Wniosek o wpis do Wykazu KSC — termin: 3 października 2026.
Sprawdź swój status →
FAQ — Krajowy System Cyberbezpieczeństwa
Pytania i odpowiedzi o KSC i NIS2
Czternaście bloków tematycznych — od ustalenia, czy przepisy w ogóle Cię obejmują, po kary i nadzór. Odpowiedzi są skrótowe z założenia: mają dać orientację, a nie zastąpić lektury ustawy.
Spis treści
Czego szukasz?
- 1. Identyfikacja podmiotów kluczowych i ważnych
- 2. Wykaz podmiotów kluczowych i ważnych
- 3. Obowiązki podmiotów kluczowych i ważnych
- 4. Obowiązki kierownika podmiotu
- 5. Zespoły reagowania na incydenty (CSIRT)
- 6. Zgłaszanie incydentów
- 7. System S46
- 8. Wymiana informacji o cyberbezpieczeństwie
- 9. Audyty bezpieczeństwa systemu informacyjnego
- 10. Szczególne działania na rzecz cyberbezpieczeństwa
- 11. Nadzór nad podmiotami kluczowymi i ważnymi
- 12. Kary pieniężne
- 13. Obowiązki rejestratorów nazw domen
- 14. Pozostałe pytania
01 · Identyfikacja podmiotów
Czy przepisy w ogóle mnie dotyczą
Skąd mam wiedzieć, czy moja organizacja podlega ustawie?
Trzy warunki muszą być spełnione jednocześnie: działalność w jednym z 18 sektorów wskazanych w załącznikach do dyrektywy, przekroczenie progu wielkości (co najmniej 50 osób zatrudnionych albo ponad 10 mln EUR rocznego obrotu) oraz prowadzenie działalności w Polsce lub świadczenie usług na rzecz polskich podmiotów. Od progu wielkości istnieją wyjątki działające w obie strony.
Co odróżnia podmiot kluczowy od ważnego?
Przede wszystkim tryb nadzoru i górna granica kar. Podmioty kluczowe podlegają nadzorowi wyprzedzającemu — organ może kontrolować bez sygnału o nieprawidłowości — i karom do 10 mln EUR. Podmioty ważne podlegają nadzorowi następczemu i karom do 7 mln EUR. Katalog obowiązków merytorycznych jest natomiast bardzo zbliżony.
Czy urząd zawiadomi mnie, że jestem objęty przepisami?
Nie. Obowiązuje zasada samoidentyfikacji — to organizacja sama ustala swój status i zgłasza się do wykazu. Brak pisma z urzędu nie jest żadnym potwierdzeniem, że przepisy nie mają zastosowania, i nie chroni przed odpowiedzialnością.
Nie przekraczam progu wielkości — czy to zamyka temat?
Niekoniecznie. Mniejsza organizacja może zostać objęta przepisami m.in. wtedy, gdy jest jedynym dostawcą określonej usługi w regionie, gdy zakłócenie jej działalności mogłoby wpłynąć na bezpieczeństwo publiczne albo gdy zostanie wskazana indywidualną decyzją organu. Działa to też w drugą stronę — część podmiotów podlega ustawie niezależnie od wielkości.
Jak liczyć zatrudnienie i obrót przy ocenie progu?
Stosuje się kryteria znane z klasyfikacji MŚP: liczbę zatrudnionych oraz roczny obrót lub sumę bilansową, liczone dla całego przedsiębiorstwa. Przy powiązaniach kapitałowych trzeba uwzględnić dane podmiotów partnerskich i powiązanych, co w grupach kapitałowych bywa najczęstszym źródłem pomyłek w samodzielnej kwalifikacji.
Działam w kilku branżach naraz — który sektor mnie kwalifikuje?
Wystarczy, że choć jeden rodzaj prowadzonej działalności mieści się w objętym sektorze — wtedy przepisy stosuje się do organizacji. Jeżeli różne części działalności wpadają do różnych kategorii, obowiązuje kwalifikacja dalej idąca, czyli ta wiążąca się z surowszym reżimem.
02 · Wykaz podmiotów
Zgłoszenie do wykazu
Czym jest wykaz i kto go prowadzi?
To prowadzony przez ministra właściwego do spraw informatyzacji rejestr organizacji objętych ustawą. Wpis nie jest formalnością administracyjną — od niego zaczyna się formalna relacja z organami KSC i na jego podstawie ustala się, kto podlega nadzorowi i obowiązkom sprawozdawczym.
Ile mam czasu na zgłoszenie?
Sześć miesięcy od wejścia ustawy w życie, czyli najpóźniej 3 października 2026 r. Jest to termin, którego nie da się nadrobić wstecz — dlatego przy odkładaniu tematu to on zwykle mija jako pierwszy.
W jaki sposób składa się wniosek?
Drogą elektroniczną, przez system teleinformatyczny S46. Wniosek obejmuje dane identyfikacyjne organizacji, wskazanie sektora i rodzaju świadczonej usługi oraz dane osób wyznaczonych do kontaktu w sprawach cyberbezpieczeństwa.
Co grozi za niezgłoszenie się w terminie?
Brak wpisu jest naruszeniem obowiązku ustawowego i podlega karze pieniężnej. Co równie istotne, nie zawiesza pozostałych obowiązków — organizacja spełniająca kryteria podlega ustawie niezależnie od tego, czy dopełniła zgłoszenia.
Czy dane w wykazie trzeba utrzymywać w aktualności?
Tak. Zmiany istotnych danych — w szczególności osób kontaktowych, zakresu usług czy statusu podmiotu — należy zgłaszać niezwłocznie. Nieaktualne dane kontaktowe są problemem przede wszystkim przy incydencie, gdy liczy się każda godzina.
03 · Obowiązki podmiotów
Co trzeba wdrożyć
Jakie są główne obowiązki objętej organizacji?
Zgłoszenie do wykazu, wdrożenie systemu zarządzania bezpieczeństwem informacji, zarządzanie ryzykiem wraz z dokumentacją, wyznaczenie osoby do kontaktu z organami, obsługa i zgłaszanie incydentów przez S46, szkolenie kierownictwa, informowanie odbiorców o zagrożeniach, a w przypadku podmiotów kluczowych — okresowy audyt bezpieczeństwa.
Czym jest SZBI i do kiedy musi działać?
To system zarządzania bezpieczeństwem informacji — zestaw procesów, ról i dokumentów opisujących, jak organizacja panuje nad ryzykiem w swoich systemach. Termin wdrożenia to 3 kwietnia 2027 r. Ustawa wymaga jego rzeczywistego stosowania, nie samego opracowania.
Mamy certyfikat ISO 27001 — czy to załatwia sprawę?
Bardzo pomaga, ale nie zamyka tematu automatycznie. Ustawa ma własny katalog wymagań i to on jest przedmiotem oceny — trzeba wykazać zgodność z nim, a nie z normą. W praktyce wdrożone ISO skraca drogę, bo część procesów i dowodów już istnieje.
Co oznacza wymóg środków „proporcjonalnych"?
Zakres zabezpieczeń ma odpowiadać skali ryzyka, wielkości organizacji i znaczeniu świadczonej usługi. Mała organizacja o niskim profilu ryzyka nie musi budować rozbudowanego centrum operacji bezpieczeństwa — musi natomiast umieć wykazać, że przeprowadziła analizę i świadomie dobrała środki. Brak udokumentowanej decyzji traktowany jest jak jej brak.
Jakie obszary muszą objąć zabezpieczenia?
Analiza ryzyka, kontrola dostępu, ciągłość działania wraz z testowanymi kopiami zapasowymi, zarządzanie aktualizacjami i podatnościami, bezpieczeństwo łańcucha dostaw oraz szyfrowanie i ochrona integralności danych. Do tego obsługa incydentów i ocena skuteczności przyjętych środków.
Czy trzeba informować klientów o zagrożeniach?
Tak. Odbiorcy usług muszą mieć dostęp do informacji o cyberzagrożeniach związanych ze świadczoną usługą. W praktyce zwykle wystarczy odpowiednia sekcja na stronie internetowej albo odesłanie do komunikatów właściwego CSIRT.
04 · Obowiązki kierownika podmiotu
Odpowiedzialność zarządu
Kto jest „kierownikiem podmiotu" w rozumieniu ustawy?
Osoba lub organ zarządzający organizacją — w spółkach kapitałowych będzie to zarząd, w jednostkach publicznych ich kierownik. To na tym poziomie ustawa lokuje odpowiedzialność za wykonanie obowiązków, a nie na poziomie działu IT.
Czy mogę przenieść tę odpowiedzialność na dział IT albo firmę zewnętrzną?
