Zgłoszenie incydentu poważnego - do którego CSIRT i co wpisać, gdy brakuje danych

NIS2 i KSC - Incydenty i ich zgłaszanie

Zgłoszenie incydentu poważnego - do którego CSIRT i co wpisać, gdy brakuje danych

W skrócie

Incydent uznano za poważny, od wykrycia minęło kilkanaście godzin, a zespół wciąż nie wie, jak atakujący wszedł do sieci i ilu klientów odczuło skutki. Zgłoszenie incydentu KSC do CSIRT nie może jednak czekać na komplet ustaleń. Wyjaśniamy, który zespół jest właściwy, jakim kanałem zgłaszać, co podać na każdym etapie i jak zgodnie z przepisami wysłać zgłoszenie z lukami.

Jak to wygląda w praktyce

Przykład: producent maszyn, który jest podmiotem ważnym, w poniedziałek o 7:30 wykrywa zaszyfrowane serwery planowania produkcji. O 15:00 zarząd uznaje incydent za poważny, bo montaż jest wstrzymany. Zespół liczy 24 godziny od wykrycia, więc wczesne ostrzeżenie chce wysłać do wtorku do 7:30, a nikt nie wie, czy atak był celowy, czy dotknął też spółki zależnej w Czechach i od kiedy napastnik był w sieci.

Kierownik IT pyta zarząd: do kogo to wysłać, skoro dla produkcji nie działa jeszcze CSIRT sektorowy, i co wpisać w polach, na które nie znamy odpowiedzi?

Co mówią przepisy

Ustawa każe wysłać do właściwego CSIRT sektorowego wczesne ostrzeżenie niezwłocznie, najpóźniej w 24 godziny, a zgłoszenie najpóźniej w 72 godziny od wykrycia. Sprawozdanie końcowe składa się najpóźniej w miesiąc od dnia zgłoszenia (art. 11 ust. 1 pkt 4-4c ustawy o KSC). Dopóki organ właściwy nie ogłosi, że taki zespół osiągnął zdolność operacyjną, zgłoszenia trafiają do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV (art. 44 ust. 1 ustawy nowelizującej), chyba że sektorowy zespół powołano przed 2025 r. (art. 44 ust. 3). CSIRT MON obsługuje m.in. podmioty podległe Ministrowi Obrony Narodowej i firmy realizujące zadania na rzecz Sił Zbrojnych (art. 26 ust. 5), a CSIRT GOV m.in. wskazane jednostki sektora finansów publicznych, NBP i BGK (art. 26 ust. 7). Pozostałe podmioty kluczowe i ważne obsługuje CSIRT NASK (art. 26 ust. 6 pkt 1 lit. j). Zespół, który dostał cudze zgłoszenie, przekazuje je właściwemu (art. 26 ust. 8), co potwierdza Ministerstwo Cyfryzacji (MC) w odpowiedzi 6.13. Gdy jeden incydent dotyka usług tej samej firmy w kilku sektorach, wystarczy jedno zgłoszenie w S46 (MC 6.17).

Kanałem jest system teleinformatyczny z art. 46 ust. 1, nazywany S46 (art. 11 ust. 2). Strona systemu podaje, że adresata ustawia on sam na podstawie danych z Wykazu podmiotów kluczowych i podmiotów ważnych (Wykaz KSC). Gdy przekazanie przez S46 jest niemożliwe, obowiązuje sposób określony przez właściwy CSIRT i ogłoszony w Biuletynie Informacji Publicznej (art. 31 ust. 1 i 3).

Wczesne ostrzeżenie zawiera dane podmiotu, osoby zgłaszającej i osoby uprawnionej do wyjaśnień, moment wystąpienia i wykrycia oraz czas trwania. Podajesz w nim też, czy incydent dotyczy innych państw UE i czy wywołano go działaniem bezprawnym lub w złej wierze, „jeżeli możliwe jest dokonanie takiej oceny” (art. 12 ust. 1, MC 6.11). Zgłoszenie w 72 godziny dodaje wpływ na usługę, przyczyny i przebieg oraz działania zapobiegawcze i naprawcze (art. 12 ust. 3, MC 6.14). Przekazujesz informacje znane w chwili zgłoszenia i uzupełniasz je w trakcie obsługi (art. 12 ust. 5, MC 6.15). Tajemnice prawnie chronione przekazujesz, gdy są potrzebne CSIRT, i oznaczasz (art. 12 ust. 6 i 8, MC 6.20).

Sprawozdanie okresowe składasz na wniosek CSIRT. Gdy obsługa trwa dłużej niż miesiąc od zgłoszenia, w tym terminie składasz sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi (art. 11 ust. 1 pkt 4b i 4c, art. 12b, MC 6.23). Podmiot ważny będący podmiotem publicznym składa tylko zgłoszenie (art. 12c), a dostawca usług zaufania zgłasza incydent poważny w 24 godziny od wykrycia (art. 11 ust. 1a).

Co zrobić krok po kroku

1. Wylicz godziny graniczne. Koordynator incydentu zapisuje w dzienniku koniec 24 i 72 godzin od wykrycia oraz wskazuje osobę z uprawnieniami w S46 do tworzenia i zgłaszania incydentów. Według strony S46 nadaje je administrator przestrzeni podmiotu.
2. Wyślij wczesne ostrzeżenie z minimum. W S46 wybierz klasyfikację „Poważny” i zaznacz „Wczesne ostrzeżenie”, a system ograniczy pola obowiązkowe. Wpisz moment wystąpienia i wykrycia, osobę do wyjaśnień i krótki opis. Formularz wymaga mniej niż art. 12 ust. 1, więc informację o działaniu bezprawnym i o innych państwach UE dopisz w opisie, nawet jako „ustalamy”.
3. Braki nazwij wprost. Nieznany moment wejścia napastnika podaj jako najwcześniejszy znany ślad z dopiskiem, że to szacunek. Ocenę działania bezprawnego ustawa wymaga tylko wtedy, gdy da się jej dokonać, a formularz zastępczy CSIRT GOV ma przy tym pytaniu odpowiedź „Brak informacji”. Zmiany poprawisz w zgłoszeniu (art. 12 ust. 3 pkt 5).
4. Poproś o wsparcie i oznacz tajemnice. Wniosek o wytyczne albo wsparcie techniczne dołączysz w zakładce „Dokumenty”, a ustawa przewiduje odpowiedź CSIRT sektorowego w 24 godziny (art. 12 ust. 2). Informacje stanowiące tajemnicę przedsiębiorstwa wyraźnie oznacz.
5. W 72 godziny złóż zgłoszenie. W S46 kliknij „Uzupełnij dane”, odznacz wczesne ostrzeżenie i wypełnij m.in. usługę i opis wpływu, liczbę użytkowników, obszar, przyczynę i działania. Strona S46 radzi wpisać w polu opisowym, że dane uzupełnisz później, a datę zakończenia zostawić pustą, gdy obsługa trwa. Treść zatwierdza członek zarządu, który nadzoruje obsługę incydentu.
6. Poinformuj użytkowników, gdy trzeba. Obowiązek powstaje, gdy incydent ma niekorzystny wpływ na świadczenie usług (art. 11 ust. 2b), czyli według MC 6.16 przynosi użytkownikom straty, np. czasu lub pieniędzy. Zgłoszenie w S46 ma pole o informowaniu użytkowników.
7. Zaplanuj sprawozdania i kanał awaryjny. Wpisz do kalendarza termin sprawozdania końcowego (art. 12a określa jego treść). Na listę kontaktów offline dopisz kanał zastępczy właściwego CSIRT i dane z odpowiedzi MC 5.2. Jak ocenić, czy incydent jest poważny, opisujemy w poście o tym, czy incydent trzeba zgłosić.

Jak sprawdzić, że sprawa jest załatwiona

Etap zgłoszeń jest domknięty, gdy w S46 pole „Zgłoszono - wczesne ostrzeżenie” ma datę sprzed upływu 24 godzin od wykrycia, data zgłoszenia incydentu poważnego mieści się w 72 godzinach, a w dzienniku incydentu jest lista braków z osobą i terminem uzupełnienia. Zachowaj numer zgłoszenia, kopie przekazanych informacji i korespondencję z CSIRT, a przy kanale zastępczym także potwierdzenie wysłania.

Sprawę zamyka sprawozdanie końcowe z opisem incydentu, prawdopodobną przyczyną, zastosowanymi środkami i skutkami transgranicznymi (art. 12a). Niewykonanie obowiązków z art. 11 ust. 1 pkt 4-4c jest zagrożone karą (art. 73 ust. 1 pkt 6-9), którą można nałożyć po raz pierwszy po 3.04.2028 (art. 35 ustawy nowelizującej).

Podstawa prawna i źródła

• art. 11 ust. 1, 1a, 2 i 2b, art. 12, art. 12a, art. 12b, art. 12c, art. 26 ust. 5-8 i art. 31 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
• art. 35 i art. 44 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 5.1, 5.2, 5.3, 6.11, 6.13, 6.14, 6.15, 6.16, 6.17, 6.20 i 6.23 (źródło)
• System S46, strona „Zgłoszenie incydentu” (gov.pl) (źródło)
• CSIRT GOV, „Zgłoszenie incydentu do CSIRT GOV” i formularz wczesnego ostrzeżenia (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC