Cyberatak jest problemem technicznym tylko przez pierwsze minuty. Potem staje się sprawą prawną: z terminami liczonymi w godzinach, obowiązkami wobec urzędów, klientów i kontrahentów oraz odpowiedzialnością osób kierujących firmą. Te reguły lepiej poznać, zanim będą potrzebne. Wyobraźmy sobie piątek, godzinę 16:40. Dział IT informuje zarząd, że serwery plików są zaszyfrowane, a na ekranach widać żądanie okupu. Informatycy wiedzą, co robić. Ale w gabinecie prezesa padają inne pytania. Czy musimy to komuś zgłosić? Komu i do kiedy? Czy wyciekły dane osobowe? Co powiedzieć klientom? Czy wolno zapłacić? Kto za to odpowiada? Na żadne z nich nie odpowie administrator sieci. A scenariusz nie jest teoretyczny: w 2025 r. do zespołów CSIRT w Polsce trafiły zgłoszenia niemal 273 tys. incydentów, podaje Ministerstwo Cyfryzacji.
Zegar rusza wcześniej, niż się wydaje
Najbardziej znany termin to 72 godziny. Wynika z art. 33 RODO i dotyczy praktycznie każdej firmy, nie tylko dużych. Administrator zgłasza naruszenie ochrony danych osobowych Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że naruszenie prawdopodobnie nie spowoduje ryzyka dla osób, których dane dotyczą. Przy wysokim ryzyku trzeba też bez zbędnej zwłoki zawiadomić te osoby (art. 34 RODO).
Firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa (KSC), której nowelizacja wdrożyła dyrektywę NIS2, mają drugi, krótszy zegar. Przy incydencie poważnym obowiązują trzy kroki: wczesne ostrzeżenie do właściwego CSIRT w ciągu 24 godzin od wykrycia, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. Jeśli incydent niekorzystnie wpływa na świadczone usługi, trzeba poinformować także ich użytkowników.
W praktyce oznacza to trzy rzeczy:
- Jeden atak może wymagać dwóch zgłoszeń. Trafiają do różnych adresatów i są oceniane według różnych kryteriów.
- Zegar może uruchomić cudza wiadomość. Moment wykrycia to chwila, w której firma uzyskała informację o zdarzeniu, także od dostawcy. Dlatego Ministerstwo Cyfryzacji wskazuje, że w umowach z dostawcami powinien się znaleźć obowiązek niezwłocznego informowania o incydencie.
- Brak pełnych danych nie usprawiedliwia milczenia. W zgłoszeniu podaje się to, co wiadomo, i uzupełnia je później.
Czy incydent jest poważny i czy naruszenie wymaga zgłoszenia, to ocena prawna, którą trzeba wykonać w pierwszych godzinach, na niepełnych danych. Warto ustalić z wyprzedzeniem, kto ją przeprowadzi. Warto też pamiętać, że RODO każe dokumentować każde naruszenie, także to niezgłoszone (art. 33 ust. 5).
Czy firma podlega KSC? Nikt tego za nią nie sprawdzi
Ustawa opiera się na samoidentyfikacji. Przedsiębiorca sam ustala, czy jest podmiotem kluczowym albo ważnym, i co do zasady nie dostaje w tej sprawie decyzji. Decydują sektor i wielkość. Lista sektorów jest długa: od energii, transportu i infrastruktury cyfrowej, przez zarządzanie usługami ICT i dostawców usług cyfrowych, po produkcję wybranych wyrobów, żywność, chemikalia i gospodarkę odpadami. Co do zasady chodzi o przedsiębiorstwa co najmniej średnie, ale są wyjątki, np. dostawcy usług DNS czy kwalifikowani dostawcy usług zaufania podlegają ustawie niezależnie od wielkości.
Dwie pułapki pojawiają się szczególnie często. Po pierwsze, przy ustalaniu wielkości co do zasady uwzględnia się przedsiębiorstwa powiązane i partnerskie, więc spółka, która sama wygląda na małą, w grupie może okazać się średnia. Po drugie, znaczenie ma działalność faktycznie wykonywana, także poboczna, a nie tylko główna (z wyjątkiem kilku sektorów).
Kalendarz dla podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji (Dz.U. z 2026 r. poz. 252), wygląda tak:
- 3 kwietnia 2026 r.: wejście w życie nowych przepisów.
- 3 października 2026 r.: termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych.
- 3 kwietnia 2027 r.: wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), procedur obsługi i zgłaszania incydentów oraz podłączenie do systemu S46.
- 3 kwietnia 2028 r.: termin pierwszego audytu podmiotów kluczowych.
Firma, która zacznie spełniać kryteria później, ma własny kalendarz: 6 miesięcy na wpis, 12 na wdrożenie i 24 na pierwszy audyt, licząc od spełnienia przesłanek. Kto nie złożył wniosku w terminie, nadal powinien to zrobić. Samorejestracja jest dostępna cały czas, brak wpisu nie zwalnia z pozostałych obowiązków, a organ może wpisać firmę do wykazu z urzędu.
Odpowiedzialność leży po stronie zarządu, nie działu IT
To najważniejsza zmiana dla właścicieli i menedżerów. Kierownikiem podmiotu w rozumieniu ustawy jest w spółce kapitałowej członek zarządu. To on podejmuje decyzje o systemie zarządzania bezpieczeństwem, planuje na niego środki, przydziela zadania i nadzoruje ich wykonanie, a raz w roku musi przejść szkolenie. Powierzenie obowiązków innej osobie nie zdejmuje z niego odpowiedzialności.
Kary są wysokie: dla podmiotu kluczowego do 10 mln euro lub 2 proc. przychodów, dla ważnego do 7 mln euro lub 1,4 proc. przychodów, a dla kierownika podmiotu prywatnego do 300 proc. wynagrodzenia. Większość z nich można nakładać dopiero po 3 kwietnia 2028 r. Wyjątkiem jest kara do 100 mln zł za najpoważniejsze naruszenia, której ten okres przejściowy nie obejmuje. Organy nadzoru już teraz mogą prowadzić kontrole, żądać dokumentów i wydawać ostrzeżenia oraz nakazy.
Nie chodzi przy tym o papier. Ministerstwo Cyfryzacji ujmuje to obrazowo: kupiona dokumentacja schowana w „szafie NIS2” nie zapewni realnego bezpieczeństwa. Od firmy oczekuje się procedur wdrożonych, przetestowanych i stosowanych w praktyce oraz umiejętności wykazania tego przed organem.
Firma spoza ustawy? Wymagania i tak przyjdą w umowie
Podmioty objęte KSC muszą zarządzać bezpieczeństwem łańcucha dostaw: znać swoich dostawców, oceniać ryzyko i wpisywać wymagania do umów. Dla software house’u, firmy IT czy podwykonawcy oznacza to ankiety, aneksy i nowe klauzule, nawet jeśli sam nie podlega ustawie. Warto czytać je uważnie: w jakim terminie trzeba zgłosić incydent, jakie prawa audytu ma klient, do jakiego limitu odpowiada dostawca i czy te zobowiązania da się w ogóle wykonać. Sektor finansowy i jego dostawców ICT obowiązuje dodatkowo rozporządzenie DORA, a producentów oprogramowania i urządzeń Cyber Resilience Act.
Prawo przydaje się także przy zwykłych oszustwach. Podmieniony numer rachunku na fakturze albo wiadomość „od prezesa” to sprawy, w których liczą się godziny: kontakt z bankiem i bankiem odbiorcy, zabezpieczenie korespondencji, zawiadomienie o przestępstwie, a później ocena roszczeń wobec banku, kontrahenta i ubezpieczyciela.
Pięć pytań na najbliższe posiedzenie zarządu
- Czy mamy udokumentowaną ocenę, czy i w jakiej kategorii podlegamy KSC, z uwzględnieniem grupy i działalności pobocznej?
- Kto decyduje o zgłoszeniu incydentu, także w piątkowy wieczór i w czasie urlopów?
- Czy mamy ścieżkę zgłoszeń do CSIRT i Prezesa UODO, która zadziała, gdy firmowa poczta jest niedostępna?
- Czy umowy z kluczowymi dostawcami IT zobowiązują ich do niezwłocznego informowania o incydentach i jasno dzielą odpowiedzialność?
- Czy wiemy, co naprawdę obejmują nasze ubezpieczenia cyber i D&O?
W swojej pracy najwięcej ryzyka widzę nie w serwerowni, lecz w umowach, procedurach i w tym, czy zarząd wie, co i w jakim terminie zgłosić. Brak odpowiedzi na któreś z tych pytań to dobry punkt wyjścia do uporządkowania spraw, zanim zrobi to za nas incydent.
Gdzie szukać wsparcia
Paragraf72 to serwis kancelarii Tax Fin Law poświęcony prawu cyberbezpieczeństwa. Zespół kancelarii zajmuje się prawną stroną bezpieczeństwa firmy: kwalifikacją pod NIS2 i KSC, politykami i dokumentacją, RODO i DORA, umowami z dostawcami IT, obsługą incydentów i zgłoszeń (także ryzykami prawnymi przy żądaniu okupu), odpowiedzialnością zarządu oraz sporami i postępowaniami po cyberatakach. Testów penetracyjnych i audytów technicznych kancelaria nie wykonuje. Tę część realizuje dział IT firmy albo wybrany audytor, a prawnicy uzgadniają z nim zakres pod kątem wymagań prawa.
Na stronie można rozwiązać trzypytaniowy wstępny test NIS2. Daje on orientację, nie kwalifikację prawną: ostateczna ocena wymaga analizy działalności i struktury grupy. Kontakt z kancelarią: kontakt@taxfinlaw.pl.
Daniel Borzym radca prawny, Kancelaria Tax Fin Law
Stan prawny: listopad 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Cyberatak to nie tylko problem IT. Co zarząd musi wiedzieć o NIS2, KSC i odpowiedzialności prawnej?
