Nowelizacja ustawy o KSC (NIS2): harmonogram i obowiązki
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) wdraża do polskiego prawa dyrektywę NIS2 i weszła w życie 3 kwietnia 2026 r. Znacząco rozszerza katalog podmiotów objętych systemem — w tym administrację publiczną — i wprowadza konkretne obowiązki oraz terminy. Poniżej zwięzły harmonogram i co on oznacza dla sektora publicznego.
Co zmienia nowelizacja
Ustawa dostosowuje polskie przepisy do europejskiego standardu NIS2. Wprowadza podział na podmioty kluczowe i podmioty ważne, rozszerza system o kolejne sektory (m.in. zarządzanie usługami ICT, komunikacja elektroniczna, przestrzeń kosmiczna, usługi pocztowe, gospodarowanie odpadami i ściekami, produkcja i dystrybucja żywności) oraz nakłada obowiązki z zakresu zarządzania ryzykiem i ciągłości działania.
Dla instytucji publicznych kluczowa jest jedna rzecz: administracja publiczna jest objęta zakresem ustawy. Cyberbezpieczeństwo przestaje być kwestią dobrej praktyki, a staje się obowiązkiem prawnym z wyznaczonymi terminami, nadzorem i odpowiedzialnością kierownictwa.
Harmonogram terminów
Wejście w życie dyrektywy NIS2
Dyrektywa (UE) 2022/2555 ustanawia nowy, wyższy standard cyberbezpieczeństwa w Unii i zobowiązuje państwa członkowskie do jej wdrożenia.
Wejście w życie nowelizacji ustawy o KSC
Polska implementacja NIS2 zaczyna obowiązywać. Od tego dnia biegną terminy na identyfikację, rejestrację i dostosowanie się podmiotów.
Samoidentyfikacja i rejestracja
Ostateczny termin na samodzielną ocenę i złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych w systemie S46.
Dostosowanie systemów i procedur
Termin na wdrożenie systemu zarządzania bezpieczeństwem informacji oraz dostosowanie procedur i struktur organizacyjnych do wymogów ustawy.
Pełne stosowanie kar pieniężnych
W większości przypadków administracyjne kary pieniężne będą mogły być nakładane dopiero po upływie dwóch lat od wejścia w życie przepisów.
Terminy odzwierciedlają stan wynikający z nowelizacji ustawy o KSC oraz komunikatów urzędowych z 2026 r. i mogą podlegać doprecyzowaniu w aktach wykonawczych.
Najważniejsze obowiązki
- Zarządzanie ryzykiem — wdrożenie adekwatnych, proporcjonalnych do ryzyka środków technicznych i organizacyjnych oraz zapewnienie ciągłości działania.
- Zgłaszanie incydentów — obsługa i raportowanie incydentów w reżimie NIS2 (wczesne ostrzeżenie oraz zgłoszenie właściwego incydentu w wyznaczonych terminach) do właściwego CSIRT.
- Rejestracja w wykazie — wpis do systemu S46 po samoidentyfikacji.
- Audyty — pierwszy audyt w określonym terminie od uznania za podmiot kluczowy, a następnie cyklicznie.
- Odpowiedzialność kierownika podmiotu — nadzór nad realizacją zadań z zakresu cyberbezpieczeństwa, obowiązkowe szkolenia oraz osobista odpowiedzialność, w tym ryzyko kar finansowych za niedopełnienie obowiązków.
Co to oznacza dla administracji publicznej
Urzędy, samorządy i instytucje publiczne muszą traktować dane, dokumenty i systemy — w tym narzędzia AI — jako element systemu bezpieczeństwa, który podlega ocenie, nadzorowi i rozliczalności. Wybór narzędzi cyfrowych powinien uwzględniać kontrolę nad danymi, możliwość audytu i elastyczne modele wdrożenia.
Jak podchodzi do tego Splot
Splot jest projektowany z myślą o pracy publicznej w takich właśnie warunkach: kontrola nad danymi, rozliczalność decyzji i wdrożenie tam, gdzie potrzebuje tego instytucja — chmura europejska, on-premise lub środowisko odseparowane (air-gapped). Odpowiedzi można powiązać ze zatwierdzonymi źródłami, a człowiek pozostaje odpowiedzialny za decyzje. To podejście spójne z duchem NIS2: bezpieczeństwo wbudowane w proces, a nie doklejone po fakcie.
Porozmawiajmy o bezpiecznym wdrożeniu AI
Źródło: Portal Gov.pl — Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Baza wiedzy). Artykuł ma charakter informacyjny i nie stanowi porady prawnej.