Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) to polskie wdrożenie dyrektywy NIS2. Od 3 kwietnia 2026 r. podmioty kluczowe i ważne muszą zarządzać ryzykiem, zgłaszać incydenty i odpowiadać za to na poziomie kierownictwa. Narzędzia AI, z których korzystają pracownicy, są w tym systemie usługami ICT, więc trzeba je ująć w szacowaniu ryzyka i w ocenie łańcucha dostaw
Ustawa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) zmienia ustawę o krajowym systemie cyberbezpieczeństwa i wdraża dyrektywę NIS2. W skrócie:
Podmioty kluczowe i ważne mają te same obowiązki. Różni je nadzór: kluczowe są kontrolowane z wyprzedzeniem i co najmniej raz na 3 lata przechodzą audyt, ważne są kontrolowane po zdarzeniu, a audyt przechodzą tylko na żądanie organu
Co do zasady nikt nie wydaje decyzji o objęciu ustawą. Każdy podmiot sam sprawdza swój sektor i wielkość według sprawozdania finansowego, a potem składa wniosek o wpis do wykazu w systemie S46. Podmioty publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług zaufania i podmioty krytyczne minister cyfryzacji wpisuje z urzędu, a organ może uznać podmiot za kluczowy lub ważny decyzją
Każdy podmiot wdraża SZBI: szacowanie ryzyka, bezpieczeństwo łańcucha dostaw, ciągłość działania, monitorowanie i obsługę incydentów. Samorządowe podmioty ważne stosują uproszczony SZBI z załącznika nr 4, a banki i infrastruktura rynków finansowych w tym zakresie stosują DORA (art. 8i)
Za obowiązki odpowiada kierownik podmiotu, także wtedy, gdy powierzy je innej osobie. Raz w roku przechodzi udokumentowane szkolenie, a za zaniedbania grozi mu kara do 300% miesięcznego wynagrodzenia, w podmiocie publicznym do 100%
Minął termin złożenia wniosku o wpis do wykazu dla podmiotów, które spełniały kryteria 3 kwietnia 2026 r. Kto go nie złożył, powinien to zrobić niezwłocznie
art. 7c ust. 1; art. 33 ust. 3 ustawy zmieniającejTyle jest na wczesne ostrzeżenie o incydencie poważnym, 72 godziny na zgłoszenie i miesiąc na sprawozdanie końcowe. Wyciek danych przez narzędzie AI też może być takim incydentem
art. 11 ust. 1Albo 2% przychodów, jeśli ta kwota jest wyższa: to górna granica kary dla podmiotu kluczowego (najniższa kara to 20 000 zł). Dla podmiotu ważnego 7 mln € albo 1,4% (najniższa kara 15 000 zł)
art. 73 ust. 3-4Ustawa opublikowana w Dzienniku Ustaw (Dz.U. 2026 poz. 252)
Od tego dnia liczy się 6 miesięcy na wniosek o wpis i 12 miesięcy na SZBI
Wniosek w systemie S46 z oświadczeniem kierownika. Podmioty wpisane z urzędu uzupełniają dane w ciągu 6 miesięcy od wezwania
Wdrożony system zarządzania bezpieczeństwem informacji i podłączenie do systemu S46
Termin pierwszego audytu podmiotu kluczowego (dotychczasowi operatorzy usług kluczowych mają odrębny harmonogram). Po tym dniu organy mogą nakładać większość kar z ustawy
Terminy dotyczą podmiotów, które spełniały kryteria 3 kwietnia 2026 r. Kto spełni je później, ma 6 miesięcy na wniosek i 12 miesięcy na SZBI, licząc od dnia spełnienia kryteriów
• Duże przedsiębiorstwa z sektorów: energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna
• Średni i duzi operatorzy telekomunikacyjni oraz dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa od małych przedsiębiorstw wzwyż
• Niezależnie od wielkości: podmioty publiczne z załącznika nr 1, dostawcy DNS, rejestry domen najwyższego poziomu (TLD), podmioty rejestrujące nazwy domen, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, podmioty niebędące przedsiębiorcami z załącznika nr 1
• Podmiot leczniczy, który nie jest przedsiębiorcą, od 250 osób
Energetyka · Wodociągi · Ochrona zdrowia · Transport · Finanse · Centra danych i telekomunikacja · Administracja publiczna
• Średnie przedsiębiorstwa z sektorów załącznika nr 1
• Średnie i duże z załącznika nr 2: usługi pocztowe, gospodarka odpadami, chemikalia, żywność, produkcja (wyroby medyczne, elektronika, urządzenia elektryczne, maszyny, pojazdy), dostawcy usług cyfrowych, badania naukowe
• Mikro i mali operatorzy telekomunikacyjni oraz niekwalifikowani dostawcy usług zaufania, do średniej wielkości
• Samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury i spółki wykonujące zadania użyteczności publicznej, jeśli nie są podmiotami kluczowymi
• Podmioty niebędące przedsiębiorcami z załącznika nr 2, niezależnie od wielkości
• Podmiot leczniczy, który nie jest przedsiębiorcą, od 50 do 249 osób
Urząd gminy, który 1 stycznia zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty, jest podmiotem kluczowym; mniejszy urząd jest podmiotem ważnym. Wszystkie urzędy gmin minister cyfryzacji wpisuje do wykazu z urzędu
Najwyżej trzy pytania, a wynik pokaże status, terminy i co zrobić teraz. Narzędzie działa w przeglądarce i niczego nie wysyła
Proszę odpowiedzieć na pytania, a pokażemy status organizacji, terminy i pierwszy krok
Ustawa wymienia sztuczną inteligencję tylko raz, w załączniku nr 4. Narzędzia AI są jednak usługami ICT, więc obowiązki z art. 8 obejmują je tak samo jak pocztę czy chmurę. Siedem punktów do sprawdzenia:
Które modele i czaty są używane, przez kogo i z jakimi danymi (zarządzanie aktywami)
Wyciek danych, błędna odpowiedź, niedostępność dostawcy
Wymagania bezpieczeństwa w umowie, certyfikaty, miejsce przetwarzania danych, decyzje o dostawcach wysokiego ryzyka
Kto korzysta z którego modelu, uwierzytelnianie wieloskładnikowe
Zapis, którego nie da się zmienić, pozwala odtworzyć incydent i zdążyć ze zgłoszeniem w 24 i 72 godziny
Plan na wypadek niedostępności modelu w chmurze, np. model lokalny
Zasady korzystania z AI dla pracowników oraz coroczne, udokumentowane szkolenie kierownika
Rejestr WORM, maskowanie danych osobowych, polityki dostępu do modeli
On-premise lub air-gap, certyfikaty ISO/IEC 27001 i ISO 22301
Zasady korzystania z AI dla zespołu i kierownictwa
Pokażemy, jak wygląda rejestr zapytań do AI w organizacji objętej KSC
Strona omawia skutki ustawy dla korzystania z AI i nie jest poradą prawną
Podmioty kluczowe i ważne. Są to firmy i instytucje z sektorów wymienionych w załącznikach nr 1 i 2 do ustawy, jeśli są co najmniej średnie. Niezależnie od wielkości ustawa obejmuje m.in. podmioty publiczne, dostawców DNS, rejestry domen najwyższego poziomu (TLD), podmioty rejestrujące nazwy domen i kwalifikowanych dostawców usług zaufania
Należy go złożyć niezwłocznie w systemie S46, z oświadczeniem kierownika. Wpis następuje z chwilą złożenia wniosku. Organ może też wpisać podmiot z urzędu. Za niezłożenie wniosku w terminie ustawa przewiduje karę pieniężną, którą można nałożyć dopiero po 3.04.2028
Odpowiada kierownik podmiotu. Gdy jest nim organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie. Kierownikowi grozi kara do 300% miesięcznego wynagrodzenia, a w podmiocie publicznym do 100%. Podmiotowi kluczowemu grozi kara do 10 mln € lub 2% przychodów, nie mniej niż 20 000 zł, a ważnemu do 7 mln € lub 1,4%, nie mniej niż 15 000 zł. Gdy naruszenie powoduje poważne cyberzagrożenie, kara wynosi do 100 mln zł
Ustawa nie zakazuje korzystania z czatów AI. Wymaga, żeby każde narzędzie, także czat AI, było ujęte w szacowaniu ryzyka, w polityce kontroli dostępu i w ocenie łańcucha dostaw. W praktyce trzeba więc ustalić w SZBI, kto, z jakich modeli i z jakimi danymi może korzystać
Samo miejsce przetwarzania nie jest zakazane. W ocenie łańcucha dostaw trzeba jednak uwzględnić podatności dostawcy, jakość jego usług, oceny Grupy Współpracy NIS i decyzje o uznaniu za dostawcę wysokiego ryzyka. Po takiej decyzji nie wprowadza się nowych produktów tego dostawcy, a dotychczasowe wycofuje co do zasady w ciągu 7 lat (w funkcjach krytycznych w telekomunikacji - w ciągu 4 lat)
Tak, jeśli spełnia kryteria incydentu poważnego. Wczesne ostrzeżenie trzeba wysłać w 24 godziny, zgłoszenie w 72 godziny, a sprawozdanie końcowe w miesiąc, do właściwego zespołu CSIRT. Żeby zdążyć, trzeba wiedzieć, kto, kiedy i jakie dane wysłał do modelu
https://www.allclouds.pl/wiedza/nowelizacja-ksc-nis2-a-ai/
