Zaktualizowano 12.10.2026

Krajowy system cyberbezpieczeństwa po nowelizacji: co NIS2 zmienia w dostępności usług

Krótko: tak, znowelizowana ustawa o KSC już obowiązuje. Sejm uchwalił nowelizację 23 stycznia 2026 r., w Dzienniku Ustaw ukazała się 2 marca (Dz. U. 2026 poz. 252), a od 3 kwietnia 2026 r. jest obowiązującym prawem. Polska wdrożyła w ten sposób NIS2, choć dyrektywa dawała na to czas tylko do 17 października 2024 r. Operatorów usług kluczowych już nie ma, w ich miejsce ustawa wprowadza podmioty kluczowe i podmioty ważne. Stan opisany niżej: październik 2026.

Gdzie w tym DDoS? Samego słowa w ustawie Państwo nie znajdą. Jest za to przepis, który brzmi jak opis pracy centrum mitygacji: art. 8 ust. 1 pkt 5 lit. d każe po dostrzeżeniu zagrożenia działać niezwłocznie, „w tym również” przez „czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury”, i to tak, żeby jak najmniej ucierpiała dostępność usług. To nasza interpretacja: kto świadczy usługi przez internet, ten wpisuje ataki przeciążeniowe do szacowania ryzyka i powinien umieć wykazać, czym je odpiera.

Oś czasu nowelizacji ustawy o KSC

Daty 03.10.2026, 03.04.2027 (dla art. 33 ust. 1) i 03.04.2028 to nasz rachunek. Podmiot, który spełni kryteria później, liczy terminy od tego dnia: 6 miesięcy na wniosek o wpis (art. 7c), 12 miesięcy na obowiązki, 24 miesiące na audyt (art. 16).

A co z Trybunałem? Prezydent ustawę podpisał, a latem część z niej zaskarżył. Wniosek wpłynął do Trybunału Konstytucyjnego 21 lipca 2026 r. (sygn. K 19/26) i dotyczy dwóch rzeczy: postępowania w sprawie dostawcy wysokiego ryzyka (art. 67b, 67c, 67e) oraz poleceń zabezpieczających ministra (art. 67g). Na portalu TK sprawa jest „w toku”, bez rozprawy, bez wyroku. Do orzeczenia ustawę stosuje się w całości.

A rozporządzenia? Na nie wciąż czekamy. Progi incydentu poważnego dla sektorów ma ustalić Rada Ministrów (art. 11 ust. 4), tymczasem do 11 października 2026 r. ISAP nie notuje nowego aktu. Do tego czasu, ale najwyżej przez rok od wejścia w życie nowelizacji, obowiązuje stare rozporządzenie z 2018 r. (art. 32 ustawy zmieniającej).

Podmiot kluczowy, podmiot ważny i wykaz KSC

O statusie decydują sektor z załącznika nr 1 lub 2 oraz wielkość według definicji MŚP z rozporządzenia 651/2014.

Chmura, CDN i centra przetwarzania danych są w załączniku nr 1 (infrastruktura cyfrowa). Takie podmioty podlegają polskiej ustawie, gdy Polska jest głównym miejscem prowadzenia ich działalności (art. 5a ust. 3). Spółka, która przekracza progi tylko dzięki doliczeniu przedsiębiorstw powiązanych lub partnerskich, nie jest podmiotem kluczowym ani ważnym, jeśli ma od nich niezależny system informacyjny albo nie świadczy z nimi usług wspólnie (art. 5 ust. 6 i 7).

Wyjątki, o których łatwo zapomnieć:

• Banki i infrastruktura rynków finansowych: przepisy o systemie zarządzania bezpieczeństwem informacji i zgłaszaniu incydentów co do zasady ich nie dotyczą (naszym zdaniem z powodu DORA), odpowiedzialność kierownika (art. 8c–8f) tak (art. 8i).
• Telekomunikacja: organem dla podsektora komunikacji elektronicznej jest Prezes UKE (art. 41 pkt 8a). Obowiązki z działu VIIa Prawa telekomunikacyjnego wykonuje się dalej, aż zaczną obowiązywać te z rozdziału 3 (art. 33 ust. 5 ustawy zmieniającej).
• Służby specjalne i jednostki nadzorowane przez MON z mocy ustawy nie są podmiotami kluczowymi ani ważnymi (art. 5 ust. 10), ale Minister Obrony Narodowej może decyzją wskazać podległe mu jednostki jako takie podmioty (art. 5 ust. 11).

Wpis do wykazu: termin samorejestracji minął 3 października 2026 r. Wniosek składa się na wykaz-ksc.gov.pl i podpisuje go kierownik podmiotu albo osoba upoważniona. Podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty krytyczne i dawni operatorzy usług kluczowych są wpisywani z urzędu (art. 7a ust. 2, art. 34 ust. 2 ustawy zmieniającej) i mają 6 miesięcy od doręczenia wezwania na uzupełnienie danych (art. 7b ust. 2).

Macierz obowiązków pod kątem dostępności usług

Dostawcy DNS, chmury, CDN, centrów przetwarzania danych i usług zarządzanych stosują w ramach tego systemu środki z rozporządzenia wykonawczego (UE) 2024/2690 (art. 8b). Motyw 12 tego rozporządzenia jako jedyny nazywa rzecz po imieniu: monitorowanie ma umożliwiać wykrywanie „ataków typu »odmowa usługi«”.

Atak DDoS jako incydent poważny

Incydent poważny „powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi”, straty finansowe podmiotu albo poważną szkodę u innych osób (art. 2 pkt 7). W sklepie internetowym czy na platformie usług cyfrowych ten trzeci warunek bywa ważniejszy, niż się wydaje: szkodę ponoszą klienci.

Liczby podaje rozporządzenie 2024/2690:

Weźmy CDN spowolniony przez atak HTTP flood na 70 minut dla co dziesiątego użytkownika w Unii. Usługa ani na chwilę nie zniknęła, a naszym zdaniem art. 9 lit. b i tak jest spełniony, bo spowolnienie oznacza ograniczoną dostępność. Ataki co kilka tygodni? Art. 4 łączy incydenty, które wystąpiły co najmniej dwa razy w ciągu sześciu miesięcy, mają „tę samą widoczną podstawową przyczynę” i razem przekraczają próg finansowy. Czy ta sama grupa atakujących to ta sama przyczyna, nie jest przesądzone.

Atak w całości odparty, bez wpływu na usługę, to naszym zdaniem zwykle potencjalne zdarzenie dla cyberbezpieczeństwa (art. 2 pkt 11e ustawy o KSC). Można je zgłosić dobrowolnie (art. 13 ust. 1 pkt 5).

Zgłoszenie w 24 godziny, 72 godziny i miesiąc

Najpierw „niezwłocznie”, potem limity. Wczesne ostrzeżenie trafia do CSIRT „niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia”, zgłoszenie incydentu poważnego w tym samym trybie najpóźniej w ciągu 72 godzin, sprawozdanie końcowe najpóźniej miesiąc po zgłoszeniu (art. 11 ust. 1 pkt 4–4c). Gdy obsługa trwa dłużej, najpierw idzie sprawozdanie z postępu, końcowe miesiąc po zakończeniu (art. 12b). Dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin (art. 11 ust. 1a).

Dyrektywa liczy terminy „od powzięcia wiedzy”, polska ustawa „od momentu wykrycia”. Naszym zdaniem wykrycie przez monitoring może nastąpić wcześniej, niż ktoś uzna atak za incydent poważny. Lepiej zapisywać obie godziny.

Zgłoszenia idą przez system S46. Dopóki CSIRT sektorowy nie jest gotowy, właściwy jest CSIRT MON, CSIRT NASK lub CSIRT GOV (art. 44 ust. 1 ustawy zmieniającej). Jeśli incydent poważny niekorzystnie wpływa na świadczenie usług, trzeba poinformować o nim ich użytkowników (art. 11 ust. 2b).

Kłopot pojawia się przy 72 godzinach. Zgłoszenie ma zawierać liczbę użytkowników, zasięg geograficzny, przyczyny, przebieg i działania naprawcze (art. 12 ust. 3). Część danych ma dostawca ochrony: czas ataku, wektory, szczyty w Gb/s lub żądaniach na sekundę, zaatakowane adresy. Umowa powinna mówić, kiedy je przekaże.

Dostawca ochrony anty-DDoS w łańcuchu dostaw

Oceniając dostawcę, podmiot uwzględnia jego podatności, ogólną jakość produktów i usług ICT oraz wyniki postępowania w sprawie dostawcy wysokiego ryzyka (art. 8 ust. 2). To postępowanie prowadzi minister właściwy do spraw informatyzacji po opinii Kolegium, gdy dostawca „stanowi zagrożenie dla podstawowego interesu bezpieczeństwa państwa” (art. 67b ust. 15). Decyzja jest ogłaszana w Monitorze Polskim i podlega natychmiastowemu wykonaniu. Skutek: zakaz wprowadzania wskazanych produktów i usług oraz ich wycofanie w ciągu 7 lat (art. 67c ust. 1). Przedsiębiorcy telekomunikacyjni z przychodami powyżej 10 mln zł wycofują sprzęt pełniący funkcje krytyczne z załącznika nr 3 w ciągu 4 lat (art. 67c ust. 2). Zamawiający publiczni nie mogą takich produktów kupować. Te przepisy bada Trybunał Konstytucyjny (K 19/26).

