28 stycznia 2026 roku Senat RP przyjął nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) bez poprawek. Oznacza to, że projekt - po wieloletnich pracach legislacyjnych - został skierowany bezpośrednio do podpisu Prezydenta RP. Nowe przepisy wdrażają unijną dyrektywę NIS2 i mają istotnie wzmocnić odporność cyfrową państwa oraz kluczowych sektorów gospodarki.
Nowelizacja ustawy o KSC jest jedną z najważniejszych regulacji w obszarze cyberbezpieczeństwa ostatnich lat. Prace nad zmianami trwały blisko 7 lat i były odpowiedzią zarówno na dynamiczny wzrost zagrożeń w cyberprzestrzeni, jak i na konieczność dostosowania polskiego prawa do wymogów unijnych.
Decyzja Senatu - bez poprawek
Podczas posiedzenia Senatu nowelizacja została przyjęta bez zgłaszania poprawek. W głosowaniu udział wzięli senatorowie wszystkich klubów - za przyjęciem ustawy głosowało 75 senatorów, przeciw było 5. Brak poprawek oznacza zakończenie etapu parlamentarnego i przekazanie ustawy do podpisu Prezydenta RP.
Debacie senackiej towarzyszyła intensywna dyskusja zarówno o skali nowych obowiązków regulacyjnych, jak i o pilnej potrzebie uporządkowania systemu cyberbezpieczeństwa w Polsce. Z jednej strony pojawiały się głosy krytyczne dotyczące ryzyka nadmiernej regulacji, z drugiej - podkreślano konieczność szybkiego wdrożenia nowych przepisów w obliczu rosnącej liczby incydentów cybernetycznych.
Kluczowe zmiany w ustawie o KSC
Przyjęta przez Senat nowelizacja wprowadza szereg istotnych zmian, które mają bezpośredni wpływ na administrację publiczną, operatorów usług kluczowych oraz przedsiębiorców działających w strategicznych sektorach gospodarki. Do najważniejszych należą:
- doprecyzowanie klasyfikacji podmiotów kluczowych i podmiotów ważnych, zgodnie z dyrektywą NIS2,
- rozszerzenie katalogu sektorów objętych Krajowym Systemem Cyberbezpieczeństwa,
- nałożenie nowych obowiązków organizacyjnych i technicznych na operatorów systemów informacyjnych,
- wzmocnienie mechanizmów nadzoru oraz odpowiedzialności kadry zarządzającej za cyberbezpieczeństwo,
- wprowadzenie procedur identyfikacji i eliminacji dostawców wysokiego ryzyka z kluczowych systemów państwa.
Zmiany te mają zwiększyć przejrzystość systemu, usprawnić reagowanie na incydenty oraz podnieść poziom ochrony usług cyfrowych wykorzystywanych przez obywateli i przedsiębiorstwa.
Ostatni krok legislacyjny przed wejściem w życie
Po przyjęciu ustawy przez Senat kolejnym - i ostatnim - etapem procesu legislacyjnego jest podpis Prezydenta RP. Po jego złożeniu nowelizacja zostanie opublikowana w Dzienniku Ustaw, a przepisy zaczną obowiązywać zgodnie z przewidzianymi w ustawie terminami, w tym z okresem przejściowym dla stosowania administracyjnych kar pieniężnych.
Dla wielu organizacji oznacza to konieczność rozpoczęcia lub przyspieszenia prac nad dostosowaniem się do nowych wymagań NIS 2 - w szczególności w obszarze zarządzania ryzykiem, procedur reagowania na incydenty oraz podnoszenia świadomości cyberbezpieczeństwa wśród pracowników.