Nie. Powierzenie zadań innej osobie lub podmiotowi zewnętrznemu przenosi wykonanie pracy, ale nie odpowiedzialność prawną — ta pozostaje przy kierowniku podmiotu. Korzystanie z dostawcy usług zarządzanych jest dopuszczalne i często rozsądne, lecz nie zwalnia z nadzoru nad realizacją.
Na czym polega obowiązek szkoleniowy?
Kierownictwo ma obowiązek odbywać szkolenia z zakresu cyberbezpieczeństwa, pozwalające rozpoznawać ryzyko i oceniać adekwatność stosowanych środków. Kluczowe jest udokumentowanie tego faktu — nieudokumentowane szkolenie jest przy kontroli nie do wykazania.
Czy zarząd musi zatwierdzać dokumentację bezpieczeństwa?
Tak — kierownictwo zatwierdza przyjęte środki zarządzania ryzykiem i nadzoruje ich stosowanie. Oznacza to również zapewnienie budżetu i zasobów; brak środków na realizację nie jest okolicznością zwalniającą z obowiązku.
05 · Zespoły CSIRT
Kto reaguje na incydenty
Czym są zespoły CSIRT i ile ich działa?
To zespoły reagowania na incydenty bezpieczeństwa komputerowego, działające na poziomie krajowym. W Polsce funkcjonują trzy: CSIRT NASK, CSIRT GOV i CSIRT MON. Przyjmują zgłoszenia, koordynują obsługę incydentów i wydają ostrzeżenia o zagrożeniach.
Do którego zespołu mam zgłaszać incydenty?
O właściwości decyduje sektor i charakter organizacji. CSIRT GOV obsługuje administrację i wskazane podmioty publiczne, CSIRT MON obszar obronności, a CSIRT NASK pozostałe podmioty — czyli w praktyce większość firm komercyjnych. Warto ustalić właściwy zespół zawczasu, a nie w trakcie incydentu.
Czym zajmuje się CSIRT poza przyjmowaniem zgłoszeń?
Analizuje zagrożenia, wspiera obsługę incydentów, publikuje ostrzeżenia i rekomendacje, prowadzi wymianę informacji z zespołami z innych państw oraz uczestniczy w szacowaniu ryzyka na poziomie krajowym. Dla objętej organizacji jest to pierwszy punkt kontaktu przy poważnym zdarzeniu.
Czy CSIRT usunie skutki incydentu w mojej organizacji?
Nie zastępuje własnych zespołów ani dostawców. Zapewnia wsparcie, koordynację i wiedzę o zagrożeniu, ale odpowiedzialność za przywrócenie działania i usunięcie przyczyn pozostaje po stronie organizacji.
06 · Zgłaszanie incydentów
Terminy, które biegną od wykrycia
Który incydent podlega zgłoszeniu?
Zgłasza się incydenty poważne — takie, które mogą istotnie zakłócić świadczenie usługi, wywołać znaczne straty finansowe albo szkody u odbiorców, w tym szkody niemajątkowe. Drobne zdarzenia operacyjne obsługuje się wewnętrznie, ale warto je rejestrować, bo ich powtarzalność bywa przesłanką powagi.
Jakie terminy obowiązują przy zgłoszeniu?
24 godziny na wczesne ostrzeżenie od momentu wykrycia, 72 godziny na pełne zgłoszenie i miesiąc na sprawozdanie końcowe. Jeżeli incydent nadal trwa, organ może zażądać raportu pośredniego o postępach.
Co powinno znaleźć się w kolejnych zgłoszeniach?
Przy wczesnym ostrzeżeniu wystarczy sam sygnał: co się stało, czy podejrzewa się działanie umyślne i czy skutki mogą wyjść poza kraj. Pełne zgłoszenie zawiera ocenę dotkliwości i zasięgu oraz oznaki naruszenia integralności systemów. Sprawozdanie końcowe opisuje przebieg, przyczyny, skutki i wdrożone środki zapobiegawcze.
Nie mam pewności, czy incydent jest poważny — zgłaszać?
Wątpliwość rozstrzyga się na korzyść zgłoszenia. Niezgłoszenie incydentu spełniającego kryteria jest naruszeniem prawa; zgłoszenie zdarzenia, które ostatecznie nie okazało się poważne, nie rodzi negatywnych konsekwencji.
Czy trzeba powiadomić klientów o incydencie?
Jeżeli incydent może istotnie wpłynąć na świadczoną im usługę — tak. Obowiązek ten jest niezależny od zgłoszenia do CSIRT. Gdy w grę wchodzą również dane osobowe, równolegle biegną terminy wynikające z RODO, które trzeba rozpatrywać osobno.
07 · System S46
Kanał kontaktu z organami
Czym właściwie jest S46?
To rządowy system teleinformatyczny obsługujący krajowy system cyberbezpieczeństwa. Służy do zgłaszania się do wykazu, przekazywania zgłoszeń o incydentach, odbierania ostrzeżeń i prowadzenia komunikacji z organami KSC.
Od kiedy trzeba z niego korzystać?
System udostępniono nowym podmiotom w czerwcu 2026 r., a obowiązek jego stosowania w pełnym zakresie wiąże od 3 kwietnia 2027 r. Zgłoszenie do wykazu odbywa się jednak przez S46 wcześniej — do 3 października 2026 r.
Jak uzyskać dostęp do systemu?
Dostęp uzyskuje się w procesie rejestracji podmiotu, z uwierzytelnieniem osób upoważnionych do działania w jego imieniu. Konta wiąże się z osobami wyznaczonymi do kontaktu, dlatego ich dane w wykazie muszą być aktualne.
Czy warto poznać system przed pierwszym incydentem?
Zdecydowanie. Doba na wczesne ostrzeżenie biegnie od wykrycia, a nie od momentu, w którym ktoś zorientuje się, jak zalogować się do systemu. Warto przećwiczyć ścieżkę zgłoszenia i ustalić z góry, kto ma do niej dostęp i kto zgłasza poza godzinami pracy.
08 · Wymiana informacji
Dzielenie się wiedzą o zagrożeniach
Na czym polega wymiana informacji w ramach KSC?
Na przekazywaniu między podmiotami i organami wiedzy o zagrożeniach, podatnościach, sposobach działania atakujących i skutecznych środkach zaradczych. Celem jest, by doświadczenie jednej organizacji pozwoliło innym uniknąć tego samego zdarzenia.
Czy udział w wymianie informacji jest obowiązkowy?
Samo zgłaszanie incydentów i przekazywanie informacji żądanych przez organy jest obowiązkowe. Udział w dobrowolnych porozumieniach branżowych i szerszej wymianie wiedzy pozostaje decyzją organizacji, choć bywa realnie użyteczny.
Czy mogę dzielić się informacjami z innymi firmami?
Tak, przepisy wprost sprzyjają takiej współpracy. Trzeba jednak zadbać o ochronę informacji wrażliwych, tajemnicy przedsiębiorstwa i danych osobowych — dlatego wymianę zwykle prowadzi się w ustalonych ramach i na danych pozbawionych identyfikatorów.
Czy trzeba reagować na ostrzeżenia wydawane przez organy?
Ostrzeżenia i rekomendacje należy analizować pod kątem własnego środowiska i dokumentować podjęte decyzje. Zignorowanie ostrzeżenia, które okaże się istotne dla organizacji, będzie przy ocenie nadzorczej trudne do obrony.
09 · Audyty bezpieczeństwa
Kto, kiedy i w jakim zakresie
Kogo dotyczy obowiązek audytu?
Obowiązkowy, cykliczny audyt bezpieczeństwa systemu informacyjnego dotyczy podmiotów kluczowych. Podmioty ważne nie mają takiego obowiązku z mocy ustawy, ale organ nadzoru może zlecić im audyt w ramach czynności nadzorczych.
Jak często trzeba go przeprowadzać?
Pierwszy audyt należy wykonać do 3 kwietnia 2028 r., a kolejne co najmniej raz na trzy lata. Istotna zmiana w systemach lub zakresie usług może uzasadniać wcześniejsze powtórzenie.
Czy audyt może wykonać własny dział IT?
Nie. Audyt przeprowadzają podmioty spełniające wymagania określone przepisami, przy zachowaniu niezależności od ocenianego obszaru. Zespół, który projektował i utrzymuje dane rozwiązanie, nie może go samodzielnie audytować.
Co obejmuje zakres audytu?
Ocenę systemu zarządzania bezpieczeństwem informacji i skuteczności zastosowanych środków — od analizy ryzyka i kontroli dostępu, przez ciągłość działania i kopie zapasowe, po obsługę incydentów i bezpieczeństwo łańcucha dostaw. Sprawdzane są nie deklaracje, lecz dowody stosowania.
Co dzieje się z wynikami audytu?
Sprawozdanie pozostaje w organizacji, ale organ nadzoru może zażądać jego przekazania. Stwierdzone nieprawidłowości należy usuwać w sposób udokumentowany — sam fakt wykonania audytu bez reakcji na jego ustalenia nie świadczy o zgodności.
10 · Szczególne działania
Polecenia i dostawcy wysokiego ryzyka
Czym jest polecenie zabezpieczające?
To wiążące rozstrzygnięcie nakazujące określone zachowanie w sytuacji poważnego zagrożenia — na przykład wdrożenie konkretnej poprawki, wycofanie podatnego oprogramowania albo odcięcie wskazanego ruchu sieciowego. Wydawane jest wtedy, gdy zwykłe rekomendacje nie wystarczą.
Kto może wydać takie polecenie i czy trzeba je wykonać?
Wydaje je minister właściwy do spraw informatyzacji, w trybie przewidzianym ustawą i zwykle po zasięgnięciu opinii wyspecjalizowanych organów. Polecenie jest wiążące — jego niewykonanie stanowi naruszenie obowiązku i podlega sankcji.
Kim jest dostawca wysokiego ryzyka?
To dostawca sprzętu lub oprogramowania uznany — w odrębnym postępowaniu — za stwarzającego poważne zagrożenie dla bezpieczeństwa państwa. Ocena uwzględnia zarówno kwestie techniczne, jak i pozatechniczne, w tym otoczenie prawne, w jakim dostawca działa.
Co oznacza takie uznanie dla organizacji korzystającej z jego produktów?
Może pojawić się obowiązek wycofania wskazanych produktów w wyznaczonym czasie, zwłaszcza w zastosowaniach krytycznych. Dlatego warto z wyprzedzeniem znać własny inwentarz sprzętu i oprogramowania — bez niego nie da się nawet ocenić, czy sprawa dotyczy organizacji.
11 · Nadzór
Jak wygląda kontrola
Kto sprawuje nadzór nad objętymi podmiotami?
Organy właściwe wyznaczone dla poszczególnych sektorów — inny organ nadzoruje energetykę, inny ochronę zdrowia czy infrastrukturę cyfrową. Warto wiedzieć z góry, kto jest właściwy dla danej organizacji, bo to z nim toczy się cała korespondencja.
Czym różni się nadzór nad podmiotem kluczowym i ważnym?
Wobec podmiotów kluczowych nadzór jest wyprzedzający — organ może prowadzić czynności planowo, bez sygnału o nieprawidłowościach. Wobec podmiotów ważnych ma charakter następczy, czyli podejmowany po powzięciu informacji wskazującej na naruszenie.
Jakie uprawnienia ma organ podczas kontroli?
Może żądać dokumentacji i wyjaśnień, przeprowadzać kontrole na miejscu, zlecić audyt bezpieczeństwa na koszt organizacji, wydawać zalecenia i nakazy usunięcia nieprawidłowości, a w dalszej kolejności nakładać kary pieniężne.
Czego zwykle żąda kontroler w pierwszej kolejności?
Dowodów działania, a nie samych dokumentów: rejestru incydentów, wyników testów odtworzenia kopii zapasowych, śladu szkoleń kierownictwa, zapisów z przeglądów ryzyka i oceny dostawców. Dokumentacja bez śladów stosowania jest najczęstszym powodem negatywnych ustaleń.
12 · Kary pieniężne
Ile kosztuje brak wdrożenia
Jakie są maksymalne kary dla organizacji?
Dla podmiotu kluczowego — do 10 mln EUR albo 2% rocznego przychodu, dla podmiotu ważnego — do 7 mln EUR albo 1,4% przychodu; stosuje się kwotę wyższą. Przewidziano też karę nadzwyczajną do 100 mln zł, gdy naruszenie wywołało bezpośrednie i poważne zagrożenie.
Czy kierownik podmiotu odpowiada własnym majątkiem?
Tak, przewidziano odrębną karę nakładaną na kierownika podmiotu — do 300% jego wynagrodzenia w podmiotach prywatnych i do 100% w publicznych. Jest ona niezależna od kary nałożonej na organizację. Warto sprawdzić, czy polisa D&O obejmuje tego rodzaju sankcję — często nie obejmuje.
Od kiedy kary będą naliczane w pełnej wysokości?
Od 3 kwietnia 2028 r., po zakończeniu dwuletniego okresu przejściowego. Odroczenie dotyczy jednak wyłącznie kar — same obowiązki wiążą od dnia wejścia ustawy w życie i organ może w tym czasie prowadzić czynności nadzorcze.
