Czy szkoła, OPS albo biblioteka podlega ustawie o krajowym systemie cyberbezpieczeństwa?

Najczęściej tak. Po nowelizacji obowiązującej od 3 kwietnia 2026 r. (ustawa z dnia 23 stycznia 2026 r., Dz.U. 2026 poz. 252) podmiotem ważnym jest podmiot publiczny będący samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką komunalną wykonującą zadania o charakterze użyteczności publicznej, jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa). Urząd gminy zatrudniający co najmniej 50 osób w przeliczeniu na pełne etaty oraz starostwo powiatowe są podmiotami kluczowymi (załącznik nr 1 do tej ustawy).

Czy atak na BIP trzeba zgłosić jako incydent?

Jeśli jednostka jest podmiotem kluczowym lub ważnym, a zdarzenie spełnia przesłanki incydentu poważnego, zgłasza wczesne ostrzeżenie do właściwego CSIRT sektorowego niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia, a zgłoszenie incydentu w ciągu 72 godzin. Sprawozdanie końcowe przekazuje się w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4-4c ustawy o krajowym systemie cyberbezpieczeństwa). Zgłoszenia może w imieniu jednostki przekazywać jednostka wyznaczona, np. przy wspólnej obsłudze przez gminę.

KSC a BIP: co nowelizacja z 2026 r. zmienia dla jednostek

Q: Do kiedy jednostka musi wdrożyć obowiązki z ustawy o KSC?

Podmioty, które w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.) spełniały przesłanki podmiotu kluczowego lub ważnego, realizują obowiązki z rozdziału 3 ustawy o krajowym systemie cyberbezpieczeństwa, w tym system zarządzania bezpieczeństwem informacji, w terminie 12 miesięcy, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy z dnia 23 stycznia 2026 r.). Kary pieniężne mogą być po raz pierwszy nałożone po upływie 2 lat od wejścia w życie nowelizacji (art. 35), czyli od 3 kwietnia 2028 r.

Od 3 kwietnia 2026 r. wiele jednostek prowadzących BIP podlega ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (dalej: ustawa o KSC) po nowelizacji ogłoszonej w Dz.U. 2026 poz. 252. Szkoły, OPS-y i biblioteki są zwykle podmiotami ważnymi, a urząd gminy od 50 etatów i starostwo kluczowymi. Obowiązki obejmują też BIP, a termin wdrożenia mija 3 kwietnia 2027 r.

Kto jest podmiotem ważnym, a kto kluczowym

Jednostka	Status	Podstawa
Urząd gminy zatrudniający na 1 stycznia co najmniej 50 osób na umowę o pracę, w przeliczeniu na pełne etaty	podmiot kluczowy	załącznik nr 1, sektor podmioty publiczne, pkt 4
Starostwo powiatowe	podmiot kluczowy	załącznik nr 1, pkt 3
Samorządowa jednostka budżetowa (np. szkoła, przedszkole, OPS), samorządowy zakład budżetowy	podmiot ważny, jeśli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych	art. 5 ust. 2 pkt 8 ustawy o KSC, załącznik nr 2
Samorządowa instytucja kultury (biblioteka, dom kultury)	jak wyżej	art. 5 ust. 2 pkt 8
Spółka komunalna wykonująca zadania o charakterze użyteczności publicznej	jak wyżej	art. 5 ust. 2 pkt 8
Podmiot leczniczy niebędący przedsiębiorcą	ważny przy 50-249 zatrudnionych, kluczowy od 250	art. 5 ust. 8

Podmiot publiczny wykonuje obowiązki z ustawy, jeżeli wykorzystuje system informacyjny w celu realizacji zadania publicznego (art. 16d). Prowadzenie BIP jest obowiązkiem z art. 8 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej, więc BIP warto od razu ująć w inwentaryzacji systemów.