Przed podpisaniem umowy warto zadać dostawcy pięć pytań. Jakie sieci i protokoły chroni i od jakiej wielkości prefiksu? Czy ochrona działa stale, czy włącza się przy ataku? Ile trwa przełączenie? Kto odbiera telefon w nocy i w którym punkcie umowy to stoi? Kiedy przychodzi raport z danymi do zgłoszenia na 72 godziny? Jakie ma atestacje, w jakim zakresie i gdzie trafiają dane o ruchu?

Kary i odpowiedzialność kierownika

Ile to może kosztować? Podmiot kluczowy: do 10 mln euro albo 2 % przychodów z poprzedniego roku obrotowego, liczy się kwota wyższa, a dolna granica to 20 000 zł. Podmiot ważny: do 7 mln euro lub 1,4 % przychodów, nie mniej niż 15 000 zł (art. 73 ust. 3 i 4). Przy naruszeniu, które poważnie zagraża bezpieczeństwu państwa albo świadczeniu usług, kara może sięgnąć 100 mln zł (art. 73 ust. 5). Art. 35 ustawy zmieniającej tej kary nie wymienia; czytamy to tak, że okres przejściowy jej nie chroni.

Odpowiedzialności zarząd nie zrzuci na dział IT. Kierownik odpowiada nawet wtedy, gdy obowiązki powierzył komuś innemu (art. 8c ust. 3), planuje na nie pieniądze (art. 8d) i raz w roku idzie na szkolenie (art. 8e). Za zaniedbania zapłaci do trzykrotności wynagrodzenia, w podmiocie publicznym do jego wysokości (art. 73a ust. 4 i 5). Kary z art. 73 ust. 1–4 i art. 73a–73c wchodzą w grę dopiero 2 lata po wejściu w życie nowelizacji (art. 35 ustawy zmieniającej).

Co wnosi Myra

Tych pięć pytań zadajemy też sobie, więc odpowiadamy. Atestacje: Myra, firma z Niemiec, to kwalifikowany przez BSI dostawca usług mitygacji DDoS (BSI to niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji). Nasz system zarządzania bezpieczeństwem informacji ma certyfikat ISO 27001 na bazie IT-Grundschutz (BSI-IGZ-0667-2024), a ochrona działa na infrastrukturze Myra z atestacją BSI C5 typu 2; listę znajdą Państwo na stronie certyfikatów. Do ankiety dostawcy: Myra sama spełnia wymagania NIS2, DORA i RODO w zakresie, w jakim dotyczą nas jako zewnętrznego dostawcy usług ICT. A dane? Standardem jest przetwarzanie danych w UE, na życzenie wyłącznie w Niemczech.

Sieci i prefiksy: Network DDoS Protection (cloud) przejmuje ruch przez BGP, od /24 w IPv4 i od /48 w IPv6, na żądanie albo stale (on-demand, always-on); Myra dysponuje przy tym ponad 50 Tb/s zdolności mitygacji. Strony WWW, aplikacje i API chroni DDoS Protection w warstwie 7, a po ataku przychodzi raport: ile trwał, jakiego był rodzaju, jak był silny. O samych wektorach piszemy na stronie atak DDoS.

Przy Network DDoS Protection (cloud) Myra powiadamia o ataku od razu, ale szczegółowy raport z incydentu przychodzi w ciągu 48 godzin w dni robocze. Wykryli Państwo incydent poważny w piątek o 20:00? Wczesne ostrzeżenie idzie niezwłocznie, najpóźniej w sobotę o 20:00, zgłoszenie najpóźniej w poniedziałek o 20:00. Raportu może wtedy jeszcze nie być, więc zgłoszenie piszą Państwo sami, na podstawie przebiegu ruchu i mitygacji w Myra DataHub. Wsparcie awaryjne 24/7 jest dostępne zależnie od umowy; to też warto sprawdzić punkt po punkcie. I jeszcze jedno: ochrona przed DDoS nie zrobi szacowania ryzyka, wpisu do wykazu ani zgłoszenia. Można je powierzyć dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14), tyle że odpowiedzialność i tak zostaje przy kierowniku (art. 8c ust. 3).

Najczęstsze pytania

Czy nowelizacja ustawy o KSC już obowiązuje?

Tak. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw została ogłoszona 2 marca 2026 r. (Dz. U. 2026 poz. 252) i weszła w życie 3 kwietnia 2026 r. Wdraża dyrektywę NIS2. Podmioty, które spełniały kryteria już tego dnia, mają 12 miesięcy na realizację obowiązków z rozdziału 3, czyli według naszego rachunku do 3 kwietnia 2027 r., a podmioty kluczowe 24 miesiące na pierwszy audyt. Przepisy o dostawcach wysokiego ryzyka i poleceniach zabezpieczających Prezydent zaskarżył do Trybunału Konstytucyjnego (sprawa K 19/26). Do 11 października 2026 r. wyroku nie ma, a ustawa obowiązuje.

Czy każdy atak DDoS trzeba zgłosić do CSIRT?

Nie. Zgłasza się incydent poważny, czyli taki, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości usługi, straty finansowe albo poważną szkodę u innych osób (art. 2 pkt 7 ustawy o KSC). Dla dostawców DNS, chmury, CDN i centrów przetwarzania danych progi liczbowe podaje rozporządzenie wykonawcze (UE) 2024/2690, np. całkowita niedostępność usługi chmurowej przez ponad 30 minut. Atak odparty bez wpływu na usługę można zgłosić dobrowolnie (art. 13), o ile nie spełnia żadnego kryterium.

Termin wpisu do wykazu minął 3 października 2026 r. Co teraz?

Wniosek warto złożyć jak najszybciej w systemie wykaz-ksc.gov.pl. Organ może nałożyć karę na podmiot, który nie złożył wniosku w terminie, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów (art. 73 ust. 1a), ale zgodnie z art. 35 ustawy zmieniającej kary z art. 73 ust. 1–4 można nałożyć po raz pierwszy dopiero po upływie 2 lat od wejścia w życie; naszym zdaniem obejmuje to także ust. 1a. Podmioty wpisywane z urzędu (m.in. podmioty publiczne, przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty krytyczne, dawni operatorzy usług kluczowych) nie składają wniosku, tylko uzupełniają dane w ciągu 6 miesięcy od wezwania.

Kto odpowiada za cyberbezpieczeństwo: zarząd czy dział IT?

Zgodnie z art. 8c odpowiada kierownik podmiotu. Jeżeli jest nim organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie, także wtedy, gdy zadania powierzono innej osobie. Kierownik raz w roku przechodzi szkolenie (art. 8e) i może zostać ukarany karą do 300 % wynagrodzenia, w podmiotach publicznych do jego wysokości (art. 73a ust. 4 i 5).

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz. U. 2026 poz. 252, zmieniająca ustawę o KSC (Dz. U. z 2026 r. poz. 20 z późn. zm.): art. 1 (m.in. art. 2, 5, 5a, 7c, 8–16, 41, 67b, 67c, 73, 73a), art. 32–35, 44, 49, dostęp 11.10.2026
• ISAP: status aktu Dz. U. 2026 poz. 252 (obowiązujący, wejście w życie 3.04.2026), dostęp 11.10.2026
• Trybunał Konstytucyjny, sprawa K 19/26: wniosek Prezydenta RP o zbadanie zgodności ustawy o KSC w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (sprawa w toku), dostęp 11.10.2026
• Internetowy Portal Orzeczeń TK: metryka sprawy K 19/26 i wniosek Prezydenta RP z 17 lipca 2026 r., dostęp 11.10.2026
• Sejm RP, przebieg procesu legislacyjnego, druk nr 1955, dostęp 11.10.2026
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu (Dz. Urz. Min. Cyfr. 2026 poz. 7), dostęp 11.10.2026
• Ministerstwo Cyfryzacji: samorejestracja w Wykazie podmiotów kluczowych i podmiotów ważnych, dostęp 11.10.2026
• Rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz. U. 2018 poz. 2180), dostęp 11.10.2026
• Dyrektywa (UE) 2022/2555 (NIS 2), art. 6, 23, 30, 41, dostęp 11.10.2026
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690, motyw 12, art. 3, 4, 5, 7, 8, 9, dostęp 11.10.2026
• cyber.gov.pl: Zgłoś incydent (wybór właściwego systemu zgłoszeń), dostęp 11.10.2026

Artykuł przedstawia stan na październik 2026 r. i nie stanowi porady prawnej.