Od czego zacząć wdrożenie KSC w firmie?

W kwietniu 2026 r. weszła w życie nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wprowadzając rygorystyczne obowiązki dla tysięcy podmiotów. Aby skutecznie zaplanować wdrożenie KSC, proces należy rozpocząć od weryfikacji statusu organizacji oraz szczegółowej inwentaryzacji posiadanych zasobów.

Spis treści:

1. Kogo obejmuje nowelizacja KSC i jak zweryfikować status?
2. Jakie terminy wdrożenia są najważniejsze?
3. Jak postępować: Kroki do pełnej zgodności z ustawą
4. Obowiązkowe procedury, zabezpieczenia i szkolenia
5. Przygotowanie do audytu i sankcje za braki

Kogo obejmuje nowelizacja KSC i jak zweryfikować status?

Przepisy dzielą organizacje na podmioty kluczowe i ważne. Obejmują one krytyczne z punktu widzenia gospodarki sektory, takie jak energia, transport, ochrona zdrowia, finanse czy infrastruktura cyfrowa W odniesieniu do większości przedsiębiorców podstawowe znaczenie ma wielkość przedsiębiorstwa. Zgodnie z ustawą podmiotem kluczowym może zostać przedsiębiorstwo prowadzące działalność w sektorze kluczowym, które przewyższa wymogi dla średniego przedsiębiorstwa określone w przepisach unijnych. Oznacza to przedsiębiorstwo zatrudniające co najmniej 250 pracowników lub osiągające roczny obrót przekraczający 50 milionów euro albo roczną sumę bilansową przekraczającą 43 miliony euro. 

Warto zaznaczyć, że podmioty publiczne są wpisywane do Wykazu KSC z urzędu. Prywatne przedsiębiorstwa muszą natomiast samodzielnie zweryfikować swój status i złożyć stosowny wniosek do organu właściwego ds. cyberbezpieczeństwa. Właściwość organu zależy od sektora gospodarki – przykładowo dla energetyki jest to Minister Energii, dla finansów Komisja Nadzoru Finansowego, a dla transportu Minister Infrastruktury. Każdy podmiot musi także zidentyfikować przypisany mu Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT), taki jak CSIRT GOV, CSIRT NASK lub CSIRT MON, co jest niezbędne do późniejszej poprawnej konfiguracji systemu komunikacji S46 oraz realizacji obowiązków sprawozdawczych.

Dodatkowo, proces weryfikacji statusu powinien uwzględniać tzw. regułę pułapu, czyli analizę powiązań kapitałowych. Przy obliczaniu wielkości przedsiębiorstwa uwzględnia się bowiem również przedsiębiorstwa powiązane oraz przedsiębiorstwa partnerskie w rozumieniu przepisów unijnych. Jeśli firma jest częścią większej grupy kapitałowej, dane o zatrudnieniu i obrocie mogą być sumowane, co często powoduje, że pozornie małe firmy wpadają w rygorystyczne ramy ustawy KSC. Ignorowanie tych powiązań jest jednym z najczęstszych błędów na etapie wstępnej kwalifikacji.

Jakie terminy wdrożenia są najważniejsze?

Nowe przepisy obowiązują od 3 kwietnia 2026 r., co oznacza, że terminy -wynikające z ustawy o KSC już biegną. Ostatecznym czasem na złożenie wniosku o wpis do rejestru dla większości kwalifikujących się podmiotów jest 3 października 2026 r. (równo sześć miesięcy od momentu spełnienia przesłanek uznania za podmiot kluczowy lub ważny).Z kolei do 3 kwietnia 2027 r. wyznaczono koniec okresu dostosowawczego na wdrożenie wynikających z ustawy o KSC obowiązków z zakresu systemu zarządzania bezpieczeństwem informacji (SZBI). 

Jak postępować: Kroki do pełnej zgodności z ustawą

Przekształcenie skomplikowanych wymogów w logiczną sekwencję działań to podstawa sukcesu. Zgodnie z prawem wdrożenia KSC wymagają usystematyzowanego i etapowego podejścia.

