Nowe obowiązki z NIS2 — i termin, który mija 3 października
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Objęła jednostki samorządu terytorialnego — i przeniosła na nie obowiązek samodzielnej oceny własnego statusu. Nikt nie przyśle pisma z przypomnieniem.
Trzy zmiany, które dotyczą każdego urzędu
Samoidentyfikacja zamiast decyzji
To jednostka sama ocenia, czy podlega ustawie, i sama składa wniosek o wpis do wykazu. Brak pisma z urzędu nadrzędnego niczego nie zwalnia.
Odpowiada kierownik jednostki
Cyberbezpieczeństwo przestało być wyłącznie sprawą informatyka. Odpowiada za nie osobiście wójt, burmistrz lub starosta — i nie może się z tego zwolnić przez delegację.
Dowód zamiast deklaracji
Liczy się realne wdrożenie i możliwość jego wykazania — logi, rejestry, raporty. Nie sam dokument w szufladzie.
Co, kiedy i ile czasu zostało
Licznik przelicza się przy każdej aktualizacji strony.
-
3.04.2026
minęło
Wejście w życie nowelizacji
Nowe przepisy zaczęły obowiązywać — od tego dnia biegną wszystkie terminy.
-
7.05.2026
minęło
Ruszyła samorejestracja
Od tego dnia można składać wniosek o wpis w Wykazie KSC (wykaz-ksc.gov.pl).
-
3.10.2026
zostało 17 dni
Termin samoidentyfikacji i wpisu do wykazu
Ostateczna data na ocenę własnego statusu i złożenie wniosku o wpis. Nikt nie przyśle pisma z przypomnieniem — jednostka robi to sama.
-
3.04.2027
zostało 199 dni
Podłączenie do S46 i wdrożenie obowiązków
Do tego dnia trzeba mieć działające procedury bezpieczeństwa, dokumentację SZBI i podłączenie do systemu zgłaszania incydentów.
-
3.04.2028
zostało 565 dni
Pierwszy obowiązkowy audyt
Dotyczy podmiotów kluczowych. Od tej daty możliwe są też kary.
W jakim reżimie jesteście?
Kilka pytań, żeby zorientować się w kierunku. Nic nie wysyłamy i nic nie zapisujemy — wynik liczy się w Waszej przeglądarce.
Typowe kwalifikacje jednostek samorządowych
Poniższe zestawienie przedstawia typowe kwalifikacje wynikające z naszej interpretacji załącznika nr 1 do ustawy. Nie zastępuje oceny prawnej konkretnej jednostki.
| Jednostka | Reżim (typowo) |
|---|---|
| Starostwo powiatowe, miasto na prawach powiatu | podmiot kluczowy — bez progu zatrudnienia |
| Urząd gminy — co najmniej 50 osób na pełnych etatach | podmiot kluczowy |
| Urząd gminy — 49 osób lub mniej | podmiot ważny publiczny (uproszczony SZBI wg zał. nr 4) |
| Stacja sanitarno-epidemiologiczna | co do zasady podmiot kluczowy |
| Samorząd województwa i jego jednostki budżetowe | co do zasady kluczowy — z wyłączeniami z załącznika nr 1 |
| Spółka komunalna (wodociągi, ZGK, odpady) | ocena indywidualna — sektor i wielkość |
| GOPS, szkoła, biblioteka, CUW | ocena indywidualna — do ustalenia z gminą |
To wskazanie wstępne, nie klasyfikacja prawna. Wynik tego przewodnika nie jest notatką z samoidentyfikacji — dokumentem wobec organu jest notatka sporządzona i podpisana przez kierownika jednostki. Nie znamy Waszej struktury, powiązań ani systemów, więc ostateczną ocenę trzeba przeprowadzić samodzielnie lub z prawnikiem.
Co trzeba mieć wdrożone
Sedno ustawy to SZBI — udokumentowany zestaw polityk, procedur i środków technicznych. Poniżej jego składniki wg art. 8 ustawy.
