STAN PRAWNY NA 18 WRZEŚNIA 2026

W dniu 3 kwietnia weszła w życie Ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, wdrażająca Dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii – tzw. Dyrektywa NIS2, czyli w uproszczeniu: unijne prawo o cyberbezpieczeństwie.

Nowelizacja służy realizacji celów, jakimi są podniesienie poziomu odporności na cyberzagrożenia oraz poziomu ochrony informacji w sektorze publicznym, militarnym i prywatnym. Ustawa, zgodnie z uzasadnieniem do jej projektu, spełnia także cel szczegółowy odnoszący się do rozwoju krajowego systemu cyberbezpieczeństwa poprzez ewaluację przepisów prawa. Ponadto realizuje cele związane z zapewnieniem bezpieczeństwa łańcucha dostaw oraz utworzeniem krajowego systemu certyfikacji cyberbezpieczeństwa.

Ustawa jest istotna dla szkół, przedszkoli i innych placówek, z uwagi na ustalony zakres podmiotów objętych jej regulacjami. Zgodnie z art. 4 znowelizowanej Ustawy o krajowym systemie cyberbezpieczeństwa system ten obejmuje:

• podmioty kluczowe,
• podmioty ważne,
• CSIRT MON (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Ministra Obrony Narodowej),
• CSIRT NASK (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy),
• CSIRT GOV (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego),
• CSIRT sektorowe (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego),
• organy właściwe do spraw cyberbezpieczeństwa,
• Połączone Centrum Operacyjne Cyberbezpieczeństwa,
• Pojedynczy Punkt Kontaktowy do spraw cyberbezpieczeństwa,
• Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa,
• Kolegium do Spraw Cyberbezpieczeństwa.

Incydenty wpływające na działalność operatorów usług kluczowych (incydenty poważne) i dostawców usług cyfrowych (incydenty istotne), a także incydenty w podmiotach publicznych są raportowane do jednego z trzech krajowych zespołów reagowania na incydenty bezpieczeństwa komputerowego (zwanych dalej CSIRT). Do zadań zespołów CSIRT należy m.in. klasyfikowanie incydentów jako krytyczne. Ustawa usankcjonowała istnienie trzech zespołów na poziomie krajowym: CSIRT GOV (działającego w Agencji Bezpieczeństwa Wewnętrznego), CSIRT NASK (działającego w Naukowej i Akademickiej Sieci Komputerowej – Państwowym Instytucie Badawczym, zwanym dalej NASK–PIB) oraz CSIRT MON (prowadzonego przez ministra obrony narodowej). Zespoły CSIRT współpracują ze sobą w ramach Zespołu do spraw Incydentów Krytycznych.

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa jest odpowiedzialny za koordynowanie działań i realizowanie polityki rządu w zakresie zapewnienia cyberbezpieczeństwa w Rzeczypospolitej Polskiej. Pełnomocnik – w randze ministra, sekretarza stanu albo podsekretarza stanu – jest powoływany i odwoływany przez Prezesa Rady Ministrów. Do jego zadań należy zarówno analiza i ocena funkcjonowania krajowego systemu cyberbezpieczeństwa, dokonywana na podstawie danych i wskaźników opracowanych przy udziale organów administracji państwowej, organów właściwych i zespołów CSIRT, jak i nadzór nad procesem zarządzania ryzykiem krajowego systemu cyberbezpieczeństwa z wykorzystaniem zagregowanych danych i wskaźników opracowanych przy udziale organów właściwych i zespołów CSIRT. Pełnomocnik jest ponadto odpowiedzialny za opiniowanie projektów aktów prawnych oraz innych dokumentów rządowych mających wpływ na realizację zadań z zakresu cyberbezpieczeństwa i inicjuje krajowe ćwiczenia obejmujące tę tematykę.