Sprawdź, czy Twoja firma podlega pod dyrektywę NIS2 / UKSC
Został tylko miesiąc Do 3 października 2026 r. podmioty, które spełniają kryteria podlegania pod UKSC powinny dokonać samoidentyfikacji i rejestracji w wykazie KSC*. Problem w tym, że odpowiedź na pytanie „czy nas to dotyczy?” nie zawsze jest oczywista, bo dotyka zarówno kwestii IT jak i kwestii prawnych.
Wspólnie z zespołem prawników wspieramy organizacje w przejściu przez proces samoidentyfikacji.Pamiętaj, że firmy same powinny przeanalizować, czy spełniają warunki objęcia UKSC*. Jeżeli jeszcze tego nie zrobiłeś – nie zakładaj, że UKSC Cię nie dotyczy.
*wyjątkiem są podmioty wpisane do wykazu KSC z urzędu.
IT
- to takżeprawo
Pomagamy klientom być w 100% przygotowanym do UKSC, zarówno z perspektywy IT i prawa. Naszym celem jest ograniczenie ryzyka prawnego i finansowego klientów. Dlatego wdrażamy wymogi UKSC i NIS2 wspólnie z zespołem prawników specjalizujących się w prawie nowych technologii.
jedno, spójne podejście – bez rozdzielania IT i prawa
pewność, że wdrożone rozwiązania są skuteczne technologicznie i zgodne z regulacjami
kompletną dokumentację do kontroli i audytów
jasne procedury działania w przypadku incydentów i naruszeń
Nieprzerwanie od 10 lat posiadamy certyfikat ISO 27001
Sprawne wdrożenia po dekadzie doświadczeń
Audytorzy Wiodący ISO/IEC 27001:2022 w zespole
Spokój przez kontrolę
Realne potrzeby i realna odpowiedź
dotycząca wymogów UKSC i NIS2 – IT i wsparcie prawne. Poznaj naszych prawników.
Zajmuje się bieżącą obsługą prawną przedsiębiorców oraz jednostek samorządu terytorialnego, ze szczególnym uwzględnieniem kontraktów budowlanych, umów wdrożeniowych i utrzymaniowych systemów IT, a także z zakresu praw autorskich. W ramach swojej praktyki wspiera klientów w dostosowywaniu umów i procedur do wymogów wynikających z regulacji prawa polskiego i unijnego.
Specjalizuje się w prawnej obsłudze biznesu. Prowadzi kancelarię wspierającą przedsiębiorców m.in. we wdrażaniu kluczowych regulacji z zakresu prawa nowych technologii (w tym AI), ochrony danych osobowych oraz rozwiązań zapewniających bezpieczeństwo teleinformatyczne (także w kontekście ochrony tajemnicy przedsiębiorstwa). Skutecznie pomaga organizacjom w realizacji obowiązków wynikających z RODO.
Należy do czołówki kancelarii zajmujących się technologią. Specjalizuje się we wdrażaniu regulacji i standardów bezpieczeństwa informacji i danych oraz ciągłości działania. Prawnicy kancelarii GP Partners posiadają certyfikat Audytora Wiodącego ISO 27001 Wojskowej Akademii Technicznej, Nagrodę Prezesa Urzędu Ochrony Danych Osobowych, są autorami znakomitych publikacji i wystąpień o ochronie danych i cyberbezpieczeństwie, w tym bestsellerowego „RODO. Przewodnik ze wzorami”.
Dlaczego raz stosuje się skrót UKSC raz UoKSC a raz KSC?
Dlaczego powstała dyrektywa NIS2?
Kto właściwie podlega pod UKSC?
Ile w Polsce jest rocznie cyberataków?
Co to jest „Milion otwartych drzwi”?
Kto odpowiada za wypełnienie obowiązków z UKSC? Wspólnicy, kierownicy, zarząd, czy ktoś jeszcze inny?
Jeżeli w mojej organizacji nie ma jednej osoby, która kieruje organizacją, a jest np. zarząd wieloosobowy, albo kilku komplementariuszy, czy wtedy odpowiedzialność dotyczy wszystkich osób czy nie?
Czy można „przerzucić” odpowiedzialność na kogoś innego np. na dostawcę zewnętrznego, na dział IT w organizacji?
Za co odpowiada kierownictwo organizacji?
Czy kierownik podmiotu musi się szkolić?
Jakie są kary wynikające z niedostosowania podmiotu do UKSC?
Jak wyglądają statystyki dotyczące biznesowych ryzyk?
Co oznacza, że muszę dokonać samoidentyfikacji?
Jakie elementy z perspektywy inżyniera obejmuje pełen audyt IT.
Jakie elementy zawiera audyt procedur i dokumentacji IT – wymogi UKSC
Jakie sa główne obszary obowiązków wynikających z UKSC
Dlaczego czasem używa się nazw UKSC, czasem Ustawa o KSC a czasem UoKSC?
NIS2 to unijna dyrektywa, czyli akt prawa UE, który określa, jakie wymagania państwa członkowskie mają wdrożyć w obszarze cyberbezpieczeństwa. Natomiast UKSC — czyli rozwijając ten skrót to Ustawa o Krajowym Systemie Cyberbezpieczeństwa — to polska ustawa wdrażająca wymagania NIS2 do polskiego porządku prawnego.
Czyli najprościej mówiąc: NIS2 mówi państwom członkowskim „co” ma zostać wdrożone, a UKSC pokazuje już konkretnie „co” organizacje w Polsce mają wdrożyć. I to jest bardzo ważne. Ponieważ w codziennej pracy organizacje działające w Polsce będą pracowały przede wszystkim właśnie z UKSC, a nie NIS2.
Nowe przepisy obejmują szeroką grupę podmiotów, nie tylko największe organizacje i sektory infrastruktury krytycznej. Zakres regulacji jest szerszy i zależy m.in. od rodzaju prowadzonej działalności, sektora, wielkości przedsiębiorstwa oraz spełnienia określonych kryteriów ustawowych.
Większość organizacji powinna sama sprawdzić, czy spełnia kryteria UKSC, a jeśli tak zarejestrować się w wykazie KSC do 3.10.2026 r.
Co to oznacza w praktyce?
Podmioty objęte UKSC muszą m.in. wdrożyć odpowiednie środki techniczne i organizacyjne, zarządzać ryzykiem cyberbezpieczeństwa, reagować na incydenty oraz zapewnić odpowiedni poziom bezpieczeństwa w łańcuchu dostaw. To szereg wymagań nie tylko technicznych, ale i prawnych. Aby zapewnić kompleksowe wsparcie naszym klientom, pracujemy wspólnie z zespołem prawników wyspecjalizowanych w tym obszarze.
A jeśli Twoja firma nie podlega UKSC?
To również nie oznacza, że możesz zignorować nowe wymagania.
Jeżeli jesteś w tzw. łańcuchu dostaw, czyli jesteś dostawcą usług dla podmiotu kluczowego lub ważnego, Twój klient może wymagać od Ciebie określonego poziomu bezpieczeństwa, procedur, zabezpieczeń technicznych czy informacji o sposobie zarządzania cyberbezpieczeństwem.
Nie czekaj, aż zrobi to za Ciebie klient albo organ nadzorczy. Sprawdź, czy UKSC dotyczy Twojej firmy i co musisz zrobić, aby spełnić wymagania.
Wszystkie te skróty stosowane są wymiennie. Wszystkie dotyczą Ustawy o Krajowym Systemie Cyberbezpieczeństwa.
Dlatego, że UE uznała że cyberbezpieczeństwo przestało być wyłącznie problemem/wyzwaniem technologicznym. Dziś od systemów IT zależy: funkcjonowanie biznesu, banków, ochrony zdrowia, transportu itd.
Jednocześnie w ostatnich latach bardzo mocno wzrosła liczba cyberataków/incydentów wpływających na działanie organizacji oraz usług publicznych.
I właśnie dlatego UE uznała, że potrzebne są wspólne minimalne standardy cyberbezpieczeństwa dla całej Unii Europejskiej.
Bardzo często organizacje zakładają, że Ustawa dotyczy wyłącznie administracji albo największych firm technologicznych. Tymczasem zakres UKSC jest dużo szerszy. Ustawa obejmuje bowiem organizacje działające w sektorach uznanych za istotne dla funkcjonowania państwa i gospodarki. Mówimy tutaj między innymi o: energetyce, transporcie, bankowości, ochronie zdrowia, infrastrukturze cyfrowej, dostawcach usług ICT, administracji publicznej i wielu innych.
UKSC kwalifikuje te organizacje jako podmioty kluczowe i podmioty ważne. Co do zasady podmioty kluczowe są traktowane jako bardziej istotne z perspektywy państwa i gospodarki. Więcej o sektorach objętych UKSC znajdziesz tu: https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc---kogo-obejmuje
Według „Raportu rocznego 2025 z działalności CERT Polska. Krajobraz bezpieczeństwa polskiego Internetu”, trend i zestawienie roczne prezentują się następująco:
Oznacza ogromną skalę krytycznych luk i błędów konfiguracyjnych w polskich zasobach internetowych, wykrytych m.in. przez skaner Artemis. Metafora ta odnosi się do zaniedbań administratorów, takich jak brak aktualizacji CMS czy niezabezpieczone porty, które ułatwiają ataki typu ransomware i APT.
Ustawa wprost wskazuje, że odpowiedzialny za wdrożenia obowiązków jest tzw. Kierownik podmiotu ważnego lub kluczowego. Najprościej można to rozumieć tak, że kierownikiem podmiotu jest osoba kierująca podmiotem kluczowym lub ważnym - ten kto realnie zarządza organizacją i podejmuje decyzje w naszej organizacji. Przykładowo: w przypadku spółek kapitałowych np. z o.o. pod tym pojęciem należy rozumieć członków zarządu. W przypadku spółek osobowych np.: w przypadku spółki jawnej i spółki cywilnej za kierownika jednostki uważa się wspólników prowadzących sprawy spółki. W przypadku spółki partnerskiej – wspólnicy prowadzący sprawy spółki albo zarząd. W spółce komandytowej najczęściej komplementariusze prowadzące sprawy spółki. Czyli podsumowując - nie chodzi o kierowników poszczególnych zespołów np. kierownika ds. sprzedaży, kierownika ds. IT.
Co do zasady tak, jeżeli mamy zarząd wieloosobowy odpowiadają wszyscy. Jest jednak wyjątek, mianowicie jeżeli organizacja wyznaczy jednego członka zarządu, który będzie odpowiedzialny za wykonywanie obowiązków w zakresie cyberbezpieczeństwa, tym samym zwolni pozostałych członków zarządu z odpowiedzialności za naruszenie przez podmiot przepisów UKSC.
Nie ma takiej możliwości. Kierownik podmiotu (np. zarząd) może powierzyć faktyczną realizację tych obowiązków innej osobie (np. kierownikowi IT), ale kierownik podmiotu (czyli ten zarząd) zawsze będzie ponosił prawną odpowiedzialności za realizację tych obowiązków.
Kierownictwo odpowiada m.in. za:
czyli ogólnie - za stworzenie realnego systemu cyberbezpieczeństwa w organizacji.
Ustawodawca wprost zakłada obowiązek szkolenia kierownictwa z zakresu cyberbezpieczeństwa. Nie chodzi o to, żeby zarząd umiał konfigurować systemy czy analizować logi. Chodzi o to, żeby management: rozumiał ryzyka, rozumiał wpływ cyberzagrożeń na biznes, potrafił podejmować świadome decyzje, wiedział, kiedy organizacja jest realnie zagrożona i potrafił nadzorować obszar cyberbezpieczeństwa.
W zależności od tego, czy organizacja zostanie zakwalifikowana jako podmiot kluczowy czy podmiot ważny, wysokość potencjalnych kar będzie się różnić. Dla podmiotów kluczowych maksymalna kara jest wyższa.
Ustawodawca przewiduje naprawdę bardzo wysokie poziomy sankcji:
przy czym należy pamiętać, że zastosowanie ma kwota wyższa.
Dodatkowo, ustawa przewiduje również możliwość nakładania kar bezpośrednio na kierownika podmiotu. Wysokość takiej kary zależy od tego czy organizacją jest tzw. publiczną czy prywatną. Ponieważ do podmiotów publicznych kara dla kierownika może wynieść do 100% wynagrodzenia, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop, przy podmiotach prywatnych to jest aż do 300%.
Oprócz „zwykłych” kar administracyjnych ustawa przewiduje również tak zwane kary okresowe — czyli kary nakładane za każdy dzień niewykonania decyzji organu. Mogą one wynosić od 500 zł do nawet 100 tys. zł dziennie, więc mają realnie zmusić organizację do szybkiego wdrożenia obowiązków.
Natomiast kara ekstraordynaryjna to szczególny rodzaj sankcji stosowany przy najpoważniejszych naruszeniach — np. gdy incydent może zagrozić bezpieczeństwu państwa, życiu ludzi, albo wywołać bardzo poważne szkody. Taka kara może wynieść nawet do 100 mln zł.
Należy pamiętać też o drugiej płaszczyźnie, czyli tym, o czym biznes bardzo często zapomina, ponieważ skupia się wyłącznie na karach pieniężnych. Tymczasem w praktyce niedostosowanie się do wymogów UKSC może powodować znacznie szersze konsekwencje biznesowe i operacyjne. W wyniku incydentu może dojść do sytuacji w której nasza organizacja:
I wtedy zaczynają pojawiać się realne koszty biznesowe:
Należy samodzielnie ustalić czy nasza organizacja podlega pod UKSC. W znacznej większości przypadków organ nie wyda „automatycznej decyzji". Proces analizy samoidentyfikacji musi zostać udokumentowany.
Audyt sieci WAN
Audyt sieci LAN
Audyt serwerów Windows
Audyt serwerów Linux\Unix\NAS
Audyt Active Directory
Audyt Komputerów PC i Laptopów
Audyt procedur i dokumentacji IT
Sprawdzenie pomieszczeń serwerowych i pośrednich punktów dystrybucyjnych
10 kluczowych dokumentów i procedur to:
| Obszar obowiązków | Podstawa prawna |
|---|---|
| System zarządzania bezpieczeństwem informacji (SZBI) | art. 8 ust. 1 |
| Analiza i zarządzanie ryzykiem | art. 8 ust. 1 pkt 1 |
| Środki techniczne i organizacyjne | art. 8 ust. 1 pkt 2 |
| Zarządzanie incydentami i zgłaszanie incydentów | art. 8 ust. 1 pkt 2, 4 i 5, art. 11-12b |
| Bezpieczeństwo łańcucha dostaw | art. 8 ust. 1 pkt 2 lit. E, art. 8 ust. 2 |
| Dokumentacja i procedury | art. 8 ust. 1 |
| Audyty i nadzór | art. 15 i nast. |
| Ciągłość działania i odtwarzanie po incydencie | art. 8 ust. 1 pkt 2 lit. f |
| Szkolenia i świadomość personelu | art. 8e |
Wszystkie te nazwy stosowane są zamiennie i są skrótami do Ustawa o Krajowym Systemie Cyberbezpieczeństwa.
Support Online sp. z o.o.
+48 22 335 28 00
oferty@support-online.pl
support@support-online.pl
KRS: 0000078497
