Jedną z najbardziej zasadniczych zmian wprowadzonych przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC) jest trójetapowy, rygorystyczny reżim raportowania incydentów poważnych. Unijna dyrektywa NIS2 stawia na system precyzyjnych terminów. Dla podmiotów kluczowych i ważnych oznacza to konieczność wdrożenia i stosowania rygorystycznych procedur reagowania.
Kiedy incydent staje się poważny?
Przedsiębiorcy nie mają obowiązku raportowania każdego drobnego zdarzenia IT. Obowiązkowemu zgłoszeniu podlegają incydenty poważne, czyli zdarzenia, które wywołują lub są zdolne wywołać znaczne zakłócenia w świadczeniu usług, spowodować dotkliwe straty finansowe dla organizacji lub wyrządzić znaczne szkody materialne bądź niematerialne innym podmiotom.
Co kluczowe, 24-godzinny termin na pierwszą reakcję zaczyna biegnąć od momentu wykrycia incydentu przez organizację, a nie od momentu zakończenia analizy po włamaniowej. Co istotne, terminy biegną również w sobotę, niedzielę i inne dni wolne od pracy.
Trzy etapy raportowania: 24h, 72h i 1 miesiąc
Nowe przepisy KSC dzielą proces informowania organów na trzy precyzyjnie określone kroki:
- Do 24 godzin – Wczesne ostrzeżenie: W ciągu doby od wykrycia zdarzenia podmiot przekazuje do właściwego zespołu CSIRT wstępną informację. Zgłoszenie to ma odpowiedzieć na pytanie, czy incydent został wywołany działaniem bezprawnym lub w złej wierze oraz czy może mieć skutki transgraniczne.
- Do 72 godzin – Pełne zgłoszenie incydentu: W tym oknie czasowym należy przekazać aktualizację danych. Raport obejmuje wstępną ocenę dotkliwości incydentu, jego potencjalne skutki, wskaźniki kompromitacji (IoC) oraz podjęte dotychczas środki naprawcze.
- Do 1 miesiąca – Sprawozdanie końcowe: Po opanowaniu sytuacji (lub w ciągu miesiąca od pełnego zgłoszenia) podmiot przedkłada szczegółowy raport. Zawiera on analizę przyczyny źródłowej, ostateczny bilans strat, wdrożone długoterminowe środki zapobiegawcze oraz wyciągnięte wnioski. Jeżeli obsługa incydentu trwa dłużej niż miesiąc, składane jest sprawozdanie z postępu prac.
Ścieżki równoległe: KSC a RODO i DORA
Wystąpienie cyberataku rzadko ogranicza się do jednego reżimu prawnego. Jeśli incydent wiąże się z naruszeniem ochrony danych osobowych (np. wyciek bazy klientów w wyniku ataku ransomware), organizacja musi zrealizować dwa niezależne obowiązki: zgłoszenie do właściwego CSIRT na podstawie KSC oraz powiadomienie Urzędu Ochrony Danych Osobowych (UODO) w terminie 72 godzin na podstawie RODO. W przypadku podmiotów sektora finansowego dochodzą do tego wymogi rozporządzenia DORA.
Jak przygotować organizację na presję czasu?
Aby spełnić wymogi prawne, organizacje powinny zrealizować następujące kroki:
- Opracować i przetestować Playbook IR: Stworzyć czytelny scenariusz reagowania na incydenty, określający rolę zespołu IT, zarządu, działu prawnego i komunikacji.
- Ustalenie punktów kontaktowych i kanałów zgłoszeniowych: Przetestować dostęp do systemu S46 oraz formularzy właściwego CSIRT przed wystąpieniem realnego zagrożenia.
- Kryteria klasyfikacji zdarzeń: Wdrożyć wewnętrzne wskaźniki pozwalające administratorom IT na natychmiastowe odróżnienie zwykłego incydentu od incydentu poważnego.
- Informowanie odbiorców usług: Pamiętać o obowiązku niezwłocznego powiadomienia klientów, jeśli cyberzagrożenie może mieć wpływ na świadczone na ich rzecz usługi.
Podsumowując, nowy reżim zgłaszania incydentów w KSC wymusza przejście od deklaratywnego bezpieczeństwa do realnej gotowości operacyjnej. Regulator nie karze firmy za samo wystąpienie ataku na organizację, lecz za brak wykrycia zagrożenia, chaos w komunikacji i przekroczenie ustawowych terminów. Sprawnie działająca procedura zgłaszania incydentów stanowi dziś najważniejszą tarczę chroniącą zarząd przed zarzutem braku należytej staranności w zarządzaniu ryzykiem.iernika 2026 r., warto już teraz zweryfikować uprawnienia reprezentantów, przygotować dane techniczne oraz wyznaczyć odpowiedzialne punkty kontaktowe.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 27 sierpnia 2026 r.
