Kontrola z KSC - kto może ją przeprowadzić i jak się do niej przygotować

NIS2 i KSC - Nadzór, kary i inne przepisy

Kontrola z KSC - kto może ją przeprowadzić i jak się do niej przygotować

W skrócie

Pytanie o kontrolę KSC pojawia się po wpisie do Wykazu podmiotów kluczowych i podmiotów ważnych, gdy firmę zaczyna nadzorować nowy organ. Wyjaśniamy, kto może kontrolować, z jakimi uprawnieniami, jakie terminy obowiązują firmę i jak się przygotować.

Jak to wygląda w praktyce

Duża spółka ciepłownicza, która w swojej serwerowni świadczy też usługę centrum przetwarzania danych dla firm z regionu, jest w Wykazie KSC jako podmiot kluczowy w dwóch sektorach. Na posiedzeniu zarządu pada kilka pytań naraz: który urząd może przyjść na kontrolę, czy musi ją zapowiedzieć, czy kontrolerzy wejdą do serwerowni, kto podpisuje protokół i co zrobić, jeśli ustalenia będą błędne. Dyrektor finansowy dopytuje, czy firma zdąży zebrać dokumenty, jeśli organ zażąda ich na piśmie.

Co mówią przepisy

Kto kontroluje. Nadzór sprawują organy właściwe do spraw cyberbezpieczeństwa (art. 53 ust. 1 ustawy o KSC) wyznaczone dla sektorów (art. 41), a dla podmiotów publicznych co do zasady minister właściwy do spraw informatyzacji (art. 41a). W przykładzie organem dla ciepłownictwa jest minister właściwy do spraw energii, a dla usługi centrum przetwarzania danych minister właściwy do spraw informatyzacji. Gdy firma działa w kilku sektorach, organy mogą sprawować nadzór i prowadzić kontrolę wspólnie, wyznaczyć organ wiodący i informują się o zamiarze kontroli (art. 53f). Według Ministerstwa Cyfryzacji (MC) mogą też przyjąć wspólną metodykę nadzoru, która powinna zapobiegać sprzecznym zaleceniom pokontrolnym (odpowiedź 11.2).

Kiedy. Nad podmiotami kluczowymi organ sprawuje nadzór prewencyjny i następczy, nad ważnymi następczy, w szczególności przy uzasadnionym podejrzeniu naruszenia (art. 53 ust. 3). Wobec obu kategorii może prowadzić kontrole, także doraźne, w siedzibie, w miejscu działalności albo zdalnie, i żądać informacji, dostępu do danych oraz dowodów realizacji wymogów SZBI (art. 53 ust. 2 i 17). Podmiotowi kluczowemu organ może też zlecić zespołowi reagowania na incydenty (CSIRT) ocenę bezpieczeństwa, czyli testy w celu identyfikacji podatności (art. 36a ust. 2, art. 53 ust. 2 pkt 3). Czy to samo dotyczy podmiotu ważnego, jest sporne. Kontrolę doraźną organ zarządza m.in. przy pilności wynikającej z ochrony bezpieczeństwa państwa albo dla sprawdzenia wykonania zaleceń pokontrolnych i może ją prowadzić bez wcześniejszego powiadomienia, gdy nie było na nie możliwości (art. 59c ust. 1-4).

Jak. Do kontroli przedsiębiorców stosuje się rozdział 5 Prawa przedsiębiorców, a do podmiotów niebędących przedsiębiorcami i jednostek samorządu ustawę o kontroli w administracji rządowej (art. 54). Kontrolujący przedsiębiorcę wchodzi na teren firmy bez przepustki, wgląda do dokumentów i może je zabezpieczać, żąda kopii i wyjaśnień oraz ogląda urządzenia, nośniki i systemy (art. 55). Firma zapewnia warunki: niezwłocznie przedstawia dokumenty, terminowo udziela wyjaśnień, potwierdza kopie za zgodność z oryginałem, a dokumenty w języku obcym na żądanie tłumaczy na własny koszt (art. 56). Żądanie danych, informacji i dokumentów organ sporządza w postaci elektronicznej i wskazuje w nim termin nie krótszy niż 7 dni (art. 53c ust. 2 pkt 5 i ust. 3).

Po kontroli. U przedsiębiorcy protokół podpisują kontrolujący i osoba reprezentująca firmę, a firma może odmówić podpisu i w 7 dni od przedstawienia protokołu złożyć umotywowane pisemne zastrzeżenia (art. 58 ust. 3-4). Po kontroli doraźnej kierownik ma 3 dni robocze na stanowisko wobec protokołu (art. 59c ust. 6). Od zaleceń pokontrolnych nie przysługują środki odwoławcze (art. 59 ust. 2). Utrudnianie kontroli i niewykonanie zaleceń w terminie to podstawy kar (art. 73 ust. 1 pkt 14 i 17), które można nałożyć po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Ten termin nie dotyczy środków nadzoru, np. nakazów z art. 53 ust. 5.

Co zrobić krok po kroku

1. Lista organów i kanałów. Osoba odpowiedzialna za zgodność ustala organ właściwy dla każdego sektora, w którym firma jest w Wykazie KSC (art. 41 i 41a, odpowiedzi MC 11.1 i 11.3), i spisuje kanały doręczeń. Ustala też, kto regularnie sprawdza konto w S46, bo żądanie może przyjść tą drogą (art. 53c ust. 3), a nieodebrane tam pismo uznaje się za doręczone po 14 dniach od wysłania (art. 46b ust. 4).
2. Koordynator kontroli. Zarząd uchwałą wyznacza koordynatora i zastępcę, upoważnia ich do przyjmowania kontrolujących, przekazywania dokumentów i potwierdzania kopii oraz wskazuje osobę, która reprezentuje firmę przy podpisaniu protokołu (art. 56, art. 58 ust. 2 pkt 2).
3. Teczka dowodów. Właściciele obszarów zbierają dowody do art. 8 ust. 1 i art. 9-15. Są to m.in. raport z szacowania ryzyka, polityki z wersjami, rejestr incydentów i zgłoszeń, protokoły testów i dokumenty szkolenia kierownika (art. 8e ust. 3). Do tego rejestr dopuszczeń z datą przyjęcia informacji z Krajowego Rejestru Karnego (art. 8f), umowy z art. 14, a w podmiocie kluczowym raport z audytu bezpieczeństwa z KSC. MC podkreśla, że liczy się udowodnienie stosowania przepisów, a nie formalnie poprawne dokumenty, i wymienia jako dowody także upoważnienia, zakresy obowiązków i relacje personelu (odpowiedź 11.6). Kompletny spis ułatwia mapa dokumentów do wdrożenia KSC.
4. Procedura żądań. Koordynator prowadzi rejestr żądań organu z datą doręczenia, terminem i osobą odpowiedzialną. Dokumenty przechowywane u dostawców powinny być dostępne szybciej niż w 7 dni, co warto zapisać w umowach, bo za niespełnienie żądania grozi kara (art. 73 ust. 1 pkt 15).
5. Tłumaczenia i dostęp fizyczny. Dokumenty grupy kapitałowej w języku obcym warto mieć w wersji polskiej. Ochrona i dział IT wiedzą, że kontrolujący wchodzi bez przepustki i trzeba mu udostępnić urządzenia techniczne.
6. Protokół i zastrzeżenia. Przed podpisaniem koordynator z prawnikiem porównują ustalenia z dowodami. Przy błędach firma odmawia podpisu i w 7 dni składa umotywowane zastrzeżenia, a po kontroli doraźnej kierownik w 3 dni robocze przedstawia stanowisko.
7. Wykonanie zaleceń. Zarząd zatwierdza plan wykonania zaleceń z właścicielami i terminami, a koordynator w wyznaczonym terminie informuje organ o sposobie wykonania (art. 59 ust. 3).

Jak sprawdzić, że sprawa jest załatwiona

Przygotowanie można sprawdzić próbą: koordynator dostaje fikcyjne żądanie z terminem 7 dni na dowody dla trzech losowo wybranych elementów SZBI. Jeśli komplet jest gotowy w terminie, a pracownicy potrafią opisać, jak stosują procedury, firma jest przygotowana. Na kontrolę zachowaj uchwałę o koordynatorze, listę organów z kanałami doręczeń, rejestr żądań i odpowiedzi oraz spis teczki dowodów z lokalizacją dokumentów, a po kontroli protokół, zastrzeżenia, stanowisko organu i informację o wykonaniu zaleceń. Jeśli teczka opiera się na kupionych szablonach, sprawdź najpierw, czy opisują rzeczywistość firmy (zobacz, czy gotowa dokumentacja zgodna z NIS2 wystarczy).

Podstawa prawna i źródła

• art. 41, art. 41a, art. 53 ust. 1-3 i 17, art. 53c, art. 53f oraz art. 54-59c ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 36a i art. 36b, art. 46b oraz art. 73 ust. 1 pkt 14, 15 i 17 ustawy o KSC
• art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 10.4-10.6 i 11.1-11.6 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC