Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), obowiązująca od 3 kwietnia 2026 r., przenosi cyberbezpieczeństwo z komórki informatycznej do gabinetu kierownika urzędu. Dla burmistrza i prezydenta miasta jest to zmiana zarządcza i finansowa. Ustawa wiąże wykonanie obowiązków wprost z funkcją kierownika i dopuszcza nałożenie na niego odrębnej kary pieniężnej, niezależnej od kary wymierzanej samej jednostce. W większych urzędach miast skutki są przy tym poważniejsze - po przekroczeniu progu zatrudnienia urząd staje się podmiotem kluczowym, obciążonym pełnym reżimem środków zarządzania ryzykiem oraz obowiązkiem cyklicznego audytu.
Kwalifikacja podmiotu przesądza o reżimie. Punktem wyjścia jest ustalenie statusu każdego podmiotu funkcjonującego w strukturze miasta z osobna. Ustawa nie tworzy jednolitego reżimu dla „miasta” rozumianego organizacyjnie, lecz odnosi obowiązki do konkretnych podmiotów kluczowych i ważnych (art. 5; zał. nr 1 i 2). Dla urzędu miasta rozstrzygające jest kryterium zatrudnienia z załącznika nr 1:
Odrębnej oceny wymagają pozostałe jednostki: samorządowe jednostki budżetowe, zakłady budżetowe, instytucje kultury oraz spółki komunalne. Spółka może przy tym podlegać KSC również z uwagi na sektor działalności (np. woda, ciepło, odpady), co prowadzi do innego reżimu niż wynikający z samego charakteru publicznego.
Czytaj w LEX: Cyberbezpieczeństwo w sektorze samorządowym >
Podmioty publiczne, w tym JST, są wpisywane do wykazu z urzędu przez ministra właściwego do spraw informatyzacji. Dany podmiot po odebraniu zawiadomienia o wpisie oraz wezwaniu do uzupełnienia brakujących danych, powinien uzupełnić je w terminie sześciu miesięcy od doręczenia wezwania, a późniejsze zmiany danych zgłasza w terminie 14 dni (art. 7c ust. 3). Nie należy więc automatycznie zakładać obowiązku samorejestracji każdej jednostki - właściwy tryb trzeba zweryfikować odrębnie.
Przeczytaj także: Samorządy dostaną 270 mln zł na wspólną obronę przed cyberatakami
Podmiot kluczowy (typowo: większy urząd miasta) stosuje pełny katalog środków z art. 8 ust. 1 pkt 2 lit. a–n: analizę ryzyka i politykę bezpieczeństwa, kontrolę dostępu i zarządzanie aktywami, kryptografię, bezpieczeństwo łańcucha dostaw, ciągłość działania i kopie zapasowe, ciągłe monitorowanie, cyberhigienę oraz uwierzytelnianie wieloskładnikowe. Do tego dochodzi bezpieczeństwo łańcucha dostaw ICT (rejestr i ocena dostawców, klauzule bezpieczeństwa w umowach), plany ciągłości działania i odtwarzania oraz kompletna dokumentacja normatywna i operacyjna (art. 10). Urząd wyznacza co najmniej dwie osoby do kontaktu z podmiotami KSC, jak również powołuje wewnętrzną strukturę w celu realizacji zadań z zakresu cyberbezpieczeństwa, lub zawiera umowę z dostawcą usług zarządzanych.
Czytaj też w LEX: Organizacja systemu cyberbezpieczeństwa w sektorze jednostek samorządu terytorialnego na gruncie ustawy o krajowym systemie cyberbezpieczeństwa >
Podmiot ważny, będący podmiotem publicznym (mniejszy urząd, część jednostek), nie stosuje art. 8 ust. 1, lecz wdraża system zarządzania bezpieczeństwem informacji spełniający wymogi załącznika nr 4 (art. 8 ust. 3): co najmniej 18 elementów obowiązkowych z części I - m.in. inwentaryzację ICT, kontrolę dostępu i minimalne uprawnienia, kopie zapasowe i testy odtwarzania, ochronę antywirusową, cyberhigienę oraz procedury na wypadek incydentu - wraz z przeglądem co najmniej raz w roku.
Terminy zgłaszania incydentów poważnych są sztywne dla obu grup podmiotów:
Podmiot publiczny o statusie podmiotu ważnego stosuje przy tym reżim węższy: z wyłączeniem wczesnego ostrzeżenia oraz sprawozdań okresowego, z postępu i końcowego (art. 12c).
Niezależnie od reżimu obowiązuje warstwa ładu korporacyjnego (art. 8c–8f): decyzja o powierzeniu obowiązków (a w organie wieloosobowym - ewentualne wskazanie osoby odpowiedzialnej), zabezpieczenie środków w budżecie, coroczne udokumentowane szkolenie kierownictwa (art. 8e) oraz weryfikacja niekaralności osób realizujących zadania z art. 8 lub 11, w tym po stronie wykonawców zewnętrznych (art. 8f).
Najdalej idąca zmiana dotyczy pozycji kierownika jednostki. Zgodnie z art. 8c ust. 1 kierownik podmiotu kluczowego lub ważnego odpowiada za wykonywanie obowiązków w zakresie cyberbezpieczeństwa. W urzędzie miasta funkcję kierownika pełni burmistrz albo prezydent, a w pozostałych jednostkach - osoby nimi kierujące. KSC nie tworzy zatem jednego centrum odpowiedzialności na poziomie miasta, lecz przypisuje ją kierownikowi każdego objętego ustawą podmiotu. Ponadto, powierzenie zadań z zakresu cyberbezpieczeństwa pracownikowi IT, inspektorowi lub wykonawcy zewnętrznemu za jego zgodą nie zwalnia kierownika z ustawowej odpowiedzialności.
Zakres obowiązków osobistych wynika przede wszystkim z art. 8d: kierownik jednostki podejmuje decyzje o SZBI, planuje adekwatne środki finansowe, przydziela zadania i nadzoruje ich wykonanie oraz zapewnia świadomość personelu i zgodność z regulacjami. Odpowiedzialność ma tutaj charakter zarządczy i sprowadza się do zbudowania systemu, w którym ryzyko oszacowano, kompetencje przypisano, środki zapewniono, wykonanie monitorowano, a odstępstwa eskalowano. W razie kontroli oceniana będzie więc jakość procesu decyzyjnego, a nie wyłącznie ostateczny stan zabezpieczeń.
Czytaj też w LEX: Przeciwdziałanie dezinformacji jako zadanie samorządu terytorialnego >
Kara finansowa dla kierownika podmiotu kluczowego lub ważnego (art. 73a) jest tylko jednym elementem systemu i obejmuje szeroki katalog zaniechań - od wpisu i aktualizacji danych, przez środki z art. 8, obowiązki z art. 8d, szkolenie z art. 8e i weryfikację z art. 8f, po zgłaszanie incydentów, struktury cyberbezpieczeństwa i audyt.
Kluczowe dla samorządu są trzy cechy tej sankcji:
Wymiar kary uwzględnia kryteria nadzorcze i możliwości finansowe kierownika, a przy znikomej wadze naruszenia organ może odstąpić od ukarania (art. 76a).
Maksymalna kara osobista dla kierownika podmiotu kluczowego lub ważnego będącego podmiotem publicznym wynosi 100 proc. jego wynagrodzenia, obliczanego według zasad ustalania ekwiwalentu pieniężnego za urlop. Dla kierownika np. spółki komunalnej prowadzącej działalność w sektorze gospodarowania odpadami, maksymalna osobista kara wynosi do 300 proc. wynagrodzenia kierownika, obliczonego według zasad stosowanych przy ustalaniu ekwiwalentu pieniężnego za urlop.
Po stronie jednostki pułapy są nieporównanie wyższe. Podmiot kluczowy może zostać ukarany karą do 10 mln euro albo 2 proc. przychodu z poprzedniego roku obrotowego (zastosowanie ma kwota wyższa), co do zasady nie niższą niż 20 tys. zł; podmiot ważny — do 7 mln euro albo 1,4 proc. przychodu, przy dolnej granicy 15 tys. zł (art. 73). Za zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług organ nakłada karę w wysokości do 100 mln zł — przepis posługuje się zwrotem „nakłada”, a nie „może nałożyć”. Uzupełnia to kara okresowa przymuszająca do wykonania decyzji nadzorczej, od 500 zł do 100 tys. zł za każdy dzień opóźnienia (art. 76b), a decyzji o karze może zostać nadany rygor natychmiastowej wykonalności.
Podmioty spełniające przesłanki na dzień 3 kwietnia 2026 r. realizują obowiązki rozdziału 3 w terminie 12 miesięcy (art. 33 ust. 1), a pierwszy audyt — w terminie 24 miesięcy. Kary z art. 73 ust. 1–4, art. 73a–73c oraz art. 76b mogą zostać nałożone po raz pierwszy dopiero po upływie dwóch lat od wejścia w życie nowelizacji, a więc po 3 kwietnia 2028 r. (art. 35). Odroczenie stosowania sankcji nie jest jednak odroczeniem samych obowiązków: okres do 2028 r. to nie dodatkowy czas na wdrożenie, lecz okres, w którym po upływie właściwych terminów oceniany będzie sposób wykonania obowiązków.
Dla burmistrza i prezydenta miasta najważniejsze jest zbudowanie dającego się wykazać systemu zarządzania zgodnością: ustalenie statusu i zakresu obowiązków, inwentaryzacja systemów i zależności od dostawców wraz z analizą ryzyka, a następnie identyfikacja luk, przypisanie odpowiedzialności, zaplanowanie finansowania i wybór modelu realizacji.
Bartosz Bacia, autor jest doktorem nauk prawnych, radcą prawnym w kancelarii Regulatory Advisers
Zobacz też w LEX: Wyzwania samorządów w budowaniu lokalnej odporności wobec współczesnych zagrożeń >
