Zgłaszanie incydentów i S46

Terminy i treść zgłoszeń incydentu poważnego według art. 11-12b ustawy o krajowym systemie cyberbezpieczeństwa i rola systemu S46. Stan na 30 października 2026.

W skrócie:

Incydent poważny zgłasza się w trzech krokach: 24 godziny, 72 godziny, miesiąc.
Wszystko idzie przez system S46 do właściwego CSIRT sektorowego (art. 11 ust. 2).
Zegar startuje od wykrycia incydentu, nie od jego rozpoczęcia.

Terminy

Krok	Termin	Co zawiera	Przepis
Wczesne ostrzeżenie	do 24 godzin od wykrycia	dane podmiotu i osób do kontaktu, moment wystąpienia i wykrycia, czas trwania, czy incydent wywołano działaniem bezprawnym, czy dotyczy innych państw UE	art. 11 ust. 1 pkt 4, art. 12 ust. 1
Zgłoszenie incydentu	do 72 godzin od wykrycia	usługa, której dotyczy, liczba użytkowników, zasięg geograficzny, wpływ na inne podmioty, przyczyny i przebieg, działania zapobiegawcze i naprawcze	art. 11 ust. 1 pkt 4a, art. 12 ust. 3
Sprawozdanie okresowe	na wniosek CSIRT sektorowego	stan obsługi incydentu	art. 11 ust. 1 pkt 4b
Sprawozdanie końcowe	do miesiąca od zgłoszenia	szczegółowy opis, zakłócenia i szkody, prawdopodobna przyczyna, zastosowane środki, skutki transgraniczne	art. 11 ust. 1 pkt 4c, art. 12a
Sprawozdanie z postępu	gdy obsługa trwa dłużej niż miesiąc; końcowe do miesiąca od zakończenia	postęp obsługi incydentu	art. 12b

Dostawca usług zaufania zgłasza incydent poważny w 24 godziny od wykrycia (art. 11 ust. 1a). Podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia ani sprawozdań okresowych, z postępu i końcowych (art. 12c). Dotychczasowi operatorzy usług kluczowych zaczynają zgłaszać incydenty według nowych zasad najpóźniej 6 miesięcy po wejściu ustawy w życie (art. 33 ust. 4 ustawy zmieniającej).

Co dostaje podmiot od CSIRT

We wczesnym ostrzeżeniu można poprosić o wytyczne albo dodatkowe wsparcie techniczne. CSIRT sektorowy w ciągu 24 godzin przekazuje wytyczne lub udziela wsparcia, a gdy incydent nosi znamiona przestępstwa, także informację, jak zgłosić go organom ścigania (art. 12 ust. 2). Poza incydentami poważnymi podmiot może dobrowolnie przekazywać informacje o innych incydentach, zagrożeniach i podatnościach (art. 13).

Klienci i użytkownicy

O incydencie poważnym, który ma niekorzystny wpływ na usługi, podmiot informuje użytkowników tych usług (art. 11 ust. 2b).
Przy poważnym cyberzagrożeniu informuje użytkowników, na których może ono wpłynąć, o środkach zapobiegawczych (art. 11 ust. 2a).
Użytkownik musi mieć możliwość zgłoszenia podmiotowi cyberzagrożenia, incydentu lub podatności (art. 9 ust. 1 pkt 3).

Atak na stronę internetową

Przykład: atak DDoS w nocy z piątku na sobotę wyłącza sklep albo portal klienta na kilka godzin. Jeśli to incydent poważny według progów, wczesne ostrzeżenie trzeba wysłać do soboty wieczorem, licząc od wykrycia. Do zgłoszenia po 72 godzinach potrzebne są dane: od kiedy trwał atak, ilu użytkowników nie mogło skorzystać z usługi, skąd szedł ruch i co zrobiono. Te informacje pochodzą głównie z logów serwera, WAF i usługi ochrony przed DDoS. Usługa, która trzyma logi godzinę, nie pomoże przy sprawozdaniu końcowym składanym po miesiącu.

Plan WEDOS	Cena	Przechowywanie logów	Co zawiera
Free	0 zł	1 godzina	DDoS L3/L4, zarządzany WAF, domena i 1 subdomena
NoLimit	33 zł miesięcznie (396 zł za rok, 99 €)	1 tydzień	subdomeny wildcard, API, 3 administratorów, analityka 30 dni
NIS2 Standard "Ważne"	958 zł miesięcznie (199 €)	6 miesięcy	DDoS, WAF, anycast DNS, CDN, SLA 100 %, wsparcie 24/7, raporty miesięczne
NIS2 Standard "Kluczowe"	1 925 zł miesięcznie (400 €)	18 miesięcy	jak Ważne oraz blokowanie GeoIP, raporty tygodniowe, proaktywne powiadamianie o incydentach
Managed EU	4 199 zł miesięcznie przy płatności rocznej (1 000 €)	bez ograniczeń	imienny analityk bezpieczeństwa, monitoring 24/7, dzienny raport incydentów

Ceny z cenników WEDOS Protection i WEDOS Web Protection, sprawdzone 30 października 2026. Plany NIS2 Standard są na stronie Web Protection opisane jako ceny netto. Strona NIS2 WEDOS podaje te same kwoty "z VAT" i 12 miesięcy logów dla planu Essential, więc przed zamówieniem sprawdź warunki w umowie. Cennik WEDOS Protection nie mówi, czy kwoty zawierają VAT. Linki partnerskie: jeśli kupisz, dostaniemy prowizję, cena dla Ciebie się nie zmienia.

Najczęstsze pytania

Co to jest S46?

System teleinformatyczny z art. 46 ustawy o KSC. Przez niego podmioty kluczowe i ważne składają wniosek o wpis do wykazu (aplikacja Wykaz KSC) i przekazują wczesne ostrzeżenia, zgłoszenia i sprawozdania o incydentach poważnych (art. 11 ust. 2). Według Ministerstwa Cyfryzacji nowe podmioty mogą z niego korzystać od 12 czerwca 2026 r., a podłączyć się trzeba do 3 kwietnia 2027 r.

W jakim terminie zgłosić incydent poważny?

Wczesne ostrzeżenie niezwłocznie, nie później niż w 24 godziny od wykrycia; zgłoszenie incydentu nie później niż w 72 godziny od wykrycia; sprawozdanie końcowe nie później niż miesiąc od zgłoszenia. Na wniosek CSIRT dochodzi sprawozdanie okresowe. Dostawca usług zaufania zgłasza incydent poważny w 24 godziny.

Co to jest incydent poważny?

Incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi, straty finansowe dla podmiotu albo poważną szkodę materialną lub niematerialną dla innych osób (art. 2 pkt 7). Progi dla poszczególnych sektorów określa rozporządzenie Rady Ministrów (art. 11 ust. 4), a dla dostawców usług cyfrowych rozporządzenie wykonawcze Komisji (UE) 2024/2690.

Do kogo zgłasza się incydent?

Do właściwego CSIRT sektorowego, czyli zespołu ustanowionego przez organ właściwy dla danego sektora. Właściwy CSIRT sektorowy oraz CSIRT MON, CSIRT NASK lub CSIRT GOV są wskazane we wpisie podmiotu w wykazie (art. 7 ust. 2).

Czy trzeba informować klientów o incydencie?

Tak, jeśli incydent poważny ma niekorzystny wpływ na świadczenie usług (art. 11 ust. 2b). Przy poważnym cyberzagrożeniu podmiot informuje zagrożonych użytkowników o środkach, które mogą sami podjąć (art. 11 ust. 2a).

Źródła: art. 2, 9, 11-13 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu Dz.U. 2026 poz. 252; obowiązki podmiotów na gov.pl.

To nie jest porada prawna. Streszczamy przepisy własnymi słowami; wiążący jest tekst ustawy w Dzienniku Ustaw.