Czy KSC wymaga uwierzytelniania wieloskładnikowego (MFA) i szyfrowania

NIS2 i KSC - Wdrożenie: dokumentacja, audyt i zabezpieczenia

Czy KSC wymaga uwierzytelniania wieloskładnikowego (MFA) i szyfrowania

W skrócie

Pytanie pada przy planowaniu budżetu na bezpieczeństwo: czy NIS2 i MFA to obowiązek, czy wybór działu IT. Wyjaśniamy, co mówi ustawa o KSC, co oznaczają słowa „w stosownych przypadkach”, czego rozporządzenie UE wymaga od dostawców chmury, usług zarządzanych i niektórych innych usług cyfrowych i jak zarząd ma udokumentować swoją decyzję.

Jak to wygląda w praktyce

Kierownik IT u producenta żywności będącego podmiotem ważnym przedstawia zarządowi wniosek budżetowy: licencje MFA dla wszystkich 400 kont, szyfrowanie dysków laptopów i kopii zapasowych oraz narzędzie do zarządzania kluczami. Uzasadnienie zawiera jedno zdanie: „wymaga tego NIS2”. Dyrektor finansowy pyta, czy przepis rzeczywiście nakazuje MFA dla pracownika produkcji, który loguje się tylko do terminala w hali, i czy obowiązkiem jest szyfrowanie wszystkiego. Zarząd potrzebuje odpowiedzi, która pozwoli zatwierdzić budżet bez przepłacania i bez luk.

Co mówią przepisy

Ustawa o KSC wymienia oba środki w katalogu systemu zarządzania bezpieczeństwem informacji (SZBI). Podmiot kluczowy lub ważny zapewnia m.in. „polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania” (art. 8 ust. 1 pkt 2 lit. k). Zapewnia też „stosowanie bezpiecznych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa oraz wewnątrz podmiotu, uwzględniających uwierzytelnianie wieloskładnikowe w stosownych przypadkach” (lit. l). Obok są polityki kontroli dostępu (lit. n) i mechanizmy zapewniające poufność, integralność, dostępność i autentyczność danych (pkt 5 lit. a). Wszystkie środki mają być odpowiednie i proporcjonalne do oszacowanego ryzyka oraz uwzględniać m.in. najnowszy stan wiedzy, koszty wdrożenia i wielkość podmiotu (art. 8 ust. 1 pkt 2). Dyrektywa NIS2 brzmi podobnie: kryptografia i, w stosownych przypadkach, szyfrowanie (art. 21 ust. 2 lit. h) oraz, w stosownych przypadkach, uwierzytelnianie wieloskładnikowe lub ciągłe (lit. j). Firmę wiąże jednak tekst ustawy.

Wynika z tego podział. Polityki i procedury kryptografii są elementem SZBI bez zastrzeżeń, a szyfrowanie i MFA ustawa łączy ze zwrotem „w stosownych przypadkach”, którego nie definiuje. Ministerstwo Cyfryzacji (MC) podaje przykłady: uwierzytelnianie wieloskładnikowe „powinno być stosowane przy zdalnym logowaniu, dostępie do wrażliwych informacji czy do kont administratorów oraz wszędzie tam gdzie podmiot uzna to za konieczne w świetle szacowania ryzyka” (odpowiedź 3.3). Polityka kryptografii określa według MC zatwierdzone protokoły i algorytmy, zarządzanie kluczami i dopasowanie ochrony do klasyfikacji aktywów. Ustawa jest neutralna technologicznie i nie wskazuje konkretnych rozwiązań (odpowiedź 3.42). Organ może zażądać dowodów realizacji wymogów z art. 8 ust. 1 (art. 53 ust. 2 pkt 6), więc rezygnację z MFA w miejscach wymienionych przez MC trzeba umieć uzasadnić oceną ryzyka.

Dokładniejsze wymagania mają dostawcy usług DNS, chmurowych, centrów przetwarzania danych, usług zarządzanych i kilku innych usług cyfrowych (art. 8b ust. 1). Stosują rozporządzenie wykonawcze Komisji (UE) 2024/2690. Przewiduje ono silne uwierzytelnianie, takie jak MFA, dla kont uprzywilejowanych i administracyjnych oraz uwierzytelnianie wieloma czynnikami „w stosownych przypadkach, zgodnie z klasyfikacją składnika aktywów” (pkt 11.3.2 lit. a i 11.7.1 załącznika). Wymaga też polityki kryptografii obejmującej dane przechowywane i przesyłane oraz zarządzanie kluczami (pkt 9.1-9.2). Według MC od środków opisanych tam słowami „w stosownych przypadkach” można odstąpić, ale wymaga to udokumentowania (odpowiedź 14.1). Podmiot ważny będący podmiotem publicznym stosuje zamiast art. 8 ust. 1 załącznik nr 4 do ustawy (art. 8 ust. 3). Załącznik nie wymienia MFA ani szyfrowania z nazwy, ale wymaga środków uniemożliwiających nieautoryzowany dostęp i zasad bezpiecznej pracy na odległość (pkt I ppkt 4 i 8).

Co zrobić krok po kroku

1. Inwentaryzacja dostępu. Kierownik IT spisuje punkty wejścia: dostęp zdalny, pocztę i aplikacje w chmurze, konta administratorów i serwisowe, dostęp dostawców oraz systemy z danymi wrażliwymi. Dokument: rejestr punktów dostępu powiązany z wykazem aktywów (art. 8 ust. 1 pkt 2 lit. m i n).
2. Klasyfikacja i ryzyko. Osoba odpowiedzialna za SZBI ocenia dla każdego punktu skutki przejęcia konta lub ujawnienia danych i wpisuje wynik do szacowania ryzyka (art. 8 ust. 1 pkt 1). Z tej oceny wynika, które przypadki są „stosowne”.
3. Priorytety MFA. Zarząd zatwierdza kolejność: najpierw dostęp zdalny, w tym do poczty i aplikacji w chmurze, oraz konta administratorów i uprzywilejowane, potem dostęp dostawców i systemy z danymi wrażliwymi, na końcu pozostałe konta według oceny ryzyka. Dokument: plan wdrożenia z terminami. W podmiotach objętych ustawą od 3 kwietnia 2026 r. środki z art. 8 trzeba wdrożyć do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej).
4. Polityka kryptografii. Osoba odpowiedzialna za SZBI z kierownikiem IT opracowuje politykę: zatwierdzone protokoły i algorytmy, szyfrowanie urządzeń przenośnych, kopii zapasowych i transmisji, zarządzanie kluczami i odpowiedzialność (art. 8 ust. 1 pkt 2 lit. k, odpowiedź MC 3.3). Miejsce polityki wśród innych dokumentów pokazuje mapa dokumentów do wdrożenia KSC.
5. Rejestr wyjątków. Każde miejsce, w którym firma nie stosuje MFA albo szyfrowania, np. terminal produkcyjny bez dostępu z zewnątrz, dostaje wpis: powód, środki zastępcze, właściciel ryzyka, data przeglądu i akceptacja kierownika (art. 8d pkt 1).
6. Budżet i umowy. Dyrektor finansowy ujmuje koszty w planie środków na cyberbezpieczeństwo (art. 8d pkt 2), a dział zakupów dopisuje do umów wymóg MFA przy zdalnym dostępie dostawców do systemów firmy (art. 8 ust. 1 pkt 2 lit. e). Pytania do dostawców podpowiada tekst KSC a dostawcy IT, hostingu i chmury.
7. Kontrola skuteczności. Co kwartał dział IT raportuje pokrycie MFA i szyfrowania oraz liczbę wyjątków, a wynik trafia do oceny skuteczności środków (art. 8 ust. 1 pkt 2 lit. h).

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy dla każdego punktu dostępu z inwentaryzacji widać jedno z dwojga: MFA działa albo istnieje zatwierdzony wyjątek z uzasadnieniem. Na kontrolę zachowaj rejestr punktów dostępu, wycinek szacowania ryzyka z oceną tych punktów, zatwierdzoną politykę kryptografii z datą i wersją oraz rejestr wyjątków z akceptacją kierownika. Dołącz raport z systemu tożsamości pokazujący MFA na kontach administratorów i przy dostępie zdalnym oraz raport szyfrowania urządzeń przenośnych. Dowody powinny pokazywać stan faktyczny, bo MC podkreśla, że liczy się udowodnienie stosowania przepisów, a nie formalnie poprawne dokumenty (odpowiedź 11.6).

Podstawa prawna i źródła

• art. 8 ust. 1 pkt 2 lit. k, l i n oraz pkt 5 lit. a ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 8 ust. 3, art. 8b ust. 1, art. 8d i art. 53 ust. 2 pkt 6 oraz załącznik nr 4 pkt I ustawy o KSC
• art. 21 ust. 2 lit. h i j dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2)
• załącznik do rozporządzenia wykonawczego Komisji (UE) 2024/2690, pkt 9.1-9.3, 11.3.2, 11.6 i 11.7
• art. 33 ust. 1 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 3.3, 3.42, 11.6 i 14.1 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC