obowiązek zgłaszania incydentów

Obowiązek zgłaszania incydentów to prawny wymóg powiadomienia właściwego organu albo zespołu reagowania o incydencie w ściśle określonym terminie. Nie jest to jeden przepis, lecz kilka równoległych reżimów. NIS2 i polska ustawa o krajowym systemie cyberbezpieczeństwa wymagają wczesnego ostrzeżenia w 24 godziny, zgłoszenia w 72 godziny i sprawozdania końcowego w miesiąc ^{[1] [2]}. RODO wymaga zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu w miarę możliwości w ciągu 72 godzin ^[3]. Jedno włamanie na stronę może uruchomić oba obowiązki naraz.

Reżimy zgłoszeń

Poszczególne akty różnią się tym, kogo obejmują, co trzeba zgłosić i komu.

W sektorze finansowym terminy są najkrótsze. Wstępne powiadomienie składa się w ciągu czterech godzin od uznania incydentu za poważny, ale nie później niż 24 godziny od powzięcia o nim wiedzy ^[5]. Gdy termin wypada w dzień wolny, większość podmiotów może złożyć raport do południa następnego dnia roboczego; wyjątek dotyczy m.in. instytucji kredytowych i systemów obrotu ^[5].

NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa

Dyrektywa NIS2 wymaga zgłaszania poważnych incydentów, czyli takich, które powodują lub mogą powodować dotkliwe zakłócenia usług albo straty dla podmiotu lub innych osób ^[1]. W Polsce przeniosła ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 roku ^[2]. Kolejne etapy zgłoszenia pokazuje schemat poniżej.

RYS. 1Zgłoszenie incydentu poważnego według ustawy o KSC

Według znowelizowanego art. 11 podmiot kluczowy lub ważny zgłasza wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego ^[2]. Pełne zgłoszenie składa nie później niż w ciągu 72 godzin od wykrycia, a sprawozdanie końcowe nie później niż miesiąc od zgłoszenia ^[2]. Jeśli obsługa incydentu jeszcze trwa, zamiast sprawozdania końcowego przekazuje sprawozdanie z postępu, a końcowe w ciągu miesiąca od zakończenia obsługi ^[2]. Do wczesnego ostrzeżenia można dołączyć prośbę o wytyczne; CSIRT sektorowy odpowiada w ciągu 24 godzin ^[2].

Zgłoszenie dobrowolne jest również przewidziane. Podmiot może przekazać CSIRT informacje o innych incydentach, cyberzagrożeniach i podatnościach ^[2]. CERT Polska przyjmuje zgłoszenia przez serwis incydent.cert.pl ^[7]; zob. CERT Polska / CSIRT NASK, CSIRT GOV, CSIRT MON.

RODO

Naruszenie ochrony danych osobowych administrator zgłasza organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia ^[3]. Wyjątek dotyczy naruszeń, które prawdopodobnie nie powodują ryzyka dla praw i wolności osób ^[3]. Zgłoszenie po terminie musi zawierać wyjaśnienie przyczyn opóźnienia ^[3]. Niezależnie od zgłoszenia administrator dokumentuje każde naruszenie: okoliczności, skutki i podjęte działania zaradcze ^[3]. Podmiot przetwarzający, np. firma hostingowa, zgłasza naruszenie administratorowi, a nie urzędowi ^[4]. UODO dopuszcza zgłoszenie wstępne: gdy nie wszystkie informacje są znane, należy przekazać te dostępne w terminie i zaznaczyć w formularzu pole „Zgłoszenie wstępne” ^[4]. Szczegóły opisuje hasło zgłoszenie naruszenia ochrony danych.

W WordPressie

Właściciel typowej firmowej strony rzadko jest podmiotem kluczowym lub ważnym. Prawie zawsze jest natomiast administratorem danych z formularzy, kont i zamówień. Włamanie na stronę WordPress trzeba więc ocenić przede wszystkim jako potencjalne naruszenie ochrony danych osobowych.

Stwierdzenie i dokumentacja. Termin 72 godzin liczy się od stwierdzenia naruszenia ^[3], dlatego ważne jest szybkie rozpoznanie objawów. Dokumentacja WordPressa wymienia typowe wskaźniki kompromitacji (IoC): wpis na listę ostrzeżeń wyszukiwarki, wyłączenie strony przez hosting, oznaczenie jej jako rozsyłającej złośliwe oprogramowanie czy nieautoryzowane nowe konta ^[8]. Pierwszym krokiem po włamaniu ma być dokumentacja: co wskazuje na atak, kiedy to zauważono i w jakiej strefie czasowej oraz jakie zmiany wprowadzono ostatnio ^[8]. Dokumentacja nazywa taki zapis podstawą raportu z incydentu ^[8]. Te same dane są potrzebne w zgłoszeniu do UODO i do CSIRT.

Hosting. Dokumentacja zaleca kontakt z firmą hostingową, bo przy hostingu współdzielonym atak mógł objąć więcej niż jedną stronę ^[8]. Hosting jako podmiot przetwarzający ma wtedy własny obowiązek poinformowania administratora ^[4].

Autorzy wtyczek i motywów. Od 11 września 2026 roku stosuje się art. 14 aktu o cyberodporności, który obejmuje obowiązek zgłaszania przez producentów aktywnie wykorzystywanych podatności i poważnych incydentów wpływających na bezpieczeństwo produktu ^[6]. Zgłoszenia trafiają przez pojedynczą platformę zgłoszeniową prowadzoną przez ENISA, a dla producentów, którzy wskażą Polskę, obsługuje je CSIRT NASK ^[6]. Czy dana wtyczka jest produktem objętym tym aktem, zależy od jego zakresu i sposobu udostępniania.

Dobre praktyki

• Przygotować procedurę przed incydentem: kto ocenia zdarzenie, kto zgłasza i do kogo. To część planu reagowania na incydenty.
• Oceniać każdy incydent pod kątem wszystkich reżimów, bo terminy biegną równolegle i od różnych zdarzeń: wykrycia w ustawie o KSC ^[2], stwierdzenia naruszenia w RODO ^[3].
• Nie czekać na pełny obraz. Zarówno ustawa o KSC, jak i UODO przewidują zgłoszenie etapowe lub wstępne ^{[2] [4]}.
• Prowadzić retencję logów na tyle długo, by dało się ustalić przebieg zdarzenia. Bez logów trudno opisać zakres naruszenia.
• W umowach z hostingiem i agencją określić termin i kanał, którym poinformują o incydencie.