KSC 2.0 od 2 kwietnia 2026: kary 10 mln EUR i zarząd

2 kwietnia 2026: data której wiele polskich firm jeszcze nie wpisało do kalendarza

Nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczenstwa (UKSC), w jezyku branży "KSC 2.0", weszła w zycie 2 kwietnia 2026 i wdraza w polskim porządku prawnym dyrektywę NIS2 (2022/2555). W przeciwieństwie do pierwotnej UKSC z 2018 roku, ktora obejmowała kilkaset operatorów usług kluczowych i dostawców usług cyfrowych, nowa ustawa rozciąga obowiązki na około 38 000 podmiotów w 18 sektorach. Ten skok nie jest marginalna zmiana skali. Jest to wprowadzenie cyberbezpieczenstwa jako obowiązku zarządczego dla większości średniej i dużej polskiej przedsiębiorczości.

Firmy trafiły na listę podmiotów kluczowych lub ważnych na podstawie kryteriów sektorowych i progów zatrudnienia oraz przychodów. Sektor energetyczny, transport, bankowość, infrastruktura rynku finansowego, sluzba zdrowia, woda pitna, sciekowa, infrastruktura cyfrowa, administracja publiczna, kosmiczny, usługi pocztowe i kurierskie, gospodarka odpadami, produkcja produktów chemicznych, produkcja żywności, produkcja wyrobów medycznych i in vitro, produkcja komputerów, produkcja sprzętu elektrycznego, produkcja maszyn, produkcja pojazdów, dostawcy usług cyfrowych, badania naukowe: każdy z tych obszarów ma swoje progi i specyfikę.

Rejestracja w wykazie podmiotów przez Ministerstwo Cyfryzacji

W ciągu 6 miesięcy od wejścia w zycie ustawy, czyli do 3 października 2026, każdy podmiot kluczowy lub ważny musi zarejestrować się w prowadzonym przez Ministerstwo Cyfryzacji wykazie. Rejestracja obejmuje:

• Identyfikacja prawna podmiotu i jego struktury kapitałowej
• Klasyfikacja sektorowa i ocena kwalifikacji jako podmiot kluczowy lub ważny
• Wskazanie osoby kierującej podmiotem odpowiedzialnej za cyberbezpieczenstwo (często członek zarządu)
• Wskazanie kanałów kontaktowych dla zgłaszania incydentów i komunikacji z CSIRT MON, CSIRT NASK lub CSIRT GOV
• Lista usług krytycznych i podstawowych aktywów informatycznych

Niezglosenie się do wykazu w terminie nie jest stanem neutralnym. Ministerstwo i UODO maja prawo z urzędu identyfikować podmioty, nakładać wezwania i sankcje. Strategia "moze nas nie zauwaza" jest droga prosto do kary administracyjnej.

Wymagania dotyczące zarządzania ryzykiem i dokumentacji

KSC 2.0 wymaga, aby każdy podmiot prowadził System Zarządzania Bezpieczeństwem Informacji (SZBI) oparty na metodyce analizy ryzyka i obejmujący 10 obszarów tematycznych, które w pełni odpowiadają artykułom 21 i 23 dyrektywy NIS2:

1. Polityka analizy ryzyka i bezpieczeństwa informacji
2. Obsluga incydentów z udokumentowanymi procedurami eskalacji
3. Ciągłość działania i zarządzanie kryzysami
4. Bezpieczeństwo łańcucha dostaw, w tym usług ICT i sklicznosci dostawców
5. Bezpieczeństwo zakupu, rozwoju i utrzymania sieci i systemów informatycznych
6. Polityki i procedury oceny skuteczności srodkow
7. Podstawowa higiena cybernetyczna i szkolenia w zakresie cyberbezpieczenstwa
8. Polityki dotyczące stosowania kryptografii i szyfrowania
9. Bezpieczeństwo zasobów ludzkich, kontrola dostępu, zarządzanie aktywami
10. Stosowanie uwierzytelniania wieloskładnikowego i uwierzytelniania ciągłego

Dokumentacja SZBI nie jest luksusem ani opcjonalnym dodatkiem. Stanowi materiał dowodowy zarówno wobec organów nadzoru, jak i w postępowaniach cywilnych po naruszeniach. Brak dokumentacji zarządzania ryzykiem jest najczęściej wymieniana paragrafia w komunikatach o sankcjach UODO i Ministerstwa Cyfryzacji w 2025 i 2026.

System S46 i obowiązek zgłoszeniowy 24/72/1 miesiąc

Polska wdraza ujednolicony system zgłaszania incydentów S46 (Single Point of Entry), prowadzony przez CSIRT-y sektorowe. Schemat raportowania jest trzystopniowy:

• Wczesne ostrzeżenie w ciągu 24 godzin od wykrycia istotnego incydentu
• Pełne powiadomienie o incydencie w ciągu 72 godzin z analiza wstepna i klasyfikacja
• Raport końcowy w ciągu 1 miesiąca od zamknięcia incydentu, opisujący przyczyny korzeniowe i wdrożenie srodkow zaradczych

Niedotrzymanie któregokolwiek z trzech terminów jest samodzielnym naruszeniem, niezależnie od samego incydentu. Ślad audytowy w S46 staje się kluczowy: zgłaszający musi być w stanie wykazać, kiedy dokładnie incydent został wykryty, kto i kiedy podjął jakie decyzje, jakie dowody zostały zachowane. To wymaga niezmienialnego archiwum logow i komunikacji wewnętrznej, integrowanego z systemem ticketowym SOC.

Kary dla spółki i osobista odpowiedzialność członków zarządu

Wysokość kar w KSC 2.0 oddziela od jakiegokolwiek wcześniejszego reżimu sankcyjnego w polskim cyberbezpieczenstwie:

1. Podmiot kluczowy: do 10 000 000 EUR lub 2% rocznego światowego obrotu, w zależności od tego, ktora kwota jest wyzsza
2. Podmiot ważny: do 7 000 000 EUR lub 1,4% rocznego światowego obrotu
3. Kara osobista dla osoby kierującej podmiotem (członek zarządu odpowiedzialny za cyberbezpieczenstwo): do 300% miesięcznego wynagrodzenia w sektorze prywatnym, do 100% w sektorze publicznym
4. Możliwość nakazania zaprzestania prowadzenia określonej działalności lub odwołania osoby kierującej z funkcji

Mechanizm odpowiedzialności osobistej zarządu jest najbardziej obiektywnym instrumentem ustawy. Członek zarządu, któremu przydzielono obszar cyberbezpieczenstwa, ponosi osobistego ryzyko finansowe i moze być zmuszony do opuszczenia stanowiska decyzja organu nadzoru. To zmienia pole negocjacji wewnątrz firmy: cyberbezpieczenstwo przestaje być problemem działu IT, który walczy z dyrektorem finansowym o budżet, a staje się obszarem strategicznym, w którym zarząd ma osobisty interes finansowy aby zapewnić wystarczające srodki.

Co rejestrują firmy, które już przeszły audyt

Polskie firmy, które zdecydowały się wcześnie zacalec do KSC 2.0 (często w sektorze finansowym i energetycznym, gdzie regulator narzucił to przed 2 kwietnia 2026), dziela się jednym wzorcem: rozdzielają repozytorium dokumentacji SZBI (polityki, procedury, raporty z testów penetracyjnych, plany odzyskiwania po awarii) od archiwum operacyjnego (logi systemowe, kopie zapasowe, dowody konfiguracji). Pierwsze repozytorium jest aktywnie pracujące, podlega kontroli wersji, jest dostępne dla CISO i komitetu zarządczego. Drugie jest niemodyfikowalne, zaopatrzone w hash-chain i znaczniki czasu, sluzy jako materiał dowodowy w razie postępowania.

Połączenie tych dwóch warstw pozwala w razie zgłoszenia w systemie S46 udokumentować w ciągu kilku godzin pełny łańcuch zdarzeń od pierwszego sygnału do zamknięcia incydentu, co stanowi roznice miedzy przyjęciem srodkow zaradczych a maksymalna kara administracyjna.