Już wszystko wiadomo z KSC i dyrektywą NIS2? Ministerstwo Cyfryzacji oficjalnie podało, które podmioty podlegają nowej ustawie o krajowym systemie cyberbezpieczeństwa

• Ministerstwo Cyfryzacji publikuje podsumowanie: kto podlega nowelizacji KSC?
• Dyrektywa NIS2 zmienia zasady – koniec z operatorami usług kluczowych
• 12 miesięcy na dostosowanie – czas już ucieka
• Sektory kluczowe – najwyższy poziom wymogów cyberbezpieczeństwa
• Sektory ważne – również objęte obowiązkami, ale z nieco mniejszym rygorem
• Samodzielna ocena obowiązkowa – to ty musisz ustalić, czy podlegasz KSC
• Ministerstwo szykuje dalsze wytyczne – konsultacje już niebawem
• PODSUMOWANIE W PYTANIACH I ODPOWIEDZIACH (FAQ)

Ministerstwo Cyfryzacji publikuje podsumowanie: kto podlega nowelizacji KSC?

20 kwietnia 2026 roku – czyli zaledwie wczoraj – Ministerstwo Cyfryzacji opublikowało na swojej stronie krótkie, ale niezwykle istotne podsumowanie dotyczące nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Komunikat wyjaśnia, jakie sektory gospodarcze mogą być objęte nowymi obowiązkami w zakresie ochrony przed cyberatakami.

Kluczowe jest jednak zastrzeżenie: samo ustalenie, czy dany podmiot podlega przepisom ustawy o KSC, a jeśli tak – to czy jako podmiot kluczowy, czy ważny – spoczywa na samym podmiocie. Ministerstwo podaje tylko ogólne kryteria sektorowe. Reszta to już odpowiedzialność każdej firmy i instytucji.

Dyrektywa NIS2 zmienia zasady – koniec z operatorami usług kluczowych

Nowelizacja wdraża unijną dyrektywę NIS2, która radykalnie poszerza zakres podmiotów objętych obowiązkami cyberbezpieczeństwa. Dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych został zastąpiony nowym systemem: podmioty kluczowe i podmioty ważne.

Dlaczego to istotne? Bo nowe przepisy obejmują znacznie szerszą grupę podmiotów działających w sektorach istotnych dla funkcjonowania państwa, gospodarki oraz obywateli. Ministerstwo szacuje, że łącznie KSC może objąć około 38 tysięcy podmiotów, z czego aż około 27 tysięcy to podmioty publiczne – urzędy, szpitale, uczelnie, samorządy.

12 miesięcy na dostosowanie – czas już ucieka

Nowelizacja przewiduje 12-miesięczny okres dostosowawczy. To czas, który podmioty powinny wykorzystać na pełne wdrożenie obowiązków wynikających z ustawy: od przeprowadzenia audytu cyberbezpieczeństwa, przez wdrożenie systemów zarządzania bezpieczeństwem informacji (SZBI), po przeszkolenie kadry i wyznaczenie osób odpowiedzialnych.

Równocześnie trwa proces wpisywania podmiotów do oficjalnego Wykazu KSC. Minister Cyfryzacji rozpoczął już 13 kwietnia 2026 roku wpis z urzędu dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych oraz podmiotów publicznych. Natomiast od 7 maja 2026 roku uruchomiona zostanie możliwość samorejestracji dla podmiotów, które nie są objęte wpisem realizowanym z urzędu.

Sektory kluczowe – najwyższy poziom wymogów cyberbezpieczeństwa

Ministerstwo Cyfryzacji opublikowało pełną listę sektorów kluczowych, które podlegają najostrzejszym wymogom w zakresie cyberbezpieczeństwa. Znalazły się na niej sektory z załącznika nr 1 do ustawy:

Sektory ważne – również objęte obowiązkami, ale z nieco mniejszym rygorem

Równolegle Ministerstwo wskazało sektory ważne, które również muszą wdrożyć systemy cyberbezpieczeństwa, choć wymogi wobec nich są nieco łagodniejsze. Lista obejmuje sektory z załącznika nr 2 do ustawy, m.in.:

Samodzielna ocena obowiązkowa – to ty musisz ustalić, czy podlegasz KSC

Trzeba pamiętać, że sama identyfikacja, czy dany podmiot podlega ustawie o KSC, spoczywa na danym podmiocie. To każda firma, instytucja, szpital, uczelnia czy urząd musi przeanalizować, czy działa w jednym z wymienionych sektorów, czy spełnia kryteria ustawowe – i na tej podstawie zdecydować, czy musi wdrożyć wymagania ustawy.

Brak takiej oceny nie zwalnia z odpowiedzialności. Jeśli podmiot podlega KSC, a nie wdroży odpowiednich zabezpieczeń, może zostać ukarany – a w przypadku incydentu cybernetycznego – także pociągnięty do odpowiedzialności prawnej.

Ministerstwo szykuje dalsze wytyczne – konsultacje już niebawem

Ministerstwo Cyfryzacji zapowiedziało, że w najbliższych dniach przekaże do konsultacji publicznych projekt zestawienia wymogów dokumentów normalizacyjnych, w tym norm, przydatnych dla ustalenia szczegółowych wymagań dla systemów zarządzania bezpieczeństwem informacji (SZBI) dla poszczególnych sektorów kluczowych i ważnych.

To będzie kolejny praktyczny dokument, który pomoże podmiotom objętym KSC w rzeczywistym wdrożeniu wymagań ustawy. Warto jednak działać już teraz – 12 miesięcy minie szybko, a wymogi są rozległe.

PODSUMOWANIE W PYTANIACH I ODPOWIEDZIACH (FAQ)

Źródło: Ministerstwo Cyfryzacji