Czy poza karą finansową grożą inne konsekwencje?
Tak. Możliwe jest zawieszenie w pełnieniu funkcji zarządczych, nakaz audytu na koszt organizacji oraz podanie do publicznej wiadomości informacji o niespełnieniu wymagań. Ta ostatnia sankcja bywa dotkliwsza od finansowej, bo trafia wprost do klientów i kontrahentów.
Co organ bierze pod uwagę, ustalając wysokość kary?
Wagę i czas trwania naruszenia, jego skutki, umyślność, dotychczasową współpracę z organem oraz działania podjęte w celu ograniczenia szkód. Udokumentowane, konsekwentne starania działają na korzyść — nawet jeśli nie wszystko udało się wdrożyć na czas.
13 · Rejestratorzy nazw domen
Obowiązki dotyczące danych rejestracyjnych
Kogo dotyczą te obowiązki?
Podmiotów prowadzących rejestry nazw domen oraz świadczących usługi rejestracji — niezależnie od tego, czy spełniają progi wielkościowe stosowane wobec pozostałych kategorii. To odrębna grupa obowiązków, dodana w aktualizacji z czerwca 2026 r.
Jakie dane trzeba gromadzić?
Dokładne i kompletne dane rejestracyjne nazw domen: oznaczenie abonenta, dane kontaktowe osób odpowiedzialnych za domenę oraz informacje umożliwiające identyfikację i kontakt. Dane muszą być weryfikowane i utrzymywane w aktualności.
Komu i na jakich zasadach udostępnia się te dane?
Uprawnionym podmiotom zgłaszającym uzasadniony wniosek — w szczególności zespołom CSIRT i organom ścigania — w terminie wskazanym przepisami. Udostępnianie musi respektować ochronę danych osobowych, dlatego zakres odpowiedzi zależy od podstawy wniosku.
14 · Pozostałe pytania
Rzeczy, o które pytają najczęściej
Czy zgodność to projekt z datą zakończenia?
Nie. Po wdrożeniu pozostają obowiązki ciągłe: obsługa i zgłaszanie incydentów, aktualizacja analizy ryzyka i dokumentacji, cykliczne szkolenia, przeglądy dostawców, a dla podmiotów kluczowych audyt co najmniej raz na trzy lata.
Jestem dostawcą firmy objętej ustawą — czy to mnie dotyczy?
Formalnie możesz być poza zakresem, ale wymagania i tak spłyną — umownie. Objęci klienci mają obowiązek zarządzać bezpieczeństwem swojego łańcucha dostaw, więc pojawią się ankiety, klauzule w kontraktach i warunki w przetargach. W praktyce brak gotowości oznacza ryzyko utraty kontraktu.
Jak KSC ma się do RODO?
To dwa niezależne reżimy o różnych celach: KSC chroni ciągłość i bezpieczeństwo usług, RODO — dane osobowe. Jeden incydent może uruchomić oba obowiązki równolegle, z osobnymi terminami i osobnymi adresatami zgłoszenia. Spełnienie wymagań RODO nie oznacza zgodności z KSC.
Od czego zacząć, jeśli dotąd nie zrobiliśmy nic?
Od ustalenia statusu — czy i w której kategorii organizacja się mieści. Dopiero to pozwala sensownie zaplanować resztę. Kolejne kroki to zgłoszenie do wykazu w terminie, analiza luk wobec wymagań i plan wdrożenia ułożony według ryzyka oraz terminów ustawowych.
Gdzie szukać źródeł urzędowych?
Podstawą są: dyrektywa NIS2 (UE 2022/2555), ustawa o krajowym systemie cyberbezpieczeństwa wraz z nowelizacją oraz materiały informacyjne Ministerstwa Cyfryzacji i serwisu cyber.gov.pl. W razie wątpliwości interpretacyjnych rozstrzygające pozostają teksty aktów prawnych.
Powyższe odpowiedzi mają charakter informacyjny i nie stanowią porady prawnej. Zakres tematyczny odpowiada układowi materiału informacyjnego opublikowanego na cyber.gov.pl; ostateczna ocena sytuacji konkretnej organizacji wymaga indywidualnej analizy.
Sprawdź, czy Twoja organizacja podlega wymaganiom KSC/NIS2
Krótka weryfikacja (ok. 5 minut, bez rejestracji) pozwala ocenić, czy działalność organizacji mieści się w zakresie regulacji i jakie kroki warto podjąć dalej.