Ten artykuł powstał częściowo z pomocą sztucznej inteligencji.
W skrócie: Ustawa o KSC (krajowym systemie cyberbezpieczeństwa) po nowelizacji z 2026 r. wdraża w Polsce dyrektywę NIS2 i obejmuje około 38 tys. firm i instytucji. Rejestracja w wykazie KSC zakończyła się 3 października 2026 r., a najważniejszy termin dopiero nadchodzi: do 3 kwietnia 2027 r. podmioty kluczowe i ważne muszą mieć wdrożone środki zarządzania ryzykiem, w tym system zarządzania bezpieczeństwem informacji (SZBI). Te obowiązki dotyczą także aplikacji, z których firma korzysta na co dzień: portalu klienta, systemu zamówień, integracji z ERP i narzędzi zbudowanych przez pracowników. Ten tekst pokazuje, co konkretnie trzeba zrobić z oprogramowaniem i w jakiej kolejności.
Ustawa o KSC to część większej układanki. Szerszy obraz, czyli to, czego dyrektywa NIS2 i unijny Cyber Resilience Act wymagają od firm z własnym oprogramowaniem, opisujemy w przewodniku NIS2 i Cyber Resilience Act w firmie z własnym oprogramowaniem. Tutaj skupiamy się na polskiej ustawie i na tym, co z niej wynika dla aplikacji.
Najważniejsze fakty:
Znowelizowana ustawa o KSC dzieli objęte nią firmy na podmioty kluczowe i podmioty ważne. O tym, do której grupy należy firma, decydują sektor i wielkość. Ustawa obejmuje średnie i duże przedsiębiorstwa, czyli zatrudniające co najmniej 50 osób albo mające ponad 10 mln euro rocznego obrotu, z sektorów wymienionych w załącznikach. Są wśród nich energetyka, transport, bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, gospodarka odpadami, produkcja żywności i chemikaliów oraz produkcja urządzeń elektrycznych, elektroniki, maszyn i pojazdów. Część podmiotów, na przykład dostawcy usług DNS, podlega ustawie bez względu na wielkość.
Podmiot kluczowy to zwykle duża firma z sektora o wysokiej krytyczności. Podmiot ważny to firma objęta ustawą, która nie spełnia kryteriów podmiotu kluczowego. Obie grupy mają te same obowiązki w zakresie zarządzania ryzykiem, ale różnią się nadzorem: podmioty kluczowe przechodzą obowiązkowe audyty i grożą im wyższe kary.
Ustawa nie wymaga od nikogo decyzji urzędu. Firma sama ocenia, czy jest podmiotem kluczowym lub ważnym, i sama składa wniosek o wpis do wykazu KSC prowadzonego przez ministra cyfryzacji. Jeśli firma, która powinna była się zarejestrować do 3 października 2026 r., tego nie zrobiła, powinna jak najszybciej omówić sytuację z doradcą prawnym: za brak wpisu grożą kary.
Do końca 2026 r. firma objęta ustawą powinna mieć za sobą dwa kroki formalne. Pierwszy to wpis do wykazu KSC, który zawiera m.in. dane podmiotu, sektor, osoby kontaktowe i informację o świadczonych usługach. Drugi to podłączenie do S46, krajowego systemu teleinformatycznego, przez który zgłasza się incydenty i komunikuje z zespołami CSIRT.
Oba kroki są proste w porównaniu z tym, co przed firmą. Zgłoszenie incydentu wymaga bowiem, żeby firma w ogóle go zauważyła. Jeśli aplikacja nie rejestruje zdarzeń, nikt nie monitoruje logowań, a hasło administratora od lat zna każdy były wykonawca, firma może się nie dowiedzieć, że coś się stało, aż do momentu, w którym dowie się z mediów. Dlatego techniczna część ustawy o KSC zaczyna się od aplikacji, a nie od formularzy.
