Szkoła w Wykazie KSC - co musi zrobić dyrektor szkoły albo przedszkola

NIS2 i KSC - Szkoły i samorządy

Szkoła w Wykazie KSC - co musi zrobić dyrektor szkoły albo przedszkola

W skrócie

Piszemy dla dyrektora szkoły albo przedszkola prowadzonego przez samorząd, który dostał zawiadomienie o wpisie z urzędu do Wykazu KSC. Wyjaśniamy, które szkoły podlegają ustawie, kto składa wnioski, co zrobić w zespole szkół i przy likwidacji oraz które zadania może przejąć jednostka wyznaczona przez samorząd.

Jak to wygląda w praktyce

Dyrektor szkoły podstawowej prowadzonej przez gminę dostaje na adres do doręczeń elektronicznych zawiadomienie o wpisie z urzędu do Wykazu KSC i wezwanie do uzupełnienia danych. Szkoła wchodzi w skład zespołu szkół, a podobne pismo dostał dyrektor zespołu. Komputerami zajmuje się firma zatrudniona przez gminę, a w urzędzie mówi się, że sprawy KSC ma przejąć centrum usług wspólnych.

Dyrektor pyta: czy szkoła naprawdę podlega ustawie, czy w wykazie mają być i szkoła, i zespół, kto podpisuje wniosek i za co dyrektor odpowiada osobiście, jeśli część zadań przejmie samorząd.

Co mówią przepisy

Podmiotem ważnym jest m.in. samorządowa jednostka budżetowa, która realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 ustawy o krajowym systemie cyberbezpieczeństwa). Ministerstwo Cyfryzacji (MC) wyjaśnia, że szkoły publiczne i przedszkola są jednostkami budżetowymi (odpowiedź 1.16), a publiczna szkoła podstawowa prowadzona przez gminę podlega wpisowi z urzędu niezależnie od urzędu gminy (odpowiedź 1.31). Szkoły niepubliczne, także z uprawnieniami szkół publicznych i z dotacją, co do zasady ustawie nie podlegają i nie są wpisywane z urzędu, chyba że działają też w innym sektorze (MC 1.32).

Jeżeli szkoły w zespole nie są odrębnymi jednostkami budżetowymi, wpis i obowiązki dotyczą tylko zespołu. Jeżeli zachowały ten status, obowiązki ma i zespół, i każda szkoła (MC 2.58). Kierownikiem podmiotu jest w jednostce sektora finansów publicznych jej kierownik (art. 2 pkt 8a), czyli w szkole dyrektor (MC 4.5). To on składa wnioski o wpis, zmianę i wykreślenie, bez dokumentu o powierzeniu stanowiska, albo upoważnia pracownika, a wtedy do wniosku dołącza się upoważnienie podpisane elektronicznie (MC 2.53). Wniosek wypełnia i podpisuje ta sama osoba (MC 2.55).

Do 3 kwietnia 2027 r. szkoła realizuje obowiązki z rozdziału 3 ustawy (art. 33 ust. 1 ustawy nowelizującej z 23 stycznia 2026 r.). Jako podmiot ważny publiczny wdraża SZBI według załącznika nr 4 zamiast pełnego katalogu z art. 8 ust. 1 (art. 8 ust. 3). Obowiązkowa część I obejmuje m.in. inwentaryzację produktów, usług i procesów ICT (technologii informacyjno-komunikacyjnych), nadawanie i cofanie uprawnień, kopie zapasowe odseparowane od danych i testowane, oprogramowanie antywirusowe, szkolenia i procedury na wypadek incydentu. Część II jest fakultatywna (MC 3.40), a przegląd SZBI odbywa się co najmniej raz w roku (załącznik nr 4 pkt III). Szkoła wyznacza co najmniej jedną osobę do kontaktu (art. 9 ust. 3) i zgłasza incydent poważny w 72 godziny od wykrycia, ale bez wczesnego ostrzeżenia i sprawozdań (art. 12c). Dyrektor przechodzi szkolenie raz w roku kalendarzowym (art. 8e ust. 1), pierwsze najpóźniej w 2027 r. (MC 3.46).

Samorząd może wyznaczyć jednostkę do wspólnej obsługi tych obowiązków, na przykład centrum usług wspólnych, albo powierzyć je porozumieniem innej jednostce samorządu (art. 16e ust. 5-6). Status szkoły się wtedy nie zmienia (MC 1.24). Szkoła współpracuje z jednostką wyznaczoną: przekazuje jej informacje o incydentach, wykonuje decyzje jej kierownika w zakresie SZBI, a dyrektor bierze udział w jej szkoleniach (art. 16f). Jednostka wyznaczona zgłasza incydenty w imieniu podmiotu publicznego i korzysta z systemu S46 (art. 16h). Według MC za zadania odpowiada kierownik jednostki wyznaczonej, jeśli przy wyznaczeniu przeniesiono na nią także zadania kierownika podmiotu (odpowiedź 3.30). Ustawa tego wprost nie rozstrzyga, a według art. 8c ust. 3 dyrektor odpowiada także za obowiązki powierzone innym. Pozostałe jednostki samorządu omawiamy w tekście gmina i jej jednostki w KSC.

