W sierpniu 2025 r. w serwisie Rządowego Centrum Legislacji opublikowano kolejną, siódmą wersję projektu nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. Zawiera ona doprecyzowane zapisy dotyczące procedur nadzoru, zasad zgłaszania incydentów oraz klasyfikacji podmiotów publicznych. Celem nowelizacji jest pełna transpozycja dyrektywy NIS 2 do polskiego prawa oraz dostosowanie mechanizmów nadzoru i obowiązków w cyberbezpieczeństwie do obecnych zagrożeń. Obejmie ona około 38 tys. podmiotów w Polsce, co stanowi radykalny wzrost w porównaniu z poprzednią ustawą, która dotyczyła kilku tysięcy firm i instytucji. Nowelizacja uwzględnia także możliwość nakładania kar finansowych sięgających nawet 10 mln euro.

Projekt zakłada, że po jednomiesięcznym vacatio legis od wprowadzenia ustawy podmioty kluczowe i ważne będą miały jedynie sześć miesięcy na pełne dostosowanie się do nowych przepisów. W praktyce oznacza to konieczność rozpoczęcia przygotowań jeszcze przed formalnym przyjęciem ustawy. Konieczne jest wykonanie audytu, inwentaryzacji sprzętu i oprogramowania, ocena ryzyka i przegląd łańcucha dostaw, wdrożenie mechanizmów zarządzania podatnościami, raportowania incydentów czy wyznaczenie osób do kontaktu z Krajowym Systemem Cyberbezpieczeństwa, a także przeprowadzenie szkoleń.

Źródło: Rządowe Centrum Legislacji

Kto będzie objęty nowymi przepisami?

  • Podmioty kluczowe – infrastruktura o strategicznym znaczeniu, której unieruchomienie w wyniku ataku skutkuje ryzykiem paraliżu społecznego i gospodarczego: branża energetyczna, wodociągi, transport lotniczy, kolejowy i morski, ochrona zdrowia, banki.
  • Podmioty ważne – średnie i duże firmy, które dotychczas nie były formalnie nadzorowane, ale pełnią istotną funkcję w gospodarce (np. centra logistyczne, operatorzy usług cyfrowych, producenci chemikaliów, firmy telekomunikacyjne o regionalnym zasięgu).
  • Podmioty publiczne – projekt wzmacnia obowiązki dla urzędów oraz instytucji administracji państwowej i samorządowej, które dotąd traktowane były ulgowo. Teraz będą miały obowiązek wdrożenia procesów reagowania na incydenty i raportowania ich do CSIRT.
  • Dostawcy wysokiego ryzyka – ustawa daje rządowi narzędzie, by formalnie wykluczyć z rynku dostawców sprzętu i oprogramowania (firma może być wykluczona z przetargów publicznych, a jej produkty stopniowo eliminowane z infrastruktury krytycznej), jeśli istnieją przesłanki, że ich obecność zagraża bezpieczeństwu państwa, chociażby ze względu na powiązania z państwami trzecimi, brak transparentności produkcji czy podatność na ingerencję wywiadowczą.

Najważniejsze zmiany

  • Procedury administracyjne – wprowadzono jasne kryteria, kto i kiedy może zostać wpisany do rejestru podmiotów objętych ustawą. Organ nadzorczy musi teraz uzasadnić odmowę wykreślenia, a podmioty mają prawo do odwołania.
  • Rozszerzenie kryteriów dla podmiotów ważnych – oprócz wskaźników finansowych i kadrowych brane będą pod uwagę elementy jakościowe, takie jak wpływ na inne branże, liczba obsługiwanych klientów czy charakter świadczonych usług.
  • Ocena dostawców wysokiego ryzyka – decyzja administracyjna w tej sprawie będzie podejmowana na podstawie oceny ryzyka przygotowanej przez Agencję Bezpieczeństwa Wewnętrznego i zatwierdzonej przez Radę Ministrów.
  • Nadzór i sankcje – organy nadzorcze (np. Ministerstwo Cyfryzacji, UKE) zyskują nowe instrumenty, w tym możliwość nakładania kar administracyjnych, czasowego zawieszenia działalności lub cofnięcia koncesji.