Ustawa o KSC w gminie: co zrobić do 3 października i co potem

Wyobraź sobie sobotę, drugą w nocy. Informatyk urzędu odbiera telefon: systemy nie odpowiadają, na ekranach żądanie okupu. Od tej chwili masz 24 godziny na wczesne ostrzeżenie do CSIRT i 72 godziny na pełne zgłoszenie. Zegar nie zatrzymuje się na weekend. To nie jest scenariusz filmowy — to obowiązek z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, która obowiązuje od 3 kwietnia 2026 r. Ten tekst wyjaśnia, kogo dotyczy, jakie są terminy i dlaczego to nie jest zadanie wyłącznie dla informatyka.

Skąd się to wzięło

Nowelizacja wdraża do polskiego prawa unijną dyrektywę NIS2. Zamiast dotychczasowego podziału na operatorów usług kluczowych i dostawców usług cyfrowych pojawiają się dwie kategorie: podmioty kluczowe i podmioty ważne. Od tego, do której trafisz, zależy zakres obowiązków i intensywność nadzoru.

Dla samorządu istotne jest to, że administracja publiczna znalazła się w wykazie sektorów objętych ustawą. Gmina nie jest już „poza radarem” tylko dlatego, że nie prowadzi elektrowni ani szpitala.

Czy Twoja gmina podlega ustawie?

Progi w sektorze administracji publicznej są proste, ale zaskakująco często mylone:

• Urząd gminy — podlega, jeżeli zatrudnia co najmniej 50 osób w przeliczeniu na pełne etaty.
• Starostwo powiatowe — podlega bez progu wielkości, niezależnie od liczby zatrudnionych.
• Samorząd województwa — jednostki i zakłady budżetowe, z wyjątkami przewidzianymi w ustawie.

Osobna sprawa to spółki komunalne: wodociągi, ciepłownie, przedsiębiorstwa gospodarki komunalnej. One często trafiają do ustawy własną ścieżką, przez sektory takie jak zaopatrzenie w wodę pitną czy energia — i bywa, że nikt w gminie tego nie sprawdził, bo „to przecież osobna spółka”.

Dwa terminy, które trzeba mieć w kalendarzu

Warto zauważyć, jak te terminy są ułożone. Październik to formalność, którą da się załatwić w jeden dzień. Kwiecień 2027 wymaga zmian organizacyjnych, procedur i przećwiczenia ich z ludźmi — a to liczy się w miesiącach, nie w tygodniach. Kto potraktuje październik jako „temat zamknięty”, obudzi się z siedmioma miesiącami na wszystko inne.

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

To obowiązek, który najczęściej zaskakuje urzędy, bo dotyczy nie technologii, lecz organizacji pracy. Zgłoszenie poważnego incydentu ma trzy etapy:

• Do 24 godzin od wykrycia — wczesne ostrzeżenie do właściwego CSIRT.
• Do 72 godzin — pełne zgłoszenie: wpływ na usługę, przebieg, prawdopodobne przyczyny i podjęte działania.
• Do miesiąca — sprawozdanie końcowe.

I teraz rzecz najważniejsza: terminy biegną od momentu wykrycia incydentu, niezależnie od dnia tygodnia i godziny. Incydent wykryty w piątek o dwudziestej drugiej oznacza wczesne ostrzeżenie do soboty wieczorem. Nikt nie przesunie zegara dlatego, że sekretarz jest na urlopie, a informatyk ma wolny weekend.

Dlatego pierwsze pytanie nie brzmi „czy mamy antywirusa”, tylko: kto w sobotę o drugiej w nocy wie, że ma zadzwonić, do kogo i co powiedzieć? Jeśli odpowiedź brzmi „no, pewnie informatyk”, to nie jest procedura, tylko nadzieja.

Odpowiedzialność jest osobista

Ustawa przenosi odpowiedzialność za cyberbezpieczeństwo na kierownika podmiotu — w gminie na wójta, burmistrza lub prezydenta miasta. To nie jest już obowiązek, który da się w całości scedować na dział informatyki.

Kary są dotkliwe i zróżnicowane w zależności od kategorii podmiotu i rodzaju naruszenia — publikowane zestawienia mówią o kwotach sięgających kilku milionów euro albo procenta rocznego obrotu, z odrębnymi sankcjami między innymi za brak rejestracji, niezgłoszenie incydentu w terminie i brak systemu zarządzania bezpieczeństwem informacji. Konkretne widełki zależą od podstawy prawnej, więc jeśli potrzebujesz liczby do uzasadnienia budżetu, weź ją z tekstu ustawy, a nie z opracowania.

Dlaczego to nie jest zadanie wyłącznie dla informatyka

Największe nieporozumienie wokół KSC polega na tym, że traktuje się go jak projekt informatyczny. Tymczasem przeczytaj jeszcze raz listę obowiązków: analiza ryzyka, ciągłość działania, procedury zgłaszania, testowanie, łańcuch dostaw, świadomość pracowników. To jest zarządzanie kryzysowe zastosowane do systemów informatycznych.

Ta sama nowelizacja ustawy o zarządzaniu kryzysowym, która od lipca zmieniła gminne plany, włączyła zresztą cyberzagrożenia do definicji sytuacji kryzysowej. Prawodawca dawno przestał traktować te dwa światy osobno — urzędy często jeszcze tak robią.

Praktyczne przełożenie jest takie: dokument opisujący, jak urząd działa bez systemów, jest wart tyle, ile jego przećwiczenie. Można napisać piękny plan ciągłości działania i odkryć przy pierwszym realnym zdarzeniu, że kopie zapasowe co prawda się robią, ale nikt nigdy nie sprawdził, ile trwa odtworzenie — ani czy w ogóle się udaje.

Od czego zacząć w tym tygodniu

1. Sprawdź status w wykazie. Ustal, czy urząd został wpisany z urzędu, czy trzeba złożyć wniosek — i czy dane są poprawne. Termin: 3 października.
2. Policz etaty. Próg 50 osób w przeliczeniu na pełne etaty rozstrzyga o objęciu urzędu gminy. Przy wartości granicznej udokumentuj sposób liczenia.
3. Sprawdź spółki komunalne. Wodociągi i ciepłownia mogą podlegać ustawie własną ścieżką. To osobne podmioty i osobne obowiązki.
4. Wyznacz osobę kontaktową i ustal, kto zgłasza incydent poza godzinami pracy. Zapisz to na kartce, nie w mailu.
5. Zrób jeden test odtworzenia kopii zapasowej i zmierz czas. To najtańsza diagnoza stanu faktycznego, jaką możesz wykonać przed kwietniem 2027.