Treść

Stan prawny na Tekst ujednolicony ustawy o KSC (PDF, ISAP)

Checklista zgodności z NIS2 i ustawą o krajowym systemie cyberbezpieczeństwa (KSC)

Sprawdź obowiązki podmiotu kluczowego i ważnego — od wpisu do wykazu podmiotów kluczowych po pierwszy audyt. Pełna lista kontrolna w jednym miejscu.

  • 126 punktów kontroli — obowiązki wprost z ustawy i działania, które po prostu warto zrobić. Rozróżniamy jedne od drugich.
  • Przy każdym punkcie jest podstawa prawna, termin i dowód, którym wykażesz wykonanie.
  • Odhaczasz, filtrujesz, drukujesz. Na końcu masz gotowy dokument do akt.

Bez rejestracji i bez logowania. Pracujesz u siebie w przeglądarce — do nas nie trafia nic, dopóki sam nie wyślesz sobie wyniku na e-mail.

126 punktów kontroli
6 obszarów
4 obszary robimy za Ciebie
~15 min na pierwsze przejście
—dni

Krok 0: wniosek o wpis do wykazu — termin 3 października 2026 r.

To jedyny obowiązek, którego termin mija w tym roku. Pozostałe to kwiecień 2027 i 2028. Podstawa: art. 7c ust. 1 ustawy o KSC.

Zobacz 13 zadań
Krok 1 z 2 — dopasowanie listy

Kim jest Twój podmiot?

Pięć pytań. Odpowiedzi zostają w Twojej przeglądarce i służą wyłącznie do ukrycia zadań, które Ciebie nie dotyczą. Nie musisz odpowiadać — możesz od razu zobaczyć pełną listę.

Ta przeglądarka nie pozwala zapisać postępu (tryb prywatny albo zablokowane dane witryn). Możesz dalej odhaczać zadania, ale po zamknięciu karty wszystko zniknie — pobierz CSV albo PDF.

Żadne zadanie nie pasuje do wyszukiwania i filtrów.

Chcesz o tym porozmawiać

Bezpłatne 30 minut. Przechodzimy przez Twoją listę, mówimy, co jest pilne, a co może poczekać, i ile realnie kosztuje domknięcie każdego obszaru. Bez zobowiązań.

Umów konsultację

Chcesz tylko zachować wynik

Wyślemy Ci podsumowanie na e-mail — do wklejenia w rejestr zgodności albo do pokazania zarządowi. Kopia trafia do nas, żebyśmy mogli odezwać się z konkretami. Adresu nie dopisujemy do newslettera i nie będziemy pisać regularnie — sprawdzamy tylko, czy potrzebujesz pomocy, a jeśli tak, raz zostawiamy kontakt do siebie.

Wyślij mi wynik

Zastrzeżenie. Checklista ma charakter informacyjny i nie zastępuje analizy prawnej ani audytu. Zakres obowiązków zależy od kwalifikacji podmiotu, sektora i skali działalności; część zadań może nie mieć zastosowania, a w niektórych sektorach dochodzą wymagania odrębne.

Uwaga do zadania E21. Progi uznania incydentu za poważny pozostają na etapie projektu rozporządzenia Rady Ministrów (projekt opublikowany 9 września 2026 r.) i mogą się zmienić przed publikacją. Checklistę aktualizujemy po każdej zmianie stanu prawnego.

Podstawa. Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. 2026 poz. 20 ze zm.), znowelizowana ustawą z 23 stycznia 2026 r. (Dz. U. 2026 poz. 252), obowiązującą od 3 kwietnia 2026 r.

Pełna lista 126 zadań

Poniżej ta sama lista kontrolna w wersji do czytania i wydruku, z podstawą prawną, terminem i dowodem wykonania przy każdej pozycji. Wersja interaktywna powyżej pozwala odhaczać zadania, filtrować je po terminie i wysłać wynik na e-mail. Stan prawny: 21.09.2026.

0. Kwalifikacja i wpis do wykazu

Najbliższy termin z całej ustawy. Podmiot, który spełnia przesłanki dzisiaj, składa wniosek o wpis do wykazu do 3 października 2026 r.
Termin obszaru: 3.10.2026

  • E1Analiza wszystkich rodzajów prowadzonej działalności pod kątem załączników nr 1 i 2, nie tylko przeważającego PKD

    • Podstawa prawna: art. 5, art. 7d ust. 2
    • Termin: niezwłocznie
    • Dowód wykonania: notatka kwalifikacyjna z uzasadnieniem
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E2Ustalenie statusu wielkościowego podmiotu według załącznika I do rozporządzenia 651/2014/UE

    • Podstawa prawna: art. 7 ust. 2 pkt 13
    • Termin: przed wnioskiem
    • Dowód wykonania: wyliczenie zatrudnienia i danych finansowych
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E3Złożenie wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych

    • Podstawa prawna: art. 7c ust. 1
    • Termin: 3.10.2026 albo 6 mies. od spełnienia przesłanek
    • Dowód wykonania: potwierdzenie złożenia wniosku w S46
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E4Zebranie zakresów publicznych adresów IP używanych w sposób ciągły

    • Podstawa prawna: art. 7 ust. 2 pkt 9
    • Termin: przed wnioskiem
    • Dowód wykonania: wykaz zakresów IP potwierdzony z dostawcami
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E5Zebranie nazw domen używanych w sposób ciągły

    • Podstawa prawna: art. 7 ust. 2 pkt 10
    • Termin: przed wnioskiem
    • Dowód wykonania: wykaz domen
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E6Wskazanie państw UE, w których podmiot prowadzi działalność, oraz głównego miejsca prowadzenia działalności

    • Podstawa prawna: art. 7 ust. 2 pkt 14 i 15
    • Termin: przed wnioskiem
    • Dowód wykonania: dane we wniosku
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E7Oświadczenie kierownika składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego

    • Podstawa prawna: art. 7c ust. 5
    • Termin: przy wniosku
    • Dowód wykonania: podpisane oświadczenie
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E8Podpisanie wniosku kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią

    • Podstawa prawna: art. 7c ust. 6
    • Termin: przy wniosku
    • Dowód wykonania: podpisany dokument elektroniczny
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E9Weryfikacja kompletności wniosku przed wysyłką: brak danych, oświadczenia lub podpisu oznacza, że wpisu się nie dokonuje

    • Podstawa prawna: art. 7d ust. 3
    • Termin: przed wysyłką
    • Dowód wykonania: lista kontrolna kompletności
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E10Wykazanie odrębnie każdego rodzaju prowadzonej działalności objętej ustawą

    • Podstawa prawna: art. 7d ust. 2
    • Termin: przy wniosku
    • Dowód wykonania: wniosek z wszystkimi rodzajami działalności
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E11Aktualizacja wpisu przy każdej zmianie danych

    • Podstawa prawna: art. 7c ust. 3
    • Termin: 14 dni od zmiany
    • Dowód wykonania: wnioski o zmianę wpisu, rejestr zmian
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E12Uzyskanie zaświadczenia o wpisie na potrzeby przetargów i ankiet bezpieczeństwa

    • Podstawa prawna: art. 7d ust. 6 i 7
    • Termin: według potrzeb
    • Dowód wykonania: zaświadczenie w postaci elektronicznej
    • Dotyczy: kluczowy · ważny
    • Charakter: zalecane

  • E13Założenie konta i rozpoczęcie korzystania z systemu S46 po uzyskaniu wpisu

    • Podstawa prawna: art. 9 ust. 1 pkt 4, art. 46 ust. 1
    • Termin: po wpisie, nie później niż 3.04.2027
    • Dowód wykonania: aktywne konto, wyznaczony administrator
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

1. Audyt bezpieczeństwa systemu informacyjnego

Obowiązek cykliczny podmiotu kluczowego; podmiot ważny audytuje na żądanie organu.
Termin obszaru: 3.04.2028

  • A1Ustalenie, czy audyt jest obowiązkiem cyklicznym, czy wyłącznie na żądanie organu

    • Podstawa prawna: art. 15 ust. 1 i 1b
    • Termin: przed planowaniem budżetu
    • Dowód wykonania: notatka z kwalifikacji obowiązku
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • A2Wyznaczenie daty pierwszego audytu i wpisanie go do planu oraz budżetu

    • Podstawa prawna: art. 33 ust. 2 nowelizacji, art. 16 pkt 2
    • Termin: do 3.04.2028 albo 24 mies. od spełnienia przesłanek
    • Dowód wykonania: plan audytów, pozycja w budżecie
    • Dotyczy: tylko kluczowy
    • Charakter: obowiązek

  • A3Audyt diagnostyczny stanu obecnego przed wdrożeniem (analiza luki)

    • Podstawa prawna: dobra praktyka, wsparcie dla art. 8 ust. 1
    • Termin: przed rozpoczęciem wdrożenia
    • Dowód wykonania: raport z analizy luki z listą niezgodności
    • Dotyczy: kluczowy · ważny
    • Charakter: zalecane

  • A4Wybór wykonawcy: jednostka akredytowana, CSIRT sektorowy spełniający warunki ustawowe albo co najmniej dwóch audytorów legitymujących się certyfikatem z wykazu, trzyletnią praktyką w audycie lub dwuletnią praktyką wraz ze studiami podyplomowymi z audytu

    • Podstawa prawna: art. 15 ust. 2 i 3
    • Termin: przed audytem
    • Dowód wykonania: umowa, certyfikaty lub udokumentowana praktyka audytorów
    • Dotyczy: tylko kluczowy
    • Charakter: obowiązek

  • A5Weryfikacja niezależności: audytor nie realizował w podmiocie zadań z art. 8 oraz art. 9-13 w ciągu roku przed audytem

    • Podstawa prawna: art. 15 ust. 2a
    • Termin: przed audytem
    • Dowód wykonania: oświadczenia audytorów o braku konfliktu ról
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • A6Ustalenie zakresu audytu: SZBI, dokumentacja, incydenty, ciągłość działania, łańcuch dostaw, monitorowanie

    • Podstawa prawna: art. 15 ust. 1 w zw. z art. 8 i 10
    • Termin: przed audytem
    • Dowód wykonania: zatwierdzony program audytu
    • Dotyczy: tylko kluczowy
    • Charakter: obowiązek

  • A7Przygotowanie dowodów dla audytora: zapisy, logi, protokoły testów, rejestry

    • Podstawa prawna: art. 10 ust. 4
    • Termin: przed audytem
    • Dowód wykonania: skompletowany zbiór dowodów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • A8Odebranie raportu i sprawozdania z audytu

    • Podstawa prawna: art. 15 ust. 5
    • Termin: po audycie
    • Dowód wykonania: podpisany raport z datą
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • A9Przekazanie kopii raportu organowi właściwemu w postaci elektronicznej

    • Podstawa prawna: art. 15 ust. 1a
    • Termin: 3 dni robocze od otrzymania raportu; przy audycie nakazanym podmiotowi ważnemu termin wskazuje decyzja organu
    • Dowód wykonania: potwierdzenie przekazania
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • A10Plan postępowania z zaleceniami z audytu wraz z terminami i właścicielami

    • Podstawa prawna: art. 53 ust. 5 pkt 5
    • Termin: po audycie
    • Dowód wykonania: plan naprawczy z harmonogramem
    • Dotyczy: kluczowy · ważny
    • Charakter: zalecane

  • A11Kolejne audyty nie rzadziej niż raz na 3 lata, licząc od podpisania poprzedniego raportu

    • Podstawa prawna: art. 15 ust. 1
    • Termin: co 3 lata
    • Dowód wykonania: plan audytów cyklicznych
    • Dotyczy: tylko kluczowy
    • Charakter: obowiązek

  • A12Gotowość na audyt nakazany decyzją organu, natychmiast wykonalną; podmiotowi kluczowemu organ może go nakazać w każdym czasie, podmiotowi ważnemu w razie incydentu poważnego albo innego naruszenia ustawy

    • Podstawa prawna: art. 15 ust. 1b i 1c
    • Termin: na żądanie organu
    • Dowód wykonania: procedura reakcji, zarezerwowany budżet awaryjny
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • A13Udostępnienie raportu na wniosek Szefa ABW, a dyrektorowi RCB wyłącznie w zakresie wynikającym z posiadania obiektów infrastruktury krytycznej

    • Podstawa prawna: art. 15 ust. 7
    • Termin: na wniosek
    • Dowód wykonania: rejestr udostępnień
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • A14Archiwizacja raportu i dokumentacji audytowej

    • Podstawa prawna: art. 10 ust. 7
    • Termin: min. 2 lata od wycofania systemu z użytkowania albo zakończenia świadczenia usługi, z uwzględnieniem ustawowego sposobu liczenia okresu; odrębne zasady dla podmiotów objętych ustawą o narodowym zasobie archiwalnym
    • Dowód wykonania: miejsce i zasady przechowywania
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

2. Wdrożenie systemu zarządzania bezpieczeństwem informacji i dokumentacja

Największy blok obowiązków. Dzielimy go na sześć podobszarów, żeby dało się przechodzić go etapami.
Termin obszaru: 3.04.2027

2.1 Ryzyko i polityki

  • B1Wyznaczenie zakresu SZBI: systemy informacyjne wykorzystywane w procesach wpływających na świadczenie usługi

    • Podstawa prawna: art. 8 ust. 1
    • Termin: 3.04.2027
    • Dowód wykonania: opis zakresu zatwierdzony przez kierownika
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B2Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem

    • Podstawa prawna: art. 8 ust. 1 pkt 1
    • Termin: 3.04.2027, potem cyklicznie
    • Dowód wykonania: metodyka, raport z szacowania, plan postępowania z ryzykiem
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B3Polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego wraz z politykami tematycznymi

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. a
    • Termin: 3.04.2027
    • Dowód wykonania: zatwierdzone i opublikowane polityki
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B12Polityki i procedury oceny skuteczności środków technicznych i organizacyjnych

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. h
    • Termin: 3.04.2027, potem cyklicznie
    • Dowód wykonania: raport z przeglądu skuteczności i decyzje po nim
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

2.2 Zabezpieczenia techniczne i organizacyjne

  • B4Bezpieczeństwo w nabywaniu, rozwoju, utrzymaniu i eksploatacji systemów, w tym testowanie

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. b
    • Termin: 3.04.2027
    • Dowód wykonania: procedura zakupowa, raporty z testów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B5Bezpieczeństwo fizyczne i środowiskowe z kontrolą dostępu

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. c
    • Termin: 3.04.2027
    • Dowód wykonania: procedura, rejestr dostępu do pomieszczeń
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B6Bezpieczeństwo zasobów ludzkich: zakresy obowiązków, zobowiązania do poufności, procedura odejścia pracownika

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. d
    • Termin: 3.04.2027
    • Dowód wykonania: dokumenty kadrowe, checklisty on- i offboardingu
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B10Plany ciągłości działania, plany awaryjne i plany odtworzenia: wdrożone, udokumentowane i testowane

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. f
    • Termin: 3.04.2027
    • Dowód wykonania: plany plus protokół z testu odtworzenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B11Kopie zapasowe: zasady wykonywania, przechowywania i odtwarzania

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. f
    • Termin: 3.04.2027
    • Dowód wykonania: polityka kopii, raport z testu odtworzenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B13Edukacja personelu z zakresu cyberbezpieczeństwa

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. i
    • Termin: 3.04.2027, potem cyklicznie
    • Dowód wykonania: program, lista uczestników, wyniki
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B14Podstawowe zasady cyberhigieny opisane i zakomunikowane pracownikom

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. j
    • Termin: 3.04.2027
    • Dowód wykonania: dokument zasad, potwierdzenie zapoznania
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B15Polityki i procedury stosowania kryptografii, w tym szyfrowania

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. k
    • Termin: 3.04.2027
    • Dowód wykonania: polityka kryptograficzna, konfiguracja szyfrowania
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B16Bezpieczne środki komunikacji elektronicznej, w tym uwierzytelnianie wieloskładnikowe w stosownych przypadkach

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. l
    • Termin: 3.04.2027
    • Dowód wykonania: konfiguracja MFA, wykaz objętych systemów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B17Zarządzanie aktywami: inwentaryzacja sprzętu, oprogramowania i danych z przypisaniem właścicieli

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. m
    • Termin: 3.04.2027
    • Dowód wykonania: aktualny rejestr aktywów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B18Polityki kontroli dostępu wraz z okresowym przeglądem uprawnień

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. n
    • Termin: 3.04.2027, przegląd cyklicznie
    • Dowód wykonania: polityka, protokół przeglądu uprawnień
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B21Mechanizmy zapewniające poufność, integralność, dostępność i autentyczność danych

