Dokument „Q&A nowelizacja KSC - aktualizacja październik” ministerstwo udostępniło po VIII Forum Cyberbezpieczeństwa. Nowe pozycje oznaczono dopiskiem „NOWE - aktualizacja październik 2026 r.”, a uzupełnienia z czerwca - „NOWE - aktualizacja czerwiec 2026 r.”; z czerwcowej aktualizacji pochodzą przywołane niżej pytania 1.24, 2.32, 2.36, 3.35 i 3.36. Jak zaznaczono we wstępie, dokument nie ma mocy prawnej i nie jest wiążący, ale jest przydatny przy wykładni przepisów ustawy.
Próg 50 osób w urzędzie gminy
Urząd gminy jest podmiotem kluczowym, jeżeli na 1 stycznia danego roku zatrudnia na podstawie umowy o pracę co najmniej 50 osób w przeliczeniu na pełny wymiar czasu pracy (pyt. 1.30). Do progu wlicza się wszystkich pracowników w stosunku pracy - na stanowiskach urzędniczych, kierowniczych, pomocniczych i obsługi; nie wlicza się osób na umowach cywilnoprawnych, samozatrudnionych ani pracowników wykonawców (pyt. 1.29). Liczą się także osoby przebywające na urlopie macierzyńskim lub rodzicielskim oraz zatrudnione na zastępstwo (pyt. 1.30).
Szkoły, biblioteki i ośrodki pomocy - wpis z urzędu
- Publiczna szkoła podstawowa prowadzona przez gminę, jako gminna samorządowa jednostka budżetowa, jest podmiotem ważnym i podlega wpisowi do Wykazu z urzędu - niezależnie od wpisu urzędu gminy (pyt. 1.31).
- W zespole szkół decyduje status jednostki budżetowej: jeśli szkoły nie są odrębnymi jednostkami budżetowymi, obowiązki, w tym wpis, dotyczą zespołu; jeśli są, obowiązki ciążą na zespole i na każdej ze szkół (pyt. 2.58). W przypadku szkół, które utraciły samodzielny status, dyrektor zespołu składa w Wykazie wniosek o ich wykreślenie, załączając np. uchwałę rady gminy (pyt. 2.57).
- Gdy zawiadomienie trafiło do szkoły zlikwidowanej uchwałą rady, informację z uchwałą wysyła się na adres s46-admin@nask.pl - bez wniosku o wykreślenie w aplikacji (pyt. 2.56).
- Wnioski w Wykazie w imieniu szkoły składa dyrektor; może upoważnić pracownika, a upoważnienie podpisane elektronicznie dołącza się do wniosku (pyt. 2.53).
- Samorządowe biblioteki publiczne, jako samorządowe instytucje kultury, są podmiotami ważnymi: wpis z urzędu, uproszczony system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy, bez samorejestracji; na uzupełnienie danych mają 6 miesięcy od otrzymania wezwania (pyt. 2.40).
- Gminne ośrodki pomocy społecznej, jako samorządowe jednostki budżetowe, są podmiotami ważnymi (pyt. 3.36). Szkoły niepubliczne, także z uprawnieniami szkół publicznych i z dotacjami, co do zasady nie są objęte ustawą automatycznie i nie są wpisywane z urzędu (pyt. 1.32).
Zawiadomienia o wpisie i terminy
Zawiadomienia o wpisie z urzędu trafiają najpierw do podmiotów z adresem do doręczeń elektronicznych; pozostałym NASK-PIB wysyła je przez Pocztę Polską w ramach publicznej usługi hybrydowej (pyt. 2.34). Na uzupełnienie danych jest 6 miesięcy od doręczenia wezwania, a nie od wejścia ustawy w życie czy od dnia wpisu (pyt. 2.36). 3 października 2026 r. był ostatnim dniem samorejestracji dla podmiotów, które spełniały przesłanki w dniu wejścia ustawy w życie; kto zacznie je spełniać po 3 października 2026 r., ma na samorejestrację 6 miesięcy od spełnienia przesłanek (pyt. 2.32); nie dotyczy to podmiotów publicznych, które minister wpisuje z urzędu (pyt. 1.8). Więcej: Wykaz podmiotów KSC.
