Ustawa o krajowym systemie cyberbezpieczeństwa – obowiązki przedsiębiorców

Z dniem 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa[1], wdrażająca unijną dyrektywę NIS2. Ustawa zmieniająca ma na celu zwiększenie bezpieczeństwa usług i systemów, z których korzystają obywatele, przedsiębiorcy oraz instytucje publiczne. Ustawa ma zapewnić większą stabilność usług, lepszą ochronę danych i skuteczniejsze reagowanie na cyberzagrożenia.

Ustawa zmieniająca wprowadza podział na podmioty kluczowe i podmioty ważne, działające w strategicznych sektorach państwa. 

1. sektory kluczowe zostały zdefiniowane w załączniku nr 1 do ustawy i obejmują następujące branże:

energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych, zaopatrzenie w wodę pitną i jej dystrybucję, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa/komunikacja elektroniczna, zarządzanie usługami ICT, przestrzeń kosmiczna, podmioty publiczne.

 2. sektory ważne zostały określone w załączniku nr 2 do ustawy i obejmują następujące branże:

– gospodarowanie odpadami (w tym: zbieranie, transport, przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów), a także

usługi pocztowe; inwestycje energetyki jądrowej; produkcja, wytwarzanie i dystrybucja chemikaliów; produkcja, przetwarzanie i dystrybucja żywności; produkcja:

– produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro

– produkcja komputerów, wyrobów elektronicznych i optycznych

– produkcja urządzeń elektrycznych.

Poszczególne organizacje muszą zweryfikować, czy kwalifikują się jako podmiot kluczowy lub podmiot ważny. Znaczenie w tym zakresie ma nie tylko przedmiot działalności, ale także wielkość organizacji. Podmioty które w dacie wejścia w życie ustawy będą spełniały wymogi dla podmiotów kluczowych lub ważnych będą podlegały wpisowi do wykazu zgodnie z harmonogramem określonym przez Ministra właściwego ds. informatyzacji.

Zgodnie z postanowieniami znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa, podmioty objęte jej zakresem zobowiązane są do wdrożenia szeregu środków i procedur związanych z zarządzaniem ryzykiem cyberbezpieczeństwa. Nowe przepisy nakładają na nie obowiązek stosowania odpowiednich środków technicznych i organizacyjnych, aby zwiększyć bezpieczeństwo systemów informatycznych i przetwarzanych przez nie danych (m.in. wpis do wykazu, wprowadzenie systemu zarządzania bezpieczeństwem w systemie informacyjnym, opracowanie dokumentacji, zgłaszanie incydentów, współpraca z podmiotami krajowego systemu cyberbezpieczeństwa).

Niewywiązanie się przez podmioty z obowiązków wynikających z nowych przepisów będzie skutkować nałożeniem na nie sankcji finansowych. Kara pieniężna może zostać nałożona na podmiot, ale i na kierownika danej organizacji.

Kara maksymalna nałożona na:

• podmiot kluczowy to do 10 000 000 euro lub 2 % przychodów osiągniętych przez podmiot kluczowy z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary, przy czym zastosowanie ma kwota wyższa. Kara ta nie może być jednak niższa niż 20 000 zł.
• w przypadku podmiotu ważnego do 7 000 000 euro lub 1,4 % przychodów osiągniętych przez podmiot ważny z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary. Kara ta nie może być jednak niższa niż 15 000 zł.

Ustawa określa również organizację krajowego systemu cyberbezpieczeństwa oraz zadania i obowiązki podmiotów wchodzących w skład tego systemu.  Ustawa definiuje także sposób sprawowania nadzoru i kontroli w zakresie stosowania przepisów ustawy przez właściwe organy. 

Do 3 października 2026 r. podmioty kluczowe i ważne mają czas, aby złożyć wniosek o wpis do wykazu. Do 3 kwietnia 2027 r. podmioty kluczowe i ważne, które w dniu wejścia w życie nowelizacji spełniają ustawowe kryteria, muszą wdrożyć obowiązki wynikające z nowych przepisów.  Do 3 kwietnia 2028 r. podmioty kluczowe mają czas, aby przeprowadzić pierwszy obowiązkowy audyt cyberbezpieczeństwa. Kolejne audyty trzeba będzie przeprowadzać co najmniej raz na trzy lata.

Ustawa przewiduje odpowiedni czas, aby przedsiębiorcy przygotowali się do zmian.   Niezależnie od tego, że co do większości obowiązków administracyjne kary pieniężne będą mogły być nakładane dopiero po upływie dwóch lat od wejścia w życie ustawy, czyli po 3 kwietnia 2028 r., organizacje powinny podjąć kroki niezbędne do wdrożenia nowych przepisów.