Gmina i jej jednostki w KSC - kto jest podmiotem kluczowym, a kto ważnym

NIS2 i KSC - Szkoły i samorządy

Gmina i jej jednostki w KSC - kto jest podmiotem kluczowym, a kto ważnym

W skrócie

Wójt, burmistrz albo sekretarz gminy odkrywa, że do Wykazu KSC trafiła nie gmina, tylko wiele jej jednostek. Wyjaśniamy, która jednostka jest podmiotem kluczowym, a która ważnym, jak policzyć etaty urzędu, co zmienia kategoria i kto odpowiada, gdy obowiązki przejmie jednostka wyznaczona.

Jak to wygląda w praktyce

W gminie wiejskiej urząd ma na 1 stycznia 2026 r. 46 pełnych etatów na umowę o pracę, a jego referat eksploatuje wodociąg. Gmina prowadzi też ośrodek pomocy społecznej, trzy szkoły, przedszkole, bibliotekę i spółkę komunalną odbierającą odpady, a zawiadomienia o wpisie z urzędu przyszły osobno do urzędu, ośrodka i szkół.

Wójt pyta sekretarza: czy urząd jest kluczowy przy 46 etatach, czy ośrodek i szkoły to osobne podmioty, kto za nie odpowiada i czy jedna jednostka może obsłużyć całą gminę.

Co mówią przepisy

Według Ministerstwa Cyfryzacji (MC) samorządowymi podmiotami publicznymi są samorządowe jednostki budżetowe, w tym urzędy gmin, samorządowe zakłady budżetowe, samorządowe instytucje kultury i spółki wykonujące zadania o charakterze użyteczności publicznej (odpowiedź 3.37). Każdą z nich ocenia się osobno. Kierownikiem podmiotu jest kierownik jednostki, czyli w urzędzie gminy wójt (burmistrz, prezydent miasta), a w spółce komunalnej zarząd (art. 2 pkt 8a ustawy o krajowym systemie cyberbezpieczeństwa, MC 4.5).

Urząd gminy jest podmiotem kluczowym, jeżeli na 1 stycznia danego roku zatrudnia na podstawie umowy o pracę co najmniej 50 osób w przeliczeniu na pełny wymiar czasu pracy (załącznik nr 1, sektor podmioty publiczne). Pozostałe urzędy gmin są co do zasady podmiotami ważnymi, a według MC minister wpisuje wszystkie z urzędu (odpowiedź 2.6). Do progu liczy się wszystkich pracowników na umowę o pracę, także na stanowiskach pomocniczych i obsługi, bez umów cywilnoprawnych, oraz osoby na urlopie macierzyńskim lub rodzicielskim i zatrudnione na zastępstwo (MC 1.29 i 1.30). MC wyjaśnia też, że urząd, w którego strukturze działa komórka dostarczająca wodę, jest podmiotem kluczowym, bo zbiorowe zaopatrzenie w wodę to zadanie własne gminy (odpowiedź 3.24).

Inne jednostki gminy są podmiotami ważnymi, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8). MC potwierdza to dla ośrodka pomocy społecznej, szkół i bibliotek (odpowiedzi 3.36, 1.31 i 2.40). Spółka albo zakład dostarczający wodę, odprowadzający ścieki albo odbierający odpady wymaga dodatkowo analizy w sektorach z załącznika nr 1 (MC 3.14) albo nr 2 (gospodarowanie odpadami). Związki jednostek samorządu ocenia się tylko w innych sektorach, na przykład jako dostawcę wody (MC 3.25).

Urząd kluczowy wdraża pełny SZBI, czyli system zarządzania bezpieczeństwem informacji z art. 8 ust. 1, z szacowaniem ryzyka, i wyznacza co najmniej dwie osoby do kontaktu (art. 9 ust. 1 pkt 1). Zgłasza wczesne ostrzeżenie w 24 godziny od wykrycia incydentu poważnego, sam incydent w 72 godziny i sprawozdanie końcowe w miesiąc od zgłoszenia (art. 11 ust. 1). Co najmniej raz na 3 lata przeprowadza audyt, pierwszy do 3 kwietnia 2028 r. (art. 15 ust. 1, art. 33 ust. 2 ustawy nowelizującej z 23 stycznia 2026 r.). Podmioty ważne publiczne stosują załącznik nr 4 (art. 8 ust. 3), wyznaczają co najmniej jedną osobę kontaktową (art. 9 ust. 3) i zgłaszają incydent poważny w 72 godziny od wykrycia, bez wczesnego ostrzeżenia i sprawozdań (art. 12c). Wszystkie jednostki realizują obowiązki z rozdziału 3 do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). Kara dla kierownika podmiotu publicznego, możliwa po 3 kwietnia 2028 r., może wynieść do 100% wynagrodzenia, a do 300%, gdy podmiot podlega ustawie także z innego sektora, na przykład jako dostawca wody (art. 73a ust. 4-5, art. 35 ustawy nowelizującej).

