Ustawa o KSC po nowelizacji

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, którą Polska wdrożyła dyrektywę NIS2: przebieg prac, terminy z przepisów przejściowych, kary i organy nadzoru. Przeczytaliśmy tekst w Dzienniku Ustaw, stan na 30 października 2026.

W skrócie:

Pełna nazwa: ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252.
Zmienia ustawę o KSC z 5 lipca 2018 r., która wdrażała pierwszą dyrektywę NIS. Obowiązuje od 3 kwietnia 2026 r.
Obowiązki trzeba wdrożyć do 3 kwietnia 2027 r., kary można nakładać od 3 kwietnia 2028 r.

Przebieg prac

Data	Etap
17 listopada 2025	Rządowy projekt wpłynął do Sejmu (druk nr 1955)
4-5 grudnia 2025	Pierwsze czytanie
21 stycznia 2026	Drugie czytanie
23 stycznia 2026	Trzecie czytanie: 407 posłów za, 10 przeciw
28 stycznia 2026	Senat przyjął ustawę bez poprawek
19 lutego 2026	Podpis Prezydenta
2 marca 2026	Ogłoszenie w Dzienniku Ustaw, poz. 252
3 kwietnia 2026	Wejście w życie

Według przebiegu procesu legislacyjnego na stronie Sejmu i metryki aktu w ELI API Sejmu.

Co się zmieniło

Podmioty kluczowe i ważne zastąpiły operatorów usług kluczowych i dostawców usług cyfrowych. Zamiast decyzji o uznaniu za operatora podmiot sam ocenia, czy spełnia przesłanki (kogo dotyczy).
Wykaz podmiotów prowadzony w systemie teleinformatycznym S46. Wpis następuje na wniosek podmiotu, a podmioty publiczne, przedsiębiorcy komunikacji elektronicznej, dostawcy usług zaufania i dotychczasowi operatorzy usług kluczowych zostali wpisani z urzędu (wykaz KSC).
System zarządzania bezpieczeństwem informacji z listą środków w art. 8 (SZBI).
Zgłaszanie incydentów poważnych w trzech krokach: 24 godziny, 72 godziny, miesiąc (zgłaszanie incydentów).
Odpowiedzialność kierownika: kierownik odpowiada za obowiązki także wtedy, gdy powierzył je innej osobie, i co roku przechodzi szkolenie (art. 8c i 8e).
Przedsiębiorcy komunikacji elektronicznej, którzy dotąd mieli obowiązki bezpieczeństwa w Prawie telekomunikacyjnym, są objęci ustawą o KSC. Do czasu wdrożenia nowych obowiązków stosują dotychczasowe przepisy (art. 33 ust. 5), organem właściwym jest Prezes UKE (art. 41 pkt 8a).

Terminy z przepisów przejściowych

Termin	Obowiązek	Przepis
1 miesiąc od wejścia w życie	Minister właściwy do spraw informatyzacji tworzy wykaz podmiotów; harmonogram składania wniosków ogłasza komunikatem w swoim dzienniku urzędowym	art. 34
3 października 2026	Koniec terminu na wniosek o wpis do wykazu dla podmiotów, które spełniały przesłanki w dniu wejścia ustawy w życie	komunikat Ministerstwa Cyfryzacji
6 miesięcy od spełnienia przesłanek	Wniosek o wpis dla podmiotów, które spełnią przesłanki później	art. 7c
3 kwietnia 2027	Wdrożenie obowiązków z rozdziału 3 (m.in. SZBI i zgłaszanie incydentów)	art. 33 ust. 1
3 kwietnia 2028	Pierwszy audyt podmiotu kluczowego	art. 33 ust. 2
od 3 kwietnia 2028	Możliwość nakładania kar z art. 73 ust. 1-4, art. 73a-73c i art. 76b	art. 35

Numery artykułów 33-35 dotyczą ustawy zmieniającej, art. 7c ustawy o KSC po zmianie. Dotychczasowe rozporządzenia wydane na podstawie art. 11 ust. 4 (progi incydentów poważnych) i art. 66 ust. 9 obowiązują do wydania nowych, najdłużej 12 miesięcy od wejścia ustawy w życie (art. 32).

Kary

Kto	Górna granica	Dolna granica
Podmiot kluczowy	10 000 000 euro albo 2 % przychodów (wyższa kwota)	20 000 zł
Podmiot ważny	7 000 000 euro albo 1,4 % przychodów (wyższa kwota)	15 000 zł
Podmiot bez przychodu albo działający krócej niż rok	500 000 euro (kluczowy), 250 000 euro (ważny) jako podstawa	jak wyżej
Naruszenie powodujące poważne zagrożenie	do 100 000 000 zł	-
Kierownik podmiotu	300 % miesięcznego wynagrodzenia (w podmiotach publicznych 100 %)	-

Art. 73 i 73a ustawy o KSC po zmianie. Kary nakłada organ właściwy do spraw cyberbezpieczeństwa w drodze decyzji.

Organy właściwe

Nadzór sprawuje organ właściwy dla sektora (art. 41), m.in. minister właściwy do spraw energii, transportu, zdrowia i gospodarki wodnej, Komisja Nadzoru Finansowego dla bankowości i infrastruktury rynków finansowych, Prezes Urzędu Komunikacji Elektronicznej dla komunikacji elektronicznej i usług pocztowych, a minister właściwy do spraw informatyzacji dla infrastruktury cyfrowej, zarządzania usługami ICT, dostawców usług cyfrowych i podmiotów publicznych. Incydenty zgłasza się do CSIRT sektorowego albo do CSIRT NASK, CSIRT GOV lub CSIRT MON.

Strona internetowa podmiotu

Ustawa wymaga monitorowania systemu w trybie ciągłym i środków ograniczających wpływ incydentów (art. 8). Przy stronie i usługach dostępnych z internetu chodzi zwykle o ochronę przed atakami DDoS, WAF i logi przechowywane wystarczająco długo, żeby przygotować sprawozdanie końcowe.

Najczęstsze pytania

Kiedy weszła w życie nowelizacja ustawy o KSC?

3 kwietnia 2026 r. Ustawa z dnia 23 stycznia 2026 r. została ogłoszona w Dzienniku Ustaw 2 marca 2026 r. (poz. 252) i weszła w życie po upływie miesiąca od ogłoszenia (art. 49).

Do kiedy trzeba wdrożyć obowiązki z ustawy o KSC?

Podmioty, które spełniały przesłanki w dniu wejścia ustawy w życie, mają 12 miesięcy na wdrożenie obowiązków z rozdziału 3, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy zmieniającej). Pierwszy audyt podmiotu kluczowego trzeba przeprowadzić w ciągu 24 miesięcy, do 3 kwietnia 2028 r.

Jakie są kary w ustawie o KSC?

Podmiot kluczowy: do 10 000 000 euro albo do 2 % przychodów z poprzedniego roku, w zależności od tego, która kwota jest wyższa, nie mniej niż 20 000 zł. Podmiot ważny: do 7 000 000 euro albo 1,4 %, nie mniej niż 15 000 zł. Kierownikowi podmiotu grozi kara do 300 % miesięcznego wynagrodzenia (w podmiotach publicznych do 100 %).

Od kiedy można nakładać kary?

Kary z art. 73 ust. 1-4 i art. 73a-73c oraz art. 76b można nałożyć po raz pierwszy po upływie 2 lat od wejścia ustawy w życie (art. 35 ustawy zmieniającej), czyli od 3 kwietnia 2028 r.

Kto nadzoruje podmioty?

Organ właściwy do spraw cyberbezpieczeństwa dla danego sektora (art. 41): np. minister właściwy do spraw energii dla energii, Komisja Nadzoru Finansowego dla bankowości, Prezes UKE dla komunikacji elektronicznej i usług pocztowych, minister właściwy do spraw informatyzacji dla infrastruktury cyfrowej, usług ICT, dostawców usług cyfrowych i podmiotów publicznych.

Źródła: tekst ustawy, Dz.U. 2026 poz. 252 (PDF); metryka aktu; druk nr 1955 w Sejmie; obowiązki podmiotów na gov.pl.

To nie jest porada prawna. Streszczamy przepisy własnymi słowami; wiążący jest tekst ustawy w Dzienniku Ustaw.