Ustawa o KSC przenosi do polskiego prawa środki zarządzania ryzykiem z art. 21 dyrektywy NIS2. Najważniejszym z nich jest system zarządzania bezpieczeństwem informacji (art. 8 ustawy). SZBI kojarzy się z dokumentami, ale jego treść dotyczy w dużej części oprogramowania. W praktyce dla aplikacji firmy oznacza to siedem obszarów:
Każdy z tych obszarów da się opisać w polityce w jeden wieczór. Trudniej sprawdzić, czy aplikacja rzeczywiście działa tak, jak mówi polityka. Właśnie o to zapyta audytor, a w razie incydentu także organ nadzoru.
Do terminu zostało około pięciu miesięcy. To wystarczy, jeśli praca zacznie się teraz i pójdzie w dobrej kolejności.
| Okres | Co zrobić | Efekt |
| Listopad–grudzień 2026 | Inwentaryzacja aplikacji, przypisanie właścicieli, ustalenie, kto ma kod źródłowy i dostęp do serwerów | Lista aplikacji z oceną krytyczności |
| Styczeń 2027 | Techniczny przegląd najważniejszych aplikacji: dostęp, sekrety, zależności, konfiguracja chmury i bazy, logi | Lista podatności z priorytetami |
| Luty 2027 | Usunięcie krytycznych problemów, wdrożenie uwierzytelniania wieloskładnikowego i rotacja kluczy | Aplikacje bez otwartych luk wysokiego ryzyka |
| Marzec 2027 | Proces obsługi podatności, aktualizacja umów z dostawcami, test odtworzenia z kopii, dokumentacja do SZBI | Dowody wdrożenia dla audytora |
| Do 3 kwietnia 2027 | Przegląd zarządu i zatwierdzenie dokumentów | Gotowość na kontrolę |
Najczęstszy błąd to odwrócona kolejność: najpierw dokumenty, potem sprawdzenie aplikacji. Wtedy polityki opisują stan, którego nie ma, a poprawki w kodzie wymuszają przepisywanie dokumentów. Lepiej zacząć od tego, co jest, i opisać to, co zostało naprawione.
Nowelizacja ustawy o KSC przenosi odpowiedzialność za cyberbezpieczeństwo na najwyższy poziom firmy. Kierownik podmiotu odpowiada za wykonanie obowiązków, musi przejść szkolenie z zarządzania ryzykiem (art. 8e) i może zostać ukarany osobiście. Ustawa przewiduje też wysokie kary dla samej firmy: maksymalne kary z NIS2 to 10 mln euro lub 2% światowego obrotu dla podmiotów kluczowych oraz 7 mln euro lub 1,4% obrotu dla podmiotów ważnych.
W większości przypadków kary administracyjne będą nakładane dopiero od kwietnia 2028 r. Nie oznacza to, że do tego czasu ryzyko jest zerowe. Incydent w 2027 r. i tak trzeba będzie zgłosić, a organ nadzoru sprawdzi, czy firma wdrożyła wymagane środki w terminie. Dla członka zarządu najprostszą ochroną jest dokumentacja pokazująca, że aplikacje przeszły przegląd, a znalezione problemy usunięto.
Podmioty kluczowe muszą przeprowadzić, na własny koszt, audyt bezpieczeństwa systemu informacyjnego co najmniej raz na trzy lata, a pierwszy do 3 kwietnia 2028 r. Audyt prowadzi niezależny audytor z odpowiednimi uprawnieniami. Podmioty ważne nie mają obowiązku cyklicznego audytu, ale organ nadzoru może je skontrolować, zwłaszcza po incydencie.
Audyt ustawowy i techniczny przegląd aplikacji to dwie różne rzeczy. Audytor ocenia system zarządzania i może poprosić o dowody, na przykład wyniki testów bezpieczeństwa albo raport z przeglądu kodu. Firma, która przyjdzie na audyt z takim raportem i listą usuniętych podatności, ma znacznie mocniejszą pozycję niż firma z samą polityką.