Gmina może wyznaczyć jednostkę do wspólnej obsługi obowiązków swoich jednostek albo powierzyć je porozumieniem innej jednostce samorządu (art. 16e ust. 5-6). Jednostki obsługiwane zachowują swój status i współpracują z jednostką wyznaczoną, która odpowiada za przejęte zadania (art. 16f, MC 1.24 i 4.6). Według MC odpowiedzialność przechodzi na kierownika jednostki wyznaczonej, gdy przy wyznaczeniu przeniesiono na nią zadania kierownika podmiotu (odpowiedź 3.30). Ustawa tego nie przesądza, a art. 8c ust. 3 utrzymuje odpowiedzialność kierownika także za obowiązki powierzone innej osobie. Dotychczasowe porozumienia działają do wyznaczenia jednostki przez radę gminy, najdłużej do 3 kwietnia 2028 r. (art. 43 ustawy nowelizującej).

Co zrobić krok po kroku

1. Policz etaty urzędu. Sekretarz gminy z kadrami sporządza zestawienie etatów na 1 stycznia według zasad opisanych wyżej. Deklaracja liczby zatrudnionych urzędu w wykazie odnosi się do dnia sporządzenia sprawozdania finansowego (art. 7 ust. 2 pkt 13), więc zestawienie pokazuje oba stany.
2. Sprawdź, czy urząd dostarcza wodę. Urząd z komórką dostarczającą wodę pitną, jak w naszym przykładzie, jest według MC kluczowy, a odpowiedź MC nie wiąże tego z progiem 50 etatów. We wpisie wykazuje odrębnie także tę działalność (art. 7d ust. 2).
3. Sporządź listę jednostek. Sekretarz zestawia wszystkie jednostki gminy z kategorią, podstawą prawną i kierownikiem podmiotu, a wójt zatwierdza listę.
4. Porównaj listę z wykazem. Kierownik każdej jednostki sprawdza w aplikacji Wykaz KSC typ podmiotu w sekcji „H. Przypisanie” i uzupełnia dane w 6 miesięcy od doręczenia wezwania (art. 7b ust. 2). Jednostka, która nie dostała pisma, zgłasza to na adres S46-admin@nask.pl (MC 2.11). Złą kategorię poprawia się według tekstu błędny wpis w Wykazie KSC.
5. Zdecyduj o wspólnej obsłudze. Rada gminy wyznacza jednostkę do wspólnej obsługi obowiązków jednostek gminy albo gmina zawiera porozumienie z inną jednostką samorządu. Dokument wymienia obsługiwane jednostki, zakres zadań i to, czy przenosi zadania kierownika podmiotu z art. 8c-8d.
6. Zaplanuj prace według kategorii. Gdy urząd jest kluczowy, wójt jako jego kierownik zatwierdza plan pełnego SZBI do 3 kwietnia 2027 r. i budżet pierwszego audytu do 3 kwietnia 2028 r., a kierownicy jednostek ważnych plan wdrożenia załącznika nr 4 uzgodniony z jednostką wyznaczoną. Kroki dyrektora szkoły opisujemy w tekście szkoła w Wykazie KSC.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy gmina ma zatwierdzoną listę jednostek z kategorią i podstawą prawną, typ podmiotu każdej jednostki w Wykazie KSC zgadza się z tą listą, a dokument o wspólnej obsłudze wskazuje, kto realizuje które obowiązki i kto za nie odpowiada. Na kontrolę zachowaj:

• zestawienie etatów urzędu na 1 stycznia,
• listę jednostek z kategorią, podstawą i kierownikiem podmiotu,
• zaświadczenia o wpisie każdej jednostki,
• uchwałę o wyznaczeniu jednostki albo porozumienie z zakresem zadań.

Etaty sprawdzaj co roku na 1 stycznia.

Podstawa prawna i źródła

• art. 2 pkt 8a, art. 5 ust. 1 pkt 4 i ust. 2 pkt 8, art. 8c ust. 3, art. 7 ust. 2 pkt 13, art. 8 ust. 3, art. 9, art. 11, art. 12c, art. 15, art. 16e-16h, art. 73a ust. 4-5 oraz załączniki nr 1, 2 i 4 do ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 33 ust. 1-2 i art. 43 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.24, 1.29, 1.30, 1.31, 2.6, 2.11, 2.40, 3.14, 3.24, 3.25, 3.30, 3.36, 3.37, 4.5 i 4.6 (źródło)
• NASK-PIB, „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0)”, wrzesień 2026, tabela kar (kierownik podmiotu publicznego, np. wójt, prezydent miasta) (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC