Uchwalona nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (zwana dalej KSC, Dz.U. 2026 poz. 252) stanowi fundament głębokiej reformy architektury bezpieczeństwa informacyjnego państwa, implementując wymogi unijnej dyrektywy NIS2 (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii). Ratio legis ustawy wykracza poza zwykłą aktualizację przepisów technicznych, albowiem służy wdrożeniu spójnego, rygorystycznego reżimu prawnego opartego na odpowiedzialności, której celem staje się zapewnienie wysokiego, wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej oraz budowę realnej odporności systemów o znaczeniu strategicznym dla gospodarki i społeczeństwa. W wyniku narastających zagrożeń o charakterze hybrydowym, prawodawca zdecydował się na rozszerzenie katalogu podmiotów nadzorowanych oraz wprowadzenie sankcji administracyjnych, które mają wymusić na najwyższym szczeblu decyzyjnym realne zaangażowanie w procesy zarządzania ryzykiem cyfrowym.
Kogo dotyczą uchwalone przepisy?
Kluczowym elementem nowej regulacji jest dychotomiczny podział na podmioty kluczowe oraz podmioty ważne, który zastępuje dotychczasową, węższą definicję operatora usługi kluczowej. Klasyfikacja ta opiera się na obiektywnych parametrach wielkościowych oraz sektorowych, przy czym status podmiotu jest badany według stanu na dzień sporządzenia sprawozdania finansowego. Za podmioty kluczowe uznaje się co do zasady duże przedsiębiorstwa operujące w sektorach o najwyższym znaczeniu strategicznym, wymienionych w Załączniku nr 1 KSC. Status ten zyskują organizacje, które przekraczają pułapy średniego przedsiębiorstwa, co oznacza, że zatrudniają powyżej 250 osób lub osiągają roczny obrót powyżej 50 mln euro i jednocześnie sumę bilansową powyżej 43 mln euro. Wykaz sektorów kluczowych w Załączniku nr 1 jest nader szeroki i obejmuje m.in. energetykę w pełnym cyklu (od wydobycia kopalin, przez wytwarzanie i przesył energii elektrycznej oraz ciepła, aż obrót paliwami i energią), transport (lotniczy, kolejowy, wodny oraz drogowy), bankowość i infrastrukturę rynków finansowych, ochronę zdrowia (podmioty lecznicze, laboratoria referencyjne, publiczną służbę krwi), a także zaopatrzenie w wodę pitną i zbiorowe odprowadzanie ścieków. Szczególną rolę przypisano infrastrukturze cyfrowej, gdzie za podmioty kluczowe uznaje się dostawców punktów wymiany ruchu internetowego, dostawców usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawców chmury obliczeniowej, centrów przetwarzania danych oraz kwalifikowanych dostawców usług zaufania. Warto zaznaczyć, że niektóre z tych podmiotów, jak dostawcy DNS czy rejestry TLD, stają się podmiotami kluczowymi z mocy prawa, niezależnie od swojej wielkości. Kategorię podmiotów ważnych tworzą średnie przedsiębiorstwa z powyższych sektorów (zatrudniające co najmniej 50 osób lub osiągające obrót powyżej 10 milionów euro) oraz wszystkie podmioty wymienione w Załączniku nr 2 KSC. Katalog ten obejmuje sektory o istotnym znaczeniu społecznym, takie jak usługi pocztowe, inwestycje w energetykę jądrową, gospodarowanie odpadami (w tym zbieranie, transport i przetwarzanie), produkcję, wytwarzanie i dystrybucję chemikaliów oraz żywności. Do sektorów ważnych zaliczono również szeroko rozumianą produkcję (w tym wyrobów medycznych, komputerów, elektroniki, maszyn, pojazdów i pozostałego sprzętu transportowego) oraz dostawców usług cyfrowych, takich jak internetowe platformy handlowe, wyszukiwarki internetowe oraz platformy usług sieci społecznościowych. Reżimem tym objęto również organizacje badawcze oraz podmioty sektora szkolnictwa wyższego.[...]
„Ochrona i Bezpieczeństwo” 3/2026
Artykuł w całości w:
