--- a/DU/2018/1560 Dz.U. 2025 poz. 1017 (2025-08-28)
+++ b/DU/2018/1560 Dz.U. 2026 poz. 20 (2026-01-09)
@@ -1,31 +1,32 @@
+Rozdział 1 | Przepisy ogólne
Art. 1 ust. 1 | Ustawa określa:
Art. 1 ust. 1 pkt 1 | organizację krajowego systemu cyberbezpieczeństwa oraz zadania i obowiązki podmiotów wchodzących w skład tego systemu;
Art. 1 ust. 1 pkt 2 | sposób sprawowania nadzoru i kontroli w zakresie stosowania przepisów ustawy;
Art. 1 ust. 1 pkt 3 | zakres Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej.
Art. 1 ust. 2 | Ustawy nie stosuje się do:
-Art. 1 ust. 2 pkt 1 | przedsiębiorców telekomunikacyjnych, o których mowa w ustawie z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów;
-Art. 1 ust. 2 pkt 2 | dostawców usług zaufania, którzy podlegają wymogom art. 19 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE;
+Art. 1 ust. 2 pkt 1 | przedsiębiorców telekomunikacyjnych, o których mowa w ustawie z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. poz. 1221 oraz z 2025 r. poz. 637 i 820), w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów;
+Art. 1 ust. 2 pkt 2 | dostawców usług zaufania, którzy podlegają wymogom art. 19 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73);
Art. 1 ust. 2 pkt 3 | podmiotów wykonujących działalność leczniczą, tworzonych przez Szefa Agencji Bezpieczeństwa Wewnętrznego lub Szefa Agencji Wywiadu.
Art. 2 | Użyte w ustawie określenia oznaczają:
-Art. 2 pkt 1 | CSIRT GOV - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego;
-Art. 2 pkt 2 | CSIRT MON - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Ministra Obrony Narodowej;
-Art. 2 pkt 3 | CSIRT NASK - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Naukową i Akademicką Sieć Komputerową - Państwowy Instytut Badawczy;
-Art. 2 pkt 4 | cyberbezpieczeństwo - odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez te systemy;
-Art. 2 pkt 5 | incydent - zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo;
-Art. 2 pkt 6 | incydent krytyczny - incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV;
-Art. 2 pkt 7 | incydent poważny - incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej;
-Art. 2 pkt 8 | incydent istotny - incydent, który ma istotny wpływ na świadczenie usługi cyfrowej w rozumieniu art. 4 rozporządzenia wykonawczego Komisji (UE) 2018/151 z dnia 30 stycznia 2018 r. ustanawiającego zasady stosowania dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w odniesieniu do dalszego doprecyzowania elementów, jakie mają być uwzględnione przez dostawców usług cyfrowych w zakresie zarządzania istniejącymi ryzykami dla bezpieczeństwa sieci i systemów informatycznych, oraz parametrów służących do określenia, czy incydent ma istotny wpływ, zwanego dalej „rozporządzeniem wykonawczym 2018/151”;
-Art. 2 pkt 9 | incydent w podmiocie publicznym - incydent, który powoduje lub może spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego realizowanego przez podmiot publiczny, o którym mowa w art. 4 pkt 7-15;
-Art. 2 pkt 10 | obsługa incydentu - czynności umożliwiające wykrywanie, rejestrowanie, analizowanie, klasyfikowanie, priorytetyzację, podejmowanie działań naprawczych i ograniczenie skutków incydentu;
-Art. 2 pkt 11 | podatność - właściwość systemu informacyjnego, która może być wykorzystana przez zagrożenie cyberbezpieczeństwa;
-Art. 2 pkt 12 | ryzyko - kombinację prawdopodobieństwa wystąpienia zdarzenia niepożądanego i jego konsekwencji;
-Art. 2 pkt 13 | szacowanie ryzyka - całościowy proces identyfikacji, analizy i oceny ryzyka;
-Art. 2 pkt 14 | system informacyjny - system teleinformatyczny, o którym mowa w art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, wraz z przetwarzanymi w nim danymi w postaci elektronicznej;
-Art. 2 pkt 15 | usługa cyfrowa - usługę świadczoną drogą elektroniczną w rozumieniu przepisów ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, wymienioną w załączniku nr 2 do ustawy;
-Art. 2 pkt 16 | usługa kluczowa - usługę, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej, wymienioną w wykazie usług kluczowych;
-Art. 2 pkt 17 | zagrożenie cyberbezpieczeństwa - potencjalną przyczynę wystąpienia incydentu;
-Art. 2 pkt 18 | zarządzanie incydentem - obsługę incydentu, wyszukiwanie powiązań między incydentami, usuwanie przyczyn ich wystąpienia oraz opracowywanie wniosków wynikających z obsługi incydentu;
-Art. 2 pkt 19 | zarządzanie ryzykiem - skoordynowane działania w zakresie zarządzania cyberbezpieczeństwem w odniesieniu do oszacowanego ryzyka.
+Art. 2 pkt 1 | CSIRT GOV – Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego;
+Art. 2 pkt 2 | CSIRT MON – Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Ministra Obrony Narodowej;
+Art. 2 pkt 3 | CSIRT NASK – Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy;
+Art. 2 pkt 4 | cyberbezpieczeństwo – odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez te systemy;
+Art. 2 pkt 5 | incydent – zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo;
+Art. 2 pkt 6 | incydent krytyczny – incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV;
+Art. 2 pkt 7 | incydent poważny – incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej;
+Art. 2 pkt 8 | incydent istotny – incydent, który ma istotny wpływ na świadczenie usługi cyfrowej w rozumieniu art. 4 rozporządzenia wykonawczego Komisji (UE) 2018/151 z dnia 30 stycznia 2018 r. ustanawiającego zasady stosowania dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w odniesieniu do dalszego doprecyzowania elementów, jakie mają być uwzględnione przez dostawców usług cyfrowych w zakresie zarządzania istniejącymi ryzykami dla bezpieczeństwa sieci i systemów informatycznych, oraz parametrów służących do określenia, czy incydent ma istotny wpływ (Dz. Urz. UE L 26 z 31.01.2018, str. 48), zwanego dalej „rozporządzeniem wykonawczym 2018/151”;
+Art. 2 pkt 9 | incydent w podmiocie publicznym – incydent, który powoduje lub może spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego realizowanego przez podmiot publiczny, o którym mowa w art. 4 pkt 7–15;
+Art. 2 pkt 10 | obsługa incydentu – czynności umożliwiające wykrywanie, rejestrowanie, analizowanie, klasyfikowanie, priorytetyzację, podejmowanie działań naprawczych i ograniczenie skutków incydentu;
+Art. 2 pkt 11 | podatność – właściwość systemu informacyjnego, która może być wykorzystana przez zagrożenie cyberbezpieczeństwa;
+Art. 2 pkt 12 | ryzyko – kombinację prawdopodobieństwa wystąpienia zdarzenia niepożądanego i jego konsekwencji;
+Art. 2 pkt 13 | szacowanie ryzyka – całościowy proces identyfikacji, analizy i oceny ryzyka;
+Art. 2 pkt 14 | system informacyjny – system teleinformatyczny, o którym mowa w art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2025 r. poz. 1703), wraz z przetwarzanymi w nim danymi w postaci elektronicznej;
+Art. 2 pkt 15 | usługa cyfrowa – usługę świadczoną drogą elektroniczną w rozumieniu przepisów ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2024 r. poz. 1513), wymienioną w załączniku nr 2 do ustawy;
+Art. 2 pkt 16 | usługa kluczowa – usługę, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej, wymienioną w wykazie usług kluczowych;
+Art. 2 pkt 17 | zagrożenie cyberbezpieczeństwa – potencjalną przyczynę wystąpienia incydentu;
+Art. 2 pkt 18 | zarządzanie incydentem – obsługę incydentu, wyszukiwanie powiązań między incydentami, usuwanie przyczyn ich wystąpienia oraz opracowywanie wniosków wynikających z obsługi incydentu;
+Art. 2 pkt 19 | zarządzanie ryzykiem – skoordynowane działania w zakresie zarządzania cyberbezpieczeństwem w odniesieniu do oszacowanego ryzyka.
Art. 3 | Krajowy system cyberbezpieczeństwa ma na celu zapewnienie cyberbezpieczeństwa na poziomie krajowym, w tym niezakłóconego świadczenia usług kluczowych i usług cyfrowych, przez osiągnięcie odpowiedniego poziomu bezpieczeństwa systemów informacyjnych służących do świadczenia tych usług oraz zapewnienie obsługi incydentów.
Art. 4 | Krajowy system cyberbezpieczeństwa obejmuje:
Art. 4 pkt 1 | operatorów usług kluczowych;
@@ -34,7 +35,7 @@
Art. 4 pkt 4 | CSIRT NASK;
Art. 4 pkt 5 | CSIRT GOV;
Art. 4 pkt 6 | sektorowe zespoły cyberbezpieczeństwa;
-Art. 4 pkt 7 | jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1-6, 8, 9, 11 i 12 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych;
+Art. 4 pkt 7 | jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1–6, 8, 9, 11 i 12 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2025 r. poz. 1483);
Art. 4 pkt 8 | instytuty badawcze;
Art. 4 pkt 9 | Narodowy Bank Polski;
Art. 4 pkt 10 | Bank Gospodarstwa Krajowego;
@@ -42,12 +43,13 @@
Art. 4 pkt 12 | Polską Agencję Żeglugi Powietrznej;
Art. 4 pkt 13 | Polskie Centrum Akredytacji;
Art. 4 pkt 14 | Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej oraz wojewódzkie fundusze ochrony środowiska i gospodarki wodnej;
-Art. 4 pkt 15 | spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej;
+Art. 4 pkt 15 | spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U. z 2021 r. poz. 679);
Art. 4 pkt 16 | podmioty świadczące usługi z zakresu cyberbezpieczeństwa;
Art. 4 pkt 17 | organy właściwe do spraw cyberbezpieczeństwa;
Art. 4 pkt 18 | Pojedynczy Punkt Kontaktowy do spraw cyberbezpieczeństwa, zwany dalej „Pojedynczym Punktem Kontaktowym”;
Art. 4 pkt 19 | Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, zwanego dalej „Pełnomocnikiem”;
Art. 4 pkt 20 | Kolegium do Spraw Cyberbezpieczeństwa, zwane dalej „Kolegium”.
+Rozdział 2 | Identyfikacja i rejestracja operatorów usług kluczowych
Art. 5 ust. 1 | Operatorem usługi kluczowej jest podmiot, o którym mowa w załączniku nr 1 do ustawy, posiadający jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej, wobec którego organ właściwy do spraw cyberbezpieczeństwa wydał decyzję o uznaniu za operatora usługi kluczowej. Sektory, podsektory oraz rodzaje podmiotów określa załącznik nr 1 do ustawy.
Art. 5 ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa wydaje decyzję o uznaniu podmiotu za operatora usługi kluczowej, jeżeli:
Art. 5 ust. 2 pkt 1 | podmiot świadczy usługę kluczową;
@@ -55,7 +57,7 @@
Art. 5 ust. 2 pkt 3 | incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora.
Art. 5 ust. 3 | Istotność skutku zakłócającego incydentu dla świadczenia usługi kluczowej, o którym mowa w ust. 2 pkt 3, określana jest na podstawie progów istotności skutku zakłócającego.
Art. 5 ust. 4 | W przypadku gdy podmiot świadczy usługę kluczową w innych państwach członkowskich Unii Europejskiej, organ właściwy do spraw cyberbezpieczeństwa w toku postępowania administracyjnego, za pośrednictwem Pojedynczego Punktu Kontaktowego, prowadzi konsultacje z tymi państwami w celu ustalenia, czy ten podmiot został uznany w tych państwach za operatora usługi kluczowej.
-Art. 5 ust. 5 | Okresu na przeprowadzenie konsultacji, o których mowa w ust. 4, nie wlicza się do terminów, o których mowa w art. 35 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego.
+Art. 5 ust. 5 | Okresu na przeprowadzenie konsultacji, o których mowa w ust. 4, nie wlicza się do terminów, o których mowa w art. 35 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691).
Art. 5 ust. 6 | W stosunku do podmiotu, który przestał spełniać warunki, o których mowa w ust. 1 i 2, organ właściwy do spraw cyberbezpieczeństwa wydaje decyzję stwierdzającą wygaśnięcie decyzji o uznaniu za operatora usługi kluczowej.
Art. 5 ust. 7 | Decyzje, o których mowa w ust. 2 i 6, podlegają natychmiastowemu wykonaniu.
Art. 6 | Rada Ministrów określi, w drodze rozporządzenia:
@@ -67,8 +69,7 @@
Art. 6 pkt 2 lit. d | udział podmiotu świadczącego usługę kluczową w rynku,
Art. 6 pkt 2 lit. e | zasięg geograficzny obszaru, którego mógłby dotyczyć incydent,
Art. 6 pkt 2 lit. f | zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej, przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia,
-Art. 6 pkt 2 lit. g | inne czynniki charakterystyczne dla danego sektora lub podsektora, jeżeli występują
-Art. 6 pkt 2 | - kierując się potrzebą zapewnienia ochrony przed zagrożeniem życia lub zdrowia ludzi, znacznymi stratami majątkowymi oraz obniżeniem jakości świadczonej usługi kluczowej.
+Art. 6 pkt 2 lit. g | inne czynniki charakterystyczne dla danego sektora lub podsektora, jeżeli występują – kierując się potrzebą zapewnienia ochrony przed zagrożeniem życia lub zdrowia ludzi, znacznymi stratami majątkowymi oraz obniżeniem jakości świadczonej usługi kluczowej.
Art. 7 ust. 1 | Minister właściwy do spraw informatyzacji prowadzi wykaz operatorów usług kluczowych.
Art. 7 ust. 2 | Wykaz operatorów usług kluczowych zawiera:
Art. 7 ust. 2 pkt 1 | nazwę (firmę) operatora usługi kluczowej;
@@ -81,7 +82,7 @@
Art. 7 ust. 2 pkt 8 | informację określającą, w których państwach członkowskich Unii Europejskiej podmiot został uznany za operatora usługi kluczowej;
Art. 7 ust. 2 pkt 9 | datę zakończenia świadczenia usługi kluczowej;
Art. 7 ust. 2 pkt 10 | datę wykreślenia z wykazu operatorów usług kluczowych.
-Art. 7 ust. 3 | Wpisanie do wykazu operatorów usług kluczowych i wykreślenie z tego wykazu następuje na wniosek organu właściwego do spraw cyberbezpieczeństwa złożony niezwłocznie po wydaniu decyzji o uznaniu za operatora usługi kluczowej albo decyzji stwierdzającej wygaśnięcie decyzji o uznaniu za operatora usługi kluczowej. Wniosek zawiera dane, o których mowa w ust. 2 pkt 1-9.
+Art. 7 ust. 3 | Wpisanie do wykazu operatorów usług kluczowych i wykreślenie z tego wykazu następuje na wniosek organu właściwego do spraw cyberbezpieczeństwa złożony niezwłocznie po wydaniu decyzji o uznaniu za operatora usługi kluczowej albo decyzji stwierdzającej wygaśnięcie decyzji o uznaniu za operatora usługi kluczowej. Wniosek zawiera dane, o których mowa w ust. 2 pkt 1–9.
Art. 7 ust. 4 | Zmiana danych w wykazie operatorów usług kluczowych następuje na wniosek organu właściwego do spraw cyberbezpieczeństwa, złożony nie później niż w terminie 6 miesięcy od zmiany tych danych.
Art. 7 ust. 5 | Wnioski, o których mowa w ust. 3 i 4, sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP.
Art. 7 ust. 6 | Wpisanie do wykazu operatorów usług kluczowych i wykreślenie z tego wykazu oraz zmiana danych w wykazie operatorów usług kluczowych jest czynnością materialno-techniczną.
@@ -99,6 +100,7 @@
Art. 7 ust. 8 pkt 10 | organom Krajowej Administracji Skarbowej;
Art. 7 ust. 8 pkt 11 | dyrektorowi Rządowego Centrum Bezpieczeństwa;
Art. 7 ust. 8 pkt 12 | Służbie Ochrony Państwa.
+Rozdział 3 | Obowiązki operatorów usług kluczowych
Art. 8 | Operator usługi kluczowej wdraża system zarządzania bezpieczeństwem w systemie informacyjnym wykorzystywanym do świadczenia usługi kluczowej, zapewniający:
Art. 8 pkt 1 | prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem;
Art. 8 pkt 2 | wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, w tym:
@@ -119,14 +121,14 @@
Art. 9 ust. 1 pkt 1 | wyznacza osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa;
Art. 9 ust. 1 pkt 2 | zapewnia użytkownikowi usługi kluczowej dostęp do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową, w szczególności przez publikowanie informacji na ten temat na swojej stronie internetowej;
Art. 9 ust. 1 pkt 3 | przekazuje organowi właściwemu do spraw cyberbezpieczeństwa dane, o których mowa w art. 7 ust. 2 pkt 8 i 9, nie później niż w terminie 3 miesięcy od zmiany tych danych.
-Art. 9 ust. 2 | Operator usługi kluczowej przekazuje do organu właściwego do spraw cyberbezpieczeństwa, właściwego CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowego zespołu cyberbezpieczeństwa dane osoby, o której mowa w ust. 1 pkt 1, zawierające imię i nazwisko, numer telefonu oraz adres poczty elektronicznej, w terminie 14 dni od dnia jej wyznaczenia, a także informacje o zmianie tych danych - w terminie 14 dni od dnia ich zmiany.
+Art. 9 ust. 2 | Operator usługi kluczowej przekazuje do organu właściwego do spraw cyberbezpieczeństwa, właściwego CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowego zespołu cyberbezpieczeństwa dane osoby, o której mowa w ust. 1 pkt 1, zawierające imię i nazwisko, numer telefonu oraz adres poczty elektronicznej, w terminie 14 dni od dnia jej wyznaczenia, a także informacje o zmianie tych danych – w terminie 14 dni od dnia ich zmiany.
Art. 10 ust. 1 | Operator usługi kluczowej opracowuje, stosuje i aktualizuje dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej.
