Od kiedy obowiązują nowe przepisy?
Unijna dyrektywa NIS2 miała zostać wdrożona przez państwa członkowskie do października 2024 r. Polska, podobnie jak większość krajów UE, nie dotrzymała tego terminu. Proces legislacyjny zakończył się dopiero na początku 2026 roku: Sejm uchwalił nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) 23 stycznia 2026 r., Senat przyjął ją bez poprawek tydzień później, a Prezydent podpisał ustawę 19 lutego 2026 r.
Nowelizacja UKSC weszła w życie 3 kwietnia 2026 r. To nie jest zupełnie nowa ustawa. Jest to rozszerzenie regulacji obowiązującej od 2018 roku. Wdrażała ona pierwotną dyrektywę NIS. Skala zmiany jest jednak ogromna. Dotychczasowa ustawa obejmowała około 400 operatorów usług kluczowych. Nowelizacja rozszerza ten krąg na ponad 42 tysiące podmiotów. Są wśród nich m.in: gospodarka odpadami i ściekami, usługi ICT, przestrzeń kosmiczna, poczta i kurierzy, produkcja chemikaliów i żywności, działalność badawczo-naukowa.
Podmioty muszą same ocenić (tzw. samoidentyfikacja), czy spełniają kryteria „podmiotu kluczowego” lub „podmiotu ważnego”. Musza zgłosić się do właściwego wykazu. Na dopełnienie tej formalności organizacje mają czas do 3 października 2026 r. (6 miesięcy od wejścia ustawy w życie). Na pełne wdrożenie obowiązków związanych m.in. z zarządzaniem bezpieczeństwem i procedurami incydentowymi – do 3 kwietnia 2027 r. Kary finansowe będą egzekwowane dopiero po 3 kwietnia 2028 r., co ma dać firmom czas na rzetelne przygotowanie, a nie działanie pod presją.
Od kiedy należy zgłaszać incydenty?
Generalnie dla większości podmiotów będzie to 3 kwietnia 2026 r.
Art. 11 określa treść obowiązku: wczesne ostrzeżenie w 24h, zgłoszenie w 72h, sprawozdanie końcowe w miesiąc – oraz komu to zgłosić (CSIRT sektorowy). To jest przepis materialny – definiuje samą procedurę, ale sam z siebie nie mówi, od kiedy konkretny podmiot ma zacząć go stosować.
Tu jest istotny szczegół, który łatwo przeoczyć. Art. 11 znajduje się w rozdziale 3 ustawy („Obowiązki podmiotów kluczowych lub podmiotów ważnych”), a rozdział ten zamyka art. 16 UKSC, który mówi:
Podmiot kluczowy lub ważny realizuje obowiązki, o których mowa w niniejszym rozdziale, w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.
Czyli co do zasady (dla podmiotu, który dopiero staje się podmiotem kluczowym/ważnym) obowiązek zgłaszania incydentów z art. 11 wchodzi w życie po 12 miesiącach od spełnienia kryteriów – a nie natychmiast.
Dlaczego więc dla wszystkich „od 3.04.2026”?
Właśnie dlatego, że reguła 12-miesięcznego vacatio z art. 16 dotyczy nowych podmiotów (tych, które dopiero zaczynają spełniać kryteria po wejściu w życie nowelizacji). Natomiast dla podmiotów, które już wcześniej były operatorami usług kluczowych na starych zasadach (przed nowelizacją), ustawodawca w przepisach przejściowych ustawy nowelizującej (a nie w samym UKSC) każe im stosować nowy reżim zgłaszania incydentów od razu z dniem wejścia w życie nowelizacji, czyli od 3.04.2026 – bez 12-miesięcznego okresu przejściowego z art. 16.
Do kogo zgłaszać incydenty?
Zgłoszenia trafiają do Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT (Computer Security Incident Response Team) właściwych dla danego podmiotu:
- jeśli dla danego sektora działa CSIRT sektorowy (np. CSIRT CeZ dla ochrony zdrowia) – zgłoszenie kierowane jest w pierwszej kolejności do niego, a on przekazuje je do CSIRT-u krajowego w ciągu 8 godzin;
- jeśli sektorowego CSIRT nie ustanowiono – zgłoszenie trafia bezpośrednio do właściwego CSIRT-u poziomu krajowego: CSIRT NASK (większość przedsiębiorców i sektor cywilny), CSIRT GOV (administracja publiczna, infrastruktura krytyczna) lub CSIRT MON (sektor obronny).
Docelowym, jednolitym kanałem zgłoszeniowym ma być system teleinformatyczny S46. Ma być dostępny przez portal gov.pl, który automatycznie kieruje zgłoszenie do właściwego zespołu i pozwala na dalszą komunikację z CSIRT-em w toku obsługi incydentu. Dopóki korzystanie z S46 nie jest dla wszystkich obowiązkowe, incydenty można też zgłaszać innymi kanałami wskazanymi przez poszczególne zespoły – np. przez formularz na incydent.cert.pl lub e-mailem na cert@cert.pl (CSIRT NASK), albo przez formularz na csirt.gov.pl (CSIRT GOV).
Podmioty sektora finansowego będące jednocześnie podmiotami kluczowymi lub ważnymi raportują poważne incydenty ICT zgodnie z unijnym rozporządzeniem DORA, a nie przez system S46 – to rozwiązanie ma zapobiec podwójnemu raportowaniu tego samego zdarzenia.
Warto pamiętać, że jeśli incydent wiąże się z naruszeniem danych osobowych, równolegle trzeba zgłosić go także do UODO w ciągu 72 godzin. Zgodnie z RODO, niezależnie od obowiązków wynikających z UKSC.
Terminy zgłaszania incydentu poważnego
Ustawa przewiduje trzyetapowy model raportowania, tożsamy z terminami znanymi z NIS2 i DORA:
- Wczesne ostrzeżenie – w ciągu 24 godzin od wykrycia incydentu poważnego. To krótka informacja sygnalizująca, że coś się wydarzyło, ewentualnie z prośbą do CSIRT o wytyczne lub wsparcie.
- Zgłoszenie incydentu poważnego – w ciągu 72 godzin od wykrycia, już z pełniejszym opisem sytuacji.
- Sprawozdanie końcowe – w ciągu miesiąca od dokonania zgłoszenia, podsumowujące całe zdarzenie i jego skutki.
Obowiązek zgłoszenia dotyczy incydentów poważnych, czyli takich, które realnie i znacząco wpływają na świadczenie usługi przez podmiot. Same potencjalne zagrożenia czy zdarzenia bez realnego wpływu na ciągłość działania nie podlegają temu obowiązkowi.
Jak opisać incydent w zgłoszeniu?
Zgłoszenie powinno być na tyle konkretne, żeby CSIRT mógł ocenić skalę zagrożenia i ewentualnie szybko zareagować. W praktyce dobrze przygotowany opis zawiera:
- dane zgłaszającego – nazwę podmiotu, numer w odpowiednim rejestrze, siedzibę i adres;
- dane osoby kontaktowej – imię i nazwisko, numer telefonu, adres e-mail osoby dokonującej zgłoszenia (i osoby wyznaczonej do kontaktów z KSC, jeśli to ktoś inny);
- szczegółowy opis incydentu – co się stało, kiedy je wykryto, jakie systemy lub usługi zostały dotknięte;
- przyczynę i źródło incydentu, o ile jest już znane na danym etapie;
- skutki i skalę oddziaływania – np. liczbę użytkowników dotkniętych przerwą w usłudze, czas trwania niedostępności, ewentualny wpływ transgraniczny (na inne kraje UE);
- podjęte i planowane działania naprawcze – co zrobiono, by ograniczyć skutki i przywrócić normalne działanie usługi.
Nie trzeba czekać, aż wszystkie te informacje będą kompletne – wczesne ostrzeżenie może być bardzo zwięzłe, a szczegóły uzupełnia się w kolejnych, przewidzianych ustawą etapach zgłoszenia.
Co warto zrobić już teraz?
Firmy, które jeszcze nie sprawdziły swojego statusu, powinny w pierwszej kolejności ustalić, czy kwalifikują się jako podmiot kluczowy lub ważny, a jeśli tak – zarejestrować się we właściwym wykazie przed październikowym terminem. Równolegle warto już opracować (lub zaktualizować) wewnętrzną procedurę reagowania na incydenty, tak by w razie realnego zdarzenia zespół wiedział, do kogo zgłosić incydent, w jakim terminie i jakie informacje przygotować – bez improwizacji pod presją 24-godzinnego zegara.