• Inwentaryzacja: Dokładne mapowanie zasobów IT, procesów biznesowych oraz punktów przepływów danych.
• Ocena ryzyka: Przeprowadzenie formalnej analizy z wykorzystaniem uznanych metodyk, takich jak ISO 27005 lub NIST Cybersecurity Framework.
• Rejestracja: Uzyskanie wpisu w wykazie podmiotów kluczowych i podmiotów ważnych oraz dostępu do systemu S46, służącego do oficjalnej komunikacji i zgłaszania incydentów.
• Implementacja zabezpieczeń: Zastosowanie adekwatnych środków technicznych i organizacyjnych, ściśle proporcjonalnych do oszacowanego ryzyka.
• Opracowanie dokumentacji: Przygotowanie kompletu polityk, procedur i instrukcji stanowiących fundament Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), w tym planów ciągłości działania.
• Budowanie świadomości: Przeprowadzenie cyklu szkoleń dla personelu oraz kadry zarządzającej w celu zminimalizowania ryzyka wynikającego z błędów ludzkich i socjotechniki.
• Zarządzanie dostawcami: Przegląd umów z zewnętrznymi dostawcami usług IT oraz wdrożenie mechanizmów weryfikacji ich poziomu bezpieczeństwa.
• Testowanie i audyt: Regularne przeprowadzanie testów penetracyjnych oraz wewnętrznych przeglądów, które przygotują organizację do formalnego audytu zewnętrznego.

Obowiązkowe procedury, zabezpieczenia i szkolenia

Rdzeniem bezpieczeństwa jest prawidłowo funkcjonujący SZBI. Od strony technicznej wymaga się implementacji takich rozwiązań jak uwierzytelnianie wieloskładnikowe (MFA), szyfrowanie danych, segmentacja sieci oraz regularne tworzenie kopii zapasowych.

Niezwykle istotna jest również sprawna organizacja zarządzania incydentami. Obejmuje ona procedury wczesnego ostrzegania o poważnym incydencie w ciągu 24 godzin od jego wykrycia oraz pełnego raportowania poważnych incydentów. Czynnikiem równie ważnym co technologia jest personel. Przepisy wymuszają konieczność regularnych szkoleń z zakresucyberbezpieczeństwa.

Audyt i sankcje za braki

Wymogi prawne niosą za sobą realne konsekwencje. Podmioty kluczowe są zobowiązane do przeprowadzania, na własny koszt, audytu bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi. Pierwszy audyt należy przeprowadzić w terminie 24 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy. Dla podmiotów objętych ustawą już z chwilą wejścia w życie nowelizacji termin ten upływa 3 kwietnia 2028 r. Kolejne audyty należy przeprowadzać co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z poprzedniego audytu.  Należy pamiętać, że ciągła i skrupulatnie prowadzona dokumentacja stanowi główny dowód zachowania należytej staranności w razie kontroli.

Kary finansowe za zaniedbania pełnią rolę silnego czynnika motywującego Sankcje dla podmiotów kluczowych mogą sięgać do 10 milionów euro lub 2% przychodów osiągniętych przez podmiot kluczowy z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary, przy czym organ zawsze stosuje kwotę wyższą.. W przypadku podmiotów ważnych kary te mogą wynosić do 7 milionów euro lub 1,4% przychodów osiągniętych przez podmiot ważny z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary. .  Należy również pamiętać, że ustawa przewiduje możliwość nałożenia kary pieniężnej także na kierownika podmiotu kluczowego lub podmiotu ważnego, Oznacza to, że osoby zarządzające powinny aktywnie nadzorować realizację obowiązków wynikających z ustawy o KSC. 

Dostosowanie organizacji do wymogów ustawy o KSC jest procesem wieloetapowym, wymagającym zaangażowania zarówno kadry zarządzającej, jak i działów odpowiedzialnych za bezpieczeństwo, IT oraz zgodność regulacyjną. Ze względu na zakres nowych obowiązków oraz ustawowe terminy ich realizacji nie warto odkładać przygotowań na ostatnią chwilę.

Najlepszym punktem wyjścia jest przeprowadzenie kompleksowej analizy obowiązków wynikających z ustawy oraz audytu zgodności, pozwalających zidentyfikować obszary wymagające dostosowania i zaplanować kolejne etapy wdrożenia. Wsparcie doświadczonych doradców prawnych i ekspertów z zakresu cyberbezpieczeństwa umożliwia nie tylko prawidłową interpretację przepisów, ale również sprawne wdrożenie rozwiązań organizacyjnych i technicznych odpowiadających wymogom ustawy. Takie podejście pozwala ograniczyć ryzyko naruszeń, przygotować organizację do ewentualnych działań nadzorczych oraz skutecznie wykazać zgodność z obowiązującymi przepisami.