Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa

Changes from version 19 to version 20

From

Version 19: Dz.U. 2026 poz. 20, Jan. 9, 2026 Consolidated text
Version 20: Dz.U. 2026 poz. 252, April 3, 2026 Reconstructed

+903 lines added −281 lines removed Download as .diff

Version 20 is computed, not official. sejmdiff made it by applying the instructions of the amending act to the previous version. Only the published acts are legally binding. Official text of the amending act

Amending acts in this period

Dz.U. 2026 poz. 252 Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw in force from 2026-04-03

Moved or renumbered: 14 units with unchanged text

~~Art. 8 pkt 1~~ is now Art. 8 ust. 1 pkt 1 prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem;
~~Art. 8 pkt 4~~ is now Art. 8 ust. 1 pkt 4 zarządzanie incydentami;
~~Art. 8 pkt 5 lit. a~~ is now Art. 8 ust. 1 pkt 5 lit. a stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym,
~~Art. 8 pkt 5 lit. c~~ is now Art. 8 ust. 1 pkt 5 lit. c ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym,
~~Art. 10 ust. 2 pkt 3~~ is now Art. 10 ust. 6 pkt 3 oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w tych dokumentach.
~~Art. 12 ust. 1 pkt 4 lit. d~~ is now Art. 12 ust. 3 pkt 1 lit. c zasięg geograficzny obszaru, którego dotyczy incydent poważny,
~~Art. 12 ust. 1 pkt 7~~ is now Art. 12 ust. 3 pkt 3 informacje o podjętych działaniach zapobiegawczych;
~~Art. 12 ust. 1 pkt 8~~ is now Art. 12 ust. 3 pkt 4 informacje o podjętych działaniach naprawczych;
~~Art. 54 ust. 2 pkt 1~~ is now Art. 54 pkt 1 będących przedsiębiorcami stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców;
~~Art. 69 ust. 2 pkt 2~~ is now Art. 69 ust. 1 pkt 4 podmioty zaangażowane we wdrażanie i realizację Strategii;
~~Art. 73 ust. 1 pkt 5~~ is now Art. 73 ust. 1 pkt 4 nie wykonuje obowiązków, o których mowa w art. 10 ust. 1;
~~Art. 73 ust. 1 pkt 6~~ is now Art. 73 ust. 1 pkt 5 nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 1;
~~Art. 73 ust. 1 pkt 7~~ is now Art. 73 ust. 1 pkt 6 nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 4;
~~Art. 73 ust. 1 pkt 8~~ is now Art. 73 ust. 1 pkt 10 nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 5;

Changed text

--- a/DU/2018/1560 Dz.U. 2026 poz. 20 (2026-01-09) +++ b/DU/2018/1560 Dz.U. 2026 poz. 252 (2026-04-03) @@ -27,14 +27,16 @@ Art. 2 pkt 17 | zagrożenie cyberbezpieczeństwa – potencjalną przyczynę wystąpienia incydentu; Art. 2 pkt 18 | zarządzanie incydentem – obsługę incydentu, wyszukiwanie powiązań między incydentami, usuwanie przyczyn ich wystąpienia oraz opracowywanie wniosków wynikających z obsługi incydentu; Art. 2 pkt 19 | zarządzanie ryzykiem – skoordynowane działania w zakresie zarządzania cyberbezpieczeństwem w odniesieniu do oszacowanego ryzyka. -Art. 3 | Krajowy system cyberbezpieczeństwa ma na celu zapewnienie cyberbezpieczeństwa na poziomie krajowym, w tym niezakłóconego świadczenia usług kluczowych i usług cyfrowych, przez osiągnięcie odpowiedniego poziomu bezpieczeństwa systemów informacyjnych służących do świadczenia tych usług oraz zapewnienie obsługi incydentów. +Art. 2a | W przypadku podmiotu publicznego pod pojęciem usługi rozumie się także zadanie publiczne realizowane przez ten podmiot. +Art. 3 | Krajowy system cyberbezpieczeństwa ma na celu zapewnienie cyberbezpieczeństwa na poziomie krajowym, w tym niezakłóconego świadczenia usług przez podmioty kluczowe lub podmioty ważne, przez osiągnięcie odpowiedniego poziomu bezpieczeństwa systemów informacyjnych służących do świadczenia tych usług oraz zapewnienie obsługi incydentów. +Art. 3a | W ramach obsługi incydentów podmiot krajowego systemu cyberbezpieczeństwa może w szczególności podejmować działania w celu wykrywania źródła lub dokonywania analizy aktywności, w tym ruchu sieciowego, powodujących wystąpienie incydentu zakłócającego świadczenie usług przez ten podmiot. Art. 4 | Krajowy system cyberbezpieczeństwa obejmuje: -Art. 4 pkt 1 | operatorów usług kluczowych; -Art. 4 pkt 2 | dostawców usług cyfrowych; +Art. 4 pkt 1 | podmioty kluczowe; +Art. 4 pkt 2 | podmioty ważne; Art. 4 pkt 3 | CSIRT MON; Art. 4 pkt 4 | CSIRT NASK; Art. 4 pkt 5 | CSIRT GOV; -Art. 4 pkt 6 | sektorowe zespoły cyberbezpieczeństwa; +Art. 4 pkt 6 lit. c | CSIRT sektorowe; Art. 4 pkt 7 | jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1–6, 8, 9, 11 i 12 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2025 r. poz. 1483); Art. 4 pkt 8 | instytuty badawcze; Art. 4 pkt 9 | Narodowy Bank Polski; @@ -50,93 +52,309 @@ Art. 4 pkt 19 | Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, zwanego dalej „Pełnomocnikiem”; Art. 4 pkt 20 | Kolegium do Spraw Cyberbezpieczeństwa, zwane dalej „Kolegium”. Poz. 20 Rozdział 2 | Identyfikacja i rejestracja operatorów usług kluczowych -Art. 5 ust. 1 | Operatorem usługi kluczowej jest podmiot, o którym mowa w załączniku nr 1 do ustawy, posiadający jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej, wobec którego organ właściwy do spraw cyberbezpieczeństwa wydał decyzję o uznaniu za operatora usługi kluczowej. Sektory, podsektory oraz rodzaje podmiotów określa załącznik nr 1 do ustawy. -Art. 5 ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa wydaje decyzję o uznaniu podmiotu za operatora usługi kluczowej, jeżeli: -Art. 5 ust. 2 pkt 1 | podmiot świadczy usługę kluczową; -Art. 5 ust. 2 pkt 2 | świadczenie tej usługi zależy od systemów informacyjnych; -Art. 5 ust. 2 pkt 3 | incydent miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora. -Art. 5 ust. 3 | Istotność skutku zakłócającego incydentu dla świadczenia usługi kluczowej, o którym mowa w ust. 2 pkt 3, określana jest na podstawie progów istotności skutku zakłócającego. -Art. 5 ust. 4 | W przypadku gdy podmiot świadczy usługę kluczową w innych państwach członkowskich Unii Europejskiej, organ właściwy do spraw cyberbezpieczeństwa w toku postępowania administracyjnego, za pośrednictwem Pojedynczego Punktu Kontaktowego, prowadzi konsultacje z tymi państwami w celu ustalenia, czy ten podmiot został uznany w tych państwach za operatora usługi kluczowej. -Art. 5 ust. 5 | Okresu na przeprowadzenie konsultacji, o których mowa w ust. 4, nie wlicza się do terminów, o których mowa w art. 35 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691). -Art. 5 ust. 6 | W stosunku do podmiotu, który przestał spełniać warunki, o których mowa w ust. 1 i 2, organ właściwy do spraw cyberbezpieczeństwa wydaje decyzję stwierdzającą wygaśnięcie decyzji o uznaniu za operatora usługi kluczowej. -Art. 5 ust. 7 | Decyzje, o których mowa w ust. 2 i 6, podlegają natychmiastowemu wykonaniu. -Art. 6 | Rada Ministrów określi, w drodze rozporządzenia: -Art. 6 pkt 1 | wykaz usług kluczowych, o których mowa w art. 5 ust. 2 pkt 1, kierując się przyporządkowaniem usługi kluczowej do danego sektora, podsektora i rodzaju podmiotu wymienionych w załączniku nr 1 do ustawy oraz znaczeniem usługi dla utrzymania krytycznej działalności społecznej lub gospodarczej; -Art. 6 pkt 2 | progi istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych, wymienionych w wykazie usług kluczowych, uwzględniając: -Art. 6 pkt 2 lit. a | liczbę użytkowników zależnych od usługi kluczowej świadczonej przez dany podmiot, -Art. 6 pkt 2 lit. b | zależność innych sektorów, o których mowa w załączniku nr 1 do ustawy, od usługi świadczonej przez ten podmiot, -Art. 6 pkt 2 lit. c | wpływ, jaki mógłby mieć incydent, ze względu na jego skalę i czas trwania, na działalność gospodarczą i społeczną lub bezpieczeństwo publiczne, -Art. 6 pkt 2 lit. d | udział podmiotu świadczącego usługę kluczową w rynku, -Art. 6 pkt 2 lit. e | zasięg geograficzny obszaru, którego mógłby dotyczyć incydent, -Art. 6 pkt 2 lit. f | zdolność podmiotu do utrzymywania wystarczającego poziomu świadczenia usługi kluczowej, przy uwzględnieniu dostępności alternatywnych sposobów jej świadczenia, -Art. 6 pkt 2 lit. g | inne czynniki charakterystyczne dla danego sektora lub podsektora, jeżeli występują – kierując się potrzebą zapewnienia ochrony przed zagrożeniem życia lub zdrowia ludzi, znacznymi stratami majątkowymi oraz obniżeniem jakości świadczonej usługi kluczowej. -Art. 7 ust. 1 | Minister właściwy do spraw informatyzacji prowadzi wykaz operatorów usług kluczowych. -Art. 7 ust. 2 | Wykaz operatorów usług kluczowych zawiera: -Art. 7 ust. 2 pkt 1 | nazwę (firmę) operatora usługi kluczowej; -Art. 7 ust. 2 pkt 2 | sektor, podsektor i rodzaj podmiotu; -Art. 7 ust. 2 pkt 3 | siedzibę i adres; -Art. 7 ust. 2 pkt 4 | numer identyfikacji podatkowej (NIP), jeżeli został nadany; Poz. 20 -Art. 7 ust. 2 pkt 5 | numer we właściwym rejestrze, jeżeli został nadany; -Art. 7 ust. 2 pkt 6 | nazwę usługi kluczowej, zgodną z wykazem usług kluczowych; -Art. 7 ust. 2 pkt 7 | datę rozpoczęcia świadczenia usługi kluczowej; -Art. 7 ust. 2 pkt 8 | informację określającą, w których państwach członkowskich Unii Europejskiej podmiot został uznany za operatora usługi kluczowej; -Art. 7 ust. 2 pkt 9 | datę zakończenia świadczenia usługi kluczowej; -Art. 7 ust. 2 pkt 10 | datę wykreślenia z wykazu operatorów usług kluczowych. -Art. 7 ust. 3 | Wpisanie do wykazu operatorów usług kluczowych i wykreślenie z tego wykazu następuje na wniosek organu właściwego do spraw cyberbezpieczeństwa złożony niezwłocznie po wydaniu decyzji o uznaniu za operatora usługi kluczowej albo decyzji stwierdzającej wygaśnięcie decyzji o uznaniu za operatora usługi kluczowej. Wniosek zawiera dane, o których mowa w ust. 2 pkt 1–9. -Art. 7 ust. 4 | Zmiana danych w wykazie operatorów usług kluczowych następuje na wniosek organu właściwego do spraw cyberbezpieczeństwa, złożony nie później niż w terminie 6 miesięcy od zmiany tych danych. -Art. 7 ust. 5 | Wnioski, o których mowa w ust. 3 i 4, sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP. -Art. 7 ust. 6 | Wpisanie do wykazu operatorów usług kluczowych i wykreślenie z tego wykazu oraz zmiana danych w wykazie operatorów usług kluczowych jest czynnością materialno-techniczną. -Art. 7 ust. 7 | Dane z wykazu operatorów usług kluczowych minister właściwy do spraw informatyzacji udostępnia CSIRT MON, CSIRT NASK i CSIRT GOV oraz sektorowemu zespołowi cyberbezpieczeństwa w zakresie sektora lub podsektora, dla którego został ustanowiony, a także operatorowi usługi kluczowej w zakresie go dotyczącym. -Art. 7 ust. 8 | Dane z wykazu operatorów usług kluczowych, w zakresie niezbędnym do realizacji ich ustawowych zadań, minister właściwy do spraw informatyzacji udostępnia, na wniosek, następującym podmiotom: -Art. 7 ust. 8 pkt 1 | organom właściwym do spraw cyberbezpieczeństwa; -Art. 7 ust. 8 pkt 2 | Policji; -Art. 7 ust. 8 pkt 3 | Żandarmerii Wojskowej; -Art. 7 ust. 8 pkt 4 | Straży Granicznej; -Art. 7 ust. 8 pkt 5 | Centralnemu Biuru Antykorupcyjnemu; -Art. 7 ust. 8 pkt 6 | Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu; -Art. 7 ust. 8 pkt 7 | Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu Wojskowego; -Art. 7 ust. 8 pkt 8 | sądom; -Art. 7 ust. 8 pkt 9 | prokuraturze; -Art. 7 ust. 8 pkt 10 | organom Krajowej Administracji Skarbowej; -Art. 7 ust. 8 pkt 11 | dyrektorowi Rządowego Centrum Bezpieczeństwa; -Art. 7 ust. 8 pkt 12 | Służbie Ochrony Państwa. +Art. 5 ust. 1 | Podmiotem kluczowym jest: +Art. 5 ust. 1 pkt 1 | osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy, która przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1, z późn. zm.7)), zwanego dalej „rozporządzeniem 651/2014/UE”; +Art. 5 ust. 1 pkt 2 | przedsiębiorca komunikacji elektronicznej, który co najmniej spełnia wymogi dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa; +Art. 5 ust. 1 pkt 3 | dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa; +Art. 5 ust. 1 pkt 4 | niezależnie od wielkości podmiotu: +Art. 5 ust. 1 pkt 4 lit. a | dostawca usług DNS, +Art. 5 ust. 1 pkt 4 lit. b | kwalifikowany dostawca usług zaufania w rozumieniu art. 3 pkt 20 rozporządzenia 910/2014, +Art. 5 ust. 1 pkt 4 lit. c | podmiot krytyczny, +Art. 5 ust. 1 pkt 4 lit. d | podmiot publiczny wskazany w załączniku nr 1 do ustawy w sektorze podmioty publiczne, +Art. 5 ust. 1 pkt 4 lit. e | podmiot zidentyfikowany jako podmiot kluczowy na podstawie art. 7l ust. 2 pkt 1, +Art. 5 ust. 1 pkt 4 lit. f | państwowa osoba prawna zidentyfikowana jako podmiot kluczowy na podstawie art. 7m, +Art. 5 ust. 1 pkt 4 lit. g | podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy z nazwy albo przez określenie jego rodzaju, +Art. 5 ust. 1 pkt 4 lit. h | podmiot będący operatorem obiektu energetyki jądrowej, o którym mowa w art. 2 pkt 2 ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji w zakresie obiektów energetyki jądrowej oraz inwestycji towarzyszących (Dz. U. z 2025 r. poz. 1156), +Art. 5 ust. 1 pkt 4 lit. i | rejestr nazw domen najwyższego poziomu (TLD), +Art. 5 ust. 1 pkt 4 lit. j | podmiot świadczący usługi rejestracji nazw domen. s. 6/103 +Art. 5 ust. 2 | Podmiotem ważnym jest: +Art. 5 ust. 2 pkt 1 | osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy, która spełnia wymogi dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE oraz która nie jest podmiotem kluczowym; +Art. 5 ust. 2 pkt 2 | osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 2 do ustawy, która spełnia wymogi dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub przewyższa te wymogi oraz która nie jest podmiotem kluczowym; +Art. 5 ust. 2 pkt 3 | niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorcą, o którym mowa w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE; +Art. 5 ust. 2 pkt 4 | przedsiębiorca komunikacji elektronicznej będący mikro- lub małym przedsiębiorcą, o którym mowa w art. 2 ust. 2 i 3 załącznika I do rozporządzenia 651/2014/UE; +Art. 5 ust. 2 pkt 5 | podmiot będący inwestorem obiektu energetyki jądrowej, o którym mowa w art. 2 pkt 2 ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji w zakresie obiektów energetyki jądrowej oraz inwestycji towarzyszących, który uzyskał decyzję zasadniczą, o której mowa w art. 3a ust. 1 tej ustawy – niezależnie od jego wielkości; +Art. 5 ust. 2 pkt 6 | podmiot zidentyfikowany jako podmiot ważny na podstawie art. 7l ust. 2 pkt 2; +Art. 5 ust. 2 pkt 7 | podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 2 do ustawy z nazwy albo przez określenie jego rodzaju; +Art. 5 ust. 2 pkt 8 | podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U. z 2021 r. poz. 679), jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych. +Art. 5 ust. 3 | Przy określaniu wymogów dla podmiotów, o których mowa w ust. 1 pkt 1–3, ust. 2 pkt 1–4, nie stosuje się przepisu art. 3 ust. 4 załącznika I do rozporządzenia 651/2014/UE. +Art. 5 ust. 4 | Jeżeli podmiot, o którym mowa w ust. 1, spełnia wymogi zarówno dla podmiotu kluczowego, jak i dla podmiotu ważnego, to jest podmiotem kluczowym. +Art. 5 ust. 5 | Jeżeli status podmiotu kluczowego lub podmiotu ważnego zależy od wielkości podmiotu, to przesłanki uznania za podmiot kluczowy lub podmiot ważny bada się według stanu na dzień sporządzenia sprawozdania finansowego. +Art. 5 ust. 6 | Jeżeli podmiot spełnia wymogi do uznania za podmiot kluczowy, ponieważ przewyższa kryteria dla średniego przedsiębiorstwa zgodnie z art. 6 ust. 2–4 załącznika I do rozporządzenia 651/2014/UE, ale jego system informacyjny jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub przedsiębiorstw partnerskich lub nie świadczy on usług wspólnie z jego przedsiębiorstwami powiązanymi lub przedsiębiorstwami partnerskimi, to nie jest podmiotem kluczowym. +Art. 5 ust. 7 | Jeżeli podmiot spełnia wymogi do uznania za podmiot ważny, ponieważ spełnia kryteria dla średniego przedsiębiorstwa zgodnie z art. 6 ust. 2–4 załącznika I do rozporządzenia 651/2014/UE, ale jego system informacyjny jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub przedsiębiorstw partnerskich lub nie świadczy on usług wspólnie z jego przedsiębiorstwami powiązanymi lub przedsiębiorstwami partnerskimi, to nie jest podmiotem ważnym. +Art. 5 ust. 8 | Podmiot leczniczy, który nie jest przedsiębiorcą: +Art. 5 ust. 8 pkt 1 | jest podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób; +Art. 5 ust. 8 pkt 2 | jest podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób. +Art. 5 ust. 9 | Podmiot, o którym mowa w ust. 1 pkt 4 lit. h, staje się podmiotem kluczowym z dniem: +Art. 5 ust. 9 pkt 1 | uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 3 ustawy z dnia 29 listopada 2000 r. – Prawo atomowe (Dz. U. z 2026 r. poz. 1) – w przypadku operatora składowiska odpadów promieniotwórczych; s. 7/103 +Art. 5 ust. 9 pkt 2 | uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 2 ustawy z dnia 29 listopada 2000 r. – Prawo atomowe, lub uzyskania koncesji na wytwarzanie energii elektrycznej lub ciepła, o których mowa w art. 32 ust. 1 pkt 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyczne (Dz. U. z 2026 r. poz. 43), w zależności od tego, które zostanie uzyskane pierwsze – w przypadku operatora elektrowni jądrowej; +Art. 5 ust. 9 pkt 3 | uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 2 ustawy z dnia 29 listopada 2000 r. – Prawo atomowe, lub uzyskania koncesji na wydobywanie kopalin, o której mowa w art. 22 ust. 1 pkt 2 ustawy z dnia 9 czerwca 2011 r. – Prawo geologiczne i górnicze (Dz. U. z 2026 r. poz. 69), w zależności od tego, które zostanie uzyskane pierwsze – w przypadku operatora zakładu do wydobywania rud uranu i toru ze złóż i do ich wstępnego przetwarzania; +Art. 5 ust. 9 pkt 4 | uzyskania zezwolenia na eksploatację, o której mowa w art. 4 ust. 1 pkt 2 ustawy z dnia 29 listopada 2000 r. – Prawo atomowe – w przypadku operatorów pozostałych obiektów energetyki jądrowej. +Art. 5 ust. 10 | Do podmiotów kluczowych lub podmiotów ważnych nie zalicza się służb specjalnych w rozumieniu art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2025 r. poz. 902 i 1366 oraz z 2026 r. poz. 26), a także podmiotów podległych lub nadzorowanych przez Ministra Obrony Narodowej. +Art. 5 ust. 11 | Minister Obrony Narodowej wskaże, w drodze decyzji niepodlegającej ogłoszeniu, jednostki jemu podległe lub przez niego nadzorowane, które uznaje się za podmioty kluczowe lub podmioty ważne, oraz określi sektor lub sektory, a także w razie potrzeby podsektor, do jakiego przypisuje dany podmiot. +Art. 5a ust. 1 | Podmiot kluczowy lub podmiot ważny podlegają obowiązkom wynikającym z ustawy, jeżeli mają miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej lub prowadzą działalność na terytorium Rzeczypospolitej Polskiej przez swoje siedziby, oddziały lub w ramach działalności transgranicznej. +Art. 5a ust. 2 | Przedsiębiorca komunikacji elektronicznej podlega obowiązkom wynikającym z ustawy, jeżeli świadczy usługi na terytorium Rzeczypospolitej Polskiej. +Art. 5a ust. 3 | Dostawca usług DNS, rejestr nazw domen najwyższego poziomu (TLD), podmiot świadczący usługi rejestracji nazw domen, dostawca chmury obliczeniowej, dostawca usługi centrum przetwarzania danych, dostawca sieci dostarczania treści, dostawca usług zarządzanych, dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, dostawca internetowej platformy handlowej, dostawca wyszukiwarki internetowej oraz dostawca platformy usług sieci społecznościowych świadczący usługi na terytorium Rzeczypospolitej Polskiej podlega obowiązkom wynikającym z ustawy, jeżeli Rzeczpospolita Polska jest głównym miejscem prowadzenia działalności przez ten podmiot. +Art. 5a ust. 4 | Głównym miejscem prowadzenia działalności jest państwo członkowskie Unii Europejskiej, w którym ma siedzibę kierownik podmiotu podejmujący decyzje w sprawie systemu zarządzania bezpieczeństwem informacji, o którym mowa w art. 8 ust. 1. +Art. 5a ust. 5 | W przypadku gdy nie można ustalić, czy kierownik podmiotu podejmujący decyzje w sprawie systemu zarządzania bezpieczeństwem informacji ma siedzibę w państwie członkowskim Unii Europejskiej, to głównym miejscem prowadzenia działalności jest państwo członkowskie Unii Europejskiej, w którym są realizowane zadania związane z systemem zarządzania bezpieczeństwem informacji, o których mowa w art. 8 ust. 1. +Art. 5a ust. 6 | W przypadku gdy informacji, o której mowa w ust. 5, również nie można ustalić, to głównym miejscem prowadzenia działalności jest państwo członkowskie Unii Europejskiej, w którym podmiot, o którym mowa w ust. 3, ma największą liczbę osób zatrudnionych w odniesieniu do innych państw członkowskich Unii Europejskiej. +Art. 5a ust. 7 | Podmiot, o którym mowa w ust. 3, który nie posiada jednostki organizacyjnej w jednym z państw członkowskich Unii Europejskiej, ale oferuje swoje usługi na terytorium Rzeczypospolitej Polskiej, wyznacza przedstawiciela posiadającego jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej, o ile nie wyznaczył przedstawiciela posiadającego jednostkę organizacyjną w innym państwie członkowskim Unii Europejskiej. +Art. 5a ust. 8 | Przedstawicielem, o którym mowa w ust. 7, może być osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej, ustanowiona na terytorium Rzeczypospolitej Polskiej lub w innym państwie członkowskim Unii Europejskiej, wyznaczona do występowania w imieniu podmiotu wskazanego w ust. 1, który nie posiada jednostki organizacyjnej w jednym z państw członkowskich Unii Europejskiej, do którego organ właściwy do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy może się zwrócić w związku z obowiązkami podmiotu wynikającymi z ustawy. +Art. 5a ust. 9 | Podmiot, o którym mowa w ust. 3, który nie posiada jednostki organizacyjnej w jednym z państw członkowskich Unii Europejskiej, ale oferuje swoje usługi na terytorium Rzeczypospolitej Polskiej, podlega właściwości polskiego organu właściwego do spraw cyberbezpieczeństwa, jeżeli wyznaczył przedstawiciela posiadającego jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej. s. 8/103 +Art. 5a ust. 10 | Ustawę stosuje się do podmiotów publicznych niezależnie od miejsca ich siedziby. +Art. 6 | (uchylony) +Art. 7 ust. 1 | Wykaz podmiotów kluczowych i podmiotów ważnych, zwany dalej „wykazem”, jest prowadzony w celu: +Art. 7 ust. 1 pkt 1 | identyfikacji podmiotów kluczowych i podmiotów ważnych; +Art. 7 ust. 1 pkt 2 | zapewnienia wymiany informacji w zakresie cyberbezpieczeństwa, w tym o incydentach, podatnościach i cyberzagrożeniach między podmiotami kluczowymi i podmiotami ważnymi a CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowymi i organami właściwymi do spraw cyberbezpieczeństwa; +Art. 7 ust. 1 pkt 3 | umożliwienia prowadzenia czynności nadzorczych nad podmiotami kluczowymi i podmiotami ważnymi. +Art. 7 ust. 2 | Wykaz zawiera: +Art. 7 ust. 2 pkt 1 | nazwę (firmę) podmiotu kluczowego lub podmiotu ważnego; +Art. 7 ust. 2 pkt 2 | sektor, podsektor i rodzaj lub rodzaje podmiotu, zgodnie z załącznikiem nr 1 lub 2 do ustawy; +Art. 7 ust. 2 pkt 3 | adres siedziby i adres do korespondencji; +Art. 7 ust. 2 pkt 4 | adres do doręczeń elektronicznych, jeżeli został wpisany do bazy adresów elektronicznych; +Art. 7 ust. 2 pkt 5 | adres poczty elektronicznej; +Art. 7 ust. 2 pkt 6 | numer identyfikacji podatkowej (NIP), jeżeli został nadany; +Art. 7 ust. 2 pkt 7 | numer identyfikacyjny podmiotu publicznego w krajowym rejestrze urzędowym podmiotów gospodarki narodowej (REGON), jeżeli został nadany; +Art. 7 ust. 2 pkt 8 | numer we właściwym rejestrze działalności regulowanej, jeżeli został nadany; +Art. 7 ust. 2 pkt 9 | zakres publicznych adresów IP wykorzystywanych przez podmiot kluczowy lub podmiot ważny w sposób ciągły; +Art. 7 ust. 2 pkt 10 | domeny internetowe wykorzystywane przez podmiot kluczowy lub podmiot ważny w sposób ciągły; +Art. 7 ust. 2 pkt 11 | dane osób do kontaktu z podmiotami z krajowego systemu cyberbezpieczeństwa zawierające: imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej, a w przypadku osoby, która będzie pełnić rolę administratora konta podmiotu w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1, dodatkowo numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej, o którym mowa w aktach wykonawczych Komisji Europejskiej, wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014; +Art. 7 ust. 2 pkt 12 | numer telefonu przyporządkowany do wykonywanej działalności; +Art. 7 ust. 2 pkt 13 | deklarację podmiotu kluczowego lub podmiotu ważnego, czy spełnia kryteria mikroprzedsiębiorcy, małego przedsiębiorcy, średniego przedsiębiorcy, o którym mowa w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE, albo przekracza te kryteria, a w przypadku podmiotu leczniczego, który nie jest przedsiębiorcą, oraz urzędu gminy – deklarację wskazującą liczbę osób zatrudnionych według stanu na dzień sporządzenia sprawozdania finansowego; +Art. 7 ust. 2 pkt 14 | informację określającą, w których państwach członkowskich Unii Europejskiej podmiot kluczowy lub podmiot ważny wykonuje działalność, wraz z określeniem rodzaju wykonywanej działalności; +Art. 7 ust. 2 pkt 15 | w przypadku dostawcy usług DNS, rejestru nazw domen najwyższego poziomu (TLD), podmiotu świadczącego usługi rejestracji nazw domen, dostawcy chmury obliczeniowej, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowej platformy handlowej, dostawcy wyszukiwarki internetowej oraz dostawcy platformy usług sieci społecznościowych – główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6; +Art. 7 ust. 2 pkt 16 | informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa na realizację zadań, o których mowa w art. 8 i art. 11, wraz z danymi tego dostawcy zawierającymi nazwę (firmę) dostawcy, adres siedziby, adres do korespondencji, numer telefonu, adres poczty elektronicznej; +Art. 7 ust. 2 pkt 17 | informację o ustanowieniu przedstawiciela podmiotu kluczowego lub podmiotu ważnego, o którym mowa w art. 5a ust. 7, wraz z danymi kontaktowymi do tego przedstawiciela obejmujące: +Art. 7 ust. 2 pkt 17 lit. a | s. 9/103 w przypadku osób fizycznych: imię i nazwisko, adres do korespondencji, numer telefonu służbowego oraz adres służbowej poczty elektronicznej, +Art. 7 ust. 2 pkt 17 lit. b | w przypadku osób prawnych i jednostek organizacyjnych nieposiadających osobowości prawnej: nazwę (firmę) przedstawiciela, adres siedziby, adres do korespondencji, numer telefonu oraz adres poczty elektronicznej; +Art. 7 ust. 2 pkt 18 | informację o zawarciu przez podmiot kluczowy lub podmiot ważny porozumienia, o którym mowa w art. 8h ust. 6; +Art. 7 ust. 2 pkt 19 | informację o uznaniu podmiotu kluczowego lub podmiotu ważnego za podmiot krytyczny; +Art. 7 ust. 2 pkt 20 | wskazanie organu właściwego do spraw cyberbezpieczeństwa dla podmiotu kluczowego lub podmiotu ważnego; +Art. 7 ust. 2 pkt 21 | wskazanie CSIRT sektorowego właściwego dla podmiotu kluczowego lub podmiotu ważnego; +Art. 7 ust. 2 pkt 22 | wskazanie CSIRT MON, CSIRT NASK lub CSIRT GOV właściwego dla podmiotu kluczowego lub podmiotu ważnego; +Art. 7 ust. 2 pkt 23 | numer w wykazie; +Art. 7 ust. 2 pkt 24 | datę wpisu do wykazu; +Art. 7 ust. 2 pkt 25 | podstawę prawną wpisania do wykazu; +Art. 7 ust. 2 pkt 26 | datę wykreślenia z wykazu. +Art. 7 ust. 3 | Do danych, o których mowa w ust. 2, nie stosuje się przepisów ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2022 r. poz. 902 oraz z 2025 r. poz. 1844) oraz ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. z 2023 r. poz. 1524). +Art. 7 ust. 4 | Organ właściwy do spraw cyberbezpieczeństwa prowadzi wykaz w zakresie nadzorowanego sektora i w tym zakresie jest administratorem danych zawartych w wykazie. +Art. 7 ust. 5 | Organ właściwy do spraw cyberbezpieczeństwa: +Art. 7 ust. 5 pkt 1 | może wpisać podmiot do wykazu zgodnie z art. 7j i art. 7l ust. 6; +Art. 7 ust. 5 pkt 2 | wykreśla podmiot z wykazu zgodnie z art. 7f ust. 2; +Art. 7 ust. 5 pkt 3 | może dokonać czynności sprawdzających, o których mowa w art. 7k. +Art. 7 ust. 6 | Minister właściwy do spraw informatyzacji zapewnia rozwój lub utrzymanie systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, za pomocą którego wykaz jest prowadzony. +Art. 7 ust. 7 | Minister właściwy do spraw informatyzacji jest współadministratorem danych, w tym danych osobowych, gromadzonych w wykazie. +Art. 7 ust. 8 | Minister właściwy do spraw informatyzacji podejmuje czynności, o których mowa w art. 7a, art. 7b ust. 1 i 2, art. 7d ust. 6, art. 7e, art. 7f ust. 1, art. 7g ust. 1 i 2, art. 7i oraz art. 7m. +Art. 7a ust. 1 | Dane, o których mowa w art. 7 ust. 2 pkt 19–26, uzupełnia minister właściwy do spraw informatyzacji. +Art. 7a ust. 2 | W przypadku: +Art. 7a ust. 2 pkt 1 | przedsiębiorców telekomunikacyjnych, +Art. 7a ust. 2 pkt 2 | dostawców usług zaufania, +Art. 7a ust. 2 pkt 3 | podmiotów publicznych, +Art. 7a ust. 2 pkt 4 | podmiotów krytycznych – minister właściwy do spraw informatyzacji wpisuje do wykazu dane, o których mowa w art. 7 ust. 2 pkt 1–8 oraz pkt 19–26, dotyczące tych podmiotów – na podstawie danych zawartych w rejestrach publicznych, bazie adresów elektronicznych lub przekazanych przez właściwe organy nadzorcze. +Art. 7b ust. 1 | Zawiadomienie o wpisie do wykazu z urzędu minister właściwy do spraw informatyzacji doręcza podmiotom kluczowym lub podmiotom ważnym. +Art. 7b ust. 2 | Minister właściwy do spraw informatyzacji wzywa podmioty kluczowe lub podmioty ważne, o których mowa w art. 7a ust. 2, do uzupełnienia brakujących danych w wykazie, w terminie 6 miesięcy od dnia doręczenia wezwania, pod rygorem nałożenia kary pieniężnej. s. 10/103 +Art. 7b ust. 3 | Wezwanie, o którym mowa w ust. 2, zawiera: +Art. 7b ust. 3 pkt 1 | podstawę prawną wpisu do wykazu; +Art. 7b ust. 3 pkt 2 | numer podmiotu w wykazie; +Art. 7b ust. 3 pkt 3 | dane podmiotu wpisane do wykazu oraz wskazanie źródła ich pochodzenia; +Art. 7b ust. 3 pkt 4 | wskazanie brakujących danych, które podmiot musi uzupełnić. +Art. 7b ust. 4 | Podmioty kluczowe lub podmioty ważne, o których mowa w art. 7a ust. 2, uzupełniają dane w wykazie, składając wniosek o zmianę wpisu w tym wykazie, w tym również uzupełniają dane w wykazie w zakresie ich działalności, która nie została objęta wpisem z urzędu. +Art. 7b ust. 5 | Zawiadomienie o wpisie do wykazu z urzędu oraz wezwanie, o którym mowa w ust. 2, doręcza się w sposób określony w dziale I rozdziale 8 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691). +Art. 7b ust. 6 | W przypadku przedsiębiorców telekomunikacyjnych zawiadomienie o wpisie do wykazu z urzędu oraz wezwanie, o którym mowa w ust. 2, może być doręczone za pomocą Platformy Usług Elektronicznych Urzędu Komunikacji Elektronicznej w ramach współpracy ministra właściwego do spraw informatyzacji z Prezesem Urzędu Komunikacji Elektronicznej. +Art. 7b ust. 7 | Sprawy, o których mowa w ust. 1 i 2, mogą być załatwiane w sposób, o którym mowa w art. 14 § 1b ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego. +Art. 7c ust. 1 | Podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu, w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. +Art. 7c ust. 2 | Wniosek o wpis do wykazu zawiera dane, o których mowa w art. 7 ust. 2 pkt 1–18. +Art. 7c ust. 3 | Podmiot kluczowy lub podmiot ważny składają wniosek o zmianę wpisu w wykazie w zakresie danych, o których mowa w art. 7 ust. 2 pkt 1–18, w terminie 14 dni od dnia ich zmiany. +Art. 7c ust. 4 | Wniosek o zmianę wpisu w wykazie zawiera wskazanie zmienianych danych oraz numer podmiotu w tym wykazie. +Art. 7c ust. 5 | Wniosek o wpis, zmianę wpisu albo o wykreślenie z wykazu zawiera oświadczenie kierownika podmiotu kluczowego lub podmiotu ważnego o następującej treści: „Świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia wynikającej z art. 233 § 6 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny oświadczam, że dane zawarte we wniosku są zgodne z prawdą.”. Klauzula ta zastępuje pouczenie o odpowiedzialności karnej za złożenie fałszywego oświadczenia. Odpowiedzialność za złożenie fałszywego oświadczenia nie obejmuje podania zakresów adresów IP oraz zakresów nazw domenowych. +Art. 7c ust. 6 | Wniosek o wpis, zmianę wpisu albo o wykreślenie z wykazu sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu kluczowego lub podmiotu ważnego lub osoby przez niego upoważnionej albo kwalifikowaną pieczęcią elektroniczną ze wskazaniem w treści pisma osoby opatrującej pismo pieczęcią. Wniosek składa się w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1. +Art. 7c ust. 7 | W przypadku działania przez pełnomocnika do wniosku o wpis, zmianę wpisu albo o wykreślenie z wykazu dołącza się pełnomocnictwo w postaci elektronicznej podpisane kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną. W przypadku pełnomocnika podmiotu ujawnionego w Centralnej Ewidencji i Informacji o Działalności Gospodarczej lub prokurenta ujawnionego w Krajowym Rejestrze Sądowym nie dołącza się pełnomocnictwa. +Art. 7d ust. 1 | Wpisu podmiotu do wykazu dokonuje się z chwilą złożenia wniosku w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1. +Art. 7d ust. 2 | Podmiot kluczowy lub podmiot ważny prowadzący kilka rodzajów działalności wykazują odrębnie te działalności we wniosku. +Art. 7d ust. 3 | Wpisu do wykazu nie dokonuje się, jeżeli wniosek: +Art. 7d ust. 3 pkt 1 | nie zawiera danych podlegających wpisowi zgodnie z art. 7 ust. 2 pkt 1–18; +Art. 7d ust. 3 pkt 2 | dotyczy podmiotu kluczowego lub podmiotu ważnego już wpisanego do wykazu; +Art. 7d ust. 3 pkt 3 | nie zawiera oświadczenia, o którym mowa w art. 7c ust. 5; +Art. 7d ust. 3 pkt 4 | s. 11/103 nie został podpisany. +Art. 7d ust. 4 | Zmiany wpisu do wykazu nie dokonuje się, jeżeli wniosek o zmianę wpisu: +Art. 7d ust. 4 pkt 1 | nie zawiera nazwy podmiotu oraz numeru podmiotu w wykazie; +Art. 7d ust. 4 pkt 2 | nie zawiera wskazania danych zmienianych; +Art. 7d ust. 4 pkt 3 | nie zawiera oświadczenia, o którym mowa w art. 7c ust. 5; +Art. 7d ust. 4 pkt 4 | nie został podpisany. +Art. 7d ust. 5 | Wpis, zmiana wpisu oraz wykreślenie wpisu z wykazu jest czynnością materialno-techniczną i ma charakter deklaratoryjny. +Art. 7d ust. 6 | Minister właściwy do spraw informatyzacji wydaje, na żądanie podmiotu wpisanego do wykazu, zaświadczenie o wpisie podmiotu do wykazu albo o zmianie tego wpisu wraz ze wskazaniem aktualnych danych zawartych w wykazie dotyczących podmiotu. +Art. 7d ust. 7 | Zaświadczenie, o którym mowa w ust. 6, jest wydawane w postaci dokumentu elektronicznego, opatrzonego kwalifikowaną pieczęcią elektroniczną, za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1. +Art. 7e | Minister właściwy do spraw informatyzacji co najmniej raz w roku aktualizuje dane zawarte we wpisach w wykazie w zakresie nazwy podmiotu na podstawie danych pozyskanych z publicznie dostępnych rejestrów publicznych. +Art. 7f ust. 1 | Minister właściwy do spraw informatyzacji wykreśla podmiot z wykazu, po uzyskaniu informacji o wykreśleniu podmiotu z krajowego rejestru urzędowego podmiotów gospodarki narodowej (REGON), Krajowego Rejestru Sądowego lub Centralnej Ewidencji i Informacji o Działalności Gospodarczej. +Art. 7f ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa wykreśla podmiot z wykazu, w zakresie nadzorowanego sektora, podsektora lub rodzaju działalności, jeżeli: +Art. 7f ust. 2 pkt 1 | podmiot wpisany do wykazu nie jest podmiotem kluczowym albo podmiotem ważnym; +Art. 7f ust. 2 pkt 2 | podmiot wpisany do wykazu utracił status podmiotu kluczowego albo podmiotu ważnego po wpisie do wykazu. +Art. 7f ust. 3 | Podmiot kluczowy lub podmiot ważny składają za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, wniosek o wykreślenie z wykazu w zakresie sektora, podsektora lub rodzaju działalności, jeżeli przestały spełniać przesłanki uznania za podmiot kluczowy lub podmiot ważny w tym sektorze, podsektorze lub dla określonego rodzaju działalności. Wniosek o wykreślenie z wykazu zawiera uzasadnienie. +Art. 7f ust. 4 | Organ właściwy do spraw cyberbezpieczeństwa rozpatruje wniosek w terminie miesiąca od dnia złożenia wniosku i informuje o wykreśleniu albo odmowie wykreślenia z wykazu. +Art. 7f ust. 5 | Organ właściwy do spraw cyberbezpieczeństwa odmawia wykreślenia podmiotu z wykazu, jeżeli podmiot nadal spełnia przesłanki uznania za podmiot kluczowy lub podmiot ważny. +Art. 7f ust. 6 | Odmowa wykreślenia jest inną czynnością z zakresu administracji publicznej, na którą przysługuje skarga do sądu administracyjnego i wymaga uzasadnienia. +Art. 7f ust. 7 | Brak odmowy wykreślenia podmiotu z wykazu w terminie, o którym mowa w ust. 4, skutkuje wykreśleniem podmiotu z wykazu. +Art. 7f ust. 8 | Wykreślenie podmiotu z wykazu jest inną czynnością z zakresu administracji publicznej, na którą przysługuje skarga do sądu administracyjnego. +Art. 7g ust. 1 | Minister właściwy do spraw informatyzacji udostępnia dane, o których mowa w art. 7 ust. 2, CSIRT MON, CSIRT NASK i CSIRT GOV oraz CSIRT sektorowemu w zakresie sektora lub podsektora, dla którego został ustanowiony, organowi właściwemu do spraw cyberbezpieczeństwa w zakresie nadzorowanego sektora lub podsektora, a także podmiotowi kluczowemu lub podmiotowi ważnemu w zakresie go dotyczącym. +Art. 7g ust. 2 | Minister właściwy do spraw informatyzacji udostępnia dane, o których mowa w art. 7 ust. 2, na wniosek, następującym podmiotom: +Art. 7g ust. 2 pkt 1 | Agencji Bezpieczeństwa Wewnętrznego, +Art. 7g ust. 2 pkt 2 | Agencji Wywiadu, +Art. 7g ust. 2 pkt 3 | dyrektorowi Rządowego Centrum Bezpieczeństwa, +Art. 7g ust. 2 pkt 4 | organom Krajowej Administracji Skarbowej, +Art. 7g ust. 2 pkt 5 | Najwyższej Izbie Kontroli, +Art. 7g ust. 2 pkt 6 | Policji, +Art. 7g ust. 2 pkt 7 | Prezesowi Urzędu Lotnictwa Cywilnego, +Art. 7g ust. 2 pkt 8 | Prezesowi Urzędu Ochrony Danych Osobowych, +Art. 7g ust. 2 pkt 9 | Prezesowi Urzędu Transportu Kolejowego, +Art. 7g ust. 2 pkt 10 | Prokuratorii Generalnej Rzeczypospolitej Polskiej, +Art. 7g ust. 2 pkt 11 | prokuratorowi, +Art. 7g ust. 2 pkt 12 | sądom, +Art. 7g ust. 2 pkt 13 | Służbie Kontrwywiadu Wojskowego, +Art. 7g ust. 2 pkt 14 | Służbie Ochrony Państwa, +Art. 7g ust. 2 pkt 15 | Służbie Wywiadu Wojskowego, +Art. 7g ust. 2 pkt 16 | Straży Granicznej, +Art. 7g ust. 2 pkt 17 | Żandarmerii Wojskowej s. 12/103 – w zakresie niezbędnym do realizacji ich ustawowych zadań. +Art. 7g ust. 3 | Udostępnianie danych, o których mowa w art. 7 ust. 2, odbywa się za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1. +Art. 7g ust. 4 | Informacja o zmianie wpisu w wykazie lub o wykreśleniu podmiotu z wykazu jest przechowywana w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1, przez 5 lat od dokonania tej zmiany lub wykreślenia. W informacji wskazuje się datę i czas dokonania zmiany lub wykreślenia. +Art. 7g ust. 5 | Dane administratora konta podmiotu w systemie teleinformatycznym, o którym mowa w art. 46 ust. 1, w tym numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej, o którym mowa w aktach wykonawczych Komisji Europejskiej, wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014, są dostępne wyłącznie dla ministra właściwego do spraw informatyzacji lub jednostki podległej temu ministrowi albo przez niego nadzorowanej, której powierzył realizację zadania rozwoju lub utrzymania systemu. Przepisu zdania pierwszego nie stosuje się do uprawnień sądu i prokuratora w ramach przeprowadzania dowodu w postępowaniu karnym, postępowaniu cywilnym, postępowaniu sądowoadministracyjnym. +Art. 7h | Informację o uznaniu podmiotu kluczowego lub podmiotu ważnego za podmiot krytyczny przekazuje ministrowi właściwemu do spraw informatyzacji dyrektor Rządowego Centrum Bezpieczeństwa. +Art. 7i | Minister właściwy do spraw informatyzacji udostępnia w portalu danych, o którym mowa w ustawie z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego, liczbę podmiotów kluczowych lub podmiotów ważnych w podziale na sektory, podsektory i rodzaj działalności. Dane te są aktualizowane nierzadziej niż raz na kwartał. +Art. 7j | (uchylony) +Art. 7k ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa może dokonywać czynności sprawdzających mających na celu weryfikację zgodności ze stanem faktycznym danych zawartych w wykazie. +Art. 7k ust. 2 | W przypadku stwierdzenia, że dane w wykazie są niezgodne ze stanem faktycznym, organ właściwy do spraw cyberbezpieczeństwa wzywa podmiot do zmiany wpisu, w terminie 7 dni od dnia doręczenia wezwania, pod rygorem nałożenia kary pieniężnej. Do doręczenia wezwania stosuje się przepisy działu I rozdziału 8 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego. +Art. 7k ust. 3 | Organ właściwy do spraw cyberbezpieczeństwa poprawia, z urzędu, oczywiste omyłki i błędy zawarte w wykazie. +Art. 7l | (uchylony) +Art. 7m ust. 1 | Minister właściwy do spraw informatyzacji może uznać, w drodze decyzji, państwową osobę prawną, o której mowa w art. 3 ust. 1 ustawy z dnia 16 grudnia 2016 r. o zasadach zarządzania mieniem państwowym (Dz. U. z 2024 r. poz. 125, 834, 1823, 1897 i 1940 oraz z 2026 r. poz. 160), za podmiot kluczowy w sektorze podmiotów publicznych, jeżeli realizuje, za pomocą systemu informacyjnego, zadanie publiczne: +Art. 7m ust. 1 pkt 1 | którego zakłócenie spowoduje poważne zagrożenie dla bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego, obronności lub zdrowia publicznego lub +Art. 7m ust. 1 pkt 2 | które ma istotne znaczenie na poziomie krajowym. s. 14/103 +Art. 7m ust. 2 | Decyzja, o której mowa w ust. 1, podlega natychmiastowemu wykonaniu. +Art. 7m ust. 3 | Minister właściwy do spraw informatyzacji wzywa państwową osobę prawną, wobec której wydano decyzję, o której mowa w ust. 1, do uzupełnienia brakujących danych w wykazie, w terminie 6 miesięcy od dnia doręczenia decyzji, o której mowa w ust. 1, pod rygorem nałożenia kary pieniężnej. +Art. 7m ust. 4 | Do wezwania do uzupełnienia brakujących danych w wykazie, o którym mowa w ust. 3, stosuje się przepis art. 7b ust. 3. +Art. 7m ust. 5 | Minister właściwy do spraw informatyzacji niezwłocznie wpisuje do wykazu państwową osobę prawną, wobec której wydano decyzję, o której mowa w ust. 1. +Art. 7m ust. 6 | Państwowa osoba prawna, wobec której wydano decyzję, o której mowa w ust. 1: +Art. 7m ust. 6 pkt 1 | realizuje obowiązki, o których mowa w rozdziale 3, w terminie 12 miesięcy, +Art. 7m ust. 6 pkt 2 | zapewnia przeprowadzenie po raz pierwszy audytu w terminie 24 miesięcy – od dnia doręczenia tej decyzji. Rozdział 3 | Obowiązki operatorów usług kluczowych -Art. 8 | Operator usługi kluczowej wdraża system zarządzania bezpieczeństwem w systemie informacyjnym wykorzystywanym do świadczenia usługi kluczowej, zapewniający: -Art. 8 pkt 1 | prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem; -Art. 8 pkt 2 | wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, w tym: -Art. 8 pkt 2 lit. a | utrzymanie i bezpieczną eksploatację systemu informacyjnego, -Art. 8 pkt 2 lit. b | bezpieczeństwo fizyczne i środowiskowe, uwzględniające kontrolę dostępu, -Art. 8 pkt 2 lit. c | Poz. 20 bezpieczeństwo i ciągłość dostaw usług, od których zależy świadczenie usługi kluczowej, -Art. 8 pkt 2 lit. d | wdrażanie, dokumentowanie i utrzymywanie planów działania umożliwiających ciągłe i niezakłócone świadczenie usługi kluczowej oraz zapewniających poufność, integralność, dostępność i autentyczność informacji, -Art. 8 pkt 2 lit. e | objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej systemem monitorowania w trybie ciągłym; -Art. 8 pkt 3 | zbieranie informacji o zagrożeniach cyberbezpieczeństwa i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej; -Art. 8 pkt 4 | zarządzanie incydentami; -Art. 8 pkt 5 | stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, w tym: -Art. 8 pkt 5 lit. a | stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym, -Art. 8 pkt 5 lit. b | dbałość o aktualizację oprogramowania, -Art. 8 pkt 5 lit. c | ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym, -Art. 8 pkt 5 lit. d | niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub zagrożeń cyberbezpieczeństwa; -Art. 8 pkt 6 | stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację w ramach krajowego systemu cyberbezpieczeństwa. -Art. 9 ust. 1 | Operator usługi kluczowej: -Art. 9 ust. 1 pkt 1 | wyznacza osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa; -Art. 9 ust. 1 pkt 2 | zapewnia użytkownikowi usługi kluczowej dostęp do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową, w szczególności przez publikowanie informacji na ten temat na swojej stronie internetowej; -Art. 9 ust. 1 pkt 3 | przekazuje organowi właściwemu do spraw cyberbezpieczeństwa dane, o których mowa w art. 7 ust. 2 pkt 8 i 9, nie później niż w terminie 3 miesięcy od zmiany tych danych. -Art. 9 ust. 2 | Operator usługi kluczowej przekazuje do organu właściwego do spraw cyberbezpieczeństwa, właściwego CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowego zespołu cyberbezpieczeństwa dane osoby, o której mowa w ust. 1 pkt 1, zawierające imię i nazwisko, numer telefonu oraz adres poczty elektronicznej, w terminie 14 dni od dnia jej wyznaczenia, a także informacje o zmianie tych danych – w terminie 14 dni od dnia ich zmiany. -Art. 10 ust. 1 | Operator usługi kluczowej opracowuje, stosuje i aktualizuje dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej. -Art. 10 ust. 2 | Operator usługi kluczowej jest obowiązany do ustanowienia nadzoru nad dokumentacją dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, zapewniającego: -Art. 10 ust. 2 pkt 1 | dostępność dokumentów wyłącznie dla osób upoważnionych zgodnie z realizowanymi przez nie zadaniami; -Art. 10 ust. 2 pkt 2 | ochronę dokumentów przed niewłaściwym użyciem lub utratą integralności; -Art. 10 ust. 2 pkt 3 | oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w tych dokumentach. -Art. 10 ust. 3 | Operator usługi kluczowej przechowuje dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej przez co najmniej 2 lata od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi kluczowej, z uwzględnieniem przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164 oraz z 2025 r. poz. 1173). -Art. 10 ust. 4 | Operator usługi kluczowej będący jednocześnie właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2023 r. poz. 122, z późn. zm.3)), który posiada zatwierdzony plan ochrony infrastruktury krytycznej uwzględniający dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, nie ma obowiązku opracowania dokumentacji, o której mowa w ust. 1. Poz. 20 -Art. 10 ust. 5 | Rada Ministrów określi, w drodze rozporządzenia, rodzaje dokumentacji, o której mowa w ust. 1, uwzględniając Polskie Normy oraz potrzebę zapewnienia cyberbezpieczeństwa podczas świadczenia usług kluczowych i ciągłości świadczenia tych usług. -Art. 11 ust. 1 | Operator usługi kluczowej: +Art. 8 ust. 1 | Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot, zapewniający: +Art. 8 ust. 1 pkt 1 | prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem; +Art. 8 ust. 1 pkt 2 | wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze, w szczególności: +Art. 8 ust. 1 pkt 2 lit. a | polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne, +Art. 8 ust. 1 pkt 2 lit. b | bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego, +Art. 8 ust. 1 pkt 2 lit. c | bezpieczeństwo fizyczne i środowiskowe uwzględniające kontrole dostępu, +Art. 8 ust. 1 pkt 2 lit. d | bezpieczeństwo zasobów ludzkich, +Art. 8 ust. 1 pkt 2 lit. e | bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym, +Art. 8 ust. 1 pkt 2 lit. f | wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania umożliwiających ciągłe i niezakłócone świadczenie usługi oraz zapewniających poufność, integralność, dostępność i autentyczność informacji, planów awaryjnych oraz planów odtworzenia działalności umożliwiających odtworzenie systemu informacyjnego po zdarzeniu, które spowodowało straty przekraczające zdolności podmiotu do odbudowy za pomocą własnych środków, +Art. 8 ust. 1 pkt 2 lit. g | objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym, +Art. 8 ust. 1 pkt 2 lit. h | polityki i procedury oceny skuteczności środków technicznych i organizacyjnych, +Art. 8 ust. 1 pkt 2 lit. i | edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu, +Art. 8 ust. 1 pkt 2 lit. j | podstawowe zasady cyberhigieny, +Art. 8 ust. 1 pkt 2 lit. k | polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania, +Art. 8 ust. 1 pkt 2 lit. l | stosowanie bezpiecznych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa oraz wewnątrz podmiotu, uwzględniających uwierzytelnianie wieloskładnikowe w stosownych przypadkach, s. 15/103 +Art. 8 ust. 1 pkt 2 lit. m | zarządzanie aktywami, +Art. 8 ust. 1 pkt 2 lit. n | polityki kontroli dostępu; +Art. 8 ust. 1 pkt 3 | zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi; +Art. 8 ust. 1 pkt 4 | zarządzanie incydentami; +Art. 8 ust. 1 pkt 5 | stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi, w tym: +Art. 8 ust. 1 pkt 5 lit. a | stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym, +Art. 8 ust. 1 pkt 5 lit. b | regularne przeprowadzanie aktualizacji oprogramowania, stosownie do zaleceń producenta, z uwzględnieniem analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz poziomu krytyczności poszczególnych aktualizacji, +Art. 8 ust. 1 pkt 5 lit. c | ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym, +Art. 8 ust. 1 pkt 5 lit. d | niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń, w tym również czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury podmiotu kluczowego lub podmiotu ważnego, które może skutkować zakłóceniem usług świadczonych przez ten podmiot, z uwzględnieniem konieczność minimalizacji skutków ograniczenia dostępności tych usług, z uwagi na podjęte działania. +Art. 8 ust. 2 | Wdrażając środki, o których mowa w ust. 1 pkt 2 lit. e, podmiot kluczowy lub podmiot ważny uwzględnia: +Art. 8 ust. 2 pkt 1 | podatności związane z dostawcą sprzętu lub oprogramowania; +Art. 8 ust. 2 pkt 2 | ogólną jakość produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy sprzętu lub oprogramowania; +Art. 8 ust. 2 pkt 3 | wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy, o której mowa w art. 22 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającej rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającej dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz. Urz. UE L 333 z 27.12.2022, str. 80), zwanej dalej „dyrektywą 2022/2555”; +Art. 8 ust. 2 pkt 4 | wyniki postępowania, o którym mowa w art. 67b. +Art. 8 ust. 3 | Podmiot ważny będący podmiotem publicznym albo podmiotem, o którym mowa w art. 7 ust. 1 pkt 1–4 i 6–7 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce, niebędącym organizacją badawczą w zakresie, w jakim realizuje zadania publiczne z wykorzystaniem systemów informacyjnych, nie stosuje przepisu ust. 1. Podmiot, o którym mowa w zdaniu pierwszym, opracowuje, wdraża, realizuje, monitoruje i utrzymuje w systemach informacyjnych kontrolowanych przez ten podmiot system zarządzania bezpieczeństwem informacji spełniający wymogi określone w załączniku nr 4 do ustawy. +Art. 8 ust. 4 | Podmiot publiczny uwzględnia w systemie zarządzania bezpieczeństwem informacji system informacyjny dostarczany przez inny podmiot publiczny, w tym na podstawie przepisów ustawy, w szczególności system informacyjny zapewniający działanie rejestru publicznego w zakresie odpowiadającym zakresowi kompetencji tego podmiotu, wynikającym z polityki bezpieczeństwa danego systemu informacyjnego lub przepisów prawa regulujących sposób działania tego systemu. +Art. 8a | Rada Ministrów może określić, w drodze rozporządzenia, odrębnie dla danego rodzaju działalności wykonywanej przez podmioty kluczowe lub podmioty ważne, szczegółowe wymagania dla systemu zarządzania bezpieczeństwem informacji, o którym mowa w art. 8 ust. 1, biorąc pod uwagę rekomendacje międzynarodowe o charakterze specjalistycznym, w tym rekomendacje Agencji Unii Europejskiej do spraw Cyberbezpieczeństwa, zwanej dalej „ENISA”, wielkość podmiotu, skalę działalności wykonywanej przez te podmioty oraz potrzebę podejmowania przez te podmioty działań zapewniających cyberbezpieczeństwo. +Art. 8b ust. 1 | Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych stosują, w ramach systemu, o którym mowa w art. 8 ust. 1, środki zarządzania ryzykiem określone w rozporządzeniu wykonawczym Komisji (UE) 2024/2690 z dnia 17 października 2024 r. ustanawiającym zasady stosowania dyrektywy (UE) 2022/2555 w odniesieniu do wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie oraz doprecyzowujące przypadki, w których incydent uznaje się za poważny w odniesieniu do dostawców usług s. 16/103 DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych oraz dostawców usług zaufania (Dz. Urz. UE L 2024/2690 z 18.10.2024, z późn. zm.8)). +Art. 8b ust. 2 | W ramach systemu, o którym mowa w art. 8 ust. 1, podmioty kluczowe lub podmioty ważne, inne niż określone w ust. 1, stosują środki zarządzania ryzykiem dla danego rodzaju podmiotu określone w aktach wykonawczych Komisji Europejskiej, wydanych na podstawie art. 21 ust. 5 dyrektywy 2022/2555. +Art. 8b ust. 3 | Podmioty kluczowe lub podmioty ważne z podsektora energii elektrycznej, uznane za podmiot o dużym wpływie lub podmiot o krytycznym wpływie, o którym mowa w art. 52a ust. 2, dodatkowo stosują środki określone w rozporządzeniu delegowanym Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. uzupełniającym rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 poprzez ustanowienie kodeksu sieci dotyczącego zasad sektorowych w zakresie aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej (Dz. Urz. UE L 2024/1366 z 24.05.2024, z późn. zm.9)), zwanym dalej „rozporządzeniem 2024/1366”. +Art. 8c ust. 1 | Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa przez podmiot kluczowy lub podmiot ważny, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8e, art. 8f ust. 1 i 2, art. 9–12b, art. 14 i art. 15. +Art. 8c ust. 2 | W przypadku gdy kierownikiem podmiotu kluczowego lub podmiotu ważnego jest organ wieloosobowy i nie została wskazana osoba odpowiedzialna, odpowiedzialność ponoszą wszyscy członkowie tego organu. +Art. 8c ust. 3 | Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą. +Art. 8d | Kierownik podmiotu kluczowego lub podmiotu ważnego: +Art. 8d pkt 1 | podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie; +Art. 8d pkt 2 | planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa; +Art. 8d pkt 3 | przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie; +Art. 8d pkt 4 | zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie; +Art. 8d pkt 5 | zapewnia zgodność działania tego podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu. +Art. 8e ust. 1 | Kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie. +Art. 8e ust. 2 | Zakres szkolenia obejmuje wykonywanie obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9–12b, art. 14 i art. 15. +Art. 8e ust. 3 | Udział w szkoleniu jest udokumentowany. +Art. 8f ust. 1 | Przed rozpoczęciem realizacji zadań, o których mowa w art. 8 lub art. 11, osoba, która ma te zadania realizować, przedstawia podmiotowi kluczowemu lub podmiotowi ważnemu informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik podmiotu kluczowego lub podmiotu ważnego dopuszcza osobę do realizacji zadań, o których mowa w art. 8 lub art. 11, po otrzymaniu informacji, o której mowa w zdaniu pierwszym. +Art. 8f ust. 2 | Podmiot kluczowy lub podmiot ważny wzywa osobę realizującą zadania, o których mowa w art. 8 lub art. 11, do ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego, jeżeli poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji. +Art. 8f ust. 3 | Wymagania, o których mowa w ust. 1 i 2, uznaje się za spełnione, jeżeli osoba realizująca zadania, o których mowa w art. 8 i art. 11, posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej. +Art. 8f ust. 4 | Osoba skazana prawomocnym wyrokiem sądu za przestępstwa przeciwko ochronie informacji nie może realizować zadań, o których mowa w art. 8 lub art. 11. +Art. 8f ust. 4 pkt 8 | Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 2024/90225 z 12.03.2025. Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 2024/90558 z 16.09.2024. s. 17/103 +Art. 8g | Podmiot kluczowy będący dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa świadczącym usługę obsługi incydentów udostępnia na swojej stronie internetowej co najmniej następujące informacje na temat swojej działalności: +Art. 8g pkt 1 | nazwę (firmę); +Art. 8g pkt 2 | zakres działania, w tym: +Art. 8g pkt 2 lit. a | oferowany rodzaj wsparcia, +Art. 8g pkt 2 lit. b | zasady współpracy i wymiany informacji, +Art. 8g pkt 2 lit. c | politykę komunikacji; +Art. 8g pkt 3 | oferowane usługi oraz politykę obsługi incydentów i koordynacji incydentów; +Art. 8g pkt 4 | dane kontaktowe, w tym: +Art. 8g pkt 4 lit. a | adres ze wskazaniem strefy czasowej, +Art. 8g pkt 4 lit. b | numer telefonu, adres poczty elektronicznej oraz wskazanie innych dostępnych środków komunikacji elektronicznej z dostawcą, +Art. 8g pkt 4 lit. c | dane o wykorzystywanych kluczach publicznych i sposobach szyfrowania komunikacji z dostawcą, +Art. 8g pkt 4 lit. d | sposoby kontaktu z dostawcą, w tym sposób zgłaszania incydentów. +Art. 8h ust. 1 | Podmioty kluczowe, podmioty ważne, CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowy, dostawcy sprzętu lub oprogramowania dla tych podmiotów lub organizacje społeczne zrzeszające podmioty kluczowe lub podmioty ważne mogą wymieniać między sobą informacje dotyczące cyberbezpieczeństwa, w tym informacje o cyberzagrożeniach, potencjalnych zdarzeniach dla cyberbezpieczeństwa, podatnościach, technikach i procedurach, oznakach naruszenia integralności systemu informacyjnego, wrogich taktykach, a także informacje o grupach przestępczych, ostrzeżenia dotyczące cyberbezpieczeństwa i zalecenia dotyczące konfiguracji narzędzi bezpieczeństwa mających wykrywać cyberataki. +Art. 8h ust. 2 | Wymiana informacji, ostrzeżeń i zaleceń, o których mowa w ust. 1, jest dopuszczalna, jeżeli: +Art. 8h ust. 2 pkt 1 | ma na celu zapobieganie incydentom, ich wykrywanie, reagowanie na nie, przywracanie normalnego działania po incydentach lub łagodzenie ich skutków lub +Art. 8h ust. 2 pkt 2 | zwiększa poziom cyberbezpieczeństwa, w szczególności przez podnoszenie świadomości na temat cyberzagrożeń, ograniczanie lub utrudnianie ich rozprzestrzeniania się, eliminowanie i ujawnianie podatności, techniki wykrywania cyberzagrożeń, ograniczania ich zasięgu i zapobiegania im, strategie ograniczania ryzyka, etapy reagowania i przywracania normalnego działania lub sprzyjanie współpracy między podmiotami publicznymi i prywatnymi w badaniach nad cyberzagrożeniami. +Art. 8h ust. 3 | Wymiana informacji, ostrzeżeń i zaleceń, o których mowa w ust. 1, odbywa się za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, systemów teleinformatycznych zapewnianych przez organy właściwe do spraw cyberbezpieczeństwa lub w drodze porozumień, o których mowa w ust. 6. +Art. 8h ust. 4 | Wymieniając informacje, o których mowa w ust. 1, podmioty kluczowe lub podmioty ważne oznaczają zakres odbiorców tych informacji. Odbiorca informacji może ją udostępniać w zakresie określonym przez wytwórcę informacji. +Art. 8h ust. 5 | Wymieniając informacje, o których mowa w ust. 1, za pomocą systemu teleinformatycznego, o którym mowa w art. 46 w ust. 1, nie przekazuje się danych osobowych. +Art. 8h ust. 6 | Podmioty kluczowe, podmioty ważne, CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowy, dostawcy sprzętu lub oprogramowania dla tych podmiotów lub organizacje społeczne zrzeszające podmioty kluczowe lub podmioty ważne mogą zawierać porozumienia w sprawie wymiany informacji, o których mowa w ust. 1, w szczególności określając sposób wymiany informacji i zachowania informacji w poufności pomiędzy stronami porozumienia. +Art. 8h ust. 7 | Koszty wykonania porozumień, o których mowa w ust. 6, są ponoszone w równych częściach przez wszystkie strony, chyba że w danym porozumieniu postanowiono inaczej. +Art. 8i ust. 1 | Do podmiotów kluczowych lub podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych nie stosuje się przepisów ustawy dotyczących systemu zarządzania bezpieczeństwem informacji lub zgłaszania poważnych incydentów, z wyjątkiem art. 3a, art. 5 ust. 1–3, art. 7–7m, art. 8 ust. 1 pkt 1 i pkt 2 lit. j, art. 8h, art. 9, art. 11 ust. 1 pkt 5 i 6, art. 13, art. 16, art. 26a ust. 2–4, art. 32, art. 33 ust. 5, 7 i 8, art. 36a, art. 36b, art. 37, art. 43, art. 45 ust. 3, art. 46 ust. 1 pkt 1, 2, 4–7 i ust. 4–6, art. 67a, art. 67c, art. 67d oraz art. 67g–67i. s. 18/103 +Art. 8i ust. 2 | Do podmiotów kluczowych lub podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych stosuje się odpowiednio przepisy art. 8c–8f, art. 12 ust. 7 oraz art. 31 ust. 1. +Art. 8i ust. 3 | Do podmiotów kluczowych lub podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych stosuje się przepisy rozdziałów 11 i 14 ustawy w zakresie art. 3a, art. 5 ust. 1–3, art. 7–7m, art. 8 ust. 1 pkt 1 i pkt 2 lit. j, art. 8h, art. 9, art. 11 ust. 1 pkt 5 i 6, art. 13, art. 16, art. 26a ust. 2–4, art. 32, art. 33 ust. 5, 7 i 8, art. 36a, art. 36b, art. 37, art. 43, art. 45 ust. 3, art. 46 ust. 1 pkt 1, 2, 4–7 i ust. 4–6, art. 67a, art. 67c, art. 67d, art. 67g–67i oraz stosowanych odpowiednio przepisów art. 8c–8f, art. 12 ust. 7 oraz art. 31 ust. 1. +Art. 8j | Służby specjalne mogą stosować środki zapobiegające i ograniczające wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do realizacji zadań w tym niezwłocznie podejmować działania po dostrzeżeniu podatności lub cyberzagrożeń, w tym również dokonywać czasowego ograniczenia ruchu sieciowego przychodzącego do infrastruktury służb specjalnych, który może skutkować zakłóceniem realizacji zadań służb specjalnych, mając na uwadze konieczność minimalizacji skutków ograniczenia możliwości realizacji tych działań. +Art. 9 ust. 1 | Podmiot kluczowy lub podmiot ważny: +Art. 9 ust. 1 pkt 1 | wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa; +Art. 9 ust. 1 pkt 2 | zapewnia użytkownikowi usługi dostępu do wiedzy pozwalającej na zrozumienie cyberzagrożeń i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczonymi usługami, w szczególności przez udostępnianie informacji na ten temat na swojej stronie internetowej; +Art. 9 ust. 1 pkt 3 | zapewnia użytkownikowi usługi możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą; +Art. 9 ust. 1 pkt 4 | po uzyskaniu wpisu podmiotu do wykazu rozpoczyna korzystanie z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1. +Art. 9 ust. 2 | Podmiot kluczowy lub podmiot ważny będący mikro- lub małym przedsiębiorcą, o którym mowa w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE, wyznacza co najmniej jedną osobę odpowiedzialną za utrzymywanie kontaktów z innymi podmiotami kluczowymi lub podmiotami ważnymi. +Art. 9 ust. 3 | Podmiot ważny będący podmiotem publicznym wyznacza co najmniej jedną osobę odpowiedzialną za utrzymywanie kontaktów z innymi podmiotami kluczowymi lub podmiotami ważnymi. +Art. 9 ust. 4 | Obowiązek, o którym mowa w ust. 1 pkt 2, może być zrealizowany przez zamieszczenie na stronie internetowej podmiotu hiperłącza do stron internetowych organu właściwego do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego. +Art. 10 ust. 1 | Podmiot kluczowy lub podmiot ważny opracowuje, stosuje i aktualizuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi. +Art. 10 ust. 2 | Do dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, o której mowa w ust. 1, zalicza się: +Art. 10 ust. 2 pkt 1 | dokumentację normatywną; +Art. 10 ust. 2 pkt 2 | dokumentację operacyjną. +Art. 10 ust. 3 | Dokumentację normatywną stanowią: +Art. 10 ust. 3 pkt 1 | dokumentacja systemu zarządzania bezpieczeństwem informacji; +Art. 10 ust. 3 pkt 2 | dokumentacja ochrony infrastruktury, z wykorzystaniem której jest świadczona usługa, obejmująca: +Art. 10 ust. 3 pkt 2 lit. a | charakterystykę usługi oraz infrastruktury, w której świadczona jest usługa, +Art. 10 ust. 3 pkt 2 lit. b | ocenę aktualnego stanu ochrony infrastruktury, +Art. 10 ust. 3 pkt 2 lit. c | szacowanie ryzyka dla obiektów infrastruktury, +Art. 10 ust. 3 pkt 2 lit. d | plan postępowania z ryzykiem, +Art. 10 ust. 3 pkt 2 lit. e | opis zabezpieczeń technicznych obiektów infrastruktury, +Art. 10 ust. 3 pkt 2 lit. f | zasady organizacji i wykonywania ochrony fizycznej infrastruktury, s. 19/103 +Art. 10 ust. 3 pkt 2 lit. g | dane o specjalistycznej uzbrojonej formacji ochronnej, o której mowa w art. 2 pkt 7 ustawy z dnia 22 sierpnia 1997 r. o ochronie osób i mienia (Dz. U. z 2025 r. poz. 532), chroniącej infrastrukturę – jeżeli występuje; +Art. 10 ust. 3 pkt 3 | dokumentacja systemu zarządzania ciągłością działania; +Art. 10 ust. 3 pkt 4 | dokumentacja techniczna systemu informacyjnego wykorzystywanego w procesie świadczenia usługi; +Art. 10 ust. 3 pkt 5 | dokumentacja wynikająca ze specyfiki świadczonej usługi w danym sektorze lub podsektorze. +Art. 10 ust. 4 | Dokumentację operacyjną stanowią zapisy poświadczające wykonywanie czynności wymaganych przez postanowienia zawarte w dokumentacji normatywnej, w tym automatycznie generowane zapisy w dziennikach systemów informacyjnych. +Art. 10 ust. 5 | Dokumentacja dotycząca bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi może być prowadzona w postaci papierowej lub w postaci elektronicznej. +Art. 10 ust. 6 | Podmiot kluczowy lub podmiot ważny jest obowiązany do ustanowienia nadzoru nad dokumentacją dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, zapewniającego: +Art. 10 ust. 6 pkt 1 | dostępność dokumentów wyłącznie dla osób upoważnionych, zgodnie z realizowanymi przez nie zadaniami; +Art. 10 ust. 6 pkt 2 | ochronę dokumentów przed uszkodzeniem, zniszczeniem, utratą, nieuprawnionym dostępem, niewłaściwym użyciem lub utratą integralności; +Art. 10 ust. 6 pkt 3 | oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w tych dokumentach. +Art. 10 ust. 7 | Podmiot kluczowy lub podmiot ważny przechowuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi przez okres co najmniej 2 lat od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi, liczony od dnia 1 stycznia roku następującego po roku, w którym wygasa okres jej przechowywania. Przepisu nie stosuje się do podmiotów podlegających ustawie z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164 oraz z 2025 r. poz. 1173). +Art. 10 ust. 8 | Zniszczenie wycofanej z użytkowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi potwierdza się protokołem brakowania zawierającym w szczególności: datę protokołu, oznaczenie niszczonej dokumentacji, opis sposobu zniszczenia, dane osoby zatwierdzającej protokół. Protokoły brakowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi są przechowywane w sposób trwały. +Art. 11 ust. 1 | Podmiot kluczowy lub podmiot ważny: Art. 11 ust. 1 pkt 1 | zapewnia obsługę incydentu; -Art. 11 ust. 1 pkt 2 | zapewnia dostęp do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK lub CSIRT GOV w zakresie niezbędnym do realizacji jego zadań; +Art. 11 ust. 1 pkt 2 | zapewnia dostęp do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu w zakresie niezbędnym do realizacji jego zadań; Art. 11 ust. 1 pkt 3 | klasyfikuje incydent jako poważny na podstawie progów uznawania incydentu za poważny; -Art. 11 ust. 1 pkt 4 | zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV; -Art. 11 ust. 1 pkt 5 | współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędne dane, w tym dane osobowe; +Art. 11 ust. 1 pkt 4 | zgłasza wczesne ostrzeżenie o incydencie poważnym niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego; +Art. 11 ust. 1 pkt 4a | zgłasza incydent poważny niezwłocznie, niepóźniej niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego; +Art. 11 ust. 1 pkt 4b | przekazuje, na wniosek właściwego CSIRT sektorowego, sprawozdanie okresowe z obsługi incydentu poważnego; +Art. 11 ust. 1 pkt 4c | przekazuje właściwemu CSIRT sektorowemu sprawozdanie końcowe z obsługi incydentu poważnego, niepóźniej niż w ciągu miesiąca od dnia zgłoszenia, o którym mowa w pkt 4a; +Art. 11 ust. 1 pkt 5 | s. 20/103 współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowym, przekazując niezbędne dane, w tym dane osobowe; Art. 11 ust. 1 pkt 6 | usuwa podatności, o których mowa w art. 32 ust. 2, oraz informuje o ich usunięciu organ właściwy do spraw cyberbezpieczeństwa. +Art. 11 ust. 1a | Dostawca usług zaufania zgłasza incydent poważny niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia do właściwego CSIRT sektorowego. Art. 11 ust. 2 | Zgłoszenie, o którym mowa w ust. 1 pkt 4, przekazywane jest w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji. Art. 11 ust. 3 | W przypadku ustanowienia sektorowego zespołu cyberbezpieczeństwa operator usługi kluczowej niezależnie od zadań określonych w ust. 1: Art. 11 ust. 3 pkt 1 | przekazuje jednocześnie temu zespołowi w postaci elektronicznej zgłoszenie, o którym mowa w ust. 1 pkt 4; @@ -147,43 +365,51 @@ Art. 11 ust. 4 pkt 2 | czas oddziaływania incydentu na świadczoną usługę kluczową, Art. 11 ust. 4 pkt 3 | zasięg geograficzny obszaru, którego dotyczy incydent, Art. 11 ust. 4 pkt 4 | inne czynniki charakterystyczne dla danego sektora lub podsektora, jeżeli występują – kierując się potrzebą zapewnienia ochrony przed zagrożeniem życia lub zdrowia ludzi, znacznymi stratami majątkowymi oraz obniżeniem jakości świadczonej usługi kluczowej. -Art. 12 ust. 1 | Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4, zawiera: -Art. 12 ust. 1 pkt 1 | dane podmiotu zgłaszającego, w tym firmę przedsiębiorcy, numer we właściwym rejestrze, siedzibę i adres; -Art. 12 ust. 1 pkt 2 | imię i nazwisko, numer telefonu oraz adres poczty elektronicznej osoby dokonującej zgłoszenia; -Art. 12 ust. 1 pkt 3 | imię i nazwisko, numer telefonu oraz adres poczty elektronicznej osoby uprawnionej do składania wyjaśnień dotyczących zgłaszanych informacji; -Art. 12 ust. 1 pkt 4 | opis wpływu incydentu poważnego na świadczenie usługi kluczowej, w tym: -Art. 12 ust. 1 pkt 4 lit. a | usługi kluczowe zgłaszającego, na które incydent poważny miał wpływ, -Art. 12 ust. 1 pkt 4 lit. b | liczbę użytkowników usługi kluczowej, na których incydent poważny miał wpływ, -Art. 12 ust. 1 pkt 4 lit. c | moment wystąpienia i wykrycia incydentu poważnego oraz czas jego trwania, -Art. 12 ust. 1 pkt 4 lit. d | zasięg geograficzny obszaru, którego dotyczy incydent poważny, -Art. 12 ust. 1 pkt 4 lit. e | wpływ incydentu poważnego na świadczenie usługi kluczowej przez innych operatorów usług kluczowych i dostawców usług cyfrowych, -Art. 12 ust. 1 pkt 4 lit. f | przyczynę zaistnienia incydentu poważnego i sposób jego przebiegu oraz skutki jego oddziaływania na systemy informacyjne lub świadczone usługi kluczowe; Poz. 20 -Art. 12 ust. 1 pkt 5 | informacje umożliwiające właściwemu CSIRT MON, CSIRT NASK lub CSIRT GOV określenie, czy incydent dotyczy dwóch lub większej liczby państw członkowskich Unii Europejskiej; -Art. 12 ust. 1 pkt 6 | w przypadku incydentu, który mógł mieć wpływ na świadczenie usługi kluczowej, opis przyczyn tego incydentu, sposób jego przebiegu oraz prawdopodobne skutki oddziaływania na systemy informacyjne; -Art. 12 ust. 1 pkt 7 | informacje o podjętych działaniach zapobiegawczych; -Art. 12 ust. 1 pkt 8 | informacje o podjętych działaniach naprawczych; -Art. 12 ust. 1 pkt 9 | inne istotne informacje. -Art. 12 ust. 2 | Operator usługi kluczowej przekazuje informacje znane mu w chwili dokonywania zgłoszenia, które uzupełnia w trakcie obsługi incydentu poważnego. -Art. 12 ust. 3 | Operator usługi kluczowej przekazuje, w niezbędnym zakresie, w zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV oraz sektorowego zespołu cyberbezpieczeństwa. -Art. 12 ust. 4 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV oraz sektorowy zespół cyberbezpieczeństwa może zwrócić się do operatora usługi kluczowej o uzupełnienie zgłoszenia o informacje, w tym informacje stanowiące tajemnice prawnie chronione, w zakresie niezbędnym do realizacji zadań, o których mowa w ustawie. -Art. 12 ust. 5 | W zgłoszeniu operator usługi kluczowej oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa. -Art. 13 ust. 1 | Operator usługi kluczowej może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje: -Art. 13 ust. 1 pkt 1 | o innych incydentach; -Art. 13 ust. 1 pkt 2 | o zagrożeniach cyberbezpieczeństwa; -Art. 13 ust. 1 pkt 3 | dotyczące szacowania ryzyka; -Art. 13 ust. 1 pkt 4 | o podatnościach; -Art. 13 ust. 1 pkt 5 | o wykorzystywanych technologiach. -Art. 13 ust. 2 | Informacje, o których mowa w ust. 1, są przekazywane w postaci elektronicznej, a w przypadku braku możliwości przekazania w postaci elektronicznej, przy użyciu innych dostępnych środków komunikacji. -Art. 13 ust. 3 | W przypadku ustanowienia sektorowego zespołu cyberbezpieczeństwa operator usługi kluczowej może przekazywać jednocześnie temu zespołowi, w postaci elektronicznej, informacje, o których mowa w ust. 1. -Art. 13 ust. 4 | Operator usługi kluczowej oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa. -Art. 14 ust. 1 | Operator usługi kluczowej w celu realizacji zadań, o których mowa w art. 8, art. 9, art. 10 ust. 1–3, art. 11 ust. 1–3, art. 12 i art. 13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa. -Art. 14 ust. 2 | Wewnętrzne struktury powołane przez operatora usługi kluczowej odpowiedzialne za cyberbezpieczeństwo oraz podmioty świadczące usługi z zakresu cyberbezpieczeństwa są obowiązane: -Art. 14 ust. 2 pkt 1 | spełniać warunki organizacyjne i techniczne pozwalające na zapewnienie cyberbezpieczeństwa obsługiwanemu operatorowi usługi kluczowej; -Art. 14 ust. 2 pkt 2 | dysponować pomieszczeniami służącymi do świadczenia usług z zakresu reagowania na incydenty, zabezpieczonymi przed zagrożeniami fizycznymi i środowiskowymi; -Art. 14 ust. 2 pkt 3 | stosować zabezpieczenia w celu zapewnienia poufności, integralności, dostępności i autentyczności przetwarzanych informacji, z uwzględnieniem bezpieczeństwa osobowego, eksploatacji i architektury systemów. -Art. 14 ust. 3 | Operator usługi kluczowej informuje organ właściwy do spraw cyberbezpieczeństwa i właściwy CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowy zespół cyberbezpieczeństwa o podmiocie, z którym została zawarta umowa o świadczenie usług z zakresu cyberbezpieczeństwa, danych kontaktowych tego podmiotu, zakresie świadczonej usługi oraz o rozwiązaniu umowy w terminie 14 dni od dnia zawarcia lub rozwiązania umowy. Poz. 20 -Art. 14 ust. 4 | Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, warunki organizacyjne i techniczne dla podmiotów świadczących usługi z zakresu cyberbezpieczeństwa oraz wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo, uwzględniając Polskie Normy oraz konieczność zapewnienia bezpieczeństwa dla wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo i podmiotów świadczących usługi z zakresu cyberbezpieczeństwa dla operatorów usług kluczowych, a także konieczność zapewnienia bezpieczeństwa informacji przetwarzanych w tych strukturach albo podmiotach. -Art. 15 ust. 1 | Operator usługi kluczowej ma obowiązek zapewnić przeprowadzenie, co najmniej raz na 2 lata, audytu bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, zwanego dalej „audytem”. +Art. 12 ust. 1 | Wczesne ostrzeżenie, o którym mowa w art. 11 ust. 1 pkt 4, zawiera: +Art. 12 ust. 1 pkt 1 | dane podmiotu zgłaszającego, w tym firmę przedsiębiorcy, numer z właściwego rejestru, siedzibę i adres; +Art. 12 ust. 1 pkt 2 | imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby dokonującej zgłoszenia; +Art. 12 ust. 1 pkt 3 | imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby uprawnionej do składania wyjaśnień dotyczących zgłaszanych informacji; +Art. 12 ust. 1 pkt 4 | wskazanie momentu wystąpienia i wykrycia incydentu poważnego oraz czas jego trwania; +Art. 12 ust. 1 pkt 5 | wskazanie, czy incydent poważny został wywołany działaniem bezprawnym lub działaniem w złej wierze, jeżeli możliwe jest dokonanie takiej oceny; +Art. 12 ust. 1 pkt 6 | określenie, czy incydent dotyczy innych państw członkowskich Unii Europejskiej. +Art. 12 ust. 2 | Wczesne ostrzeżenie, o którym mowa w art. 11 ust. 1 pkt 4, może zawierać wniosek o wskazanie wytycznych dotyczących możliwych do wdrożenia środków ograniczających skutki incydentu poważnego lub o dodatkowe wsparcie techniczne przy obsłudze incydentu. CSIRT sektorowy niepóźniej niż w ciągu 24 godzin przekazuje podmiotowi zgłaszającemu wytyczne dotyczące wdrożenia środków lub udziela dodatkowego wsparcia technicznego, a w przypadku incydentu poważnego wyczerpującego znamiona przestępstwa również informacje o sposobie zgłoszenia organom ścigania. s. 21/103 +Art. 12 ust. 3 | Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4a, zawiera: +Art. 12 ust. 3 pkt 1 | opis wpływu incydentu poważnego na świadczenie usługi, w tym: +Art. 12 ust. 3 pkt 1 lit. a | wskazanie usługi zgłaszającego, na którą incydent poważny miał wpływ, +Art. 12 ust. 3 pkt 1 lit. b | liczbę użytkowników usługi, na których incydent poważny miał wpływ, +Art. 12 ust. 3 pkt 1 lit. c | zasięg geograficzny obszaru, którego dotyczy incydent poważny, +Art. 12 ust. 3 pkt 1 lit. d | wpływ incydentu poważnego na świadczenie usługi przez inne podmioty; +Art. 12 ust. 3 pkt 2 | opis przyczyn tego incydentu, sposób jego przebiegu oraz prawdopodobne skutki oddziaływania na systemy informacyjne lub świadczone usługi; +Art. 12 ust. 3 pkt 3 | informacje o podjętych działaniach zapobiegawczych; +Art. 12 ust. 3 pkt 4 | informacje o podjętych działaniach naprawczych; +Art. 12 ust. 3 pkt 5 | aktualizację informacji, o których mowa w ust. 1, jeżeli nastąpiła ich zmiana. +Art. 12 ust. 4 | Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4a, może zawierać także inne istotne informacje związane z przebiegiem incydentu poważnego lub podjętymi działaniami. +Art. 12 ust. 5 | Podmiot kluczowy lub podmiot ważny przekazuje informacje znane mu w chwili dokonywania zgłoszenia, o którym mowa w art. 11 ust. 1 pkt 4a, które uzupełnia w trakcie obsługi incydentu poważnego. +Art. 12 ust. 6 | Podmiot kluczowy lub podmiot ważny przekazuje, w niezbędnym zakresie, we wczesnym ostrzeżeniu, o którym mowa w art. 11 ust. 1 pkt 4, lub zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4a, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego. +Art. 12 ust. 7 | Właściwy CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy może zwrócić się do podmiotu kluczowego lub podmiotu ważnego o uzupełnienie wczesnego ostrzeżenia, o którym mowa w art. 11 ust. 1 pkt 4, lub zgłoszenia, o którym mowa w art. 11 ust. 1 pkt 4a, o informacje, w tym informacje stanowiące tajemnice prawnie chronione, w zakresie niezbędnym do realizacji zadań, o których mowa w ustawie. +Art. 12 ust. 8 | We wczesnym ostrzeżeniu, o którym mowa w art. 11 ust. 1 pkt 4, lub w zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4a, podmiot kluczowy lub podmiot ważny oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa. +Art. 12a | Sprawozdanie końcowe, o którym mowa w art. 11 ust. 1 pkt 4c, zawiera: +Art. 12a pkt 1 | szczegółowy opis incydentu poważnego, w tym spowodowane zakłócenia i szkody; +Art. 12a pkt 2 | rodzaj zagrożenia lub przyczynę, która prawdopodobnie była źródłem incydentu; +Art. 12a pkt 3 | zastosowane i wdrażane środki ograniczające ryzyko; +Art. 12a pkt 4 | transgraniczne skutki incydentu, jeżeli wystąpiły. +Art. 12b ust. 1 | W przypadku gdy obsługa incydentu poważnego nie zakończyła się w terminie składania sprawozdania końcowego, o którym mowa w art. 11 ust. 1 pkt 4c, podmiot kluczowy lub podmiot ważny przekazuje właściwemu CSIRT sektorowemu sprawozdanie z postępu obsługi tego incydentu. +Art. 12b ust. 2 | W przypadku gdy obsługa incydentu poważnego nie zakończyła się w terminie składania sprawozdania końcowego, o którym mowa w art. 11 ust. 1 pkt 4c, podmiot kluczowy lub podmiot ważny przekazuje właściwemu CSIRT sektorowemu sprawozdanie końcowe niepóźniej niż w ciągu miesiąca od zakończenia obsługi incydentu poważnego. +Art. 12c | Do podmiotu ważnego będącego podmiotem publicznym stosuje się przepisy art. 11 i art. 12, z wyjątkiem przepisów o przekazywaniu wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi incydentu i sprawozdania końcowego. +Art. 13 ust. 1 | Podmiot kluczowy lub podmiot ważny mogą przekazywać do właściwego CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego informacje o: +Art. 13 ust. 1 pkt 1 | innych incydentach; +Art. 13 ust. 1 pkt 2 | cyberzagrożeniach; +Art. 13 ust. 1 pkt 3 | wynikach szacowania ryzyka; +Art. 13 ust. 1 pkt 4 | podatnościach; +Art. 13 ust. 1 pkt 5 | potencjalnych zdarzeniach dla cyberbezpieczeństwa; +Art. 13 ust. 1 pkt 6 | wykorzystywanych technologiach. s. 22/103 +Art. 13 ust. 2 | Informacje, o których mowa w ust. 1, są przekazywane w postaci elektronicznej za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, a w przypadku braku możliwości przekazania w postaci elektronicznej przy użyciu innych dostępnych środków komunikacji. +Art. 13 ust. 3 | Podmiot kluczowy lub podmiot ważny oznacza informacje, o których mowa w ust. 1, stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa. +Art. 14 | Podmiot kluczowy lub podmiot ważny w celu realizacji zadań, o których mowa w art. 8 oraz w art. 9–13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. +Art. 15 ust. 1 | Podmiot kluczowy przeprowadza, na własny koszt, co najmniej raz na 3 lata, audyt bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, zwany dalej „audytem”, licząc od dnia sporządzenia i podpisania przez audytorów przeprowadzających audyt raportu z ostatniego audytu. +Art. 15 ust. 1a | Podmiot kluczowy przedstawia w postaci elektronicznej kopię raportu z przeprowadzonego audytu organowi właściwemu do spraw cyberbezpieczeństwa, w terminie 3 dni roboczych od dnia jego otrzymania przez podmiot kluczowy lub podmiot ważny. +Art. 15 ust. 1b | Organ właściwy do spraw cyberbezpieczeństwa może nakazać podmiotowi kluczowemu w każdym czasie lub podmiotowi ważnemu w przypadku wystąpienia incydentu poważnego lub innego naruszenia przepisów ustawy przez ten podmiot, w drodze decyzji, przeprowadzenie zewnętrznego audytu bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, wraz z określeniem terminu przekazania kopii raportu z przeprowadzonego audytu i wskazaniem rodzaju podmiotów uprawnionych do przeprowadzenia audytu. Organ właściwy do spraw cyberbezpieczeństwa może również określić zakres audytu, o którym mowa w zdaniu pierwszym. +Art. 15 ust. 1c | Decyzja, o której mowa w ust. 1b, podlega natychmiastowemu wykonaniu. Art. 15 ust. 2 | Audyt może być przeprowadzony przez: Art. 15 ust. 2 pkt 1 | jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2025 r. poz. 568), w zakresie właściwym do podejmowanych ocen bezpieczeństwa systemów informacyjnych; Art. 15 ust. 2 pkt 2 | co najmniej dwóch audytorów posiadających: @@ -208,7 +434,7 @@ Art. 16 pkt 1 | art. 8 pkt 1 i 4, art. 9, art. 11 ust. 1–3, art. 12 i art. 14 ust. 1 – w terminie 3 miesięcy od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej; Art. 16 pkt 2 | art. 8 pkt 2, 3, 5 i 6 oraz art. 10 ust. 1–3 – w terminie 6 miesięcy od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej; Art. 16 pkt 3 | art. 15 ust. 1 – w terminie roku od dnia doręczenia decyzji o uznaniu za operatora usługi kluczowej. -Art. 16a | Operatorzy usług kluczowych działający w sektorze bankowym i infrastruktury rynków finansowych w zakresie, w jakim mają obowiązek stosować rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz. Urz. UE L 333 z 27.12.2022, str. 1, z późn. zm.5)), nie stosują przepisów art. 8, art. 9 ust. 1 pkt 2, art. 10–12 i art. 15. +Art. 16a | (uchylony) Rozdział 4 | Obowiązki dostawców usług cyfrowych Art. 17 ust. 1 | Dostawcą usługi cyfrowej jest osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej mająca siedzibę lub zarząd na terytorium Rzeczypospolitej Polskiej albo przedstawiciela mającego jednostkę organizacyjną na terytorium Rzeczypospolitej Polskiej, świadcząca usługę cyfrową, z wyjątkiem mikroprzedsiębiorców i małych przedsiębiorców, o których mowa w art. 7 ust. 1 pkt 1 i 2 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców (Dz. U. z 2025 r. poz. 1480, 1795 i 1826). Rodzaje usług cyfrowych określa załącznik nr 2 do ustawy. Art. 17 ust. 2 | Dostawca usługi cyfrowej podejmuje właściwe i proporcjonalne środki techniczne i organizacyjne określone w rozporządzeniu wykonawczym 2018/151 w celu zarządzania ryzykiem, na jakie narażone są systemy informacyjne wykorzystywane do świadczenia usługi cyfrowej. Środki te zapewniają cyberbezpieczeństwo odpowiednie do istniejącego ryzyka oraz uwzględniają: @@ -288,8 +514,16 @@ Art. 24 | Podmiot publiczny, o którym mowa w art. 4 pkt 7–15, realizujący zadanie publiczne zależne od systemu informacyjnego może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje, o których mowa w art. 13 ust. 1. Informacje te przekazywane są w postaci elektronicznej, a w przypadku braku możliwości przekazania ich w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji. Art. 25 | Do podmiotu publicznego, o którym mowa w art. 4 pkt 7–15, wobec którego wydana została decyzja o uznaniu za operatora usługi kluczowej, stosuje się przepisy rozdziału 3 w zakresie świadczenia usługi kluczowej, w związku z której świadczeniem został uznany za operatora usługi kluczowej. Rozdział 6 | Zadania CSIRT MON, CSIRT NASK i CSIRT GOV -Art. 26 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV współpracują ze sobą, z organami właściwymi do spraw cyberbezpieczeństwa, ministrem właściwym do spraw informatyzacji oraz Pełnomocnikiem, zapewniając spójny i kompletny system zarządzania ryzykiem na poziomie krajowym, realizując zadania na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa o charakterze ponadsektorowym i transgranicznym, a także zapewniając koordynację obsługi zgłoszonych incydentów. -Art. 26 ust. 2 | CSIRT MON, CSIRT NASK i CSIRT GOV w uzasadnionych przypadkach na wniosek operatorów usług kluczowych, dostawców usług cyfrowych, podmiotów publicznych, o których mowa w art. 4 pkt 7–15, sektorowych zespołów cyberbezpieczeństwa lub właścicieli, posiadaczy samoistnych albo posiadaczy zależnych obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, mogą zapewnić wsparcie w obsłudze incydentów. +Art. 26 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV współpracują ze sobą, z organami właściwymi do spraw cyberbezpieczeństwa, ministrem właściwym do spraw informatyzacji, CSIRT sektorowymi oraz Pełnomocnikiem, zapewniając spójny i kompletny system zarządzania ryzykiem na poziomie krajowym, realizując zadania na rzecz przeciwdziałania cyberzagrożeniom o charakterze ponadsektorowym i transgranicznym, a także zapewniając koordynację obsługi zgłoszonych incydentów. +Art. 26 ust. 2 | CSIRT MON, CSIRT NASK i CSIRT GOV na wniosek podmiotów krajowego systemu cyberbezpieczeństwa mogą zapewnić wsparcie tym podmiotom w obsłudze incydentów, w przypadku gdy: +Art. 26 ust. 2 pkt 1 | incydent może wpłynąć na inne podmioty krajowego systemu cyberbezpieczeństwa; +Art. 26 ust. 2 pkt 2 | podmiot obsługujący incydent nie dysponuje środkami pozwalającymi mu na jego skuteczną obsługę, a incydent powoduje przerwanie ciągłości świadczenia usługi. +Art. 26 ust. 2a | Pełnomocnik może zlecić zapewnienie wsparcia w obsłudze incydentów, o których mowa w ust. 2: +Art. 26 ust. 2a pkt 1 | CSIRT MON, za zgodą Ministra Obrony Narodowej lub +Art. 26 ust. 2a pkt 2 | CSIRT NASK, lub +Art. 26 ust. 2a pkt 3 | CSIRT GOV, za zgodą Szefa Agencji Bezpieczeństwa Wewnętrznego. +Art. 26 ust. 2b | Zgoda może być wyrażona w formie ustnej lub dokumentowej, w szczególności z wykorzystaniem środków komunikacji elektronicznej. Zgoda wyrażona w formie ustnej wymaga udokumentowania w ciągu 14 dni od dnia jej wydania. +Art. 26 ust. 2c | O zapewnieniu wsparcia w obsłudze incydentów, o którym mowa w ust. 2 lub 2a, jest informowany właściwy CSIRT sektorowy. Art. 26 ust. 3 | Do zadań CSIRT MON, CSIRT NASK i CSIRT GOV, zgodnie z właściwością wskazaną w ust. 5–7, należy: Art. 26 ust. 3 pkt 1 | monitorowanie zagrożeń cyberbezpieczeństwa i incydentów na poziomie krajowym; Art. 26 ust. 3 pkt 2 | szacowanie ryzyka związanego z ujawnionym zagrożeniem cyberbezpieczeństwa oraz zaistniałymi incydentami, w tym prowadzenie dynamicznej analizy ryzyka; @@ -349,27 +583,70 @@ Art. 26 ust. 11 | Komunikat o zawarciu porozumienia, o którym mowa w ust. 10, ogłasza się w dzienniku urzędowym odpowiednio Ministra Obrony Narodowej, Ministra Cyfryzacji lub Agencji Bezpieczeństwa Wewnętrznego. W komunikacie wskazuje się informacje o: Art. 26 ust. 11 pkt 1 | adresie strony internetowej, na której zostanie zamieszczona treść porozumienia wraz ze stanowiącymi jego integralną treść załącznikami; Art. 26 ust. 11 pkt 2 | terminie, od którego porozumienie będzie obowiązywało. +Art. 26a ust. 1 | CSIRT NASK pełni funkcję koordynatora na potrzeby skoordynowanego ujawniania podatności. s. 29/103 +Art. 26a ust. 2 | Osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej może zgłosić wykrytą podatność do CSIRT NASK. +Art. 26a ust. 3 | Zgłoszenie podatności jest przekazywane w postaci elektronicznej, a w przypadku braku możliwości przekazania jej w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji. +Art. 26a ust. 4 | CSIRT NASK zapewnia formularz do dokonywania zgłoszeń podatności, zapewniający możliwość zachowania anonimowości przez osobę fizyczną lub osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej zgłaszającą podatność. CSIRT NASK może przetwarzać przekazane dane osobowe w celu realizacji zadań, o których mowa w ust. 5. +Art. 26a ust. 5 | W ramach zadania, o którym mowa w ust. 1, CSIRT NASK: +Art. 26a ust. 5 pkt 1 | przyjmuje informacje o wykrytych podatnościach; +Art. 26a ust. 5 pkt 2 | identyfikuje dostawców produktów ICT lub usług ICT, na które podatność może mieć wpływ i informuje ich o wykrytej podatności; +Art. 26a ust. 5 pkt 3 | w razie konieczności koordynuje komunikację między osobą fizyczną lub osobą prawną lub jednostką organizacyjną nieposiadającą osobowości prawnej zgłaszającą podatność a producentem lub dostawcą potencjalnie podatnych produktów ICT lub usług ICT, w zakresie weryfikacji zgłoszenia i terminu ujawniania podatności. +Art. 26a ust. 6 | CSIRT NASK współpracuje z CSIRT innych państw członkowskich Unii Europejskiej przy podatnościach, które mają wpływ na podmioty, w pozostałych państwach członkowskich Unii Europejskiej. +Art. 26b | Minister Obrony Narodowej udostępnia CSIRT NASK, na jego wniosek, w terminie 14 dni od doręczenia wniosku, listę przedsiębiorców, wobec których wydano decyzję administracyjną, o której mowa w art. 648 ust. 2 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny (Dz. U. z 2025 r. poz. 825, 1014 i 1080 oraz z 2026 r. poz. 26). +Art. 26c ust. 1 | CSIRT NASK, w celu minimalizacji ryzyka powstania szkód materialnych i niematerialnych związanych z nieuprawnionym upublicznieniem danych osobowych w sieci Internet, tworzy i udostępnia usługę online umożliwiającą sprawdzenie przez osobę fizyczną, czy jej dane osobowe nie zostały ujawnione w sieci Internet w sposób nieuprawniony, na skutek incydentu lub cyberzagrożenia. +Art. 26c ust. 2 | Dla realizacji usługi online, o której mowa w ust. 1, CSIRT NASK może gromadzić i przetwarzać następujące dane osobowe: +Art. 26c ust. 2 pkt 1 | imię i nazwisko; +Art. 26c ust. 2 pkt 2 | datę urodzenia; +Art. 26c ust. 2 pkt 3 | adres zamieszkania; +Art. 26c ust. 2 pkt 4 | płeć; +Art. 26c ust. 2 pkt 5 | imię i nazwisko nadane podczas urodzenia; +Art. 26c ust. 2 pkt 6 | miejsce urodzenia; +Art. 26c ust. 2 pkt 7 | identyfikator użytkownika w Węźle Krajowym nadawany tymczasowo podczas uwierzytelniania; +Art. 26c ust. 2 pkt 8 | login, który uległ nieuprawnionemu upublicznieniu; +Art. 26c ust. 2 pkt 9 | adres poczty elektronicznej; +Art. 26c ust. 2 pkt 10 | numer telefonu; +Art. 26c ust. 2 pkt 11 | numer PESEL. +Art. 26d ust. 1 | Przed rozpoczęciem realizacji zadań CSIRT MON, CSIRT NASK lub CSIRT GOV, osoba, która ma te zadania realizować, przedstawia właściwemu CSIRT informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik właściwego CSIRT dopuszcza osobę do realizacji zadań, o których mowa w art. 26 ust. 3, po otrzymaniu informacji, o której mowa w zdaniu pierwszym. +Art. 26d ust. 2 | CSIRT MON, CSIRT NASK lub CSIRT GOV wzywa osobę realizującą jego zadania, o których mowa w art. 26 ust. 3, do ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji, jeżeli poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji. s. 30/103 +Art. 26d ust. 3 | Wymagania, o których mowa w ust. 1 i 2, uznaje się za spełnione, jeśli osoba realizująca zadania CSIRT MON, CSIRT NASK lub CSIRT GOV posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej. +Art. 26d ust. 4 | Osoba skazana prawomocnym wyrokiem sądu za przestępstwa przeciwko ochronie informacji nie może realizować zadań CSIRT MON, CSIRT NASK lub CSIRT GOV, o których mowa w art. 26 ust. 3. Art. 27 ust. 1 | CSIRT GOV jest właściwy w zakresie incydentów związanych ze zdarzeniami o charakterze terrorystycznym, o których mowa w art. 2 pkt 7 ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych (Dz. U. z 2025 r. poz. 194). Art. 27 ust. 2 | CSIRT MON jest właściwy w zakresie incydentów związanych ze zdarzeniami o charakterze terrorystycznym, o których mowa w art. 5 ust. 1 pkt 2a ustawy z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu Wojskowego (Dz. U. z 2024 r. poz. 1405 oraz z 2025 r. poz. 179 i 1366). Art. 27 ust. 3 | W przypadku stwierdzenia, że incydent, którego obsługa jest koordynowana przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV, jest związany ze zdarzeniami, o których mowa w ust. 1 albo 2, koordynację obsługi incydentu przejmuje właściwy CSIRT MON lub CSIRT GOV. -Art. 28 ust. 1 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV informuje na podstawie zgłoszenia incydentu poważnego dokonanego przez operatora usługi kluczowej inne państwa członkowskie Unii Europejskiej, których dotyczy ten incydent, za pośrednictwem Pojedynczego Punktu Kontaktowego. -Art. 28 ust. 2 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV przekazuje, jeżeli pozwalają na to okoliczności, operatorowi usługi kluczowej zgłaszającemu incydent poważny informacje dotyczące działań podjętych po zgłoszeniu tego incydentu, które mogłyby pomóc w jego obsłudze. +Art. 28 ust. 1 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV informuje na podstawie zgłoszenia incydentu poważnego dokonanego przez podmiot kluczowy lub podmiot ważny inne państwa członkowskie Unii Europejskiej, których dotyczy ten incydent, za pośrednictwem Pojedynczego Punktu Kontaktowego. +Art. 28 ust. 2 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV przekazuje, jeżeli pozwalają na to okoliczności, podmiotowi kluczowemu lub podmiotowi ważnemu zgłaszającemu incydent poważny informacje dotyczące działań podjętych po zgłoszeniu tego incydentu, które mogłyby pomóc w jego obsłudze. Art. 28 ust. 3 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może wystąpić z wnioskiem do Pojedynczego Punktu Kontaktowego o przekazanie zgłoszenia incydentu poważnego, o którym mowa w ust. 1, pojedynczym punktom kontaktowym w innych państwach członkowskich Unii Europejskiej, których dotyczy ten incydent. -Art. 29 | CSIRT MON, CSIRT NASK lub CSIRT GOV informuje inne państwa członkowskie Unii Europejskiej w przypadku, gdy incydent istotny dotyczy dwóch lub większej liczby państw członkowskich Unii Europejskiej, za pośrednictwem Pojedynczego Punktu Kontaktowego. -Art. 30 ust. 1 | Podmioty inne niż operatorzy usług kluczowych i dostawcy usług cyfrowych, w tym osoby fizyczne, mogą zgłosić incydent do CSIRT NASK. W zgłoszeniu należy podać: +Art. 29 | (uchylony) +Art. 30 ust. 1 | Podmioty inne niż podmioty kluczowe lub podmioty ważne, w tym osoby fizyczne, mogą zgłosić incydent do CSIRT NASK. W zgłoszeniu należy podać: Art. 30 ust. 1 pkt 1 | nazwę podmiotu lub systemu informacyjnego, w którym wystąpił incydent; Art. 30 ust. 1 pkt 2 | opis incydentu; Art. 30 ust. 1 pkt 3 | inne istotne informacje. -Art. 30 ust. 2 | Zgłoszenia incydentów od operatorów usług kluczowych oraz dostawców usług cyfrowych są traktowane priorytetowo względem zgłoszeń, o których mowa w ust. 1. +Art. 30 ust. 2 | Zgłoszenia incydentów od podmiotów kluczowych lub podmiotów ważnych są traktowane priorytetowo względem zgłoszeń, o których mowa w ust. 1. Art. 30 ust. 3 | Zgłoszenia, o których mowa w ust. 1, mogą zostać rozpatrzone, gdy nie stanowi to nieproporcjonalnego czy nadmiernego obciążenia dla CSIRT NASK. Art. 30 ust. 4 | Podmiot, o którym mowa w ust. 1, oznacza w zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa. -Art. 31 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV określa sposób dokonywania zgłoszeń i przekazywania informacji w postaci elektronicznej, o których mowa w art. 11 ust. 1 pkt 4, art. 13 ust. 1, art. 18 ust. 1 pkt 4, art. 20, art. 22 ust. 1 pkt 2, art. 24 i art. 30 ust. 1, a także określa sposób dokonywania zgłoszeń i przekazywania informacji przy użyciu innych środków komunikacji – w przypadku braku możliwości dokonania zgłoszenia albo przekazania ich w postaci elektronicznej. Poz. 20 -Art. 31 ust. 2 | Komunikat zawierający informacje, o których mowa w ust. 1, CSIRT MON, CSIRT NASK i CSIRT GOV publikuje na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego. -Art. 32 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą wykonywać niezbędne działania techniczne związane z analizą zagrożeń, koordynacją obsługi incydentu poważnego, incydentu istotnego i incydentu krytycznego. -Art. 32 ust. 2 | W trakcie koordynacji obsługi incydentu poważnego, incydentu istotnego lub krytycznego CSIRT MON, CSIRT NASK lub CSIRT GOV może wystąpić do organu właściwego do spraw cyberbezpieczeństwa z wnioskiem o wezwanie operatora usługi kluczowej lub dostawcy usługi cyfrowej, aby w wyznaczonym terminie usunął podatności, które doprowadziły lub mogłyby doprowadzić do incydentu poważnego, incydentu istotnego lub krytycznego. -Art. 32 ust. 3 | CSIRT MON, CSIRT NASK lub CSIRT GOV może wystąpić bezpośrednio do operatora usługi kluczowej o udostępnienie informacji technicznych związanych z incydentem poważnym lub krytycznym, które będą niezbędne do przeprowadzenia analizy lub koordynacji obsługi takiego incydentu. -Art. 32 ust. 4 | CSIRT MON, CSIRT NASK, CSIRT GOV lub sektorowe zespoły cyberbezpieczeństwa na podstawie informacji, o których mowa w art. 13 ust. 1 pkt 3 i 5, uzyskanych od operatora usługi kluczowej, dostawcy usługi cyfrowej lub podmiotu publicznego, o którym mowa w art. 4 pkt 7–15, mogą przekazywać im informacje o podatnościach i sposobie usunięcia podatności w wykorzystywanych technologiach. -Art. 33 ust. 1 | CSIRT MON, CSIRT NASK lub CSIRT GOV może przeprowadzić badanie urządzenia informatycznego lub oprogramowania w celu identyfikacji podatności, której wykorzystanie może zagrozić w szczególności integralności, poufności, rozliczalności, autentyczności lub dostępności przetwarzanych danych, które może mieć wpływ na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa. +Art. 31 ust. 1 | CSIRT MON, CSIRT NASK, CSIRT GOV oraz CSIRT sektorowe określą sposób przekazywania informacji i zgłoszeń, o których mowa w art. 11 i art. 13, w przypadku braku możliwości przekazania ich za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1. +Art. 31 ust. 2 | CSIRT NASK określi sposób dokonywania zgłoszeń, o których mowa w art. 30 ust. 1. +Art. 31 ust. 3 | Komunikat zawierający informacje o sposobie dokonywania zgłoszeń, o których mowa odpowiednio w art. 11, art. 13 i art. 30 ust. 1, CSIRT MON, CSIRT NASK, CSIRT GOV oraz CSIRT sektorowe publikują odpowiednio na stronie podmiotowej Biuletynu Informacji Publicznej Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego, Agencji Bezpieczeństwa Wewnętrznego lub organu właściwego do spraw cyberbezpieczeństwa. +Art. 32 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą wykonywać niezbędne działania techniczne związane z analizą zagrożeń, koordynacją obsługi incydentu poważnego i incydentu krytycznego. +Art. 32 ust. 2 | CSIRT MON, CSIRT NASK lub CSIRT GOV mogą wystąpić do organu właściwego do spraw cyberbezpieczeństwa z wnioskiem o wezwanie podmiotu kluczowego lub podmiotu ważnego, aby w wyznaczonym terminie usunął podatności, które doprowadziły lub mogłyby doprowadzić do incydentu poważnego lub krytycznego. +Art. 32 ust. 3 | Podmiot kluczowy lub podmiot ważny na wniosek CSIRT MON, CSIRT NASK lub CSIRT GOV udostępnia informacje techniczne związane z incydentem, które będą niezbędne do przeprowadzenia analizy lub koordynacji obsługi incydentu. +Art. 32 ust. 4 | CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowe na podstawie informacji, o których mowa w art. 13 ust. 1 pkt 3 i 5, uzyskanych od podmiotu kluczowego lub podmiotu ważnego, mogą przekazywać im informacje o podatnościach i sposobie usunięcia podatności w wykorzystywanych technologiach. +Art. 33 ust. 1 | CSIRT MON, CSIRT NASK lub CSIRT GOV może przeprowadzić badanie produktu ICT lub usługi ICT w celu identyfikacji podatności, której wykorzystanie może zagrozić w szczególności integralności, poufności, rozliczalności, autentyczności lub dostępności przetwarzanych danych, które może mieć wpływ na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa. +Art. 33 ust. 1a | Badanie, o którym mowa w ust. 1, przeprowadza się także na pisemny wniosek Pełnomocnika lub przewodniczącego Kolegium, skierowany do organu prowadzącego lub nadzorującego właściwy CSIRT. +Art. 33 ust. 1b | Badanie, o którym mowa w ust. 1, przeprowadza się w środowisku testowym i nie może ono wpłynąć na ciągłość świadczenia usług przez podmioty kluczowe lub podmioty ważne. +Art. 33 ust. 1c | CSIRT MON, CSIRT NASK i CSIRT GOV, prowadząc badanie, o którym mowa w ust. 1, są uprawnieni do stosowania technik mających na celu: s. 31/103 1) obserwację i analizę pracy produktu ICT lub usługi ICT; +Art. 33 ust. 1c pkt 2 | uzyskanie dostępu do przetwarzanych danych; +Art. 33 ust. 1c pkt 3 | odtworzenie postaci źródłowej produktu ICT lub usługi ICT; +Art. 33 ust. 1c pkt 4 | zwielokrotnienie (powielenie) kodu programowego oraz tłumaczenie (translacja) jego formy; +Art. 33 ust. 1c pkt 5 | odtworzenie algorytmu przetwarzania danych; +Art. 33 ust. 1c pkt 6 | identyfikację realizowanych funkcji; +Art. 33 ust. 1c pkt 7 | usunięcie lub przełamanie zabezpieczeń przed badaniem; +Art. 33 ust. 1c pkt 8 | identyfikację podatności lub identyfikację nieudokumentowanych funkcji realizowanych przez produkt ICT lub usługę ICT. +Art. 33 ust. 1d | CSIRT MON, CSIRT NASK i CSIRT GOV w czasie prowadzenia badania, o którym mowa w ust. 1, nie są związane postanowieniami umów, w szczególności umów licencyjnych, badanych produktów ICT lub usług ICT, które ograniczyłyby możliwość przeprowadzenia tego badania. +Art. 33 ust. 1e | Badanie, o którym mowa w ust. 1: +Art. 33 ust. 1e pkt 1 | nie narusza autorskich praw osobistych oraz majątkowych, oraz +Art. 33 ust. 1e pkt 2 | nie wymaga zgody licencjodawcy lub dysponenta produktu ICT lub usługi ICT. +Art. 33 ust. 1f | Postanowienia umów sprzeczne z ust. 1–1e są nieważne. Art. 33 ust. 2 | CSIRT MON, CSIRT NASK albo CSIRT GOV, podejmując badanie urządzenia informatycznego lub oprogramowania, informuje pozostałe CSIRT o fakcie podjęcia badań oraz urządzeniu informatycznym lub oprogramowaniu, którego badanie dotyczy. Art. 33 ust. 3 | CSIRT MON, CSIRT NASK lub CSIRT GOV w przypadku identyfikacji podatności, o której mowa w ust. 1, składa wniosek w sprawie rekomendacji, o których mowa w ust. 4. Art. 33 ust. 4 | Pełnomocnik po uzyskaniu opinii Kolegium wydaje, zmienia lub odwołuje rekomendacje dotyczące stosowania urządzeń informatycznych lub oprogramowania, w szczególności w zakresie wpływu na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa. @@ -379,23 +656,24 @@ Art. 33 ust. 6 | Pełnomocnik odnosi się do zastrzeżeń otrzymanych w trybie ust. 5 niezwłocznie, jednak nie później niż w terminie 14 dni od dnia ich otrzymania, i podtrzymuje rekomendacje dotyczące stosowania urządzeń informatycznych lub oprogramowania albo wydaje zmienione rekomendacje. Art. 33 ust. 7 | Podmiot krajowego systemu cyberbezpieczeństwa informuje Pełnomocnika, na jego wniosek, o sposobie i zakresie uwzględnienia rekomendacji dotyczących stosowania urządzeń informatycznych lub oprogramowania. Art. 33 ust. 8 | Nieuwzględnienie rekomendacji dotyczących stosowania urządzeń informatycznych lub oprogramowania stanowi podstawę do wystąpienia przez Pełnomocnika do organu sprawującego nadzór nad podmiotem, o którym mowa w ust. 7, z informacją o ich nieuwzględnieniu. -Art. 34 ust. 1 | CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa oraz podmioty świadczące usługi z zakresu cyberbezpieczeństwa współpracują z organami ścigania i wymiaru sprawiedliwości oraz służbami specjalnymi przy realizacji ich ustawowych zadań. -Art. 34 ust. 2 | CSIRT MON, CSIRT NASK i CSIRT GOV, koordynując obsługę incydentu, który doprowadził do naruszenia ochrony danych osobowych, współpracują z organem właściwym do spraw ochrony danych osobowych. Poz. 20 -Art. 35 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV przekazują sobie wzajemnie informacje o incydencie krytycznym oraz informują o nim Rządowe Centrum Bezpieczeństwa. +Art. 34 ust. 1 | CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe oraz dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa współpracują z organami ścigania i wymiaru sprawiedliwości oraz służbami specjalnymi przy realizacji ich ustawowych zadań. +Art. 34 ust. 2 | CSIRT MON, CSIRT NASK CSIRT GOV i CSIRT sektorowe, koordynując obsługę incydentu, który doprowadził do naruszenia ochrony danych osobowych, współpracują z organem właściwym do spraw ochrony danych osobowych. Poz. 20 +Art. 35 ust. 1 | CSIRT MON, CSIRT NASK i CSIRT GOV przekazują sobie wzajemnie informacje o incydencie krytycznym lub incydencie w cyberbezpieczeństwie na dużą skalę oraz informują o nim Rządowe Centrum Bezpieczeństwa, właściwy CSIRT sektorowy oraz ministra właściwego do spraw zagranicznych. Art. 35 ust. 2 | Informacja, o której mowa w ust. 1, zawiera: Art. 35 ust. 2 pkt 1 | wstępną analizę potencjalnych skutków incydentu, z uwzględnieniem w szczególności: -Art. 35 ust. 2 pkt 1 lit. a | liczby użytkowników, których dotyczy incydent, w szczególności jeśli zakłóca świadczenie usługi kluczowej, +Art. 35 ust. 2 pkt 1 lit. a | liczby użytkowników, których dotyczy incydent, Art. 35 ust. 2 pkt 1 lit. b | momentu wystąpienia i wykrycia incydentu oraz czasu jego trwania, Art. 35 ust. 2 pkt 2 | zasięgu geograficznego obszaru, którego dotyczy incydent; rekomendację w sprawie zwołania Rządowego Zespołu Zarządzania Kryzysowego, o którym mowa w art. 8 ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym. Art. 35 ust. 3 | Informacja, o której mowa w ust. 1, może zawierać wniosek o zwołanie Zespołu do spraw Incydentów Krytycznych, zwanego dalej „Zespołem”. -Art. 35 ust. 4 | W przypadku uzyskania informacji o zagrożeniach cyberbezpieczeństwa CSIRT MON, CSIRT NASK i CSIRT GOV mogą informować się wzajemnie oraz informować o tych zagrożeniach Rządowe Centrum Bezpieczeństwa. Przepisy ust. 2 i 3 stosuje się odpowiednio. -Art. 35 ust. 5 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą publikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje, w niezbędnym zakresie, o podatnościach, incydentach krytycznych oraz o zagrożeniach cyberbezpieczeństwa, o ile przekazywanie informacji przyczyni się do zwiększenia cyberbezpieczeństwa systemów informacyjnych użytkowanych przez obywateli i przedsiębiorców lub zapewnienia bezpiecznego korzystania z tych systemów. Publikowane informacje nie mogą naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych. +Art. 35 ust. 4 | W przypadku uzyskania informacji o cyberzagrożeniach CSIRT MON, CSIRT NASK i CSIRT GOV mogą informować się wzajemnie oraz informować o tych zagrożeniach Rządowe Centrum Bezpieczeństwa. Przepisy ust. 2 i 3 stosuje się odpowiednio. +Art. 35 ust. 5 | CSIRT MON, CSIRT NASK i CSIRT GOV mogą publikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje, w niezbędnym zakresie, o podatnościach, incydentach krytycznych oraz o cyberzagrożeniach, o ile przekazywanie informacji przyczyni się do zwiększenia bezpieczeństwa systemów informacyjnych użytkowanych przez obywateli i przedsiębiorców lub zapewnienia bezpiecznego korzystania z tych systemów. Publikowane informacje nie mogą naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych. +Art. 35a | W przypadku wystąpienia incydentu krytycznego Prezes Rady Ministrów może, na podstawie propozycji Rządowego Zespołu Zarządzania Kryzysowego, o której mowa w art. 9 ust. 1 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2023 r. poz. 122, z późn. zm.11)), zobowiązać Ministra Obrony Narodowej do udzielenia wsparcia CSIRT koordynującemu obsługę tego incydentu przez właściwe jednostki organizacyjne podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane. Art. 36 ust. 1 | Zespół jest organem pomocniczym w sprawach obsługi incydentów krytycznych zgłoszonych CSIRT MON, CSIRT NASK lub CSIRT GOV i koordynującym działania podejmowane przez CSIRT MON, CSIRT NASK, CSIRT GOV oraz Rządowe Centrum Bezpieczeństwa. -Art. 36 ust. 2 | W skład Zespołu wchodzą przedstawiciele CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV oraz Rządowego Centrum Bezpieczeństwa. -Art. 36 ust. 3 | Dyrektor Rządowego Centrum Bezpieczeństwa przewodniczy pracom Zespołu. -Art. 36 ust. 4 | Obsługę prac Zespołu zapewnia Rządowe Centrum Bezpieczeństwa. +Art. 36 ust. 2 | W skład Zespołu wchodzą przedstawiciele CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV, Rządowego Centrum Bezpieczeństwa oraz ministra właściwego do spraw zagranicznych. +Art. 36 ust. 3 | Pełnomocnik przewodniczy pracom Zespołu. +Art. 36 ust. 4 | Obsługę prac Zespołu zapewnia urząd obsługujący Pełnomocnika. Art. 36 ust. 5 | Do udziału w pracach Zespołu, z głosem doradczym, członkowie Zespołu mogą zapraszać przedstawicieli organów właściwych do spraw cyberbezpieczeństwa lub jednostek im podległych lub przez nie nadzorowanych, organów ścigania, wymiaru sprawiedliwości lub służb specjalnych. -Art. 36 ust. 6 | W przypadku, o którym mowa w art. 35 ust. 3, albo na wniosek członka Zespołu lub z własnej inicjatywy po uzyskaniu informacji, o której mowa w art. 35 ust. 1, dyrektor Rządowego Centrum Bezpieczeństwa zawiadamia niezwłocznie członków Zespołu o terminie i miejscu posiedzenia Zespołu. Udział w posiedzeniu Zespołu może odbywać się za pośrednictwem środków komunikacji elektronicznej. +Art. 36 ust. 6 | W przypadku, o którym mowa w art. 35 ust. 3, albo na wniosek członka Zespołu lub z własnej inicjatywy po uzyskaniu informacji, o której mowa w art. 35 ust. 1, Pełnomocnik zawiadamia niezwłocznie członków Zespołu o terminie i miejscu posiedzenia Zespołu. Udział w posiedzeniu Zespołu może odbywać się za pośrednictwem środków komunikacji elektronicznej. Art. 36 ust. 7 | Zespół na posiedzeniu: Art. 36 ust. 7 pkt 1 | wyznacza jednomyślnie CSIRT koordynujący obsługę incydentu, którego dotyczy informacja, o której mowa w art. 35 ust. 1; Art. 36 ust. 7 pkt 2 | określa role pozostałych CSIRT oraz Rządowego Centrum Bezpieczeństwa w obsłudze incydentu, którego dotyczy informacja, o której mowa w art. 35 ust. 1; @@ -403,20 +681,22 @@ Art. 36 ust. 7 pkt 4 | podejmuje decyzję o wystąpieniu przez dyrektora Rządowego Centrum Bezpieczeństwa z wnioskiem do Prezesa Rady Ministrów w sprawie zwołania Rządowego Zespołu Zarządzania Kryzysowego; Art. 36 ust. 7 pkt 5 | w przypadku incydentu krytycznego, który może spowodować zagrożenie wystąpienia zdarzenia o charakterze terrorystycznym, dotyczącego systemów teleinformatycznych organów administracji publicznej lub systemów Poz. 20 teleinformatycznych wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 15 ust. 2 ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych, przygotowuje w zakresie takiego incydentu informacje i wnioski dla ministra właściwego do spraw wewnętrznych i Szefa Agencji Bezpieczeństwa Wewnętrznego. Rozdział 7 | Zasady udostępniania informacji i przetwarzania danych osobowych -Art. 37 ust. 1 | Do udostępniania informacji o podatnościach, incydentach i zagrożeniach cyberbezpieczeństwa oraz o ryzyku wystąpienia incydentów nie stosuje się ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2022 r. poz. 902). -Art. 37 ust. 2 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może, po konsultacji ze zgłaszającym operatorem usługi kluczowej, opublikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje o incydentach poważnych, gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu albo zapewnić obsługę incydentu. +Art. 37 ust. 1 | Do udostępniania informacji o podatnościach, incydentach i cyberzagrożeniach oraz o ryzyku wystąpienia incydentów nie stosuje się przepisów: +Art. 37 ust. 1 pkt 1 | ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej; +Art. 37 ust. 1 pkt 2 | ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego, z wyjątkiem informacji, których udostępnienie nie zagrażałoby bezpieczeństwu państwa lub bezpieczeństwu publicznemu. s. 35/103 +Art. 37 ust. 2 | Właściwy CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy mogą, po konsultacji ze zgłaszającym podmiotem kluczowym lub podmiotem ważnym, opublikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego, Agencji Bezpieczeństwa Wewnętrznego lub organu właściwego do spraw cyberbezpieczeństwa informacje o incydentach poważnych, gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu albo zapewnić obsługę incydentu. Art. 37 ust. 3 | Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV może, po konsultacji ze zgłaszającym incydent istotny dostawcą usług cyfrowych, opublikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej lub Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje o incydentach istotnych lub wystąpić do organu właściwego do spraw cyberbezpieczeństwa dla dostawcy usług cyfrowych, aby zobowiązał dostawcę usług cyfrowych do podania tych informacji do publicznej wiadomości, gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu lub zapewnić obsługę incydentu, albo gdy z innych powodów ujawnienie incydentu jest w interesie publicznym. -Art. 37 ust. 4 | Opublikowanie informacji, o których mowa w ust. 2 i 3, nie może naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych. +Art. 37 ust. 4 | Opublikowanie informacji, o których mowa w ust. 2, nie może naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych. Art. 38 | Nie udostępnia się informacji przetwarzanych na podstawie ustawy, jeżeli ich ujawnienie naruszyłoby ochronę interesu publicznego w odniesieniu do bezpieczeństwa lub porządku publicznego, a także negatywnie wpłynęłoby na prowadzenie postępowań przygotowawczych w sprawie przestępstw, ich wykrywania i ścigania. -Art. 39 ust. 1 | W celu realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44 ust. 1–3, CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa przetwarzają dane pozyskane w związku z incydentami i zagrożeniami cyberbezpieczeństwa, w tym dane osobowe, obejmujące także dane określone w art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), zwanego dalej „rozporządzeniem 2016/679”, w zakresie i w celu niezbędnym do realizacji tych zadań. -Art. 39 ust. 2 | CSIRT MON, CSIRT NASK i sektorowe zespoły cyberbezpieczeństwa, przetwarzając dane osobowe określone w art. 9 ust. 1 rozporządzenia 2016/679, prowadzą analizę ryzyka, stosują środki ochrony przed złośliwym oprogramowaniem oraz mechanizmy kontroli dostępu, a także opracowują procedury bezpiecznej wymiany informacji. +Art. 39 ust. 1 | W celu realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 16–21 i ust. 5–8, art. 26a–26c oraz art. 44 ust. 1–1c i 3, CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe przetwarzają dane pozyskane w związku z incydentami i cyberzagrożeniami, w tym dane osobowe, obejmujące także dane określone w art. 9 ust. 1 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.12)), zwanego dalej „rozporządzeniem 2016/679”, w zakresie i w celu niezbędnym do realizacji tych zadań. +Art. 39 ust. 2 | CSIRT MON, CSIRT NASK i CSIRT sektorowe, przetwarzając dane osobowe określone w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, prowadzą analizę ryzyka, stosują środki ochrony przed złośliwym oprogramowaniem oraz mechanizmy kontroli dostępu, a także opracowują procedury bezpiecznej wymiany informacji. Art. 39 ust. 3 | CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa przetwarzają dane osobowe pozyskane w związku z incydentami i zagrożeniami cyberbezpieczeństwa: Art. 39 ust. 3 pkt 1 | dotyczące użytkowników systemów informacyjnych oraz użytkowników telekomunikacyjnych urządzeń końcowych; Art. 39 ust. 3 pkt 2 | dotyczące telekomunikacyjnych urządzeń końcowych w rozumieniu art. 2 pkt 71 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej; Art. 39 ust. 3 pkt 3 | gromadzone przez operatorów usług kluczowych i dostawców usług cyfrowych w związku ze świadczeniem usług; Art. 39 ust. 3 pkt 4 | gromadzone przez podmioty publiczne w związku z realizacją zadań publicznych, dotyczące podmiotów zgłaszających incydent zgodnie z art. 30 ust. 1. -Art. 39 ust. 4 | W celu realizacji zadań określonych w ustawie minister właściwy do spraw informatyzacji, dyrektor Rządowego Centrum Bezpieczeństwa, Pełnomocnik oraz organy właściwe do spraw cyberbezpieczeństwa przetwarzają dane osobowe pozyskane w związku z incydentami i zagrożeniami cyberbezpieczeństwa: -Art. 39 ust. 4 pkt 1 | gromadzone przez operatorów usług kluczowych i dostawców usług cyfrowych w związku ze świadczeniem usług; +Art. 39 ust. 4 | W celu realizacji zadań określonych w ustawie minister właściwy do spraw informatyzacji, dyrektor Rządowego Centrum Bezpieczeństwa, Pełnomocnik, minister właściwy do spraw zagranicznych oraz organy właściwe do spraw cyberbezpieczeństwa przetwarzają dane osobowe pozyskane w związku z incydentami i cyberzagrożeniami: +Art. 39 ust. 4 pkt 1 | gromadzone przez podmioty kluczowe lub podmioty ważne w związku ze świadczeniem usług; Art. 39 ust. 4 pkt 2 | gromadzone przez podmioty publiczne w związku z realizacją zadań publicznych; Art. 39 ust. 4 pkt 3 | dotyczące podmiotów zgłaszających incydent zgodnie z art. 30 ust. 1. Poz. 20 Art. 39 ust. 5 | Dane, o których mowa w ust. 3 i 4, są usuwane lub anonimizowane przez CSIRT MON, CSIRT NASK i sektorowy zespół cyberbezpieczeństwa niezwłocznie po stwierdzeniu, że nie są niezbędne do realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44 ust. 1–3. @@ -435,31 +715,57 @@ Art. 40 ust. 1 | CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowe zespoły cyberbezpieczeństwa i minister właściwy do spraw informatyzacji przetwarzają informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne dla realizacji zadań, o których mowa w ustawie. Art. 40 ust. 2 | CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa przekazują informacje, o których mowa w ust. 1, organom ścigania w związku z incydentem wyczerpującym znamiona przestępstwa. Art. 40 ust. 3 | CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyberbezpieczeństwa obowiązane są do zachowania w tajemnicy informacji, w tym informacji stanowiących tajemnice prawnie chronione, uzyskanych w związku z realizacją zadań, o których mowa w ustawie. +Art. 40a ust. 1 | CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowy i organy właściwe do spraw cyberbezpieczeństwa mogą, w porozumieniu z Pełnomocnikiem, uczestniczyć w procesie oceny wzajemnej, w celu wymiany doświadczeń, zwiększania wzajemnego zaufania pomiędzy organami z różnych państw, osiągnięcia wysokiego, wspólnego poziomu cyberbezpieczeństwa, a także zwiększenia kluczowych zdolności państw członkowskich Unii Europejskiej w zakresie cyberbezpieczeństwa i doskonalenia ich polityki w tej dziedzinie. +Art. 40a ust. 2 | Ocena wzajemna jest przeprowadzana przez ekspertów do spraw cyberbezpieczeństwa wyznaczonych na podstawie metodyki obejmującej obiektywne, niedyskryminacyjne, sprawiedliwe i przejrzyste kryteria jako uprawnionych do prowadzenia ocen wzajemnych. +Art. 40a ust. 3 | Ocena wzajemna może obejmować: +Art. 40a ust. 3 pkt 1 | stopień wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązków dotyczących zgłaszania incydentów; +Art. 40a ust. 3 pkt 2 | poziom zdolności, w tym dostępne zasoby finansowe, techniczne i ludzkie, oraz skuteczność wykonywania zadań przez właściwe organy; +Art. 40a ust. 3 pkt 3 | zdolność operacyjną CSIRT; s. 37/103 +Art. 40a ust. 3 pkt 4 | poziom wdrożenia wzajemnej pomocy; +Art. 40a ust. 3 pkt 5 | poziom wdrożenia ustaleń dotyczących mechanizmów wymiany informacji na temat cyberbezpieczeństwa; +Art. 40a ust. 3 pkt 6 | szczególne zagadnienia transgraniczne lub międzysektorowe. +Art. 40a ust. 4 | W ramach procesu oceny wzajemnej podmioty, o których mowa w ust. 1, mogą przekazywać wyznaczonym przez inne państwa członkowskie Unii Europejskiej ekspertom do spraw cyberbezpieczeństwa informacje dotyczące funkcjonowania tych podmiotów, z uwzględnieniem przepisów o tajemnicach prawnie chronionych. +Art. 40a ust. 5 | Pełnomocnik może wskazać innym państwom członkowskim Unii Europejskiej uczestniczącym w ocenie wzajemnej szczególne zagadnienia transgraniczne lub międzysektorowe, które należy uwzględnić w ocenie wzajemnej. +Art. 40a ust. 6 | Pełnomocnik informuje inne państwa członkowskie Unii Europejskiej uczestniczące w ocenie wzajemnej o zakresie oceny wzajemnej przeprowadzanej w Rzeczypospolitej Polskiej. +Art. 40a ust. 7 | W porozumieniu z Pełnomocnikiem podmioty, o których mowa w ust. 1, mogą przeprowadzić ocenę, o której mowa w ust. 3, dotyczącą krajowego systemu cyberbezpieczeństwa i przedstawić jej wyniki ekspertom z innych państw uczestniczących w ocenie wzajemnej. Ocenę tę przeprowadza się zgodnie z metodyką przyjętą przez Grupę Współpracy. +Art. 40a ust. 8 | Oceny wzajemnej nie przeprowadza się w terminie 2 lat od sporządzenia sprawozdania z poprzedniej oceny wzajemnej, jeżeli dotyczy tego samego zakresu. Ocena wzajemna dotycząca tego samego zakresu może być przeprowadzona, jeżeli Pełnomocnik zwróci się o to do innego państwa członkowskiego Unii Europejskiej lub państwa członkowskie Unii Europejskiej uzgodnią to w ramach Grupy Współpracy. +Art. 40a ust. 9 | Pełnomocnik może sprzeciwić się przeprowadzeniu oceny wzajemnej przez konkretnych ekspertów z innego państwa członkowskiego Unii Europejskiej, jeżeli występuje konflikt interesów. +Art. 40a ust. 10 | Eksperci do spraw cyberbezpieczeństwa, wyznaczeni przez podmioty, o których mowa w ust. 1, uczestniczący w ocenie wzajemnej sporządzają sprawozdanie z oceny wzajemnej, które zatwierdza Pełnomocnik. Sprawozdanie zawiera podsumowanie czynności podjętych w ramach oceny wzajemnej oraz zalecenia. Sprawozdanie udostępnia się innym państwom członkowskim Unii Europejskiej uczestniczącym w ocenie wzajemnej oraz organom właściwym do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK i CSIRT GOV. +Art. 40a ust. 11 | Pełnomocnik może udostępnić sprawozdanie Grupie Współpracy lub Sieci CSIRT. Sprawozdanie to może zostać opublikowane w Biuletynie Informacji Publicznej Pełnomocnika w zakresie, w jakim nie zawiera informacji stanowiących tajemnice prawnie chronione. Rozdział 8 | Organy właściwe do spraw cyberbezpieczeństwa Art. 41 | Organami właściwymi do spraw cyberbezpieczeństwa są: Art. 41 pkt 1 | dla sektora energii – minister właściwy do spraw energii; +Art. 41 pkt 1a | dla sektora inwestycji energii jądrowej – minister właściwy do spraw energii; Art. 41 pkt 2 | dla sektora transportu z wyłączeniem podsektora transportu wodnego – minister właściwy do spraw transportu; Art. 41 pkt 3 | dla podsektora transportu wodnego – minister właściwy do spraw gospodarki morskiej i minister właściwy do spraw żeglugi śródlądowej; Art. 41 pkt 4 | dla sektora bankowego i infrastruktury rynków finansowych – Komisja Nadzoru Finansowego; -Art. 41 pkt 5 | dla sektora ochrony zdrowia z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 – minister właściwy do spraw zdrowia; -Art. 41 pkt 6 | dla sektora ochrony zdrowia obejmującego podmioty, o których mowa w art. 26 ust. 5 – Minister Obrony Narodowej; +Art. 41 pkt 5 | dla sektora ochrony zdrowia z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 pkt 1 – minister właściwy do spraw zdrowia; +Art. 41 pkt 6 | dla sektora ochrony zdrowia obejmującego podmioty, o których mowa w art. 26 ust. 5 pkt 1 – Minister Obrony Narodowej; Art. 41 pkt 7 | dla sektora zaopatrzenia w wodę pitną i jej dystrybucji – minister właściwy do spraw gospodarki wodnej; Poz. 20 Art. 41 pkt 8 | dla sektora infrastruktury cyfrowej z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 – minister właściwy do spraw informatyzacji; -Art. 41 pkt 9 | dla sektora infrastruktury cyfrowej obejmującego podmioty, o których mowa w art. 26 ust. 5 – Minister Obrony Narodowej; +Art. 41 pkt 8a | dla podsektora komunikacji elektronicznej, z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 pkt 1 – Prezes Urzędu Komunikacji Elektronicznej; +Art. 41 pkt 9 | dla sektora infrastruktury cyfrowej obejmującego podmioty, o których mowa w art. 26 ust. 5 pkt 1 – Minister Obrony Narodowej; Art. 41 pkt 10 | dla dostawców usług cyfrowych z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 – minister właściwy do spraw informatyzacji; Art. 41 pkt 11 | dla dostawców usług cyfrowych obejmujących podmioty, o których mowa w art. 26 ust. 5 – Minister Obrony Narodowej. +Art. 41a ust. 1 | Organem właściwym do spraw cyberbezpieczeństwa w sektorze podmiotów publicznych, z wyłączeniem podmiotów podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych oraz urzędu obsługującego tego ministra, jest minister właściwy do spraw informatyzacji. +Art. 41a ust. 2 | Organem właściwym do spraw cyberbezpieczeństwa w sektorze podmiotów publicznych dla podmiotów podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych oraz dla urzędu obsługującego tego ministra jest Minister Obrony Narodowej. +Art. 41a ust. 3 | Organem właściwym do spraw cyberbezpieczeństwa w sektorze podmiotów publicznych dla jednostek organizacyjnych podległych ministrowi właściwemu do spraw finansów publicznych lub przez niego nadzorowanych, urzędu obsługującego tego ministra oraz spółki, o której mowa w art. 2 ust. 1 ustawy z dnia 29 kwietnia 2016 r. o szczególnych zasadach wykonywania niektórych zadań dotyczących informatyzacji w zakresie działów administracji rządowej budżet i finanse publiczne (Dz. U. z 2025 r. poz. 1642), jest minister właściwy do spraw finansów publicznych. +Art. 41a ust. 4 | Dla podmiotu publicznego, który jest wymieniony w innym sektorze niż sektor podmiotów publicznych, organem właściwym do spraw cyberbezpieczeństwa jest organ właściwy dla danego sektora. Przepis nie dotyczy samorządowych podmiotów publicznych. +Art. 41a ust. 5 | Minister właściwy do spraw informatyzacji może powierzyć realizację zadań nadzorczych nad podmiotami kluczowymi w sektorze podmiotów publicznych CSIRT NASK, z wyjątkiem wydawania decyzji administracyjnych. Zadania te są finansowane w ramach dotacji, o której mowa w art. 26 ust. 9. Przepisów art. 42 ust. 3–6 nie stosuje się w tym zakresie. Art. 42 ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa: -Art. 42 ust. 1 pkt 1 | prowadzi bieżącą analizę podmiotów w danym sektorze lub podsektorze pod kątem uznania ich za operatora usługi kluczowej lub niespełniania warunków kwalifikujących podmiot jako operatora usługi kluczowej; -Art. 42 ust. 1 pkt 2 | wydaje decyzje o uznaniu podmiotu za operatora usługi kluczowej albo decyzje stwierdzające wygaśnięcie decyzji o uznaniu podmiotu za operatora usługi kluczowej; -Art. 42 ust. 1 pkt 3 | niezwłocznie po wydaniu decyzji o uznaniu za operatora usługi kluczowej albo decyzji stwierdzającej wygaśnięcie decyzji o uznaniu za operatora usługi kluczowej przekazuje wnioski do ministra właściwego do spraw informatyzacji o wpisanie do wykazu operatorów usług kluczowych albo wykreślenie z tego wykazu; -Art. 42 ust. 1 pkt 4 | składa wnioski o zmianę danych w wykazie operatorów usług kluczowych, nie później niż w terminie 6 miesięcy od zmiany tych danych; +Art. 42 ust. 1 pkt 1 | prowadzi bieżącą analizę podmiotów w danym sektorze lub podsektorze pod kątem uznania ich za podmiot kluczowy lub podmiot ważny; +Art. 42 ust. 1 pkt 2 | wpisuje z urzędu podmiot kluczowy lub podmiot ważny do wykazu, jeżeli podmiot ten nie zarejestrował się w tym wykazie; +Art. 42 ust. 1 pkt 3 | wydaje decyzję o uznaniu podmiotu za podmiot kluczowy lub podmiot ważny, o której mowa w art. 7l ust. 1; +Art. 42 ust. 1 pkt 4 | (uchylony) Art. 42 ust. 1 pkt 5 | przygotowuje we współpracy z CSIRT NASK, CSIRT GOV, CSIRT MON i sektorowymi zespołami cyberbezpieczeństwa rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sektorowe dotyczące zgłaszania incydentów; -Art. 42 ust. 1 pkt 6 | monitoruje stosowanie przepisów ustawy przez operatorów usług kluczowych i dostawców usług cyfrowych; -Art. 42 ust. 1 pkt 7 | wzywa na wniosek CSIRT NASK, CSIRT GOV lub CSIRT MON operatorów usług kluczowych lub dostawców usług cyfrowych do usunięcia w wyznaczonym terminie podatności, które doprowadziły lub mogły doprowadzić do incydentu poważnego, istotnego lub krytycznego; -Art. 42 ust. 1 pkt 8 | prowadzi kontrole operatorów usług kluczowych i dostawców usług cyfrowych; +Art. 42 ust. 1 pkt 6 | monitoruje stosowanie przepisów ustawy przez podmioty kluczowe lub podmioty ważne; +Art. 42 ust. 1 pkt 7 | wzywa na wniosek CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego podmioty kluczowe lub podmioty ważne do usunięcia w wyznaczonym terminie podatności, które doprowadziły lub mogły doprowadzić do incydentu poważnego lub krytycznego; +Art. 42 ust. 1 pkt 8 | prowadzi kontrole podmiotów kluczowych lub podmiotów ważnych; Art. 42 ust. 1 pkt 9 | może prowadzić współpracę z właściwymi organami państw członkowskich Unii Europejskiej za pośrednictwem Pojedynczego Punktu Kontaktowego; Art. 42 ust. 1 pkt 10 | przetwarza informacje, w tym dane osobowe, dotyczące świadczonych usług kluczowych i usług cyfrowych oraz operatorów usług kluczowych lub dostawców usług cyfrowych w zakresie niezbędnym do realizacji zadań wynikających z ustawy; -Art. 42 ust. 1 pkt 11 | uczestniczy w ćwiczeniach w zakresie cyberbezpieczeństwa organizowanych w Rzeczypospolitej Polskiej lub w Unii Europejskiej. +Art. 42 ust. 1 pkt 11 | uczestniczy w ćwiczeniach w zakresie cyberbezpieczeństwa organizowanych w Rzeczypospolitej Polskiej lub w Unii Europejskiej; +Art. 42 ust. 1 pkt 12 | współpracuje oraz wymienia informacje i dokumenty z właściwym organem w rozumieniu rozporządzenia 2022/2554, w zakresie niezbędnym do wykonywania przez ten organ obowiązków wynikających z rozporządzenia 2022/2554; +Art. 42 ust. 1 pkt 13 | współpracuje oraz wymienia informacje i dokumenty z organem właściwym do spraw podmiotów krytycznych w zakresie nadzoru nad podmiotem kluczowym będącym podmiotem krytycznym. Art. 42 ust. 2 | W przypadku gdy osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, świadcząca usługi cyfrowe, nie posiada siedziby lub zarządu na terytorium Rzeczypospolitej Polskiej albo nie wyznaczyła przedstawiciela na terytorium Rzeczypospolitej Polskiej, ale jej systemy informacyjne znajdują się na terytorium Rzeczypospolitej Polskiej, ani nie spełnia wymagań określonych w rozporządzeniu wykonawczym 2018/151, organ właściwy do spraw cyberbezpieczeństwa dla dostawców usług cyfrowych może przekazywać informacje oraz zwracać się o podejmowanie działań, o których mowa w art. 53 ust. 2, do organu właściwego w innym państwie członkowskim Unii Europejskiej, na terytorium którego posiada ona siedzibę lub zarząd albo został wyznaczony jej przedstawiciel. Art. 42 ust. 3 | Organ właściwy do spraw cyberbezpieczeństwa może powierzyć realizację, w jego imieniu, niektórych zadań, o których mowa w ust. 1, jednostkom podległym lub nadzorowanym przez ten organ. Art. 42 ust. 4 | Powierzenie następuje na podstawie porozumienia organu właściwego do spraw cyberbezpieczeństwa z podmiotami, o których mowa w ust. 3. @@ -468,52 +774,143 @@ Art. 42 ust. 6 pkt 1 | adresie strony internetowej, na której zostanie zamieszczona treść porozumienia wraz ze stanowiącymi jego integralną treść załącznikami; Art. 42 ust. 6 pkt 2 | Poz. 20 terminie, od którego porozumienie będzie obowiązywało. Art. 42 ust. 7 | Organy właściwe do spraw cyberbezpieczeństwa i Pojedynczy Punkt Kontaktowy w uzasadnionych przypadkach współpracują z organami ścigania i organem właściwym do spraw ochrony danych osobowych. -Art. 42 ust. 8 | Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sektorowe dotyczące zgłaszania incydentów, o których mowa w ust. 1 pkt 5, przygotowuje się z uwzględnieniem w szczególności Polskich Norm przenoszących normy europejskie, wspólnych specyfikacji technicznych, rozumianych jako specyfikacje techniczne w dziedzinie produktów teleinformatycznych określone zgodnie z art. 13 i art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniającego dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylającego decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE (Dz. Urz. UE L 316 z 14.11.2012, str. 12) oraz wytycznych Komisji Europejskiej oraz Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA) w tym zakresie. -Art. 43 ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa może, bez wszczynania postępowania w sprawie uznania podmiotu za operatora usługi kluczowej, wystąpić do podmiotu, o którym mowa w załączniku nr 1 do ustawy, o udzielenie informacji, które umożliwią wstępną ocenę, czy dany podmiot spełnia warunki do uznania go za operatora usługi kluczowej. -Art. 43 ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa może, bez wszczynania kontroli, wystąpić do operatora usługi kluczowej o udzielenie informacji, które umożliwią ustalenie potrzeby przeprowadzania kontroli, a także może, bez wszczynania postępowania, wystąpić do operatora usługi kluczowej o udzielenie informacji, które umożliwią wstępną ocenę, czy dany podmiot przestał spełniać warunki do uznania go za operatora usługi kluczowej. -Art. 43 ust. 3 | Organ właściwy do spraw cyberbezpieczeństwa, występując do podmiotu, o którym mowa w załączniku nr 1 do ustawy, lub operatora usługi kluczowej wskazuje termin udzielenia informacji. Wyznaczony termin nie może być krótszy niż 14 dni, licząc od dnia otrzymania wystąpienia przez podmiot lub operatora usługi kluczowej. -Art. 43 ust. 4 | Podmiot, o którym mowa w załączniku nr 1 do ustawy, lub operator usługi kluczowej, do których organ właściwy do spraw cyberbezpieczeństwa skierował wystąpienie, mogą przekazać informacje w sprawie, której dotyczy wystąpienie, lub poinformować o odmowie udzielenia informacji. -Art. 43 ust. 5 | Wystąpienie o udzielenie informacji oraz brak udzielenia informacji nie wpływa na możliwości wszczęcia postępowania administracyjnego lub kontroli. -Art. 43 ust. 6 | Informacje udzielone przez podmiot lub operatora usługi kluczowej, o których mowa w ust. 1 i 2, mogą stanowić materiał dowodowy we wszczętym postępowaniu administracyjnym lub kontroli. Brak udzielenia informacji nie wpływa na sytuację procesową strony albo kontrolowanego ani na wszczęte postępowanie administracyjne lub kontrolę. -Art. 44 ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa może ustanowić, zgodnie z odrębnymi przepisami, sektorowy zespół cyberbezpieczeństwa dla danego sektora lub podsektora wymienionego w załączniku nr 1 do ustawy, odpowiedzialny w szczególności za: -Art. 44 ust. 1 pkt 1 | przyjmowanie zgłoszeń o incydentach poważnych oraz wsparcie w obsłudze tych incydentów; -Art. 44 ust. 1 pkt 2 | wspieranie operatorów usług kluczowych w wykonywaniu obowiązków określonych w art. 8, art. 9, art. 10 ust. 1–3, art. 11 ust. 1–3, art. 12 i art. 13; -Art. 44 ust. 1 pkt 3 | analizowanie incydentów poważnych, wyszukiwanie powiązań pomiędzy incydentami oraz opracowywanie wniosków z obsługi incydentu; -Art. 44 ust. 1 pkt 4 | współpracę z właściwym CSIRT MON, CSIRT NASK i CSIRT GOV w zakresie koordynowania obsługi incydentów poważnych. +Art. 42 ust. 8 | Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sektorowe dotyczące zgłaszania incydentów, o których mowa w ust. 1 pkt 5, przygotowuje się z uwzględnieniem w szczególności Polskich Norm przenoszących normy europejskie, wspólnych specyfikacji technicznych, rozumianych jako specyfikacje techniczne w dziedzinie produktów teleinformatycznych określone zgodnie z art. 13 i art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniającego dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylającego decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE (Dz. Urz. UE L 316 z 14.11.2012, str. 12) oraz wytycznych Komisji Europejskiej oraz ENISA w tym zakresie. +Art. 42 ust. 9 | Organ właściwy do spraw cyberbezpieczeństwa dla sektora bankowości i infrastruktury rynków finansowych realizuje swoje zadania, z uwzględnieniem zakresu zastosowania ustawy do podmiotów finansowych. +Art. 42 ust. 10 | W ramach współpracy, o której mowa w ust. 1 pkt 12, mającej związek z podmiotem kluczowym lub podmiotem ważnym, który zgodnie z rozporządzeniem 2022/2554 został wyznaczony jako kluczowy zewnętrzny dostawca usług ICT, organ właściwy do spraw cyberbezpieczeństwa w szczególności udziela informacji oraz istotnych zaleceń technicznych i pomocy technicznej, a także umożliwia skuteczną i szybką koordynację działań nadzorczych, w tym na potrzeby prowadzenia kontroli. +Art. 42 ust. 11 | Organ właściwy do spraw cyberbezpieczeństwa prowadzi i regularnie aktualizuje wykaz osób, wobec których wydana została decyzja o zastosowaniu środka nadzorczego, o którym mowa w art. 53 ust. 9 pkt 6, obejmujący: +Art. 42 ust. 11 pkt 1 | imię (imiona); +Art. 42 ust. 11 pkt 2 | nazwisko; +Art. 42 ust. 11 pkt 3 | numer PESEL, a w przypadku jego nieposiadania – datę urodzenia; +Art. 42 ust. 11 pkt 4 | nazwę podmiotu kluczowego; +Art. 42 ust. 11 pkt 5 | datę wydania decyzji; +Art. 42 ust. 11 pkt 6 | znak sprawy; +Art. 42 ust. 11 pkt 7 | okres obowiązywania zakazu; +Art. 42 ust. 11 pkt 8 | podstawę prawną wydania decyzji. +Art. 43 ust. 1 | (uchylony) +Art. 43 ust. 2 | (uchylony) +Art. 43 ust. 3 | (uchylony) +Art. 43 ust. 4 | (uchylony) +Art. 43 ust. 5 | (uchylony) +Art. 43 ust. 6 | (uchylony) +Art. 44 ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa zapewnia funkcjonowanie CSIRT sektorowego dla podmiotów kluczowych lub podmiotów ważnych w danym sektorze lub podsektorze wymienionych w załączniku nr 1 i 2 do ustawy, do którego zadań należy: +Art. 44 ust. 1 pkt 1 | przyjmowanie wczesnych ostrzeżeń, zgłoszeń o incydentach, sprawozdań okresowych i sprawozdań końcowych, o których mowa w art. 11 ust. 1 pkt 4–4c; +Art. 44 ust. 1 pkt 2 | przyjmowanie zgłoszeń o potencjalnych zdarzeniach dla cyberbezpieczeństwa; +Art. 44 ust. 1 pkt 3 | reagowanie na incydenty; +Art. 44 ust. 1 pkt 4 | gromadzenie informacji o podatnościach i cyberzagrożeniach; +Art. 44 ust. 1 pkt 5 | współpraca z podmiotem kluczowym lub podmiotem ważnym w zakresie wymiany dobrych praktyk oraz informacji o podatnościach i cyberzagrożeniach, organizacja i uczestniczenie w ćwiczeniach oraz wspieranie inicjatyw szkoleniowych; +Art. 44 ust. 1 pkt 6 | współpraca z CSIRT MON, CSIRT NASK i CSIRT GOV w koordynowanym przez nie reagowaniu na incydenty, w szczególności w zakresie wymiany informacji o cyberzagrożeniach oraz stosowanych środkach zapobiegających i ograniczających wpływ incydentów; +Art. 44 ust. 1 pkt 7 | współpraca z innymi CSIRT sektorowymi w zakresie wymiany informacji o podatnościach i cyberzagrożeniach. +Art. 44 ust. 1a | CSIRT sektorowy przekazuje, za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, wczesne ostrzeżenie, zgłoszenie incydentu, sprawozdanie okresowe i sprawozdanie końcowe, o których mowa w art. 11 ust. 1 pkt 4–4c, niezwłocznie, niepóźniej niż 8 godzin od jego otrzymania, do właściwego CSIRT MON, CSIRT NASK albo CSIRT GOV. +Art. 44 ust. 1b | CSIRT sektorowy może w szczególności: +Art. 44 ust. 1b pkt 1 | zapewniać we współpracy z CSIRT MON, CSIRT NASK i CSIRT GOV dynamiczną analizę ryzyka i analizę incydentów oraz wspomagać w podnoszeniu świadomości cyberzagrożeń wśród podmiotów kluczowych lub podmiotów ważnych danego sektora lub podsektora; +Art. 44 ust. 1b pkt 2 | wykonywać niezbędne działania techniczne związane z analizą cyberzagrożeń oraz reagowaniem na incydent poważny; +Art. 44 ust. 1b pkt 3 | koordynować, w ramach sektora lub podsektora, w uzgodnieniu z podmiotami kluczowymi lub podmiotami ważnymi obsługę incydentów, które ich dotyczą; +Art. 44 ust. 1b pkt 4 | wspierać, w uzgodnieniu z podmiotem kluczowym lub podmiotem ważnym, wykonywanie przez niego obowiązków określonych w art. 11, art. 12–12b i art. 13; +Art. 44 ust. 1b pkt 5 | w ramach reagowania na incydent poważny wystąpić do organu właściwego do spraw cyberbezpieczeństwa z wnioskiem o wezwanie podmiotu kluczowego lub podmiotu ważnego, aby w wyznaczonym terminie usunął podatności, które doprowadziły lub mogłyby doprowadzić do incydentu poważnego; +Art. 44 ust. 1b pkt 6 | prowadzić działania na rzecz podnoszenia poziomu bezpieczeństwa systemów informacyjnych podmiotów kluczowych lub podmiotów ważnych w danym sektorze lub podsektorze w szczególności przez: +Art. 44 ust. 1b pkt 6 lit. a | wykonywanie oceny bezpieczeństwa, +Art. 44 ust. 1b pkt 6 lit. b | identyfikowanie podatności systemów dostępnych w otwartych sieciach teleinformatycznych, a także powiadamianie właścicieli tych systemów o wykrytych podatnościach oraz cyberzagrożeniach; +Art. 44 ust. 1b pkt 7 | na wniosek podmiotu kluczowego lub podmiotu ważnego wspierać dany podmiot w zakresie monitorowania ich sieci i systemów informatycznych w czasie rzeczywistym lub zbliżonym do rzeczywistego. s. 41/103 +Art. 44 ust. 1c | CSIRT sektorowy, który otrzymał zgłoszenie incydentu, a nie jest właściwy do jego przyjęcia, przekazuje niezwłocznie to zgłoszenie do właściwego CSIRT wraz z otrzymanymi informacjami. +Art. 44 ust. 1d | CSIRT sektorowy informuje o złożeniu wniosku, o którym mowa w ust. 1b pkt 5, właściwy CSIRT MON, CSIRT NASK albo CSIRT GOV. Art. 44 ust. 2 | Sektorowy zespół cyberbezpieczeństwa może przekazywać do innych państw, w tym państw członkowskich Unii Europejskiej, i przyjmować z tych państw informacje o incydentach poważnych, w tym dotyczących dwóch lub większej liczby państw członkowskich Unii Europejskiej. Art. 44 ust. 3 | Sektorowy zespół cyberbezpieczeństwa może otrzymywać zgłoszenia incydentu poważnego z innego państwa członkowskiego Unii Europejskiej dotyczącego dwóch lub większej liczby państw członkowskich Unii Europejskiej. Sektorowy zespół cyberbezpieczeństwa przekazuje te zgłoszenia do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV oraz Pojedynczego Punktu Kontaktowego. Art. 44 ust. 4 | W przypadku ustanowienia sektorowego zespołu cyberbezpieczeństwa organ właściwy do spraw cyberbezpieczeństwa informuje operatorów usług kluczowych w danym sektorze oraz CSIRT MON, CSIRT NASK i CSIRT GOV o ustanowieniu tego zespołu i zakresie realizowanych zadań. Poz. 20 +Art. 44a ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa może powierzyć realizację zadania lub zadań CSIRT sektorowego: +Art. 44a ust. 1 pkt 1 | jednostce jemu podległej lub przez niego nadzorowanej; +Art. 44a ust. 1 pkt 2 | organowi przez niego nadzorowanemu; +Art. 44a ust. 1 pkt 3 | urzędowi, który go obsługuje. +Art. 44a ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa może powierzyć realizację zadania albo zadań CSIRT sektorowego państwowej osobie prawnej, o której mowa w art. 3 ustawy z dnia 16 grudnia 2016 r. o zasadach zarządzania mieniem państwowym, jeżeli dysponuje ona zdolnościami technicznymi i organizacyjnymi niezbędnymi do wypełniania zadań CSIRT sektorowego w danym sektorze lub podsektorze. +Art. 44a ust. 3 | Organy właściwe do spraw cyberbezpieczeństwa mogą, w drodze porozumienia, powierzyć realizację zadania lub zadań CSIRT sektorowego dla kilku sektorów lub podsektorów, dla których są właściwe, jednostce podległej jednemu z tych organów albo nadzorowanej przez jeden z tych organów. Stroną tego porozumienia jest również jednostka, której powierzono zadania. +Art. 44a ust. 4 | Organy właściwe do spraw cyberbezpieczeństwa określają w porozumieniu, o którym mowa w ust. 3, w szczególności zakres powierzonych zadań, weryfikację prawidłowości ich wykonania oraz sposób finansowania powierzonych zadań. +Art. 44b ust. 1 | Minister będący organem właściwym do spraw cyberbezpieczeństwa dla kilku sektorów lub podsektorów może powierzyć jednostce jemu podległej albo nadzorowanej przez niego zadanie lub zadania CSIRT sektorowego. +Art. 44b ust. 2 | Powierzenie odbywa się w drodze decyzji, do której nie stosuje się przepisów ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego. +Art. 44b ust. 3 | Komunikat o powierzeniu przez ministra będącego organem właściwym do spraw cyberbezpieczeństwa dla kilku sektorów lub podsektorów zadania lub zadań CSIRT sektorowego jednostce podległej albo nadzorowanej przez tego ministra ogłasza się w dzienniku urzędowym organu właściwego do spraw cyberbezpieczeństwa. +Art. 44b ust. 4 | Ministrowie, którzy przejęli właściwość nadzorczą nad sektorami, dla których dotychczasowy minister wyznaczył wspólny CSIRT sektorowy, zawierają porozumienie, w którym wyznaczą jednostkę, która przejmie zadania CSIRT sektorowego dla poszczególnych sektorów lub podsektorów. Do czasu zawarcia porozumienia decyzja, o której mowa w ust. 2, zachowuje moc. s. 42/103 +Art. 44c ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa może powierzyć CSIRT MON, CSIRT NASK albo CSIRT GOV realizację zadania albo zadań CSIRT sektorowego. +Art. 44c ust. 2 | Powierzenie, o którym mowa w ust. 1, następuje na podstawie porozumienia organu właściwego do spraw cyberbezpieczeństwa: +Art. 44c ust. 2 pkt 1 | w przypadku powierzenia zadań CSIRT NASK – za zgodą ministra właściwego do spraw informatyzacji – z Dyrektorem Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego; +Art. 44c ust. 2 pkt 2 | w przypadku powierzenia zadań CSIRT GOV – z Szefem Agencji Bezpieczeństwa Wewnętrznego; +Art. 44c ust. 2 pkt 3 | w przypadku powierzenia zadań CSIRT MON – z Ministrem Obrony Narodowej. +Art. 44c ust. 3 | Do porozumienia, o którym mowa w ust. 2, stosuje się przepis art. 44a ust. 4. +Art. 44c ust. 4 | Minister Obrony Narodowej, jako organ właściwy do spraw cyberbezpieczeństwa, może powierzyć CSIRT MON realizację zadań CSIRT sektorowego w drodze decyzji niepodlegającej ogłoszeniu. +Art. 44d ust. 1 | Zadania CSIRT sektorowego: +Art. 44d ust. 1 pkt 1 | są finansowane z części budżetu państwa, której dysponentem jest minister albo centralny organ administracji rządowej, będący organem właściwym do spraw cyberbezpieczeństwa; +Art. 44d ust. 1 pkt 2 | mogą być dofinansowywane: +Art. 44d ust. 1 pkt 2 lit. a | ze środków pochodzących z budżetu Unii Europejskiej, +Art. 44d ust. 1 pkt 2 lit. b | ze środków przeznaczonych na realizację programów finansowanych z udziałem środków pochodzących z budżetu Unii Europejskiej. +Art. 44d ust. 2 | Jednostka, której powierzono zadania CSIRT sektorowego dla danego sektora lub podsektora, może otrzymać na realizację tych zadań dotację celową, z części budżetowej, której dysponentem jest minister będący organem właściwym do spraw cyberbezpieczeństwa dla danego sektora lub podsektora. +Art. 44d ust. 3 | W przypadku gdy jednostce budżetowej powierzono realizację zadania lub zadań CSIRT sektorowego dla kilku sektorów lub podsektorów, otrzymuje ona środki z części budżetowych, których dysponentami są organy właściwe do spraw cyberbezpieczeństwa dla danego sektora lub podsektora, które zawarły porozumienie, o którym mowa w art. 44a ust. 3. +Art. 44e ust. 1 | Komunikat o zawarciu porozumienia, o którym mowa w art. 44a ust. 3, art. 44b ust. 3 lub art. 44c ust. 2, ogłasza się w dzienniku urzędowym organu właściwego do spraw cyberbezpieczeństwa i wskazuje się: +Art. 44e ust. 1 pkt 1 | adres strony internetowej, na której zostanie zamieszczona treść porozumienia wraz ze stanowiącymi jego integralną treść załącznikami; +Art. 44e ust. 1 pkt 2 | termin, od którego porozumienie będzie obowiązywało. +Art. 44e ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa informuje Pełnomocnika o zawarciu porozumienia, o którym mowa w art. 44a ust. 3, art. 44b ust. 3 lub art. 44c ust. 2. Pełnomocnik publikuje komunikat o zawarciu porozumienia na swojej stronie podmiotowej Biuletynu Informacji Publicznej. +Art. 44f | Organ właściwy do spraw cyberbezpieczeństwa raz w roku, w terminie do dnia 31 stycznia, przedkłada Pełnomocnikowi sprawozdanie z funkcjonowania CSIRT sektorowego za rok poprzedni. Rozdział 9 | Zadania ministra właściwego do spraw informatyzacji Art. 45 ust. 1 | Minister właściwy do spraw informatyzacji jest odpowiedzialny za: Art. 45 ust. 1 pkt 1 | monitorowanie wdrażania Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej, zwanej dalej „Strategią”, oraz realizację planów działań na rzecz jej wdrożenia; +Art. 45 ust. 1 pkt 1a | monitorowanie wdrażania Krajowego planu oraz realizację działań na rzecz jego wdrożenia; +Art. 45 ust. 1 pkt 1b | prowadzenie wykazu; Art. 45 ust. 1 pkt 2 | rekomendowanie obszarów współpracy z sektorem prywatnym w celu zwiększenia cyberbezpieczeństwa Rzeczypospolitej Polskiej; -Art. 45 ust. 1 pkt 3 | opracowywanie rocznych sprawozdań dotyczących: -Art. 45 ust. 1 pkt 3 lit. a | incydentów poważnych zgłaszanych przez operatorów usług kluczowych mających wpływ na ciągłość świadczonych przez nich usług kluczowych w Rzeczypospolitej Polskiej oraz ciągłość świadczonych usług kluczowych w państwach członkowskich Unii Europejskiej, -Art. 45 ust. 1 pkt 3 lit. b | incydentów istotnych zgłaszanych przez dostawców usług cyfrowych, w tym incydentów dotyczących dwóch lub większej liczby państw członkowskich Unii Europejskiej; +Art. 45 ust. 1 pkt 3 | opracowywanie rocznych sprawozdań dotyczących incydentów poważnych zgłaszanych przez podmioty kluczowe lub podmioty ważne mających wpływ na ciągłość świadczenia usług przez te podmioty w Rzeczypospolitej Polskiej oraz ciągłość świadczenia usług w państwach członkowskich Unii Europejskiej; Art. 45 ust. 1 pkt 4 | prowadzenie działań informacyjnych dotyczących dobrych praktyk, programów edukacyjnych, kampanii i szkoleń na rzecz poszerzania wiedzy i budowania świadomości z zakresu cyberbezpieczeństwa, w tym bezpiecznego korzystania z Internetu przez różne kategorie użytkowników; Art. 45 ust. 1 pkt 5 | gromadzenie informacji o incydentach poważnych, które dotyczą lub zostały przekazane przez inne państwo członkowskie Unii Europejskiej; -Art. 45 ust. 1 pkt 6 | udostępnianie informacji i dobrych praktyk związanych ze zgłaszaniem incydentów poważnych przez operatorów usług kluczowych i incydentów istotnych przez dostawców usług cyfrowych, uzyskanych z Grupy Współpracy, w tym: -Art. 45 ust. 1 pkt 6 lit. a | procedur postępowania w zakresie zarządzania incydentem, -Art. 45 ust. 1 pkt 6 lit. b | procedur postępowania przy zarządzaniu ryzykiem, -Art. 45 ust. 1 pkt 6 lit. c | klasyfikacji informacji, ryzyka i incydentów. +Art. 45 ust. 1 pkt 6 | s. 43/103 udostępnianie informacji i dobrych praktyk uzyskanych z Grupy Współpracy podmiotom krajowego systemu cyberbezpieczeństwa w celu usprawnienia działań krajowego systemu cyberbezpieczeństwa; +Art. 45 ust. 1 pkt 7 | rekomendowanie i wspieranie przy wykorzystywaniu europejskich lub międzynarodowych standardów, a także specyfikacji technicznych mających znaczenie dla bezpieczeństwa systemów informacyjnych; +Art. 45 ust. 1 pkt 8 | zachęcanie do korzystania z produktów ICT, usług ICT i procesów ICT certyfikowanych w ramach europejskich lub krajowych programów certyfikacji cyberbezpieczeństwa; +Art. 45 ust. 1 pkt 9 | ustanowienie odpowiednich struktur komunikacyjnych na potrzeby wczesnego wykrywania kryzysów w cyberbezpieczeństwie, reagowania kryzysowego w cyberbezpieczeństwie i zarządzania kryzysowego w cyberbezpieczeństwie, a także koordynacji współpracy w celu ochrony bezpieczeństwa technologii informacyjnej aktywów o krytycznym znaczeniu we współpracy z sektorem prywatnym; +Art. 45 ust. 1 pkt 10 | współpracę w obszarze cyberbezpieczeństwa z państwami trzecimi; +Art. 45 ust. 1 pkt 11 | koordynację działań organów państwa w przypadku wystąpienia sytuacji kryzysowej w cyberbezpieczeństwie niedotyczącej wymiaru militarnego; +Art. 45 ust. 1 pkt 12 | uczestniczenie w pracach Europejskiej sieci organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa; +Art. 45 ust. 1 pkt 13 | przekazywanie Komisji Europejskiej aktualnych informacji o organach właściwych do spraw cyberbezpieczeństwa oraz Pojedynczym Punkcie Kontaktowym, ich danych identyfikacyjnych oraz zadaniach; +Art. 45 ust. 1 pkt 14 | przekazywanie Komisji Europejskiej aktualnych informacji o CSIRT MON, CSIRT NASK i CSIRT GOV oraz CSIRT sektorowych, wraz z ich danymi kontaktowymi oraz zadaniami; +Art. 45 ust. 1 pkt 15 | udzielanie wsparcia finansowego na działania służące rozwojowi cyberbezpieczeństwa. Art. 45 ust. 2 | Przez Grupę Współpracy rozumie się grupę, o której mowa w decyzji wykonawczej Komisji UE 2017/179 z dnia 1 lutego 2017 r. ustanawiającej procedury niezbędne do funkcjonowania grupy współpracy zgodnie z art. 11 ust. 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 28 z 02.02.2017, str. 73). -Art. 45a ust. 1 | Minister właściwy do spraw informatyzacji może udzielić pomocy publicznej lub pomocy de minimis w ramach: -Art. 45a ust. 1 pkt 1 | programów rządowych lub -Art. 45a ust. 1 pkt 2 | innych programów finansowanych w całości albo w części z udziałem środków, o których mowa w art. 5 ust. 3 pkt 6 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych – których celem jest wspieranie działań w obszarze cyberbezpieczeństwa. -Art. 45a ust. 2 | Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, szczegółowe warunki oraz tryb udzielania pomocy w ramach programów, o których mowa w ust. 1, uwzględniając konieczność realizacji celów określonych w tych programach oraz efektywnego i skutecznego jej wykorzystania oraz przejrzystości jej udzielania, a także zgodności tej pomocy z rynkiem wewnętrznym. +Art. 45a ust. 1 | Minister właściwy do spraw informatyzacji może udzielić wsparcia finansowego w ramach programów rządowych lub innych programów finansowanych w całości albo w części z udziałem środków, o których mowa w art. 5 ust. 3 pkt 6 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, na realizację projektów, których celem jest: +Art. 45a ust. 1 pkt 1 | tworzenie i rozwój produktów ICT, usług ICT oraz procesów ICT z zakresu cyberbezpieczeństwa; +Art. 45a ust. 1 pkt 2 | rozwój kompetencji w obszarze cyberbezpieczeństwa; +Art. 45a ust. 1 pkt 3 | zapewnianie cyberbezpieczeństwa w danej jednostce organizacyjnej; +Art. 45a ust. 1 pkt 4 | promocja dobrych praktyk, programów edukacyjnych, kampanii i szkoleń na rzecz poszerzania wiedzy i budowania świadomości z zakresu cyberbezpieczeństwa; +Art. 45a ust. 1 pkt 5 | wsparcie w obszarze standaryzacji i certyfikacji cyberbezpieczeństwa; +Art. 45a ust. 1 pkt 6 | rozwój infrastruktury służącej zapewnianiu cyberbezpieczeństwa; +Art. 45a ust. 1 pkt 7 | wsparcie badań naukowych, rozwoju technologicznego i projektów pilotażowych związanych z cyberbezpieczeństwem; s. 44/103 +Art. 45a ust. 1 pkt 8 | wsparcie w obsłudze incydentów; +Art. 45a ust. 1 pkt 9 | identyfikacja i mitygacja podatności produktów ICT, usług ICT i procesów ICT; +Art. 45a ust. 1 pkt 10 | zwiększenie rozpoznawalności produktów lub usług z zakresu cyberbezpieczeństwa; +Art. 45a ust. 1 pkt 11 | inne działanie służące rozwojowi cyberbezpieczeństwa. +Art. 45a ust. 2 | Wsparcie finansowe, o którym mowa w ust. 1, może być udzielane podmiotom publicznym, jak i prywatnym, i może stanowić: +Art. 45a ust. 2 pkt 1 | pomoc publiczną dla podmiotów prywatnych; +Art. 45a ust. 2 pkt 2 | pomoc de minimis dla podmiotów prywatnych; +Art. 45a ust. 2 pkt 3 | dofinansowanie dla podmiotów publicznych. +Art. 45a ust. 3 | Wsparcie finansowe, o którym mowa w ust. 1, jest udzielane podmiotom, które mają zdolność do realizacji projektu, o którym mowa w ust. 1. +Art. 45a ust. 4 | Wsparcie finansowe, o którym mowa w ust. 1, może mieć charakter zwrotny albo bezzwrotny. +Art. 45a ust. 5 | Wybór projektów, na które jest udzielane wsparcie finansowe, o którym mowa w ust. 1, następuje w trybie konkursowym albo pozakonkursowym. +Art. 45a ust. 6 | Minister właściwy do spraw informatyzacji określi, odrębnie dla danego programu, o którym mowa w ust. 1, w drodze rozporządzenia, szczegółowe warunki, formę oraz tryb udzielania wsparcia finansowego, o którym mowa w ust. 1, a także podmioty go udzielające, uwzględniając konieczność realizacji celów określonych w tych programach, efektywność i skuteczność wykorzystania tego wsparcia oraz przejrzystość jego udzielania, a także zapewnienie jego zgodności z rynkiem wewnętrznym. +Art. 45b | Wsparcie finansowe, o którym mowa w art. 45a ust. 1, może być udzielane w imieniu ministra właściwego do spraw informatyzacji przez podmiot mu podległy albo przez niego nadzorowany. +Art. 45c ust. 1 | Wyboru projektów dokonuje się w sposób przejrzysty, rzetelny i bezstronny na podstawie obiektywnych kryteriów oceny, biorąc pod uwagę w szczególności wpływ projektu na realizację celów określonych w art. 45a ust. 1 oraz na krajowy system cyberbezpieczeństwa. +Art. 45c ust. 2 | Podstawę dofinansowania projektu stanowi umowa o dofinansowanie projektu zawarta z beneficjentem przez podmiot udzielający wsparcia finansowego, o którym mowa w art. 45a ust. 1. +Art. 45c ust. 3 | Beneficjent może wykorzystywać otrzymane wsparcie tylko na wydatki służące realizacji celów wskazanych w art. 45a ust. 1. +Art. 45c ust. 4 | Beneficjent jest obowiązany zwrócić wsparcie wykorzystane niezgodnie z ust. 3, w terminie niedłuższym niż 15 dni od określonego w umowie dnia wykonania zadania. +Art. 45c ust. 5 | Beneficjent informuje podmiot udzielający wsparcia o postępach w realizacji projektu w terminach wskazanych w umowie, o której mowa w ust. 2. +Art. 45c ust. 6 | Do umowy, o której mowa w ust. 2, stosuje się odpowiednio przepis art. 150 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych. Art. 46 ust. 1 | Minister właściwy do spraw informatyzacji zapewnia rozwój lub utrzymanie systemu teleinformatycznego wspierającego: Art. 46 ust. 1 pkt 1 | współpracę podmiotów wchodzących w skład krajowego systemu cyberbezpieczeństwa; Art. 46 ust. 1 pkt 2 | generowanie i przekazywanie rekomendacji dotyczących działań podnoszących poziom cyberbezpieczeństwa; Art. 46 ust. 1 pkt 3 | zgłaszanie i obsługę incydentów; Art. 46 ust. 1 pkt 4 | szacowanie ryzyka na poziomie krajowym; -Art. 46 ust. 1 pkt 5 | ostrzeganie o zagrożeniach cyberbezpieczeństwa. Poz. 20 +Art. 46 ust. 1 pkt 5 | ostrzeganie o cyberzagrożeniach. Poz. 20 Art. 46 ust. 2 | CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowe zespoły cyberbezpieczeństwa i Prezes Urzędu Komunikacji Elektronicznej mogą korzystać z systemu teleinformatycznego na podstawie porozumienia zawartego z ministrem właściwym do spraw informatyzacji. Art. 46 ust. 3 | W porozumieniu określa się zakres i warunki korzystania z systemu teleinformatycznego. -Art. 47 ust. 1 | Minister właściwy do spraw informatyzacji może realizować zadania, o których mowa w art. 45 ust. 1 i art. 46 ust. 1, na zasadach określonych w przepisach odrębnych, za pomocą właściwych w tym zakresie jednostek podległych lub nadzorowanych przez ministra właściwego do spraw informatyzacji. +Art. 46a | W celu realizacji zadań, o których mowa w art. 11 ust. 2 oraz w art. 46 ust. 1 pkt 3, 4 i 6, Minister Obrony Narodowej, urząd go obsługujący oraz podmioty podległe Ministrowi Obrony Narodowej i przez niego nadzorowane mogą korzystać ze środków komunikacji elektronicznej, innych niż system, o którym mowa w art. 46 ust. 1, zapewniających poufność, integralność, dostępność i autentyczność przetwarzanych danych. +Art. 46b ust. 1 | W przypadku doręczenia pisma w postaci elektronicznej za pośrednictwem systemu, o którym mowa w art. 46 ust. 1, przez organ administracji publicznej doręczenie jest skuteczne, jeżeli adresat potwierdzi odbiór pisma w systemie. +Art. 46b ust. 2 | W przypadku nieodebrania pisma w postaci elektronicznej za pośrednictwem systemu, o którym mowa w art. 46 ust. 1, organ administracji publicznej po upływie 7 dni, licząc od dnia jego wysłania, przesyła zawiadomienie o możliwości odebrania tego pisma. +Art. 46b ust. 3 | Zawiadomienie o możliwości odebrania pisma może być automatycznie tworzone i przesyłane za pośrednictwem systemu, o którym mowa w art. 46 ust. 1, a odbioru tego zawiadomienia nie potwierdza się. +Art. 46b ust. 4 | W przypadku nieodebrania pisma w postaci elektronicznej za pośrednictwem systemu, o którym mowa w art. 46 ust. 1, doręczenie uważa się za dokonane po upływie 14 dni, licząc od dnia wysłania pisma. +Art. 47 ust. 1 | Minister właściwy do spraw informatyzacji może powierzyć realizację zadań, o których mowa w art. 45 ust. 1, art. 45a ust. 1 i art. 46 ust. 1 i 1a, jednostkom jemu podległym lub przez niego nadzorowanym. Art. 47 ust. 2 | Zadania powierzone do realizacji jednostkom, o których mowa w ust. 1, są finansowane w formie dotacji celowej z części budżetu państwa, której dysponentem jest minister właściwy do spraw informatyzacji. Art. 48 | Minister właściwy do spraw informatyzacji prowadzi Pojedynczy Punkt Kontaktowy, do którego zadań należy: -Art. 48 pkt 1 | odbieranie zgłoszeń incydentu poważnego lub incydentu istotnego dotyczącego dwóch lub większej liczby państw członkowskich Unii Europejskiej z pojedynczych punktów kontaktowych w innych państwach członkowskich Unii Europejskiej, a także przekazywanie tych zgłoszeń do CSIRT MON, CSIRT NASK, CSIRT GOV lub sektorowych zespołów cyberbezpieczeństwa; -Art. 48 pkt 2 | przekazywanie, na wniosek właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV, zgłoszenia incydentu poważnego lub incydentu istotnego dotyczącego dwóch lub większej liczby państw członkowskich Unii Europejskiej do pojedynczych punktów kontaktowych w innych państwach członkowskich Unii Europejskiej; +Art. 48 pkt 1 | odbieranie zgłoszeń incydentu dotyczącego więcej niż jednego sektora lub dotyczącego innych państw członkowskich Unii Europejskiej z Pojedynczych Punktów Kontaktowych w innych państwach członkowskich Unii Europejskiej, także przekazywanie tych zgłoszeń do CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego; +Art. 48 pkt 2 | przekazywanie, na wniosek właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV, zgłoszenia incydentu dotyczącego więcej niż jednego sektora lub innych państw członkowskich Unii Europejskiej do Pojedynczych Punktów Kontaktowych w innych państwach członkowskich Unii Europejskiej; Art. 48 pkt 3 | zapewnienie reprezentacji Rzeczypospolitej Polskiej w Grupie Współpracy; Art. 48 pkt 4 | zapewnienie współpracy z Komisją Europejską w dziedzinie cyberbezpieczeństwa; Art. 48 pkt 5 | koordynacja współpracy między organami właściwymi do spraw cyberbezpieczeństwa i organami władzy publicznej w Rzeczypospolitej Polskiej z odpowiednimi organami w państwach członkowskich Unii Europejskiej; @@ -523,15 +920,15 @@ Art. 49 ust. 1 pkt 2 | dobre praktyki, o których mowa w art. 45 ust. 1 pkt 4, związane ze zgłaszaniem incydentów; Art. 49 ust. 1 pkt 3 | propozycje do programu prac Grupy Współpracy; Art. 49 ust. 1 pkt 4 | dobre praktyki krajowe dotyczące podnoszenia świadomości, szkoleń, badań i rozwoju z zakresu cyberbezpieczeństwa; -Art. 49 ust. 1 pkt 5 | dobre praktyki w odniesieniu do identyfikowania operatorów usług kluczowych, w tym w odniesieniu do występujących w dwóch lub większej liczbie państw członkowskich Unii Europejskiej zależności dotyczących ryzyka i incydentów. +Art. 49 ust. 1 pkt 5 | dobre praktyki w odniesieniu do identyfikowania podmiotów kluczowych lub podmiotów ważnych, w tym w odniesieniu do występujących w dwóch lub większej liczbie państw członkowskich Unii Europejskiej zależności dotyczących ryzyka i incydentów. Art. 49 ust. 2 | Dane przekazywane Grupie Współpracy nie obejmują informacji, które dotyczą bezpieczeństwa narodowego oraz porządku publicznego. Art. 49 ust. 3 | Pojedynczy Punkt Kontaktowy przekazuje organom właściwym do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowym zespołom cyberbezpieczeństwa oraz innym organom władzy publicznej informacje pochodzące z Grupy Współpracy dotyczące: Art. 49 ust. 3 pkt 1 | ocen krajowych strategii państw członkowskich Unii Europejskiej w zakresie cyberbezpieczeństwa oraz skuteczności CSIRT, a także dobrych praktyk w zakresie cyberbezpieczeństwa; -Art. 49 ust. 3 pkt 2 | działań podjętych w odniesieniu do ćwiczeń dotyczących cyberbezpieczeństwa, europejskich programów edukacyjnych i szkoleń, w tym działań Agencji Unii Europejskiej do spraw Bezpieczeństwa Sieci i Informacji (ENISA); +Art. 49 ust. 3 pkt 2 | działań podjętych w odniesieniu do ćwiczeń dotyczących cyberbezpieczeństwa, europejskich programów edukacyjnych i szkoleń, w tym działań ENISA; Art. 49 ust. 3 pkt 3 | wytycznych o charakterze strategicznym dotyczących działalności Sieci CSIRT; -Art. 49 ust. 3 pkt 4 | dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez operatorów usług kluczowych i incydentów istotnych przez dostawców usług cyfrowych; +Art. 49 ust. 3 pkt 4 | dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne; Art. 49 ust. 3 pkt 5 | dobrych praktyk w krajach członkowskich Unii Europejskiej dotyczących podnoszenia świadomości, szkolenia, zakresu badań i rozwoju w zakresie cyberbezpieczeństwa; -Art. 49 ust. 3 pkt 6 | dobrych praktyk w zakresie identyfikowania operatorów usług kluczowych przez państwa członkowskie Unii Europejskiej, w tym w odniesieniu do transgranicznych zależności, dotyczących ryzyka i incydentów. Poz. 20 +Art. 49 ust. 3 pkt 6 lit. c | dobrych praktyk w zakresie identyfikowania podmiotów kluczowych lub podmiotów ważnych przez państwa członkowskie Unii Europejskiej, w tym w odniesieniu do transgranicznych zależności, dotyczących ryzyka i incydentów. Art. 50 | Pojedynczy Punkt Kontaktowy przekazuje Komisji Europejskiej: Art. 50 pkt 1 | niezwłocznie informacje o: Art. 50 pkt 1 lit. a | wyznaczonych organach właściwych do spraw cyberbezpieczeństwa, Pojedynczym Punkcie Kontaktowym, ich zadaniach oraz późniejszych zmianach w tym zakresie, @@ -542,36 +939,144 @@ Art. 50 pkt 2 lit. c | liczbę zidentyfikowanych operatorów usług kluczowych w każdym sektorze, o którym mowa w załączniku nr 1 do ustawy, oraz wskazanie ich znaczenia w odniesieniu do tego sektora, Art. 50 pkt 2 lit. d | progi istotności skutku zakłócającego dla świadczonej usługi kluczowej brane pod uwagę przy kwalifikowaniu podmiotów jako operatorów usług kluczowych; Art. 50 pkt 3 | informacje o zadaniach CSIRT MON, CSIRT NASK i CSIRT GOV, w tym o głównych elementach procedur postępowania w przypadku wystąpienia incydentu. +Art. 50 ust. 2 | Pojedynczy Punkt Kontaktowy przekazuje Grupie Współpracy: +Art. 50 ust. 2 pkt 1 | liczbę podmiotów kluczowych w podziale na poszczególne sektory; +Art. 50 ust. 2 pkt 2 | liczbę podmiotów ważnych w podziale na poszczególne sektory. Rozdział 10 | Zadania Ministra Obrony Narodowej Art. 51 | Minister Obrony Narodowej jest odpowiedzialny za: Art. 51 pkt 1 | współpracę Sił Zbrojnych Rzeczypospolitej Polskiej z właściwymi organami Organizacji Traktatu Północnoatlantyckiego, Unii Europejskiej i organizacji międzynarodowych w obszarze obrony narodowej w zakresie cyberbezpieczeństwa; -Art. 51 pkt 2 | zapewnienie zdolności Siłom Zbrojnym Rzeczypospolitej Polskiej w układzie krajowym, sojuszniczym i koalicyjnym do prowadzenia działań militarnych w przypadku zagrożenia cyberbezpieczeństwa powodującego konieczność działań obronnych; +Art. 51 pkt 2 | zapewnienie zdolności Siłom Zbrojnym Rzeczypospolitej Polskiej w układzie krajowym, sojuszniczym i koalicyjnym do prowadzenia działań militarnych w przypadku cyberzagrożenia powodującego konieczność działań obronnych; Art. 51 pkt 3 | rozwijanie umiejętności Sił Zbrojnych Rzeczypospolitej Polskiej w zakresie zapewnienia cyberbezpieczeństwa przez organizację specjalistycznych przedsięwzięć szkoleniowych; Art. 51 pkt 4 | pozyskiwanie i rozwój narzędzi służących budowaniu zdolności zapewnienia cyberbezpieczeństwa w Siłach Zbrojnych Rzeczypospolitej Polskiej; -Art. 51 pkt 5 | kierowanie działaniami związanymi z obsługą incydentów w czasie stanu wojennego; -Art. 51 pkt 6 | ocenę wpływu incydentów na system obrony państwa; -Art. 51 pkt 7 | ocenę zagrożeń cyberbezpieczeństwa w czasie stanu wojennego oraz przedstawianie właściwym organom propozycji dotyczących działań obronnych; -Art. 51 pkt 8 | koordynację, we współpracy z ministrem właściwym do spraw wewnętrznych i ministrem właściwym do spraw informatyzacji, realizacji zadań organów administracji rządowej i jednostek samorządu terytorialnego w czasie stanu wojennego dotyczących działań obronnych w przypadku zagrożenia cyberbezpieczeństwa. +Art. 51 pkt 5 | koordynację działań związanych z obsługą incydentów w czasie stanu wojennego lub w czasie wojny, z zastrzeżeniem kompetencji Naczelnego Dowódcy Sił Zbrojnych; +Art. 51 pkt 6 | ocenę wpływu incydentów poważnych i krytycznych na system obronny państwa; +Art. 51 pkt 7 | ocenę cyberzagrożeń, w zakresie ich wpływu na system obronny państwa oraz przedstawianie właściwym organom, w przypadku wprowadzenia stanu wojennego lub stanu wojny, propozycji dotyczących działań obronnych z zastrzeżeniem kompetencji Naczelnego Dowódcy Sił Zbrojnych; +Art. 51 pkt 8 | koordynację, we współpracy z ministrem właściwym do spraw wewnętrznych i ministrem właściwym do spraw informatyzacji, realizacji zadań organów administracji rządowej i jednostek samorządu terytorialnego w czasie stanu wojennego lub w czasie wojny dotyczących działań obronnych w przypadku cyberzagrożenia z zastrzeżeniem kompetencji Naczelnego Dowódcy Sił Zbrojnych. Art. 52 | Minister Obrony Narodowej prowadzi Narodowy Punkt Kontaktowy do współpracy z Organizacją Traktatu Północnoatlantyckiego, do którego zadań należy: Art. 52 pkt 1 | zapewnienie współpracy w obszarze obrony narodowej z właściwymi organami Organizacji Traktatu Północnoatlantyckiego w zakresie cyberbezpieczeństwa; -Art. 52 pkt 2 | koordynacja działań w zakresie wzmacniania zdolności obronnych w przypadku zagrożenia cyberbezpieczeństwa; +Art. 52 pkt 2 | koordynacja działań w zakresie wzmacniania zdolności obronnych w przypadku cyberzagrożenia; Art. 52 pkt 3 | zapewnienie współpracy między narodowymi i sojuszniczymi siłami zbrojnymi w zakresie zapewnienia cyberbezpieczeństwa; -Art. 52 pkt 4 | rozwijanie systemów wymiany informacji o zagrożeniach cyberbezpieczeństwa w obszarze obrony narodowej; +Art. 52 pkt 4 | rozwijanie systemów wymiany informacji o cyberzagrożeniach w obszarze obrony narodowej; Art. 52 pkt 5 | Poz. 20 udział w realizacji celów Organizacji Traktatu Północnoatlantyckiego w obszarze cyberbezpieczeństwa i kryptologii. Rozdział 11 | Nadzór i kontrola operatorów usług kluczowych, dostawców usług cyfrowych i podmiotów świadczących usługi w zakresie cyberbezpieczeństwa -Art. 53 ust. 1 | Nadzór w zakresie stosowania przepisów ustawy sprawują: -Art. 53 ust. 1 pkt 1 | minister właściwy do spraw informatyzacji w zakresie spełniania przez podmioty świadczące usługi z zakresu cyberbezpieczeństwa wymogów, o których mowa w art. 14 ust. 2; -Art. 53 ust. 1 pkt 2 | organy właściwe do spraw cyberbezpieczeństwa w zakresie: -Art. 53 ust. 1 pkt 2 lit. a | wykonywania przez operatorów usług kluczowych wynikających z ustawy obowiązków dotyczących przeciwdziałania zagrożeniom cyberbezpieczeństwa i zgłaszania incydentów poważnych, -Art. 53 ust. 1 pkt 2 lit. b | spełniania przez dostawców usług cyfrowych wymogów bezpieczeństwa świadczonych przez nich usług cyfrowych określonych w rozporządzeniu wykonawczym 2018/151 oraz wykonywania wynikających z ustawy obowiązków dotyczących zgłaszania incydentów istotnych. -Art. 53 ust. 2 | W ramach nadzoru, o którym mowa w ust. 1: -Art. 53 ust. 2 pkt 1 | organ właściwy do spraw cyberbezpieczeństwa lub minister właściwy do spraw informatyzacji prowadzi kontrole w zakresie, o którym mowa w ust. 1; -Art. 53 ust. 2 pkt 2 | organ właściwy do spraw cyberbezpieczeństwa nakłada kary pieniężne na operatorów usług kluczowych i dostawców usług cyfrowych. -Art. 53 ust. 3 | W stosunku do dostawcy usług cyfrowych podjęcie czynności, o których mowa w ust. 2, następuje po uzyskaniu dowodu, że dostawca usług cyfrowych nie spełnia wymogów określonych w rozporządzeniu wykonawczym 2018/151 lub nie wykonuje wynikających z ustawy obowiązków dotyczących zgłaszania incydentów istotnych. -Art. 54 ust. 1 | Do kontroli, której zakres określony jest w art. 53 ust. 1 pkt 1, stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców. -Art. 54 ust. 2 | Do kontroli, której zakres określony jest w art. 53 ust. 1 pkt 2, realizowanej wobec podmiotów: -Art. 54 ust. 2 pkt 1 | będących przedsiębiorcami stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców; -Art. 54 ust. 2 pkt 2 | niebędących przedsiębiorcami stosuje się przepisy ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej określające zasady i tryb przeprowadzania kontroli. +Art. 53 ust. 1 | Nadzór dotyczący stosowania przepisów ustawy sprawują organy właściwe do spraw cyberbezpieczeństwa w zakresie wykonywania przez podmioty kluczowe i podmioty ważne wynikających z ustawy obowiązków. +Art. 53 ust. 2 | W ramach nadzoru, o którym mowa w ust. 1, organ właściwy do spraw cyberbezpieczeństwa w stosunku do podmiotów kluczowych może: s. 49/103 1) prowadzić kontrole, w tym doraźne, w siedzibie podmiotu, miejscu wykonywania działalności gospodarczej lub zdalnie; +Art. 53 ust. 2 pkt 2 | w drodze decyzji nałożyć na podmiot obowiązek przeprowadzania audytu, o którym mowa w art. 15 ust. 1b, w szczególności w sytuacji wystąpienia poważnego incydentu lub naruszenia przepisów ustawy; +Art. 53 ust. 2 pkt 3 | zlecić CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu, dokonanie oceny bezpieczeństwa systemu informacyjnego podmiotu kluczowego; +Art. 53 ust. 2 pkt 4 | wystąpić z wnioskiem o udzielenie informacji niezbędnych do oceny środków, o których mowa w art. 8 ust. 1 pkt 2 i 5, a także zgodności danych i informacji przekazanych przez podmiot do wykazu; +Art. 53 ust. 2 pkt 5 | wystąpić z wnioskiem o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania nadzoru; +Art. 53 ust. 2 pkt 6 | wystąpić z wnioskiem o przedstawienie dowodów realizacji wymogów, o których mowa w art. 8 ust. 1. +Art. 53 ust. 3 | Organy właściwe do spraw cyberbezpieczeństwa za pomocą działań nadzorczych sprawują nadzór o charakterze: +Art. 53 ust. 3 pkt 1 | prewencyjnym i następczym nad podmiotami kluczowymi; +Art. 53 ust. 3 pkt 2 | następczym nad podmiotami ważnymi, w szczególności w przypadku uzasadnionego podejrzenia, że zachodzi możliwość naruszenia przepisów ustawy. +Art. 53 ust. 4 | W przypadku uzasadnionego podejrzenia, że działania lub zaniechania podmiotu kluczowego mogą naruszać przepisy ustawy, organ właściwy do spraw cyberbezpieczeństwa kieruje do tego podmiotu pismo w formie elektronicznej z ostrzeżeniem, w którym wskazuje czynności, jakie należy podjąć w celu zapobieżenia lub zaprzestania naruszania przepisów ustawy oraz termin na ich wykonanie. +Art. 53 ust. 5 | W celu egzekwowania przepisów ustawy organ właściwy do spraw cyberbezpieczeństwa w stosunku do podmiotów kluczowych, także wtedy gdy podmiot kluczowy nie zastosował się do pisma z ostrzeżeniem, o którym mowa w ust. 4, może: +Art. 53 ust. 5 pkt 1 | nakazać podjęcie określonych czynności dotyczących obsługi incydentu; +Art. 53 ust. 5 pkt 2 | nakazać, w drodze decyzji, zaniechanie naruszania przepisów ustawy; +Art. 53 ust. 5 pkt 3 | nakazać, w drodze decyzji, zapewnienie zgodności systemu zarządzania bezpieczeństwem informacji zgodnie z art. 8 ust. 1 pkt 2 lub zgodnie z art. 8 ust. 3 lub realizacji obowiązku zgłaszania incydentu poważnego; +Art. 53 ust. 5 pkt 4 | nakazać, w drodze decyzji, poinformowanie, w określony przez niego sposób, odbiorców usług tego podmiotu, których dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia oraz o możliwych środkach ochronnych lub naprawczych, jakie należy podjąć w reakcji na to zagrożenie; +Art. 53 ust. 5 pkt 5 | nakazać, w drodze decyzji, wdrożenie, w określonym terminie, zaleceń wydanych w wyniku audytu lub audytu, o którym mowa w art. 15 ust. 1b; +Art. 53 ust. 5 pkt 6 | wyznaczyć, w drodze decyzji, na określony czas, niedłuższy niż miesiąc, spośród osób zatrudnionych w urzędzie obsługującym ten organ, urzędnika monitorującego do nadzorowania wykonywania obowiązków, o których mowa w rozdziale 3, wskazując ściśle określone zadania, które urzędnik monitorujący realizuje w tym czasie; +Art. 53 ust. 5 pkt 7 | nakazać, w drodze decyzji, podanie do wiadomości publicznej informacji o naruszeniach przepisów ustawy; +Art. 53 ust. 5 pkt 8 | nakazać, w drodze decyzji wydanej w postępowaniu uproszczonym, o którym mowa w rozdziale 14 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego, podanie do publicznej wiadomości informacji o incydencie poważnym. +Art. 53 ust. 6 | Organ właściwy do spraw cyberbezpieczeństwa, podejmując działania, o których mowa w ust. 5, wyznacza podmiotowi kluczowemu termin, w którym zobowiązuje ten podmiot do podjęcia określonych czynności, usunięcia uchybień lub zapewnienia zgodności z wymogami określonymi przez organ. +Art. 53 ust. 7 | Nakaz, o którym mowa w ust. 5 pkt 1, jest inną czynnością z zakresu administracji publicznej, na którą przysługuje skarga do sądu administracyjnego i wymaga uzasadnienia. +Art. 53 ust. 8 | Postępowanie w sprawach, o którym mowa w ust. 5 pkt 2–8, jest jednoinstancyjne, a na decyzję organu właściwego do spraw cyberbezpieczeństwa przysługuje skarga do sądu administracyjnego. +Art. 53 ust. 9 | Organ właściwy do spraw cyberbezpieczeństwa, w przypadku gdy podmiot kluczowy nie zastosował się do nakazu, o którym mowa w ust. 5 pkt 1, lub postanowień decyzji, o której mowa w ust. 5 pkt 2–8, może: +Art. 53 ust. 9 pkt 1 | wstrzymać udzieloną temu podmiotowi koncesję albo ograniczyć jej zakres do czasu usunięcia uchybień lub zaprzestania naruszeń lub s. 50/103 +Art. 53 ust. 9 pkt 2 | wstrzymać w całości albo w części działalność podmiotu kluczowego wpisanego do rejestru działalności regulowanej, do czasu usunięcia uchybień lub zaprzestania naruszeń, lub +Art. 53 ust. 9 pkt 3 | wstrzymać zezwolenie na prowadzenie działalności gospodarczej wydane podmiotowi kluczowemu albo ograniczyć zakres tego zezwolenia do czasu usunięcia uchybień lub zaprzestania naruszeń, lub +Art. 53 ust. 9 pkt 4 | wstrzymać w całości albo w części działalność podmiotu kluczowego, wpisanego do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, do czasu usunięcia uchybień lub zaprzestania naruszeń, lub +Art. 53 ust. 9 pkt 5 | wstrzymać w całości albo w części działalność podmiotu kluczowego, wpisanego do rejestru przedsiębiorców Krajowego Rejestru Sądowego, do czasu usunięcia uchybień lub zaprzestania naruszeń, lub +Art. 53 ust. 9 pkt 6 | zakazać pełnienia w podmiocie kluczowym funkcji zarządczych przez kierownika podmiotu do czasu usunięcia uchybień lub zaprzestania naruszeń, o ile nie doprowadzi to do uniemożliwienia funkcjonowania podmiotu kluczowego w zakresie, jaki jest niezbędny do usunięcia uchybień lub zaprzestania naruszeń. +Art. 53 ust. 10 | Środków, o których mowa w ust. 9, nie stosuje się do podmiotów publicznych. +Art. 53 ust. 11 | W przypadku wniesienia przez podmiot kluczowy skargi do sądu administracyjnego, o której mowa w ust. 7 lub 8, środków, o których mowa w ust. 9, nie stosuje się do czasu rozstrzygnięcia sprawy przez ten sąd. Sąd rozstrzyga sprawę w terminie miesiąca od dnia wniesienia skargi. +Art. 53 ust. 12 | Organ właściwy do spraw cyberbezpieczeństwa, podejmując działania, o których mowa w ust. 5 i 9, uwzględnia: +Art. 53 ust. 12 pkt 1 | wagę naruszenia i znaczenie naruszonych przepisów ustawy, przy czym za poważne naruszenie należy uznać: +Art. 53 ust. 12 pkt 1 lit. a | powtarzające się naruszenie, +Art. 53 ust. 12 pkt 1 lit. b | niezgłoszenie lub nieobsłużenie incydentów poważnych, +Art. 53 ust. 12 pkt 1 lit. c | nieusunięcie uchybień zgodnie z wiążącymi nakazami organów właściwych do spraw cyberbezpieczeństwa, +Art. 53 ust. 12 pkt 1 lit. d | utrudnianie prowadzenia audytów lub działań monitorujących nakazanych przez organ właściwy do spraw cyberbezpieczeństwa po stwierdzeniu naruszenia, +Art. 53 ust. 12 pkt 1 lit. e | dostarczanie nieprawdziwych lub rażąco niedokładnych informacji w odniesieniu do środków zarządzania ryzykiem w cyberbezpieczeństwie lub obowiązków zgłaszania incydentów poważnych; +Art. 53 ust. 12 pkt 2 | czas trwania naruszenia; +Art. 53 ust. 12 pkt 3 | wcześniejsze poważne naruszenia ze strony danego podmiotu; +Art. 53 ust. 12 pkt 4 | spowodowane szkody majątkowe i niemajątkowe, w tym straty finansowe lub gospodarcze, wpływ na inne usługi i liczbę użytkowników, których dotyka incydent; +Art. 53 ust. 12 pkt 5 | umyślny lub nieumyślny charakter czynu ze strony sprawcy naruszenia; +Art. 53 ust. 12 pkt 6 | środki zastosowane przez podmiot, aby zapobiec szkodom majątkowym i niemajątkowym lub je ograniczyć; +Art. 53 ust. 12 pkt 7 | stopień współpracy podmiotu z organem właściwym do spraw cyberbezpieczeństwa. +Art. 53 ust. 13 | Organ właściwy do spraw cyberbezpieczeństwa przed zastosowaniem środków, o których mowa w ust. 4, 5 i 9, oraz przed nałożeniem kary pieniężnej, informuje podmiot kluczowy o wstępnych ustaleniach, które mogą prowadzić do wydania decyzji lub podjęcia działań, o których mowa w ust. 4, 5 i 9, lub do nałożenia kary pieniężnej. Informacja o wstępnych ustaleniach zawiera szczegółowe uzasadnienie, potwierdzające zasadność zamiaru zastosowania środków lub nałożenia kary pieniężnej. +Art. 53 ust. 14 | Podmiot kluczowy może przedstawić swoje stanowisko niezwłocznie, niepóźniej niż w terminie 7 dni od dnia poinformowania o wstępnych ustaleniach, o których mowa w ust. 13. +Art. 53 ust. 15 | Organ właściwy do spraw cyberbezpieczeństwa po przedstawieniu przez podmiot kluczowy swojego stanowiska: +Art. 53 ust. 15 pkt 1 | uwzględnia stanowisko tego podmiotu i odstępuje od zastosowania środków, o których mowa w ust. 4, 5 lub 9, lub od nałożenia kary pieniężnej, oraz informuje podmiot o tym fakcie; +Art. 53 ust. 15 pkt 2 | odrzuca stanowisko tego podmiotu i stosuje środki, o których mowa w ust. 4, 5 lub 9, lub nakłada karę pieniężną, oraz informuje podmiot o tym fakcie wraz ze szczegółowym uzasadnieniem przyczyn odrzucenia stanowiska podmiotu. s. 51/103 +Art. 53 ust. 16 | Organ właściwy do spraw cyberbezpieczeństwa może odstąpić od poinformowania o wstępnych ustaleniach w przypadku, gdy utrudniłoby to natychmiastowe działanie w celu zapobieżenia incydentom, reakcji na nie lub mogłoby mieć niekorzystny wpływ na bezpieczeństwo państwa lub porządek publiczny. +Art. 53 ust. 17 | Organ właściwy do spraw cyberbezpieczeństwa sprawując nadzór w stosunku do podmiotu ważnego stosuje przepisy ust. 2, 4, 5 pkt 1–5 i 7–8 oraz ust. 6–8 i 12–16. +Art. 53a ust. 1 | Organy właściwe do spraw cyberbezpieczeństwa mogą tworzyć, samodzielnie lub wspólnie, metodyki nadzoru dotyczące prowadzenia nadzoru nad podmiotami kluczowymi lub podmiotami ważnymi w zakresie stosowania przepisów ustawy. +Art. 53a ust. 2 | Metodyki nadzoru określają w szczególności: +Art. 53a ust. 2 pkt 1 | zakres nadzoru; +Art. 53a ust. 2 pkt 2 | sposób przeprowadzania nadzoru; +Art. 53a ust. 2 pkt 3 | kryteria oceny. +Art. 53a ust. 3 | W przypadku stworzenia metodyki nadzoru organy właściwe do spraw cyberbezpieczeństwa co dwa lata oceniają skuteczność stosowania tej metodyki nadzoru, w szczególności oceniając efektywność sprawowanego nadzoru. +Art. 53a ust. 4 | Na podstawie oceny skuteczności organy właściwe do spraw cyberbezpieczeństwa dokonują zmian w metodykach nadzoru. +Art. 53b ust. 1 | Organy właściwe do spraw cyberbezpieczeństwa mogą ustalać hierarchię priorytetów w sprawowaniu nadzoru w oparciu o metodykę nadzoru, o której mowa w art. 53a ust. 1, uwzględniając w szczególności wyniki analizy ryzyka dla konkretnego podmiotu kluczowego lub podmiotu ważnego. +Art. 53b ust. 2 | Analiza ryzyka przeprowadzana jest przez organ właściwy do spraw cyberbezpieczeństwa i uwzględnia w szczególności: +Art. 53b ust. 2 pkt 1 | znaczenie usługi dla bezpieczeństwa narodowego i porządku publicznego; +Art. 53b ust. 2 pkt 2 | wpływ usługi na gospodarkę i społeczeństwo; +Art. 53b ust. 2 pkt 3 | prawdopodobieństwo wystąpienia incydentu w podmiocie nadzorowanym oraz rodzaj tego incydentu; +Art. 53b ust. 2 pkt 4 | potencjalne skutki incydentu takie jak straty finansowe, szkody wizerunkowe, utrata danych osobowych lub zakłócenia w funkcjonowaniu systemów i infrastruktury. +Art. 53c ust. 1 | Podmiot kluczowy lub podmiot ważny przekazuje na żądanie organu właściwego do spraw cyberbezpieczeństwa dane, informacje i dokumenty niezbędne do wykonywania przez ten organ jego uprawnień i obowiązków z zakresu sprawowania nadzoru i kontroli określonych w ustawie. +Art. 53c ust. 2 | Żądanie, o którym mowa w ust. 1, ma być proporcjonalne do celu, jakiemu ma służyć, oraz zawierać: +Art. 53c ust. 2 pkt 1 | wskazanie podmiotu kluczowego lub podmiotu ważnego, do którego jest skierowane; +Art. 53c ust. 2 pkt 2 | datę żądania; +Art. 53c ust. 2 pkt 3 | wskazanie żądanych danych, informacji lub dokumentów oraz okresu, których dotyczą; +Art. 53c ust. 2 pkt 4 | wskazanie celu, jakiemu dane, informacje lub dokumenty mają służyć; +Art. 53c ust. 2 pkt 5 | wskazanie terminu przekazania danych, informacji lub dokumentów adekwatnego do zakresu tego żądania, niekrótszego niż 7 dni; +Art. 53c ust. 2 pkt 6 | uzasadnienie żądania; +Art. 53c ust. 2 pkt 7 | pouczenie o zagrożeniu karą za niespełnienie żądania, o którym mowa w ust. 1. +Art. 53c ust. 3 | Żądanie, o którym mowa w ust. 1, sporządza się w postaci elektronicznej i doręcza się w sposób określony w dziale I rozdziale 8 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego albo przez system teleinformatyczny, o którym mowa w art. 46 ust. 1 pkt 6. +Art. 53c ust. 4 | Przepisy ust. 1–3 stosuje się odpowiednio do żądania udzielenia dostępu do danych, dokumentów i informacji koniecznych do wykonania nadzoru oraz dowodów realizacji wymogów, o których mowa w art. 8 ust. 1. +Art. 53d ust. 1 | Urzędnik monitorujący, o którym mowa w art. 53 ust. 5 pkt 6, w zakresie nadzorowania wykonywania przez podmiot kluczowy obowiązków, o których mowa w rozdziale 3, jest uprawniony do: s. 52/103 1) swobodnego wstępu i poruszania się po terenie podmiotu kluczowego po uzyskaniu przepustki, wydanej bezzwłocznie, której wydania nie można odmówić; +Art. 53d ust. 1 pkt 2 | wglądu do dokumentów dotyczących działalności podmiotu kluczowego; +Art. 53d ust. 1 pkt 3 | przetwarzania danych osobowych w zakresie niezbędnym do realizacji celu nadzoru; +Art. 53d ust. 1 pkt 4 | żądania złożenia ustnych lub pisemnych wyjaśnień w sprawach dotyczących zakresu nadzoru; +Art. 53d ust. 1 pkt 5 | przeprowadzania oględzin urządzeń, nośników oraz systemów informacyjnych, po wcześniejszym zawiadomieniu podmiotu kluczowego. +Art. 53d ust. 2 | Urzędnik monitorujący, o którym mowa w art. 53 ust. 5 pkt 6, realizuje powierzone mu zadania z zachowaniem przepisów o tajemnicy prawnie chronionej. +Art. 53d ust. 3 | Do nadzorowania przez urzędnika monitorującego, o którym mowa w art. 53 ust. 5 pkt 6, wykonywania przez podmiot kluczowy obowiązków, o których mowa w rozdziale 3, stosuje się przepis art. 58. +Art. 53d ust. 4 | Zawiadomienie, o którym mowa w ust. 1 pkt 5, przekazuje się na adres do doręczeń elektronicznych albo za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, w terminie 1 dnia przed przeprowadzeniem oględzin. +Art. 53e ust. 1 | Realizując uprawnienie, o którym mowa w art. 53 ust. 9, organ właściwy do spraw cyberbezpieczeństwa wydaje decyzję, która zawiera: +Art. 53e ust. 1 pkt 1 | dane podmiotu kluczowego lub kierownika podmiotu kluczowego; +Art. 53e ust. 1 pkt 2 | rodzaj stwierdzonych uchybień lub naruszeń dokonanych przez podmiot kluczowy lub kierownika podmiotu kluczowego; +Art. 53e ust. 1 pkt 3 | podjęte dotychczas środki nadzorcze nad podmiotem kluczowym; +Art. 53e ust. 1 pkt 4 | podstawę prawną i rodzaj środka określonego w art. 53 ust. 9; +Art. 53e ust. 1 pkt 5 | termin stosowania tego środka; +Art. 53e ust. 1 pkt 6 | uzasadnienie. +Art. 53e ust. 2 | Termin stosowania środków, o których mowa w art. 53 ust. 9, określa się przy uwzględnieniu kryteriów, o których mowa w art. 53 ust. 12. Środek nie może być stosowany dłużej niż 14 dni od daty doręczenia decyzji o jego zastosowaniu. +Art. 53e ust. 3 | W zależności od zastosowanego środka, jeżeli podmiot kluczowy usunął uchybienia lub zaprzestał naruszania przepisów ustawy przed terminem określonym w decyzji, uchyla się decyzję o zastosowaniu tego środka. +Art. 53e ust. 4 | W przypadku powzięcia informacji, w szczególności na skutek stosowania innych środków nadzorczych, określonych w art. 53 ust. 1, 4 i 5, że podmiot kluczowy nie usunął wcześniej stwierdzonych uchybień lub w dalszym ciągu narusza przepisy ustawy lub w przypadku, gdy podmiot kluczowy nie wykazał w terminie, na jaki został zastosowany środek, że usunął uchybienia lub zaprzestał naruszania przepisów ustawy, organ właściwy do spraw cyberbezpieczeństwa ponownie wydaje decyzję o zastosowaniu środka określonego w art. 53 ust. 9 na kolejny okres, niedłuższy niż 14 dni. Przepis ten stosuje się do czasu usunięcia uchybień lub zaprzestania naruszeń przez podmiot kluczowy. W stosunku do ponownej decyzji nie stosuje się przepisów art. 53 ust. 13–16. +Art. 53e ust. 5 | Organ właściwy do spraw cyberbezpieczeństwa z urzędu lub na wniosek podmiotu kluczowego uchyla decyzję, o której mowa w ust. 1, po usunięciu uchybień lub zaprzestaniu naruszeń przez podmiot kluczowy. +Art. 53e ust. 6 | Podmiot kluczowy może złożyć wniosek, o którym mowa w ust. 5, po usunięciu uchybień lub zaprzestaniu naruszeń, przedstawiając dowody potwierdzające zastosowanie się odpowiednio do nakazu, o którym mowa w art. 53 ust. 5 pkt 1, lub postanowień decyzji, o której mowa w art. 53 ust. 5 pkt 2–8. +Art. 53e ust. 7 | Wniosek, o którym mowa w ust. 5, organ właściwy do spraw cyberbezpieczeństwa rozpatruje niezwłocznie, niepóźniej niż w terminie 7 dni od dnia jego otrzymania. +Art. 53e ust. 8 | Czynności, o których mowa w ust. 3 i 5, organ dokonuje w formie decyzji. +Art. 53e ust. 9 | Decyzja, o której mowa w ust. 1, jest wykonalna z dniem jej doręczenia podmiotowi kluczowemu. Decyzje, o których mowa w ust. 3, 4 i 5, są natychmiast wykonalne. s. 53/103 +Art. 53e ust. 10 | Postępowanie w sprawie stosowania i uchylania środków, o których mowa w art. 53 ust. 9, jest jednoinstancyjne. Na decyzje, o których mowa w ust. 1 i 3–5, podmiot kluczowy może wnieść skargę do sądu administracyjnego. +Art. 53e ust. 11 | Organ właściwy do spraw cyberbezpieczeństwa publikuje na swojej stronie podmiotowej Biuletynu Informacji Publicznej informację o zastosowaniu wobec podmiotu kluczowego lub kierownika podmiotu kluczowego środków, o których mowa w art. 53 ust. 9. Informacja zawiera: +Art. 53e ust. 11 pkt 1 | dane podmiotu kluczowego lub imię i nazwisko kierownika tego podmiotu kluczowego; +Art. 53e ust. 11 pkt 2 | podstawę prawną i rodzaj zastosowanego środka, o którym mowa w art. 53 ust. 9; +Art. 53e ust. 11 pkt 3 | wskazanie daty początkowej i końcowej okresu na jaki zastosowano środek; +Art. 53e ust. 11 pkt 4 | wskazanie, czy wobec podmiotu kluczowego lub kierownika podmiotu kluczowego ponownie zastosowano środek, a jeśli tak, to wskazanie nowej daty końcowej stosowania tego środka. +Art. 53e ust. 12 | Publikacja, o której mowa w ust. 11, nie obejmuje tajemnicy przedsiębiorstwa. +Art. 53e ust. 13 | Organ właściwy do spraw cyberbezpieczeństwa publikuje na swojej stronie podmiotowej Biuletynu Informacji Publicznej informację o uchyleniu decyzji, o której mowa w ust. 1. +Art. 53e ust. 14 | Podmiot kluczowy, w okresie stosowania wobec niego środka, o którym mowa w art. 53 ust. 9, nie może wykonywać działalności, której dotyczy ten środek. +Art. 53e ust. 15 | W okresie stosowania środka, o którym mowa w art. 53 ust. 9, podmiot kluczowy ma obowiązek niezwłocznie podjąć działania zmierzające jedynie do usunięcia uchybień bądź zaprzestania naruszeń. W tym celu w szczególności może składać oświadczenia woli i wiedzy, podejmować czynności procesowe w postępowaniach, przedsiębrać czynności faktyczne, jeżeli nie stoją one w sprzeczności z celem stosowanego środka lub nie zmierzają do jego obejścia. +Art. 53e ust. 16 | W zakresie nieuregulowanym, a dotyczącym zawieszania, ograniczania i wznawiania koncesji, zezwolenia na prowadzenie działalności gospodarczej lub wstrzymania prowadzenia działalności gospodarczej zastosowanie mają przepisy odrębne. +Art. 53f ust. 1 | Organy właściwe do spraw cyberbezpieczeństwa mogą wspólnie sprawować nadzór, w tym wspólnie prowadzić kontrolę, nad podmiotami kluczowymi lub podmiotami ważnymi. +Art. 53f ust. 2 | Organy właściwe do spraw cyberbezpieczeństwa, sprawując wspólnie nadzór, w tym prowadząc kontrolę, mogą wyznaczyć wiodący organ właściwy do spraw cyberbezpieczeństwa. +Art. 53f ust. 3 | Organy właściwe do spraw cyberbezpieczeństwa informują się wzajemnie o zamiarze wszczęcia kontroli w podmiocie, nad którym wspólnie sprawują nadzór. +Art. 53f ust. 4 | Przepisy ust. 1–3 stosuje się odpowiednio do współpracy organów właściwych do spraw cyberbezpieczeństwa i organów właściwych do spraw podmiotów krytycznych w przypadku, gdy nadzór jest sprawowany nad podmiotem kluczowym będącym podmiotem krytycznym. +Art. 54 | Do kontroli realizowanej wobec podmiotów kluczowych lub podmiotów ważnych: +Art. 54 pkt 1 | będących przedsiębiorcami stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców; +Art. 54 pkt 2 | niebędących przedsiębiorcami stosuje się przepisy ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej; +Art. 54 pkt 3 | będących jednostkami samorządu terytorialnego stosuje się przepisy ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej. Art. 55 | Osoba prowadząca czynności kontrolne wobec podmiotów będących przedsiębiorcami ma prawo do: Art. 55 pkt 1 | swobodnego wstępu i poruszania się po terenie podmiotu kontrolowanego bez obowiązku uzyskiwania przepustki; Art. 55 pkt 2 | wglądu do dokumentów dotyczących działalności podmiotu kontrolowanego, pobierania za pokwitowaniem oraz zabezpieczania dokumentów związanych z zakresem kontroli, z zachowaniem przepisów o tajemnicy prawnie chronionej; @@ -581,6 +1086,8 @@ Art. 55 pkt 6 | przeprowadzania oględzin urządzeń, nośników oraz systemów informacyjnych. Art. 56 ust. 1 | Kontrolowane podmioty będące przedsiębiorcami zapewniają osobie prowadzącej czynności kontrolne warunki niezbędne do sprawnego przeprowadzenia kontroli, w szczególności przez zapewnienie niezwłocznego przedstawienia żądanych dokumentów, terminowego udzielania ustnych i pisemnych wyjaśnień w sprawach objętych kontrolą, udostępniania niezbędnych urządzeń technicznych, a także sporządzania we własnym zakresie kopii lub wydruków dokumentów oraz informacji zgromadzonych na nośnikach, w urządzeniach lub w systemach informacyjnych. Art. 56 ust. 2 | Podmiot kontrolowany dokonuje potwierdzenia za zgodność z oryginałem sporządzonych kopii lub wydruków, o których mowa w ust. 1. W przypadku odmowy potwierdzenia za zgodność z oryginałem potwierdza je osoba prowadząca czynności kontrolne, o czym czyni wzmiankę w protokole kontroli. +Art. 56 ust. 3 | Organ przeprowadzający kontrolę może żądać od podmiotu kontrolowanego przedstawienia tłumaczenia na język polski sporządzonej w języku obcym dokumentacji przedłożonej przez podmiot kontrolowany. Tłumaczenie s. 54/103 dokumentacji podmiot kontrolowany jest obowiązany wykonać na własny koszt. Zlecenie tłumaczenia dokumentacji podmiotom trzecim odbywa się z poszanowaniem tajemnicy prawnie chronionej na podstawie odrębnych przepisów. +Art. 56 ust. 4 | Organ przeprowadzający kontrolę, występując do podmiotu kontrolowanego z żądaniem, o którym mowa w ust. 3, wskazuje zakres dokumentów, które mają zostać przetłumaczone, ich związek z przeprowadzaną kontrolą oraz określa termin na przedstawienie tłumaczenia dokumentacji, uwzględniający zakres koniecznego tłumaczenia. Art. 57 | Osoba prowadząca czynności kontrolne wobec podmiotów będących przedsiębiorcami ustala stan faktyczny na podstawie dowodów zebranych w toku kontroli, w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień i oświadczeń. Poz. 20 Art. 58 ust. 1 | Osoba prowadząca czynności kontrolne wobec podmiotów będących przedsiębiorcami przedstawia przebieg przeprowadzonej kontroli w protokole kontroli. Art. 58 ust. 2 | Protokół kontroli zawiera: @@ -592,22 +1099,54 @@ Art. 58 ust. 2 pkt 6 | opis stanu faktycznego ustalonego w toku kontroli oraz inne informacje mające istotne znaczenie dla przeprowadzonej kontroli, w tym zakres, przyczyny i skutki stwierdzonych nieprawidłowości; Art. 58 ust. 2 pkt 7 | wyszczególnienie załączników. Art. 58 ust. 3 | Protokół kontroli podpisują osoba prowadząca czynności kontrolne oraz osoba reprezentująca podmiot kontrolowany. -Art. 58 ust. 4 | Przed podpisaniem protokołu podmiot kontrolowany może, w terminie 7 dni od dnia przedstawienia mu go do podpisu, złożyć pisemne zastrzeżenia do tego protokołu. -Art. 58 ust. 5 | W razie zgłoszenia zastrzeżeń osoba prowadząca czynności kontrolne dokonuje ich analizy i w razie potrzeby podejmuje dodatkowe czynności kontrolne, a w przypadku stwierdzenia zasadności zastrzeżeń zmienia lub uzupełnia odpowiednią część protokołu w formie aneksu do protokołu. -Art. 58 ust. 6 | W razie nieuwzględnienia zastrzeżeń w całości lub w części osoba prowadząca czynności kontrolne informuje podmiot kontrolowany na piśmie. -Art. 58 ust. 7 | O odmowie podpisania protokołu osoba prowadząca czynności kontrolne czyni w protokole wzmiankę zawierającą datę jej dokonania. -Art. 58 ust. 8 | Protokół w postaci papierowej sporządza się w dwóch egzemplarzach, z których jeden pozostawia się podmiotowi kontrolowanemu, a w przypadku protokołu sporządzonego w postaci elektronicznej doręcza się go podmiotowi kontrolowanemu. -Art. 59 ust. 1 | Jeżeli na podstawie informacji zgromadzonych w protokole kontroli organ właściwy do spraw cyberbezpieczeństwa lub minister właściwy do spraw informatyzacji uzna, że mogło dojść do naruszenia przepisów ustawy przez podmiot kontrolowany, przekazuje zalecenia pokontrolne dotyczące usunięcia nieprawidłowości. +Art. 58 ust. 4 | W przypadku zastrzeżeń dotyczących ustaleń zawartych w protokole kontroli, podmiot kontrolowany ma prawo odmówić podpisania protokołu kontroli oraz złożyć umotywowane pisemne zastrzeżenia do tego protokołu w terminie 7 dni od dnia przedstawienia mu go do podpisu. +Art. 58 ust. 5 | Odmowę podpisania protokołu kontroli osoba prowadząca czynności kontrolne odnotowuje w protokole wraz ze wskazaniem daty tej odmowy. +Art. 58 ust. 6 | W razie złożenia zastrzeżeń do protokołu kontroli kierownik komórki organizacyjnej do spraw kontroli dokonuje ich analizy. +Art. 58 ust. 7 | Kierownik komórki organizacyjnej do spraw kontroli: +Art. 58 ust. 7 pkt 1 | odrzuca zastrzeżenia do protokołu kontroli wniesione przez osobę nieuprawnioną lub wniesione po upływie terminu i informuje o tym na piśmie zgłaszającego zastrzeżenia, podając przyczyny, albo +Art. 58 ust. 7 pkt 2 | uwzględnia zastrzeżenia do protokołu kontroli w całości albo w części albo je oddala. +Art. 58 ust. 8 | W razie potrzeby, w związku ze zgłoszeniem zastrzeżeń do protokołu, osoba prowadząca czynności kontrolne podejmuje dodatkowe czynności kontrolne, a w przypadku stwierdzenia przez kierownika komórki organizacyjnej do spraw kontroli zasadności zastrzeżeń do protokołu kontroli zmienia lub uzupełnia odpowiednią część protokołu kontroli w formie aneksu do protokołu. +Art. 58 ust. 9 | Kierownik komórki organizacyjnej do spraw kontroli, po rozpatrzeniu zastrzeżeń do protokołu kontroli, sporządza stanowisko wobec tych zastrzeżeń. +Art. 58 ust. 10 | O nieuwzględnieniu zastrzeżeń do protokołu kontroli w całości albo w części kierownik komórki organizacyjnej do spraw kontroli informuje podmiot kontrolowany na piśmie. +Art. 58 ust. 11 | Protokół kontroli: +Art. 58 ust. 11 pkt 1 | w postaci papierowej sporządza się w dwóch egzemplarzach, z których jeden pozostawia się podmiotowi kontrolowanemu; +Art. 58 ust. 11 pkt 2 | w postaci elektronicznej doręcza się podmiotowi kontrolowanemu na adres do doręczeń elektronicznych. +Art. 59 ust. 1 | Jeżeli na podstawie informacji zgromadzonych w toku kontroli organ właściwy do spraw cyberbezpieczeństwa uzna, że mogło dojść do naruszenia przepisów ustawy przez podmiot kontrolowany, przekazuje zalecenia pokontrolne wzywające do usunięcia nieprawidłowości. Organ właściwy do spraw cyberbezpieczeństwa wskazuje termin usunięcia tych nieprawidłowości, uwzględniając zakres i rodzaj naruszeń. Art. 59 ust. 2 | Od zaleceń pokontrolnych nie przysługują środki odwoławcze. -Art. 59 ust. 3 | Podmiot kontrolowany, w wyznaczonym terminie, informuje organ właściwy do spraw cyberbezpieczeństwa lub ministra właściwego do spraw informatyzacji o sposobie wykonania zaleceń. +Art. 59 ust. 3 | Podmiot kontrolowany, w wyznaczonym terminie, informuje organ właściwy do spraw cyberbezpieczeństwa o sposobie wykonania zaleceń. +Art. 59a ust. 1 | W przypadku stwierdzenia podczas sprawowania nadzoru podejrzenia naruszenia ochrony danych osobowych organ właściwy do spraw cyberbezpieczeństwa informuje o tym Prezesa Urzędu Ochrony Danych Osobowych w terminie 7 dni od dnia stwierdzenia podejrzenia tego naruszenia. +Art. 59a ust. 2 | W przypadku stwierdzenia podejrzenia naruszenia ochrony danych osobowych podczas sprawowania nadzoru nad jednostką organizacyjną prokuratury organ właściwy do spraw cyberbezpieczeństwa informuje właściwy organ prokuratury, o którym mowa w art. 191a § 1 ustawy z dnia 28 stycznia 2016 r. – Prawo o prokuraturze (Dz. U. z 2024 r. poz. 390, z 2025 r. poz. 304 i 1178 oraz z 2026 r. poz. 26). +Art. 59a ust. 3 | W przypadku stwierdzenia podejrzenia naruszenia ochrony danych osobowych podczas sprawowania nadzoru nad sądem organ właściwy do spraw cyberbezpieczeństwa informuje właściwego prezesa sądu albo Krajową Radę s. 55/103 Sądownictwa, o których mowa w art. 175dd § 1 ustawy z dnia 27 lipca 2001 r. – Prawo o ustroju sądów powszechnych (Dz. U. z 2024 r. poz. 334, z późn. zm.13)). +Art. 59b ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa udziela pomocy organom innych państw członkowskich Unii Europejskiej w sprawowaniu nadzoru nad podmiotami kluczowymi lub podmiotami ważnymi, których systemy informacyjne znajdują się na terytorium Rzeczypospolitej Polskiej. +Art. 59b ust. 2 | Organ właściwy do spraw cyberbezpieczeństwa może, za pośrednictwem Pojedynczego Punktu Kontaktowego, zwracać się do organów innych państw członkowskich Unii Europejskiej o przeprowadzenie czynności nadzorczych nad podmiotami kluczowymi lub podmiotami ważnymi, świadczącymi usługi na terytorium Rzeczypospolitej Polskiej, których siedziba, zarząd lub systemy informacyjne znajdują się na terytorium innego państwa członkowskiego Unii Europejskiej. +Art. 59b ust. 3 | Organ właściwy do spraw cyberbezpieczeństwa odmawia udzielenia pomocy, o której mowa w ust. 1, jeżeli: +Art. 59b ust. 3 pkt 1 | nie jest właściwy w sprawie; +Art. 59b ust. 3 pkt 2 | żądana pomoc jest nieproporcjonalna do realizowanych przez organ zadań z zakresu nadzoru; +Art. 59b ust. 3 pkt 3 | organ innego państwa członkowskiego Unii Europejskiej żąda udostępnienia informacji lub dokumentów, których udostępnienie narusza podstawowy interes bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub obronności. +Art. 59b ust. 4 | Przed odmową udzielenia pomocy organ właściwy do spraw cyberbezpieczeństwa konsultuje się z wnioskującym o udzielenie pomocy organem innego państwa, a także z Komisją Europejską i ENISA, jeśli żąda tego państwo członkowskie Unii Europejskiej. +Art. 59b ust. 5 | Organ właściwy do spraw cyberbezpieczeństwa może prowadzić wspólne czynności nadzorcze z organem innego państwa członkowskiego Unii Europejskiej. +Art. 59b ust. 6 | Organy właściwe do spraw cyberbezpieczeństwa współpracują za pośrednictwem Pojedynczego Punktu Kontaktowego z organami innych państw członkowskich Unii Europejskiej właściwych do stosowania rozporządzenia 2022/2554. +Art. 59b ust. 7 | Organy właściwe do spraw cyberbezpieczeństwa informują forum nadzoru, o którym mowa w art. 32 ust. 1 rozporządzenia 2022/2554, jeżeli podejmują czynności nadzorcze wobec podmiotu kluczowego, który został wyznaczony jako kluczowy dostawca usług ICT zgodnie z art. 31 rozporządzenia 2022/2554. +Art. 59c ust. 1 | W przypadkach uzasadnionych charakterem sprawy lub pilnością przeprowadzenia czynności kontrolnych wynikających z ochrony bezpieczeństwa państwa lub bezpieczeństwa i porządku publicznego lub w przypadku potrzeby realizacji wzajemnej pomocy, o której mowa w art. 59b ust. 1, lub potrzeby sprawdzenia, czy podmiot kluczowy usunął uchybienia lub zaprzestał dokonywania naruszeń, można zarządzić przeprowadzenie kontroli doraźnej, o której mowa w art. 53 ust. 2 pkt 1. +Art. 59c ust. 2 | Kontrola doraźna, o której mowa w art. 53 ust. 2 pkt 1, może być zarządzona w szczególności w razie potrzeby: +Art. 59c ust. 2 pkt 1 | sprawdzenia informacji uzyskanej od urzędnika monitorującego, o którym mowa w art. 53 ust. 5 pkt 6, że podmiot kluczowy może naruszać przepisy ustawy; +Art. 59c ust. 2 pkt 2 | sprawdzenia, w celu podjęcia działań na podstawie art. 53e ust. 4 i 5, czy podmiot kluczowy usunął uchybienia lub zaprzestał dokonywania naruszeń; +Art. 59c ust. 2 pkt 3 | sprawdzenia wykonania zaleceń pokontrolnych, wykonania decyzji albo postanowień nakazujących usunięcie naruszeń prawa w związku z przeprowadzoną kontrolą. +Art. 59c ust. 3 | Kontrolę doraźną, o której mowa w art. 53 ust. 2 pkt 1, prowadzi się zgodnie z przepisami dotyczącymi kontroli na zasadach ogólnych. Do podmiotów kontrolowanych niebędących przedsiębiorcami nie stosuje się przepisów dotyczących programu kontroli i sporządzania wystąpienia pokontrolnego. +Art. 59c ust. 4 | Kontrola doraźna, o której mowa w art. 53 ust. 2 pkt 1, może być prowadzona także wtedy, gdy nie było możliwości wcześniejszego powiadomienia podmiotu kontrolowanego o terminie przeprowadzenia kontroli. Uzasadnienie przyczyny braku powiadomienia o zamiarze wszczęcia kontroli umieszcza się w sprawozdaniu z kontroli albo protokole kontroli. +Art. 59c ust. 5 | Kontrola doraźna, o której mowa w art. 53 ust. 2 pkt 1, kończy się sporządzeniem: s. 56/103 1) sprawozdania z kontroli – w przypadku jednostek samorządu terytorialnego oraz podmiotów niebędących przedsiębiorcami, +Art. 59c ust. 5 pkt 2 | protokołu kontroli – w przypadku podmiotów będących przedsiębiorcami – zawierającymi opis ustalonego stanu faktycznego oraz jego ocenę, a także, w razie potrzeby, zalecenia lub wnioski wzywające do usunięcia nieprawidłowości lub usprawnienia funkcjonowania podmiotu kontrolowanego. Sprawozdanie z kontroli albo protokół kontroli podpisuje kierownik komórki do spraw kontroli w organie właściwym do spraw cyberbezpieczeństwa. +Art. 59c ust. 6 | Kierownik podmiotu kontrolowanego w terminie 3 dni roboczych od dnia otrzymania sprawozdania z kontroli albo protokołu kontroli, o których mowa w ust. 5, ma prawo przedstawić do niego stanowisko. Nie wstrzymuje to realizacji ustaleń kontroli doraźnej. +Art. 59c ust. 7 | Jeżeli w toku kontroli doraźnej, o której mowa w art. 53 ust. 2 pkt 1, zostaną ujawnione okoliczności wskazujące na naruszenia przepisów ustawy, które wykraczają poza zakres tej kontroli, kontrolę w dalszej części przeprowadza się na zasadach ogólnych z zastosowaniem przepisów art. 54–59b. +Art. 59c ust. 8 | Do kontroli doraźnej, o której mowa w art. 53 ust. 2 pkt 1, w zakresie nieuregulowanym niniejszą ustawą w stosunku do podmiotów będących przedsiębiorcami stosuje się odpowiednio przepisy ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców, a w przypadku jednostek samorządu terytorialnego oraz podmiotów niebędących przedsiębiorcami – przepisy ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej. Przepisów art. 47 ust. 1 i 2 oraz art. 54 ust. 1 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców nie stosuje się. Rozdział 12 | Pełnomocnik i Kolegium Art. 60 | Koordynowanie działań i realizowanie polityki rządu w zakresie zapewnienia cyberbezpieczeństwa w Rzeczypospolitej Polskiej powierza się Pełnomocnikowi. Art. 61 ust. 1 | Pełnomocnika powołuje i odwołuje Prezes Rady Ministrów. Art. 61 ust. 2 | Pełnomocnik podlega Radzie Ministrów. -Art. 61 ust. 3 | Pełnomocnikiem jest minister, sekretarz stanu albo podsekretarz stanu. +Art. 61 ust. 3 | Pełnomocnikiem jest minister właściwy do spraw informatyzacji, sekretarz stanu albo podsekretarz stanu w urzędzie obsługującym ministra właściwego do spraw informatyzacji. Art. 61 ust. 4 | Obsługę merytoryczną, organizacyjno-prawną, techniczną i kancelaryjno-biurową Pełnomocnika zapewnia ministerstwo albo inny urząd administracji rządowej, w którym powołano Pełnomocnika. Art. 62 ust. 1 | W ramach koordynowania działań i realizowania polityki rządu w zakresie zapewnienia cyberbezpieczeństwa do zadań Pełnomocnika należy: -Art. 62 ust. 1 pkt 1 | analiza i ocena funkcjonowania krajowego systemu cyberbezpieczeństwa na podstawie zagregowanych danych i wskaźników opracowanych z udziałem organów administracji publicznej, organów właściwych do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK i CSIRT GOV; +Art. 62 ust. 1 pkt 1 | analiza i ocena funkcjonowania krajowego systemu cyberbezpieczeństwa na podstawie zagregowanych danych i wskaźników opracowanych z udziałem organów administracji publicznej, organów właściwych do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK CSIRT GOV i CSIRT sektorowych; Art. 62 ust. 1 pkt 2 | nadzór nad procesem zarządzania ryzykiem krajowego systemu cyberbezpieczeństwa z wykorzystaniem zagregowanych danych i wskaźników opracowanych z udziałem organów właściwych do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK i CSIRT GOV; Art. 62 ust. 1 pkt 3 | opiniowanie dokumentów rządowych, w tym projektów aktów prawnych, mających wpływ na realizację zadań z zakresu cyberbezpieczeństwa; Poz. 20 Art. 62 ust. 1 pkt 4 | upowszechnianie nowych rozwiązań i inicjowanie działań w zakresie zapewnienia cyberbezpieczeństwa na poziomie krajowym; @@ -616,23 +1155,27 @@ Art. 62 ust. 2 | Do zadań Pełnomocnika wykonywanych w porozumieniu z właściwymi ministrami należy również: Art. 62 ust. 2 pkt 1 | współpraca w sprawach związanych z cyberbezpieczeństwem z innymi państwami, organizacjami oraz instytucjami międzynarodowymi; Art. 62 ust. 2 pkt 2 | podejmowanie działań mających na celu wspieranie badań naukowych i rozwój technologii z zakresu cyberbezpieczeństwa; -Art. 62 ust. 2 pkt 3 | podejmowanie działań mających na celu podnoszenie świadomości społeczeństwa w zakresie zagrożeń cyberbezpieczeństwa i bezpiecznego korzystania z Internetu. +Art. 62 ust. 2 pkt 3 | podejmowanie działań mających na celu podnoszenie świadomości społeczeństwa w zakresie cyberzagrożeń i bezpiecznego korzystania z Internetu. Art. 63 ust. 1 | Pełnomocnik opracowuje i przedkłada Radzie Ministrów w terminie do dnia 31 marca każdego roku sprawozdanie za poprzedni rok kalendarzowy zawierające informacje o prowadzonej działalności w zakresie zapewnienia cyberbezpieczeństwa na poziomie krajowym. Art. 63 ust. 2 | Pełnomocnik może przekazywać Radzie Ministrów wnioski oraz rekomendacje dotyczące działań, które powinny podejmować podmioty krajowego systemu cyberbezpieczeństwa w celu zapewnienia cyberbezpieczeństwa na poziomie krajowym i przeciwdziałania zagrożeniom w tym zakresie. Art. 64 | Przy Radzie Ministrów działa Kolegium, jako organ opiniodawczo-doradczy w sprawach cyberbezpieczeństwa oraz działalności w tym zakresie CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowych zespołów cyberbezpieczeństwa i organów właściwych do spraw cyberbezpieczeństwa. Art. 65 ust. 1 | Do zadań Kolegium należy wyrażanie opinii w sprawach: -Art. 65 ust. 1 pkt 1 | kierunków i planów na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa; +Art. 65 ust. 1 pkt 1 | kierunków i planów na rzecz przeciwdziałania cyberzagrożeniom; Art. 65 ust. 1 pkt 7 | 1a) planowanych do ustalenia przez Prezesa Urzędu Komunikacji Elektronicznej w projekcie rozstrzygnięcia decyzji w sprawie rezerwacji częstotliwości, o którym mowa w art. 110 ust. 2 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej, jeżeli rezerwacja będzie obejmować co najmniej 30 % obszaru kraju i jest dokonywana bez przeprowadzenia postępowania selekcyjnego, o którym mowa w art. 104 ust. 3 tej ustawy, lub po przeprowadzeniu przetargu lub aukcji, o których mowa w art. 104 ust. 3 pkt 2 tej ustawy; -Art. 65 ust. 1 pkt 2 | wykonywania przez CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV, sektorowe zespoły cyberbezpieczeństwa i organy właściwe do spraw cyberbezpieczeństwa powierzonych im zadań zgodnie z kierunkami i planami na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa; -Art. 65 ust. 1 pkt 3 | współdziałania organów prowadzących lub nadzorujących CSIRT MON, CSIRT GOV i CSIRT NASK; -Art. 65 ust. 1 pkt 4 | współdziałania podmiotów CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego oraz ministra – członka Rady Ministrów właściwego do spraw koordynowania działalności służb specjalnych, sektorowych zespołów cyberbezpieczeństwa i organów właściwych do spraw cyberbezpieczeństwa; +Art. 65 ust. 1 pkt 2 | wykonywania przez CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV, CSIRT sektorowe i organy właściwe do spraw cyberbezpieczeństwa powierzonych im zadań zgodnie z kierunkami i planami na rzecz przeciwdziałania cyberzagrożeniom; +Art. 65 ust. 1 pkt 3 | współdziałania organów prowadzących lub nadzorujących CSIRT MON, CSIRT GOV CSIRT NASK i CSIRT sektorowych; +Art. 65 ust. 1 pkt 4 | współdziałania podmiotów CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego oraz ministra – członka Rady Ministrów właściwego do spraw koordynowania działalności służb specjalnych, CSIRT sektorowych i organów właściwych do spraw cyberbezpieczeństwa; Art. 65 ust. 1 pkt 5 | organizacji wymiany informacji istotnych dla cyberbezpieczeństwa i międzynarodowej pozycji Rzeczypospolitej Polskiej między organami administracji rządowej; Art. 65 ust. 1 pkt 6 | wniosków CSIRT MON, CSIRT NASK lub CSIRT GOV w sprawie rekomendacji dotyczących stosowania urządzeń informatycznych lub oprogramowania; Art. 65 ust. 1 pkt 7 | wniosków o przyznanie świadczenia teleinformatycznego, o którym mowa w art. 5 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa (Dz. U. z 2024 r. poz. 1662 oraz z 2025 r. poz. 1017) w zakresie maksymalnej kwoty prognozowanych kosztów, związanych z przyznaniem świadczenia teleinformatycznego; -Art. 65 ust. 1 pkt 8 | współdziałania zespołów CSIRT MON, CSIRT GOV i CSIRT NASK oraz Komisji Nadzoru Finansowego w zakresie działalności operatorów usług kluczowych działających w sektorze bankowym i infrastruktury rynków finansowych. +Art. 65 ust. 1 pkt 8 | współdziałania zespołów CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowego w sektorze bankowości i infrastruktury rynków finansowych oraz właściwego organu w rozumieniu rozporządzenia 2022/2554, w zakresie działalności podmiotów finansowych będących podmiotami kluczowymi lub podmiotami ważnymi; +Art. 65 ust. 1 pkt 9 | decyzji w sprawie uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Art. 65 ust. 1a | Opinia w sprawie projektu rozstrzygnięcia decyzji, o której mowa w ust. 1 pkt 1a, wydawana jest przez Kolegium w terminie 14 dni od dnia otrzymania projektu przekazanego do zaopiniowania przez Prezesa Urzędu Komunikacji Elektronicznej. Art. 65 ust. 1a pkt 7 | Poz. 20 -Art. 65 ust. 2 | Do zadań Kolegium należy opracowywanie rekomendacji dla Rady Ministrów dotyczących działań w zakresie zapewnienia cyberbezpieczeństwa na poziomie krajowym, o których mowa w art. 67. +Art. 65 ust. 2 | Do zadań Kolegium należy opracowywanie rekomendacji dla Prezesa Rady Ministrów dotyczących działań w zakresie zapewnienia cyberbezpieczeństwa na poziomie krajowym, o których mowa w art. 67. +Art. 65a ust. 1 | Przewodniczący Kolegium, działając z urzędu lub na wniosek innego członka Kolegium, może zlecić CSIRT MON, CSIRT NASK lub CSIRT GOV przeprowadzenie analizy dotyczącej wpływu konkretnych produktów ICT, usług ICT lub procesów ICT na bezpieczeństwo usług świadczonych przez podmioty określone w art. 67b ust. 1, uwzględniającej informacje przekazane przez państwa członkowskie Unii Europejskiej lub organy Unii Europejskiej i Organizacji Traktatu Północnoatlantyckiego oraz przekazane przez sektor prywatny. +Art. 65a ust. 2 | Przewodniczący Kolegium, działając z urzędu lub na wniosek członka Kolegium, może zlecić CSIRT MON, CSIRT NASK lub CSIRT GOV, przeprowadzenie analizy dotyczącej trybu i zakresu, w jakim dostawca sprzętu lub oprogramowania, o którym mowa w art. 67b ust. 1, sprawuje nadzór nad procesem wytwarzania i dostarczania produktów ICT, usług ICT lub procesów ICT. +Art. 65a ust. 3 | Zadania, o których mowa w ust. 1 i 2, są wykonywane w ramach ustawowych zadań odpowiednio CSIRT MON, CSIRT NASK lub CSIRT GOV. Art. 66 ust. 1 | W skład Kolegium wchodzą: Art. 66 ust. 1 pkt 1 | przewodniczący Kolegium – Prezes Rady Ministrów; Art. 66 ust. 1 pkt 2 | Pełnomocnik; @@ -644,9 +1187,10 @@ Art. 66 ust. 1 pkt 4 lit. d | minister właściwy do spraw zagranicznych, Art. 66 ust. 1 pkt 4 lit. e | Szef Kancelarii Prezesa Rady Ministrów, Art. 66 ust. 1 pkt 4 lit. f | Szef Biura Bezpieczeństwa Narodowego, jeżeli został wyznaczony przez Prezydenta Rzeczypospolitej Polskiej, -Art. 66 ust. 1 pkt 4 lit. g | minister – członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych lub osoba przez niego upoważniona w randze sekretarza stanu albo podsekretarza stanu, a jeżeli minister – członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych nie został wyznaczony – Szef Agencji Bezpieczeństwa Wewnętrznego. +Art. 66 ust. 1 pkt 4 lit. g | minister – członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych lub osoba przez niego upoważniona w randze sekretarza stanu albo podsekretarza stanu, a jeżeli minister – członek Rady Ministrów właściwy do spraw koordynowania działalności służb specjalnych nie został wyznaczony – Szef Agencji Bezpieczeństwa Wewnętrznego, +Art. 66 ust. 1 pkt 4 lit. h | organy właściwe do spraw cyberbezpieczeństwa. Art. 66 ust. 2 | Prezes Rady Ministrów może upoważnić Pełnomocnika do pełnienia funkcji przewodniczącego Kolegium. -Art. 66 ust. 3 | Członkowie Kolegium, o których mowa w ust. 1 pkt 4 lit. a–e, mogą być zastępowani przez upoważnionych przedstawicieli w randze sekretarza stanu lub podsekretarza stanu. +Art. 66 ust. 3 | Członkowie Kolegium, o których mowa w ust. 1 pkt 4 lit. a–e oraz lit. h, mogą być zastępowani przez upoważnionych przedstawicieli w randze sekretarza stanu, podsekretarza stanu, wiceprezesa urzędu lub zastępcy przewodniczącego. Art. 66 ust. 4 | W posiedzeniach Kolegium uczestniczą również: Art. 66 ust. 4 pkt 1 | Dyrektor Rządowego Centrum Bezpieczeństwa; Art. 66 ust. 4 pkt 2 | Szef Agencji Bezpieczeństwa Wewnętrznego albo jego zastępca; @@ -670,35 +1214,65 @@ Art. 67 ust. 2 | Prezes Rady Ministrów wydaje wiążące wytyczne dla CSIRT MON, CSIRT GOV i CSIRT NASK w zakresie obsługi incydentów krytycznych, w tym wskazuje CSIRT odpowiedzialny za obsługę incydentu krytycznego. Rozdział 13 | Strategia Art. 68 | Rada Ministrów przyjmuje Strategię, w drodze uchwały. -Art. 69 ust. 1 | Strategia określa cele strategiczne oraz odpowiednie środki polityczne i regulacyjne, mające na celu osiągnięcie i utrzymanie wysokiego poziomu cyberbezpieczeństwa. Strategia obejmuje sektory, o których mowa w załączniku nr 1 do ustawy, usługi cyfrowe oraz podmioty publiczne, o których mowa w art. 4 pkt 7–15. -Art. 69 ust. 2 | Strategia uwzględnia w szczególności: -Art. 69 ust. 2 pkt 1 | cele i priorytety w zakresie cyberbezpieczeństwa; -Art. 69 ust. 2 pkt 2 | podmioty zaangażowane we wdrażanie i realizację Strategii; -Art. 69 ust. 2 pkt 3 | środki służące realizacji celów Strategii; -Art. 69 ust. 2 pkt 4 | określenie środków w zakresie gotowości, reagowania i przywracania stanu normalnego, w tym zasady współpracy między sektorem publicznym i prywatnym; -Art. 69 ust. 2 pkt 5 | podejście do oceny ryzyka; -Art. 69 ust. 2 pkt 6 | działania odnoszące się do programów edukacyjnych, informacyjnych i szkoleniowych dotyczących cyberbezpieczeństwa; -Art. 69 ust. 2 pkt 7 | działania odnoszące się do planów badawczo-rozwojowych w zakresie cyberbezpieczeństwa. -Art. 69 ust. 3 | Strategia ustalana jest na okres pięcioletni z możliwością wprowadzenia zmian w okresie jej obowiązywania. -Art. 70 ust. 1 | Projekt Strategii opracowuje minister właściwy do spraw informatyzacji we współpracy z Pełnomocnikiem, innymi ministrami i właściwymi kierownikami urzędów centralnych. +Art. 69 ust. 1 | Strategia określa: +Art. 69 ust. 1 pkt 1 | cele strategiczne i cele szczegółowe oraz środki organizacyjne i regulacyjne, służące ich realizacji; +Art. 69 ust. 1 pkt 2 | mechanizm służący określeniu istotnych zasobów i szacowania ryzyka związanego z cyberbezpieczeństwem; +Art. 69 ust. 1 pkt 3 | zasady współpracy między sektorem publicznym i prywatnym; +Art. 69 ust. 1 pkt 4 | podmioty zaangażowane we wdrażanie i realizację Strategii; +Art. 69 ust. 1 pkt 5 | środki służące koordynacji i wymianie informacji pomiędzy organami właściwymi w sprawach cyberbezpieczeństwa a właściwymi organami na podstawie dyrektywy 2022/2557 na temat ryzyka, cyberzagrożeń i incydentów, a także ryzyka, zagrożeń i incydentów poza cyberprzestrzenią oraz wykonywania zadań nadzorczych; +Art. 69 ust. 1 pkt 6 | działania w zakresie zwiększenia ogólnego poziomu wiedzy obywateli o cyberbezpieczeństwie; +Art. 69 ust. 1 pkt 7 | cele i sposób realizacji interesów cyberbezpieczeństwa krajowego w wymiarze międzynarodowym. +Art. 69 ust. 2 | Przy opracowaniu strategii uwzględnia się: +Art. 69 ust. 2 pkt 1 | rozwiązania dotyczące cyberbezpieczeństwa w łańcuchu dostaw produktów ICT, usług ICT i procesów ICT wykorzystywanych przez podmioty do świadczenia usług; +Art. 69 ust. 2 pkt 2 | rozwiązania dotyczące uwzględniania w zamówieniach publicznych wymogów związanych z cyberbezpieczeństwem w odniesieniu do produktów ICT, usług ICT i procesów ICT oraz specyfikacji tych wymogów na potrzeby takich zamówień, w tym w odniesieniu do certyfikacji cyberbezpieczeństwa, szyfrowania oraz wykorzystywania produktów z zakresu cyberbezpieczeństwa opartych na otwartym oprogramowaniu; +Art. 69 ust. 2 pkt 3 | rozwiązania dotyczące zarządzania podatnościami, obejmujące promowanie i ułatwianie skoordynowanego ujawniania podatności na podstawie art. 12 ust. 1 dyrektywy 2022/2555; +Art. 69 ust. 2 pkt 4 | utrzymanie ogólnej dostępności, integralności i poufności publicznego rdzenia otwartego Internetu, w tym, w stosownych przypadkach, cyberbezpieczeństwa podmorskich kabli komunikacyjnych; +Art. 69 ust. 2 pkt 5 | promowanie rozwoju i integracji odpowiednich zaawansowanych technologii służących wdrożeniu najnowocześniejszych środków zarządzania ryzykiem w cyberbezpieczeństwie; +Art. 69 ust. 2 pkt 6 | kształcenie i szkolenia w dziedzinie cyberbezpieczeństwa, umiejętności z zakresu cyberbezpieczeństwa, rozwój i promocję kwalifikacji rynkowych w zakresie cyberbezpieczeństwa w przemyśle, podnoszenie świadomości oraz inicjatywy badawczo-rozwojowe, a także wytyczne dotyczące dobrych praktyk i kontroli w zakresie higieny cyfrowej; +Art. 69 ust. 2 pkt 7 | wspieranie instytucji akademickich i naukowych, w opracowywaniu, usprawnianiu i propagowaniu wprowadzania narzędzi z zakresu cyberbezpieczeństwa oraz bezpiecznej infrastruktury sieciowej; +Art. 69 ust. 2 pkt 8 | zapewnienie odpowiednich procedur oraz narzędzi służących wymianie informacji; +Art. 69 ust. 2 pkt 9 | rozwiązania wzmacniające podstawowy poziom cyberodporności i higieny cyfrowej małych i średnich przedsiębiorstw; +Art. 69 ust. 2 pkt 10 | rozwiązania wspierające aktywne działania w cyberprzestrzeni. +Art. 69 ust. 3 | Strategia obejmuje sektory, o których mowa w załącznikach nr 1 i 2 do ustawy. s. 66/103 +Art. 69 ust. 4 | Strategia jest realizowana w oparciu o plan działań uwzględniający w szczególności koszty realizacji i źródła finansowania działań określonych w Strategii, a także podmioty odpowiedzialne i planowany termin realizacji poszczególnych działań. Plan działań stanowi załącznik do Strategii. +Art. 69 ust. 5 | Strategia jest przyjmowana na okres pięcioletni z możliwością wprowadzania w niej zmian na podstawie wyników przeglądu i oceny, o których mowa w art. 71. +Art. 70 ust. 1 | Projekt Strategii opracowuje minister właściwy do spraw informatyzacji we współpracy z Pełnomocnikiem, innymi ministrami, właściwymi kierownikami urzędów centralnych, a także właściwym organem w rozumieniu rozporządzenia 2022/2554. Art. 70 ust. 2 | W pracach nad projektem może uczestniczyć przedstawiciel Prezydenta Rzeczypospolitej Polskiej. -Art. 71 | Minister właściwy do spraw informatyzacji we współpracy z Pełnomocnikiem, innymi ministrami i właściwymi kierownikami urzędów centralnych dokonuje przeglądu Strategii co 2 lata. +Art. 70 ust. 3 | Strategia jest ogłaszana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”. +Art. 70a ust. 1 | Podmioty, o których mowa w art. 69 ust. 1 pkt 4, przekazują na żądanie ministra właściwego do spraw informatyzacji informację o bieżącym stanie realizacji celów szczegółowych Strategii i działań określonych w planie działań. +Art. 70a ust. 2 | CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowy i organ właściwy do spraw cyberbezpieczeństwa przekazują ministrowi właściwemu do spraw informatyzacji, w terminie do dnia 30 marca, informacje o realizacji celów Strategii w poprzednim roku i działań określonych w planie działań. +Art. 71 | Minister właściwy do spraw informatyzacji we współpracy z Pełnomocnikiem, innymi ministrami i właściwymi kierownikami urzędów centralnych dokonuje przeglądu Strategii i oceny jej skuteczności, nierzadziej niż co 2,5 roku. Art. 72 | Minister właściwy do spraw informatyzacji przekazuje Komisji Europejskiej Strategię w terminie 3 miesięcy od dnia jej przyjęcia przez Radę Ministrów. Rozdział 14 | Przepisy o karach pieniężnych -Art. 73 ust. 1 | Karze pieniężnej podlega operator usługi kluczowej, który: -Art. 73 ust. 1 pkt 1 | nie przeprowadza systematycznego szacowania ryzyka lub nie zarządza ryzykiem wystąpienia incydentu, o których mowa w art. 8 pkt 1; -Art. 73 ust. 1 pkt 2 | nie wdrożył środków technicznych i organizacyjnych uwzględniających wymagania, o których mowa w art. 8 pkt 2 lit. a–e; -Art. 73 ust. 1 pkt 3 | nie stosuje środków, o których mowa w art. 8 pkt 5 lit. a–d; -Art. 73 ust. 1 pkt 4 | nie wyznaczył osoby, o której mowa w art. 9 ust. 1 pkt 1; -Art. 73 ust. 1 pkt 5 | nie wykonuje obowiązków, o których mowa w art. 10 ust. 1; -Art. 73 ust. 1 pkt 6 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 1; -Art. 73 ust. 1 pkt 7 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 4; -Art. 73 ust. 1 pkt 8 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 5; -Art. 73 ust. 1 pkt 9 | nie usuwa podatności, o których mowa w art. 32 ust. 2; Poz. 20 -Art. 73 ust. 1 pkt 10 | nie wykonuje obowiązku, o którym mowa w art. 14 ust. 1; -Art. 73 ust. 1 pkt 11 | nie przeprowadza audytu; -Art. 73 ust. 1 pkt 12 | uniemożliwia lub utrudnia wykonywanie kontroli, o której mowa w art. 53 ust. 2 pkt 1; -Art. 73 ust. 1 pkt 13 | nie wykonał w wyznaczonym terminie zaleceń pokontrolnych, o których mowa w art. 59 ust. 1. +Art. 73 ust. 1 | Karze pieniężnej podlega podmiot kluczowy lub podmiot ważny, który: +Art. 73 ust. 1 pkt 1 | nie uzupełnił w terminie brakujących danych w wykazie albo nie dokonał korekty danych pomimo wezwania, o którym mowa w art. 7b ust. 2 albo art. 7j ust. 3, albo art. 7k ust. 2, art. 7l ust. 3 pkt 2 albo art. 7m ust. 3; +Art. 73 ust. 1 pkt 2 | nie przeprowadza systematycznego szacowania ryzyka wystąpienia incydentu lub nie zarządza tym ryzykiem, o którym mowa w art. 8 ust. 1 pkt 1; +Art. 73 ust. 1 pkt 3 | nie wdrożył systemu zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi albo system ten nie zapewnia funkcjonalności lub nie spełnia wymogów, o których mowa w art. 8 ust. 1 albo 3; +Art. 73 ust. 1 pkt 4 | nie wykonuje obowiązków, o których mowa w art. 10 ust. 1; +Art. 73 ust. 1 pkt 5 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 1; +Art. 73 ust. 1 pkt 6 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 4; +Art. 73 ust. 1 pkt 7 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 4a; +Art. 73 ust. 1 pkt 8 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 4b; +Art. 73 ust. 1 pkt 9 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 4c; +Art. 73 ust. 1 pkt 10 | nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 5; +Art. 73 ust. 1 pkt 11 | nie przeprowadza audytu w terminie, o którym mowa w art. 15 ust. 1 lub art. 16 pkt 2; +Art. 73 ust. 1 pkt 12 | nie usuwa podatności, o których mowa w art. 32 ust. 2; +Art. 73 ust. 1 pkt 13 | nie korzysta z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, w celu realizacji obowiązków, o których mowa w art. 11, gdy korzystanie z tego systemu przy realizacji tych obowiązków jest wymagane; +Art. 73 ust. 1 pkt 14 | uniemożliwia lub utrudnia wykonywanie kontroli, o których mowa w art. 53 ust. 2 pkt 1; +Art. 73 ust. 1 pkt 15 | nie realizuje obowiązku, o którym mowa w art. 53c; +Art. 73 ust. 1 pkt 16 | uniemożliwia lub utrudnia urzędnikowi monitorującemu, o którym mowa w art. 53 ust. 5 pkt 6, wykonywanie powierzonych mu zadań lub realizację uprawnień, o których mowa w art. 53d ust. 1; +Art. 73 ust. 1 pkt 17 | nie wykonał w wyznaczonym terminie zaleceń pokontrolnych, o których mowa w art. 59 ust. 1; +Art. 73 ust. 1 pkt 18 | nie wykonuje obowiązków, o których mowa w art. 67c ust. 1, 2, 4 i 5; +Art. 73 ust. 1 pkt 19 | nie przekazuje informacji, o których mowa w art. 67d ust. 1; s. 68/103 +Art. 73 ust. 1 pkt 20 | nie wdrożył w terminie określonym w poleceniu zabezpieczającym, o którym mowa w art. 67g ust. 9 pkt 3, określonego zachowania, o którym mowa w art. 67g ust. 10; +Art. 73 ust. 1 pkt 21 | odstąpił od wykonywania zawartego w poleceniu zabezpieczającym, o którym mowa w art. 67g ust. 9, określonego zachowania, o którym mowa w art. 67g ust. 10, przed wygaśnięciem polecenia zabezpieczającego; +Art. 73 ust. 1 pkt 22 | nie przekazuje informacji, o których mowa w art. 67h. +Art. 73 ust. 1a | Organ właściwy do spraw cyberbezpieczeństwa, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów, może nałożyć karę pieniężną na podmiot, który: +Art. 73 ust. 1a pkt 1 | w terminie, o którym mowa w art. 7c ust. 1, nie złożył wniosku o wpis do wykazu; +Art. 73 ust. 1a pkt 2 | nie wykonuje obowiązków, o których mowa w art. 9. +Art. 73 ust. 1b | Karze pieniężnej podlega także podmiot kluczowy lub podmiot ważny, którego działanie lub zaniechanie, o którym mowa w ust. 1 pkt 2, 4–12, 14–16, 18, 19 i 22 oraz ust. 1a pkt 2, miało charakter jednorazowy. +Art. 73 ust. 1c | Podmiot ważny będący podmiotem publicznym podlega karze pieniężnej, jeżeli nie wykonuje obowiązku, o którym mowa w art. 8 ust. 3. +Art. 73 ust. 1d | Przepisu ust. 1 pkt 13 nie stosuje się do Ministra Obrony Narodowej, urzędu go obsługującego oraz podmiotów podległych Ministrowi Obrony Narodowej i przez niego nadzorowanych. Art. 73 ust. 2 | Karze pieniężnej podlega dostawca usługi cyfrowej, który: Art. 73 ust. 2 pkt 1 | nie wykonuje obowiązku, o którym mowa w art. 18 ust. 1 pkt 4; Art. 73 ust. 2 pkt 2 | nie wykonuje obowiązku, o którym mowa w art. 18 ust. 1 pkt 5; @@ -724,12 +1298,69 @@ Art. 73 ust. 5 | Jeżeli w wyniku kontroli organ właściwy do spraw cyberbezpieczeństwa stwierdzi, że operator usługi kluczowej albo dostawca usługi cyfrowej uporczywie narusza przepisy ustawy, powodując: Art. 73 ust. 5 pkt 1 | bezpośrednie i poważne zagrożenie cyberbezpieczeństwa dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi, Art. 73 ust. 5 pkt 2 | zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług kluczowych – organ właściwy do spraw cyberbezpieczeństwa nakłada karę w wysokości do 1 000 000 zł. -Art. 74 ust. 1 | Karę pieniężną, o której mowa w art. 73, nakłada, w drodze decyzji, organ właściwy do spraw cyberbezpieczeństwa. Poz. 20 -Art. 74 ust. 2 | Wpływy z tytułu kar pieniężnych, o których mowa w art. 73, stanowią przychód Funduszu Cyberbezpieczeństwa, o którym mowa w art. 2 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa, w zakresie maksymalnej kwoty prognozowanych kosztów związanych z przyznaniem świadczenia teleinformatycznego, o którym mowa w art. 5 tej ustawy. -Art. 75 | Organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę pieniężną na kierownika operatora usługi kluczowej w przypadku, gdy nie dochował należytej staranności celem spełnienia obowiązków, o których mowa w art. 8 pkt 1, art. 9 ust. 1 pkt 1 oraz art. 15 ust. 1, z tym że kara ta może być wymierzona w kwocie nie większej niż 200 % jego miesięcznego wynagrodzenia. -Art. 76 | Kara, o której mowa w art. 73, może zostać nałożona również w przypadku, gdy podmiot zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę, jeżeli organ właściwy do spraw cyberbezpieczeństwa uzna, że przemawiają za tym czas trwania, zakres lub skutki naruszenia. +Art. 73a ust. 1 | Karze pieniężnej może podlegać kierownik podmiotu kluczowego lub podmiotu ważnego, który: +Art. 73a ust. 1 pkt 1 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 7b ust. 4, art. 7c ust. 1, 3 lub art. 7f ust. 3, +Art. 73a ust. 1 pkt 2 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 8, +Art. 73a ust. 1 pkt 3 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 8d, +Art. 73a ust. 1 pkt 4 | nie wykonuje obowiązku, o którym mowa w art. 8e, +Art. 73a ust. 1 pkt 5 | nie wykonał obowiązku, o którym mowa w art. 8f ust. 1 lub 2, s. 69/103 +Art. 73a ust. 1 pkt 6 | nie wyznaczył co najmniej dwóch osób do kontaktu z podmiotami kluczowymi lub podmiotami ważnymi, albo w przypadku kierowania mikro- lub małym przedsiębiorcą, o którym mowa w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE, co najmniej jednej osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa, +Art. 73a ust. 1 pkt 7 | nie zapewnił użytkownikowi możliwości zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą, +Art. 73a ust. 1 pkt 8 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 10 ust. 1 i 6–8, +Art. 73a ust. 1 pkt 9 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 11, +Art. 73a ust. 1 pkt 10 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 12 ust. 5–8, +Art. 73a ust. 1 pkt 11 | przekazał sprawozdanie końcowe, o którym mowa w art. 11 ust. 1 pkt 4c, niezawierające elementów określonych w art. 12a, +Art. 73a ust. 1 pkt 12 | nie wykonuje obowiązku, o którym mowa w art. 12b, +Art. 73a ust. 1 pkt 13 | nie wykonuje obowiązku, o którym mowa w art. 14, +Art. 73a ust. 1 pkt 14 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 15 – jeżeli przemawia za tym czas, zakres lub charakter naruszenia. +Art. 73a ust. 2 | Karze pieniężnej może podlegać także kierownik podmiotu kluczowego lub podmiotu ważnego, którego zaniechanie w realizacji obowiązków, o których mowa w ust. 1, miało charakter jednorazowy. +Art. 73a ust. 3 | Niezależnie od kary pieniężnej, o której mowa w art. 73 ust. 1, karę pieniężną można nałożyć również na kierownika podmiotu kluczowego lub podmiotu ważnego za niewykonanie obowiązków wskazanych w tym przepisie. +Art. 73a ust. 4 | Kara pieniężna, o której mowa w ust. 1–3, może być wymierzona w kwocie nie większej niż 300 % otrzymywanego przez ukaranego wynagrodzenia obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop. +Art. 73a ust. 5 | Kara pieniężna, o której mowa w ust. 1–3, może być wymierzona kierownikowi podmiotu kluczowego lub podmiotu ważnego będącym podmiotem publicznym w kwocie nie większej niż 100 % otrzymywanego przez ukaranego wynagrodzenia obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop. W przypadku gdy podmiot kluczowy lub podmiot ważny będące podmiotem publicznym są zobowiązane do stosowania ustawy również na podstawie innego sektora wskazanego w załączniku nr 1 lub 2 do ustawy, do kar pieniężnych wymierzanych kierownikom tych podmiotów stosuje się przepis ust. 4. +Art. 73b ust. 1 | Karze pieniężnej podlega: +Art. 73b ust. 1 pkt 1 | podmiot świadczący usługi rejestracji nazw domen, który nie wykonuje obowiązków, o których mowa w art. 16b i art. 16c; +Art. 73b ust. 1 pkt 2 | rejestr nazw domen najwyższego poziomu (TLD), który nie wykonuje obowiązków, o których mowa w art. 16b i art. 16c; +Art. 73b ust. 1 pkt 3 | producent lub dostawca, który nie przekazał dokumentacji badanego produktu ICT lub usługi ICT na wezwanie CSIRT MON, CSIRT NASK lub CSIRT GOV; +Art. 73b ust. 1 pkt 4 | podmiot, który nie przekazał informacji, o których mowa w art. 43 ust. 1; +Art. 73b ust. 1 pkt 5 | dostawca usług DNS, rejestr nazw domen najwyższego poziomu (TLD), podmiot świadczący usługi rejestracji nazw domen, dostawca chmury obliczeniowej, dostawca usług centrum przetwarzania danych, dostawca sieci dostarczania treści, dostawca usług zarządzanych, dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, dostawca internetowej platformy handlowej, dostawca wyszukiwarki internetowej oraz dostawca platformy usług sieci społecznościowych świadczący usługi na terytorium Rzeczypospolitej Polskiej, który nie wyznaczył przedstawiciela zgodnie z art. 5a ust. 7. +Art. 73b ust. 2 | Do wysokości kary pieniężnej, o której mowa w ust. 1 pkt 1 i 5, jeżeli dostawca usług DNS, rejestr nazw domen najwyższego poziomu (TLD), podmiot świadczący usługi rejestracji nazw domen, dostawca chmury obliczeniowej, dostawca usług centrum przetwarzania danych, dostawca sieci dostarczania treści, dostawca usług zarządzanych, dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, dostawca internetowej platformy handlowej, dostawca wyszukiwarki internetowej oraz dostawca platformy usług sieci społecznościowych jest: +Art. 73b ust. 2 pkt 1 | podmiotem kluczowym – stosuje się przepis art. 73 ust. 3; +Art. 73b ust. 2 pkt 2 | podmiotem ważnym – stosuje się przepis art. 73 ust. 4. +Art. 73b ust. 3 | Do wysokości kary pieniężnej, o której mowa w ust. 1 pkt 2, stosuje się przepis art. 73 ust. 3. +Art. 73b ust. 4 | Kara pieniężna, o której mowa w ust. 1 pkt 3 i 4, wynosi 50 000 zł. s. 70/103 +Art. 73c ust. 1 | Podmiot finansowy, który nie jest podmiotem kluczowym lub podmiotem ważnym oraz nie jest podmiotem określonym w art. 16 ust. 1 rozporządzenia 2022/2554, podlega karze pieniężnej, jeżeli: +Art. 73c ust. 1 pkt 1 | nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 67c ust. 1, 2, 4 i 5; +Art. 73c ust. 1 pkt 2 | nie wdrożył w terminie określonym w poleceniu zabezpieczającym, o którym mowa w art. 67g ust. 9 pkt 3, określonego zachowania, o którym mowa w art. 67g ust. 10; +Art. 73c ust. 1 pkt 3 | odstąpił od wykonywania zawartego w poleceniu zabezpieczającym, o którym mowa w art. 67g ust. 9, określonego zachowania, o którym mowa w art. 67g ust. 10, przed wygaśnięciem polecenia zabezpieczającego. +Art. 73c ust. 2 | Do wysokości kary pieniężnej, o której mowa w ust. 1, stosuje się przepis art. 73 ust. 3. +Art. 74 ust. 1 | Karę pieniężną, o której mowa w art. 73, art. 73a i art. 73b ust. 1 pkt 4 i 5, nakłada, w drodze decyzji, organ właściwy do spraw cyberbezpieczeństwa. +Art. 74 ust. 2 | Karę pieniężną, o której mowa w art. 73b ust. 1 pkt 1–3, nakłada, w drodze decyzji, minister właściwy do spraw informatyzacji. +Art. 74 ust. 3 | Karę pieniężną, o której mowa w art. 73c ust. 1, nakłada, w drodze decyzji, właściwy organ w rozumieniu rozporządzenia 2022/2554. +Art. 74 ust. 4 | Organ właściwy do spraw cyberbezpieczeństwa lub właściwy organ w rozumieniu rozporządzenia 2022/2554 może decyzji, o której mowa w ust. 1 lub 3, nadać rygor natychmiastowej wykonalności w całości albo w części, jeżeli wymaga tego ochrona bezpieczeństwa lub porządku publicznego. +Art. 74 ust. 5 | Wpływy z tytułu kar pieniężnych, o których mowa w art. 73–73c, stanowią przychód Funduszu Cyberbezpieczeństwa, o którym mowa w art. 2 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa. +Art. 74 ust. 6 | Minister właściwy do spraw informatyzacji przekazuje Komisji Wspólnej Rządu i Samorządu Terytorialnego, do końca pierwszego kwartału danego roku, informację za rok poprzedni o wysokości wpływów z tytułu kar pieniężnych, nałożonych na samorządowe podmioty publiczne, stanowiących przychód Funduszu Cyberbezpieczeństwa, o którym mowa w art. 2 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa. +Art. 75 | (uchylony) +Art. 76 | (uchylony) +Art. 76a ust. 1 | Organ właściwy do spraw cyberbezpieczeństwa, podejmując decyzję o nałożeniu kary pieniężnej i ustalając jej wysokość, uwzględnia odpowiednio kryteria określone w art. 53 ust. 12 oraz wysokość przychodu uzyskanego z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary pieniężnej, możliwości finansowe podmiotu kluczowego lub podmiotu ważnego będącego podmiotem publicznym albo możliwości finansowe kierownika podmiotu kluczowego lub podmiotu ważnego. Przepisu art. 189a § 2 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego nie stosuje się. +Art. 76a ust. 2 | W przypadku gdy podmiot kluczowy lub podmiot ważny powstał w wyniku połączenia lub przekształcenia innych podmiotów, obliczając wysokość jego przychodu organ właściwy do spraw cyberbezpieczeństwa uwzględnia przychód osiągnięty przez te podmioty w roku obrotowym poprzedzającym rok nałożenia kary pieniężnej. Przepisy art. 73 ust. 3–4 stosuje się odpowiednio. +Art. 76a ust. 3 | W związku z toczącym się postępowaniem w sprawie nałożenia kary pieniężnej, podmiot, wobec którego wszczęto to postępowanie lub podmiot zatrudniający kierownika podmiotu kluczowego lub podmiotu ważnego jest obowiązany do dostarczenia organowi uprawnionemu do nałożenia kary pieniężnej na każde jego żądanie, w terminie wskazanym w wezwaniu, nie dłuższym niż 1 miesiąc od dnia otrzymania żądania, danych niezbędnych do określenia podstawy wymiaru kary pieniężnej. +Art. 76a ust. 4 | W przypadku niedostarczenia danych lub dostarczenia danych uniemożliwiających ustalenie podstawy wymiaru kary pieniężnej, organ właściwy do spraw cyberbezpieczeństwa ustala podstawę wymiaru kary pieniężnej w sposób szacunkowy, uwzględniając w szczególności wielkość danego podmiotu kluczowego lub podmiotu ważnego, specyfikę działalności tego podmiotu lub ogólnodostępne dane finansowe. +Art. 76a ust. 5 | Karę pieniężną uiszcza się w terminie 14 dni od dnia, w którym decyzja o jej wymierzeniu stała się ostateczna, lub od dnia doręczenia decyzji z rygorem natychmiastowej wykonalności, na rachunek bankowy organu właściwego do spraw cyberbezpieczeństwa, wskazany w decyzji o wymierzeniu kary pieniężnej. s. 71/103 +Art. 76a ust. 6 | Kary pieniężne nieuiszczone w terminie wraz z odsetkami podlegają ściągnięciu przez organ właściwy do spraw cyberbezpieczeństwa, który wymierzył karę pieniężną, w trybie określonym w przepisach o postępowaniu egzekucyjnym w administracji. +Art. 76a ust. 7 | Organ właściwy do spraw cyberbezpieczeństwa przekazuje na rachunek Funduszu Cyberbezpieczeństwa środki pochodzące z kar pieniężnych w terminie 14 dni od dnia ich uiszczenia albo pobrania. W tym samym terminie przekazuje ministrowi właściwemu do spraw informatyzacji kopię decyzji o wymierzeniu kary pieniężnej lub innego dokumentu stanowiącego podstawę naliczenia, pobrania i przekazania na rachunek Funduszu Cyberbezpieczeństwa kary pieniężnej lub odsetek od nieterminowej wpłaty. +Art. 76a ust. 8 | Organ właściwy do spraw cyberbezpieczeństwa w terminie 14 dni od dnia wystąpienia zdarzenia mogącego skutkować zmianą lub uchyleniem decyzji lub innego dokumentu stanowiącego podstawę do naliczenia, pobrania i przekazania na rachunek Funduszu Cyberbezpieczeństwa środków pochodzących z kar pieniężnych, informuje ministra właściwego do spraw informatyzacji o tym zdarzeniu, a w szczególności o wniesieniu skargi do sądu administracyjnego, skargi kasacyjnej, wydaniu prawomocnego wyroku, wszczęciu lub zakończeniu postępowania administracyjnego w zakresie wznowienia postępowania, uchylenia, zmiany lub stwierdzenia nieważności decyzji. +Art. 76a ust. 9 | Organ właściwy do spraw cyberbezpieczeństwa może odstąpić od nałożenia kary pieniężnej, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot albo kierownik podmiotu kluczowego lub podmiotu ważnego zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę. +Art. 76a ust. 10 | Do postępowania w sprawie nałożenia kar pieniężnych, o których mowa w art. 73b ust. 1 i art. 73c ust. 1, stosuje się odpowiednio przepisy ust. 1–9. +Art. 76b ust. 1 | Niezależnie od kary pieniężnej nałożonej na podstawie art. 73 ust. 1, organ właściwy do spraw cyberbezpieczeństwa, w celu przymuszenia podmiotu kluczowego albo podmiotu ważnego do wykonania nałożonych na niego obowiązków, może nałożyć na ten podmiot, w drodze decyzji, okresową karę pieniężną w wysokości od 500 zł do 100 000 złotych za każdy dzień opóźnienia, w wykonaniu decyzji wydanych na podstawie art. 53 ust. 5 pkt 2–8. +Art. 76b ust. 2 | Okresową karę pieniężną nakłada się, licząc od daty wskazanej w decyzji o nałożeniu tej kary. +Art. 76b ust. 3 | Do okresowej kary pieniężnej stosuje się przepisy art. 74 ust. 4 i 5. +Art. 76c ust. 1 | Jeżeli za czyn zagrożony karą określoną w art. 73 lub art. 73a została nałożona prawomocnie kara pieniężna przez Prezesa Urzędu Ochrony Danych Osobowych w związku z naruszeniem ochrony danych osobowych, organ właściwy do spraw cyberbezpieczeństwa nie wszczyna postępowania w sprawie nałożenia kary i poprzestaje na pouczeniu. Jeżeli zostało wszczęte postępowanie w sprawie nałożenia kary pieniężnej, stosuje się odpowiednio przepis art. 189f ust. 1 pkt 2 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego. +Art. 76c ust. 2 | W przypadku, o którym mowa w ust. 1, organ właściwy do spraw cyberbezpieczeństwa może stosować środki nadzoru określone w art. 53 ust. 4, 5 i 9. +Art. 76d ust. 1 | W przypadku, o którym mowa w art. 73 ust. 1 pkt 3, kara pieniężna może być nakładana w sposób określony w art. 14 § 1b ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego. +Art. 76d ust. 2 | Do postępowania w sprawie nałożenia kary pieniężnej stosuje się przepisy działu II rozdziału 14 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego, z wyjątkiem przepisów o milczącym załatwieniu sprawy. +Art. 76e | W zakresie nieuregulowanym w niniejszym rozdziale stosuje się odpowiednio przepisy działu IVa ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego. Rozdział 15 | Zmiany w przepisach, przepisy przejściowe, dostosowujące i końcowe Art. 77–82. (pominięte) -Art. 83 | Zagrożenia cyberbezpieczeństwa, mogące doprowadzić do sytuacji kryzysowej, po raz pierwszy zostaną ujęte w Raporcie o zagrożeniach bezpieczeństwa narodowego, który zostanie sporządzony z udziałem Pełnomocnika, po wejściu w życie ustawy. +Art. 83 | Cyberzagrożenia, mogące doprowadzić do sytuacji kryzysowej, po raz pierwszy zostaną ujęte w Raporcie o zagrożeniach bezpieczeństwa narodowego, który zostanie sporządzony z udziałem Pełnomocnika, po wejściu w życie ustawy. Art. 84 | Prezes Rady Ministrów powoła Pełnomocnika w terminie 3 miesięcy od dnia wejścia w życie ustawy. Art. 85 | Minister właściwy do spraw informatyzacji przekaże Komisji Europejskiej informacje o: Art. 85 pkt 1 | wyznaczonych organach właściwych do spraw cyberbezpieczeństwa, Pojedynczym Punkcie Kontaktowym oraz o ich zadaniach; @@ -833,17 +1464,7 @@ Art. 93 ust. 7 pkt 8 | w 2025 r. – 705 tys. zł; Art. 93 ust. 7 pkt 9 | w 2026 r. – 705 tys. zł; Art. 93 ust. 7 pkt 10 | w 2027 r. – 8705 tys. zł. -Art. 93 ust. 8 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 70 – Komisja Nadzoru Finansowego, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi: -Art. 93 ust. 8 pkt 1 | w 2018 r. – 0 zł; -Art. 93 ust. 8 pkt 2 | w 2019 r. – 758 tys. zł; -Art. 93 ust. 8 pkt 3 | w 2020 r. – 789 tys. zł; -Art. 93 ust. 8 pkt 4 | w 2021 r. – 789 tys. zł; -Art. 93 ust. 8 pkt 5 | w 2022 r. – 789 tys. zł; -Art. 93 ust. 8 pkt 6 | w 2023 r. – 789 tys. zł; -Art. 93 ust. 8 pkt 7 | w 2024 r. – 789 tys. zł; -Art. 93 ust. 8 pkt 8 | w 2025 r. – 789 tys. zł; -Art. 93 ust. 8 pkt 9 | w 2026 r. – 789 tys. zł; -Art. 93 ust. 8 pkt 10 | w 2027 r. – 789 tys. zł. +Art. 93 ust. 8 | (uchylony) Art. 93 ust. 9 | Maksymalny limit wydatków z budżetu państwa dla części budżetowej 76 – Urząd Komunikacji Elektronicznej, będący skutkiem finansowym wejścia w życie niniejszej ustawy, wynosi: Art. 93 ust. 9 pkt 1 | w 2018 r. – 0 zł; Art. 93 ust. 9 pkt 2 | w 2019 r. – 203 tys. zł; @@ -866,9 +1487,10 @@ Art. 93 ust. 10 pkt 8 | w 2025 r. – 0 zł; Art. 93 ust. 10 pkt 9 | w 2026 r. – 0 zł; Art. 93 ust. 10 pkt 10 | w 2027 r. – 0 zł. -Art. 93 ust. 11 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętych na dany rok budżetowy maksymalnych limitów wydatków, o których mowa w ust. 1–6 i 8, zostaną zastosowane mechanizmy korygujące polegające na: -Art. 93 ust. 11 pkt 1 | ograniczeniu wydatków związanych z realizacją zadań organu właściwego do spraw cyberbezpieczeństwa w zakresie identyfikacji operatorów usług kluczowych oraz prowadzenia bieżącej analizy podmiotów w danym sektorze pod kątem uznania ich za operatora usługi kluczowej lub niespełniania warunków kwalifikujących podmiot jako operatora usługi kluczowej; -Art. 93 ust. 11 pkt 2 | zmniejszeniu liczby kontroli u operatorów usług kluczowych i dostawców usług cyfrowych; +Art. 93 ust. 11 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętych nadany rok budżetowy maksymalnych limitów wydatków, o których mowa w ust. 1–6, zostaną zastosowane mechanizmy korygujące polegające na: +Art. 93 ust. 11 pkt 1 | ograniczeniu wydatków związanych z realizacją zadań organu właściwego do spraw cyberbezpieczeństwa w zakresie identyfikacji podmiotów kluczowych i podmiotów ważnych oraz prowadzenia bieżącej analizy podmiotów w danym sektorze pod kątem uznania ich za operatora usługi kluczowej lub niespełniania warunków kwalifikujących podmiot jako operatora usługi kluczowej; +Art. 93 ust. 11 pkt 2 | zmniejszeniu liczby kontroli u podmiotów kluczowych lub podmiotów ważnych; +Art. 93 ust. 11 pkt 2 lit. c | s. 72/103 Art. 93 ust. 11 pkt 3 | rezygnacji z organizowania albo uczestnictwa w ćwiczeniach w zakresie cyberbezpieczeństwa organizowanych w Rzeczypospolitej Polskiej lub w Unii Europejskiej; Art. 93 ust. 11 pkt 4 | ograniczeniu finansowania działalności sektorowego zespołu cyberbezpieczeństwa powołanego przez dany organ właściwy do spraw cyberbezpieczeństwa. Art. 93 ust. 12 | W przypadku zagrożenia przekroczenia lub przekroczenia przyjętego na dany rok budżetowy maksymalnego limitu wydatków, o którym mowa w ust. 7, zostanie zastosowany mechanizm korygujący polegający na ograniczeniu liczby podmiotów wdrażających system wczesnego ostrzegania o zagrożeniach występujących w sieci Internet, wskazanych w rocznym planie wdrożenia, opracowywanym przez Szefa Agencji Bezpieczeństwa Wewnętrznego.

Embed

Copy this code into a web page to show this diff there.

HTML code

<iframe src="https://sejmdiff.pl/embed/act/DU/2018/1560/diff/19..20" title="Dz.U. 2018 poz. 1560, version 19 → 20" width="100%" height="600" loading="lazy"></iframe>