Krajowy System Cyberbezpieczeństwa i ustawa KSC – przewodnik 2026

Krajowy System Cyberbezpieczeństwa (KSC) to polskie ramy obowiązków w zakresie cyberbezpieczeństwa dla wskazanych podmiotów. Nowelizacja ustawy o KSC wdraża dyrektywę NIS2 do polskiego porządku prawnego i porządkuje terminy, kwalifikację podmiotów oraz wymagania dotyczące SZBI, incydentów i audytów.

W praktyce rozmowa o „NIS2 w firmie” w Polsce najczęściej oznacza właśnie pracę z ustawą KSC: ustalenie, czy podmiot podlega, jaki ma status, jakie ma terminy oraz jakie obowiązki trzeba wdrożyć organizacyjnie i technicznie.

Sprawdź, czy ustawa może dotyczyć Twojej firmyZobacz najważniejsze terminy

Najważniejsze terminy KSC

  1. 3.04.2026

    Wejście w życie nowelizacji ustawy o KSC.

  2. 3.10.2026

    Termin wpisu do Wykazu KSC dla podmiotów, które spełniały przesłanki w dniu wejścia w życie (3.04.2026). Ogólna zasada: 6 miesięcy od spełnienia przesłanek.

  3. 3.04.2027

    Dla początkowej grupy podmiotów: czas na wdrożenie obowiązków i rozpoczęcie korzystania z Systemu S46.

  4. 3.04.2028

    Pierwszy termin audytu dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych. Dotychczasowi OUK zachowują dotychczasowy trzyletni cykl.

  5. 3.04.2028

    Początek obowiązywania przepisów o karach.

Kogo dotyczy ustawa KSC?

  • Działalność wskazana w załączniku nr 1 lub nr 2 do ustawy
  • Kryteria wielkości przedsiębiorstwa (średnie / duże), tam gdzie ustawa je wymaga
  • Uwzględnienie przedsiębiorstw partnerskich i powiązanych przy ocenie wielkości
  • Przypadki objęcia niezależnie od wielkości — gdy ustawa tak stanowi
  • Możliwość identyfikacji lub kwalifikacji decyzją właściwego organu w przypadkach przewidzianych ustawą

Samo PKD albo sama liczba pracowników nie wystarczają do oceny. Potrzebna jest analiza faktycznie wykonywanej działalności, sektora, wielkości (z grupą) oraz wyjątków. Formalną kwalifikację warto potwierdzić z doradcą prawnym.

Podmiot kluczowy a podmiot ważny

Poniższa tabela pomaga uporządkować różnice, ale nie zastępuje lektury ustawy ani indywidualnej kwalifikacji. Szczegóły i przykłady ilustracyjne znajdziesz w artykule porównawczym.

Porównanie podmiotu kluczowego i ważnego
ObszarPodmiot kluczowyPodmiot ważny
Podstawa kwalifikacjiArt. 5 KSC + załączniki i kryteria ustawoweArt. 5 KSC + załączniki i kryteria ustawowe
ZałącznikCzęściej powiązany z załącznikiem nr 1 (w typowych scenariuszach)Częściej powiązany z załącznikiem nr 2 (w typowych scenariuszach)
WielkośćZnaczenie ma tam, gdzie ustawa tego wymaga; bywają wyjątki niezależne od wielkościZnaczenie ma tam, gdzie ustawa tego wymaga; bywają wyjątki niezależne od wielkości
Obowiązki wspólne (m.in.)Wykaz KSC, S46, SZBI, ryzyko, dostawcy, incydenty, dokumentacjaWykaz KSC, S46, SZBI, ryzyko, dostawcy, incydenty, dokumentacja
Audyt cyklicznyCo najmniej raz na 3 lataBrak ogólnego obowiązku cyklicznego jak u kluczowego; organ może w określonych przypadkach nakazać audyt

Szczegóły: podmiot kluczowy a podmiot ważny według KSC.

Najważniejsze obowiązki

  • Wpis do Wykazu KSC
  • Korzystanie z Systemu S46 (Cyber Hub) zgodnie z obowiązkami
  • Wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI)
  • Zarządzanie ryzykiem
  • Inwentaryzacja aktywów i usług wspierających świadczenie usługi
  • Bezpieczeństwo łańcucha dostaw
  • Zarządzanie incydentami
  • Raportowanie incydentów poważnych (m.in. 24 h / 72 h / sprawozdanie końcowe)
  • Dokumentacja normatywna i operacyjna oraz dowody działania kontroli
  • Struktura odpowiedzialna za cyberbezpieczeństwo lub umowa z odpowiednim dostawcą
  • Odpowiedzialność i szkolenia kierownika (delegowanie nie zwalnia z odpowiedzialności)
  • Wymagania wobec personelu (w tym art. 8f — z wyjątkami ustawowymi)

Incydent poważny – 24 h, 72 h i miesiąc

Incydent poważny ma definicję ustawową (art. 2 pkt 7 KSC). Nie ma jednego uniwersalnego progu liczbowego „dla wszystkich”. Typowy rytm raportowania obejmuje wczesne ostrzeżenie do 24 godzin, zgłoszenie do 72 godzin oraz sprawozdanie końcowe zasadniczo w terminie miesiąca od zgłoszenia — z uwzględnieniem wyjątków i sytuacji, gdy obsługa nadal trwa.

Przeczytaj pełny przewodnik po zgłaszaniu incydentu poważnego

Czy SIEM wystarczy?

Nie. SIEM może wspierać monitoring ciągły, wykrywanie zdarzeń i zbieranie materiału dowodowego, ale nie zastępuje zarządzania ryzykiem, ciągłości działania, bezpieczeństwa dostawców, procedur, kontroli dostępu, szkoleń ani dokumentacji wymaganej w ramach SZBI.

Zobacz, co obejmuje SZBI według ustawy KSC

Przewodniki KSC

Podmiot kluczowy a ważny

Różnice według art. 5, załączników i kryteriów wielkości — bez uproszczeń „50 osób = KSC”.

Czy firma podlega KSC?

Praktyczna ścieżka samooceny: sektor, załączniki, wielkość, wyjątki i dokumentacja oceny.

Wykaz KSC i System S46

Wniosek, terminy, dane, pełnomocnictwo i dostęp do S46 Cyber Hub.

Incydent poważny 24/72 h

Definicja, etapy zgłoszenia, checklista ról i dowodów.

SZBI według KSC

Zakres kontroli, dowody działania i plan pierwszych 90 dni — także odpowiedź, czy SIEM wystarczy.

Jak DevSentinel może pomóc

  • Ocena stanu i luk w uzgodnionym zakresie
  • Mapa usług, systemów i odpowiedzialności
  • Plan wdrożenia SZBI i priorytetów
  • Dokumentacja oraz procesy (normatywne i operacyjne)
  • Playbook i proces zgłaszania incydentów
  • Przygotowanie do audytu
  • Techniczne działania naprawcze (hardening, monitoring, backupy, poprawki aplikacyjne)

Nie oferuję formalnej porady prawnej ani gwarancji zgodności, certyfikacji albo pozytywnego wyniku kontroli. Formalna kwalifikacja podmiotu powinna zostać potwierdzona z właściwym doradcą prawnym.

Przejdź do usługi wdrożenia KSC i NIS2

FAQ

Czym różni się KSC od NIS2?

NIS2 to dyrektywa unijna. W Polsce jej wdrożenie realizuje nowelizacja ustawy o KSC — to ona wyznacza lokalne obowiązki, terminy i kwalifikację podmiotów.

Kogo dotyczy ustawa KSC?

Podmioty wskazane ustawą, zwykle poprzez rodzaj działalności (załączniki) oraz — tam gdzie wymagane — kryteria wielkości, z uwzględnieniem wyjątków i decyzji organu.

Czy firma zatrudniająca 50 osób automatycznie podlega KSC?

Nie. Liczba pracowników sama w sobie nie przesądza podlegania. Liczy się działalność, sektor, kryteria wielkości (w tym grupa) oraz wyjątki ustawowe.

Do kiedy trzeba wpisać się do Wykazu KSC?

Dla podmiotów spełniających przesłanki 3.04.2026 r. termin wynosi 3.10.2026 r. Ogólna zasada to 6 miesięcy od spełnienia przesłanek. Samorejestracja jest dostępna od 7.05.2026 r.

Czy podmiot ważny również musi wdrożyć SZBI?

Tak — obowiązki obejmują m.in. SZBI, zarządzanie ryzykiem i incydentami. Różnice dotyczą m.in. cyklicznego audytu podmiotu kluczowego oraz możliwości nakazania audytu podmiotowi ważnemu.

Kto odpowiada za wdrożenie KSC?

Odpowiedzialność spoczywa na kierowniku podmiotu. Delegowanie zadań nie zwalnia z odpowiedzialności. Szkolenie kierownika odbywa się raz w roku i musi być udokumentowane.

Czy SIEM zapewnia zgodność z KSC?

Nie. SIEM wspiera monitoring i wykrywanie, ale nie zastępuje pełnego zakresu SZBI, procesów, dostawców, ciągłości działania i dokumentacji.

Czy każdy podmiot musi przeprowadzać audyt co 3 lata?

Podmiot kluczowy przeprowadza audyt co najmniej raz na 3 lata. Podmiot ważny nie ma tego samego ogólnego obowiązku cyklicznego; organ może jednak w określonych przypadkach nakazać audyt.

Oficjalne źródła