NIS2/KSC2: Czy outsourcing IT zwalnia zarząd z odpowiedzialności za cyberbezpieczeństwo?

W skrócieOutsourcing IT nie zwalnia zarządu z odpowiedzialności za cyberbezpieczeństwo: kierownik podmiotu odpowiada także za obowiązki powierzone innej osobie (art. 8c ust. 3 ustawy o KSC). Zadania można zlecić dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP, art. 14), ale decyzje, nadzór nad dostawcą i terminowe zgłoszenia incydentów zostają po stronie firmy.

Hurtownia spożywcza zatrudnia około 70 osób. Serwerem, siecią i komputerami od lat zajmuje się zewnętrzny informatyk, który dwa razy w tygodniu przyjeżdża na miejsce, a resztę spraw załatwia zdalnie. System magazynowy działa w chmurze producenta oprogramowania, poczta w usłudze chmurowej. Prezes przyjmuje, że skoro informatyką zajmuje się fachowiec z zewnątrz, to on odpowiada też za cyberbezpieczeństwo. W świetle ustawy o KSC to założenie jest błędne, a umowa „na obsługę informatyczną” w obecnym kształcie nie wystarczy.

Taka hurtownia jest podmiotem ważnym, więc obowiązki z rozdziału 3 ustawy, w tym system zarządzania bezpieczeństwem informacji (SZBI) i zgłaszanie incydentów, musi wdrożyć do 3 kwietnia 2027 r., jeśli spełniała przesłanki już 3 kwietnia 2026 r. (art. 33 ust. 1 ustawy nowelizującej z 23 stycznia 2026 r.). Jeśli nie wiesz jeszcze, czy Twoja firma jest podmiotem kluczowym albo ważnym, zacznij od naszego przewodnika po NIS2 i ustawie o KSC.

Na przykładzie hurtowni pokazujemy, co mówi ustawa i stanowisko Ministerstwa Cyfryzacji, kiedy umowa z dostawcą spełnia art. 14, jak ustawić czasy reakcji, żeby zdążyć ze zgłoszeniami w 24 i 72 godziny, jakie klauzule wpisać do umowy i jak podzielić zadania między zarząd, firmę i dostawcę.

Co mówi ustawa: zadania można zlecić, odpowiedzialności nie

Odpowiedź na pytanie z tytułu jest w jednym przepisie. Kierownik podmiotu kluczowego lub podmiotu ważnego, czyli w spółce członek zarządu, a przy zarządzie wieloosobowym członkowie tego organu, „ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą” (art. 8c ust. 3). Przepis nie rozróżnia, czy tą osobą jest pracownik, zewnętrzny informatyk, czy duża firma usługowa.

Ustawa nie zakazuje przy tym outsourcingu, wręcz go przewiduje. Zadania z art. 8 (SZBI) oraz z art. 9-13 (osoby do kontaktu, dokumentacja, incydenty) podmiot wykonuje przez „wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo” lub przez umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). W branży taki dostawca nazywa się MSSP, od ang. managed security service provider. Ministerstwo Cyfryzacji (dalej MC) w odpowiedzi 3.19 dokumentu „Pytania i odpowiedzi” (stanowisko bez mocy prawnej) pisze, że kluczowy jest spójnik „lub”, bo „chodzi o możliwość outsourcingu tylko niektórych zadań”. Wybór modelu należy do firmy, ale ma być rozsądny, a zadań nie powinno się powierzać np. przeciążonemu działowi help-desk. Ministerstwo zastrzega też w odpowiedzi 3.16, że nie ma narzuconych rozwiązań, a centrum monitorowania bezpieczeństwa (SOC, od ang. Security Operations Center) nie jest obowiązkowe.

Poradnik NASK-PIB „Od wymagań do działania” ujmuje to krótko: „Odpowiedzialności za cyberbezpieczeństwo nie można delegować, można natomiast delegować zadania”. Praktyczne skutki widać w przepisach o karach. Jeśli firma nie ma ani wewnętrznych struktur, ani umowy z MSSP, karze może podlegać kierownik (art. 73a ust. 1 pkt 13). Jeśli wczesne ostrzeżenie albo zgłoszenie incydentu poważnego nie trafi na czas do zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), karze z ustawy podlega firma (art. 73 ust. 1 pkt 6 i 7), nawet gdy opóźnienie spowodował dostawca. Rozliczenie z dostawcą to już sprawa umowy. Obie kary mogą być nałożone po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej), ale obowiązki trzeba wykonywać wcześniej.

