzam zmian w konfiguracji bez pisemnej zgody.

Przy monitoringu dostęp jest imienny, rejestrowany i ograniczony do systemu zbierania zdarzeń. Raporty i materiały dowodowe pozostają własnością klienta. Nie wykorzystuję nazw klientów w materiałach marketingowych bez ich pisemnej zgody. Dlatego na tej stronie nie ma listy logotypów.