--- a/DU/2018/1560 Dz.U. 2026 poz. 252 (2026-04-03)
+++ b/DU/2018/1560 Dz.U. 2026 poz. 815 (2026-07-04)
@@ -486,7 +486,7 @@
Art. 15 ust. 6 | (uchylony)
Art. 15 ust. 7 | Podmiot kluczowy lub podmiot ważny przekazuje kopię raportu z przeprowadzonego audytu na wniosek:
Art. 15 ust. 7 pkt 1 | (uchylony)
-Art. 15 ust. 7 pkt 2 | dyrektora Rządowego Centrum Bezpieczeństwa – w przypadku gdy podmiot kluczowy lub podmiot ważny jest jednocześnie właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
+Art. 15 ust. 7 pkt 2 | dyrektora Rządowego Centrum Bezpieczeństwa – w przypadku gdy podmiot kluczowy lub podmiot ważny jest jednocześnie operatorem infrastruktury krytycznej, o którym mowa w art. 3 pkt 3a ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2026 r. poz. 574 i 815);
Art. 15 ust. 7 pkt 3 | Szefa Agencji Bezpieczeństwa Wewnętrznego.
Art. 15 ust. 8 | Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, wykaz certyfikatów uprawniających do przeprowadzenia audytu, uwzględniając zakres wiedzy specjalistycznej wymaganej od osób legitymujących się poszczególnymi certyfikatami.
Art. 16 | Podmiot:
@@ -601,7 +601,7 @@
Art. 26 ust. 3 pkt 12 lit. b | incydentów,
Art. 26 ust. 3 pkt 12 lit. c | cyberzagrożeń,
Art. 26 ust. 3 pkt 12 lit. d | potencjalnych zdarzeń dla cyberbezpieczeństwa;
-Art. 26 ust. 3 pkt 13 | wspólne opracowywanie i przekazywanie ministrowi właściwemu do spraw informatyzacji części Raportu o zagrożeniach bezpieczeństwa narodowego, o którym mowa w art. 5a ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, dotyczącej cyberbezpieczeństwa;
+Art. 26 ust. 3 pkt 13 | wspólne opracowywanie i przekazywanie ministrowi właściwemu do spraw informatyzacji propozycji do ujęcia w projekcie Krajowej Oceny Ryzyka, o której mowa w art. 6e ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, dotyczących cyberbezpieczeństwa;
Art. 26 ust. 3 pkt 14 | zapewnienie zaplecza analitycznego oraz badawczo-rozwojowego, które w szczególności:
Art. 26 ust. 3 pkt 14 lit. a | prowadzi zaawansowane analizy złośliwego oprogramowania oraz analizy podatności,
Art. 26 ust. 3 pkt 14 lit. b | monitoruje wskaźniki cyberzagrożeń,
@@ -627,7 +627,7 @@
Art. 26 ust. 3a | Przy realizacji zadania, o którym mowa w ust. 3 pkt 19, CSIRT MON, CSIRT NASK i CSIRT GOV mogą wymieniać informacje, w tym dane osobowe w celu informowania o potencjalnych cyberzagrożeniach oraz zastosowanych sposobach ich zwalczania, w celu przeciwdziałania cyberzagrożeniom o charakterze transgranicznym. Informacje, w tym dane osobowe, o których mowa w zdaniu pierwszym, przekazuje się w postaci elektronicznej.
Art. 26 ust. 4 | CSIRT MON, CSIRT NASK i CSIRT GOV wspólnie opracowują główne elementy procedur postępowania w przypadku incydentu, którego koordynacja obsługi wymaga współpracy CSIRT, oraz określą we współpracy z CSIRT sektorowymi sposób współdziałania z tymi zespołami, w tym sposób koordynacji obsługi incydentu.
Art. 26 ust. 5 | Do zadań CSIRT MON należy koordynacja obsługi incydentów zgłaszanych przez:
-Art. 26 ust. 5 pkt 1 | podmioty podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane, w tym podmioty, których systemy teleinformatyczne lub sieci teleinformatyczne objęte są jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
+Art. 26 ust. 5 pkt 1 | podmioty podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane;
Art. 26 ust. 5 pkt 2 | przedsiębiorcy realizujący zadania na rzecz Sił Zbrojnych, o których mowa w art. 648 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny (Dz. U. z 2025 r. poz. 825, 1014 i 1080);
Art. 26 ust. 5 pkt 3 | Ministra Obrony Narodowej.
Art. 26 ust. 6 | Do zadań CSIRT NASK należy:
@@ -658,8 +658,8 @@
Art. 26 ust. 7 pkt 4c | Państwowe Gospodarstwo Wodne Wody Polskie;
Art. 26 ust. 7 pkt 4d | Polski Fundusz Rozwoju i inne instytucje rozwoju, o których mowa w art. 2 ust. 1 pkt 3–6 ustawy z dnia 4 lipca 2019 r. o systemie instytucji rozwoju (Dz. U. z 2026 r. poz. 9);
Art. 26 ust. 7 pkt 4e | Urząd Komisji Nadzoru Finansowego;
-Art. 26 ust. 7 pkt 5 | inne niż wymienione w pkt 1–4 oraz ust. 5 podmioty, których systemy teleinformatyczne lub sieci teleinformatyczne objęte są jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
-Art. 26 ust. 7 pkt 6 | podmioty, o których mowa w ust. 6, jeżeli incydent dotyczy systemów teleinformatycznych lub sieci teleinformatycznych objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym.
+Art. 26 ust. 7 pkt 5 | inne niż wymienione w pkt 1–4 oraz ust. 5 podmioty, których systemy teleinformatyczne lub sieci teleinformatyczne objęte są wykazem, o którym mowa w art. 6r ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym;
+Art. 26 ust. 7 pkt 6 | podmioty, o których mowa w ust. 6, jeżeli incydent dotyczy systemów teleinformatycznych lub sieci teleinformatycznych objętych wykazem, o którym mowa w art. 6r ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym.
Art. 26 ust. 8 | CSIRT MON, CSIRT NASK lub CSIRT GOV, który otrzymał zgłoszenie incydentu, a nie jest właściwy do koordynacji jego obsługi, przekazuje niezwłocznie to zgłoszenie do właściwego CSIRT wraz z otrzymanymi informacjami.
Art. 26 ust. 8a | Minister właściwy do spraw informatyzacji może udzielić CSIRT NASK dotacji celowej na zakup, utrzymanie i rozbudowę infrastruktury teleinformatycznej niezbędnej do wykonywania zadań CSIRT NASK.
Art. 26 ust. 9 | Działalność CSIRT NASK jest finansowana w formie dotacji podmiotowej z części budżetu państwa, której dysponentem jest minister właściwy do spraw informatyzacji.
@@ -1024,6 +1024,7 @@
Art. 46 ust. 1 pkt 7 | dokonywanie zgłoszenia naruszenia ochrony danych osobowych, o którym mowa w art. 33 rozporządzenia 2016/679 i art. 44 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2023 r. poz. 1206), przez podmioty kluczowe lub podmioty ważne;
Art. 46 ust. 1 pkt 8 | wymianę informacji o aktach ministra właściwego do spraw informatyzacji, Pełnomocnika, organów właściwych do spraw cyberbezpieczeństwa oraz Prezesa Rady Ministrów, o których mowa w art. 33 ust. 4, art. 42 ust. 1 pkt 5, art. 45 ust. 3, art. 67, art. 67a, art. 67b ust. 15, art. 67g ust. 1 i art. 67l ust. 1.
Art. 46 ust. 1a | W systemie teleinformatycznym prowadzi się wykaz.
+Art. 46 ust. 1b | System teleinformatyczny zapewnia wymianę informacji między organami do spraw podmiotów krytycznych, o których mowa w art. 6zk ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, dyrektorem Rządowego Centrum Bezpieczeństwa a podmiotami krytycznymi, o których mowa w art. 3 pkt 1a tej ustawy.
Art. 46 ust. 2 | CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowe, organy właściwe do spraw cyberbezpieczeństwa oraz Prezes Urzędu Ochrony Danych Osobowych korzystają z systemu teleinformatycznego w celu realizacji swoich zadań ustawowych.
Art. 46 ust. 3 | (uchylony)
Art. 46 ust. 4 | Podmioty kluczowe lub podmioty ważne, korzystają z systemu teleinformatycznego w zakresie, o którym mowa w ust. 1, w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.