Przy zarządzie zostają też obowiązki osobiste: oświadczenie kierownika we wniosku do wykazu podmiotów kluczowych i podmiotów ważnych (dalej „Wykaz KSC”), składane pod rygorem odpowiedzialności karnej (art. 7c ust. 5), oraz szkolenie raz w roku kalendarzowym (art. 8e ust. 1). Pełny podział decyzji między zarząd, dział IT i dostawcę, z macierzą dla 12 czynności, rozpisujemy w artykule o tym, za co odpowiada zarząd, a za co dział IT. Tu skupiamy się na tym, co zmienia obecność zewnętrznego wykonawcy.

Jak wygląda outsourcing IT w przykładowej hurtowni spożywczej

Przyjmijmy fikcyjną firmę: hurtownię spożywczą z jedną lokalizacją, magazynem i biurem, bez powiązań kapitałowych z innymi spółkami. Przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową są w załączniku „Sektory ważne” do ustawy, a firma z 70 pracownikami nie jest już małym przedsiębiorcą. Jest więc podmiotem ważnym (art. 5 ust. 2 pkt 2), a organem właściwym do spraw cyberbezpieczeństwa jest dla niej minister właściwy do spraw rolnictwa (art. 41 pkt 9e).

Zarząd zlecił przegląd stanu rzeczy dyrektorowi finansowemu. Oto, co znalazł:

• Umowa z informatykiem - „obsługa informatyczna” za ryczałt, reakcja „w miarę możliwości”. Brak zapisów o incydentach, czasie zawiadomienia, kopiach i zakończeniu współpracy.
• Uprawnienia - informatyk jest jedyną osobą z hasłami administratora. Nie ma zastępstwa na czas urlopu ani choroby, a nikt w firmie nie wie, gdzie są hasła.
• Kopie zapasowe - na dysk sieciowy w serwerowni, raz w tygodniu dodatkowo na dysk zewnętrzny. Nikt nie pamięta, kiedy ostatnio coś z nich odtworzono.
• Dostawcy chmurowi - producent systemu magazynowego i usługa poczty mają standardowe umowy. Nikt nie sprawdził, jak zawiadamiają o incydentach.
• Ludzie - nie wyznaczono osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1 wymaga co najmniej dwóch). Nie ma procedury na wypadek incydentu.

Żadna z tych luk nie jest winą informatyka. Wykonuje to, na co się umówił. Problem polega na tym, że umowa powstała dla firmy, która nie podlegała ustawie, a teraz musi z niej wynikać, kto robi zadania z art. 8 i 11 oraz jak zarząd sprawdza ich wykonanie (art. 8d pkt 3).

Czym usługi zarządzane różnią się od MSSP i kiedy umowa spełnia art. 14

Ustawa definiuje dwa rodzaje dostawców, które w potocznym „outsourcingu IT” się mieszają (ICT to technologie informacyjno-komunikacyjne):

• dostawca usług zarządzanych świadczy usługi „związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację przeprowadzane u usługobiorcy na miejscu lub zdalnie” (art. 2 pkt 4i),
• dostawca usług zarządzanych w zakresie cyberbezpieczeństwa świadczy usługi „polegające na realizacji lub wsparciu dla realizacji działań związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, w tym obsługę incydentów, testów bezpieczeństwa, audytów systemów informacyjnych, doradztwo” (art. 2 pkt 4j).

Art. 14 mówi o umowie z tym drugim. Z zestawienia definicji wynika, że umowa wyłącznie na administrowanie systemami sama w sobie nie spełnia art. 14, dopóki nie obejmuje zadań z zakresu zarządzania ryzykiem, np. obsługi incydentów. To nasz wniosek z brzmienia przepisów, a nie rozstrzygnięcie organu. Ministerstwo dodaje kilka doprecyzowań: samo udostępnienie personelu (body leasing), bez przetwarzania danych związanych z SZBI klienta, nie jest usługą zarządzaną w zakresie cyberbezpieczeństwa (odpowiedź 1.37), dostawcy oprogramowania nie mieszczą się w tej definicji (odpowiedź 1.23), a wykonywanie kopii zapasowych może być usługą jednego albo drugiego rodzaju, zależnie od tego, czy towarzyszy innym usługom związanym z zarządzaniem ryzykiem (odpowiedź 1.40).

Wielkość dostawcy ma znaczenie dla niego samego. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który jest co najmniej małym przedsiębiorcą, jest podmiotem kluczowym (art. 5 ust. 1 pkt 3), a ministerstwo potwierdza, że dotyczy to także spółki obsługującej wyłącznie własną grupę kapitałową (odpowiedź 1.21). Dostawca usług zarządzanych podlega ustawie jako średni lub duży przedsiębiorca z sektora „Zarządzanie usługami ICT” (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1). Informatyk z jednoosobową działalnością co do zasady nie jest więc podmiotem objętym ustawą i wszystko, czego od niego oczekujesz, musi wynikać z umowy.

Co oznacza dla klienta, że jego MSSP jest podmiotem kluczowym:

• Własny SZBI według prawa UE. MSSP i dostawcy usług zarządzanych objęci ustawą stosują środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690, dalej RW 2024/2690 (art. 8b ust. 1), w tym wymagania wobec własnych dostawców i podwykonawców (załącznik, pkt 5.1.4). Pytania o te środki nie powinny więc być dla nich nowością.
• Informacje na stronie. Podmiot kluczowy będący MSSP, który świadczy obsługę incydentów, publikuje na stronie internetowej m.in. zakres działania, politykę obsługi incydentów i sposób ich zgłaszania (art. 8g). Ministerstwo odsyła tu do międzynarodowego wzoru takiego opisu z dokumentu RFC 2350 (odpowiedź 3.13).
• Własne zgłoszenia nie zastępują Twoich. MSSP zgłasza incydenty poważne we własnej usłudze, ale obowiązek zgłoszenia incydentu w Twojej usłudze ciąży na Twojej firmie (art. 11 ust. 1). To nasze odczytanie przepisu, który wiąże obowiązek z każdym podmiotem osobno.
• Wpis i organ. MSSP podlegający polskiej ustawie powinien mieć wpis w Wykazie KSC, ale do danych wykazu nie stosuje się ustawy o dostępie do informacji publicznej (art. 7 ust. 3). Zapytaj więc dostawcę wprost o numer wpisu i o państwo głównego miejsca działalności, od którego zależy, czy podlega polskiemu nadzorowi (art. 5a ust. 3-4). Dostawca spoza UE podlega mu także wtedy, gdy wyznaczył przedstawiciela w Polsce (art. 5a ust. 9).
• Personel dostawcy a rejestr karny. Ministerstwo w odpowiedzi 3.48 wyjaśnia, że obowiązek przedstawienia informacji z Krajowego Rejestru Karnego (KRK, art. 8f) nie obejmuje personelu wykonawców i podwykonawców. Bezpieczeństwo tych osób zapewnia się przez zarządzanie ryzykiem łańcucha dostaw i postanowienia umowne.

Umowa z MSSP na zadania z art. 8 lub 11 ma jeszcze jeden skutek formalny: informacja o niej i dane dostawcy są elementem Wykazu KSC (art. 7 ust. 2 pkt 16), a zmianę danych zgłasza się w 14 dni (art. 7c ust. 3). Ministerstwo w odpowiedzi 2.51 wyjaśnia, że pole wypełnia się tylko wtedy, gdy zewnętrzna firma realizuje zadania z art. 8 albo art. 11.

Hurtownia ma do wyboru trzy modele. W naszym odczytaniu każdy mieści się w art. 14, o ile umowy i zakresy zadań są dobrze opisane:

Jak zdążyć z 24 i 72 godzinami, gdy incydent wykrywa dostawca

Firma zgłasza wczesne ostrzeżenie o incydencie poważnym niezwłocznie, najpóźniej w ciągu 24 godzin, a sam incydent najpóźniej w ciągu 72 godzin, licząc od momentu jego wykrycia (art. 11 ust. 1 pkt 4 i 4a). Sprawozdanie końcowe składa najpóźniej w miesiąc od zgłoszenia (art. 11 ust. 1 pkt 4c). Wszystko przechodzi przez system teleinformatyczny z art. 46 ustawy, nazywany przez ministerstwo S46 (art. 11 ust. 2). Dopóki organ nie ogłosi zdolności operacyjnej CSIRT sektorowego, zgłoszenia trafiają do właściwego CSIRT poziomu krajowego, czyli CSIRT NASK, CSIRT GOV albo CSIRT MON (art. 44 ust. 1 ustawy nowelizującej, z wyjątkiem sektorów, w których sektorowy zespół cyberbezpieczeństwa powołano przed 2025 r., art. 44 ust. 3).

Kiedy zaczyna się zegar, gdy pierwsze sygnały widzi dostawca? Ministerstwo w odpowiedzi 6.5 pisze, że momentem wykrycia jest chwila, w której podmiot uzyskał informację o zdarzeniu kwalifikującym się jako incydent, również od dostawcy usługi, i że w umowach z dostawcami trzeba zapisać obowiązek niezwłocznego informowania o incydentach. Ustawa nie rozstrzyga wprost, czy wykrycie przez dostawcę, który monitoruje systemy w imieniu firmy, to już wykrycie przez firmę. Bezpieczniej przyjąć, że tak, i ułożyć umowę tak, żeby firma zdążyła nawet wtedy.

Dostawca musi też dostarczyć treść. Wczesne ostrzeżenie zawiera m.in. moment wystąpienia i wykrycia incydentu, czas jego trwania oraz ocenę, czy incydent wywołało działanie bezprawne (art. 12 ust. 1). Zgłoszenie opisuje wpływ na usługę, liczbę użytkowników, zasięg geograficzny, przyczyny, przebieg oraz działania zapobiegawcze i naprawcze (art. 12 ust. 3). Większość tych danych ma w rękach ten, kto obsługuje systemy. Przykładowy budżet czasu wygląda tak:

Uwaga na progi. O tym, czy incydent jest poważny, decydują progi z rozporządzenia Rady Ministrów (art. 11 ust. 1 pkt 3 i ust. 4). Stare rozporządzenie z 2018 r. obejmuje tylko sektory dawnych operatorów usług kluczowych, bez żywności, a nowe było w październiku 2026 r. projektem. Ustawa nie mówi wprost, jak do tego czasu klasyfikować incydenty w nowych sektorach. Ostrożnie jest opierać się na definicji incydentu poważnego (art. 2 pkt 7) i zapisać sposób oceny w procedurze, którą zna także dostawca.

W hurtowni oznacza to dyżur: co najmniej jedna osoba po stronie firmy powinna być osiągalna także w weekend, żeby przyjąć zawiadomienie, ocenić incydent i złożyć wczesne ostrzeżenie. Pierwsze godziny po wykryciu ataku z perspektywy zarządu, w tym decyzje, komunikację i zabezpieczenie dowodów, opisujemy w artykule o tym, co zarząd robi w pierwszych godzinach incydentu.

Jakie klauzule wpisać do umowy z dostawcą IT

Bezpieczeństwo i ciągłość łańcucha dostaw usług ICT, od których zależy świadczenie usługi, jest elementem SZBI (art. 8 ust. 1 pkt 2 lit. e). Ministerstwo w odpowiedzi 3.3 wymienia postanowienia, które powinny znaleźć się w umowach z dostawcami: poufność, obowiązek zgłaszania incydentów, informowanie o podatnościach i wymagania dotyczące personelu, np. certyfikacji osób. RW 2024/2690 dla podmiotów z art. 8b ust. 1 wylicza elementy umów dokładniej: wymogi bezpieczeństwa, szkolenia i weryfikację personelu, zgłaszanie incydentów bez zbędnej zwłoki, prawo do audytu lub do sprawozdań z audytu, postępowanie z podatnościami, wymogi dla podwykonawców i obowiązki przy rozwiązaniu umowy (załącznik, pkt 5.1.4). Dla hurtowni to nie jest obowiązek, ale dobra lista kontrolna.

Termin dla dokumentów ma konkretne uzasadnienie. Organ może żądać danych i dokumentów w terminie nie krótszym niż 7 dni (art. 53c ust. 2 pkt 5), a za niespełnienie żądania grozi kara (art. 73 ust. 1 pkt 15). Jeśli część dowodów jest u dostawcy, umowa musi go zobowiązać do szybszego działania. Kopie zapasowe to osobny temat: dlaczego sama kopia nie gwarantuje odtworzenia działania firmy, wyjaśniamy w artykule o kopiach zapasowych i ciągłości działania.

Przykładowe brzmienia czterech postanowień z tabeli. Liczby godzin i dni to nasze założenia, a treść trzeba dopasować do umowy z prawnikiem:

1. Zawiadomienie. „Wykonawca zawiadamia Zamawiającego o każdym zdarzeniu, które może być incydentem dotyczącym systemów objętych umową, niezwłocznie, nie później niż w ciągu 2 godzin od jego wykrycia, telefonicznie i pocztą elektroniczną na dane wskazane w załączniku, przez 7 dni w tygodniu.”
2. Dane do zgłoszeń. „W ciągu 8 godzin od wykrycia incydentu Wykonawca przekazuje Zamawiającemu informacje potrzebne do wczesnego ostrzeżenia, w tym moment wystąpienia i wykrycia incydentu oraz czas jego trwania, a w ciągu 48 godzin informacje o wpływie incydentu na usługę, jego przyczynach i podjętych działaniach.”
3. Audyt i dowody. „Zamawiający lub wskazany przez niego audytor może raz w roku oraz po każdym incydencie poważnym sprawdzić wykonanie wymagań bezpieczeństwa z umowy. Dokumenty potrzebne w postępowaniu przed organem nadzoru Wykonawca przekazuje w ciągu 3 dni roboczych od wezwania.”
4. Wyjście. „W razie rozwiązania umowy Wykonawca w ciągu 14 dni przekazuje Zamawiającemu dane, konfiguracje, hasła i dokumentację systemów, przez okres do 60 dni wspiera przejęcie usług przez nowego wykonawcę oraz potwierdza na piśmie usunięcie danych Zamawiającego i swoich kont.”

Umowa to połowa pracy. Drugą jest ocena dostawcy przed podpisaniem i w trakcie współpracy. Pytania, oczekiwane dowody i punktację odpowiedzi, razem z ankietą do pobrania, pokazujemy w artykule o tym, o co zapytać firmę IT, hosting i dostawcę chmury.

Jak podzielić zadania między zarząd, firmę i dostawcę

Przy outsourcingu w macierzy odpowiedzialności pojawia się trzecia strona. Poniżej używamy oznaczeń RACI, od angielskich słów Responsible, Accountable, Consulted, Informed: R wykonuje, A zatwierdza i rozlicza, C jest pytany przed decyzją, I jest informowany. Kolumna „Firma” oznacza osobę, która w hurtowni koordynuje bezpieczeństwo i dostawców, np. dyrektora finansowego.

Przy zgłoszeniach podział ma dwa poziomy. Dane do zgłoszeń przygotowuje dostawca, ale rozlicza je koordynator w firmie, bo to firma składa zgłoszenie. Decyzję o zgłoszeniu i samo zgłoszenie rozlicza zarząd: w praktyce przez upoważnienie udzielone koordynatorowi z góry, żeby nie czekać na posiedzenie w sobotę. Wiersz o nadzorze nad dostawcą zamienia art. 8d pkt 3 w rutynę: miesięczny raport dostawcy, kwartalny przegląd z zarządem, coroczny audyt albo raport z audytu.

Przy audycie trzeba pamiętać o niezależności. Audytu nie może przeprowadzić osoba, która wykonuje w podmiocie zadania z art. 8 i 9-13 albo wykonywała je w ciągu roku przed audytem (art. 15 ust. 2a). Hurtownia jako podmiot ważny nie ma obowiązku audytu co 3 lata, ale organ może go nakazać po incydencie poważnym lub innym naruszeniu przepisów (art. 15 ust. 1b). W naszym odczytaniu art. 15 ust. 2a wyklucza wtedy jako audytorów ludzi dostawcy, którzy prowadzą bezpieczeństwo hurtowni.

Od czego zacząć w firmie z zewnętrznym informatykiem

Hurtownia z przykładu zdecydowała się na drugi model: informatyk zostaje przy administrowaniu, a monitorowanie i obsługę incydentów przez całą dobę przejmuje MSSP. Dyrektor finansowy został koordynatorem, a drugą osobą do kontaktu kierownik logistyki. Ten sam plan można przenieść do innej firmy, która korzysta z zewnętrznego wykonawcy:

1. Lista zależności. Spisz dostawców i usługi, od których zależy działalność: informatyk, chmura, poczta, łącza, oprogramowanie (art. 8 ust. 1 pkt 2 lit. e).
2. Decyzja zarządu o modelu. Uchwała: które zadania z art. 8 i 11 wykonuje kto, kto koordynuje dostawców, który członek zarządu odpowiada za cyberbezpieczeństwo (art. 8c ust. 2, art. 14).
3. Aneks do umowy. Zawiadomienie w godzinach, dane do zgłoszeń, dostęp, kopie, audyt i plan wyjścia, według tabeli wyżej.
4. Osoby do kontaktu i dyżur. Co najmniej dwie osoby (art. 9 ust. 1 pkt 1), procedura incydentu i telefon całodobowy. Ministerstwo w odpowiedzi 3.18 pisze, że może to być każda osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia. Czy wystarczy umowa o usługi z zewnętrznym informatykiem, wprost nie przesądza, dlatego bezpieczniej, by co najmniej jedna osoba kontaktowa była pracownikiem firmy.
5. Wykaz KSC. Jeśli podpisujesz umowę z MSSP na zadania z art. 8 lub 11, zaktualizuj wpis w ciągu 14 dni (art. 7 ust. 2 pkt 16, art. 7c ust. 3).
6. Pierwszy przegląd dostawcy. Raport z wykonania umowy, protokół testu odtworzenia kopii i ćwiczenie zgłoszenia na sucho, czyli przejście całej ścieżki od zawiadomienia do zgłoszenia bez prawdziwego incydentu.

Po tych krokach zarząd hurtowni może odpowiedzieć organowi na trzy pytania o outsourcing: kto wykonuje zadania, na jakiej podstawie i skąd zarząd wie, że są wykonywane.

Podstawa prawna i źródła

• art. 2 pkt 4i i 4j ustawy o KSC - definicje dostawcy usług zarządzanych i dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa
• art. 5 ust. 1 pkt 1 i 3, ust. 2 pkt 1 i 2, art. 5a ust. 3-4 i 9, art. 41 pkt 9b i 9e ustawy o KSC - status dostawców i hurtowni, główne miejsce działalności, organy
• art. 7 ust. 2 pkt 16, ust. 3, art. 7c ust. 3 ustawy o KSC - umowa z MSSP w wykazie, zmiana danych w 14 dni
• art. 8 ust. 1, art. 8b ust. 1, art. 8c, art. 8d, art. 8f, art. 8g ustawy o KSC - SZBI, środki z RW 2024/2690, odpowiedzialność i zadania kierownika, KRK, obowiązki informacyjne MSSP
• art. 9, art. 11, art. 12, art. 14, art. 15 ust. 1b i 2a ustawy o KSC - osoby do kontaktu, incydenty, struktury lub MSSP, audyt
• art. 53c ust. 2 pkt 5, art. 73 ust. 1 pkt 6, 7 i 15, art. 73a ust. 1 pkt 13 ustawy o KSC - żądania organu, kary
• art. 33 ust. 1, art. 35, art. 44 ust. 1 i 3 ustawy nowelizującej z 23 stycznia 2026 r. - termin wdrożenia, moratorium kar, adresaci zgłoszeń
• rozporządzenie wykonawcze Komisji (UE) 2024/2690, załącznik, pkt 5.1.4 - elementy umów z dostawcami (wprost dla podmiotów z art. 8b ust. 1)
• Ministerstwo Cyfryzacji, Pytania i odpowiedzi (październik 2026), odpowiedzi 1.21, 1.23, 1.37, 1.40, 2.51, 3.3, 3.13, 3.16, 3.18, 3.19, 3.48 i 6.5 - stanowiska bez mocy prawnej
• NASK-PIB, „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0)”, 29.09.2026, s. 74 - publikacja nie jest oficjalnym stanowiskiem Ministerstwa Cyfryzacji
• Ustawa o krajowym systemie cyberbezpieczeństwa - tekst ujednolicony, stan na 8.10.2026 (Kancelaria Sejmu)
• Ustawa nowelizująca z 23 stycznia 2026 r. - Dziennik Ustaw 2026 poz. 252
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 - EUR-Lex
• Ministerstwo Cyfryzacji - Pytania i odpowiedzi do znowelizowanej ustawy o KSC, październik 2026 (PDF)
• NASK-PIB - poradnik „Od wymagań do działania” (PDF)
• Serwis systemu S46 - zgłoszenie incydentu (gov.pl)