KSC 2.0 — ustawa o krajowym systemie cyberbezpieczeństwa

Ustawa, która zmienia skalę regulacji

3 kwietnia 2026 roku w Polsce zaczęła obowiązywać znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Znana jako KSC 2.0, opublikowana w Dzienniku Ustaw jako poz. 252. Polska implementacja dyrektywy NIS2 (UE 2022/2555) — po wielomiesięcznych pracach legislacyjnych wreszcie weszła w życie.

Skala zmiany jest bezprecedensowa. Pierwsza ustawa KSC z 2018 roku obejmowała kilkaset organizacji — wyznaczanych indywidualnie jako operatorzy usług kluczowych. KSC 2.0 obejmuje szacunkowo 42 000 podmiotów w Polsce. To nie jest drobna korekta. To nowy system.

KSC 2.0, UKSC, nowelizacja KSC, NIS2 — jak się w tym odnaleźć? NIS2 to dyrektywa unijna. KSC 2.0 to jej polska implementacja — nowelizacja ustawy z 2018 roku. W tym artykule używamy obu nazw, bo wymagania są tożsame. Gdy piszemy „KSC 2.0", mamy na myśli konkretne polskie prawo ze wszystkimi terminami i karami.

Jeśli nie sprawdziłeś jeszcze, czy Twoja organizacja podlega pod nowe przepisy — ten artykuł pomoże Ci to ustalić.

Kogo dotyczy — podmioty kluczowe i ważne

Zapomnij o starym modelu, gdzie organ wyznaczał operatorów usług kluczowych decyzją administracyjną. KSC 2.0 wprowadza samoidentyfikację — firma sama ocenia, czy spełnia kryteria. Podział jest prosty: podmioty kluczowe i podmioty ważne. Różnią się progami, poziomem nadzoru i widełkami kar.

Podmioty kluczowe

Organizacje o strategicznym znaczeniu dla państwa. Sektory: energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT (B2B), przestrzeń kosmiczna, administracja publiczna.

Próg: 250+ pracowników lub 50+ mln EUR obrotu lub 43+ mln EUR sumy bilansowej.

Nadzór proaktywny — organ właściwy może kontrolować bez wcześniejszego incydentu. Kary: do 10 mln EUR lub 2% rocznego obrotu globalnego (wyższa z kwot).

Podmioty ważne

Sektory: usługi pocztowe, gospodarowanie odpadami, produkcja chemikaliów, produkcja żywności, wytwarzanie wyrobów (medyczne, elektronika, pojazdy, maszyny), dostawcy usług cyfrowych (marketplace, wyszukiwarki, platformy społecznościowe), badania naukowe.

Próg: 50+ pracowników lub 10+ mln EUR obrotu.

Nadzór reaktywny — kontrola po incydencie lub na podstawie dowodów naruszeń. Kary: do 7 mln EUR lub 1,4% rocznego obrotu globalnego.

Wyjątki — kiedy wielkość nie ma znaczenia

Niezależnie od liczby pracowników i obrotu pod KSC 2.0 podlegają:

• Dostawcy usług DNS, rejestrów domen, usług zaufania, sieci CDN
• Dostawcy usług chmurowych i centrów danych
• Kwalifikowani dostawcy usług zaufania
• Firmy wskazane indywidualnie przez organ właściwy
• Dostawcy sieci i usług łączności elektronicznej

Mała firma IT świadcząca usługi chmurowe dla sektora energetycznego? Podlega. Dwuosobowy dostawca DNS? Podlega. KSC 2.0 nie jest regulacją wyłącznie dla dużych.

Szczegółowa lista sektorów: Kogo dotyczy NIS2 w Polsce.

Samoidentyfikacja — nowy mechanizm, nowe ryzyko

To najbardziej przełomowa zmiana w porównaniu ze starą ustawą. Nie czekasz na decyzję organu. Sam oceniasz, czy podlegasz. I sam się rejestrujesz.

Jak to zrobić

1. Sprawdź sektor — PKD główne i dodatkowe. 19 sektorów w dwóch załącznikach do ustawy.
2. Sprawdź progi — pracownicy, obrót, suma bilansowa. Uwaga: liczy się największa z tych wartości, nie wszystkie łącznie.
3. Sprawdź łańcuch dostaw — czy jesteś dostawcą dla podmiotu kluczowego lub ważnego? Twój klient może wymagać od Ciebie rejestracji.
4. Zaklasyfikuj się — podmiot kluczowy czy ważny.
5. Zarejestruj się — wykaz podmiotów prowadzony przez ministra ds. informatyzacji, docelowo przez system S46.

Termin: 3 października 2026

Ustawa daje 6 miesięcy od wejścia w życie na samoidentyfikację i rejestrację. Przy dacie wejścia 3 kwietnia 2026 — termin to 3 października 2026.

Brak rejestracji to osobne naruszenie ustawy. Nie „brak zgodności z wymogami technicznymi" — brak samego zgłoszenia, że podlegasz. Organ właściwy może nałożyć karę pieniężną, a zarząd ponosi odpowiedzialność osobistą.

Nie wiesz, czy podlegasz?

Lepiej się zarejestrować niż ryzykować. Rejestracja podmiotu, który ostatecznie nie podlega — nie rodzi negatywnych konsekwencji. Brak rejestracji podmiotu, który podlegać powinien — jak najbardziej.

Obowiązki — co konkretnie musisz zrobić

KSC 2.0 to nie ogólnikowe zalecenia. To konkretne wymagania, z których firma będzie rozliczana. Oto sześć najważniejszych.

1. System Zarządzania Bezpieczeństwem Informacji (SZBI)

Każdy podmiot kluczowy i ważny musi wdrożyć i utrzymywać SZBI obejmujący: politykę bezpieczeństwa zatwierdzaną przez kierownika podmiotu, procedury identyfikacji i oceny ryzyka oparte na ISO 27001 lub równoważnych normach, bieżące monitorowanie skuteczności, audyty wewnętrzne co najmniej raz w roku, plan ciągłości i odtworzenia testowany co najmniej raz w roku.

Standard implementacji: ISO 27001, ISO 27002 lub inne normy zaakceptowane przez organ właściwy. SOC nie jest wprost wymagany — ale bez ciągłego monitoringu nie spełnisz wymogów raportowania (patrz niżej). Więcej o tym, dlaczego monitoring jest praktycznie obowiązkowy.

2. Raportowanie incydentów — 24h/72h/30 dni

Trójstopniowy system. 24 godziny na wczesne ostrzeżenie, 72 godziny na pełne zgłoszenie, 30 dni na raport końcowy. Termin biegnie od momentu wykrycia — nie od poniedziałkowego spotkania.

Atak w piątek o 23:00, nikt nie wykrywa do poniedziałku? Termin 24h jest już dawno przekroczony.

Brak zgłoszenia to osobne naruszenie — nawet jeśli incydent został opanowany. Szczegółowa procedura: Raportowanie incydentów — 24h/72h/30 dni.

3. Ciągłość działania

Plan ciągłości działania (BCP), plan odtwarzania po awarii (DRP), procedury zarządzania kryzysowego. Wszystko udokumentowane i testowane co najmniej raz w roku. Nie chodzi o folder „BCP" na dysku — chodzi o procedurę, którą ludzie znają i potrafią wykonać pod presją.

4. Bezpieczeństwo łańcucha dostaw

Nowość wobec starej ustawy. Musisz oceniać ryzyka związane z dostawcami, uwzględniać wymagania bezpieczeństwa w umowach, monitorować poziom bezpieczeństwa dostawców, mieć plany alternatywne.

W praktyce: jeśli jesteś dostawcą IT dla podmiotu regulowanego, Twój klient zacznie wymagać od Ciebie konkretnych standardów. Nawet jeśli sam nie podlegasz pod KSC 2.0 — Twoi klienci będą to wymuszać rynkowo.

5. Szkolenia

Zarząd musi przechodzić roczne szkolenie z cyberbezpieczeństwa — to obowiązek prawny, nie sugestia. Personel — regularne szkolenia z rozpoznawania zagrożeń. Zespoły techniczne — kompetencje reagowania na incydenty. Wszystko cykliczne, udokumentowane, audytowalne.

6. Bezpieczeństwo techniczne

Szyfrowanie danych w transmisji i w spoczynku. MFA dla dostępu do systemów krytycznych. Zarządzanie podatnościami — skanowanie, łatanie, testy penetracyjne. Kontrola dostępu na zasadzie minimalnych uprawnień. Bezpieczna konfiguracja i decommissioning systemów.

Kary — nowy porządek

KSC 2.0 wprowadza sankcje wzorowane na RODO. Mają być skuteczne, proporcjonalne i odstraszające.

Kary dla organizacji

Dla firmy z obrotem 500 mln PLN kara 2% to 10 mln PLN. Dla firmy z obrotem 2 mld PLN — 40 mln PLN.

Odpowiedzialność osobista zarządu

To nowość w polskim prawie cyberbezpieczeństwa. Członkowie zarządu odpowiadają osobiście:

• Kara do 300% miesięcznego wynagrodzenia (podmioty prywatne) lub do 100% (podmioty publiczne)
• Odpowiedzialność za nadzór nad wdrożeniem SZBI
• Obowiązek osobistego zatwierdzania polityk bezpieczeństwa
• Obowiązek rocznego szkolenia z cyberbezpieczeństwa

Zarząd nie może delegować tej odpowiedzialności. Prezes, który podpisze politykę bezpieczeństwa nie czytając jej, ponosi taką samą odpowiedzialność jak ten, który jej nie podpisał wcale.

Kara okresowa

Za każdy dzień opóźnienia wykonania decyzji organu: od 500 zł do 100 000 zł dziennie.

Kara ekstraordynaryjna

Do 100 mln zł — przy poważnych naruszeniach zagrażających obronności, bezpieczeństwu państwa, życiu lub zdrowiu ludzi. Może być nałożona natychmiast, bez moratorium.

Moratorium — co naprawdę oznacza

Ustawa przewiduje 24-miesięczny okres przejściowy na nakładanie kar administracyjnych na organizacje. Do 3 kwietnia 2028 kary „zwykłe" nie będą nakładane. Ale moratorium nie obejmuje:

• Osobistej odpowiedzialności zarządu — obowiązuje od dnia wejścia ustawy
• Obowiązku raportowania incydentów — natychmiast
• Obowiązku samoidentyfikacji — 6 miesięcy
• Nakazów i kontroli organu — mogą być prowadzone w okresie moratorium
• Kary ekstraordynaryjnej — do 100 mln zł, natychmiast

Moratorium to odroczenie jednego narzędzia egzekucji. Nie odroczenie obowiązków.

Procedura — szansa na naprawę

Przed nałożeniem kary organ ostrzega pismem z terminem naprawy. Podmiot ma 7 dni na przedstawienie stanowiska. Organ może odstąpić od kary, jeśli waga naruszenia jest znikoma lub podmiot naprawił szkodę. To ważna różnica wobec RODO, gdzie kary bywały nakładane bez ostrzeżenia.

Terminy — harmonogram na ściankę

Jeśli czytasz to w kwietniu 2026 — na samoidentyfikację zostało niecałe pół roku. To wystarczająco dużo na spokojną analizę. Zbyt mało, żeby odkładać na później.

Jak wdrożyć — etapy bez lukru

Wdrożenie KSC 2.0 to projekt na 6–12 miesięcy. Można go skompresować — ale nie pominąć kroków.

Etap 1: Samoidentyfikacja i gap analysis (miesiąc 1–2)

Analiza PKD, struktury, łańcucha dostaw. Klasyfikacja. Rejestracja w wykazie. Gap analysis: stan obecny vs wymagania. Na koniec tego etapu masz raport z priorytetami i budżetem.

Czas na ten etap: teraz. Termin rejestracji to 3 października 2026.

Etap 2: Dokumentacja (miesiąc 2–4)

Polityka bezpieczeństwa informacji. Procedura zarządzania ryzykiem. Plan reagowania na incydenty (IRP). BCP i DRP. Polityka łańcucha dostaw. Program szkoleń.

To nie jest kopiowanie szablonów z internetu. Dokumentacja musi być dostosowana do Twojej organizacji — inaczej nie przetrwa pierwszego audytu.

Etap 3: Wdrożenie techniczne (miesiąc 3–8)

Ciągły monitoring — SOC 24/7 lub wewnętrzny zespół. SIEM/XDR. MFA na systemach krytycznych. Szyfrowanie. Skanowanie podatności. Backup i testowe odtwarzanie.

Etap 4: Szkolenia i testy (miesiąc 6–10)

Szkolenie zarządu. Security awareness dla pracowników. Symulacje phishingowe. Ćwiczenia tabletop. Test planu ciągłości.

Etap 5: Audyt i doskonalenie (miesiąc 10–12+)

Audyt wewnętrzny. Korekta dokumentacji. Ustanowienie cyklu przeglądów. Ciągłe doskonalenie na podstawie wniosków z incydentów i testów.

Podmioty kluczowe: pierwszy audyt zewnętrzny wymagany w ciągu 24 miesięcy (do kwietnia 2028). Podmioty ważne nie mają obowiązku cyklicznego audytu — ale audyt wewnętrzny i tak jest częścią SZBI.

Krok po kroku: Wdrożenie NIS2 — praktyczna mapa drogowa.

Jak SecIQ pomaga

Budujemy cyberbezpieczeństwo polskich firm od ponad 20 lat. Nasze podejście opiera się na 4 filarach — Ludzie, Technologia, Procedury i AI — i przekłada się na realne wsparcie w każdym aspekcie KSC 2.0.

Dokumentacja NIS2 Smart Start — polityki, procedury, plany (BCP, DRP, IRP) gotowe w 4–6 tygodni. Dostosowane do Twojej branży, zgodne z ISO 27001 i NIST CSF 2.0. Gotowe do okazania organowi nadzorczemu.

Managed SOC 24/7 — monitoring i reagowanie, rdzeń zgodności operacyjnej. Wykrywanie zagrożeń 24/7, reagowanie w czasie rzeczywistym, gotowe szablony zgłoszeń do CSIRT, raportowanie w terminach 24h/72h/30 dni. Dedykowany analityk, który zna Twoją infrastrukturę.

Szkolenia — zarząd, pracownicy, zespoły techniczne. Symulacje phishingowe, ćwiczenia reagowania.

Pakiety dopasowane do skali — od Starter po Premium. Koszt SOC to ułamek potencjalnych kar. Sprawdź rachunek ROI.

Co dalej

KSC 2.0 obowiązuje. Termin samoidentyfikacji mija 3 października 2026. To nie jest teoretyczny obowiązek — to konkretna data z konkretnymi konsekwencjami.

Trzy rzeczy, które możesz zrobić dziś:

1. Sprawdź, czy podlegasz — PKD, pracownicy, obrót, łańcuch dostaw. Kogo dotyczy NIS2 w Polsce?
2. Oceń gotowość — porównaj obecne środki z wymaganiami. IQ Score Mini pomoże w wstępnej ocenie.
3. Porozmawiaj z ekspertem — bezpłatna konsultacja, podczas której ocenimy Twoją sytuację i zaplanujemy dalsze kroki.

KSC 2.0 to ramy, które podnoszą poziom bezpieczeństwa całej gospodarki. Firmy, które wdrożą je sprawnie, nie tylko unikną sankcji — zyskają odporność i wiarygodność wobec klientów, partnerów i regulatorów.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz. U. 2026 poz. 252) — pełny tekst nowelizacji
• Q&A Ministerstwa Cyfryzacji — nowelizacja KSC — pytania i odpowiedzi ministerstwa (82 str.)
• Dyrektywa NIS2 (2022/2555) — pełny tekst — Dziennik Urzędowy Unii Europejskiej
• CERT Polska — aktualności i zalecenia — CSIRT NASK
• System S46 — rejestracja podmiotów — Ministerstwo Cyfryzacji
• ENISA — NIS2 Directive — Agencja Unii Europejskiej ds. Cyberbezpieczeństwa