Art. 10 ust. 2 | Operator usługi kluczowej jest obowiązany do ustanowienia nadzoru nad dokumentacją dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, zapewniającego:
Art. 10 ust. 2 pkt 1 | dostępność dokumentów wyłącznie dla osób upoważnionych zgodnie z realizowanymi przez nie zadaniami;
Art. 10 ust. 2 pkt 2 | ochronę dokumentów przed niewłaściwym użyciem lub utratą integralności;
Art. 10 ust. 2 pkt 3 | oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w tych dokumentach.
-Art. 10 ust. 3 | Operator usługi kluczowej przechowuje dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej przez co najmniej 2 lata od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi kluczowej, z uwzględnieniem przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach.
-Art. 10 ust. 4 | Operator usługi kluczowej będący jednocześnie właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, który posiada zatwierdzony plan ochrony infrastruktury krytycznej uwzględniający dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, nie ma obowiązku opracowania dokumentacji, o której mowa w ust. 1.
+Art. 10 ust. 3 | Operator usługi kluczowej przechowuje dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej przez co najmniej 2 lata od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi kluczowej, z uwzględnieniem przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164 oraz z 2025 r. poz. 1173).
+Art. 10 ust. 4 | Operator usługi kluczowej będący jednocześnie właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2023 r. poz. 122, z późn. zm.), który posiada zatwierdzony plan ochrony infrastruktury krytycznej uwzględniający dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, nie ma obowiązku opracowania dokumentacji, o której mowa w ust. 1.
Art. 10 ust. 5 | Rada Ministrów określi, w drodze rozporządzenia, rodzaje dokumentacji, o której mowa w ust. 1, uwzględniając Polskie Normy oraz potrzebę zapewnienia cyberbezpieczeństwa podczas świadczenia usług kluczowych i ciągłości świadczenia tych usług.
Art. 11 ust. 1 | Operator usługi kluczowej:
Art. 11 ust. 1 pkt 1 | zapewnia obsługę incydentu;
@@ -135,7 +137,7 @@
Art. 11 ust. 1 pkt 4 | zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV;
Art. 11 ust. 1 pkt 5 | współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędne dane, w tym dane osobowe;
Art. 11 ust. 1 pkt 6 | usuwa podatności, o których mowa w art. 32 ust. 2, oraz informuje o ich usunięciu organ właściwy do spraw cyberbezpieczeństwa.
-Art. 11 ust. 2 | Zgłoszenie, o którym mowa w ust. 1 pkt 4, przekazywane jest w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej - przy użyciu innych dostępnych środków komunikacji.
+Art. 11 ust. 2 | Zgłoszenie, o którym mowa w ust. 1 pkt 4, przekazywane jest w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.
Art. 11 ust. 3 | W przypadku ustanowienia sektorowego zespołu cyberbezpieczeństwa operator usługi kluczowej niezależnie od zadań określonych w ust. 1:
Art. 11 ust. 3 pkt 1 | przekazuje jednocześnie temu zespołowi w postaci elektronicznej zgłoszenie, o którym mowa w ust. 1 pkt 4;
Art. 11 ust. 3 pkt 2 | współdziała z tym zespołem na poziomie sektora lub podsektora podczas obsługi incydentu poważnego lub incydentu krytycznego, przekazując niezbędne dane, w tym dane osobowe;
@@ -144,8 +146,7 @@
Art. 11 ust. 4 pkt 1 | liczbę użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej,
Art. 11 ust. 4 pkt 2 | czas oddziaływania incydentu na świadczoną usługę kluczową,
Art. 11 ust. 4 pkt 3 | zasięg geograficzny obszaru, którego dotyczy incydent,
-Art. 11 ust. 4 pkt 4 | inne czynniki charakterystyczne dla danego sektora lub podsektora, jeżeli występują
-Art. 11 ust. 4 | - kierując się potrzebą zapewnienia ochrony przed zagrożeniem życia lub zdrowia ludzi, znacznymi stratami majątkowymi oraz obniżeniem jakości świadczonej usługi kluczowej.
+Art. 11 ust. 4 pkt 4 | inne czynniki charakterystyczne dla danego sektora lub podsektora, jeżeli występują – kierując się potrzebą zapewnienia ochrony przed zagrożeniem życia lub zdrowia ludzi, znacznymi stratami majątkowymi oraz obniżeniem jakości świadczonej usługi kluczowej.
Art. 12 ust. 1 | Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4, zawiera:
Art. 12 ust. 1 pkt 1 | dane podmiotu zgłaszającego, w tym firmę przedsiębiorcy, numer we właściwym rejestrze, siedzibę i adres;
Art. 12 ust. 1 pkt 2 | imię i nazwisko, numer telefonu oraz adres poczty elektronicznej osoby dokonującej zgłoszenia;
@@ -175,7 +176,7 @@
Art. 13 ust. 2 | Informacje, o których mowa w ust. 1, są przekazywane w postaci elektronicznej, a w przypadku braku możliwości przekazania w postaci elektronicznej, przy użyciu innych dostępnych środków komunikacji.
Art. 13 ust. 3 | W przypadku ustanowienia sektorowego zespołu cyberbezpieczeństwa operator usługi kluczowej może przekazywać jednocześnie temu zespołowi, w postaci elektronicznej, informacje, o których mowa w ust. 1.
Art. 13 ust. 4 | Operator usługi kluczowej oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.
-Art. 14 ust. 1 | Operator usługi kluczowej w celu realizacji zadań, o których mowa w art. 8, art. 9, art. 10 ust. 1-3, art. 11 ust. 1-3, art. 12 i art. 13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa.
+Art. 14 ust. 1 | Operator usługi kluczowej w celu realizacji zadań, o których mowa w art. 8, art. 9, art. 10 ust. 1–3, art. 11 ust. 1–3, art. 12 i art. 13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa.
Art. 14 ust. 2 | Wewnętrzne struktury powołane przez operatora usługi kluczowej odpowiedzialne za cyberbezpieczeństwo oraz podmioty świadczące usługi z zakresu cyberbezpieczeństwa są obowiązane:
Art. 14 ust. 2 pkt 1 | spełniać warunki organizacyjne i techniczne pozwalające na zapewnienie cyberbezpieczeństwa obsługiwanemu operatorowi usługi kluczowej;
Art. 14 ust. 2 pkt 2 | dysponować pomieszczeniami służącymi do świadczenia usług z zakresu reagowania na incydenty, zabezpieczonymi przed zagrożeniami fizycznymi i środowiskowymi;
@@ -184,7 +185,7 @@
Art. 14 ust. 4 | Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, warunki organizacyjne i techniczne dla podmiotów świadczących usługi z zakresu cyberbezpieczeństwa oraz wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo, uwzględniając Polskie Normy oraz konieczność zapewnienia bezpieczeństwa dla wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo i podmiotów świadczących usługi z zakresu cyberbezpieczeństwa dla operatorów usług kluczowych, a także konieczność zapewnienia bezpieczeństwa informacji przetwarzanych w tych strukturach albo podmiotach.
Art. 15 ust. 1 | Operator usługi kluczowej ma obowiązek zapewnić przeprowadzenie, co najmniej raz na 2 lata, audytu bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, zwanego dalej „audytem”.
Art. 15 ust. 2 | Audyt może być przeprowadzony przez:
-Art. 15 ust. 2 pkt 1 | jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, w zakresie właściwym do podejmowanych ocen bezpieczeństwa systemów informacyjnych;
+Art. 15 ust. 2 pkt 1 | jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2025 r. poz. 568), w zakresie właściwym do podejmowanych ocen bezpieczeństwa systemów informacyjnych;
Art. 15 ust. 2 pkt 2 | co najmniej dwóch audytorów posiadających:
Art. 15 ust. 2 pkt 2 lit. a | certyfikaty określone w przepisach wydanych na podstawie ust. 8 lub
Art. 15 ust. 2 pkt 2 lit. b | co najmniej trzyletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych, lub
@@ -194,22 +195,23 @@
Art. 15 ust. 3 pkt 1 | przeprowadzaniem audytu wewnętrznego pod nadzorem audytora wewnętrznego;
Art. 15 ust. 3 pkt 2 | przeprowadzaniem audytu zewnętrznego pod nadzorem audytora wiodącego;
Art. 15 ust. 3 pkt 3 | przeprowadzaniem audytu wewnętrznego w zakresie bezpieczeństwa informacji, o którym mowa w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;
-Art. 15 ust. 3 pkt 4 | wykonywaniem czynności kontrolnych, o których mowa w ustawie z dnia 15 lipca 2011 r. o kontroli w administracji rządowej;
-Art. 15 ust. 3 pkt 5 | wykonywaniem czynności kontrolnych, o których mowa w ustawie z dnia 23 grudnia 1994 r. o Najwyższej Izbie Kontroli.
+Art. 15 ust. 3 pkt 4 | wykonywaniem czynności kontrolnych, o których mowa w ustawie z dnia 15 lipca 2011 r. o kontroli w administracji rządowej (Dz. U. z 2020 r. poz. 224 oraz z 2025 r. poz. 1158);
+Art. 15 ust. 3 pkt 5 | wykonywaniem czynności kontrolnych, o których mowa w ustawie z dnia 23 grudnia 1994 r. o Najwyższej Izbie Kontroli (Dz. U. z 2022 r. poz. 623).
Art. 15 ust. 4 | Audytor jest obowiązany do zachowania w tajemnicy informacji uzyskanych w związku z przeprowadzanym audytem, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych.
Art. 15 ust. 5 | Na podstawie zebranych dokumentów i dowodów audytor sporządza pisemne sprawozdanie z przeprowadzonego audytu i przekazuje je operatorowi usługi kluczowej wraz z dokumentacją z przeprowadzonego audytu.
Art. 15 ust. 6 | Operator usługi kluczowej, u którego w danym roku w stosunku do systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej został przeprowadzony przez osoby spełniające warunki określone w ust. 2 pkt 2 audyt wewnętrzny w zakresie bezpieczeństwa informacji, o którym mowa w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, nie ma obowiązku przeprowadzania audytu przez 2 lata.
Art. 15 ust. 7 | Operator usługi kluczowej przekazuje kopię sprawozdania z przeprowadzonego audytu na uzasadniony wniosek:
Art. 15 ust. 7 pkt 1 | organu właściwego do spraw cyberbezpieczeństwa;
-Art. 15 ust. 7 pkt 2 | dyrektora Rządowego Centrum Bezpieczeństwa - w przypadku gdy operator usługi kluczowej jest jednocześnie właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
+Art. 15 ust. 7 pkt 2 | dyrektora Rządowego Centrum Bezpieczeństwa – w przypadku gdy operator usługi kluczowej jest jednocześnie właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
Art. 15 ust. 7 pkt 3 | Szefa Agencji Bezpieczeństwa Wewnętrznego.
Art. 15 ust. 8 | Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, wykaz certyfikatów uprawniających do przeprowadzenia audytu, uwzględniając zakres wiedzy specjalistycznej wymaganej od osób legitymujących się poszczególnymi certyfikatami.
Art. 16 | Operator usługi kluczowej realizuje obowiązki określone w:
-Art. 16 pkt 1 | art. 8 pkt 1 i 4, art. 9, art. 11 ust. 1-3, art. 12 i art. 14 ust. 1 - w terminie 3 miesięcy od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej;
-Art. 16 pkt 2 | art. 8 pkt 2, 3, 5 i 6 oraz art. 10 ust. 1-3 - w terminie 6 miesięcy od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej;
-Art. 16 pkt 3 | art. 15 ust. 1 - w terminie roku od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej.
+Art. 16 pkt 1 | art. 8 pkt 1 i 4, art. 9, art. 11 ust. 1–3, art. 12 i art. 14 ust. 1 – w terminie 3 miesięcy od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej;
+Art. 16 pkt 2 | art. 8 pkt 2, 3, 5 i 6 oraz art. 10 ust. 1–3 – w terminie 6 miesięcy od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej;
+Art. 16 pkt 3 | art. 15 ust. 1 – w terminie roku od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej.
Art. 16a | Operatorzy usług kluczowych działający w sektorze bankowym i infrastruktury rynków finansowych w zakresie, w jakim mają obowiązek stosować rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz. Urz. UE L 333 z 27.12.2022, str. 1, z późn. zm.), nie stosują przepisów art. 8, art. 9 ust. 1 pkt 2, art. 10–12 i art. 15.
-Art. 17 ust. 1 | Dostawcą usługi cyfrowej jest osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej mająca siedzibę lub zarząd na terytorium Rzeczypospolitej Polskiej albo przedstawiciela mającego jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej, świadcząca usługę cyfrową, z wyjątkiem mikroprzedsiębiorców i małych przedsiębiorców, o których mowa w art. 7 ust. 1 pkt 1 i 2 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców. Rodzaje usług cyfrowych określa załącznik nr 2 do ustawy.
+Rozdział 4 | Obowiązki dostawców usług cyfrowych
+Art. 17 ust. 1 | Dostawcą usługi cyfrowej jest osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej mająca siedzibę lub zarząd na terytorium Rzeczypospolitej Polskiej albo przedstawiciela mającego jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej, świadcząca usługę cyfrową, z wyjątkiem mikroprzedsiębiorców i małych przedsiębiorców, o których mowa w art. 7 ust. 1 pkt 1 i 2 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców (Dz. U. z 2025 r. poz. 1480, 1795 i 1826). Rodzaje usług cyfrowych określa załącznik nr 2 do ustawy.
Art. 17 ust. 2 | Dostawca usługi cyfrowej podejmuje właściwe i proporcjonalne środki techniczne i organizacyjne określone w rozporządzeniu wykonawczym 2018/151 w celu zarządzania ryzykiem, na jakie narażone są systemy informacyjne wykorzystywane do świadczenia usługi cyfrowej. Środki te zapewniają cyberbezpieczeństwo odpowiednie do istniejącego ryzyka oraz uwzględniają:
Art. 17 ust. 2 pkt 1 | bezpieczeństwo systemów informacyjnych i obiektów;
Art. 17 ust. 2 pkt 2 | postępowanie w przypadku obsługi incydentu;
@@ -235,7 +237,7 @@
Art. 18 ust. 2 pkt 5 | zakres wpływu incydentu na działalność gospodarczą i społeczną.
Art. 18 ust. 3 | Dostawca usługi cyfrowej, klasyfikując incydent jako istotny, ocenia istotność wpływu incydentu na świadczenie usługi cyfrowej na podstawie parametrów, o których mowa w ust. 2, oraz progów określonych w rozporządzeniu wykonawczym 2018/151.
Art. 18 ust. 4 | Dostawca usługi cyfrowej nie ma obowiązku dokonania zgłoszenia, o którym mowa w ust. 1 pkt 4, gdy nie posiada informacji pozwalających na ocenę istotności wpływu incydentu na świadczenie usługi cyfrowej.
-Art. 18 ust. 5 | Zgłoszenie, o którym mowa w ust. 1 pkt 4, przekazywane jest w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej - przy użyciu innych dostępnych środków komunikacji.
+Art. 18 ust. 5 | Zgłoszenie, o którym mowa w ust. 1 pkt 4, przekazywane jest w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.
Art. 19 ust. 1 | Zgłoszenie, o którym mowa w art. 18 ust. 1 pkt 4, zawiera:
Art. 19 ust. 1 pkt 1 | dane podmiotu zgłaszającego, w tym firmę przedsiębiorcy, numer we właściwym rejestrze, siedzibę i adres;
Art. 19 ust. 1 pkt 2 | imię i nazwisko, numer telefonu oraz adres poczty elektronicznej osoby składającej zgłoszenie;
@@ -255,17 +257,18 @@
Art. 19 ust. 3 | Dostawca usługi cyfrowej przekazuje, w niezbędnym zakresie, w zgłoszeniu, o którym mowa w art. 18 ust. 1 pkt 4, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV.
Art. 19 ust. 4 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może zwrócić się do dostawcy usługi cyfrowej o uzupełnienie zgłoszenia o informacje, w tym informacje stanowiące tajemnice prawnie chronione, w zakresie niezbędnym do realizacji zadań, o których mowa w ustawie.
Art. 19 ust. 5 | W zgłoszeniu dostawcy usług cyfrowych oznaczają informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.
-Art. 20 | Dostawca usługi cyfrowej może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje, o których mowa w art. 13 ust. 1. Informacje te przekazywane są w postaci elektronicznej, a w przypadku braku możliwości przekazania ich w postaci elektronicznej - przy użyciu innych dostępnych środków komunikacji.
-Art. 21 ust. 1 | Podmiot publiczny, o którym mowa w art. 4 pkt 7-15, realizujący zadanie publiczne zależne od systemu informacyjnego jest obowiązany do wyznaczenia osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.
+Art. 20 | Dostawca usługi cyfrowej może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje, o których mowa w art. 13 ust. 1. Informacje te przekazywane są w postaci elektronicznej, a w przypadku braku możliwości przekazania ich w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.
+Rozdział 5 | Obowiązki podmiotów publicznych
+Art. 21 ust. 1 | Podmiot publiczny, o którym mowa w art. 4 pkt 7–15, realizujący zadanie publiczne zależne od systemu informacyjnego jest obowiązany do wyznaczenia osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.
Art. 21 ust. 2 | Organ administracji publicznej może wyznaczyć jedną osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa w zakresie zadań publicznych zależnych od systemów informacyjnych, realizowanych przez jednostki jemu podległe lub przez niego nadzorowane.
Art. 21 ust. 3 | Jednostka samorządu terytorialnego może wyznaczyć jedną osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa w zakresie zadań publicznych zależnych od systemów informacyjnych, realizowanych przez jej jednostki organizacyjne.
-Art. 22 ust. 1 | Podmiot publiczny, o którym mowa w art. 4 pkt 7-15, realizujący zadanie publiczne zależne od systemu informacyjnego:
+Art. 22 ust. 1 | Podmiot publiczny, o którym mowa w art. 4 pkt 7–15, realizujący zadanie publiczne zależne od systemu informacyjnego:
Art. 22 ust. 1 pkt 1 | zapewnia zarządzanie incydentem w podmiocie publicznym;
Art. 22 ust. 1 pkt 2 | zgłasza incydent w podmiocie publicznym niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia, do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV;
Art. 22 ust. 1 pkt 3 | zapewnia obsługę incydentu w podmiocie publicznym i incydentu krytycznego we współpracy z właściwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędne dane, w tym dane osobowe;
Art. 22 ust. 1 pkt 4 | zapewnia osobom, na rzecz których zadanie publiczne jest realizowane, dostęp do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami, w szczególności przez publikowanie informacji w tym zakresie na swojej stronie internetowej;
Art. 22 ust. 1 pkt 5 | przekazuje do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV dane osoby, o której mowa w art. 21, obejmujące imię i nazwisko, numer telefonu oraz adres poczty elektronicznej, w terminie 14 dni od dnia jej wyznaczenia, a także informacje o zmianie tych danych w terminie 14 dni od dnia ich zmiany.
-Art. 22 ust. 2 | Zgłoszenie, o którym mowa w ust. 1 pkt 2, przekazywane jest w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej - przy użyciu innych dostępnych środków komunikacji.
+Art. 22 ust. 2 | Zgłoszenie, o którym mowa w ust. 1 pkt 2, przekazywane jest w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.
Art. 23 ust. 1 | Zgłoszenie, o którym mowa w art. 22 ust. 1 pkt 2, zawiera:
Art. 23 ust. 1 pkt 1 | dane podmiotu zgłaszającego, w tym nazwę podmiotu, numer we właściwym rejestrze, siedzibę i adres;
Art. 23 ust. 1 pkt 2 | imię i nazwisko, numer telefonu oraz adres poczty elektronicznej osoby składającej zgłoszenie;
@@ -280,15 +283,16 @@
Art. 23 ust. 1 pkt 6 | informacje o podjętych działaniach zapobiegawczych;
Art. 23 ust. 1 pkt 7 | informacje o podjętych działaniach naprawczych;
Art. 23 ust. 1 pkt 8 | inne istotne informacje.
-Art. 23 ust. 2 | Podmiot publiczny, o którym mowa w art. 4 pkt 7-15, przekazuje informacje znane mu w chwili dokonywania zgłoszenia, które uzupełnia w trakcie obsługi incydentu w podmiocie publicznym.
-Art. 23 ust. 3 | Podmiot publiczny, o którym mowa w art. 4 pkt 7-15, przekazuje, w niezbędnym zakresie, w zgłoszeniu, o którym mowa w art. 22 ust. 1 pkt 2, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV.
-Art. 23 ust. 4 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może zwrócić się do podmiotu publicznego, o którym mowa w art. 4 pkt 7-15, o uzupełnienie zgłoszenia o informacje, w tym informacje stanowiące tajemnice prawnie chronione, w zakresie niezbędnym do realizacji zadań, o których mowa w ustawie.
-Art. 23 ust. 5 | W zgłoszeniu podmiot publiczny, o którym mowa w art. 4 pkt 7-15, oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.
-Art. 24 | Podmiot publiczny, o którym mowa w art. 4 pkt 7-15, realizujący zadanie publiczne zależne od systemu informacyjnego może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje, o których mowa w art. 13 ust. 1. Informacje te przekazywane są w postaci elektronicznej, a w przypadku braku możliwości przekazania ich w postaci elektronicznej - przy użyciu innych dostępnych środków komunikacji.
-Art. 25 | Do podmiotu publicznego, o którym mowa w art. 4 pkt 7-15, wobec którego wydana została decyzja o uznaniu za operatora usługi kluczowej, stosuje się przepisy rozdziału 3 w zakresie świadczenia usługi kluczowej, w związku z której świadczeniem został uznany za operatora usługi kluczowej.
+Art. 23 ust. 2 | Podmiot publiczny, o którym mowa w art. 4 pkt 7–15, przekazuje informacje znane mu w chwili dokonywania zgłoszenia, które uzupełnia w trakcie obsługi incydentu w podmiocie publicznym.
+Art. 23 ust. 3 | Podmiot publiczny, o którym mowa w art. 4 pkt 7–15, przekazuje, w niezbędnym zakresie, w zgłoszeniu, o którym mowa w art. 22 ust. 1 pkt 2, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV.
+Art. 23 ust. 4 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może zwrócić się do podmiotu publicznego, o którym mowa w art. 4 pkt 7–15, o uzupełnienie zgłoszenia o informacje, w tym informacje stanowiące tajemnice prawnie chronione, w zakresie niezbędnym do realizacji zadań, o których mowa w ustawie.
+Art. 23 ust. 5 | W zgłoszeniu podmiot publiczny, o którym mowa w art. 4 pkt 7–15, oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.
+Art. 24 | Podmiot publiczny, o którym mowa w art. 4 pkt 7–15, realizujący zadanie publiczne zależne od systemu informacyjnego może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje, o których mowa w art. 13 ust. 1. Informacje te przekazywane są w postaci elektronicznej, a w przypadku braku możliwości przekazania ich w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.
+Art. 25 | Do podmiotu publicznego, o którym mowa w art. 4 pkt 7–15, wobec którego wydana została decyzja o uznaniu za operatora usługi kluczowej, stosuje się przepisy rozdziału 3 w zakresie świadczenia usługi kluczowej, w związku z której świadczeniem został uznany za operatora usługi kluczowej.
+Rozdział 6 | Zadania CSIRT MON, CSIRT NASK i CSIRT GOV
Art. 26 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV współpracują ze sobą, z organami właściwymi do spraw cyberbezpieczeństwa, ministrem właściwym do spraw informatyzacji oraz Pełnomocnikiem, zapewniając spójny i kompletny system zarządzania ryzykiem na poziomie krajowym, realizując zadania na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa o charakterze ponadsektorowym i transgranicznym, a także zapewniając koordynację obsługi zgłoszonych incydentów.
-Art. 26 ust. 2 | CSIRT MON, CSIRT NASK i CSIRT GOV w uzasadnionych przypadkach na wniosek operatorów usług kluczowych, dostawców usług cyfrowych, podmiotów publicznych, o których mowa w art. 4 pkt 7-15, sektorowych zespołów cyberbezpieczeństwa lub właścicieli, posiadaczy samoistnych albo posiadaczy zależnych obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, mogą zapewnić wsparcie w obsłudze incydentów.
-Art. 26 ust. 3 | Do zadań CSIRT MON, CSIRT NASK i CSIRT GOV, zgodnie z właściwością wskazaną w ust. 5-7, należy:
+Art. 26 ust. 2 | CSIRT MON, CSIRT NASK i CSIRT GOV w uzasadnionych przypadkach na wniosek operatorów usług kluczowych, dostawców usług cyfrowych, podmiotów publicznych, o których mowa w art. 4 pkt 7–15, sektorowych zespołów cyberbezpieczeństwa lub właścicieli, posiadaczy samoistnych albo posiadaczy zależnych obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, mogą zapewnić wsparcie w obsłudze incydentów.
+Art. 26 ust. 3 | Do zadań CSIRT MON, CSIRT NASK i CSIRT GOV, zgodnie z właściwością wskazaną w ust. 5–7, należy:
Art. 26 ust. 3 pkt 1 | monitorowanie zagrożeń cyberbezpieczeństwa i incydentów na poziomie krajowym;
Art. 26 ust. 3 pkt 2 | szacowanie ryzyka związanego z ujawnionym zagrożeniem cyberbezpieczeństwa oraz zaistniałymi incydentami, w tym prowadzenie dynamicznej analizy ryzyka;
Art. 26 ust. 3 pkt 3 | przekazywanie informacji dotyczących incydentów i ryzyk podmiotom krajowego systemu cyberbezpieczeństwa;
@@ -315,10 +319,10 @@
Art. 26 ust. 4 | CSIRT MON, CSIRT NASK i CSIRT GOV wspólnie opracowują główne elementy procedur postępowania w przypadku incydentu, którego koordynacja obsługi wymaga współpracy CSIRT, oraz określą we współpracy z sektorowymi zespołami cyberbezpieczeństwa sposób współdziałania z tymi zespołami, w tym sposób koordynacji obsługi incydentu.
Art. 26 ust. 5 | Do zadań CSIRT MON należy koordynacja obsługi incydentów zgłaszanych przez:
Art. 26 ust. 5 pkt 1 | podmioty podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane, w tym podmioty, których systemy teleinformatyczne lub sieci teleinformatyczne objęte są jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
-Art. 26 ust. 5 pkt 2 | przedsiębiorcy realizujący zadania na rzecz Sił Zbrojnych, o których mowa w art. 648 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny.
+Art. 26 ust. 5 pkt 2 | przedsiębiorcy realizujący zadania na rzecz Sił Zbrojnych, o których mowa w art. 648 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny (Dz. U. z 2025 r. poz. 825, 1014 i 1080).
Art. 26 ust. 6 | Do zadań CSIRT NASK należy:
Art. 26 ust. 6 pkt 1 | koordynacja obsługi incydentów zgłaszanych przez:
-Art. 26 ust. 6 pkt 1 lit. a | jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 2-6, 11 i 12 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych,
+Art. 26 ust. 6 pkt 1 lit. a | jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 2–6, 11 i 12 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych,
Art. 26 ust. 6 pkt 1 lit. b | jednostki podległe organom administracji rządowej lub przez nie nadzorowane, z wyjątkiem jednostek, o których mowa w ust. 7 pkt 2,
Art. 26 ust. 6 pkt 1 lit. c | instytuty badawcze,
Art. 26 ust. 6 pkt 1 lit. d | Urząd Dozoru Technicznego,
@@ -328,27 +332,27 @@
Art. 26 ust. 6 pkt 1 lit. h | spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej,
Art. 26 ust. 6 pkt 1 lit. i | dostawców usług cyfrowych, z wyjątkiem wymienionych w ust. 7 pkt 5,
Art. 26 ust. 6 pkt 1 lit. j | operatorów usług kluczowych, z wyjątkiem wymienionych w ust. 5 i 7,
-Art. 26 ust. 6 pkt 1 lit. k | inne podmioty niż wymienione w lit. a-j oraz ust. 5 i 7,
+Art. 26 ust. 6 pkt 1 lit. k | inne podmioty niż wymienione w lit. a–j oraz ust. 5 i 7,
Art. 26 ust. 6 pkt 1 lit. l | osoby fizyczne;
Art. 26 ust. 6 pkt 2 | tworzenie i udostępnianie narzędzi dobrowolnej współpracy i wymiany informacji o zagrożeniach cyberbezpieczeństwa i incydentach;
-Art. 26 ust. 6 pkt 3 | zapewnienie obsługi linii telefonicznej lub serwisu internetowego prowadzących działalność w zakresie zgłaszania i analizy przypadków dystrybucji, rozpowszechniania lub przesyłania pornografii dziecięcej za pośrednictwem technologii informacyjno-komunikacyjnych, o których mowa w dyrektywie Parlamentu Europejskiego i Rady 2011/92/UE z dnia 13 grudnia 2011 r. w sprawie zwalczania niegodziwego traktowania w celach seksualnych i wykorzystywania seksualnego dzieci oraz pornografii dziecięcej, zastępującej decyzję ramową Rady 2004/68/WSiSW;
-Art. 26 ust. 6 pkt 4 | monitorowanie występowania smishingu oraz tworzenie wzorca wiadomości wyczerpującej znamiona smishingu, o którym mowa w art. 4 ustawy z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej;
+Art. 26 ust. 6 pkt 3 | zapewnienie obsługi linii telefonicznej lub serwisu internetowego prowadzących działalność w zakresie zgłaszania i analizy przypadków dystrybucji, rozpowszechniania lub przesyłania pornografii dziecięcej za pośrednictwem technologii informacyjno-komunikacyjnych, o których mowa w dyrektywie Parlamentu Europejskiego i Rady 2011/92/UE z dnia 13 grudnia 2011 r. w sprawie zwalczania niegodziwego traktowania w celach seksualnych i wykorzystywania seksualnego dzieci oraz pornografii dziecięcej, zastępującej decyzję ramową Rady 2004/68/WSiSW (Dz. Urz. UE L 335 z 17.12.2011, str. 1);
+Art. 26 ust. 6 pkt 4 | monitorowanie występowania smishingu oraz tworzenie wzorca wiadomości wyczerpującej znamiona smishingu, o którym mowa w art. 4 ustawy z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz. U. z 2024 r. poz. 1803);
Art. 26 ust. 6 pkt 5 | prowadzenie i udostępnianie na swojej stronie internetowej wykazu nazw oraz ich skrótów zastrzeżonych dla podmiotów publicznych jako nadpis wiadomości pochodzącej od podmiotu publicznego oraz wariantów tych nazw i skrótów, mogących wprowadzać odbiorcę w błąd co do pochodzenia wiadomości od podmiotu publicznego, o którym mowa w art. 10 ust. 1 ustawy z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej.
Art. 26 ust. 7 | Do zadań CSIRT GOV należy koordynacja obsługi incydentów zgłaszanych przez:
Art. 26 ust. 7 pkt 1 | jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1, 8 i 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, z wyjątkiem wymienionych w ust. 5 i 6;
Art. 26 ust. 7 pkt 2 | jednostki podległe Prezesowi Rady Ministrów lub przez niego nadzorowane;
Art. 26 ust. 7 pkt 3 | Narodowy Bank Polski;
Art. 26 ust. 7 pkt 4 | Bank Gospodarstwa Krajowego;
-Art. 26 ust. 7 pkt 5 | inne niż wymienione w pkt 1-4 oraz ust. 5 podmioty, których systemy teleinformatyczne lub sieci teleinformatyczne objęte są jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
+Art. 26 ust. 7 pkt 5 | inne niż wymienione w pkt 1–4 oraz ust. 5 podmioty, których systemy teleinformatyczne lub sieci teleinformatyczne objęte są jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
Art. 26 ust. 7 pkt 6 | podmioty, o których mowa w ust. 6, jeżeli incydent dotyczy systemów teleinformatycznych lub sieci teleinformatycznych objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym.
Art. 26 ust. 8 | CSIRT MON, CSIRT NASK lub CSIRT GOV, który otrzymał zgłoszenie incydentu, a nie jest właściwy do koordynacji jego obsługi, przekazuje niezwłocznie to zgłoszenie do właściwego CSIRT wraz z otrzymanymi informacjami.
Art. 26 ust. 9 | Działalność CSIRT NASK jest finansowana w formie dotacji podmiotowej z części budżetu państwa, której dysponentem jest minister właściwy do spraw informatyzacji.
-Art. 26 ust. 10 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą, w drodze porozumienia, powierzyć sobie wzajemnie wykonywanie zadań w stosunku do niektórych rodzajów podmiotów, o których mowa w ust. 5-7. O zawarciu porozumienia CSIRT, który powierzył wykonywanie zadań, informuje podmioty, w stosunku do których nastąpiła zmiana CSIRT.
+Art. 26 ust. 10 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą, w drodze porozumienia, powierzyć sobie wzajemnie wykonywanie zadań w stosunku do niektórych rodzajów podmiotów, o których mowa w ust. 5–7. O zawarciu porozumienia CSIRT, który powierzył wykonywanie zadań, informuje podmioty, w stosunku do których nastąpiła zmiana CSIRT.
Art. 26 ust. 11 | Komunikat o zawarciu porozumienia, o którym mowa w ust. 10, ogłasza się w dzienniku urzędowym odpowiednio Ministra Obrony Narodowej, Ministra Cyfryzacji lub Agencji Bezpieczeństwa Wewnętrznego. W komunikacie wskazuje się informacje o:
Art. 26 ust. 11 pkt 1 | adresie strony internetowej, na której zostanie zamieszczona treść porozumienia wraz ze stanowiącymi jego integralną treść załącznikami;
Art. 26 ust. 11 pkt 2 | terminie, od którego porozumienie będzie obowiązywało.
-Art. 27 ust. 1 | CSIRT GOV jest właściwy w zakresie incydentów związanych ze zdarzeniami o charakterze terrorystycznym, o których mowa w art. 2 pkt 7 ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych.
-Art. 27 ust. 2 | CSIRT MON jest właściwy w zakresie incydentów związanych ze zdarzeniami o charakterze terrorystycznym, o których mowa w art. 5 ust. 1 pkt 2a ustawy z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu Wojskowego.
+Art. 27 ust. 1 | CSIRT GOV jest właściwy w zakresie incydentów związanych ze zdarzeniami o charakterze terrorystycznym, o których mowa w art. 2 pkt 7 ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych (Dz. U. z 2025 r. poz. 194).
+Art. 27 ust. 2 | CSIRT MON jest właściwy w zakresie incydentów związanych ze zdarzeniami o charakterze terrorystycznym, o których mowa w art. 5 ust. 1 pkt 2a ustawy z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu Wojskowego (Dz. U. z 2024 r. poz. 1405 oraz z 2025 r. poz. 179 i 1366).
Art. 27 ust. 3 | W przypadku stwierdzenia, że incydent, którego obsługa jest koordynowana przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV, jest związany ze zdarzeniami, o których mowa w ust. 1 albo 2, koordynację obsługi incydentu przejmuje właściwy CSIRT MON lub CSIRT GOV.
Art. 28 ust. 1 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV informuje na podstawie zgłoszenia incydentu poważnego dokonanego przez operatora usługi kluczowej inne państwa członkowskie Unii Europejskiej, których dotyczy ten incydent, za pośrednictwem Pojedynczego Punktu Kontaktowego.
Art. 28 ust. 2 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV przekazuje, jeżeli pozwalają na to okoliczności, operatorowi usługi kluczowej zgłaszającemu incydent poważny informacje dotyczące działań podjętych po zgłoszeniu tego incydentu, które mogłyby pomóc w jego obsłudze.
@@ -361,12 +365,12 @@
Art. 30 ust. 2 | Zgłoszenia incydentów od operatorów usług kluczowych oraz dostawców usług cyfrowych są traktowane priorytetowo względem zgłoszeń, o których mowa w ust. 1.
Art. 30 ust. 3 | Zgłoszenia, o których mowa w ust. 1, mogą zostać rozpatrzone, gdy nie stanowi to nieproporcjonalnego czy nadmiernego obciążenia dla CSIRT NASK.
Art. 30 ust. 4 | Podmiot, o którym mowa w ust. 1, oznacza w zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.