    • Podstawa prawna: art. 8 ust. 1 pkt 5 lit. a
    • Termin: 3.04.2027
    • Dowód wykonania: opis zabezpieczeń, konfiguracje
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B22Regularne aktualizacje oprogramowania zgodnie z zaleceniami producenta, z analizą wpływu i oceną krytyczności

    • Podstawa prawna: art. 8 ust. 1 pkt 5 lit. b
    • Termin: 3.04.2027, potem cyklicznie
    • Dowód wykonania: rejestr aktualizacji z analizą wpływu
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B23Ochrona przed nieuprawnioną modyfikacją w systemie informacyjnym

    • Podstawa prawna: art. 8 ust. 1 pkt 5 lit. c
    • Termin: 3.04.2027
    • Dowód wykonania: opis mechanizmów kontroli integralności
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B24Procedura niezwłocznej reakcji na wykrytą podatność lub cyberzagrożenie, z możliwością czasowego ograniczenia ruchu sieciowego

    • Podstawa prawna: art. 8 ust. 1 pkt 5 lit. d
    • Termin: 3.04.2027
    • Dowód wykonania: procedura z progami decyzyjnymi
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

2.3 Łańcuch dostaw

  • B7Lista dostawców krytycznych dla świadczenia usługi

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. e
    • Termin: 3.04.2027
    • Dowód wykonania: rejestr dostawców z oceną krytyczności
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B8Uwzględnienie podatności dostawcy, jakości jego produktów ICT oraz wyników skoordynowanej oceny UE

    • Podstawa prawna: art. 8 ust. 2
    • Termin: 3.04.2027
    • Dowód wykonania: karta oceny dostawcy
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B9Klauzule w umowach z dostawcami: notyfikacja incydentu, informacja o podatnościach, utrzymanie wsparcia producenta

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. e
    • Termin: przy zawieraniu i odnawianiu umów
    • Dowód wykonania: wzory klauzul, aneksy
    • Dotyczy: kluczowy · ważny
    • Charakter: sposób realizacji

2.4 Dokumentacja i jej nadzór

  • B19Zbieranie informacji o cyberzagrożeniach i podatnościach systemu

    • Podstawa prawna: art. 8 ust. 1 pkt 3
    • Termin: 3.04.2027
    • Dowód wykonania: źródła informacji, rejestr podatności
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B20Procedura zarządzania incydentami wraz z kartą incydentu i macierzą ról

    • Podstawa prawna: art. 8 ust. 1 pkt 4, art. 11 ust. 1 pkt 1
    • Termin: 3.04.2027
    • Dowód wykonania: procedura, wzór karty, rejestr incydentów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B25Dokumentacja normatywna: dokumentacja SZBI

    • Podstawa prawna: art. 10 ust. 3 pkt 1
    • Termin: 3.04.2027
    • Dowód wykonania: komplet dokumentów SZBI
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B26Dokumentacja ochrony infrastruktury: charakterystyka usługi, ocena stanu ochrony, szacowanie ryzyka dla obiektów, plan postępowania z ryzykiem, zabezpieczenia techniczne, zasady ochrony fizycznej

    • Podstawa prawna: art. 10 ust. 3 pkt 2
    • Termin: 3.04.2027
    • Dowód wykonania: dokumentacja ochrony infrastruktury
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B27Dokumentacja systemu zarządzania ciągłością działania

    • Podstawa prawna: art. 10 ust. 3 pkt 3
    • Termin: 3.04.2027
    • Dowód wykonania: dokumentacja SZCD
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B28Dokumentacja techniczna systemu informacyjnego wykorzystywanego w procesie świadczenia usługi

    • Podstawa prawna: art. 10 ust. 3 pkt 4
    • Termin: 3.04.2027
    • Dowód wykonania: dokumentacja techniczna, schematy
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B29Dokumentacja wynikająca ze specyfiki usługi w danym sektorze lub podsektorze

    • Podstawa prawna: art. 10 ust. 3 pkt 5
    • Termin: 3.04.2027
    • Dowód wykonania: dokumentacja sektorowa
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B30Dokumentacja operacyjna: zapisy poświadczające wykonywanie czynności, w tym automatycznie generowane logi

    • Podstawa prawna: art. 10 ust. 4
    • Termin: 3.04.2027, prowadzona na bieżąco
    • Dowód wykonania: zapisy i dzienniki systemów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B31Nadzór nad dokumentacją: dostęp tylko dla osób upoważnionych, ochrona przed utratą i utratą integralności, oznaczanie wersji

    • Podstawa prawna: art. 10 ust. 6
    • Termin: 3.04.2027
    • Dowód wykonania: procedura nadzoru, historia wersji
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B32Przechowywanie dokumentacji przez okres wskazany w ustawie, liczony od wycofania systemu z użytkowania albo zakończenia świadczenia usługi; odrębne zasady dla podmiotów objętych ustawą o narodowym zasobie archiwalnym

    • Podstawa prawna: art. 10 ust. 7
    • Termin: na bieżąco
    • Dowód wykonania: zasady retencji, wykaz dokumentacji wycofanej
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B33Protokoły brakowania dokumentacji, przechowywane w sposób trwały

    • Podstawa prawna: art. 10 ust. 8
    • Termin: przy niszczeniu dokumentacji
    • Dowód wykonania: protokoły brakowania
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

2.5 Reżimy szczególne

  • B34Podmiot publiczny: SZBI spełniający wymogi załącznika nr 4 zamiast art. 8 ust. 1

    • Podstawa prawna: art. 8 ust. 3
    • Termin: 3.04.2027
    • Dowód wykonania: dokumentacja SZBI wg załącznika nr 4
    • Dotyczy: podmiot publiczny (ważny)
    • Charakter: obowiązek

  • B35Podmiot publiczny: uwzględnienie w SZBI systemów dostarczanych przez inny podmiot publiczny, w tym rejestrów publicznych, w zakresie własnych kompetencji

    • Podstawa prawna: art. 8 ust. 4
    • Termin: 3.04.2027
    • Dowód wykonania: wykaz systemów zewnętrznych w zakresie SZBI
    • Dotyczy: podmiot publiczny
    • Charakter: obowiązek

  • B36Podmioty cyfrowe (DNS, TLD, chmura, centra danych, CDN, usługi zarządzane, MSSP, platformy handlowe, wyszukiwarki, sieci społecznościowe): środki z rozporządzenia wykonawczego KE 2024/2690

    • Podstawa prawna: art. 8b
    • Termin: 3.04.2027
    • Dowód wykonania: mapowanie środków na wymagania rozporządzenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

2.6 Obowiązki wobec użytkowników usługi

  • E14Udostępnienie użytkownikom wiedzy o cyberzagrożeniach i sposobach zabezpieczania się, w szczególności na stronie internetowej

    • Podstawa prawna: art. 9 ust. 1 pkt 2
    • Termin: 3.04.2027
    • Dowód wykonania: zrzut ekranu sekcji na stronie, adres podstrony
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E15Dopuszczalne uproszczenie: zamieszczenie hiperłącza do stron organu właściwego lub CSIRT

    • Podstawa prawna: art. 9 ust. 4
    • Termin: 3.04.2027
    • Dowód wykonania: działające hiperłącze na stronie
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E16Udostępnienie użytkownikom kanału zgłaszania cyberzagrożeń, incydentów i podatności

    • Podstawa prawna: art. 9 ust. 1 pkt 3
    • Termin: 3.04.2027
    • Dowód wykonania: adres e-mail lub formularz plus procedura obsługi zgłoszeń
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E17Informowanie użytkowników o poważnym cyberzagrożeniu i o możliwych środkach zapobiegawczych

    • Podstawa prawna: art. 11 ust. 2a
    • Termin: przy wystąpieniu zagrożenia
    • Dowód wykonania: szablon komunikatu, ścieżka akceptacji
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E18Informowanie użytkowników o incydencie poważnym mającym niekorzystny wpływ na świadczenie usługi

    • Podstawa prawna: art. 11 ust. 2b
    • Termin: przy wystąpieniu incydentu
    • Dowód wykonania: szablon komunikatu, rejestr wysyłek
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E19Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa obsługujący incydenty: publikacja na stronie danych o działalności, usługach, polityce obsługi incydentów i sposobach kontaktu

    • Podstawa prawna: art. 8g
    • Termin: 3.04.2027
    • Dowód wykonania: opublikowana sekcja informacyjna
    • Dotyczy: tylko kluczowy
    • Charakter: obowiązek

3. Punkt kontaktowy i koordynacja cyberbezpieczeństwa

Uwaga: ustawa nie tworzy stanowiska „koordynatora” na wzór inspektora ochrony danych. Rozróżnia trzy role — osobę do kontaktu, wykonawcę zadań i kierownika, który za całość odpowiada. „Koordynator” to nazwa handlowa naszej usługi, nie funkcja ustawowa.
Termin obszaru: 3.04.2027

  • C1Wyznaczenie co najmniej dwóch osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa

    • Podstawa prawna: art. 9 ust. 1 pkt 1
    • Termin: 3.04.2027, w praktyce przy wpisie do wykazu
    • Dowód wykonania: pisemne wyznaczenie z zakresem zadań
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C2Mikro- i mały przedsiębiorca: wyznaczenie co najmniej jednej osoby

    • Podstawa prawna: art. 9 ust. 2
    • Termin: jak wyżej
    • Dowód wykonania: pisemne wyznaczenie
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C3Podmiot publiczny będący podmiotem ważnym: wyznaczenie co najmniej jednej osoby

    • Podstawa prawna: art. 9 ust. 3
    • Termin: jak wyżej
    • Dowód wykonania: pisemne wyznaczenie
    • Dotyczy: podmiot publiczny (ważny)
    • Charakter: obowiązek

  • C4Zgłoszenie danych osób do wykazu: imię, nazwisko, telefon służbowy, służbowy adres e-mail, a dla administratora konta w S46 dodatkowo PESEL lub identyfikator środka identyfikacji elektronicznej

    • Podstawa prawna: art. 7 ust. 2 pkt 11
    • Termin: przy wniosku o wpis
    • Dowód wykonania: wniosek złożony w S46
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C5Ustalenie zastępstw i dostępności poza godzinami pracy, w tym na czas urlopu i choroby

    • Podstawa prawna: art. 9 ust. 1 pkt 1 w zw. z art. 11 ust. 1 pkt 4
    • Termin: 3.04.2027
    • Dowód wykonania: grafik zastępstw, lista kontaktów alarmowych
    • Dotyczy: kluczowy · ważny
    • Charakter: sposób realizacji

  • C8Decyzja o modelu realizacji zadań: powołanie wewnętrznych struktur albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa

    • Podstawa prawna: art. 14
    • Termin: 3.04.2027
    • Dowód wykonania: schemat organizacyjny albo umowa z dostawcą
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C9Wykazanie umowy z dostawcą usług zarządzanych w zakresie zadań z art. 8 i 11 we wniosku o wpis

    • Podstawa prawna: art. 7 ust. 2 pkt 16
    • Termin: przy wniosku i przy zmianie umowy
    • Dowód wykonania: wniosek lub wniosek o zmianę wpisu
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C13Uzyskanie informacji z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji przed dopuszczeniem osoby do zadań z art. 8 lub 11

    • Podstawa prawna: art. 8f ust. 1
    • Termin: przed dopuszczeniem do zadań
    • Dowód wykonania: informacja z KRK w aktach
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C14Ponowne żądanie informacji z KRK przy uzasadnionym podejrzeniu skazania

    • Podstawa prawna: art. 8f ust. 2
    • Termin: na bieżąco
    • Dowód wykonania: procedura i rejestr weryfikacji
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C15Alternatywnie: ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej

    • Podstawa prawna: art. 8f ust. 3
    • Termin: przed dopuszczeniem do zadań
    • Dowód wykonania: kopia poświadczenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C16Odsunięcie od zadań osoby skazanej prawomocnym wyrokiem za przestępstwo przeciwko ochronie informacji

    • Podstawa prawna: art. 8f ust. 4
    • Termin: niezwłocznie
    • Dowód wykonania: decyzja personalna
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C17Aktualizacja wpisu w wykazie przy zmianie osób do kontaktu lub administratora konta w S46

    • Podstawa prawna: art. 7c ust. 3
    • Termin: 14 dni od zmiany danych
    • Dowód wykonania: wniosek o zmianę wpisu
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C18Wyznaczenie osoby decyzyjnej w sprawie zgłoszenia incydentu, z zapisanym wewnętrznym czasem na decyzję

    • Podstawa prawna: art. 11 ust. 1 pkt 4 i 4a
    • Termin: 3.04.2027
    • Dowód wykonania: procedura z progami czasowymi
    • Dotyczy: kluczowy · ważny
    • Charakter: sposób realizacji

4. Monitorowanie zdarzeń i obsługa incydentów

Samo wykrywanie zdarzeń nie wyczerpuje obowiązku — liczy się to, co dzieje się po alarmie. Dlatego wykrywanie i zgłaszanie trzymamy razem.
Termin obszaru: 3.04.2027

4.1 Wykrywanie i monitorowanie

  • D1Inwentaryzacja systemów informacyjnych wykorzystywanych do świadczenia usługi, które mają zostać objęte monitorowaniem

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. g
    • Termin: 3.04.2027
    • Dowód wykonania: wykaz systemów w zakresie monitorowania
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D2Objęcie tych systemów systemem monitorowania w trybie ciągłym

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. g
    • Termin: 3.04.2027
    • Dowód wykonania: opis rozwiązania, potwierdzenie działania
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D3Ustalenie źródeł zdarzeń: serwery, stacje robocze, urządzenia sieciowe, aplikacje krytyczne, systemy OT i ICS, usługi chmurowe

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. g
    • Termin: 3.04.2027
    • Dowód wykonania: lista źródeł i podłączonych logów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D4Centralne zbieranie i przechowywanie zdarzeń; ustawa nie narzuca technologii ani konkretnego narzędzia

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. g, art. 10 ust. 4
    • Termin: 3.04.2027
    • Dowód wykonania: konfiguracja kolektora lub systemu klasy SIEM
    • Dotyczy: kluczowy · ważny
    • Charakter: sposób realizacji

  • D5Zdefiniowanie reguł detekcji i progów alarmowania wraz z ich okresowym przeglądem

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. g i h
    • Termin: 3.04.2027, przegląd cyklicznie
    • Dowód wykonania: katalog reguł, protokół przeglądu
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D6Ścieżka reakcji na alarm: kto odbiera, w jakim czasie, kto eskaluje poza godzinami pracy

    • Podstawa prawna: art. 8 ust. 1 pkt 4
    • Termin: 3.04.2027
    • Dowód wykonania: procedura reakcji z czasami
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D7Powiązanie monitorowania z procesem zarządzania incydentami i z klasyfikacją incydentu jako poważnego

    • Podstawa prawna: art. 11 ust. 1 pkt 3 i 4
    • Termin: 3.04.2027
    • Dowód wykonania: procedura łącząca alarm ze zgłoszeniem
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D8Retencja dokumentacji operacyjnej: zapisów poświadczających wykonywanie czynności wymaganych politykami, w tym odpowiednich dzienników zdarzeń — nie wszystkich logów bez rozróżnienia

    • Podstawa prawna: art. 10 ust. 4 i 7
    • Termin: na bieżąco
    • Dowód wykonania: polityka retencji ze wskazaniem, które zapisy są dokumentacją operacyjną
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D9Ochrona logów przed nieuprawnioną modyfikacją i dostępem osób nieupoważnionych

    • Podstawa prawna: art. 10 ust. 6, art. 8 ust. 1 pkt 5 lit. c
    • Termin: 3.04.2027
    • Dowód wykonania: opis zabezpieczeń, kontrola dostępu do logów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D10Monitorowanie źródeł informacji o podatnościach i cyberzagrożeniach oraz reagowanie na nie

    • Podstawa prawna: art. 8 ust. 1 pkt 3 i pkt 5 lit. d
    • Termin: na bieżąco
    • Dowód wykonania: rejestr podatności z terminami usunięcia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D11Okresowa ocena skuteczności monitorowania, z wnioskami i decyzjami

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. h
    • Termin: cyklicznie
    • Dowód wykonania: raport z oceny skuteczności
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D12Wybór modelu realizacji: zespół własny, usługa zewnętrzna albo model mieszany

    • Podstawa prawna: art. 14
    • Termin: 3.04.2027
    • Dowód wykonania: decyzja z uzasadnieniem kosztowym, umowa
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D13Testy działania monitorowania: kontrolne wygenerowanie zdarzenia i sprawdzenie alarmu

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. b i h
    • Termin: po wdrożeniu, potem cyklicznie
    • Dowód wykonania: protokół z testu detekcji
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • D14Zapewnienie właściwemu CSIRT dostępu do informacji o rejestrowanych incydentach w niezbędnym zakresie

    • Podstawa prawna: art. 11 ust. 1 pkt 2
    • Termin: na bieżąco
    • Dowód wykonania: procedura udostępniania, rejestr incydentów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

4.2 Zgłaszanie i obsługa incydentów

  • E20Zapewnienie obsługi incydentu

    • Podstawa prawna: art. 11 ust. 1 pkt 1
    • Termin: na bieżąco
    • Dowód wykonania: procedura, rejestr incydentów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E21Klasyfikowanie incydentu jako poważnego na podstawie progów krajowych i unijnych; do wejścia w życie nowego rozporządzenia Rady Ministrów (projekt z 9.09.2026) stosuje się progi dotychczasowe, a podmioty cyfrowe dodatkowo rozporządzenie wykonawcze KE 2024/2690

    • Podstawa prawna: art. 11 ust. 1 pkt 3 i ust. 4
    • Termin: na bieżąco
    • Dowód wykonania: matryca klasyfikacji, rejestr decyzji klasyfikacyjnych
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E22Wczesne ostrzeżenie o incydencie poważnym, z elementami z art. 12 ust. 1

    • Podstawa prawna: art. 11 ust. 1 pkt 4
    • Termin: niezwłocznie, nie później niż 24 godziny od wykrycia
    • Dowód wykonania: potwierdzenie zgłoszenia w S46
    • Dotyczy: kluczowy · ważny (poza publicznym)
    • Charakter: obowiązek

  • E23Zgłoszenie incydentu poważnego, z elementami z art. 12 ust. 3

    • Podstawa prawna: art. 11 ust. 1 pkt 4a
    • Termin: niezwłocznie, nie później niż 72 godziny od wykrycia
    • Dowód wykonania: potwierdzenie zgłoszenia w S46
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E24Dostawca usług zaufania: zgłoszenie incydentu poważnego w 24 godziny od wykrycia

    • Podstawa prawna: art. 11 ust. 1a
    • Termin: niezwłocznie, nie później niż 24 godziny od wykrycia
    • Dowód wykonania: potwierdzenie zgłoszenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E25Sprawozdanie okresowe z obsługi incydentu poważnego na wniosek CSIRT

    • Podstawa prawna: art. 11 ust. 1 pkt 4b
    • Termin: na wniosek
    • Dowód wykonania: przekazane sprawozdanie
    • Dotyczy: kluczowy · ważny (poza publicznym)
    • Charakter: obowiązek

  • E26Sprawozdanie końcowe z obsługi incydentu poważnego, z elementami z art. 12a

    • Podstawa prawna: art. 11 ust. 1 pkt 4c
    • Termin: miesiąc od zgłoszenia z art. 11 ust. 1 pkt 4a
    • Dowód wykonania: przekazane sprawozdanie
    • Dotyczy: kluczowy · ważny (poza publicznym)
    • Charakter: obowiązek

  • E27Sprawozdanie z postępu obsługi, gdy obsługa nie zakończyła się w terminie sprawozdania końcowego; sprawozdanie końcowe w miesiąc od zakończenia obsługi

    • Podstawa prawna: art. 12b
    • Termin: według przebiegu obsługi
    • Dowód wykonania: przekazane sprawozdania
    • Dotyczy: kluczowy · ważny (poza publicznym)
    • Charakter: obowiązek

  • E28Ustalenie adresata zgłoszeń: właściwy CSIRT sektorowy, a do czasu komunikatu o osiągnięciu przez niego zdolności operacyjnej CSIRT MON, CSIRT NASK albo CSIRT GOV

    • Podstawa prawna: art. 11 ust. 1 pkt 4, art. 44 nowelizacji
    • Termin: przed pierwszym incydentem
    • Dowód wykonania: dane kontaktowe w karcie incydentu
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E29Oznaczanie w zgłoszeniu informacji stanowiących tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa

    • Podstawa prawna: art. 12 ust. 6 i 8
    • Termin: przy zgłoszeniu
    • Dowód wykonania: oznaczone zgłoszenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E30Współdziałanie z CSIRT podczas obsługi incydentu poważnego i krytycznego, w tym przekazywanie niezbędnych danych

    • Podstawa prawna: art. 11 ust. 1 pkt 5
    • Termin: przy incydencie
    • Dowód wykonania: korespondencja, notatki z obsługi
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E31Usuwanie podatności wskazanych przez organ oraz informowanie organu o ich usunięciu

    • Podstawa prawna: art. 11 ust. 1 pkt 6, art. 32 ust. 2
    • Termin: według wezwania
    • Dowód wykonania: potwierdzenie usunięcia przekazane organowi
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E32Ćwiczenie ścieżki zgłoszenia: próbne wypełnienie karty incydentu i test dostępu do S46

    • Podstawa prawna: art. 8 ust. 1 pkt 2 lit. f i h
    • Termin: przed 3.04.2027, potem cyklicznie
    • Dowód wykonania: protokół z ćwiczenia
    • Dotyczy: kluczowy · ważny
    • Charakter: sposób realizacji

5. Nadzór i odpowiedzialność kierownictwa

Obowiązki, które z mocy ustawy zostają przy kierowniku podmiotu: decyzje o wdrożeniu i przeglądzie systemu, budżet, powierzenie obowiązków, szkolenia i odpowiedzialność osobista.
Termin obszaru: na bieżąco

5.1 Decyzje i odpowiedzialność kierownika

  • C6Wskazanie osoby odpowiedzialnej za cyberbezpieczeństwo w organie wieloosobowym; bez wskazania odpowiedzialność ponoszą wszyscy członkowie organu

    • Podstawa prawna: art. 8c ust. 2
    • Termin: niezwłocznie
    • Dowód wykonania: uchwała lub decyzja o wskazaniu osoby
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C7Formalne powierzenie obowiązków wraz ze zgodą osoby przyjmującej; powierzenie nie zwalnia kierownika z odpowiedzialności

    • Podstawa prawna: art. 8c ust. 3
    • Termin: przy powierzeniu
    • Dowód wykonania: dokument powierzenia ze zgodą
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C10Przydzielenie zadań z zakresu cyberbezpieczeństwa i nadzór nad ich wykonaniem

    • Podstawa prawna: art. 8d pkt 3
    • Termin: 3.04.2027
    • Dowód wykonania: macierz odpowiedzialności, raporty z nadzoru
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C11Szkolenie kierownika oraz osoby, której powierzono obowiązki, raz w roku kalendarzowym, w zakresie z art. 8e ust. 2

    • Podstawa prawna: art. 8e ust. 1 i 2
    • Termin: raz w każdym roku kalendarzowym
    • Dowód wykonania: zaświadczenie, program szkolenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • C12Udokumentowanie udziału w szkoleniu

    • Podstawa prawna: art. 8e ust. 3
    • Termin: po każdym szkoleniu
    • Dowód wykonania: lista obecności, potwierdzenie ukończenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B37Zaplanowanie adekwatnych środków finansowych na realizację obowiązków

    • Podstawa prawna: art. 8d pkt 2
    • Termin: w cyklu budżetowym
    • Dowód wykonania: pozycja budżetowa, uchwała lub decyzja
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • B38Zapewnienie, że personel zna obowiązki i wewnętrzne regulacje z zakresu cyberbezpieczeństwa

    • Podstawa prawna: art. 8d pkt 4
    • Termin: 3.04.2027, potem cyklicznie
    • Dowód wykonania: potwierdzenia zapoznania, komunikacja wewnętrzna
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

5.2 Nadzór organu i ponowna kwalifikacja

  • E33Przygotowanie zbioru dowodów realizacji wymogów z art. 8 ust. 1 na żądanie organu

    • Podstawa prawna: art. 53 ust. 2 pkt 6
    • Termin: na bieżąco
    • Dowód wykonania: uporządkowany rejestr dowodów
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E34Procedura reakcji na pismo ostrzegawcze organu i na nakazy wydane w drodze decyzji

    • Podstawa prawna: art. 53 ust. 4 i 5 oraz ust. 17
    • Termin: przy wystąpieniu
    • Dowód wykonania: procedura, wyznaczona osoba do kontaktu z organem
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E35Świadomość odpowiedzialności kierownika, w tym kary pieniężnej do 300 % wynagrodzenia, a dla kierownika podmiotu publicznego do 100 % — liczonej w sposób wskazany w ustawie

    • Podstawa prawna: art. 8c ust. 1, art. 73a
    • Termin: na bieżąco
    • Dowód wykonania: potwierdzenie szkolenia kierownictwa
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E36Świadomość, że moratorium na kary nie obejmuje kary z art. 73 ust. 5 do 100 000 000 zł ani środków nadzorczych

    • Podstawa prawna: art. 35 nowelizacji, art. 73 ust. 5
    • Termin: na bieżąco
    • Dowód wykonania: notatka dla zarządu
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E37Realizacja obowiązków rozdziału 3 w terminie 12 miesięcy od dnia spełnienia przesłanek przez nowy podmiot

    • Podstawa prawna: art. 16 pkt 1
    • Termin: 12 miesięcy
    • Dowód wykonania: harmonogram wdrożenia
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E38Ponowna kwalifikacja po zmianie skali działalności, przejęciu, połączeniu lub uruchomieniu nowej linii biznesowej

    • Podstawa prawna: art. 5, art. 7c ust. 3
    • Termin: przy każdej istotnej zmianie
    • Dowód wykonania: notatka z ponownej kwalifikacji
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek

  • E39Rozważenie dobrowolnego przekazywania informacji o innych incydentach, cyberzagrożeniach i podatnościach

    • Podstawa prawna: art. 13
    • Termin: według decyzji
    • Dowód wykonania: decyzja i rejestr przekazanych informacji
    • Dotyczy: kluczowy · ważny
    • Charakter: zalecane

  • E40Rozważenie udziału w wymianie informacji z innymi podmiotami i z CSIRT

    • Podstawa prawna: art. 8h
    • Termin: według decyzji
    • Dowód wykonania: porozumienie o wymianie informacji
    • Dotyczy: kluczowy · ważny
    • Charakter: zalecane

  • E41Rejestry nazw domen i podmioty świadczące usługi rejestracji nazw domen: zbieranie i utrzymywanie dokładnych danych rejestracyjnych oraz procedury ich weryfikacji

    • Podstawa prawna: art. 16b
    • Termin: 3.04.2027
    • Dowód wykonania: baza danych rejestracyjnych, procedury
    • Dotyczy: tylko kluczowy
    • Charakter: obowiązek

  • E42Operator infrastruktury krytycznej: uwzględnienie równoległych obowiązków wynikających z przepisów o zarządzaniu kryzysowym i o odporności podmiotów krytycznych

    • Podstawa prawna: przepisy odrębne, poza ustawą o KSC
    • Termin: na bieżąco
    • Dowód wykonania: mapa obowiązków równoległych
    • Dotyczy: kluczowy · ważny
    • Charakter: obowiązek