ustawa o krajowym systemie cyberbezpieczeństwa (KSC)

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) to polska ustawa z 5 lipca 2018 roku, ogłoszona w Dzienniku Ustaw 13 sierpnia 2018 roku jako poz. 1560 i obowiązująca od 28 sierpnia 2018 roku ^[2]. Określa organizację krajowego systemu cyberbezpieczeństwa oraz zadania i obowiązki należących do niego podmiotów, sposób nadzoru i kontroli, a także zakres Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej ^[1]. W pierwotnym brzmieniu wdrażała dyrektywę (UE) 2016/1148, czyli pierwszą dyrektywę NIS ^[1]. Nowelizacja z 23 stycznia 2026 roku, potocznie „KSC2”, przenosi do prawa polskiego dyrektywę NIS2 ^{[3] [4]}.

Kogo dotyczy

W pierwotnym brzmieniu ustawa wymieniała jako elementy systemu m.in. operatorów usług kluczowych, dostawców usług cyfrowych, trzy zespoły CSIRT poziomu krajowego — CSIRT MON, CSIRT NASK i CSIRT GOV — oraz sektorowe zespoły cyberbezpieczeństwa i wiele jednostek publicznych ^[1]. Zespoły krajowe opisuje hasło CERT Polska / CSIRT NASK, CSIRT GOV, CSIRT MON, a ogólną rolę takich zespołów hasło CSIRT.

Operator usługi kluczowej świadczył usługę o kluczowym znaczeniu dla utrzymania krytycznej działalności społecznej lub gospodarczej, wpisaną do wykazu usług kluczowych ^[1]. Obejmowało to m.in. podmioty związane z infrastrukturą krytyczną.

Dostawca usługi cyfrowej to w tekście z 2018 roku osoba prawna albo jednostka organizacyjna z siedzibą w Polsce, świadcząca usługę cyfrową, z wyłączeniem mikroprzedsiębiorców i małych przedsiębiorców ^[1]. Załącznik nr 2 wymieniał trzy rodzaje usług cyfrowych: internetową platformę handlową, usługę przetwarzania w chmurze i wyszukiwarkę internetową ^[1].

Nowelizacja z 2026 roku zastępuje ten podział kategoriami z NIS2: podmiotami kluczowymi i podmiotami ważnymi ^[4]. Rozszerza też listę sektorów m.in. o zarządzanie usługami ICT, komunikację elektroniczną, przestrzeń kosmiczną, usługi pocztowe, produkcję, gospodarowanie odpadami i odprowadzanie ścieków ^[4].

Obowiązki

Poniższe obowiązki pochodzą z brzmienia z 2018 roku. Dla podmiotów objętych nowelizacją zakres i terminy wynikają z tekstu zmienionego w 2026 roku.

Zarządzanie bezpieczeństwem. Art. 8 zobowiązywał operatora usługi kluczowej do wdrożenia systemu zarządzania bezpieczeństwem w systemie informacyjnym używanym do świadczenia usługi ^[1]. System miał zapewniać m.in. systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem, środki techniczne i organizacyjne proporcjonalne do ryzyka, monitorowanie systemu w trybie ciągłym oraz zbieranie informacji o zagrożeniach i podatnościach ^[1]. Wśród środków zapobiegawczych ustawa wymieniała wprost „dbałość o aktualizację oprogramowania” i niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub zagrożeń ^[1]. Nowelizacja wymaga od podmiotów kluczowych i ważnych wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI) ^[4].

Zgłaszanie incydentów. Operator usługi kluczowej zgłaszał incydent poważny, a dostawca usługi cyfrowej incydent istotny, nie później niż w ciągu 24 godzin od wykrycia, do właściwego zespołu CSIRT MON, CSIRT NASK lub CSIRT GOV ^[1]. Zgłoszenie przekazywano w postaci elektronicznej, a gdy nie było to możliwe, innymi dostępnymi środkami komunikacji ^[1]. Szerzej opisuje to hasło obowiązek zgłaszania incydentów.

Dokumentacja i kontakt. Operator wyznaczał osobę odpowiedzialną za kontakty z podmiotami krajowego systemu i przechowywał dokumentację cyberbezpieczeństwa systemu co najmniej 2 lata od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi ^[1].

Kary

Karę pieniężną nakłada w drodze decyzji organ właściwy do spraw cyberbezpieczeństwa ^[1]. W brzmieniu z 2018 roku najwyższa kara wynosiła do 1 000 000 zł, gdy naruszenie powodowało m.in. zagrożenie poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług kluczowych ^[1]. Art. 75 pozwalał ukarać także kierownika operatora usługi kluczowej, który nie dochował należytej staranności ^[1]. Wysokość kar dla podmiotów kluczowych i ważnych po nowelizacji wynika z ustawy z 2026 roku ^[3], a dyrektywa NIS2 określa dla nich minimalne pułapy kar maksymalnych.

Nowelizacja z 2026 roku

Ustawę zmieniającą uchwalono 23 stycznia 2026 roku i ogłoszono w Dzienniku Ustaw 2 marca 2026 roku jako poz. 252 ^{[2] [3]}. Według serwisu niebezpiecznik.pl prezydent podpisał ją 19 lutego 2026 roku i jednocześnie skierował do Trybunału Konstytucyjnego w trybie kontroli następczej ^[5]. Jako powody wskazał m.in. objęcie ustawą 18 branż gospodarki, przepisy o dostawcach wysokiego ryzyka i system kar administracyjnych ^[5]. Nowelizacja weszła w życie 3 kwietnia 2026 roku ^[4]. Kolejne terminy pokazuje schemat poniżej.

RYS. 1Terminy po nowelizacji KSC

Podmioty kluczowe i ważne same oceniają, czy podlegają ustawie, i składają wniosek o wpis do wykazu ^[4]. Na wdrożenie obowiązków mają 12 miesięcy, a na przeprowadzenie pierwszego audytu bezpieczeństwa 24 miesiące ^[4]. Nowelizacja wprowadza odpowiedzialność kierownika podmiotu za realizację zadań z cyberbezpieczeństwa i obowiązek jego szkolenia ^[4]. Tworzy też m.in. Połączone Centrum Operacyjne Cyberbezpieczeństwa i sektorowe zespoły CSIRT ^[4].

W WordPressie

Ustawa nie wymienia WordPressa ani stron internetowych jako odrębnej kategorii. Strona podlega jej pośrednio, gdy jest częścią systemu informacyjnego podmiotu objętego ustawą, na przykład portalem klienta albo sklepem firmy z sektora objętego przepisami.

Po nowelizacji szczególne znaczenie ma sektor zarządzania usługami ICT ^[4]. Mogą się w nim znaleźć firmy, które utrzymują systemy klientów, w tym agencje administrujące stronami, o ile spełniają kryteria wielkości; ocenę trzeba przeprowadzić dla konkretnej firmy na podstawie tekstu ustawy.

Obowiązki z ustawy przekładają się na zwykłe prace przy stronie. Wymóg dbałości o aktualizację oprogramowania i reagowania na podatności ^[1] oznacza w praktyce zarządzanie podatnościami wtyczek i motywów. Szacowanie ryzyka obejmuje też dostawców: hosting, twórców wtyczek i firmę utrzymaniową, czym zajmuje się zarządzanie ryzykiem dostawców (TPRM). Włamanie na stronę z danymi klientów może wymagać dwóch zgłoszeń: do CSIRT według KSC i do organu ochrony danych według RODO. Odrębne przepisy dla sektora finansowego zawiera DORA.