16 października 2026 r. Ministerstwo Cyfryzacji opublikowało rekomendację Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026-67a-9 z 15 października, wydaną na podstawie art. 67a ustawy o KSC. Dotyczy środków organizacyjnych i technicznych służących zwiększaniu poziomu bezpieczeństwa systemów informacyjnych podmiotów krajowego systemu cyberbezpieczeństwa - według MC to już ponad 70 tys. podmiotów kluczowych i ważnych.
Rekomendacja ma charakter pomocniczy: nie zastępuje obowiązków z przepisów ani indywidualnej oceny ryzyka. Środki należy wdrażać z uwzględnieniem charakteru działalności, rodzaju usług, znaczenia systemów, poziomu ryzyka, skali działalności oraz prawdopodobieństwa i skutków incydentu.
Osiem obszarów i zadania LCC
| Obszar | Najważniejsze zalecenia | Zadanie LCC |
|---|---|---|
| 1. Zarządzanie ryzykiem i polityki | udokumentowane szacowanie ryzyka, ponawiane co najmniej raz w roku i po istotnych zmianach; polityki i procedury (m.in. kontrola dostępu, praca zdalna, poczta, incydenty, kopie zapasowe, ciągłość działania); formalne przypisanie odpowiedzialności, coroczne szkolenia kierownika, macierz RACI, raporty dla kierownictwa | 2 (wsparcie; polityki przyjmuje JST) |
| 2. Aktywa, tożsamość, dostęp | rejestr urządzeń, serwerów, systemów OT, baz i oprogramowania z właścicielami i klasą krytyczności; identyfikacja usług dostępnych z internetu; minimalne uprawnienia, blokada kont domyślnych i nieużywanych, przeglądy uprawnień; MFA dla dostępu zdalnego, poczty, systemów krytycznych i kont uprzywilejowanych; dostęp administracyjny wyłącznie przez VPN z MFA | 2 i 4 |
| 3. Infrastruktura, cykl życia, kryptografia | bezpieczeństwo od etapu zakupu, testy przed uruchomieniem, procedury dla sprzętu i oprogramowania bez wsparcia producenta (EOL/EOSL); formalny proces zarządzania podatnościami, regularne skany (także systemem Artemis przez moje.cert.pl), rejestr podatności; szyfrowanie danych przesyłanych i przechowywanych, szyfrowanie poczty (S/MIME lub OpenPGP); kontrola dostępu do serwerowni, UPS i redundancja zasilania | 3, 5 i 6 (bezpieczeństwo fizyczne - JST) |
| 4. Kopie zapasowe i odtwarzanie | zasada 3-2-1, separacja środowiska kopii od produkcji, ochrona kopii przed usunięciem i zaszyfrowaniem; regularne testy odtwarzania, plan ciągłości działania i plan odtwarzania po awarii, RTO i RPO dla systemów kluczowych | 5 |
| 5. Łańcuch dostaw | ocena ryzyka przed wyborem dostawcy i w trakcie współpracy, identyfikacja zależności od podmiotów trzecich, wymagania bezpieczeństwa, SLA i uprawnienia audytowe w umowach, kontrola dostępów dostawców, ograniczanie koncentracji usług, uwzględnianie ostrzeżeń o dostawcach wysokiego ryzyka; w zamówieniach - przesłanki odrzucenia ofert z art. 226 ust. 1 pkt 16, 17 i 19 Pzp | 2 |
| 6. Monitorowanie, detekcja, reagowanie | monitoring systemów krytycznych, centralizacja i analiza logów, SIEM lub rozwiązanie równoważne, ochrona logów przed usunięciem; monitorowanie adekwatne do ryzyka, w uzasadnionych przypadkach 24/7; procedury obsługi incydentów, ścieżki eskalacji, zabezpieczenie dowodów, zgłaszanie do CSIRT, ograniczanie skutków ataków DDoS | 1 |
| 7. Świadomość i higiena cyfrowa | regularne szkolenia dopasowane do ról, ćwiczenia i kampanie phishingowe, zasady dla urządzeń prywatnych, obowiązek zgłaszania podejrzanych zdarzeń, materiały z cyber.gov.pl | 7 |
| 8. Nadzór, audyt, doskonalenie | co najmniej dwie osoby do kontaktów w sprawach cyberbezpieczeństwa, punkty kontaktowe w systemach, okresowe audyty i testy skuteczności zabezpieczeń, analiza przyczyn incydentów, raporty dla kierownictwa o zgodności z ustawą o KSC | 2 |
Przyporządkowanie do siedmiu zadań LCC z Zał. 2 do Kryteriów to nasze zestawienie - rekomendacja nie odnosi się do naboru. Pokazuje jednak, że zakres usług LCC pokrywa większość obszarów, a po stronie każdej JST zostają m.in. odpowiedzialność kierownika, polityki i bezpieczeństwo fizyczne.
Trzy szczegóły warte uwagi
- S46 od 3 kwietnia 2027 r. Według przypisu do rekomendacji obowiązek zgłaszania incydentów za pośrednictwem systemu S46 wchodzi w życie 3 kwietnia 2027 r.
- 24/7 tylko tam, gdzie uzasadnione. Rekomendacja mówi o monitorowaniu aktywów o wysokiej krytyczności adekwatnie do ryzyka, „w uzasadnionych przypadkach w modelu 24/7”. To spójne z odpowiedzią ION w naborze LCC, że praca całodobowa nie jest bezwzględnym wymogiem (odpowiedzi ION).
- Kierownictwo. Formalne przypisanie odpowiedzialności, coroczne szkolenia kierownika podmiotu i okresowe raporty o ryzyku i stanie realizacji obowiązków to elementy, za które odpowiada kierownik jednostki (odpowiedzialność i sankcje).
Łańcuch dostaw w praktyce
Pod koniec września serwis Fakturownia.pl poinformował o nieuprawnionym dostępie do swojej bazy danych w dniach 27-28 września 2026 r. Według komunikatu spółki incydent dotyczy każdego konta, a wśród danych są m.in. dane kontrahentów z numerami rachunków. Klienci, którzy są administratorami danych swoich kontrahentów, sami oceniają ryzyko - jeśli naruszenie może powodować ryzyko dla osób, mają 72 godziny od jego stwierdzenia na zgłoszenie do Prezesa UODO. To przykład, dlaczego rekomendacja każe identyfikować zależności od podmiotów trzecich i z góry ustalić w umowach wymagania bezpieczeństwa i obowiązki informacyjne dostawcy.
Inne rekomendacje Pełnomocnika w 2026 r. (wybór)
- WordPress (5 sierpnia 2026 r.).
- Systemy OT w sektorze wodociągowo-kanalizacyjnym (nr 2026-67-8, 18 września 2026 r.) - CPPC przypomniało ją 14 października grantobiorcom „Cyberbezpiecznych Wodociągów”.
- MikroTik RouterOS (1 października 2026 r.).
- PHP (22 października 2026 r.).
Co zrobić w urzędzie
- Porównajcie rekomendację z dokumentacją SZBI i planem działań - zwłaszcza obszary 1, 4 i 8 (ryzyko, kopie zapasowe, audyt).
- Sprawdźcie MFA dla poczty i dostępu zdalnego oraz to, czy dostęp administracyjny odbywa się wyłącznie przez VPN z MFA.
- Przetestujcie odtwarzanie z kopii i ustalcie RTO i RPO dla systemów kluczowych.
- Przejrzyjcie umowy z dostawcami IT pod kątem wymagań bezpieczeństwa, SLA i prawa audytu.
- Jeśli przygotowujecie LCC - opiszcie w porozumieniu i we wniosku, które środki realizuje centrum, a które pozostają po stronie każdej JST.