Obowiązki KSC / NIS2 dla samorządów

Ustawa o KSC i dyrektywa NIS2 - co się zmienia?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2 Unii Europejskiej, weszła w życie 3 kwietnia 2026. Oznacza to nowe, egzekwowalne obowiązki dla szerokiego katalogu podmiotów - w tym wszystkich jednostek samorządu terytorialnego, ich jednostek organizacyjnych oraz podmiotów świadczących usługi kluczowe.

Kogo dotyczą obowiązki?

Przepisy obejmują wszystkie gminy, powiaty i miasta na prawach powiatu, a także ich jednostki organizacyjne: szkoły, przedszkola, ośrodki pomocy społecznej, domy kultury, biblioteki, spółki komunalne i inne podmioty zależne. W praktyce oznacza to, że każda jednostka sektora finansów publicznych musi wdrożyć system cyberbezpieczeństwa - niezależnie od wielkości.

Kluczowe obowiązki wynikające z KSC

System Zarządzania Bezpieczeństwem Informacji (SZBI)

Podstawa zgodności z KSC. SZBI obejmuje polityki, procedury i instrukcje dotyczące bezpieczeństwa informacji - od klasyfikacji danych, przez zarządzanie dostępem, po przeglądy okresowe. Bez udokumentowanego SZBI nie sposób wykazać się przed audytorem.

Zarządzanie ryzykiem

Obowiązek systematycznej identyfikacji, analizy i oceny ryzyka dla systemów informacyjnych. Obejmuje zarówno ryzyka techniczne (podatności, brak aktualizacji), jak i organizacyjne (brak procedur, nieprzeszkolony personel). Macierz ryzyka musi być żywym dokumentem, regularnie aktualizowanym.

Zgłaszanie incydentów do CSIRT

Każdy incydent bezpieczeństwa - od ataku ransomware po wyciek danych - musi zostać zgłoszony do właściwego CSIRT (CSIRT NASK, CSIRT MON lub CSIRT GOV) w określonych terminach: wstępne zgłoszenie w ciągu 24h, pełny raport w ciągu 72h. W 682 245 roku odnotowano już 682 245 zgłoszeń do CSIRT, a dynamika wzrostu wynosi 144,4% rok do roku.

Ciągłość działania (BCP/DR)

Obowiązek utrzymania ciągłości kluczowych usług publicznych, nawet w przypadku poważnego incydentu. Wymaga planów ciągłości działania (BCP) i planów odtwarzania (DRP), regularnie testowanych. 71% urzędów nie ma aktualnego planu ciągłości (wg raportu NIK).

Szkolenia personelu

Obowiązek podnoszenia świadomości cyberbezpieczeństwa wśród pracowników. Szkolenia muszą być regularne, dostosowane do ról i obejmować m.in. rozpoznawanie phishingu, bezpieczne hasła i procedury zgłaszania incydentów.

Kary i odpowiedzialność

Sankcje za brak zgodności sięgają 10 mln euro kary dla jednostki, a dodatkowo obowiązuje odpowiedzialność osobista kierownika podmiotu - wójta, burmistrza, prezydenta, dyrektora. Kara może wynieść do 100% jego miesięcznego wynagrodzenia. Co więcej, brak należytego nadzoru nad cyberbezpieczeństwem może skutkować odpowiedzialnością cywilną i dyscyplinarną.

Jak model LCC pomaga realizować obowiązki?

Lokalne Centra Cyberbezpieczeństwa powstały właśnie po to, by odciążyć samorządy z tych obowiązków. Dzieląc koszt SOC, narzędzi i ekspertów na wiele JST, LCC znacząco obniża barierę wejścia - zamiast budować własny, kosztowny system od zera, każda gmina otrzymuje gotową usługę w modelu współdzielonym.