JAK DOKONAĆ PRAWIDŁOWO WPISU DO WYKAZU PODMIOTÓW KLUCZOWYCH I WAŻNYCH W ŚWIETLE NOWELIZACJI UKSC
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca wymagania dyrektywy NIS2 wprowadziła nowe obowiązki dla tysięcy podmiotów w Polsce. Zmiany obejmują także administrację publiczną, w tym jednostki samorządu terytorialnego oraz podległe im jednostki organizacyjne. Jednym z pierwszych obowiązków jest wpis do wykazu podmiotów kluczowych i podmiotów ważnych. W praktyce wiele urzędów zastanawia się, czy wpis tworzy nowy status organizacji, kto powinien go wykonać oraz jakie konsekwencje grożą za zaniedbanie tego obowiązku. Warto poznać zasady działania nowego systemu już teraz. Pozwoli to uniknąć błędów formalnych i przygotować urząd do kolejnych wymagań wynikających z ustawy.
Źródło: gov.pl
Status podmiotu wynika z ustawy. Pierwszą rzeczą, którą warto zrozumieć, jest charakter wpisu do wykazu. Wpis ma charakter deklaratoryjny. Oznacza to, że nie nadaje statusu podmiotu kluczowego lub ważnego. Status powstaje automatycznie z chwilą spełnienia ustawowych warunków określonych w UKSC. W praktyce oznacza to, że urząd gminy, jednostka organizacyjna lub inny podmiot objęty ustawą nie staje się podmiotem kluczowym dopiero po wpisaniu do wykazu. Jest nim już wcześniej, jeśli spełnia kryteria wskazane w przepisach. Wpis jedynie potwierdza ten fakt w państwowym rejestrze.
Podmiot objęty ustawą ma 6 miesięcy na dokonanie wpisu od dnia spełnienia przesłanek ustawowych. W przypadku organizacji, które podlegały nowym przepisom już w dniu wejścia w życie nowelizacji UKSC, termin upływa 3 października 2026 roku. Nie warto odkładać tego obowiązku na ostatnie tygodnie. W wielu urzędach konieczne będzie wcześniejsze zgromadzenie informacji technicznych oraz uzyskanie akceptacji kierownictwa.
Nowelizacja opiera się na zasadzie samoidentyfikacji. Oznacza to, że organizacja sama musi ocenić, czy spełnia kryteria podmiotu kluczowego lub ważnego.
Przy ocenie należy sprawdzić trzy podstawowe elementy:
- rodzaj prowadzonej działalności,
- wielkość organizacji,
- zakres świadczonych usług.
W przypadku administracji samorządowej sprawa jest prostsza, ponieważ podmioty publiczne zostały wskazane wprost jako grupa objęta nowymi regulacjami.
Procedura wpisu
Ministerstwo Cyfryzacji uruchomiło elektroniczny Wykaz KSC działający w ramach systemu S46. Za jego pomocą można złożyć wniosek o wpis oraz później aktualizować dane. Przed rozpoczęciem rejestracji warto przygotować komplet wymaganych informacji. Urząd będzie musiał podać między innymi dane identyfikacyjne jednostki, adresy kontaktowe, wykorzystywane domeny internetowe, zakres publicznych adresów IP oraz dane osób odpowiedzialnych za kontakty związane z cyberbezpieczeństwem. Wiele z tych informacji znajduje się w różnych komórkach organizacyjnych. Dlatego dobrym rozwiązaniem jest wcześniejsze zaangażowanie działu IT, inspektora ochrony danych oraz osób odpowiedzialnych za zarządzanie bezpieczeństwem informacji.
Najwięcej problemów może sprawić przygotowanie informacji technicznych takich jak:
- posiadane domeny internetowe,
- publiczne adresy IP wykorzystywane na stałe,
- adres do e-Doręczeń,
- dane kontaktowe osób odpowiedzialnych za cyberbezpieczeństwo,
- informacje o usługach świadczonych przez zewnętrznych dostawców bezpieczeństwa.
Warto przeprowadzić wewnętrzny przegląd tych danych przed ich zgłoszeniem. Błędy mogą skutkować koniecznością późniejszych korekt lub wezwaniem do wyjaśnień.
Do wniosku należy dołączyć oświadczenie kierownika podmiotu potwierdzające prawdziwość przekazanych danych. To bardzo ważny element procedury. Oświadczenie składane jest pod rygorem odpowiedzialności karnej. Oznacza to, że kierownik jednostki powinien wcześniej upewnić się, że wszystkie przekazane informacje zostały zweryfikowane.
W praktyce warto przygotować wewnętrzną notatkę lub protokół potwierdzający, kto odpowiadał za zebranie poszczególnych danych. Ułatwi to wykazanie należytej staranności.
Wiele jednostek samorządowych zostało wpisanych do wykazu automatycznie przez Ministra Cyfryzacji. Nie oznacza to zakończenia procesu. Po otrzymaniu zawiadomienia urząd musi sprawdzić poprawność danych i uzupełnić brakujące informacje w wyznaczonym terminie. Dlatego warto regularnie monitorować korespondencję elektroniczną oraz konta wykorzystywane do kontaktów z administracją rządową.
Obowiązki nie kończą się po dokonaniu wpisu. Każdą zmianę danych należy zgłosić w ciągu 14 dni. Dotyczy to między innymi zmiany adresów, domen internetowych, osób kontaktowych czy infrastruktury sieciowej. Dobrą praktyką jest wpisanie tego obowiązku do procedur bezpieczeństwa informacji oraz procedur zarządzania zmianą w urzędzie.
Nowelizacja przewiduje wysokie sankcje finansowe za niewykonanie obowiązków wynikających z ustawy. Odpowiedzialność może dotyczyć zarówno samego podmiotu, jak i kierownika jednostki. Przepisy przewidują także odpowiedzialność za podanie nieprawdziwych informacji. Organy nadzoru otrzymały uprawnienia do weryfikacji danych znajdujących się w wykazie i mogą żądać ich poprawienia.
Warto pamiętać, że ustawodawca przewidział okres przejściowy. Kary pieniężne będą mogły być nakładane dopiero od kwietnia 2028 roku. Nie oznacza to braku obowiązków. Wszystkie wymagania obowiązują już teraz i warto wykorzystać ten czas na uporządkowanie procesów oraz dokumentacji.
Warto potraktować wpis jako element budowy cyberbezpieczeństwa. Wiele organizacji postrzega wpis do wykazu jako formalność administracyjną. W rzeczywistości jest to dobry moment, aby uporządkować wiedzę o zasobach cyfrowych urzędu. Przygotowanie danych do wpisu pozwala zweryfikować posiadaną infrastrukturę, aktualność informacji kontaktowych oraz odpowiedzialność poszczególnych osób za bezpieczeństwo systemów informatycznych. To pierwszy krok do spełnienia kolejnych wymagań UKSC związanych z zarządzaniem ryzykiem, obsługą incydentów oraz ochroną usług publicznych.
Dla pracownika administracji samorządowej najważniejsze jest dziś jedno. Nie czekaj na wezwanie lub kontrolę. Sprawdź, czy twoja jednostka podlega nowym przepisom, przygotuj wymagane dane i zadbaj o terminowy wpis lub uzupełnienie informacji w wykazie. Dzięki temu unikniesz problemów formalnych i lepiej przygotujesz urząd na nowe wyzwania związane z cyberbezpieczeństwem.
Źródła:
Gov.pl; Wprowadzenie do Wykazu KSC w systemie S46;
Gov.pl; Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) – najważniejsze terminy:
AI ACT- Niniejszy tekst i/lub grafika zostały wygenerowane lub poprawione przy użyciu narzędzi SI, oraz opracowane przez człowieka.