W przeglądach aplikacji firm, które przygotowują się do wymagań ustawy o KSC, powtarza się kilka problemów. Pierwszy to konta współdzielone: jeden login administratora dla całego działu i byłych wykonawców. Drugi to sekrety w kodzie, czyli hasła do baz i klucze API zapisane w repozytorium, często od lat. Trzeci to przestarzałe biblioteki ze znanymi podatnościami, których nikt nie aktualizuje, bo aplikacja „działa”. Czwarty to brak logów: aplikacja nie zapisuje, kto się logował i co zmieniał, więc nie da się wykryć incydentu ani go potem zbadać. Piąty to kopie zapasowe, których nikt nigdy nie odtworzył. Szósty to brak kodu źródłowego, gdy aplikację napisał wykonawca, z którym firma nie ma już kontaktu.
Każdy z tych problemów da się usunąć w kilka dni lub tygodni, ale tylko wtedy, gdy ktoś go najpierw znajdzie. Dlatego techniczny przegląd aplikacji warto zrobić na początku przygotowań, a nie tuż przed audytem albo po pierwszym incydencie.
Sanddev sprawdza kod, konfigurację i infrastrukturę aplikacji, przygotowuje raport w języku zarządu z odniesieniem do wymagań ustawy o KSC, a potem naprawia znalezione problemy albo przejmuje utrzymanie aplikacji po poprzednim wykonawcy. Zakres i przebieg opisujemy na stronie o tym, jak wygląda techniczny przegląd aplikacji przed audytem KSC. Nie udzielamy porad prawnych: kwalifikację firmy jako podmiotu kluczowego lub ważnego oceniają jej prawnicy, z którymi chętnie współpracujemy.
To ustawa o krajowym systemie cyberbezpieczeństwa z 2018 r., znowelizowana w 2026 r. Nowelizacja (Dz.U. z 2026 r. poz. 252) wdraża w Polsce dyrektywę NIS2 i rozszerza obowiązki na około 38 tys. podmiotów.
Podmioty kluczowe i ważne muszą wdrożyć środki zarządzania ryzykiem, w tym SZBI, do 3 kwietnia 2027 r. Podmioty kluczowe przeprowadzają pierwszy audyt do 3 kwietnia 2028 r.
Podmiot kluczowy działa zwykle w sektorze o wysokiej krytyczności i jest dużą firmą; przechodzi obowiązkowe audyty i grożą mu wyższe kary. Podmiot ważny ma te same obowiązki w zakresie zarządzania ryzykiem, ale łagodniejszy nadzór.
S46 to krajowy system teleinformatyczny do zgłaszania incydentów i wymiany informacji z zespołami CSIRT. Podmioty objęte ustawą o KSC zgłaszają przez niego incydenty.
Tak. Firma odpowiada za bezpieczeństwo systemów, z których korzysta, także tych kupionych lub zbudowanych przez zewnętrznego wykonawcę. Dlatego ustawa wymaga oceny dostawców i odpowiednich zapisów w umowach.
Kierownik podmiotu odpowiada za wykonanie obowiązków, musi przejść szkolenie z cyberbezpieczeństwa i może zostać ukarany osobiście. Kary administracyjne w większości przypadków będą nakładane od kwietnia 2028 r.
OWASP Top 10 to lista najpoważniejszych kategorii ryzyka w aplikacjach webowych, publikowana przez fundację OWASP i używana jako punkt odniesienia przez zespoły bezpieczeństwa i audytorów. Aplikacje zbudowane z pomocą AI, na przykład w Lovable z bazą Supabase, najczęściej zawodzą w tych samych miejscach, co opisuje OWASP Top 10, przede wszystkim w kontroli dostępu.
SZBI, czyli system zarządzania bezpieczeństwem informacji, to główny obowiązek podmiotów kluczowych i ważnych według znowelizowanej ustawy o KSC; trzeba go wdrożyć do 3 kwietnia 2027 r.
SBOM (software bill of materials) to wykaz komponentów oprogramowania, czyli lista bibliotek, modułów i ich wersji, z których zbudowano produkt. Od 11 grudnia 2027 r. Cyber Resilience Act wymaga od producentów produktów z elementami cyfrowymi sporządzenia SBOM w powszechnie używanym formacie odczytywalnym maszynowo, obejmującym co najmniej zależności najwyższego poziomu.