Terminy

3 kwietnia 2026 r. wejście w życie ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (dalej: ustawa nowelizująca).
Wniosek o wpis do wykazu podmiotów kluczowych i ważnych według harmonogramu ogłoszonego komunikatem ministra właściwego do spraw informatyzacji (art. 33 ust. 3 i art. 34 ust. 3 ustawy nowelizującej). Sprawdź aktualny komunikat dla swojego rodzaju jednostki.
3 kwietnia 2027 r. obowiązki z rozdziału 3 ustawy o KSC, w tym system zarządzania bezpieczeństwem informacji (art. 33 ust. 1 ustawy nowelizującej).
3 kwietnia 2028 r. od tej daty mogą być nakładane kary pieniężne, także na kierownika (art. 35 ustawy nowelizującej). Podmioty kluczowe przeprowadzają też pierwszy audyt w ciągu 24 miesięcy (art. 33 ust. 2).

Co ustawa o KSC oznacza dla BIP

Podmiot ważny będący podmiotem publicznym wdraża uproszczony system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy (art. 8 ust. 3). Wiele jego punktów ma bezpośredni odpowiednik w rozporządzeniu MSWiA z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej.

Załącznik nr 4 do ustawy o KSC	Rozporządzenie w sprawie BIP	Co to znaczy dla BIP
pkt I.1: inwentaryzacja produktów, usług i procesów ICT	-	BIP, dostawca i domena na liście systemów
pkt I.4-7: dostęp tylko dla uprawnionych, minimalne uprawnienia, cofanie uprawnień	§ 15 ust. 2	imienne konta redaktorów, odbieranie dostępu po odejściu
pkt I.10-11: kopie odseparowane logicznie i fizycznie, testy odtworzenia	§ 18	kopia najpóźniej dobę po zmianie, sprawdzony test odtworzenia
pkt I.12 i 18: procedura na wypadek awarii lub incydentu	§ 20 ust. 2, § 21 ust. 2	plan przywrócenia BIP w 24 godziny
pkt I.16: stabilne wersje bez krytycznych podatności	§ 17, § 19	bez systemów porzuconych przez producenta
pkt I.3 lit. c: udokumentowane zabezpieczenia przy usłudze chmury lub centrum danych	-	opis zabezpieczeń od dostawcy BIP
pkt II.7 (fakultatywnie): zapisy o bezpieczeństwie w umowach serwisowych	-	klauzule w umowie z dostawcą
pkt III: przegląd co najmniej raz w roku i po rekomendacji Pełnomocnika	-	reakcja na zalecenia dotyczące systemów BIP

Ostatni punkt nie jest teoretyczny. W czerwcu 2024 r. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa zalecił niestosowanie systemów SmodBIP i MegaBIP, a 30 września 2025 r. CERT Polska opisał krytyczne podatności w PAD CMS, po czym Ministerstwo Cyfryzacji zaleciło wyłączenie stron na tym systemie. Zobacz SmodBIP i MegaBIP: rekomendacja i migracja oraz PAD CMS wyłączony.

Podmiot kluczowy, np. urząd gminy, stosuje pełny katalog z art. 8 ust. 1 ustawy o KSC. Obejmuje on m.in. bezpieczeństwo łańcucha dostaw produktów i usług ICT (lit. e), monitorowanie w trybie ciągłym (lit. g) i uwierzytelnianie wieloskładnikowe w stosownych przypadkach (lit. l). Przy łańcuchu dostaw uwzględnia się podatności związane z dostawcą i ogólną jakość jego produktów (art. 8 ust. 2).

Incydent w BIP: terminy

Podmiot kluczowy lub ważny (art. 11 ust. 1 ustawy o KSC):

zgłasza wczesne ostrzeżenie o incydencie poważnym niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia (pkt 4),
zgłasza incydent poważny nie później niż w ciągu 72 godzin od wykrycia (pkt 4a),
na wniosek CSIRT przekazuje sprawozdanie okresowe (pkt 4b),
przekazuje sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (pkt 4c).

Zgłoszenia trafiają do właściwego CSIRT sektorowego przez system teleinformatyczny (art. 11 ust. 2). Jeśli incydent ma niekorzystny wpływ na świadczenie usług, podmiot informuje też użytkowników (art. 11 ust. 2b). Dla BIP incydentem może być np. podmiana treści, przejęcie konta administratora czy długotrwała niedostępność. Bez dziennika zmian (§ 16 rozporządzenia) trudno ustalić, kiedy incydent się zaczął. Więcej w tekście Rejestr zmian w BIP.

Mała jednostka nie musi robić wszystkiego sama. Jednostka samorządu terytorialnego może zapewnić wspólną obsługę obowiązków z zakresu cyberbezpieczeństwa albo powierzyć je innej jednostce w porozumieniu (art. 16e ust. 5 i 6). Jednostka wyznaczona zgłasza wtedy incydenty w imieniu obsługiwanych podmiotów (art. 16h pkt 1), a szkoła czy biblioteka przekazuje jej informacje o incydentach (art. 16f pkt 1).

Odpowiedzialność kierownika

Kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, także gdy powierzył je innej osobie (art. 8c ust. 1 i 3). Podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji, planuje środki finansowe i przydziela zadania (art. 8d). Raz w roku kalendarzowym przechodzi udokumentowane szkolenie (art. 8e). Kara pieniężna może dotyczyć także kierownika (art. 73a), ale najwcześniej od 3 kwietnia 2028 r.

BIP jako kanał informacji o cyberbezpieczeństwie

Podmiot kluczowy lub ważny udostępnia użytkownikom wiedzę o cyberzagrożeniach, w szczególności na swojej stronie internetowej (art. 9 ust. 1 pkt 2). Wystarczy odnośnik do stron CSIRT lub organu właściwego (art. 9 ust. 4).
Zapewnia możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności (art. 9 ust. 1 pkt 3).
Podmiot ważny publiczny wyznacza co najmniej jedną osobę do kontaktów z innymi podmiotami kluczowymi lub ważnymi (art. 9 ust. 3).
Jednostka obsługiwana wspólnie publikuje adres strony jednostki wyznaczonej z informacjami o cyberbezpieczeństwie (art. 16f pkt 3).

Uwaga na wnioski o informację publiczną. Do udostępniania informacji o podatnościach, incydentach, cyberzagrożeniach i ryzyku incydentów nie stosuje się ustawy o dostępie do informacji publicznej (art. 37 ust. 1 pkt 1 ustawy o KSC). Szczegółów zabezpieczeń BIP nie publikuj więc w BIP.

Czego wymagać od dostawcy BIP

opisu zabezpieczeń i miejsca przetwarzania danych (do dokumentacji z pkt I.3 lit. c załącznika nr 4),
zobowiązania do informowania o incydentach w terminie pozwalającym zmieścić się w 24 godzinach na wczesne ostrzeżenie,
logowania dwuskładnikowego redaktorów i dziennika działań administracyjnych,
kopii w odrębnej lokalizacji i okresowego testu odtworzenia,
aktualizacji bezpieczeństwa i polityki obsługi zgłoszeń podatności,
planu wyjścia: pełnego eksportu danych przy zakończeniu umowy,
umowy powierzenia (art. 28 RODO).

Ta sama lista przyda się przy zakupie, zob. Jak kupić BIP.

Lista kontrolna KSC dla BIP

Ustalony status jednostki: podmiot ważny czy kluczowy
Sprawdzony termin wniosku o wpis do wykazu
BIP ujęty w inwentaryzacji systemów
Imienne konta i minimalne uprawnienia redaktorów
Kopie odseparowane i przetestowane
Procedura incydentu: kto zgłasza, do kogo, w jakim czasie
Umowa z dostawcą BIP z zapisami o incydentach i bezpieczeństwie
Na stronie informacja o cyberzagrożeniach albo odnośnik do CSIRT
Kierownik przeszedł szkolenie w tym roku

Jak pomaga Polski BIP

Polski BIP jest przygotowany na wymagania łańcucha dostaw z ustawy o KSC: logowanie dwuskładnikowe redaktorów, logi działań administracyjnych, kopia codzienna w drugiej lokalizacji z testem odtworzenia, zgłaszanie incydentów do klienta w terminie zapisanym w umowie i plan ciągłości działania. Pełny eksport danych jest możliwy w każdej chwili. Opis zabezpieczeń dla informatyka i inspektora ochrony danych znajdziesz na stronie Bezpieczeństwo, a ofertę dla gmin na stronie BIP dla gmin.