HAIT Mariusz Gębala · Toruń

Ustawa o KSC i dyrektywa NIS2 / branże / spółki komunalne

Spółka komunalna a ustawa KSC. Osiemnaście wymogów z załącznika nr 4.

Spółki wykonujące zadania o charakterze użyteczności publicznej, samorządowe jednostki i zakłady budżetowe oraz samorządowe instytucje kultury są podmiotami ważnymi niezależnie od wielkości. Zamiast art. 8 ust. 1 stosują listę wymogów z załącznika nr 4 do ustawy.

01

Kogo dotyczy ustawa

„Podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej (...), jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych”.

W tym przepisie nie ma progu zatrudnienia ani obrotu. Dotyczy to między innymi miejskich spółek wodociągowych, ciepłowniczych, komunikacyjnych i gospodarki odpadami, jeżeli nie są podmiotami kluczowymi.

Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1. Opracowuje, wdraża, realizuje, monitoruje i utrzymuje system zarządzania bezpieczeństwem informacji spełniający wymogi z załącznika nr 4. Ta lista jest konkretniejsza niż art. 8 i da się ją rozliczyć punkt po punkcie.

Status jednostki rozstrzyga bezpłatna ankieta na rządowym portalu. Ankieta na biznes.gov.pl

02

Osiemnaście wymogów i podział pracy

Poniżej wszystkie osiemnaście wymogów obowiązkowych. Przy każdym jest napisane, kto go wykonuje: ja, Państwa informatyk razem ze mną, czy Państwo sami.

PktWymóg z załącznika nr 4, część IKto to robi
1

Inwentaryzacja produktów, usług i procesów ICT służących do przetwarzania informacji.

wykonuję
2

Kontrola podstawowych wersji używanego oprogramowania i mechanizmy kontroli instalacji na urządzeniach, w tym mobilnych.

wspólnie z informatykiem
3

Ochrona informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniem i zakłóceniem: fizyczna, programowa i sprzętowa, a przy chmurze udokumentowanie mechanizmów ochrony.

część techniczną wykonuję, ochrona fizyczna po Państwa stronie
4

Dostęp do informacji wyłącznie dla osób uprawnionych i środki uniemożliwiające nieautoryzowany dostęp do systemów.

wykonuję
5

Zasada minimalnych uprawnień niezbędnych do realizacji zadań.

wykonuję
6

Bezzwłoczne cofanie uprawnień, gdy znika podstawa dostępu, i zawieszanie ich po co najmniej miesiącu niewykonywania obowiązków.

ustawiam procedurę i przegląd kont, decyzje po Państwa stronie
7

Zmiana zakresu uprawnień przy zmianie zadań pracownika.

ustawiam procedurę i przegląd kont
8

Zasady bezpiecznej pracy mobilnej i pracy na odległość.

wykonuję
9

Kontrola poczty elektronicznej z użyciem SPF, DMARC i DKIM, czyli mechanizmów z art. 24 ust. 1 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.

wykonuję
10

Kopie zapasowe odseparowane logicznie i fizycznie od danych przetwarzanych w systemach.

wykonuję
11

Testowanie kopii pod kątem kompletności i możliwości odtworzenia danych.

wykonuję
12

Przygotowanie i testowanie procedury na wypadek awarii lub incydentu.

przygotowuję i testuję z Państwem
13

Oprogramowanie antywirusowe.

wspólnie z informatykiem
14

Zasady cyberhigieny stosowane przez pracowników, w tym przez kierownika podmiotu.

po Państwa stronie, pomogę je spisać
15

Monitorowanie wydań nowych wersji, źródeł dystrybucji i cyklu życia używanych produktów ICT.

w ramach stałej opieki
16

Używanie stabilnych wersji, dla których nie ma informacji o krytycznych podatnościach.

w ramach stałej opieki
17

Szkolenia osób zaangażowanych w przetwarzanie informacji: rodzaje zagrożeń, cyberhigiena, reagowanie na incydent, skutki naruszeń.

nie prowadzę, wskażę gdzie
18

Procedury i zasady działania na wypadek cyberzagrożenia lub incydentu.

przygotowuję

System trzeba przeglądać co najmniej raz w roku oraz bezzwłocznie po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa albo po zmianie, która wpływa na ryzyko incydentu poważnego. Realizację działań trzeba dokumentować. Coroczny przegląd i protokoły z wykonanych prac są częścią stałej opieki.

Wśród wymogów dodatkowych ustawa wymienia monitorowanie dostępu do informacji i stanu działania systemów albo „korzystanie w tym zakresie z usług dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa”.

03

Terminy, które już biegną

  1. Nowelizacja weszła w życie

    Dz.U. 2026 poz. 252

  2. Wniosek o wpis do wykazu podmiotów kluczowych i ważnych

    art. 7c ust. 1, dla firm spełniających warunki od 3 kwietnia

  3. System zarządzania bezpieczeństwem informacji według załącznika nr 4 ma być wdrożony

    art. 33 ust. 1 ustawy zmieniającej

  4. Pierwszy audyt podmiotów kluczowych. Od tej daty możliwe kary

    art. 33 ust. 2 i art. 35

Za wykonanie obowiązków odpowiada kierownik podmiotu, w spółce jej zarząd. Odpowiada także wtedy, gdy powierzył te obowiązki innej osobie. Kary dla podmiotu ważnego sięgają 7 000 000 euro albo 1,4% rocznych przychodów i nie mogą być niższe niż 15 000 zł (art. 73).

04

Co wykonuję i za ile

Ustawa daje wybór: własne struktury odpowiedzialne za cyberbezpieczeństwo albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.

Pracuję zdalnie, razem z Państwa informatykiem albo firmą IT. Cena jest ustalana na piśmie przed rozpoczęciem prac i nie rośnie w trakcie.

  • 1. Wpis do wykazu KSC z danymi technicznymi1 500 zł
  • 2. Logowanie dwuskładnikowe i porządek w dostępie zdalnymod 4 000 zł
  • 3. Próba odtworzenia kopii zapasowych z protokołemod 4 000 zł
  • 4. Stała opieka z comiesięcznym raportem dla zarząduod 1 200 zł miesięcznie

Zakres, wynik i czas każdej pozycji są opisane w pełnym kosztorysie. Tam też jest opis przebiegu współpracy i tego, kto wykonuje prace.

Pozycje z kosztorysu mają wartość, przy której co do zasady nie stosuje się ustawy Prawo zamówień publicznych. Obowiązuje Państwa własny regulamin udzielania zamówień.

05

Kontakt

+48 667 947 494

kontakt@haitmg.pl

Odpowiadam w ciągu jednego dnia roboczego. Mogą Państwo też po prostu wydrukować tę stronę i przekazać ją osobie odpowiedzialnej za informatykę.