Dostawca wysokiego ryzyka w KSC - co to oznacza dla firmy, która używa jego sprzętu

NIS2 i KSC - Nadzór, kary i inne przepisy

Dostawca wysokiego ryzyka w KSC - co to oznacza dla firmy, która używa jego sprzętu

W skrócie

Dostawca wysokiego ryzyka w KSC to pojęcie, które budzi w zarządach konkretne pytania: czy wymieniać przełączniki, kamery albo oprogramowanie, do kiedy i kto za to zapłaci. Wyjaśniamy, jak wygląda uznanie za dostawcę wysokiego ryzyka, kogo i kiedy wiąże decyzja, jaki jest stan obecny i co przygotować już teraz.

Jak to wygląda w praktyce

Przykład: producent maszyn, który jest podmiotem ważnym, ma w zakładzie kamery monitoringu, rejestratory i przełączniki sieciowe jednego producenta. Dział IT szacuje koszt wymiany wszystkiego naraz, a kierownik zakupów pyta, czy wstrzymać zamówienie kolejnych kamer.

Zarząd pyta: czy decyzja już zapadła, czy dotyczy naszego sprzętu i ile mamy czasu?

Co mówią przepisy

Minister właściwy do spraw informatyzacji może z urzędu albo na wniosek przewodniczącego Kolegium do Spraw Cyberbezpieczeństwa wszcząć postępowanie w sprawie uznania za dostawcę wysokiego ryzyka dostawcy sprzętu lub oprogramowania używanego m.in. przez podmioty kluczowe i ważne (art. 67b ust. 1 ustawy o KSC). Dostawcą może być producent, ale też upoważniony przedstawiciel, importer albo dystrybutor (art. 2 pkt 4c). Zawiadomienie o wszczęciu minister publikuje w Biuletynie Informacji Publicznej, czyli BIP (art. 67b ust. 6), a Kolegium wydaje opinię w 3 miesiące (ust. 10). Decyzja zapada, gdy dostawca „stanowi zagrożenie dla podstawowego interesu bezpieczeństwa państwa”, obejmuje też spółki z jego grupy kapitałowej i wskazuje typy produktów, rodzaje usług lub konkretne procesy ICT, czyli z obszaru technologii informacyjno-komunikacyjnych (ust. 15-16). Ogłasza się ją w Monitorze Polskim i w BIP, a wykonuje natychmiast (ust. 17-18). Listę objętych produktów minister publikuje w BIP (art. 67f).

Po decyzji podmioty z art. 67b ust. 1 nie wprowadzają do użytkowania objętych nią produktów, usług i procesów i wycofują je najpóźniej w 7 lat od ogłoszenia decyzji w Monitorze Polskim (art. 67c ust. 1). Są to podmioty kluczowe i ważne spoza podsektora komunikacji elektronicznej oraz przedsiębiorcy komunikacji elektronicznej z rocznymi przychodami z działalności telekomunikacyjnej powyżej 10 mln zł, którzy na funkcje krytyczne z załącznika nr 3 mają 4 lata (art. 67c ust. 2). Decyzja wiąże też podmioty finansowe z rozporządzenia (UE) 2022/2554 poza wymienionymi w jego art. 16, nawet jeśli nie są podmiotami kluczowymi ani ważnymi (art. 67k). Do wycofania wolno posiadany sprzęt naprawiać, modernizować, wymieniać w nim elementy i aktualizować, jeżeli jest to niezbędne dla jakości i ciągłości usług (ust. 3). Podmioty stosujące Prawo zamówień publicznych nie mogą kupować objętych produktów (ust. 4). Pozostałych firm decyzja nie wiąże, ale ich klienci będący podmiotami kluczowymi lub ważnymi uwzględniają wyniki postępowania w ocenie łańcucha dostaw (art. 8 ust. 2 pkt 4).

Ministerstwo Cyfryzacji (MC) wyjaśnia, że samo wejście ustawy w życie nie oznacza publikacji listy (odpowiedź 10.8). MC informowało 6 sierpnia 2026 r., że nie wszczęto żadnego postępowania, a w Monitorze Polskim do 9 października 2026 r. takiej decyzji nie ogłoszono. Część przepisów z art. 67b, 67c, 67e i 67g, czyli o dostawcy wysokiego ryzyka i poleceniu zabezpieczającym, objął wniosek Prezydenta RP do Trybunału Konstytucyjnego (sprawa K 19/26, w toku).

Polecenie zabezpieczające to osobne narzędzie. Minister wydaje je w drodze decyzji przy incydencie krytycznym wobec nieokreślonej liczby podmiotów kluczowych, ważnych i finansowych (art. 67g ust. 1-2, MC 10.1 i 10.2). Może nakazać m.in. szacowanie ryzyka produktu, poprawkę, konfigurację albo zakazać korzystania z produktu, którego podatność przyczyniła się do incydentu (art. 67g ust. 10, MC 10.3). Polecenie jest natychmiast wykonalne, uznaje się je za doręczone z chwilą ogłoszenia komunikatu w dzienniku urzędowym ministra, a wydaje na czas koordynacji obsługi incydentu albo na czas oznaczony, nie dłuższy niż dwa lata (art. 67g ust. 12 i 14-16).

Co zrobić krok po kroku

1. Ustal, czy decyzja może Cię wiązać. Zarząd sprawdza, czy firma należy do grup z art. 67b ust. 1 i art. 67k opisanych wyżej. Jeśli nie, nie wycofuje sprzętu z mocy prawa, ale może dostać pytania od klientów (zobacz, jak odpowiedzieć na ankietę klienta wymagającego NIS2). Efekt: notatka zarządu z podstawą.
2. Zinwentaryzuj aktywa według producenta. Dział IT uzupełnia rejestr aktywów (zarządzanie aktywami to element systemu zarządzania bezpieczeństwem informacji, art. 8 ust. 1 pkt 2 lit. m) o producenta, model, wersję oprogramowania, funkcję w usłudze i lokalizację, także dla urządzeń u dostawców usług. Efekt: rejestr, z którego szybko wybierzesz typy produktów wskazane w decyzji.
3. Śledź źródła. Wyznaczona osoba sprawdza w stałym cyklu Monitor Polski, BIP, dziennik urzędowy ministra właściwego do spraw informatyzacji i system S46, który ma wspierać wymianę informacji o takich decyzjach i poleceniach zabezpieczających (art. 46 ust. 1 pkt 8). Efekt: notatka z każdego przeglądu.
4. Przygotuj plan na wypadek decyzji. Dla urządzeń krytycznych dla usługi opisz zamienniki, koszt, czas wymiany w ramach 7 lat i to, co wolno robić do wycofania (art. 67c ust. 3). Ustawa nie daje prawa do zwrotu kosztów wymiany, więc plan i rezerwa trafiają do budżetu, który planuje kierownik podmiotu (art. 8d pkt 2). Bez decyzji ustawa nie nakazuje wymiany, a o wcześniejszej decyduje ocena ryzyka (art. 8 ust. 1 pkt 1).
5. Oceniaj dostawcę przy zakupach. Rejestru bezpiecznych dostawców nie ma, więc MC zaleca przy każdym zakupie oceniać wiarygodność dostawcy, bezpieczeństwo sprzętu i oprogramowania oraz ryzyko łańcucha dostaw (odpowiedź 3.22). Do umów dopisz obowiązek informowania o komponentach objętych decyzją i wsparcia przy ich wymianie. Efekt: kryteria w polityce zakupów.
6. Przygotuj ścieżkę dla polecenia zabezpieczającego. Procedura wskazuje, kto odbiera komunikat ministra, kto od razu ocenia, czy polecenie dotyczy firmy, kto wdraża nakaz w terminie z polecenia (art. 67g ust. 9 pkt 3) i kto przekazuje organowi informacje o wykonaniu (art. 67h). Za niewykonanie tych obowiązków grozi kara (art. 73 ust. 1 pkt 20-22).

Jak sprawdzić, że sprawa jest załatwiona

Przygotowanie jest zakończone, gdy rejestr aktywów pozwala szybko wskazać wszystkie urządzenia i programy danego producenta z lokalizacją i funkcją, osoba odpowiedzialna przegląda źródła z kroku 3 w ustalonym cyklu, a zarząd zatwierdził plan na wypadek decyzji z szacunkiem kosztów. Na kontrolę zachowaj rejestr aktywów z datą aktualizacji, notatki z przeglądów źródeł, plan wymiany i zapisy z oceny ryzyka dostawców przy zakupach.

Po decyzji organ właściwy może zażądać informacji o wycofywanych produktach w terminie nie krótszym niż 7 dni (art. 67d ust. 3 pkt 4), a nieprzekazanie ich jest zagrożone karą (art. 73 ust. 1 pkt 19).

Podstawa prawna i źródła

• art. 2 pkt 4c, art. 8 ust. 1 pkt 1 i pkt 2 lit. m, art. 8 ust. 2 pkt 4, art. 8d pkt 2, art. 46 ust. 1 pkt 8, art. 67b-67h, art. 67k i art. 73 ust. 1 pkt 18-22 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 3.22, 10.1, 10.2, 10.3 i 10.8 (źródło)
• Ministerstwo Cyfryzacji, „Procedura dot. listy dostawców wysokiego ryzyka”, komunikat z 6.08.2026 (źródło)
• Trybunał Konstytucyjny, sprawa K 19/26 (wniosek Prezydenta RP, w toku) (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC