Ustawa o KSC i dyrektywa NIS2 / branże / spółki komunalne
Spółka komunalna a ustawa KSC. Osiemnaście wymogów z załącznika nr 4.
Spółki wykonujące zadania o charakterze użyteczności publicznej, samorządowe jednostki i zakłady budżetowe oraz samorządowe instytucje kultury są podmiotami ważnymi niezależnie od wielkości. Zamiast art. 8 ust. 1 stosują listę wymogów z załącznika nr 4 do ustawy.
Kogo dotyczy ustawa
„Podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej (...), jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych”.
W tym przepisie nie ma progu zatrudnienia ani obrotu. Dotyczy to między innymi miejskich spółek wodociągowych, ciepłowniczych, komunikacyjnych i gospodarki odpadami, jeżeli nie są podmiotami kluczowymi.
Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1. Opracowuje, wdraża, realizuje, monitoruje i utrzymuje system zarządzania bezpieczeństwem informacji spełniający wymogi z załącznika nr 4. Ta lista jest konkretniejsza niż art. 8 i da się ją rozliczyć punkt po punkcie.
Status jednostki rozstrzyga bezpłatna ankieta na rządowym portalu. Ankieta na biznes.gov.pl
Osiemnaście wymogów i podział pracy
Poniżej wszystkie osiemnaście wymogów obowiązkowych. Przy każdym jest napisane, kto go wykonuje: ja, Państwa informatyk razem ze mną, czy Państwo sami.
Inwentaryzacja produktów, usług i procesów ICT służących do przetwarzania informacji.
wykonujęKontrola podstawowych wersji używanego oprogramowania i mechanizmy kontroli instalacji na urządzeniach, w tym mobilnych.
wspólnie z informatykiemOchrona informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniem i zakłóceniem: fizyczna, programowa i sprzętowa, a przy chmurze udokumentowanie mechanizmów ochrony.
część techniczną wykonuję, ochrona fizyczna po Państwa stronieDostęp do informacji wyłącznie dla osób uprawnionych i środki uniemożliwiające nieautoryzowany dostęp do systemów.
wykonujęZasada minimalnych uprawnień niezbędnych do realizacji zadań.
wykonujęBezzwłoczne cofanie uprawnień, gdy znika podstawa dostępu, i zawieszanie ich po co najmniej miesiącu niewykonywania obowiązków.
ustawiam procedurę i przegląd kont, decyzje po Państwa stronieZmiana zakresu uprawnień przy zmianie zadań pracownika.
ustawiam procedurę i przegląd kontZasady bezpiecznej pracy mobilnej i pracy na odległość.
wykonujęKontrola poczty elektronicznej z użyciem SPF, DMARC i DKIM, czyli mechanizmów z art. 24 ust. 1 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.
wykonujęKopie zapasowe odseparowane logicznie i fizycznie od danych przetwarzanych w systemach.
wykonujęTestowanie kopii pod kątem kompletności i możliwości odtworzenia danych.
wykonujęPrzygotowanie i testowanie procedury na wypadek awarii lub incydentu.
przygotowuję i testuję z PaństwemOprogramowanie antywirusowe.
wspólnie z informatykiemZasady cyberhigieny stosowane przez pracowników, w tym przez kierownika podmiotu.
po Państwa stronie, pomogę je spisaćMonitorowanie wydań nowych wersji, źródeł dystrybucji i cyklu życia używanych produktów ICT.
w ramach stałej opiekiUżywanie stabilnych wersji, dla których nie ma informacji o krytycznych podatnościach.
w ramach stałej opiekiSzkolenia osób zaangażowanych w przetwarzanie informacji: rodzaje zagrożeń, cyberhigiena, reagowanie na incydent, skutki naruszeń.
nie prowadzę, wskażę gdzieProcedury i zasady działania na wypadek cyberzagrożenia lub incydentu.
przygotowujęSystem trzeba przeglądać co najmniej raz w roku oraz bezzwłocznie po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa albo po zmianie, która wpływa na ryzyko incydentu poważnego. Realizację działań trzeba dokumentować. Coroczny przegląd i protokoły z wykonanych prac są częścią stałej opieki.
Wśród wymogów dodatkowych ustawa wymienia monitorowanie dostępu do informacji i stanu działania systemów albo „korzystanie w tym zakresie z usług dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa”.
Terminy, które już biegną
-
Nowelizacja weszła w życie
Dz.U. 2026 poz. 252
-
Wniosek o wpis do wykazu podmiotów kluczowych i ważnych
art. 7c ust. 1, dla firm spełniających warunki od 3 kwietnia
-
System zarządzania bezpieczeństwem informacji według załącznika nr 4 ma być wdrożony
art. 33 ust. 1 ustawy zmieniającej
-
Pierwszy audyt podmiotów kluczowych. Od tej daty możliwe kary
art. 33 ust. 2 i art. 35
Za wykonanie obowiązków odpowiada kierownik podmiotu, w spółce jej zarząd. Odpowiada także wtedy, gdy powierzył te obowiązki innej osobie. Kary dla podmiotu ważnego sięgają 7 000 000 euro albo 1,4% rocznych przychodów i nie mogą być niższe niż 15 000 zł (art. 73).
Co wykonuję i za ile
Ustawa daje wybór: własne struktury odpowiedzialne za cyberbezpieczeństwo albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
Pracuję zdalnie, razem z Państwa informatykiem albo firmą IT. Cena jest ustalana na piśmie przed rozpoczęciem prac i nie rośnie w trakcie.
- 1. Wpis do wykazu KSC z danymi technicznymi1 500 zł
- 2. Logowanie dwuskładnikowe i porządek w dostępie zdalnymod 4 000 zł
- 3. Próba odtworzenia kopii zapasowych z protokołemod 4 000 zł
- 4. Stała opieka z comiesięcznym raportem dla zarząduod 1 200 zł miesięcznie
Zakres, wynik i czas każdej pozycji są opisane w pełnym kosztorysie. Tam też jest opis przebiegu współpracy i tego, kto wykonuje prace.
Pozycje z kosztorysu mają wartość, przy której co do zasady nie stosuje się ustawy Prawo zamówień publicznych. Obowiązuje Państwa własny regulamin udzielania zamówień.
Kontakt
Odpowiadam w ciągu jednego dnia roboczego. Mogą Państwo też po prostu wydrukować tę stronę i przekazać ją osobie odpowiedzialnej za informatykę.