Nowelizacja UoKSC z 23.01.2026 (Dz.U. 2026 poz. 252) wdraża do prawa polskiego dyrektywę NIS2 i wprowadza nowy rozdział 3b „Wspólne wykonywanie obowiązków z zakresu cyberbezpieczeństwa przez podmioty publiczne”. Jego sercem jest artykuł 16e.
„Jednostka samorządu terytorialnego może zapewnić wspólną obsługę realizacji obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8c-8f, art. 8h, art. 9-12b lub art. 15.”
- art. 16e UoKSC
Przepis odsyła do zasad organizacyjnych wspólnej obsługi określonych w trzech ustawach samorządowych: art. 10a-10d ustawy o samorządzie gminnym, art. 6a-6d ustawy o samorządzie powiatowym oraz art. 8c-8f ustawy o samorządzie województwa. Dzięki temu samorządy mają gotowy, sprawdzony mechanizm prawny - analogiczny do tego, na którym działają oświatowe centra usług wspólnych.
Dwa tryby tworzenia LCC
Tryb 1 - wspólna obsługa. Jedna JST jest jednostką obsługującą, a pozostałe podmioty (w tym jej własne jednostki organizacyjne oraz, na zasadzie porozumienia, instytucje kultury i inne samorządowe osoby prawne) są obsługiwane. Zasady określa jednostronnie uchwała rady JST obsługującej.
Tryb 2 - porozumienie międzysamorządowe. JST zawierają porozumienie, a jedna z nich przejmuje wykonywanie obowiązków cyber dla pozostałych (stosuje się odpowiednio art. 74 u.s.g., art. 73 u.s.p., art. 8 u.s.w.). Tryb ten jest bardziej elastyczny - pozwala obsługiwać inne JST, nie tylko własne jednostki.
Nowość: spółki komunalne jako jednostka obsługująca
Nowelizacja zmieniła brzmienie art. 10b ustawy o samorządzie gminnym, dopuszczając po raz pierwszy spółki komunalne (w tym spółki prawa handlowego powołane specjalnie do prowadzenia wspólnej obsługi) jako jednostki obsługujące. Wcześniej spółki mogły jedynie świadczyć usługi kontraktowo.
Przy spółce-LCC kluczowy jest status „kontroli analogicznej”: spółka w 100% JST zachowuje możliwość zamówień in-house (art. 214 ust. 1 pkt 11 PZP), czyli zlecania usług członkom bez przetargu. Nawet 1% udziału prywatnego psuje ten status (orzecznictwo TSUE), dlatego rekomendowanym modelem jest spółka w pełni samorządowa z długoterminowym kontraktem operatorskim wybranym w trybie PZP.