Incydent u dostawcy IT albo w chmurze - kto zgłasza i co robi zarząd

NIS2 i KSC - Incydenty i ich zgłaszanie

Incydent u dostawcy IT albo w chmurze - kto zgłasza i co robi zarząd

W skrócie

Dostawca chmury przysyła komunikat o włamaniu do swojej platformy, firma IT informuje o przejęciu jej konta administracyjnego, hosting zgłasza awarię po ataku. Incydent u dostawcy IT staje się wtedy pytaniem dla Twojego zarządu: czy to nasz incydent, kto go zgłasza i od kiedy liczymy 24 godziny. Odpowiadamy na podstawie ustawy o KSC, która wdraża dyrektywę NIS2, i wyjaśnień Ministerstwa Cyfryzacji oraz podajemy kroki na pierwsze godziny po takiej wiadomości.

Jak to wygląda w praktyce

Przykład: hurtownia spożywcza, która jest podmiotem ważnym, korzysta z systemu magazynowego w chmurze producenta oprogramowania. W piątek o 16:40 producent wysyła e-mail: wykrył nieuprawniony dostęp do części swojej infrastruktury, ogranicza dostęp do usługi i analizuje zakres zdarzenia. Od 17:00 magazyn nie drukuje listów przewozowych. Komunikat nie mówi, czy incydent objął dane hurtowni, kiedy się zaczął ani kiedy usługa wróci.

Prezes pyta: czy zgłasza to producent, czy my, czy zegar już biegnie i czego mamy od producenta żądać?

Co mówią przepisy

Obsługę incydentu, klasyfikację i zgłoszenia ustawa o KSC nakłada na każdy podmiot kluczowy lub ważny: wczesne ostrzeżenie niezwłocznie, najpóźniej w 24 godziny, a zgłoszenie najpóźniej w 72 godziny od wykrycia (art. 11 ust. 1). Incydent poważny ocenia się przez wpływ na usługę tego podmiotu, jego straty i szkodę u innych (art. 2 pkt 7). Z tego brzmienia wynika, że skutki incydentu u dostawcy dla swojej usługi oceniasz i ewentualnie zgłaszasz sam, a zgłoszenie dostawcy nie wykonuje Twojego obowiązku. To nasze odczytanie przepisów: zgłaszanie w imieniu innego podmiotu ustawa przewiduje wprost tylko dla jednostki wyznaczonej obsługującej podmioty publiczne (art. 16h pkt 1). Wyjaśnienie Ministerstwa Cyfryzacji (MC) 6.17 o jednym zgłoszeniu dotyczy jednego przedsiębiorcy działającego w kilku sektorach, a nie dostawcy i jego klientów. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa możesz umową powierzyć zadania z art. 11, w tym obsługę incydentu i przygotowanie Twoich zgłoszeń (art. 14, MC 3.19), ale nie odpowiedzialność: kierownik odpowiada także za obowiązki powierzone innej osobie (art. 8c ust. 3).

Dostawca chmury, centrum przetwarzania danych albo usług zarządzanych podlega polskiej ustawie, gdy jest podmiotem kluczowym lub ważnym, a Polska jest głównym miejscem prowadzenia jego działalności (art. 5a ust. 3-4). Taki dostawca zgłasza własny incydent poważny, opisuje w zgłoszeniu wpływ na usługi innych podmiotów (art. 12 ust. 3 pkt 1 lit. d) i informuje użytkowników swoich usług, gdy incydent ma niekorzystny wpływ na ich świadczenie (art. 11 ust. 2b). Terminu tej informacji ani jej treści ustawa nie określa, więc resztę musi zapewnić umowa.

Moment wykrycia to chwila, w której podmiot uzyskał informację o zdarzeniu kwalifikującym się jako incydent, także od dostawcy usługi, a umowy z dostawcami powinny przewidywać niezwłoczne informowanie o incydentach (MC 6.5). Łańcuch dostaw jest częścią systemu zarządzania bezpieczeństwem informacji (SZBI, art. 8 ust. 1 pkt 2 lit. e), a MC w odpowiedzi 3.9 każe znać swoich dostawców i dbać o wymagania bezpieczeństwa w umowach. Podmioty z art. 8b ust. 1 muszą mieć w umowach zobowiązanie dostawców do zgłaszania incydentów bez zbędnej zwłoki. Po poważnym incydencie u dostawcy przeglądają politykę łańcucha dostaw (rozporządzenie wykonawcze Komisji (UE) 2024/2690, załącznik, pkt 5.1.4 lit. d i pkt 5.1.6). Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa będący podmiotem kluczowym, który obsługuje incydenty, publikuje na stronie m.in. sposób ich zgłaszania (art. 8g, MC 3.13).

Co zrobić krok po kroku

1. Wyznacz jedną osobę do kontaktu z dostawcą. Zarząd wskazuje koordynatora, np. kierownika IT, który prowadzi rozmowy z dostawcą i dziennik incydentu. Pierwszy wpis to godzina otrzymania wiadomości, kanał i treść, bo według MC 6.5 od tej chwili może biec termin. W przykładzie to piątek, 16:40. Ostrożnie licząc, ewentualne wczesne ostrzeżenie trzeba więc wysłać najpóźniej w sobotę o 16:40.
2. Zażądaj faktów. Koordynator pyta, czy incydent objął Twoje środowisko i dane, od kiedy trwa, czy był atakiem, jakie oznaki naruszenia warto sprawdzić u siebie, kiedy będzie następna informacja i czy dostawca zgłosił incydent do CSIRT. Te dane są potrzebne do Twojego wczesnego ostrzeżenia (art. 12 ust. 1). Efekt: notatka z odpowiedziami i godzinami.
3. Sprawdź własne systemy. Gdy dostawca ma dostęp administracyjny do Twojej sieci, zleć przegląd jego kont i dzienników zdarzeń oraz zmianę haseł i kluczy dostępu. SZBI ma zapewniać niezwłoczne działania po dostrzeżeniu cyberzagrożeń (art. 8 ust. 1 pkt 5 lit. d).
4. Oceń skutki dla własnej usługi. Kierownik podmiotu albo osoba upoważniona przez zarząd ocenia przerwę, straty i ryzyko szkody u klientów według definicji i progów, które opisujemy w poście o tym, jak ocenić incydent poważny w KSC. Decyzję z uzasadnieniem zapisz w dzienniku.
5. Zgłoś za siebie, jeśli incydent jest poważny. Wczesne ostrzeżenie wyślij przez S46 w 24 godziny od wykrycia i wskaż w opisie, że źródłem jest incydent u dostawcy. W zgłoszeniu w 72 godziny podajesz to, co wiesz, i uzupełniasz w trakcie obsługi (art. 12 ust. 5). Szczegóły w poście o tym, co wpisać w zgłoszeniu do CSIRT, gdy brakuje danych.
6. Poinformuj swoich odbiorców. Gdy incydent poważny ma niekorzystny wpływ na Twoje usługi, informujesz ich użytkowników (art. 11 ust. 2b) niezależnie od komunikatów dostawcy. Treść uzgodnij z dostawcą, żeby się nie wykluczały. Jeżeli dostawca przetwarza Twoje dane osobowe jako podmiot przetwarzający, ma zgłosić Ci naruszenie bez zbędnej zwłoki (art. 33 ust. 2 RODO).
7. Po incydencie popraw umowę i ocenę dostawcy. Zarząd decyduje o aneksie z klauzulą informacyjną: dostawca przekazuje moment wykrycia, dotknięte usługi i dane, przyczynę, oznaki naruszenia, podjęte działania, godzinę kolejnej aktualizacji i całodobowy kontakt. Ponowną ocenę dostawcy zrób według pytań z artykułu o tym, o co zapytać firmę IT, hosting i dostawcę chmury.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy dziennik incydentu zawiera godzinę otrzymania informacji od dostawcy, jego odpowiedzi z datami, ocenę wpływu na Twoją usługę z decyzją i nazwiskiem, a przy incydencie poważnym numery Twojego wczesnego ostrzeżenia i zgłoszenia w S46. Zachowaj korespondencję z dostawcą i komunikaty dla odbiorców.

Drugi dowód to zmiana po incydencie: aneks albo pismo z zakresem informacji, które dostawca ma przekazywać, i wpis w rejestrze dostawców z datą ponownej oceny. Kierownik odpowiada za obowiązki także wtedy, gdy wykonuje je dostawca (art. 8c ust. 3), więc dowody muszą być w firmie, nie tylko u dostawcy.

Podstawa prawna i źródła

• art. 2 pkt 7, art. 5a ust. 3-4, art. 8 ust. 1 pkt 2 lit. e i pkt 5 lit. d, art. 8c ust. 3, art. 8g, art. 11 ust. 1 i 2b, art. 12 ust. 1, 3 i 5, art. 14 i art. 16h ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
• rozporządzenie wykonawcze Komisji (UE) 2024/2690, załącznik, pkt 5.1.4 lit. d i pkt 5.1.6 (wprost dla podmiotów z art. 8b ust. 1 ustawy o KSC)
• art. 21 ust. 2 lit. d dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2)
• art. 33 ust. 2 rozporządzenia (UE) 2016/679 (RODO)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 3.9, 3.13, 3.19, 6.5 i 6.17 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC