Ustawa o KSC w podmiocie publicznym: obowiązki, terminy i dowody
Nowelizacja wdrażająca NIS2 traktuje podmioty publiczne inaczej niż przedsiębiorstwa: część z nich podlega ustawie niezależnie od wielkości, część trafiła do wykazu z urzędu, a odpowiedzialność kierownika jednostki ma własny limit. Ta strona zbiera warstwę, która dotyczy wyłącznie sektora publicznego.
Podstawą jest ustawa z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, ogłoszona 2 marca 2026 roku w Dzienniku Ustaw pod pozycją 252 i obowiązująca od 3 kwietnia 2026 roku. Pełny test kwalifikacji, różnicę między podmiotem kluczowym a ważnym oraz limity kar rozłożyliśmy w osobnym artykule — tutaj zajmujemy się wyłącznie tym, co odróżnia podmiot publiczny od pozostałych adresatów ustawy.
Podmiot publiczny podlega ustawie niezależnie od wielkości
Dla przedsiębiorstw kwalifikacja opiera się na dwóch przesłankach łącznie: rodzaju działalności z załącznika oraz progu wielkości. Dla części podmiotów publicznych próg zatrudnienia nie ma zastosowania — podmioty publiczne wskazane w załączniku nr 1 do ustawy są objęte niezależnie od skali działalności. Mała gmina nie wypada z zakresu dlatego, że zatrudnia mniej niż pięćdziesiąt osób.
Osobno trzeba sprawdzić drugi tytuł. Jednostka publiczna bywa objęta ustawą nie tylko jako podmiot publiczny, ale również z tytułu sektora, w którym działa — a wtedy zmienia się między innymi limit kary dla kierownika. Typowe przypadki:
- Szpitale i inne podmioty lecznicze — sektor ochrony zdrowia z załącznika nr 1
- Przedsiębiorstwa wodociągowo-kanalizacyjne, w tym spółki komunalne i samorządowe jednostki organizacyjne — zaopatrzenie w wodę pitną oraz odprowadzanie ścieków
- Spółki komunalne z obszaru ciepłownictwa i energetyki — sektor energii
- Miejskie i regionalne przedsiębiorstwa transportowe — sektor transportu
- Jednostki prowadzące rejestry i usługi cyfrowe dla mieszkańców — infrastruktura cyfrowa i zarządzanie usługami ICT
Pełną kwalifikację krok po kroku — z progami zatrudnienia i wpływem powiązań kapitałowych — przeprowadzasz według testu z naszego artykułu o zakresie ustawy:
NIS2 i ustawa o KSC: kogo dotyczy i od kiedyKalendarz terminów
Wszystkie daty liczą się od wejścia ustawy w życie. Harmonogram wpisów do wykazu Minister Cyfryzacji ogłosił odrębnym komunikatem z 8 kwietnia 2026 roku.
| Data | Co się dzieje | Czy dotyczy podmiotu publicznego |
|---|---|---|
| 3 kwietnia 2026 | Nowelizacja wchodzi w życie: nowy katalog podmiotów i nowe definicje | Tak |
| do 6 maja 2026 | Minister wpisuje do wykazu z urzędu m.in. podmioty publiczne oraz dotychczasowych operatorów usług kluczowych | Tak — sprawdź, czy wpis już istnieje i czy dane są poprawne |
| 12 czerwca 2026 | System S46 udostępniony nowym podmiotom do podłączenia | Tak, od tego dnia liczy się realne okno na integrację |
| 3 października 2026 | Termin złożenia wniosku o wpis do Wykazu KSC | Tak, o ile jednostka nie została wpisana z urzędu |
| 3 kwietnia 2027 | Wdrożone obowiązki: SZBI, obsługa incydentów, łańcuch dostaw, podłączenie do S46 | Tak |
| 3 kwietnia 2028 | Pierwszy audyt podmiotu kluczowego i koniec okresu, w którym nie nakłada się kar pieniężnych | Tak, jeżeli jednostka ma status podmiotu kluczowego |
Wpis z urzędu nie zamyka sprawy
- Minister uzupełniał wykaz danymi z rejestrów publicznych, więc część wpisów wymaga poprawienia przez samą jednostkę.
- Wpis do Wykazu KSC to nie to samo co podłączenie do Systemu S46 — to dwa obowiązki z dwoma różnymi terminami.
- Wraz z wnioskiem wyznacza się co najmniej dwie osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa.
- Zmianę danych w wykazie zgłasza się w ciągu 14 dni.
Co jest specyficzne dla podmiotu publicznego
Limit kary dla kierownika jednostki
Ustawa przewiduje karę pieniężną wymierzaną osobiście kierownikowi podmiotu, liczoną jako procent wynagrodzenia. Dla kierownika podmiotu publicznego limit wynosi 100%. Jeżeli jednak ten sam podmiot podlega ustawie również z tytułu innego sektora z załącznika nr 1 lub 2 — a tak jest w przypadku szpitala, wodociągów czy spółki ciepłowniczej — wraca stawka 300%.
Wpis do wykazu z urzędu
Podmioty publiczne znalazły się w grupie wpisywanej do wykazu przez ministra, bez wniosku. Nie zwalnia to jednostki z obowiązku sprawdzenia wpisu: dane zaciągano z rejestrów publicznych, a osoby do kontaktu i zakres usług trzeba zweryfikować samodzielnie.
Równoległy obowiązek z Krajowych Ram Interoperacyjności
Jednostki realizujące zadania publiczne mają odrębny, wcześniejszy obowiązek utrzymywania systemu zarządzania bezpieczeństwem informacji i okresowego audytu wewnętrznego bezpieczeństwa informacji, wynikający z rozporządzenia Rady Ministrów w sprawie Krajowych Ram Interoperacyjności. Ustawa o KSC go nie zastępuje — oba porządki biegną równolegle, a dokumentacja w dużej części może być wspólna.
Odpowiedzialność, której nie da się delegować
Za wykonanie obowiązków ustawowych odpowiada kierownik podmiotu, a członkowie kierownictwa mają obowiązek odbywania szkoleń z cyberbezpieczeństwa. W jednostce publicznej oznacza to wójta, burmistrza, prezydenta, starostę albo dyrektora — nie kierownika działu IT.
Czym wykazuje się zgodność
Kontrola nie ocenia deklaracji, tylko dokumenty i zapisy z systemów. Poniżej to, co w praktyce trzeba mieć przygotowane — uporządkowane według tego, czego najczęściej brakuje.
| Obowiązek | Dowód, który trzeba okazać |
|---|---|
| Kwalifikacja podmiotu | Udokumentowane uzasadnienie statusu wraz z podstawą z załącznika. Pierwszy dokument, o który pyta kontrola, i jedyny, którego nie da się wiarygodnie odtworzyć wstecz. |
| System zarządzania bezpieczeństwem informacji | Polityki z przypisanymi właścicielami, metodyka i wyniki szacowania ryzyka, plan postępowania z ryzykiem oraz zapisy z przeglądów. |
| Obsługa incydentów | Rejestr incydentów, procedura klasyfikacji, ścieżka eskalacji z osobą upoważnioną do podpisania zgłoszenia oraz dowód realnej dostępności poza godzinami pracy. |
| Zgłaszanie incydentów poważnych | Potwierdzenia zgłoszeń do właściwego CSIRT w terminach ustawowych oraz działające podłączenie do Systemu S46. |
| Ciągłość działania | Plan ciągłości, wyniki testowego odtworzenia kopii zapasowych i runbooki z kolejnością uruchamiania systemów. Kopia, której nikt nie odtworzył, jest założeniem, nie zabezpieczeniem. |
| Bezpieczeństwo łańcucha dostaw | Przegląd umów z dostawcami, wymagania bezpieczeństwa w postępowaniach zakupowych i mechanizm ich weryfikacji, w tym prawo do audytu. |
| Odpowiedzialność kierownictwa | Dowody odbycia szkoleń przez kierownictwo oraz zaświadczenia o niekaralności osób realizujących zadania z zakresu bezpieczeństwa. |
| Audyt bezpieczeństwa | Raport z audytu wraz z wykazaniem niezależności audytora od osób wykonujących w jednostce zadania z zakresu cyberbezpieczeństwa. |
Co zmieniło się w zamówieniach publicznych
Nowelizacja ustawy o KSC sięgnęła również do Prawa zamówień publicznych, i to jest zmiana, którą najłatwiej przeoczyć, bo nie ma jej w samej dyrektywie NIS2. Zmieniono art. 226 ust. 1 pkt 17 i dodano pkt 19: zamawiający odrzuca ofertę wykonawcy uznanego za dostawcę wysokiego ryzyka decyzją ministra właściwego do spraw informatyzacji.
Decyzje ogłasza się w Monitorze Polskim i publikuje w Biuletynie Informacji Publicznej ministra. Obie zmiany weszły w życie 3 kwietnia 2026 roku i stosuje się je także do postępowań wszczętych wcześniej, co oznacza, że dotykają również procedur będących w toku.
Dla jednostki publicznej wniosek jest praktyczny: weryfikacja dostawcy przestała być wyłącznie kwestią oceny technicznej i wróciła do procedury odrzucenia oferty. Sprawdzenie statusu producenta warto wpiąć w przygotowanie postępowania, a nie w jego rozstrzygnięcie.
Dostawca też podlega ustawie
Załącznik nr 1 obejmuje zarządzanie usługami ICT, w tym dostawców usług zarządzanych oraz usług zarządzanych w zakresie cyberbezpieczeństwa. Firma prowadząca SOC dla jednostki publicznej sama może być podmiotem objętym ustawą — i jest to pytanie, które warto zadać w postępowaniu, bo dostawca poza zakresem regulacji staje się luką w łańcuchu dostaw zamawiającego.
Po naszej stronie odpowiedź jest udokumentowana: usługa SOC działa w certyfikowanym systemie zarządzania bezpieczeństwem informacji ISO 27001, a zakres certyfikatu obejmuje właśnie tę usługę, nie całą spółkę. Przetwarzanie danych pozostaje na terenie Unii Europejskiej. Inżynierowie prowadzący detekcję i reagowanie mają certyfikaty SentinelOne Paladin i SIREN — jesteśmy jedynym zespołem w Polsce, który ma oba.
Najczęstsze pytania
Czy mała gmina podlega ustawie o KSC?
Podmioty publiczne wskazane w załączniku nr 1 do ustawy podlegają jej niezależnie od wielkości, więc próg zatrudnienia stosowany wobec przedsiębiorstw nie wyłącza małej jednostki. Odrębnie należy sprawdzić, czy jednostka nie jest objęta również z tytułu innego sektora, na przykład jako podmiot odpowiedzialny za zaopatrzenie w wodę.
Czy szpital jest podmiotem kluczowym?
Ochrona zdrowia, w tym podmioty lecznicze, znajduje się w załączniku nr 1, czyli wśród sektorów kluczowych. Przypisanie konkretnego statusu wymaga jednak przeprowadzenia kwalifikacji, ponieważ o zaliczeniu do podmiotów kluczowych albo ważnych decydują dodatkowo przesłanki wielkości oraz kategorie objęte niezależnie od niej. Kwalifikację trzeba przeprowadzić i udokumentować samodzielnie — ustawa opiera się na samoidentyfikacji.
Jednostka została wpisana do wykazu z urzędu. Czy trzeba coś jeszcze zrobić?
Tak. Wpis z urzędu zdejmuje obowiązek złożenia wniosku, ale nie zwalnia z weryfikacji danych — minister uzupełniał wykaz z rejestrów publicznych. Trzeba też wyznaczyć osoby do kontaktu, zgłaszać zmiany danych w ciągu 14 dni oraz odrębnie podłączyć się do Systemu S46, na co termin upływa 3 kwietnia 2027 roku.
Ile wynosi kara dla wójta, burmistrza albo dyrektora jednostki?
Kara wymierzana kierownikowi podmiotu publicznego jest ograniczona do 100% otrzymywanego wynagrodzenia. Jeżeli jednostka podlega ustawie również z tytułu innego sektora z załącznika nr 1 lub 2, limit wraca do 300%. Kara nakładana na kierownika i kara nakładana na podmiot są od siebie niezależne.
Czy audyt KRI wystarczy do wykazania zgodności z ustawą o KSC?
Nie. Obowiązek audytu wewnętrznego bezpieczeństwa informacji wynikający z Krajowych Ram Interoperacyjności i audyt bezpieczeństwa systemu informacyjnego wymagany od podmiotu kluczowego to dwa odrębne obowiązki o różnym zakresie i różnej częstotliwości. Dokumentacja bywa w części wspólna, ale jeden audyt nie zastępuje drugiego.
Czy dostawca usługi SOC sam podlega ustawie o KSC?
Może podlegać. Załącznik nr 1 obejmuje zarządzanie usługami ICT, w tym dostawców usług zarządzanych w zakresie cyberbezpieczeństwa. Dla zamawiającego z sektora publicznego status dostawcy ma znaczenie praktyczne, ponieważ podmiot objęty ustawą odpowiada za bezpieczeństwo swojego łańcucha dostaw i przenosi wymagania na kontrahentów drogą umowną.
Źródła
Numery artykułów i terminy pochodzą z tekstu ustawy w brzmieniu ogłoszonym oraz z komunikatów organów. Przed decyzją zweryfikuj je wobec aktualnego tekstu jednolitego.
- 01Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa
Dz.U. 2026 poz. 252. Tekst nowelizacji w brzmieniu ogłoszonym — podstawa terminów i numerów artykułów przywołanych na tej stronie.
- 02Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa
Akt nowelizowany. Numeracja artykułów w znacznej mierze pozostała w mocy, więc odesłania prowadzą do tego tekstu.
- 03Urząd Zamówień Publicznych — zmiany w Pzp
Omówienie zmiany art. 226 ust. 1 pkt 17 i dodania pkt 19 Prawa zamówień publicznych wraz z przepisami przejściowymi.
- 04Rozporządzenie w sprawie Krajowych Ram Interoperacyjności
Dz.U. 2024 poz. 773. Źródło równoległego obowiązku utrzymywania SZBI i okresowego audytu bezpieczeństwa informacji w jednostkach realizujących zadania publiczne.
- 05Wykaz podmiotów kluczowych i ważnych
Rejestr, w którym sprawdza się wpis jednostki i składa wniosek, jeżeli wpisu z urzędu nie było.
Potrzebujecie wykazać zgodność, a nie tylko ją zadeklarować
Prowadzimy kwalifikację, analizę luk i wdrożenie wymagań ustawy o KSC w jednostkach publicznych — od dokumentacji SZBI po działającą detekcję i udokumentowaną obsługę incydentów.
Porozmawiajmy
o bezpieczeństwie
Cyberzagrożenia nie śpią. Niezależnie czy potrzebujesz natychmiastowej reakcji na incydent, czy długoterminowej strategii, ZeroLayer jest w gotowości.
Umów 30-minutową rozmowę
Wybierz dogodny termin i porozmawiaj bezpośrednio z naszym zespołem bezpieczeństwa. Rozmowa o Twojej sytuacji, nie prezentacja sprzedażowa.