Szacowanie ryzyka
Systematyczne, cykliczne identyfikowanie zagrożeń i podatności oraz zarządzanie ryzykiem. Nie jednorazowo — cyklicznie.
Polityki bezpieczeństwa
Polityka główna i polityki tematyczne: hasła, dostęp, kopie zapasowe. To trzon dokumentacji SZBI.
Kontrola dostępu i tożsamość
Zarządzanie uprawnieniami, uwierzytelnianie wieloskładnikowe (MFA), zarządzanie aktywami.
Kryptografia i bezpieczeństwo fizyczne
Szyfrowanie danych wrażliwych i łączności, kontrola dostępu do serwerowni i pomieszczeń z infrastrukturą.
Ciągły monitoring i obsługa incydentów
Stałe wykrywanie zagrożeń oraz procedury reagowania i zgłaszania. Musi działać niezależnie od obecności informatyka.
Ciągłość działania i kopie zapasowe
Plany ciągłości i odtwarzania po awarii, kopie odporne na ransomware — z przetestowanym odtwarzaniem.
Bezpieczeństwo łańcucha dostaw
Ocena bezpieczeństwa dostawców sprzętu i oprogramowania oraz wymagania umowne wobec nich.
Higiena i szkolenia
Podstawowe zasady cyberhigieny oraz coroczne, udokumentowane szkolenie kierownika jednostki (art. 8e ustawy).
Ulga dla mniejszych gmin: urząd gminy poniżej 50 etatów to podmiot ważny publiczny — stosuje uproszczony SZBI wg załącznika nr 4, czyli węższy zakres. Nadal jednak musi się zarejestrować, zgłaszać incydenty i szkolić kierownika. Zgodność z normą ISO/IEC 27001 nie jest wymagana, ale pokrywa większość obszarów i skraca wdrożenie.
Zegar rusza w chwili wykrycia
Poważny incydent zgłasza się do właściwego zespołu CSIRT — dla samorządu zwykle CSIRT NASK — przez system S46, w trzech krokach.
do 24 godzin
Wczesne ostrzeżenie. Wstępna informacja, że doszło do poważnego incydentu.
do 72 godzin
Pełne zgłoszenie. Charakter zdarzenia, skutki i podjęte działania.
do 1 miesiąca
Raport końcowy. Pełny opis, przyczyny i wnioski.
Termin 24 godzin biegnie od wykrycia incydentu — niezależnie od dnia tygodnia, pory i obsady kadrowej. To dlatego monitoring musi działać także w nocy, w weekend i podczas urlopu informatyka. Warto też przygotować procedurę zgłoszeniową „na zimno": gotowe szablony i jasną odpowiedź na pytanie, kto ma prawo wysłać zgłoszenie.
Co zmienia status jednostki
| Aspekt | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Nadzór | Prewencyjny — organ może kontrolować z urzędu. | Następczy — zwykle po incydencie lub sygnale. |
| Audyt | Obowiązkowy, cyklicznie (co najmniej raz na 3 lata); pierwszy do 3.04.2028. | Na żądanie organu (audyt doraźny) — nie cykliczny. |
| SZBI | Pełny zakres z art. 8 ustawy. | Dla podmiotów ważnych publicznych — uproszczony wg załącznika nr 4. |
| Kara dla jednostki publicznej | Ryczałt do równowartości 500 000 EUR (min. 20 000 zł). | Ryczałt do równowartości 250 000 EUR (min. 15 000 zł). |
Organ nadzorczy przy wymierzaniu kary jednostce publicznej obowiązkowo uwzględnia jej możliwości finansowe. Kary są możliwe po okresie przejściowym — dla podmiotów kluczowych od około kwietnia 2028 r.
Od ustalenia statusu do utrzymania zgodności
Wdrożenie jednorazowe albo stała obsługa — najczęściej jedno i drugie, bo obowiązki są ciągłe.
START
- Audyt wstępny — analiza luk wobec wymogów KSC/NIS2
- Pomoc przy samoidentyfikacji i wpisie do wykazu
- Raport z listą priorytetowych działań
STANDARD
- Wszystko z pakietu START
- Wdrożenie monitoringu bezpieczeństwa (SIEM)
- Wdrożenie kopii zapasowych
- Dokumentacja SZBI / polityki bezpieczeństwa
PEŁNY
- Wszystko z pakietu STANDARD
- Szkolenie kierownictwa (wymóg ustawy)
- Procedury reagowania na incydenty (IR)
- Przygotowanie do ustawowego audytu bezpieczeństwa
Stała opieka po wdrożeniu
Monitoring, reagowanie i utrzymanie zgodności. Ceny miesięczne netto.
BASIC
- Monitoring bezpieczeństwa i dostępności
- Powiadomienia o alertach
- Raport miesięczny
STANDARD
- Wszystko z BASIC
- Reagowanie na incydenty
- Nadzór nad kopiami zapasowymi
- Aktualizacje reguł i systemów
PREMIUM
- Wszystko ze STANDARD
- Pełne utrzymanie (SOC-as-a-service)
- Priorytetowy czas reakcji
- Wsparcie przy audytach i kontrolach
Jeśli brakuje tylko jednego elementu
| Audyt wstępny — analiza luk wobec wymogów KSC/NIS2 | od 2 500 zł |
| Wdrożenie SIEM/XDR (Wazuh) | od 4 500 zł |
| Wdrożenie monitoringu infrastruktury (Zabbix) | od 2 500 zł |
| Wdrożenie kopii zapasowych (UrBackup) | od 2 000 zł |
| Dokumentacja SZBI / polityki bezpieczeństwa | od 3 500 zł |
| Inwentaryzacja zasobów IT (GLPI) | od 2 000 zł |
| Szkolenie kierownictwa z cyberbezpieczeństwa | od 1 200 zł |
| Pomoc przy wpisie do wykazu / samoidentyfikacji | od 900 zł |
- Wszystkie ceny są cenami netto — należy doliczyć VAT.
- Podane kwoty są cenami wyjściowymi. Ostateczna wycena zależy od wielkości jednostki, liczby stanowisk i zakresu prac.
- Usługi pojedyncze można łączyć w pakiet dopasowany do jednostki.
- Najwięcej daje połączenie jednorazowego wdrożenia z abonamentem — stała opieka utrzymuje zgodność i gotowość do zgłoszenia incydentu w 24 godziny.
- Jeśli obsługujemy już Wasze IT (MSP HUB albo pełny outsourcing), część zakresu już u Was działa — wtedy wyceniamy tylko różnicę.
NIS2 w samorządzie — pytania i odpowiedzi
Nie dostaliśmy żadnego pisma — czy to znaczy, że nas to nie dotyczy?
Nie. Model opiera się na samoidentyfikacji: to jednostka sama ocenia swój status i sama składa wniosek o wpis do wykazu. Brak pisma z urzędu nadrzędnego niczego nie zwalnia.
Kogo dokładnie dotyczy termin 3 października 2026?
Podmiotów, które spełniały kryteria ustawowe w dniu wejścia w życie nowelizacji, czyli 3 kwietnia 2026 r. Jeżeli jednostka spełniła je później — na przykład po przekroczeniu progu zatrudnienia — termin liczy się od tego momentu i warto to ustalić indywidualnie.
Co jeśli nie zdążymy z wpisem do wykazu?
Brak wpisu nie jest neutralny — organ może wpisać jednostkę do wykazu z urzędu, a spóźnienie jest brane pod uwagę przy ocenie zgodności. Zgodnie z harmonogramem ustawowym kary są możliwe po okresie przejściowym, dla podmiotów kluczowych od około kwietnia 2028 r. Sam obowiązek nie znika: jeśli termin minął, należy dokonać wpisu mimo to.
Mamy informatyka — czy to wystarczy?
Informatyk jest potrzebny, ale obowiązki są ciągłe. Zdolność wykrycia i zgłoszenia poważnego incydentu w 24 godziny musi działać także podczas urlopu, zwolnienia i po godzinach pracy urzędu — zegar biegnie od wykrycia, niezależnie od dnia tygodnia. Trzeba więc zapewnić zastępstwo albo stałą obsługę. Odpowiedzialności kierownika to nie przenosi — ta zostaje po stronie jednostki.
Jesteśmy małą gminą — czy obowiązki są łagodniejsze?
Tak, ale nie znikają. Urząd gminy poniżej 50 etatów to podmiot ważny publiczny: stosuje uproszczony SZBI według załącznika nr 4, audyt jest doraźny zamiast cyklicznego, a nadzór następczy zamiast prewencyjnego. Rejestracja, zgłaszanie incydentów i coroczne szkolenie kierownika obowiązują tak samo. Uwaga: „co najmniej 50 osób w pełnym wymiarze czasu pracy” oznacza, że równo 50 etatów to już reżim kluczowy.
Czy każdy incydent trzeba zgłaszać w ciągu 24 godzin?
Nie. Ustawa rozróżnia incydenty zwykłe, istotne, poważne i krytyczne, a reżim 24/72/30 dotyczy incydentów poważnych. Jednostka potrzebuje własnej procedury kwalifikowania zdarzeń — inaczej albo zgłosi za dużo, albo przeoczy zgłoszenie, które było obowiązkowe.
Czy ISO 27001 załatwia sprawę?
Nie wprost, ale bardzo pomaga — pokrywa większość obszarów SZBI i skraca wdrożenie. Certyfikat nie zwalnia jednak z ustawowego audytu bezpieczeństwa, któremu podlegają podmioty kluczowe.
Czy da się to sfinansować z dotacji?
Program Cyberbezpieczny Samorząd (edycja 2023–2026) zakończył nabór, a kontynuacja została zapowiedziana w Strategii Cyberbezpieczeństwa RP, ale na dziś nie ma otwartego naboru. Działa Fundusz Cyberbezpieczeństwa. Warto przygotować dokumentację z wyprzedzeniem, żeby móc złożyć wniosek od razu po ogłoszeniu naboru — i tu pomagamy.
Od czego konkretnie zacząć?
Od dwóch rzeczy równolegle: samoidentyfikacji wraz z notatką podpisaną przez kierownika i wpisem do wykazu, oraz od analizy luk — co jednostka już ma, a czego brakuje. Audyt wstępny robimy bezpłatnie i kończy się listą braków uporządkowaną według ryzyka.
Kto pomoże z tym gminie na Podlasiu?
NETWATCH Sp. z o.o. z Siemiatycz. Obsługujemy informatycznie urzędy i jednostki publiczne w powiecie siemiatyckim i okolicach: od oceny zgodności i dokumentacji, przez wdrożenie monitoringu i kopii zapasowych, po obsługę incydentów poza godzinami pracy urzędu.
Nie wiecie, od czego zacząć?
Audyt gotowości jest bezpłatny. Sprawdzamy, co jednostka już ma, a czego brakuje, i dostajecie listę braków uporządkowaną według ryzyka — bez zobowiązań.
Materiał ma charakter informacyjno-edukacyjny i nie stanowi porady prawnej. Klasyfikacja konkretnej jednostki oraz zakres jej obowiązków wymagają indywidualnej analizy; w sprawach spornych zalecamy konsultację z radcą prawnym specjalizującym się w cyberprawie. Stan prawny: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), wdrażająca dyrektywę (UE) 2022/2555 (NIS2), która weszła w życie 3 kwietnia 2026 r.