Stan na 30 października 2026 r. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Gminy powinny już zweryfikować, które podmioty w ich strukturze podlegają KSC, sprawdzić wpisy w Wykazie KSC i zaplanować wdrożenie wymaganych zabezpieczeń. Termin na realizację obowiązków oraz rozpoczęcie korzystania z systemu S46 upływa 3 kwietnia 2027 r. (gov.pl)
Kogo obejmuje KSC?
Urzędy gmin podlegają KSC jako podmioty publiczne. O ich statusie decyduje liczba osób zatrudnionych na podstawie umowy o pracę, w przeliczeniu na pełne etaty, według stanu na 1 stycznia danego roku:
| Zatrudnienie w urzędzie gminy | Status na gruncie KSC |
|---|---|
| Co najmniej 50 osób w przeliczeniu na pełne etaty | Podmiot kluczowy |
| Mniej niż 50 osób w przeliczeniu na pełne etaty | Co do zasady podmiot ważny |
Do progu wlicza się pracowników niezależnie od rodzaju stanowiska. Nie uwzględnia się natomiast osób wykonujących zadania na podstawie umów cywilnoprawnych. Minister właściwy do spraw informatyzacji wpisuje urzędy gmin do wykazu z urzędu; jeśli urząd otrzyma wezwanie do uzupełnienia danych, powinien zrobić to w wyznaczonym terminie. (cyber.gov.pl)
KSC może obejmować także inne podmioty związane z gminą, m.in. jednostki budżetowe, zakłady budżetowe, samorządowe instytucje kultury oraz spółki realizujące zadania użyteczności publicznej. Nie należy jednak automatycznie zakładać, że każda jednostka lub spółka ma taki sam status jak urząd. Trzeba sprawdzić jej formę prawną, działalność oraz kryteria wskazane w ustawie. (cyber.gov.pl)
Jaki SZBI powinna wdrożyć gmina?
Urząd gminy będący podmiotem ważnym stosuje uproszczony system zarządzania bezpieczeństwem informacji określony w Załączniku nr 4 do KSC. Urząd będący podmiotem kluczowym wdraża pełny SZBI na zasadach art. 8 ust. 1 — nie może ograniczyć się do uproszczonego zestawu wymagań z Załącznika nr 4.
W praktyce wdrożenie powinno objąć co najmniej:
- inwentaryzację sprzętu, oprogramowania, systemów i usług ICT;
- określenie oraz okresową weryfikację uprawnień użytkowników;
- stosowanie aktualizacji i ochrony przed złośliwym oprogramowaniem;
- wykonywanie i testowanie kopii zapasowych;
- zasady cyberhigieny i szkolenia pracowników;
- procedury obsługi, dokumentowania i zgłaszania incydentów;
- dokumentację SZBI odpowiednią do statusu podmiotu.
Wspólna obsługa cyberbezpieczeństwa
Gmina może zorganizować obsługę cyberbezpieczeństwa wspólnie dla kilku swoich jednostek. Zadania mogą zostać powierzone wyznaczonej jednostce obsługującej, na przykład urzędowi albo centrum usług wspólnych. Możliwe jest również zawarcie porozumienia, na podstawie którego jednostka z jednej gminy będzie wspierać podmioty z innych JST. Taką współpracę można organizować na poziomie gminy, powiatu lub województwa. (cyber.gov.pl)
Zakres powierzonych zadań powinien być jasno opisany w dokumentach organizujących współpracę. Wspólna obsługa pozwala połączyć kompetencje i ograniczyć powielanie pracy, ale samo powierzenie zadań nie zwalnia kierownika podmiotu z jego ustawowych obowiązków.
Harmonogram działań
| Termin | Działanie |
|---|---|
| Do 3 października 2026 r. | Upłynął termin składania wniosków o wpis przez podmioty, które podlegały samorejestracji. Urząd gminy powinien sprawdzić, czy został wpisany z urzędu i czy dane w wykazie są kompletne. W razie otrzymania wezwania należy uzupełnić dane w terminie wskazanym w zawiadomieniu. |
| Do 3 kwietnia 2027 r. | Wdrożyć właściwy SZBI, zrealizować pozostałe obowiązki KSC oraz rozpocząć korzystanie z systemu S46. Podmioty ważne stosują uproszczony SZBI z Załącznika nr 4, a podmioty kluczowe — pełny SZBI. |
| Do 3 kwietnia 2027 r. i dalej | Zapewnić szkolenie kierownika oraz personelu. Kierownik podmiotu ma obowiązek odbywać szkolenie z cyberbezpieczeństwa co najmniej raz w roku kalendarzowym. |
| Do 3 kwietnia 2028 r. | Podmiot kluczowy, który nie był wcześniej operatorem usługi kluczowej, przeprowadza pierwszy obowiązkowy audyt. Urząd będący podmiotem ważnym nie podlega cyklicznemu obowiązkowi audytowemu, choć audyt może zostać nakazany w przewidzianym ustawą trybie. |
Podstawowe terminy wdrożenia i audytu wynikają z harmonogramu opublikowanego przez administrację rządową. Ponieważ termin wpisu do wykazu już minął, jednostki powinny niezwłocznie wyjaśnić ewentualne braki lub niezgodności w swoich danych. (gov.pl)
Odpowiedzialność wójta, burmistrza lub prezydenta miasta
Kierownik podmiotu odpowiada za realizację obowiązków cyberbezpieczeństwa przypisanych mu w KSC. Do jego zadań należy m.in. podejmowanie decyzji dotyczących SZBI, zapewnienie warunków organizacyjnych i finansowych oraz dbanie o to, by pracownicy znali obowiązujące zasady. Powierzenie części zadań innym osobom lub wspólnej jednostce obsługującej nie oznacza samo w sobie przeniesienia odpowiedzialności kierownika.
Ustawa przewiduje kary pieniężne zarówno dla podmiotów, jak i dla kierowników. Jednocześnie przepisy przejściowe stanowią, że kary objęte tym mechanizmem mogą być po raz pierwszy nakładane po upływie dwóch lat od wejścia w życie nowelizacji, czyli po 3 kwietnia 2028 r. Nie zmienia to obowiązku przygotowania się do wdrożenia w terminie — do 3 kwietnia 2027 r. (gov.pl)
Od czego zacząć?
Najpierw ustal status urzędu i powiązanych jednostek, a następnie sprawdź ich wpisy w Wykazie KSC. Kolejne kroki to wskazanie osób odpowiedzialnych, wybór modelu obsługi cyberbezpieczeństwa, sporządzenie planu wdrożenia odpowiedniego SZBI oraz zabezpieczenie środków na jego realizację. Wspólną obsługę warto rozważyć tam, gdzie pozwoli ona zapewnić jednostkom niezbędne kompetencje bez dublowania zasobów.