Ustawa nie wskazuje obowiązkowych systemów
Ustawa o KSC jest neutralna technologicznie: nie wskazuje klas systemów - SIEM, SOC, kopii zapasowych czy segmentacji sieci - których wdrożenie byłoby obowiązkowe. Środki techniczne i organizacyjne dobiera sam podmiot, z uwzględnieniem charakteru zadań, używanych systemów, skali działalności i wyników szacowania ryzyka (pyt. 3.42).
Pełnomocnik SZBI, osoba do kontaktu, szkolenie kierownika
- Ustawa nie nakłada obowiązku powołania pełnomocnika do spraw systemu zarządzania bezpieczeństwem informacji - kierownik podmiotu przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie. Jeśli powoła pełnomocnika, powinna to być osoba związana z podmiotem stosunkiem prawnym, który pozwala wydawać jej polecenia. Gdy zadania SZBI realizuje zewnętrzny dostawca usług zarządzanych, umowa powinna obejmować wymogi cyberbezpieczeństwa i odpowiedzialność za zadania (pyt. 3.44).
- Osobą do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa może być kierownik podmiotu (pyt. 3.43).
- Pierwsze szkolenie kierownika podmiotu, który spełniał przesłanki 3 kwietnia 2026 r., musi się odbyć najpóźniej w 2027 r.; można je przeprowadzić już w 2026 r., a kolejne w 2027 r. (pyt. 3.46).
- Informację z Krajowego Rejestru Karnego przedstawiają pracownicy podmiotu i osoby na umowach cywilnoprawnych zawartych bezpośrednio z nim, jeśli realizują zadania z art. 8 lub 11 ustawy. Obowiązek nie obejmuje personelu wykonawców i podwykonawców - tu bezpieczeństwo zapewnia się zarządzaniem ryzykiem w łańcuchu dostaw i postanowieniami umów (pyt. 3.48). Weryfikację personelu kierownik może powierzyć innej osobie, ale nadal za nią odpowiada (pyt. 4.7).
- Kierownik odpowiada m.in. za aktualny wpis do Wykazu, wdrożenie SZBI, weryfikację personelu, własne szkolenie, wyznaczenie osób kontaktowych, korzystanie z systemu S46, zgłaszanie incydentów i audyty - także wtedy, gdy część lub wszystkie obowiązki powierzył innej osobie za jej zgodą (pyt. 4.4; obowiązki kierownika i sankcje).
Wspólna obsługa: jednostka wyznaczona i porozumienia JST
- Objęcie podmiotów ważnych wspólną obsługą przez jednostkę wyznaczoną nie zmienia ich statusu na kluczowy; jednostka realizuje zadania zgodnie z załącznikiem nr 4 do ustawy i może wdrożyć dodatkowe środki (pyt. 1.24).
- Wojewódzka jednostka wyznaczona może obsługiwać gminy i powiaty, jeżeli województwo zawrze z nimi porozumienie na podstawie art. 16e ust. 6 ustawy. JST wykonująca powierzone zadania przejmuje związane z nimi prawa i obowiązki pozostałych, a one uczestniczą w kosztach (pyt. 3.35).
- Minister, centralny organ administracji rządowej lub wojewoda mogą wyznaczyć kilka jednostek - trzeba wtedy określić, dla jakich jednostek i jakie zadania każda z nich realizuje. Na jednostkę wyznaczoną można przenieść także zadania i odpowiedzialność kierownika z art. 8c-8d; ministerstwo zaleca zapisać to wyraźnie (pyt. 14.15). Odpowiedź dotyczy administracji rządowej, ale te same kwestie warto rozstrzygnąć w porozumieniu tworzącym LCC: które jednostki i jakie zadania obejmuje oraz czy przenosi zadania kierownika.
Co to znaczy dla przygotowujących LCC
Odpowiedzi porządkują dwie sprawy ważne przy projekcie LCC. Pierwsza to mapa podmiotów: szkoły (o ile są odrębnymi jednostkami budżetowymi), biblioteki i ośrodki pomocy społecznej są odrębnymi podmiotami ważnymi z własnymi wpisami - warto je ująć w załączniku nr 6 do wniosku i w porozumieniu. Druga to podział odpowiedzialności: ustawa nie narzuca konkretnych systemów ani pełnomocnika SZBI, więc porozumienie i umowy z dostawcami powinny jasno opisać, kto za co odpowiada.