-Art. 31 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV określa sposób dokonywania zgłoszeń i przekazywania informacji w postaci elektronicznej, o których mowa w art. 11 ust. 1 pkt 4, art. 13 ust. 1, art. 18 ust. 1 pkt 4, art. 20, art. 22 ust. 1 pkt 2, art. 24 i art. 30 ust. 1, a także określa sposób dokonywania zgłoszeń i przekazywania informacji przy użyciu innych środków komunikacji - w przypadku braku możliwości dokonania zgłoszenia albo przekazania ich w postaci elektronicznej.
-Art. 31 ust. 2 | Komunikat zawierający informacje, o których mowa w ust. 1, CSIRT MON, CSIRT NASK i CSIRT GOV publikuje na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego.
+Art. 31 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV określa sposób dokonywania zgłoszeń i przekazywania informacji w postaci elektronicznej, o których mowa w art. 11 ust. 1 pkt 4, art. 13 ust. 1, art. 18 ust. 1 pkt 4, art. 20, art. 22 ust. 1 pkt 2, art. 24 i art. 30 ust. 1, a także określa sposób dokonywania zgłoszeń i przekazywania informacji przy użyciu innych środków komunikacji – w przypadku braku możliwości dokonania zgłoszenia albo przekazania ich w postaci elektronicznej.
+Art. 31 ust. 2 | Komunikat zawierający informacje, o których mowa w ust. 1, CSIRT MON, CSIRT NASK i CSIRT GOV publikuje na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego.
Art. 32 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą wykonywać niezbędne działania techniczne związane z analizą zagrożeń, koordynacją obsługi incydentu poważnego, incydentu istotnego i incydentu krytycznego.
Art. 32 ust. 2 | W trakcie koordynacji obsługi incydentu poważnego, incydentu istotnego lub krytycznego CSIRT MON, CSIRT NASK lub CSIRT GOV może wystąpić do organu właściwego do spraw cyberbezpieczeństwa z wnioskiem o wezwanie operatora usługi kluczowej lub dostawcy usługi cyfrowej, aby w wyznaczonym terminie usunął podatności, które doprowadziły lub mogłyby doprowadzić do incydentu poważnego, incydentu istotnego lub krytycznego.
Art. 32 ust. 3 | CSIRT MON, CSIRT NASK lub CSIRT GOV może wystąpić bezpośrednio do operatora usługi kluczowej o udostępnienie informacji technicznych związanych z incydentem poważnym lub krytycznym, które będą niezbędne do przeprowadzenia analizy lub koordynacji obsługi takiego incydentu.
-Art. 32 ust. 4 | CSIRT MON, CSIRT NASK, CSIRT GOV lub sektorowe zespoły cyberbezpieczeństwa na podstawie informacji, o których mowa w art. 13 ust. 1 pkt 3 i 5, uzyskanych od operatora usługi kluczowej, dostawcy usługi cyfrowej lub podmiotu publicznego, o którym mowa w art. 4 pkt 7-15, mogą przekazywać im informacje o podatnościach i sposobie usunięcia podatności w wykorzystywanych technologiach.
+Art. 32 ust. 4 | CSIRT MON, CSIRT NASK, CSIRT GOV lub sektorowe zespoły cyberbezpieczeństwa na podstawie informacji, o których mowa w art. 13 ust. 1 pkt 3 i 5, uzyskanych od operatora usługi kluczowej, dostawcy usługi cyfrowej lub podmiotu publicznego, o którym mowa w art. 4 pkt 7–15, mogą przekazywać im informacje o podatnościach i sposobie usunięcia podatności w wykorzystywanych technologiach.
Art. 33 ust. 1 | CSIRT MON, CSIRT NASK lub CSIRT GOV może przeprowadzić badanie urządzenia informatycznego lub oprogramowania w celu identyfikacji podatności, której wykorzystanie może zagrozić w szczególności integralności, poufności, rozliczalności, autentyczności lub dostępności przetwarzanych danych, które może mieć wpływ na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa.
Art. 33 ust. 2 | CSIRT MON, CSIRT NASK albo CSIRT GOV, podejmując badanie urządzenia informatycznego lub oprogramowania, informuje pozostałe CSIRT o fakcie podjęcia badań oraz urządzeniu informatycznym lub oprogramowaniu, którego badanie dotyczy.
Art. 33 ust. 3 | CSIRT MON, CSIRT NASK lub CSIRT GOV w przypadku identyfikacji podatności, o której mowa w ust. 1, składa wniosek w sprawie rekomendacji, o których mowa w ust. 4.
@@ -388,7 +392,7 @@
Art. 35 ust. 2 pkt 2 | rekomendację w sprawie zwołania Rządowego Zespołu Zarządzania Kryzysowego, o którym mowa w art. 8 ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym.
Art. 35 ust. 3 | Informacja, o której mowa w ust. 1, może zawierać wniosek o zwołanie Zespołu do spraw Incydentów Krytycznych, zwanego dalej „Zespołem”.
Art. 35 ust. 4 | W przypadku uzyskania informacji o zagrożeniach cyberbezpieczeństwa CSIRT MON, CSIRT NASK i CSIRT GOV mogą informować się wzajemnie oraz informować o tych zagrożeniach Rządowe Centrum Bezpieczeństwa. Przepisy ust. 2 i 3 stosuje się odpowiednio.
-Art. 35 ust. 5 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą publikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje, w niezbędnym zakresie, o podatnościach, incydentach krytycznych oraz o zagrożeniach cyberbezpieczeństwa, o ile przekazywanie informacji przyczyni się do zwiększenia cyberbezpieczeństwa systemów informacyjnych użytkowanych przez obywateli i przedsiębiorców lub zapewnienia bezpiecznego korzystania z tych systemów. Publikowane informacje nie mogą naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych.
+Art. 35 ust. 5 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą publikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje, w niezbędnym zakresie, o podatnościach, incydentach krytycznych oraz o zagrożeniach cyberbezpieczeństwa, o ile przekazywanie informacji przyczyni się do zwiększenia cyberbezpieczeństwa systemów informacyjnych użytkowanych przez obywateli i przedsiębiorców lub zapewnienia bezpiecznego korzystania z tych systemów. Publikowane informacje nie mogą naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych.
Art. 36 ust. 1 | Zespół jest organem pomocniczym w sprawach obsługi incydentów krytycznych zgłoszonych CSIRT MON, CSIRT NASK lub CSIRT GOV i koordynującym działania podejmowane przez CSIRT MON, CSIRT NASK, CSIRT GOV oraz Rządowe Centrum Bezpieczeństwa.
Art. 36 ust. 2 | W skład Zespołu wchodzą przedstawiciele CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV oraz Rządowego Centrum Bezpieczeństwa.
Art. 36 ust. 3 | Dyrektor Rządowego Centrum Bezpieczeństwa przewodniczy pracom Zespołu.
@@ -401,26 +405,27 @@
Art. 36 ust. 7 pkt 3 | określa sposób wymiany informacji technicznych dotyczących incydentu krytycznego obsługiwanego wspólnie przez CSIRT MON, CSIRT NASK lub Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV;
Art. 36 ust. 7 pkt 4 | podejmuje decyzję o wystąpieniu przez dyrektora Rządowego Centrum Bezpieczeństwa z wnioskiem do Prezesa Rady Ministrów w sprawie zwołania Rządowego Zespołu Zarządzania Kryzysowego;
Art. 36 ust. 7 pkt 5 | w przypadku incydentu krytycznego, który może spowodować zagrożenie wystąpienia zdarzenia o charakterze terrorystycznym, dotyczącego systemów teleinformatycznych organów administracji publicznej lub systemów teleinformatycznych wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 15 ust. 2 ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych, przygotowuje w zakresie takiego incydentu informacje i wnioski dla ministra właściwego do spraw wewnętrznych i Szefa Agencji Bezpieczeństwa Wewnętrznego.
-Art. 37 ust. 1 | Do udostępniania informacji o podatnościach, incydentach i zagrożeniach cyberbezpieczeństwa oraz o ryzyku wystąpienia incydentów nie stosuje się ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej.
-Art. 37 ust. 2 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może, po konsultacji ze zgłaszającym operatorem usługi kluczowej, opublikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje o incydentach poważnych, gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu albo zapewnić obsługę incydentu.
-Art. 37 ust. 3 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może, po konsultacji ze zgłaszającym incydent istotny dostawcą usług cyfrowych, opublikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej lub Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje o incydentach istotnych lub wystąpić do organu właściwego do spraw cyberbezpieczeństwa dla dostawcy usług cyfrowych, aby zobowiązał dostawcę usług cyfrowych do podania tych informacji do publicznej wiadomości, gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu lub zapewnić obsługę incydentu, albo gdy z innych powodów ujawnienie incydentu jest w interesie publicznym.
+Rozdział 7 | Zasady udostępniania informacji i przetwarzania danych osobowych
+Art. 37 ust. 1 | Do udostępniania informacji o podatnościach, incydentach i zagrożeniach cyberbezpieczeństwa oraz o ryzyku wystąpienia incydentów nie stosuje się ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2022 r. poz. 902).
+Art. 37 ust. 2 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może, po konsultacji ze zgłaszającym operatorem usługi kluczowej, opublikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje o incydentach poważnych, gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu albo zapewnić obsługę incydentu.
+Art. 37 ust. 3 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może, po konsultacji ze zgłaszającym incydent istotny dostawcą usług cyfrowych, opublikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej lub Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje o incydentach istotnych lub wystąpić do organu właściwego do spraw cyberbezpieczeństwa dla dostawcy usług cyfrowych, aby zobowiązał dostawcę usług cyfrowych do podania tych informacji do publicznej wiadomości, gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu lub zapewnić obsługę incydentu, albo gdy z innych powodów ujawnienie incydentu jest w interesie publicznym.
Art. 37 ust. 4 | Opublikowanie informacji, o których mowa w ust. 2 i 3, nie może naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych.
Art. 38 | Nie udostępnia się informacji przetwarzanych na podstawie ustawy, jeżeli ich ujawnienie naruszyłoby ochronę interesu publicznego w odniesieniu do bezpieczeństwa lub porządku publicznego, a także negatywnie wpłynęłoby na prowadzenie postępowań przygotowawczych w sprawie przestępstw, ich wykrywania i ścigania.
-Art. 39 ust. 1 | W celu realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1-11, 14 i 15 i ust. 5-8 oraz art. 44 ust. 1-3, CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa przetwarzają dane pozyskane w związku z incydentami i zagrożeniami cyberbezpieczeństwa, w tym dane osobowe, obejmujące także dane określone w art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwanego dalej „rozporządzeniem 2016/679”, w zakresie i w celu niezbędnym do realizacji tych zadań.
+Art. 39 ust. 1 | W celu realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44 ust. 1–3, CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa przetwarzają dane pozyskane w związku z incydentami i zagrożeniami cyberbezpieczeństwa, w tym dane osobowe, obejmujące także dane określone w art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), zwanego dalej „rozporządzeniem 2016/679”, w zakresie i w celu niezbędnym do realizacji tych zadań.
Art. 39 ust. 2 | CSIRT MON, CSIRT NASK i sektorowe zespoły cyberbezpieczeństwa, przetwarzając dane osobowe określone w art. 9 ust. 1 rozporządzenia 2016/679, prowadzą analizę ryzyka, stosują środki ochrony przed złośliwym oprogramowaniem oraz mechanizmy kontroli dostępu, a także opracowują procedury bezpiecznej wymiany informacji.
Art. 39 ust. 3 | CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa przetwarzają dane osobowe pozyskane w związku z incydentami i zagrożeniami cyberbezpieczeństwa:
Art. 39 ust. 3 pkt 1 | dotyczące użytkowników systemów informacyjnych oraz użytkowników telekomunikacyjnych urządzeń końcowych;
-Art. 39 ust. 3 pkt 2 | dotyczące telekomunikacyjnych urządzeń końcowych w rozumieniu art. 2 pkt 71 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej;
+Art. 39 ust. 3 pkt 2 | dotyczące telekomunikacyjnych urządzeń końcowych w rozumieniu art. 2 pkt 71 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej;
Art. 39 ust. 3 pkt 3 | gromadzone przez operatorów usług kluczowych i dostawców usług cyfrowych w związku ze świadczeniem usług;
Art. 39 ust. 3 pkt 4 | gromadzone przez podmioty publiczne w związku z realizacją zadań publicznych, dotyczące podmiotów zgłaszających incydent zgodnie z art. 30 ust. 1.
Art. 39 ust. 4 | W celu realizacji zadań określonych w ustawie minister właściwy do spraw informatyzacji, dyrektor Rządowego Centrum Bezpieczeństwa, Pełnomocnik oraz organy właściwe do spraw cyberbezpieczeństwa przetwarzają dane osobowe pozyskane w związku z incydentami i zagrożeniami cyberbezpieczeństwa:
Art. 39 ust. 4 pkt 1 | gromadzone przez operatorów usług kluczowych i dostawców usług cyfrowych w związku ze świadczeniem usług;
Art. 39 ust. 4 pkt 2 | gromadzone przez podmioty publiczne w związku z realizacją zadań publicznych;
Art. 39 ust. 4 pkt 3 | dotyczące podmiotów zgłaszających incydent zgodnie z art. 30 ust. 1.
-Art. 39 ust. 5 | Dane, o których mowa w ust. 3 i 4, są usuwane lub anonimizowane przez CSIRT MON, CSIRT NASK i sektorowy zespół cyberbezpieczeństwa niezwłocznie po stwierdzeniu, że nie są niezbędne do realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1-11, 14 i 15 i ust. 5-8 oraz art. 44 ust. 1-3.
-Art. 39 ust. 6 | Dane, o których mowa w ust. 3 i 4, niezbędne do realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1-11, 14 i 15 i ust. 5-8 oraz art. 44 ust. 1-3, są usuwane lub anonimizowane przez CSIRT MON, CSIRT NASK i sektorowy zespół cyberbezpieczeństwa w terminie 5 lat od zakończenia obsługi incydentu, którego dotyczą.
+Art. 39 ust. 5 | Dane, o których mowa w ust. 3 i 4, są usuwane lub anonimizowane przez CSIRT MON, CSIRT NASK i sektorowy zespół cyberbezpieczeństwa niezwłocznie po stwierdzeniu, że nie są niezbędne do realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44 ust. 1–3.
+Art. 39 ust. 6 | Dane, o których mowa w ust. 3 i 4, niezbędne do realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44 ust. 1–3, są usuwane lub anonimizowane przez CSIRT MON, CSIRT NASK i sektorowy zespół cyberbezpieczeństwa w terminie 5 lat od zakończenia obsługi incydentu, którego dotyczą.
Art. 39 ust. 7 | W celu realizacji zadań określonych w ustawie CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa mogą przekazywać sobie wzajemnie dane, o których mowa w ust. 3, w zakresie niezbędnym do realizacji tych zadań i współpracować z organem właściwym do spraw ochrony danych osobowych.
-Art. 39 ust. 8 | Przetwarzanie przez CSIRT MON, CSIRT NASK i sektorowe zespoły cyberbezpieczeństwa danych, o których mowa w ust. 3, nie wymaga realizacji obowiązków wynikających z art. 15, art. 16, art. 18 ust. 1 lit. a i d oraz art. 19 zdanie drugie rozporządzenia 2016/679, jeżeli uniemożliwiłoby to realizację zadań CSIRT NASK, CSIRT MON i sektorowych zespołów cyberbezpieczeństwa, o których mowa w art. 26 ust. 3 pkt 1-11, 14 i 15 i ust. 5-8 oraz art. 44 ust. 1-3, i jest możliwe, gdy CSIRT MON, CSIRT NASK i sektorowe zespoły cyberbezpieczeństwa prowadzą analizę ryzyka, stosują środki ochrony przed złośliwym oprogramowaniem, stosują mechanizmy kontroli dostępu oraz opracowują procedury bezpiecznej wymiany informacji.
+Art. 39 ust. 8 | Przetwarzanie przez CSIRT MON, CSIRT NASK i sektorowe zespoły cyberbezpieczeństwa danych, o których mowa w ust. 3, nie wymaga realizacji obowiązków wynikających z art. 15, art. 16, art. 18 ust. 1 lit. a i d oraz art. 19 zdanie drugie rozporządzenia 2016/679, jeżeli uniemożliwiłoby to realizację zadań CSIRT NASK, CSIRT MON i sektorowych zespołów cyberbezpieczeństwa, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44 ust. 1–3, i jest możliwe, gdy CSIRT MON, CSIRT NASK i sektorowe zespoły cyberbezpieczeństwa prowadzą analizę ryzyka, stosują środki ochrony przed złośliwym oprogramowaniem, stosują mechanizmy kontroli dostępu oraz opracowują procedury bezpiecznej wymiany informacji.
Art. 39 ust. 9 | CSIRT MON, CSIRT NASK i sektorowe zespoły cyberbezpieczeństwa publikują na swoich stronach internetowych:
Art. 39 ust. 9 pkt 1 | dane kontaktowe administratora danych osobowych oraz, gdy ma to zastosowanie, dane kontaktowe inspektora ochrony danych osobowych;
Art. 39 ust. 9 pkt 2 | cele przetwarzania i podstawę prawną przetwarzania;
@@ -433,18 +438,19 @@
Art. 40 ust. 1 | CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowe zespoły cyberbezpieczeństwa i minister właściwy do spraw informatyzacji przetwarzają informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne dla realizacji zadań, o których mowa w ustawie.
Art. 40 ust. 2 | CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa przekazują informacje, o których mowa w ust. 1, organom ścigania w związku z incydentem wyczerpującym znamiona przestępstwa.
Art. 40 ust. 3 | CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa obowiązane są do zachowania w tajemnicy informacji, w tym informacji stanowiących tajemnice prawnie chronione, uzyskanych w związku z realizacją zadań, o których mowa w ustawie.
+Rozdział 8 | Organy właściwe do spraw cyberbezpieczeństwa
Art. 41 | Organami właściwymi do spraw cyberbezpieczeństwa są:
-Art. 41 pkt 1 | dla sektora energii - minister właściwy do spraw energii;
-Art. 41 pkt 2 | dla sektora transportu z wyłączeniem podsektora transportu wodnego - minister właściwy do spraw transportu;
-Art. 41 pkt 3 | dla podsektora transportu wodnego - minister właściwy do spraw gospodarki morskiej i minister właściwy do spraw żeglugi śródlądowej;
-Art. 41 pkt 4 | dla sektora bankowego i infrastruktury rynków finansowych - Komisja Nadzoru Finansowego;
-Art. 41 pkt 5 | dla sektora ochrony zdrowia z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 - minister właściwy do spraw zdrowia;
-Art. 41 pkt 6 | dla sektora ochrony zdrowia obejmującego podmioty, o których mowa w art. 26 ust. 5 - Minister Obrony Narodowej;
-Art. 41 pkt 7 | dla sektora zaopatrzenia w wodę pitną i jej dystrybucji - minister właściwy do spraw gospodarki wodnej;
-Art. 41 pkt 8 | dla sektora infrastruktury cyfrowej z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 - minister właściwy do spraw informatyzacji;
-Art. 41 pkt 9 | dla sektora infrastruktury cyfrowej obejmującego podmioty, o których mowa w art. 26 ust. 5 - Minister Obrony Narodowej;
-Art. 41 pkt 10 | dla dostawców usług cyfrowych z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 - minister właściwy do spraw informatyzacji;
-Art. 41 pkt 11 | dla dostawców usług cyfrowych obejmujących podmioty, o których mowa w art. 26 ust. 5 - Minister Obrony Narodowej.
+Art. 41 pkt 1 | dla sektora energii – minister właściwy do spraw energii;
+Art. 41 pkt 2 | dla sektora transportu z wyłączeniem podsektora transportu wodnego – minister właściwy do spraw transportu;
+Art. 41 pkt 3 | dla podsektora transportu wodnego – minister właściwy do spraw gospodarki morskiej i minister właściwy do spraw żeglugi śródlądowej;
+Art. 41 pkt 4 | dla sektora bankowego i infrastruktury rynków finansowych – Komisja Nadzoru Finansowego;
+Art. 41 pkt 5 | dla sektora ochrony zdrowia z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 – minister właściwy do spraw zdrowia;
+Art. 41 pkt 6 | dla sektora ochrony zdrowia obejmującego podmioty, o których mowa w art. 26 ust. 5 – Minister Obrony Narodowej;
+Art. 41 pkt 7 | dla sektora zaopatrzenia w wodę pitną i jej dystrybucji – minister właściwy do spraw gospodarki wodnej;
+Art. 41 pkt 8 | dla sektora infrastruktury cyfrowej z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 – minister właściwy do spraw informatyzacji;
+Art. 41 pkt 9 | dla sektora infrastruktury cyfrowej obejmującego podmioty, o których mowa w art. 26 ust. 5 – Minister Obrony Narodowej;
+Art. 41 pkt 10 | dla dostawców usług cyfrowych z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 – minister właściwy do spraw informatyzacji;
+Art. 41 pkt 11 | dla dostawców usług cyfrowych obejmujących podmioty, o których mowa w art. 26 ust. 5 – Minister Obrony Narodowej.
Art. 42 ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa:
Art. 42 ust. 1 pkt 1 | prowadzi bieżącą analizę podmiotów w danym sektorze lub podsektorze pod kątem uznania ich za operatora usługi kluczowej lub niespełniania warunków kwalifikujących podmiot jako operatora usługi kluczowej;
Art. 42 ust. 1 pkt 2 | wydaje decyzje o uznaniu podmiotu za operatora usługi kluczowej albo decyzje stwierdzające wygaśnięcie decyzji o uznaniu podmiotu za operatora usługi kluczowej;
@@ -465,7 +471,7 @@
Art. 42 ust. 6 pkt 1 | adresie strony internetowej, na której zostanie zamieszczona treść porozumienia wraz ze stanowiącymi jego integralną treść załącznikami;
Art. 42 ust. 6 pkt 2 | terminie, od którego porozumienie będzie obowiązywało.
Art. 42 ust. 7 | Organy właściwe do spraw cyberbezpieczeństwa i Pojedynczy Punkt Kontaktowy w uzasadnionych przypadkach współpracują z organami ścigania i organem właściwym do spraw ochrony danych osobowych.
-Art. 42 ust. 8 | Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sektorowe dotyczące zgłaszania incydentów, o których mowa w ust. 1 pkt 5, przygotowuje się z uwzględnieniem w szczególności Polskich Norm przenoszących normy europejskie, wspólnych specyfikacji technicznych, rozumianych jako specyfikacje techniczne w dziedzinie produktów teleinformatycznych określone zgodnie z art. 13 i art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniającego dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylającego decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE oraz wytycznych Komisji Europejskiej oraz Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA) w tym zakresie.
+Art. 42 ust. 8 | Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sektorowe dotyczące zgłaszania incydentów, o których mowa w ust. 1 pkt 5, przygotowuje się z uwzględnieniem w szczególności Polskich Norm przenoszących normy europejskie, wspólnych specyfikacji technicznych, rozumianych jako specyfikacje techniczne w dziedzinie produktów teleinformatycznych określone zgodnie z art. 13 i art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniającego dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylającego decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE (Dz. Urz. UE L 316 z 14.11.2012, str. 12) oraz wytycznych Komisji Europejskiej oraz Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA) w tym zakresie.
Art. 43 ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa może, bez wszczynania postępowania w sprawie uznania podmiotu za operatora usługi kluczowej, wystąpić do podmiotu, o którym mowa w załączniku nr 1 do ustawy, o udzielenie informacji, które umożliwią wstępną ocenę, czy dany podmiot spełnia warunki do uznania go za operatora usługi kluczowej.
Art. 43 ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa może, bez wszczynania kontroli, wystąpić do operatora usługi kluczowej o udzielenie informacji, które umożliwią ustalenie potrzeby przeprowadzania kontroli, a także może, bez wszczynania postępowania, wystąpić do operatora usługi kluczowej o udzielenie informacji, które umożliwią wstępną ocenę, czy dany podmiot przestał spełniać warunki do uznania go za operatora usługi kluczowej.
Art. 43 ust. 3 | Organ właściwy do spraw cyberbezpieczeństwa, występując do podmiotu, o którym mowa w załączniku nr 1 do ustawy, lub operatora usługi kluczowej wskazuje termin udzielenia informacji. Wyznaczony termin nie może być krótszy niż 14 dni, licząc od dnia otrzymania wystąpienia przez podmiot lub operatora usługi kluczowej.
@@ -474,12 +480,13 @@
Art. 43 ust. 6 | Informacje udzielone przez podmiot lub operatora usługi kluczowej, o których mowa w ust. 1 i 2, mogą stanowić materiał dowodowy we wszczętym postępowaniu administracyjnym lub kontroli. Brak udzielenia informacji nie wpływa na sytuację procesową strony albo kontrolowanego ani na wszczęte postępowanie administracyjne lub kontrolę.
Art. 44 ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa może ustanowić, zgodnie z odrębnymi przepisami, sektorowy zespół cyberbezpieczeństwa dla danego sektora lub podsektora wymienionego w załączniku nr 1 do ustawy, odpowiedzialny w szczególności za:
Art. 44 ust. 1 pkt 1 | przyjmowanie zgłoszeń o incydentach poważnych oraz wsparcie w obsłudze tych incydentów;
-Art. 44 ust. 1 pkt 2 | wspieranie operatorów usług kluczowych w wykonywaniu obowiązków określonych w art. 8, art. 9, art. 10 ust. 1-3, art. 11 ust. 1-3, art. 12 i art. 13;
+Art. 44 ust. 1 pkt 2 | wspieranie operatorów usług kluczowych w wykonywaniu obowiązków określonych w art. 8, art. 9, art. 10 ust. 1–3, art. 11 ust. 1–3, art. 12 i art. 13;
Art. 44 ust. 1 pkt 3 | analizowanie incydentów poważnych, wyszukiwanie powiązań pomiędzy incydentami oraz opracowywanie wniosków z obsługi incydentu;
Art. 44 ust. 1 pkt 4 | współpracę z właściwym CSIRT MON, CSIRT NASK i CSIRT GOV w zakresie koordynowania obsługi incydentów poważnych.
Art. 44 ust. 2 | Sektorowy zespół cyberbezpieczeństwa może przekazywać do innych państw, w tym państw członkowskich Unii Europejskiej, i przyjmować z tych państw informacje o incydentach poważnych, w tym dotyczących dwóch lub większej liczby państw członkowskich Unii Europejskiej.
Art. 44 ust. 3 | Sektorowy zespół cyberbezpieczeństwa może otrzymywać zgłoszenia incydentu poważnego z innego państwa członkowskiego Unii Europejskiej dotyczącego dwóch lub większej liczby państw członkowskich Unii Europejskiej. Sektorowy zespół cyberbezpieczeństwa przekazuje te zgłoszenia do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV oraz Pojedynczego Punktu Kontaktowego.
Art. 44 ust. 4 | W przypadku ustanowienia sektorowego zespołu cyberbezpieczeństwa organ właściwy do spraw cyberbezpieczeństwa informuje operatorów usług kluczowych w danym sektorze oraz CSIRT MON, CSIRT NASK i CSIRT GOV o ustanowieniu tego zespołu i zakresie realizowanych zadań.
+Rozdział 9 | Zadania ministra właściwego do spraw informatyzacji
Art. 45 ust. 1 | Minister właściwy do spraw informatyzacji jest odpowiedzialny za:
Art. 45 ust. 1 pkt 1 | monitorowanie wdrażania Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej, zwanej dalej „Strategią”, oraz realizację planów działań na rzecz jej wdrożenia;
Art. 45 ust. 1 pkt 2 | rekomendowanie obszarów współpracy z sektorem prywatnym w celu zwiększenia cyberbezpieczeństwa Rzeczypospolitej Polskiej;
@@ -495,8 +502,7 @@
Art. 45 ust. 2 | Przez Grupę Współpracy rozumie się grupę, o której mowa w decyzji wykonawczej Komisji UE 2017/179 z dnia 1 lutego 2017 r. ustanawiającej procedury niezbędne do funkcjonowania grupy współpracy zgodnie z art. 11 ust. 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 28 z 02.02.2017, str. 73).
Art. 45a ust. 1 | Minister właściwy do spraw informatyzacji może udzielić pomocy publicznej lub pomocy de minimis w ramach:
Art. 45a ust. 1 pkt 1 | programów rządowych lub
-Art. 45a ust. 1 pkt 2 | innych programów finansowanych w całości albo w części z udziałem środków, o których mowa w art. 5 ust. 3 pkt 6 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych
-Art. 45a ust. 1 | - których celem jest wspieranie działań w obszarze cyberbezpieczeństwa.
+Art. 45a ust. 1 pkt 2 | innych programów finansowanych w całości albo w części z udziałem środków, o których mowa w art. 5 ust. 3 pkt 6 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych – których celem jest wspieranie działań w obszarze cyberbezpieczeństwa.
Art. 45a ust. 2 | Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, szczegółowe warunki oraz tryb udzielania pomocy w ramach programów, o których mowa w ust. 1, uwzględniając konieczność realizacji celów określonych w tych programach oraz efektywnego i skutecznego jej wykorzystania oraz przejrzystości jej udzielania, a także zgodności tej pomocy z rynkiem wewnętrznym.
Art. 46 ust. 1 | Minister właściwy do spraw informatyzacji zapewnia rozwój lub utrzymanie systemu teleinformatycznego wspierającego:
Art. 46 ust. 1 pkt 1 | współpracę podmiotów wchodzących w skład krajowego systemu cyberbezpieczeństwa;
@@ -533,12 +539,13 @@
Art. 50 pkt 1 | niezwłocznie informacje o:
Art. 50 pkt 1 lit. a | wyznaczonych organach właściwych do spraw cyberbezpieczeństwa, Pojedynczym Punkcie Kontaktowym, ich zadaniach oraz późniejszych zmianach w tym zakresie,
Art. 50 pkt 1 lit. b | przepisach dotyczących kar pieniężnych dotyczących krajowego systemu cyberbezpieczeństwa;
-Art. 50 pkt 2 | co 2 lata informacje umożliwiające ocenę wdrażania dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii, obejmujące w szczególności:
+Art. 50 pkt 2 | co 2 lata informacje umożliwiające ocenę wdrażania dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1), obejmujące w szczególności:
Art. 50 pkt 2 lit. a | środki umożliwiające identyfikację operatorów usług kluczowych,
Art. 50 pkt 2 lit. b | wykaz usług kluczowych,
Art. 50 pkt 2 lit. c | liczbę zidentyfikowanych operatorów usług kluczowych w każdym sektorze, o którym mowa w załączniku nr 1 do ustawy, oraz wskazanie ich znaczenia w odniesieniu do tego sektora,
Art. 50 pkt 2 lit. d | progi istotności skutku zakłócającego dla świadczonej usługi kluczowej brane pod uwagę przy kwalifikowaniu podmiotów jako operatorów usług kluczowych;
Art. 50 pkt 3 | informacje o zadaniach CSIRT MON, CSIRT NASK i CSIRT GOV, w tym o głównych elementach procedur postępowania w przypadku wystąpienia incydentu.
+Rozdział 10 | Zadania Ministra Obrony Narodowej
Art. 51 | Minister Obrony Narodowej jest odpowiedzialny za:
Art. 51 pkt 1 | współpracę Sił Zbrojnych Rzeczypospolitej Polskiej z właściwymi organami Organizacji Traktatu Północnoatlantyckiego, Unii Europejskiej i organizacji międzynarodowych w obszarze obrony narodowej w zakresie cyberbezpieczeństwa;
Art. 51 pkt 2 | zapewnienie zdolności Siłom Zbrojnym Rzeczypospolitej Polskiej w układzie krajowym, sojuszniczym i koalicyjnym do prowadzenia działań militarnych w przypadku zagrożenia cyberbezpieczeństwa powodującego konieczność działań obronnych;
@@ -554,6 +561,7 @@
Art. 52 pkt 3 | zapewnienie współpracy między narodowymi i sojuszniczymi siłami zbrojnymi w zakresie zapewnienia cyberbezpieczeństwa;
Art. 52 pkt 4 | rozwijanie systemów wymiany informacji o zagrożeniach cyberbezpieczeństwa w obszarze obrony narodowej;
Art. 52 pkt 5 | udział w realizacji celów Organizacji Traktatu Północnoatlantyckiego w obszarze cyberbezpieczeństwa i kryptologii.
+Rozdział 11 | Nadzór i kontrola operatorów usług kluczowych, dostawców usług cyfrowych i podmiotów świadczących usługi w zakresie cyberbezpieczeństwa
Art. 53 ust. 1 | Nadzór w zakresie stosowania przepisów ustawy sprawują:
Art. 53 ust. 1 pkt 1 | minister właściwy do spraw informatyzacji w zakresie spełniania przez podmioty świadczące usługi z zakresu cyberbezpieczeństwa wymogów, o których mowa w art. 14 ust. 2;
Art. 53 ust. 1 pkt 2 | organy właściwe do spraw cyberbezpieczeństwa w zakresie:
@@ -563,9 +571,9 @@
Art. 53 ust. 2 pkt 1 | organ właściwy do spraw cyberbezpieczeństwa lub minister właściwy do spraw informatyzacji prowadzi kontrole w zakresie, o którym mowa w ust. 1;
Art. 53 ust. 2 pkt 2 | organ właściwy do spraw cyberbezpieczeństwa nakłada kary pieniężne na operatorów usług kluczowych i dostawców usług cyfrowych.
Art. 53 ust. 3 | W stosunku do dostawcy usług cyfrowych podjęcie czynności, o których mowa w ust. 2, następuje po uzyskaniu dowodu, że dostawca usług cyfrowych nie spełnia wymogów określonych w rozporządzeniu wykonawczym 2018/151 lub nie wykonuje wynikających z ustawy obowiązków dotyczących zgłaszania incydentów istotnych.
-Art. 54 ust. 1 | Do kontroli, której zakres określony jest w art. 53 ust. 1 pkt 1, stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców.
+Art. 54 ust. 1 | Do kontroli, której zakres określony jest w art. 53 ust. 1 pkt 1, stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców.
Art. 54 ust. 2 | Do kontroli, której zakres określony jest w art. 53 ust. 1 pkt 2, realizowanej wobec podmiotów:
-Art. 54 ust. 2 pkt 1 | będących przedsiębiorcami stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców;
+Art. 54 ust. 2 pkt 1 | będących przedsiębiorcami stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców;
Art. 54 ust. 2 pkt 2 | niebędących przedsiębiorcami stosuje się przepisy ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej określające zasady i tryb przeprowadzania kontroli.
Art. 55 | Osoba prowadząca czynności kontrolne wobec podmiotów będących przedsiębiorcami ma prawo do:
Art. 55 pkt 1 | swobodnego wstępu i poruszania się po terenie podmiotu kontrolowanego bez obowiązku uzyskiwania przepustki;
@@ -595,6 +603,7 @@
Art. 59 ust. 1 | Jeżeli na podstawie informacji zgromadzonych w protokole kontroli organ właściwy do spraw cyberbezpieczeństwa lub minister właściwy do spraw informatyzacji uzna, że mogło dojść do naruszenia przepisów ustawy przez podmiot kontrolowany, przekazuje zalecenia pokontrolne dotyczące usunięcia nieprawidłowości.
Art. 59 ust. 2 | Od zaleceń pokontrolnych nie przysługują środki odwoławcze.
Art. 59 ust. 3 | Podmiot kontrolowany, w wyznaczonym terminie, informuje organ właściwy do spraw cyberbezpieczeństwa lub ministra właściwego do spraw informatyzacji o sposobie wykonania zaleceń.
+Rozdział 12 | Pełnomocnik i Kolegium
Art. 60 | Koordynowanie działań i realizowanie polityki rządu w zakresie zapewnienia cyberbezpieczeństwa w Rzeczypospolitej Polskiej powierza się Pełnomocnikowi.
Art. 61 ust. 1 | Pełnomocnika powołuje i odwołuje Prezes Rady Ministrów.
Art. 61 ust. 2 | Pełnomocnik podlega Radzie Ministrów.
@@ -616,18 +625,18 @@
Art. 64 | Przy Radzie Ministrów działa Kolegium, jako organ opiniodawczo-doradczy w sprawach cyberbezpieczeństwa oraz działalności w tym zakresie CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowych zespołów cyberbezpieczeństwa i organów właściwych do spraw cyberbezpieczeństwa.
Art. 65 ust. 1 | Do zadań Kolegium należy wyrażanie opinii w sprawach:
Art. 65 ust. 1 pkt 1 | kierunków i planów na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa;
-Art. 65 ust. 1 pkt 1a | planowanych do ustalenia przez Prezesa Urzędu Komunikacji Elektronicznej w projekcie rozstrzygnięcia decyzji w sprawie rezerwacji częstotliwości, o którym mowa w art. 110 ust. 2 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej, jeżeli rezerwacja będzie obejmować co najmniej 30% obszaru kraju i jest dokonywana bez przeprowadzenia postępowania selekcyjnego, o którym mowa w art. 104 ust. 3 tej ustawy, lub po przeprowadzeniu przetargu lub aukcji, o których mowa w art. 104 ust. 3 pkt 2 tej ustawy;
+Art. 65 ust. 1 pkt 7 | 1a) planowanych do ustalenia przez Prezesa Urzędu Komunikacji Elektronicznej w projekcie rozstrzygnięcia decyzji w sprawie rezerwacji częstotliwości, o którym mowa w art. 110 ust. 2 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej, jeżeli rezerwacja będzie obejmować co najmniej 30 % obszaru kraju i jest dokonywana bez przeprowadzenia postępowania selekcyjnego, o którym mowa w art. 104 ust. 3 tej ustawy, lub po przeprowadzeniu przetargu lub aukcji, o których mowa w art. 104 ust. 3 pkt 2 tej ustawy;
Art. 65 ust. 1 pkt 2 | wykonywania przez CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV, sektorowe zespoły cyberbezpieczeństwa i organy właściwe do spraw cyberbezpieczeństwa powierzonych im zadań zgodnie z kierunkami i planami na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa;
Art. 65 ust. 1 pkt 3 | współdziałania organów prowadzących lub nadzorujących CSIRT MON, CSIRT GOV i CSIRT NASK;
-Art. 65 ust. 1 pkt 4 | współdziałania podmiotów CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego oraz ministra - członka Rady Ministrów właściwego do spraw koordynowania działalności służb specjalnych, sektorowych zespołów cyberbezpieczeństwa i organów właściwych do spraw cyberbezpieczeństwa;
+Art. 65 ust. 1 pkt 4 | współdziałania podmiotów CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego oraz ministra – członka Rady Ministrów właściwego do spraw koordynowania działalności służb specjalnych, sektorowych zespołów cyberbezpieczeństwa i organów właściwych do spraw cyberbezpieczeństwa;
Art. 65 ust. 1 pkt 5 | organizacji wymiany informacji istotnych dla cyberbezpieczeństwa i międzynarodowej pozycji Rzeczypospolitej Polskiej między organami administracji rządowej;
Art. 65 ust. 1 pkt 6 | wniosków CSIRT MON, CSIRT NASK lub CSIRT GOV w sprawie rekomendacji dotyczących stosowania urządzeń informatycznych lub oprogramowania;
-Art. 65 ust. 1 pkt 7 | wniosków o przyznanie świadczenia teleinformatycznego, o którym mowa w art. 5 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa w zakresie maksymalnej kwoty prognozowanych kosztów, związanych z przyznaniem świadczenia teleinformatycznego;
+Art. 65 ust. 1 pkt 7 | wniosków o przyznanie świadczenia teleinformatycznego, o którym mowa w art. 5 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa (Dz. U. z 2024 r. poz. 1662 oraz z 2025 r. poz. 1017) w zakresie maksymalnej kwoty prognozowanych kosztów, związanych z przyznaniem świadczenia teleinformatycznego;
Art. 65 ust. 1 pkt 8 | współdziałania zespołów CSIRT MON, CSIRT GOV i CSIRT NASK oraz Komisji Nadzoru Finansowego w zakresie działalności operatorów usług kluczowych działających w sektorze bankowym i infrastruktury rynków finansowych.
Art. 65 ust. 1a | Opinia w sprawie projektu rozstrzygnięcia decyzji, o której mowa w ust. 1 pkt 1a, wydawana jest przez Kolegium w terminie 14 dni od dnia otrzymania projektu przekazanego do zaopiniowania przez Prezesa Urzędu Komunikacji Elektronicznej.
Art. 65 ust. 2 | Do zadań Kolegium należy opracowywanie rekomendacji dla Rady Ministrów dotyczących działań w zakresie zapewnienia cyberbezpieczeństwa na poziomie krajowym, o których mowa w art. 67.
Art. 66 ust. 1 | W skład Kolegium wchodzą:
-Art. 66 ust. 1 pkt 1 | przewodniczący Kolegium - Prezes Rady Ministrów;
+Art. 66 ust. 1 pkt 1 | przewodniczący Kolegium – Prezes Rady Ministrów;
Art. 66 ust. 1 pkt 2 | Pełnomocnik;
Art. 66 ust. 1 pkt 3 | sekretarz Kolegium;
Art. 66 ust. 1 pkt 4 | członkowie Kolegium:
@@ -637,14 +646,14 @@
Art. 66 ust. 1 pkt 4 lit. d | minister właściwy do spraw zagranicznych,
Art. 66 ust. 1 pkt 4 lit. e | Szef Kancelarii Prezesa Rady Ministrów,
Art. 66 ust. 1 pkt 4 lit. f | Szef Biura Bezpieczeństwa Narodowego, jeżeli został wyznaczony przez Prezydenta Rzeczypospolitej Polskiej,
-Art. 66 ust. 1 pkt 4 lit. g | minister - członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych lub osoba przez niego upoważniona w randze sekretarza stanu albo podsekretarza stanu, a jeżeli minister - członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych nie został wyznaczony - Szef Agencji Bezpieczeństwa Wewnętrznego.
+Art. 66 ust. 1 pkt 4 lit. g | minister – członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych lub osoba przez niego upoważniona w randze sekretarza stanu albo podsekretarza stanu, a jeżeli minister – członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych nie został wyznaczony – Szef Agencji Bezpieczeństwa Wewnętrznego.
Art. 66 ust. 2 | Prezes Rady Ministrów może upoważnić Pełnomocnika do pełnienia funkcji przewodniczącego Kolegium.
-Art. 66 ust. 3 | Członkowie Kolegium, o których mowa w ust. 1 pkt 4 lit. a-e, mogą być zastępowani przez upoważnionych przedstawicieli w randze sekretarza stanu lub podsekretarza stanu.
+Art. 66 ust. 3 | Członkowie Kolegium, o których mowa w ust. 1 pkt 4 lit. a–e, mogą być zastępowani przez upoważnionych przedstawicieli w randze sekretarza stanu lub podsekretarza stanu.
Art. 66 ust. 4 | W posiedzeniach Kolegium uczestniczą również:
Art. 66 ust. 4 pkt 1 | Dyrektor Rządowego Centrum Bezpieczeństwa;
Art. 66 ust. 4 pkt 2 | Szef Agencji Bezpieczeństwa Wewnętrznego albo jego zastępca;
Art. 66 ust. 4 pkt 3 | Szef Służby Kontrwywiadu Wojskowego albo jego zastępca;
-Art. 66 ust. 4 pkt 4 | Dyrektor Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego;
+Art. 66 ust. 4 pkt 4 | Dyrektor Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego;
Art. 66 ust. 4 pkt 5 | Przewodniczący Komisji Nadzoru Finansowego.
Art. 66 ust. 5 | Przewodniczący Kolegium:
Art. 66 ust. 5 pkt 1 | zwołuje posiedzenia Kolegium;
@@ -654,15 +663,16 @@
Art. 66 ust. 8 | Obsługę Kolegium zapewnia ministerstwo lub inny urząd administracji rządowej, który obsługuje Pełnomocnika.
Art. 66 ust. 9 | Rada Ministrów określi, w drodze rozporządzenia, szczegółowy zakres działania oraz tryb pracy Kolegium, mając na uwadze charakter zadań Kolegium oraz konieczność zapewnienia jego sprawnej pracy.
Art. 67 ust. 1 | Prezes Rady Ministrów w celu koordynacji działań administracji rządowej w zakresie cyberbezpieczeństwa może, na podstawie rekomendacji Kolegium, wydawać wiążące wytyczne dotyczące zapewnienia cyberbezpieczeństwa na poziomie krajowym oraz funkcjonowania krajowego systemu cyberbezpieczeństwa, a także żądać informacji i opinii w tym zakresie od:
-Art. 67 ust. 1 pkt 1 | ministra właściwego do spraw wewnętrznych - w odniesieniu do działalności Policji, Straży Granicznej i Służby Ochrony Państwa;
-Art. 67 ust. 1 pkt 2 | Ministra Obrony Narodowej - w odniesieniu do działalności CSIRT MON;
-Art. 67 ust. 1 pkt 3 | Szefa Agencji Bezpieczeństwa Wewnętrznego - w odniesieniu do działalności CSIRT GOV;
-Art. 67 ust. 1 pkt 4 | Dyrektora Rządowego Centrum Bezpieczeństwa - w odniesieniu do zadań realizowanych zgodnie z ustawą;
-Art. 67 ust. 1 pkt 5 | Dyrektora Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego - w odniesieniu do działalności CSIRT NASK;
-Art. 67 ust. 1 pkt 6 | ministra właściwego do spraw informatyzacji - w odniesieniu do zadań realizowanych zgodnie z ustawą.
+Art. 67 ust. 1 pkt 1 | ministra właściwego do spraw wewnętrznych – w odniesieniu do działalności Policji, Straży Granicznej i Służby Ochrony Państwa;
+Art. 67 ust. 1 pkt 2 | Ministra Obrony Narodowej – w odniesieniu do działalności CSIRT MON;
+Art. 67 ust. 1 pkt 3 | Szefa Agencji Bezpieczeństwa Wewnętrznego – w odniesieniu do działalności CSIRT GOV;
+Art. 67 ust. 1 pkt 4 | Dyrektora Rządowego Centrum Bezpieczeństwa – w odniesieniu do zadań realizowanych zgodnie z ustawą;
+Art. 67 ust. 1 pkt 5 | Dyrektora Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego – w odniesieniu do działalności CSIRT NASK;
+Art. 67 ust. 1 pkt 6 | ministra właściwego do spraw informatyzacji – w odniesieniu do zadań realizowanych zgodnie z ustawą.
Art. 67 ust. 2 | Prezes Rady Ministrów wydaje wiążące wytyczne dla CSIRT MON, CSIRT GOV i CSIRT NASK w zakresie obsługi incydentów krytycznych, w tym wskazuje CSIRT odpowiedzialny za obsługę incydentu krytycznego.
+Rozdział 13 | Strategia
Art. 68 | Rada Ministrów przyjmuje Strategię, w drodze uchwały.
-Art. 69 ust. 1 | Strategia określa cele strategiczne oraz odpowiednie środki polityczne i regulacyjne, mające na celu osiągnięcie i utrzymanie wysokiego poziomu cyberbezpieczeństwa. Strategia obejmuje sektory, o których mowa w załączniku nr 1 do ustawy, usługi cyfrowe oraz podmioty publiczne, o których mowa w art. 4 pkt 7-15.
+Art. 69 ust. 1 | Strategia określa cele strategiczne oraz odpowiednie środki polityczne i regulacyjne, mające na celu osiągnięcie i utrzymanie wysokiego poziomu cyberbezpieczeństwa. Strategia obejmuje sektory, o których mowa w załączniku nr 1 do ustawy, usługi cyfrowe oraz podmioty publiczne, o których mowa w art. 4 pkt 7–15.
Art. 69 ust. 2 | Strategia uwzględnia w szczególności:
Art. 69 ust. 2 pkt 1 | cele i priorytety w zakresie cyberbezpieczeństwa;
Art. 69 ust. 2 pkt 2 | podmioty zaangażowane we wdrażanie i realizację Strategii;
@@ -676,10 +686,11 @@
Art. 70 ust. 2 | W pracach nad projektem może uczestniczyć przedstawiciel Prezydenta Rzeczypospolitej Polskiej.
Art. 71 | Minister właściwy do spraw informatyzacji we współpracy z Pełnomocnikiem, innymi ministrami i właściwymi kierownikami urzędów centralnych dokonuje przeglądu Strategii co 2 lata.
Art. 72 | Minister właściwy do spraw informatyzacji przekazuje Komisji Europejskiej Strategię w terminie 3 miesięcy od dnia jej przyjęcia przez Radę Ministrów.
+Rozdział 14 | Przepisy o karach pieniężnych
Art. 73 ust. 1 | Karze pieniężnej podlega operator usługi kluczowej, który:
Art. 73 ust. 1 pkt 1 | nie przeprowadza systematycznego szacowania ryzyka lub nie zarządza ryzykiem wystąpienia incydentu, o których mowa w art. 8 pkt 1;
-Art. 73 ust. 1 pkt 2 | nie wdrożył środków technicznych i organizacyjnych uwzględniających wymagania, o których mowa w art. 8 pkt 2 lit. a-e;
-Art. 73 ust. 1 pkt 3 | nie stosuje środków, o których mowa w art. 8 pkt 5 lit. a-d;
+Art. 73 ust. 1 pkt 2 | nie wdrożył środków technicznych i organizacyjnych uwzględniających wymagania, o których mowa w art. 8 pkt 2 lit. a–e;
+Art. 73 ust. 1 pkt 3 | nie stosuje środków, o których mowa w art. 8 pkt 5 lit. a–d;
Art. 73 ust. 1 pkt 4 | nie wyznaczył osoby, o której mowa w art. 9 ust. 1 pkt 1;
Art. 73 ust. 1 pkt 5 | nie wykonuje obowiązków, o których mowa w art. 10 ust. 1;
Art. 73 ust. 1 pkt 6 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 1;
@@ -710,17 +721,16 @@
Art. 73 ust. 3 pkt 13 | ust. 2 pkt 2 i 3, wynosi do 20 000 zł.
Art. 73 ust. 4 | Kara, o której mowa w:
Art. 73 ust. 4 pkt 1 | ust. 1 pkt 4, nie może być niższa niż 1000 zł;
-Art. 73 ust. 4 pkt 2 | ust. 1 pkt 1-3, 6-9 i 12, nie może być niższa niż 5000 zł;
+Art. 73 ust. 4 pkt 2 | ust. 1 pkt 1–3, 6–9 i 12, nie może być niższa niż 5000 zł;
Art. 73 ust. 4 pkt 3 | ust. 1 pkt 5, 10, 11 i 13, nie może być niższa niż 15 000 zł.
Art. 73 ust. 5 | Jeżeli w wyniku kontroli organ właściwy do spraw cyberbezpieczeństwa stwierdzi, że operator usługi kluczowej albo dostawca usługi cyfrowej uporczywie narusza przepisy ustawy, powodując:
Art. 73 ust. 5 pkt 1 | bezpośrednie i poważne zagrożenie cyberbezpieczeństwa dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi,
-Art. 73 ust. 5 pkt 2 | zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług kluczowych
-Art. 73 ust. 5 | - organ właściwy do spraw cyberbezpieczeństwa nakłada karę w wysokości do 1 000 000 zł.
+Art. 73 ust. 5 pkt 2 | zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług kluczowych – organ właściwy do spraw cyberbezpieczeństwa nakłada karę w wysokości do 1 000 000 zł.
Art. 74 ust. 1 | Karę pieniężną, o której mowa w art. 73, nakłada, w drodze decyzji, organ właściwy do spraw cyberbezpieczeństwa.
Art. 74 ust. 2 | Wpływy z tytułu kar pieniężnych, o których mowa w art. 73, stanowią przychód Funduszu Cyberbezpieczeństwa, o którym mowa w art. 2 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa, w zakresie maksymalnej kwoty prognozowanych kosztów związanych z przyznaniem świadczenia teleinformatycznego, o którym mowa w art. 5 tej ustawy.
Art. 75 | Organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę pieniężną na kierownika operatora usługi kluczowej w przypadku, gdy nie dochował należytej staranności celem spełnienia obowiązków, o których mowa w art. 8 pkt 1, art. 9 ust. 1 pkt 1 oraz art. 15 ust. 1, z tym że kara ta może być wymierzona w kwocie nie większej niż 200 % jego miesięcznego wynagrodzenia.
Art. 76 | Kara, o której mowa w art. 73, może zostać nałożona również w przypadku, gdy podmiot zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę, jeżeli organ właściwy do spraw cyberbezpieczeństwa uzna, że przemawiają za tym czas trwania, zakres lub skutki naruszenia.
-Art. 77-82 | (pominięte)
+Rozdział 15 | Zmiany w przepisach, przepisy przejściowe, dostosowujące i końcowe Art. 77–82. (pominięte)
Art. 83 | Zagrożenia cyberbezpieczeństwa, mogące doprowadzić do sytuacji kryzysowej, po raz pierwszy zostaną ujęte w Raporcie o zagrożeniach bezpieczeństwa narodowego, który zostanie sporządzony z udziałem Pełnomocnika, po wejściu w życie ustawy.
Art. 84 | Prezes Rady Ministrów powoła Pełnomocnika w terminie 3 miesięcy od dnia wejścia w życie ustawy.
Art. 85 | Minister właściwy do spraw informatyzacji przekaże Komisji Europejskiej informacje o:
@@ -744,117 +754,117 @@
Art. 92 ust. 1 | Dotychczasowe przepisy wykonawcze wydane na podstawie art. 90u ust. 4 pkt 6 ustawy zmienianej w art. 77 dotyczące realizacji danego programu rządowego przyjętego na podstawie art. 90u ust. 1 pkt 6 ustawy zmienianej w art. 77, zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 90u ust. 4 pkt 6 ustawy zmienianej w art. 77 w brzmieniu nadanym niniejszą ustawą, dotyczących realizacji tego programu rządowego, nie dłużej jednak niż do dnia 31 marca 2021 r., i mogą być zmieniane.
Art. 92 ust. 2 | Dotychczasowe przepisy wykonawcze, wydane na podstawie art. 176a ust. 5 ustawy zmienianej w art. 81, zachowują moc do dnia wejścia w życie nowych przepisów wykonawczych wydanych na podstawie art. 176a ust. 5 ustawy zmienianej w art. 81, jednak nie dłużej niż przez 24 miesiące od dnia wejścia w życie niniejszej ustawy.
Art. 92 ust. 3 | Dotychczasowe przepisy wykonawcze, wydane na podstawie art. 5a ust. 6 ustawy zmienianej w art. 82, zachowują moc do dnia wejścia w życie nowych przepisów wykonawczych wydanych na podstawie art. 5a ust. 6 ustawy zmienianej w art. 82, jednak nie dłużej niż przez 12 miesięcy od dnia wejścia w życie niniejszej ustawy.
-Art. 93 ust. 1 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 21 - Gospodarka morska, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 1 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 1 pkt 2 | w 2019 r. - 388 tys. zł;
-Art. 93 ust. 1 pkt 3 | w 2020 r. - 404 tys. zł;
-Art. 93 ust. 1 pkt 4 | w 2021 r. - 404 tys. zł;
-Art. 93 ust. 1 pkt 5 | w 2022 r. - 404 tys. zł;
-Art. 93 ust. 1 pkt 6 | w 2023 r. - 404 tys. zł;
-Art. 93 ust. 1 pkt 7 | w 2024 r. - 404 tys. zł;
-Art. 93 ust. 1 pkt 8 | w 2025 r. - 404 tys. zł;
-Art. 93 ust. 1 pkt 9 | w 2026 r. - 404 tys. zł;
-Art. 93 ust. 1 pkt 10 | w 2027 r. - 404 tys. zł.
-Art. 93 ust. 2 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 22 - Gospodarka wodna, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 2 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 2 pkt 2 | w 2019 r. - 388 tys. zł;
-Art. 93 ust. 2 pkt 3 | w 2020 r. - 404 tys. zł;
-Art. 93 ust. 2 pkt 4 | w 2021 r. - 404 tys. zł;
-Art. 93 ust. 2 pkt 5 | w 2022 r. - 404 tys. zł;
-Art. 93 ust. 2 pkt 6 | w 2023 r. - 404 tys. zł;
-Art. 93 ust. 2 pkt 7 | w 2024 r. - 404 tys. zł;
-Art. 93 ust. 2 pkt 8 | w 2025 r. - 404 tys. zł;
-Art. 93 ust. 2 pkt 9 | w 2026 r. - 404 tys. zł;
-Art. 93 ust. 2 pkt 10 | w 2027 r. - 404 tys. zł.
-Art. 93 ust. 3 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 27 - Informatyzacja, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 3 pkt 1 | w 2018 r. - 6450 tys. zł;
-Art. 93 ust. 3 pkt 2 | w 2019 r. - 13 349 tys. zł;
-Art. 93 ust. 3 pkt 3 | w 2020 r. - 17 334 tys. zł;
-Art. 93 ust. 3 pkt 4 | w 2021 r. - 17 314 tys. zł;
-Art. 93 ust. 3 pkt 5 | w 2022 r. - 27 404 tys. zł;
-Art. 93 ust. 3 pkt 6 | w 2023 r. - 50 335 tys. zł;
-Art. 93 ust. 3 pkt 7 | w 2024 r. - 50 335 tys. zł;
+Art. 93 ust. 1 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 21 – Gospodarka morska, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 1 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 1 pkt 2 | w 2019 r. – 388 tys. zł;
+Art. 93 ust. 1 pkt 3 | w 2020 r. – 404 tys. zł;
+Art. 93 ust. 1 pkt 4 | w 2021 r. – 404 tys. zł;
+Art. 93 ust. 1 pkt 5 | w 2022 r. – 404 tys. zł;
+Art. 93 ust. 1 pkt 6 | w 2023 r. – 404 tys. zł;
+Art. 93 ust. 1 pkt 7 | w 2024 r. – 404 tys. zł;
+Art. 93 ust. 1 pkt 8 | w 2025 r. – 404 tys. zł;
+Art. 93 ust. 1 pkt 9 | w 2026 r. – 404 tys. zł;
+Art. 93 ust. 1 pkt 10 | w 2027 r. – 404 tys. zł.
+Art. 93 ust. 2 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 22 – Gospodarka wodna, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 2 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 2 pkt 2 | w 2019 r. – 388 tys. zł;
+Art. 93 ust. 2 pkt 3 | w 2020 r. – 404 tys. zł;
+Art. 93 ust. 2 pkt 4 | w 2021 r. – 404 tys. zł;
+Art. 93 ust. 2 pkt 5 | w 2022 r. – 404 tys. zł;
+Art. 93 ust. 2 pkt 6 | w 2023 r. – 404 tys. zł;
+Art. 93 ust. 2 pkt 7 | w 2024 r. – 404 tys. zł;
+Art. 93 ust. 2 pkt 8 | w 2025 r. – 404 tys. zł;
+Art. 93 ust. 2 pkt 9 | w 2026 r. – 404 tys. zł;
+Art. 93 ust. 2 pkt 10 | w 2027 r. – 404 tys. zł.
+Art. 93 ust. 3 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 27 – Informatyzacja, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 3 pkt 1 | w 2018 r. – 6450 tys. zł;
+Art. 93 ust. 3 pkt 2 | w 2019 r. – 13 349 tys. zł;
+Art. 93 ust. 3 pkt 3 | w 2020 r. – 17 334 tys. zł;
+Art. 93 ust. 3 pkt 4 | w 2021 r. – 17 314 tys. zł;
+Art. 93 ust. 3 pkt 5 | w 2022 r. – 27 404 tys. zł;
+Art. 93 ust. 3 pkt 6 | w 2023 r. – 50 335 tys. zł;
+Art. 93 ust. 3 pkt 7 | w 2024 r. – 50 335 tys. zł;
Art. 93 ust. 3 pkt 8 | w 2025 r. – 80 300 tys. zł;
Art. 93 ust. 3 pkt 9 | w 2026 r. – 91 400 tys. zł;
-Art. 93 ust. 3 pkt 10 | w 2027 r. - 50 335 tys. zł.
-Art. 93 ust. 4 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 39 - Transport, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 4 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 4 pkt 2 | w 2019 r. - 388 tys. zł;
-Art. 93 ust. 4 pkt 3 | w 2020 r. - 404 tys. zł;
-Art. 93 ust. 4 pkt 4 | w 2021 r. - 404 tys. zł;
-Art. 93 ust. 4 pkt 5 | w 2022 r. - 404 tys. zł;
-Art. 93 ust. 4 pkt 6 | w 2023 r. - 404 tys. zł;
-Art. 93 ust. 4 pkt 7 | w 2024 r. - 404 tys. zł;
-Art. 93 ust. 4 pkt 8 | w 2025 r. - 404 tys. zł;
-Art. 93 ust. 4 pkt 9 | w 2026 r. - 404 tys. zł;
-Art. 93 ust. 4 pkt 10 | w 2027 r. - 404 tys. zł.
-Art. 93 ust. 5 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 46 - Zdrowie, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 5 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 5 pkt 2 | w 2019 r. - 388 tys. zł;
-Art. 93 ust. 5 pkt 3 | w 2020 r. - 404 tys. zł;
-Art. 93 ust. 5 pkt 4 | w 2021 r. - 404 tys. zł;
-Art. 93 ust. 5 pkt 5 | w 2022 r. - 404 tys. zł;
-Art. 93 ust. 5 pkt 6 | w 2023 r. - 404 tys. zł;
-Art. 93 ust. 5 pkt 7 | w 2024 r. - 404 tys. zł;
-Art. 93 ust. 5 pkt 8 | w 2025 r. - 404 tys. zł;
-Art. 93 ust. 5 pkt 9 | w 2026 r. - 404 tys. zł;
-Art. 93 ust. 5 pkt 10 | w 2027 r. - 404 tys. zł.
-Art. 93 ust. 6 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 47 - Energia, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 6 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 6 pkt 2 | w 2019 r. - 758 tys. zł;
-Art. 93 ust. 6 pkt 3 | w 2020 r. - 789 tys. zł;
-Art. 93 ust. 6 pkt 4 | w 2021 r. - 789 tys. zł;
-Art. 93 ust. 6 pkt 5 | w 2022 r. - 789 tys. zł;
-Art. 93 ust. 6 pkt 6 | w 2023 r. - 789 tys. zł;
-Art. 93 ust. 6 pkt 7 | w 2024 r. - 789 tys. zł;
-Art. 93 ust. 6 pkt 8 | w 2025 r. - 789 tys. zł;
-Art. 93 ust. 6 pkt 9 | w 2026 r. - 789 tys. zł;
-Art. 93 ust. 6 pkt 10 | w 2027 r. - 789 tys. zł.
-Art. 93 ust. 7 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 57 - Agencja Bezpieczeństwa Wewnętrznego, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 7 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 7 pkt 2 | w 2019 r. - 255 tys. zł;
-Art. 93 ust. 7 pkt 3 | w 2020 r. - 3605 tys. zł;
-Art. 93 ust. 7 pkt 4 | w 2021 r. - 5605 tys. zł;
-Art. 93 ust. 7 pkt 5 | w 2022 r. - 5605 tys. zł;
-Art. 93 ust. 7 pkt 6 | w 2023 r. - 9705 tys. zł;
-Art. 93 ust. 7 pkt 7 | w 2024 r. - 705 tys. zł;
-Art. 93 ust. 7 pkt 8 | w 2025 r. - 705 tys. zł;
-Art. 93 ust. 7 pkt 9 | w 2026 r. - 705 tys. zł;
-Art. 93 ust. 7 pkt 10 | w 2027 r. - 8705 tys. zł.
-Art. 93 ust. 8 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 70 - Komisja Nadzoru Finansowego, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 8 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 8 pkt 2 | w 2019 r. - 758 tys. zł;
-Art. 93 ust. 8 pkt 3 | w 2020 r. - 789 tys. zł;
-Art. 93 ust. 8 pkt 4 | w 2021 r. - 789 tys. zł;
-Art. 93 ust. 8 pkt 5 | w 2022 r. - 789 tys. zł;
-Art. 93 ust. 8 pkt 6 | w 2023 r. - 789 tys. zł;
-Art. 93 ust. 8 pkt 7 | w 2024 r. - 789 tys. zł;
-Art. 93 ust. 8 pkt 8 | w 2025 r. - 789 tys. zł;
-Art. 93 ust. 8 pkt 9 | w 2026 r. - 789 tys. zł;
-Art. 93 ust. 8 pkt 10 | w 2027 r. - 789 tys. zł.
-Art. 93 ust. 9 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 76 - Urząd Komunikacji Elektronicznej, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 9 pkt 1 | w 2018 r. - 0 zł;
-Art. 93 ust. 9 pkt 2 | w 2019 r. - 203 tys. zł;
-Art. 93 ust. 9 pkt 3 | w 2020 r. - 212 tys. zł;
-Art. 93 ust. 9 pkt 4 | w 2021 r. - 212 tys. zł;
-Art. 93 ust. 9 pkt 5 | w 2022 r. - 212 tys. zł;
-Art. 93 ust. 9 pkt 6 | w 2023 r. - 212 tys. zł;
-Art. 93 ust. 9 pkt 7 | w 2024 r. - 212 tys. zł;
-Art. 93 ust. 9 pkt 8 | w 2025 r. - 212 tys. zł;
-Art. 93 ust. 9 pkt 9 | w 2026 r. - 212 tys. zł;
-Art. 93 ust. 9 pkt 10 | w 2027 r. - 212 tys. zł.
-Art. 93 ust. 10 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 42 - Sprawy wewnętrzne, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
-Art. 93 ust. 10 pkt 1 | w 2018 r. - 242 tys. zł;
-Art. 93 ust. 10 pkt 2 | w 2019 r. - 360 tys. zł;
-Art. 93 ust. 10 pkt 3 | w 2020 r. - 0 zł;
-Art. 93 ust. 10 pkt 4 | w 2021 r. - 0 zł;
-Art. 93 ust. 10 pkt 5 | w 2022 r. - 0 zł;
-Art. 93 ust. 10 pkt 6 | w 2023 r. - 0 zł;
-Art. 93 ust. 10 pkt 7 | w 2024 r. - 0 zł;
-Art. 93 ust. 10 pkt 8 | w 2025 r. - 0 zł;
-Art. 93 ust. 10 pkt 9 | w 2026 r. - 0 zł;
-Art. 93 ust. 10 pkt 10 | w 2027 r. - 0 zł.
-Art. 93 ust. 11 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętych na dany rok budżetowy maksymalnych limitów wydatków, o których mowa w ust. 1-6 i 8, zostaną zastosowane mechanizmy korygujące polegające na:
+Art. 93 ust. 3 pkt 10 | w 2027 r. – 50 335 tys. zł.
+Art. 93 ust. 4 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 39 – Transport, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 4 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 4 pkt 2 | w 2019 r. – 388 tys. zł;
+Art. 93 ust. 4 pkt 3 | w 2020 r. – 404 tys. zł;
+Art. 93 ust. 4 pkt 4 | w 2021 r. – 404 tys. zł;
+Art. 93 ust. 4 pkt 5 | w 2022 r. – 404 tys. zł;
+Art. 93 ust. 4 pkt 6 | w 2023 r. – 404 tys. zł;
+Art. 93 ust. 4 pkt 7 | w 2024 r. – 404 tys. zł;
+Art. 93 ust. 4 pkt 8 | w 2025 r. – 404 tys. zł;
+Art. 93 ust. 4 pkt 9 | w 2026 r. – 404 tys. zł;
+Art. 93 ust. 4 pkt 10 | w 2027 r. – 404 tys. zł.
+Art. 93 ust. 5 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 46 – Zdrowie, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 5 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 5 pkt 2 | w 2019 r. – 388 tys. zł;
+Art. 93 ust. 5 pkt 3 | w 2020 r. – 404 tys. zł;
+Art. 93 ust. 5 pkt 4 | w 2021 r. – 404 tys. zł;
+Art. 93 ust. 5 pkt 5 | w 2022 r. – 404 tys. zł;
+Art. 93 ust. 5 pkt 6 | w 2023 r. – 404 tys. zł;
+Art. 93 ust. 5 pkt 7 | w 2024 r. – 404 tys. zł;
+Art. 93 ust. 5 pkt 8 | w 2025 r. – 404 tys. zł;
+Art. 93 ust. 5 pkt 9 | w 2026 r. – 404 tys. zł;
+Art. 93 ust. 5 pkt 10 | w 2027 r. – 404 tys. zł.
+Art. 93 ust. 6 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 47 – Energia, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 6 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 6 pkt 2 | w 2019 r. – 758 tys. zł;
+Art. 93 ust. 6 pkt 3 | w 2020 r. – 789 tys. zł;
+Art. 93 ust. 6 pkt 4 | w 2021 r. – 789 tys. zł;
+Art. 93 ust. 6 pkt 5 | w 2022 r. – 789 tys. zł;
+Art. 93 ust. 6 pkt 6 | w 2023 r. – 789 tys. zł;
+Art. 93 ust. 6 pkt 7 | w 2024 r. – 789 tys. zł;
+Art. 93 ust. 6 pkt 8 | w 2025 r. – 789 tys. zł;
+Art. 93 ust. 6 pkt 9 | w 2026 r. – 789 tys. zł;
+Art. 93 ust. 6 pkt 10 | w 2027 r. – 789 tys. zł.
+Art. 93 ust. 7 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 57 – Agencja Bezpieczeństwa Wewnętrznego, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 7 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 7 pkt 2 | w 2019 r. – 255 tys. zł;
+Art. 93 ust. 7 pkt 3 | w 2020 r. – 3605 tys. zł;
+Art. 93 ust. 7 pkt 4 | w 2021 r. – 5605 tys. zł;
+Art. 93 ust. 7 pkt 5 | w 2022 r. – 5605 tys. zł;
+Art. 93 ust. 7 pkt 6 | w 2023 r. – 9705 tys. zł;
+Art. 93 ust. 7 pkt 7 | w 2024 r. – 705 tys. zł;
+Art. 93 ust. 7 pkt 8 | w 2025 r. – 705 tys. zł;
+Art. 93 ust. 7 pkt 9 | w 2026 r. – 705 tys. zł;
+Art. 93 ust. 7 pkt 10 | w 2027 r. – 8705 tys. zł.
+Art. 93 ust. 8 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 70 – Komisja Nadzoru Finansowego, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 8 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 8 pkt 2 | w 2019 r. – 758 tys. zł;
+Art. 93 ust. 8 pkt 3 | w 2020 r. – 789 tys. zł;
+Art. 93 ust. 8 pkt 4 | w 2021 r. – 789 tys. zł;
+Art. 93 ust. 8 pkt 5 | w 2022 r. – 789 tys. zł;
+Art. 93 ust. 8 pkt 6 | w 2023 r. – 789 tys. zł;
+Art. 93 ust. 8 pkt 7 | w 2024 r. – 789 tys. zł;
+Art. 93 ust. 8 pkt 8 | w 2025 r. – 789 tys. zł;
+Art. 93 ust. 8 pkt 9 | w 2026 r. – 789 tys. zł;
+Art. 93 ust. 8 pkt 10 | w 2027 r. – 789 tys. zł.
+Art. 93 ust. 9 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 76 – Urząd Komunikacji Elektronicznej, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 9 pkt 1 | w 2018 r. – 0 zł;
+Art. 93 ust. 9 pkt 2 | w 2019 r. – 203 tys. zł;
+Art. 93 ust. 9 pkt 3 | w 2020 r. – 212 tys. zł;
+Art. 93 ust. 9 pkt 4 | w 2021 r. – 212 tys. zł;
+Art. 93 ust. 9 pkt 5 | w 2022 r. – 212 tys. zł;
+Art. 93 ust. 9 pkt 6 | w 2023 r. – 212 tys. zł;
+Art. 93 ust. 9 pkt 7 | w 2024 r. – 212 tys. zł;
+Art. 93 ust. 9 pkt 8 | w 2025 r. – 212 tys. zł;
+Art. 93 ust. 9 pkt 9 | w 2026 r. – 212 tys. zł;
+Art. 93 ust. 9 pkt 10 | w 2027 r. – 212 tys. zł.
+Art. 93 ust. 10 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 42 – Sprawy wewnętrzne, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi:
+Art. 93 ust. 10 pkt 1 | w 2018 r. – 242 tys. zł;
+Art. 93 ust. 10 pkt 2 | w 2019 r. – 360 tys. zł;
+Art. 93 ust. 10 pkt 3 | w 2020 r. – 0 zł;
+Art. 93 ust. 10 pkt 4 | w 2021 r. – 0 zł;
+Art. 93 ust. 10 pkt 5 | w 2022 r. – 0 zł;
+Art. 93 ust. 10 pkt 6 | w 2023 r. – 0 zł;
+Art. 93 ust. 10 pkt 7 | w 2024 r. – 0 zł;
+Art. 93 ust. 10 pkt 8 | w 2025 r. – 0 zł;
+Art. 93 ust. 10 pkt 9 | w 2026 r. – 0 zł;
+Art. 93 ust. 10 pkt 10 | w 2027 r. – 0 zł.
+Art. 93 ust. 11 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętych na dany rok budżetowy maksymalnych limitów wydatków, o których mowa w ust. 1–6 i 8, zostaną zastosowane mechanizmy korygujące polegające na:
Art. 93 ust. 11 pkt 1 | ograniczeniu wydatków związanych z realizacją zadań organu właściwego do spraw cyberbezpieczeństwa w zakresie identyfikacji operatorów usług kluczowych oraz prowadzenia bieżącej analizy podmiotów w danym sektorze pod kątem uznania ich za operatora usługi kluczowej lub niespełniania warunków kwalifikujących podmiot jako operatora usługi kluczowej;
Art. 93 ust. 11 pkt 2 | zmniejszeniu liczby kontroli u operatorów usług kluczowych i dostawców usług cyfrowych;
Art. 93 ust. 11 pkt 3 | rezygnacji z organizowania albo uczestnictwa w ćwiczeniach w zakresie cyberbezpieczeństwa organizowanych w Rzeczypospolitej Polskiej lub w Unii Europejskiej;
@@ -862,7 +872,7 @@
Art. 93 ust. 12 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętego na dany rok budżetowy maksymalnego limitu wydatków, o którym mowa w ust. 7, zostanie zastosowany mechanizm korygujący polegający na ograniczeniu liczby podmiotów wdrażających system wczesnego ostrzegania o zagrożeniach występujących w sieci Internet, wskazanych w rocznym planie wdrożenia, opracowywanym przez Szefa Agencji Bezpieczeństwa Wewnętrznego.
Art. 93 ust. 13 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętego na dany rok budżetowy maksymalnego limitu wydatków, o którym mowa w ust. 9, zostanie zastosowany mechanizm korygujący polegający na ograniczeniu wydatków związanych z realizacją zadań ustawowych dotyczących obsługi incydentów.
Art. 93 ust. 14 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętego na dany rok budżetowy maksymalnego limitu wydatków, o którym mowa w ust. 10, zostanie zastosowany mechanizm korygujący polegający na ograniczeniu wydatków związanych z zapewnieniem wyposażenia niezbędnego do obsługi Zespołu.
-Art. 93 ust. 15 | W przypadku gdy wielkość wydatków w poszczególnych miesiącach zgodna jest z planem finansowym, przepisów ust. 11-14 nie stosuje się.
+Art. 93 ust. 15 | W przypadku gdy wielkość wydatków w poszczególnych miesiącach zgodna jest z planem finansowym, przepisów ust. 11–14 nie stosuje się.
Art. 93 ust. 16 | Minister właściwy do spraw gospodarki morskiej monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 1, i przynajmniej cztery razy do roku dokonuje, według stanu na koniec każdego kwartału, oceny wykorzystania limitu wydatków na dany rok. Wdrożenia mechanizmów korygujących, o których mowa w ust. 11, dokonuje minister właściwy do spraw gospodarki morskiej.
Art. 93 ust. 17 | Minister właściwy do spraw gospodarki wodnej monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 2, i przynajmniej cztery razy do roku dokonuje, według stanu na koniec każdego kwartału, oceny wykorzystania limitu wydatków na dany rok. Wdrożenia mechanizmów korygujących, o których mowa w ust. 11, dokonuje minister właściwy do spraw gospodarki wodnej.
Art. 93 ust. 18 | Minister właściwy do spraw informatyzacji monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 3, i przynajmniej cztery razy do roku dokonuje, według stanu na koniec każdego kwartału, oceny wykorzystania limitu wydatków na dany rok. Wdrożenia mechanizmów korygujących, o których mowa w ust. 11, dokonuje minister właściwy do spraw informatyzacji.
@@ -873,6 +883,6 @@
Art. 93 ust. 23 | Komisja Nadzoru Finansowego monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 8, i przynajmniej cztery razy do roku dokonuje, według stanu na koniec każdego kwartału, oceny wykorzystania limitu wydatków na dany rok. Wdrożenia mechanizmów korygujących, o których mowa w ust. 11, dokonuje Komisja Nadzoru Finansowego.
Art. 93 ust. 24 | Prezes Urzędu Komunikacji Elektronicznej monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 9, i przynajmniej cztery razy do roku dokonuje, według stanu na koniec każdego kwartału, oceny wykorzystania limitu wydatków na dany rok. Wdrożenia mechanizmu korygującego, o którym mowa w ust. 13, dokonuje Prezes Urzędu Komunikacji Elektronicznej.
Art. 93 ust. 25 | Minister właściwy do spraw wewnętrznych monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 10, i dokonuje oceny jego wykorzystania. Wdrożenia mechanizmu korygującego, o którym mowa w ust. 14, dokonuje minister właściwy do spraw wewnętrznych.
-Art. 94 | Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia.
-Załącznik nr 1 | Sektory i podsektory oraz rodzaje podmiotów
-Załącznik nr 2 | Usługi cyfrowe
+Art. 94 | Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia. Załączniki do ustawy z dnia 5 lipca 2018 r. (Dz. U. z 2026 r. poz. 20)
+Załącznik nr 1 | SEKTORY I PODSEKTORY ORAZ RODZAJE PODMIOTÓW Podsektor Sektor Rodzaj podmiotu (jeżeli występuje) Energia Wydobywanie Podmioty prowadzące działalność gospodarczą w zakresie wydobywania kopalin gazu ziemnego na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze (Dz. U. z 2024 r. poz. 1290 oraz z 2025 r. poz. 769, 1023 i 1668). Podmioty prowadzące działalność gospodarczą w zakresie wydobywania ropy naftowej na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze. Podmioty prowadzące działalność gospodarczą w zakresie wydobywania węgla brunatnego na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze. Podmioty prowadzące działalność gospodarczą w zakresie wydobywania węgla kamiennego na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze. Podmioty prowadzące działalność gospodarczą w zakresie wydobywania pozostałych kopalin na podstawie koncesji, o której mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze. Energia elektryczna Przedsiębiorstwo energetyczne, o którym w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne (Dz. U. z 2024 r. poz. 266, z późn. zm.), posiadające koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania energii elektrycznej. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 24 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie przesyłania energii elektrycznej. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 25 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie dystrybucji energii elektrycznej. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie obrotu energią elektryczną. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, prowadzące działalność gospodarczą w zakresie przetwarzania albo magazynowania energii elektrycznej. Podmioty prowadzące działalność gospodarczą w zakresie świadczenia usług systemowych, jakościowych i zarządzania infrastrukturą energetyczną. Ciepło Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania ciepła. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie obrotu ciepłem. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie przesyłania ciepła. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie dystrybucji ciepła. Ropa naftowa Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie wytwarzania paliw ciekłych, o której mowa w art. 32 ust. 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne. Podmioty prowadzące działalność gospodarczą w zakresie przesyłania ropy naftowej. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie przesyłania paliw ciekłych siecią rurociągów, o której mowa w art. 32 ust. 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne. Podmiot prowadzący działalność gospodarczą w zakresie magazynowania ropy naftowej, w tym w zakresie bezzbiornikowego podziemnego magazynowania ropy naftowej, o którym mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze. Podmioty prowadzące działalność gospodarczą w zakresie przeładunku ropy naftowej. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, wykonujące działalność gospodarczą w zakresie magazynowania paliw ciekłych, o którym mowa w art. 32 ust. 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, oraz podmiot prowadzący działalność w zakresie bezzbiornikowego podziemnego magazynowania paliw ciekłych, o którym mowa w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, wykonujące działalność gospodarczą w zakresie przeładunku paliw ciekłych, o którym mowa w art. 32 ust. 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, wykonujące działalność gospodarczą w zakresie obrotu paliwami ciekłymi lub w zakresie obrotu paliwami ciekłymi z zagranicą, o którym mowa w art. 32 ust. 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne. Podmioty prowadzące działalność gospodarczą w zakresie wytwarzania paliw syntetycznych. Gaz Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, prowadzące działalność w zakresie wytwarzania paliw gazowych, o którym mowa w art. 3 pkt 45 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie przesyłania paliw gazowych. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, posiadające koncesję na wykonywanie działalności gospodarczej w zakresie obrotu gazem ziemnym z zagranicą lub na wykonywanie działalności gospodarczej w zakresie obrotu paliwami gazowymi. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 24 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, będące wyznaczonym przez Prezesa Urzędu Regulacji Energetyki operatorem systemu przesyłowego gazowego. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 25 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, będące wyznaczonym przez Prezesa Urzędu Regulacji Energetyki operatorem systemu dystrybucyjnego gazowego. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 26 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, będące wyznaczonym przez Prezesa Urzędu Regulacji Energetyki operatorem systemu magazynowania paliw gazowych. Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 27 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne, będące wyznaczonym przez Prezesa Urzędu Regulacji Energetyki operatorem systemu skraplania gazu ziemnego. Dostawy i usługi Podmioty prowadzące działalność gospodarczą w zakresie dostaw dla sektora energii systemów, maszyn, urządzeń, materiałów, surowców oraz świadczenia usług na rzecz sektora energii. Jednostki Jednostki organizacyjne podległe ministrowi właściwemu do spraw energii nadzorowane lub przez niego nadzorowane. i podległe Jednostki organizacyjne podległe ministrowi właściwemu do spraw gospodarki surowcami energetycznymi lub przez niego nadzorowane. Transport Przewoźnik lotniczy, o którym mowa w art. 3 pkt 4 rozporządzenia Transport lotniczy Parlamentu Europejskiego i Rady (WE) nr 300/2008 z dnia 11 marca 2008 r. w sprawie wspólnych zasad w dziedzinie ochrony lotnictwa cywilnego i uchylającego rozporządzenie (WE) nr 2320/2002 (Dz. Urz. UE L 97 z 09.04.2008, str. 72). Zarządzający lotniskiem, o którym mowa w art. 2 pkt 7 ustawy z dnia 3 lipca 2002 r. – Prawo lotnicze (Dz. U. z 2025 r. poz. 1431 i 1668). Przedsiębiorca, o którym mowa w art. 177 ust. 2 ustawy z dnia 3 lipca 2002 r. – Prawo lotnicze, wykonujący dla przewoźników lotniczych oraz innych użytkowników statków powietrznych jedną lub więcej kategorii usług, o których mowa w art. 176 tej ustawy, oraz przedsiębiorca, o którym mowa w art. 186b ust. 1 pkt 2 ustawy z dnia 3 lipca 2002 r. – Prawo lotnicze, wykonujący dla przewoźników lotniczych zadania związane z kontrolą bezpieczeństwa. Instytucja zapewniająca służby żeglugi powietrznej, o której mowa w art. 127 ust. 1 ustawy z dnia 3 lipca 2002 r. – Prawo lotnicze. Transport kolejowy Zarządca infrastruktury kolejowej w rozumieniu art. 4 pkt 7 ustawy z dnia 28 marca 2003 r. o transporcie kolejowym (Dz. U. z 2025 r. poz. 1234), z wyłączeniem zarządców wyłącznie infrastruktury nieczynnej, o której mowa w art. 4 pkt 1b tej ustawy, infrastruktury prywatnej, o której mowa w art. 4 pkt 1c, oraz infrastruktury kolei wąskotorowej, o której mowa w art. 4 pkt 1d tej ustawy. Przewoźnik kolejowy, o którym mowa w art. 4 pkt 9 ustawy z dnia 28 marca 2003 r. o transporcie kolejowym, którego działalność podlega licencjonowaniu, oraz operator obiektu infrastruktury usługowej, o którym mowa w art. 4 pkt 52 ustawy z dnia 28 marca 2003 r. o transporcie kolejowym, jeżeli przedsiębiorca wykonujący funkcję operatora jest jednocześnie przewoźnikiem kolejowym. Transport wodny Armator w transporcie morskim pasażerów i towarów zgodnie z definicją dla transportu morskiego w załączniku I do rozporządzenia (WE) nr 725/2004 Parlamentu Europejskiego i Rady z dnia 31 marca 2004 r. w sprawie podniesienia ochrony statków i obiektów portowych (Dz. Urz. UE L 129 z 29.04.2004, str. 6), z wyłączeniem poszczególnych statków, na których prowadzą działalność ci armatorzy. Armator, o którym mowa w art. 5 ust. 1 pkt 2 ustawy z dnia 21 grudnia 2000 r. o żegludze śródlądowej (Dz. U. z 2025 r. poz. 18). Podmiot zarządzający portem, o którym mowa w art. 2 pkt 6 ustawy z dnia 20 grudnia 1996 r. o portach i przystaniach morskich (Dz. U. z 2023 r. poz. 1796). Podmiot zarządzający obiektem portowym, o którym mowa w art. 2 pkt 11 rozporządzenia (WE) 725/2004 Parlamentu Europejskiego i Rady z dnia 31 marca 2004 r. w sprawie podniesienia ochrony statków i obiektów portowych. Podmioty prowadzące na terenie portu działalność wspomagającą transport morski. VTS (Służba Kontroli Ruchu Statków) – aparat pomocniczy dyrektora urzędu morskiego powołany w celu monitorowania ruchu statków i przekazywania informacji, stanowiący część składową Narodowego Systemu SafeSeaNet, o którym mowa w art. 91 ustawy z dnia 18 sierpnia 2011 r. o bezpieczeństwie morskim (Dz. U. z 2025 r. poz. 883 i 1535). Transport drogowy Organy, o których mowa w art. 19 ust. 2, 5 i 5a ustawy z dnia 21 marca 1985 r. o drogach publicznych (Dz. U. z 2025 r. poz. 889). Podmioty, o których mowa w art. 43a ust. 1 ustawy z dnia 21 marca 1985 r. o drogach publicznych. Bankowość Instytucja kredytowa, o której mowa w art. 4 ust. 1 pkt 17 ustawy z dnia i infrastruktura 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2024 r. poz. 1646, rynków z późn. zm.). finansowych Bank krajowy, o którym mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe. Oddział banku zagranicznego, o którym mowa w art. 4 ust. 1 pkt 20 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe. Oddział instytucji kredytowej, o którym mowa w art. 4 ust. 1 pkt 18 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe. Spółdzielcze kasy oszczędnościowo-kredytowe w rozumieniu ustawy z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych (Dz. U. z 2025 r. poz. 379, 820, 1069, 1170 i 1191). Podmiot prowadzący rynek regulowany, o którym mowa w art. 14 ust. 1 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (Dz. U. z 2024 r. poz. 722, z późn. zm.). Podmiot, o którym mowa w art. 3 pkt 49 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi. Podmiot, o którym mowa w art. 48 ust. 7 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi. Ochrona Podmiot leczniczy, o którym mowa w art. 4 ust. 1 ustawy z dnia zdrowia 15 kwietnia 2011 r. o działalności leczniczej (Dz. U. z 2025 r. poz. 450, 620, 637 i 1211). Jednostka podległa ministrowi właściwemu do spraw zdrowia, właściwa w zakresie systemów informacyjnych ochrony zdrowia. Narodowy Fundusz Zdrowia. Podmiot leczniczy, w przedsiębiorstwie którego funkcjonuje dział farmacji szpitalnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne (Dz. U. z 2025 r. poz. 750, 905, 924, 1416, 1537 i 1795). Podmiot leczniczy, w przedsiębiorstwie którego funkcjonuje apteka szpitalna w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne. Przedsiębiorca prowadzący działalność polegającą na prowadzeniu hurtowni farmaceutycznej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne. Przedsiębiorca lub podmiot prowadzący działalność gospodarczą w państwie członkowskim Unii Europejskiej lub państwie członkowskim Europejskiego Porozumienia o Wolnym Handlu (EFTA) – stronie umowy o Europejskim Obszarze Gospodarczym, który uzyskał pozwolenie na dopuszczenie do obrotu produktu leczniczego. Importer produktu leczniczego/substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne. Wytwórca produktu leczniczego/substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne. Importer równoległy w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne. Dystrybutor substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne. Przedsiębiorca prowadzący działalność w formie apteki ogólnodostępnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne. Zaopatrzenie Przedsiębiorstwo wodociągowo-kanalizacyjne, o którym mowa w art. 2 w wodę pitną pkt 4 ustawy z dnia 7 czerwca 2001 r. o zbiorowym zaopatrzeniu w wodę i jej dystrybucja i zbiorowym odprowadzaniu ścieków (Dz. U. z 2024 r. poz. 757). Infrastruktura Podmiot, który świadczy usługi DNS. cyfrowa Podmiot prowadzący punkt wymiany ruchu internetowego (IXP), stanowiącego obiekt sieciowy, który umożliwia połączenie międzysystemowe pomiędzy więcej niż dwoma niezależnymi systemami autonomicznymi, głównie do celów ułatwienia wymiany ruchu internetowego. Podmiot zarządzający rejestracją internetowych nazw domen w ramach domeny najwyższego poziomu (TLD).
+Załącznik nr 2 | USŁUGI CYFROWE Nazwa usługi Definicja usługi Internetowa platforma handlowa Usługa, która umożliwia konsumentom lub przedsiębiorcom zawieranie umów drogą elektroniczną z przedsiębiorcami na stronie internetowej platformy handlowej albo na stronie internetowej przedsiębiorcy, który korzysta z usług świadczonych przez internetową platformę handlową. Usługa przetwarzania w chmurze Usługa umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników. Wyszukiwarka internetowa Usługa, która umożliwia użytkownikom wyszukiwanie wszystkich stron internetowych lub stron internetowych w danym języku za pomocą zapytania przez podanie słowa kluczowego, wyrażenia lub innego elementu, przedstawiającą w wyniku odnośniki, odnoszące się do informacji związanych z zapytaniem.