Artykuł pochodzi z wydania: Wrzesień 2026
Nowe przepisy weszły w życie 3 kwietnia 2026 r. i objęły administrację publiczną na niespotykaną dotąd skalę. Oznacza to koniec ery, w której o poziomie zabezpieczeń urzędu decydował wyłącznie zdrowy rozsądek informatyka.
Kiedy rozmawia się dziś z osobami odpowiedzialnymi za IT w samorządach, wraca ten sam zestaw pytań. Czy nasz urząd w ogóle podlega nowym przepisom? Kto ma się tym zająć? I czy zdążymy przed karami? Wokół NIS 2 narosło kilka mitów, które trzeba obalić. Pierwszy sprowadza dyrektywę do kwestii ochrony infrastruktury krytycznej (np. elektrowni, wodociągów, sieci przesyłowych), a więc czegoś, co „nas nie dotyczy”. Drugi każe wierzyć, że skoro nikt z ministerstwa nie przysłał pisma, to jednostka pozostaje poza zakresem regulacji. Oba mogą słono kosztować.
Rzeczywistość jest taka, że nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (DzU z 2026 r.; poz. 252; dalej: uoksc) przeniosła ciężar dbania o bezpieczeństwo informacji z poziomu technicznego na zarządczy. Firewall, kopie zapasowe i program antywirusowy nadal są potrzebne, ale to nie one przesądzają o zgodności. Przesądza o niej uporządkowany, udokumentowany i realnie działający System Zarządzania Bezpieczeństwem Informacji (dalej: SZBI) oraz osoba, która za ten system bierze osobistą odpowiedzialność. W urzędzie tą osobą jest jego kierownik, czyli wójt, burmistrz, prezydent miasta, starosta bądź dyrektor jednostki.Przyjrzyjmy się zatem, co dokładnie się zmieniło, gdzie kryją się największe pułapki wdrożeniowe i od czego zacząć, by nie potraktować całej sprawy jak kolejnego biurokratycznego obowiązku do odhaczenia.
Nowe reguły gry
Dyrektywa NIS z 2016 r. była pierwszą próbą uregulowania cyberbezpieczeństwa w skali całej Unii, ale szybko okazało się, że pozostawia państwom członkowskim zbyt dużo swobody. Każdy kraj po swojemu wyznaczał operatorów usług kluczowych, inaczej definiował progi istotności incydentów i z różną determinacją egzekwował obowiązki. Poziomy ochrony w poszczególnych państwach różniły się coraz bardziej, a cyberprzestępcy chętnie wykorzystywali najsłabsze ogniwa. W tym samym czasie krajobraz zagrożeń zmienił się nie do poznania. Ataki ransomware paraliżowały szpitale, kampanie wymierzone w łańcuchy dostaw oprogramowania dotykały jednocześnie tysięcy organizacji, a samorządy stały się łakomym celem dla grup szukających łatwego łupu.
Odpowiedzią stała się dyrektywa NIS 2, przyjęta 14 grudnia 2022 r. Rozszerzyła ona katalog objętych sektorów, ujednoliciła kryteria kwalifikacji, zaostrzyła nadzór i, co dla administracji publicznej najistotniejsze, wprost obciążyła kierownictwo odpowiedzialnością za stan zabezpieczeń. Polska miała czas na transpozycję do 17 października 2024 r., lecz termin ten minął bez większego echa i jakichkolwiek działań ustawodawczych. Ustawa wdrażająca dyrektywę, nowelizacja uoksc, została ogłoszona w Dzienniku Ustaw dopiero 2 marca br. i weszła w życie 3 kwietnia. Zmieniła ona ustawę z 5 lipca 2018 r.
Najbardziej widoczną zmianą jest nowy sposób klasyfikowania organizacji. Dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych zastąpiono dwiema kategoriami – podmiotami kluczowymi i podmiotami ważnymi. O przypisaniu do jednej z nich decydują sektor działalności wskazany w załącznikach nr 1 i 2, wielkość organizacji oraz rodzaj świadczonych usług, a reguły te precyzuje art. 5 ustawy. Administracja publiczna, zarówno rządowa, jak i samorządowa, trafiła do sektorów kluczowych wymienionych w załączniku nr 1. Właściwym zespołem reagowania jest dla niej CSIRT GOV, działający przy Szefie Agencji Bezpieczeństwa Wewnętrznego, co odróżnia urzędy od podmiotów prywatnych obsługiwanych przez CSIRT NASK.
Skala rozszerzenia objętych ustawą podmiotów robi wrażenie. Ustawa z 2018 r. obejmowała w praktyce ok. 400 organizacji. Po nowelizacji Ministerstwo Cyfryzacji szacuje, że w zakresie regulacji znajdzie się blisko 38 tys. podmiotów, z czego ok. 27 tys. to jednostki publiczne, takie jak urzędy, szpitale, uczelnie czy samorządy. Pozostałą część, ponad 10 tys., tworzą przedsiębiorstwa prywatne. Za tak gwałtownym wzrostem liczby podmiotów objętych regulacjami stoi kilka mechanizmów – poszerzenie listy sektorów, wprowadzenie progu wielkości (co do zasady powyżej 50 pracowników lub 10 mln euro obrotu, z wyjątkami dla sektorów najbardziej krytycznych) oraz – co jest nowością o fundamentalnym znaczeniu – przerzucenie na same podmioty wymogu identyfikacji.
Ustawodawca rozłożył wdrażanie obowiązków w czasie. Na złożenie wniosku o wpis do wykazu podmiotów ważnych i kluczowych (dalej: wykaz KSC) podmioty mają sześć miesięcy od spełnienia przesłanek, czyli dla większości termin ten upływa 3 października br. Pełne wdrożenie SZBI oraz pozostałych wymogów rozdziału 3 ustawy powinno nastąpić w ciągu 12 miesięcy, czyli do 3 kwietnia 2027 r. Podmioty kluczowe muszą dodatkowo przejść pierwszy audyt najpóźniej do 3 kwietnia 2028 r. Od tej samej daty organy nadzorcze mogą nakładać kary pieniężne. Trzeba jednak pamiętać, że odpowiedzialność kierownictwa oraz obowiązek zgłaszania incydentów obowiązują od pierwszego dnia obowiązywania ustawy, a więc od 3 kwietnia br. Wpis do wykazu w przypadku podmiotów publicznych i telekomunikacyjnych ruszył z urzędu już 13 kwietnia, a możliwość samodzielnej rejestracji uruchomiono 7 maja.
Samoidentyfikacja, czyli najtrudniejszy pierwszy krok
Największym wyzwaniem na starcie nie jest zakup narzędzi ani nawet napisanie polityk, tylko prawidłowe rozstrzygnięcie, czy i w jakim charakterze urząd podlega ustawie. Brzmi banalnie, dopóki nie zajrzy się do załączników. Gmina prowadzi ujęcie wody, oczyszczalnię ścieków, zarządza siecią oświetleniową, świadczy e-usługi dla mieszkańców i przetwarza ich dane, a każda z tych działalności może zostać przypisana do innego sektora i innego reżimu obowiązków. Samoidentyfikacja polega właśnie na zmapowaniu realnie świadczonych usług na sektory z załączników nr 1 i 2, zestawieniu ich z kryterium wielkości i stwierdzeniu, czy jednostka jest podmiotem kluczowym, ważnym czy pozostaje poza zakresem. Warto dodać, że mnogość wpisów PKD (Polska Klasyfikacja Działalności) nie jest podstawą do wyłączenia się z obowiązków ustawowych; bywa raczej powodem, dla którego dotyczą one urzędu w kilku sektorach jednocześnie.
Skutkiem pozytywnej samoidentyfikacji jest wpis do wykazu KSC. Dokonuje się go wyłącznie elektronicznie, z użyciem kwalifikowanego podpisu, a wniosek zawiera oświadczenie składane pod rygorem odpowiedzialności karnej. Wykaz nie jest zwykłą listą – gromadzi rozbudowany zestaw danych, takich jak nazwę i sektory działalności, adresy, numery REGON i NIP, wykorzystywane domeny oraz zakresy adresów IP, a także dane co najmniej dwóch osób do kontaktu z krajowym systemem cyberbezpieczeństwa. To właśnie z tego rejestru korzysta później państwo, kierując do podmiotu ostrzeżenia, komunikaty i żądania.
Odpowiedzialność za poprawność zgłoszenia spoczywa na kierowniku jednostki. I tu pojawia się pierwsza poważna pułapka. Organ nadzorczy nie ma obowiązku informowania urzędu, że objęły go nowe przepisy. Nikt nie przyśle pisma z wezwaniem do rejestracji. Jeżeli gmina błędnie uzna, że jej to nie dotyczy, a po kontroli okaże się inaczej, brak wpisu w terminie zostanie potraktowany jako naruszenie prawa. Ciężar rozstrzygnięcia, często niejednoznacznego prawnie, ustawodawca przełożył na barki samych zainteresowanych.
W praktyce najczęściej powtarza się kilka błędów. Pierwszy to założenie, że mały urząd jest automatycznie zwolniony z obowiązków ustawowych. Próg wielkości bywa mylony z liczbą etatów w dziale IT zamiast w całej jednostce, a w części sektorów kryterium wielkości w ogóle nie obowiązuje. Drugi to przekonanie, że posiadany certyfikat ISO/IEC 27001 albo wcześniejsze obowiązki z krajowych ram interoperacyjności zdejmują potrzebę rejestracji – nie zdejmują. Trzeci, najbardziej organizacyjny, to rozproszenie kompetencji. Rzetelna samoidentyfikacja wymaga wiedzy o wszystkich usługach jednostki, a ta wiedza jest rozsiana między dział IT, sekretarza, audyt wewnętrzny oraz kierownictwo. Do tego dochodzi banalny, lecz powszechny problem, czyli brak kompletnej i aktualnej dokumentacji procesów, bez której mapowanie usług zamienia się w zgadywankę.
[…]
Jan Domański
Autor jest specjalistą IT związanym zawodowo z sektorem publicznym.
