Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), obowiązująca od 3 kwietnia 2026 r., przenosi cyberbezpieczeństwo z komórki informatycznej do gabinetu kierownika urzędu. Dla burmistrza i prezydenta miasta jest to zmiana zarządcza i finansowa. Ustawa wiąże wykonanie obowiązków wprost z funkcją kierownika i dopuszcza nałożenie na niego odrębnej kary pieniężnej, niezależnej od kary wymierzanej samej jednostce. W większych urzędach miast skutki są przy tym poważniejsze - po przekroczeniu progu zatrudnienia urząd staje się podmiotem kluczowym, obciążonym pełnym reżimem środków zarządzania ryzykiem oraz obowiązkiem cyklicznego audytu.