Co zrobić krok po kroku

1. Ustal status szkoły. Dyrektor sprawdza w uchwałach organu prowadzącego, czy szkoła jest odrębną jednostką budżetową, czy tylko częścią zespołu. Gdy w wykazie jest placówka bez takiego statusu, dyrektor zespołu składa wniosek o wykreślenie i dołącza na przykład uchwałę rady gminy (MC 2.57).
2. Sprawdź, czy szkoła nie jest likwidowana. Szkoła likwidowana przed upływem 6 miesięcy od wezwania nie musi uzupełniać danych. MC zaleca wtedy wniosek o wykreślenie z uchwałą organu prowadzącego, złożony najwcześniej 30 dni przed dniem następującym po dniu likwidacji (odpowiedź 2.43). Pismo do szkoły już zlikwidowanej wyjaśnia się mailem na adres s46-admin@nask.pl z uchwałą o likwidacji, bez wniosku w aplikacji (MC 2.56).
3. Uzupełnij wpis w terminie. Dyrektor albo upoważniony pracownik uzupełnia w aplikacji Wykaz KSC brakujące dane w 6 miesięcy od doręczenia wezwania (art. 7b ust. 2) i podpisuje wniosek o zmianę wpisu. Domenę wpisuje się tylko wtedy, gdy należy do szkoły, bez subdomen (MC 2.30). Kolejne czynności opisujemy w tekście uzupełnianie danych po wpisie z urzędu.
4. Ustal zakres wspólnej obsługi. Dyrektor pyta organ prowadzący, czy samorząd wyznaczy jednostkę do wspólnej obsługi obowiązków z ustawy i w jakim zakresie (art. 16e ust. 5-6). Efektem jest kopia uchwały rady gminy albo powiatu lub porozumienia, z listą zadań jednostki wyznaczonej i zapisem, czy przejęła ona zadania kierownika podmiotu.
5. Zatwierdź plan wdrożenia załącznika nr 4. Dyrektor zarządzeniem wyznacza osobę do kontaktu, którą może być on sam (MC 3.43), i przypisuje każde zadanie z części I załącznika nr 4 wykonawcy w szkole, w jednostce wyznaczonej albo w firmie informatycznej, z terminem przed 3 kwietnia 2027 r.
6. Zaplanuj szkolenie dyrektora i sprawdzenie niekaralności. Dyrektor ustala termin swojego pierwszego szkolenia, najpóźniej w 2027 r. (art. 8e ust. 1, MC 3.46). Kadry zbierają informację z Krajowego Rejestru Karnego od osób, które w szkole będą realizować zadania z SZBI albo obsługi incydentów, zanim do nich przystąpią (art. 8f ust. 1, MC 3.12). Więcej o szkoleniu w tekście obowiązkowe szkolenie kierownika z KSC.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy wniosek o zmianę wpisu ma status „Zatwierdzony”, w wykazie są tylko placówki będące odrębnymi jednostkami budżetowymi, a szkoła ma dokument, który mówi, co robi sama, a co jednostka wyznaczona. Załącznik nr 4 wymaga dokumentowania realizacji działań (pkt IV), więc na kontrolę zachowaj:

• zaświadczenie o zmianie wpisu w Wykazie KSC,
• zarządzenie dyrektora o osobie do kontaktu i planie wdrożenia,
• uchwałę albo porozumienie o wspólnej obsłudze z zakresem zadań,
• dowód udziału dyrektora w szkoleniu (art. 8e ust. 3),
• protokół corocznego przeglądu SZBI.

Podstawa prawna i źródła

• art. 2 pkt 8a, art. 5 ust. 2 pkt 8, art. 7b ust. 2, art. 8 ust. 3, art. 8c ust. 3, art. 8e, art. 8f, art. 9 ust. 3, art. 11 ust. 1 pkt 4a i art. 12c, art. 16d-16h oraz załączniki nr 2 i 4 do ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 33 ust. 1 i art. 43 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.16, 1.24, 1.31, 1.32, 2.30, 2.43, 2.53, 2.55, 2.56, 2.57, 2.58, 3.12, 3.30, 3.40, 3.43, 3.46 i 4.5 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC