Ustawa o krajowym systemie cyberbezpieczeństwa (UoKSC) w wersji znowelizowanej (t.j. Dz.U. 2026 poz. 20 ze zm., w tym nowelizacja Dz.U. 2026 poz. 252) wdraża do prawa polskiego dyrektywę NIS2. Po raz pierwszy kwalifikuje urzędy i jednostki organizacyjne JST jako podmioty kluczowe lub ważne, nakłada na nie obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji i obejmuje je nadzorem oraz karami. Wcześniej, od 2018 r., podmioty publiczne, w tym JST, miały węższe obowiązki - m.in. wyznaczenie osoby do kontaktu i zgłaszanie incydentów do CSIRT (dawny rozdział 5 ustawy).
Najważniejsze wymagania wobec JST
- Wpis do wykazu KSC (wykaz-ksc.gov.pl) i utrzymywanie aktualnych danych
- Wdrożenie i utrzymanie systemu zarządzania bezpieczeństwem informacji (SZBI)
- Systematyczne szacowanie ryzyka i dobór środków technicznych i organizacyjnych (podmioty kluczowe); podmioty ważne publiczne stosują uproszczony SZBI z załącznika nr 4 (art. 8 ust. 3)
- Zgłaszanie incydentów poważnych do właściwego CSIRT: podmioty kluczowe - wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h i sprawozdanie końcowe w ciągu miesiąca; podmioty ważne publiczne - tylko zgłoszenie w 72 h (art. 12c UoKSC)
- Obsługa i rejestrowanie incydentów oraz zarządzanie podatnościami
- Bezpieczeństwo łańcucha dostaw i nadzór nad dostawcami ICT
- Szkolenia oraz budowanie świadomości pracowników i kierownictwa
- Audyt bezpieczeństwa - dla podmiotów kluczowych co najmniej raz na 3 lata
Klasyfikacja i terminy
Podmiotem kluczowym jest urząd gminy zatrudniający na 1 stycznia co najmniej 50 osób w przeliczeniu na pełne etaty (umowy o pracę); mniejszy urząd to podmiot ważny. Starostwa i urzędy marszałkowskie są podmiotami kluczowymi niezależnie od zatrudnienia. Spółki komunalne to co do zasady podmioty ważne; wodociągi mogą być podmiotami kluczowymi sektorowo (woda pitna), a szpitale - w sektorze zdrowia. Kluczowe daty: samorejestracja w Wykazie KSC do 3.10.2026 - przy czym JST są wpisywane do Wykazu z urzędu, a okno 7.05-3.10.2026 dotyczy samorejestracji podmiotów, których organ nie wpisał; wdrożenie obowiązków SZBI do 3.04.2027; pierwszy audyt podmiotów kluczowych - do 3.04.2028; kary pieniężne (poza karą do 100 mln zł z art. 73 ust. 5) mogą być nakładane po 3.04.2028.
Sankcje
| Sankcja | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Maksymalna kara | 10 mln euro lub 2% przychodów | 7 mln euro lub 1,4% przychodów |
| Kara minimalna | 20 tys. zł | 15 tys. zł |
| Kara dla kierownika (art. 73a) | do 100% wynagrodzenia (jak ekwiwalent za urlop); do 300%, gdy podmiot publiczny podlega ustawie także w innym sektorze (art. 73a ust. 5) | do 100% wynagrodzenia (jak ekwiwalent za urlop); do 300%, gdy podmiot publiczny podlega ustawie także w innym sektorze (art. 73a ust. 5) |