23 stycznia 2026 roku Sejm RP uchwalił nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Nowe przepisy wdrażają unijną dyrektywę NIS2 i stanowią jeden z najważniejszych kroków w kierunku wzmocnienia odporności cyfrowej państwa, gospodarki oraz kluczowych usług publicznych.
Nowelizacja rozszerza zakres krajowego systemu cyberbezpieczeństwa na kolejne, wrażliwe sektory gospodarki, wzmacnia kompetencje instytucji odpowiedzialnych za reagowanie na incydenty oraz wprowadza jasne zasady odpowiedzialności dla podmiotów kluczowych i ważnych.
“Ustawa o Krajowym Systemie Cyberbezpieczeństwa to kompleksowa regulacja, która ma wzmocnić ochronę obywateli i instytucji przed cyberzagrożeniami. Rozszerzamy system na kolejne sektory, wzmacniamy instytucje odpowiedzialne za reagowanie na incydenty i wprowadzamy jasne zasady odpowiedzialności.” - podkreślił wicepremier i minister cyfryzacji Krzysztof Gawkowski.
Nowe kompetencje dla organów odpowiedzialnych za cyberbezpieczeństwo
Ustawa wzmacnia kompetencje organów odpowiedzialnych za cyberbezpieczeństwo w poszczególnych sektorach. Ministrowie, Komisja Nadzoru Finansowego czy Prezes UKE będą mogli m.in.:
- wydawać ostrzeżenia o zagrożeniach,
- wyznaczać urzędników monitorujących realizację obowiązków przez podmioty kluczowe,
- nakazywać audyty i oceny bezpieczeństwa systemów informacyjnych.
Minister Cyfryzacji zyska uprawnienia do wydawania poleceń zabezpieczających w przypadku incydentów krytycznych oraz prowadzenia kampanii i programów edukacyjnych z zakresu cyberbezpieczeństwa. Rozszerzone kompetencje otrzyma również Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa oraz zespoły CSIRT poziomu krajowego, w tym CSIRT NASK.
Do ustawy formalnie włączono także Połączone Centrum Operacyjne Cyberbezpieczeństwa, które stanie się centralnym punktem wymiany informacji o incydentach, zagrożeniach i podatnościach.
Dostawcy wysokiego ryzyka
Nowelizacja wprowadza procedurę uznania dostawcy za dostawcę wysokiego ryzyka, co umożliwi eliminację niebezpiecznego sprzętu i usług z kluczowych systemów państwa. Decyzje w tym zakresie będzie podejmował Minister Cyfryzacji we współpracy z Kolegium do Spraw Cyberbezpieczeństwa.
Podmioty istotne dla funkcjonowania państwa nie będą mogły korzystać z produktów takich dostawców, a już posiadane rozwiązania będą musiały zostać wycofane w ciągu 7 lat.
Poprawki przyjęte w toku prac sejmowych
W trakcie prac sejmowych przyjęto również poprawki doprecyzowujące przepisy. Jedna z nich przewiduje udział przedstawiciela Prezydenta RP w pracach nad Krajowym planem reagowania na incydenty i sytuacje kryzysowe. Druga wprowadza dwuletni okres przejściowy - administracyjne kary pieniężne będą mogły być nakładane dopiero po upływie 2 lat od wejścia ustawy w życie, co ma umożliwić podmiotom odpowiednie przygotowanie się do nowych wymagań.
