sejmdiff

Dz.U. 2018 poz. 1560

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa

Pending changes

Previews are not an official text. sejmdiff computes them by applying the amending instructions to the latest consolidated text. Instructions it could not apply are listed as not applied. Check the published act before relying on any change.

Published amendments not yet in a consolidated text

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw

DU/2026/252 In force from April 3, 2026 Some instructions applied

Applied to version 19, Dz.U. 2026 poz. 20.

Instructions

  1. Not applied odnośnik nr 1 do tytułu ustawy otrzymuje brzmienie: „Niniejsza ustawa wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającą rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającą dyrektywę (…”
  2. Not applied do tytułu ustawy dodaje się odnośnik nr 2 w brzmieniu: „2) Niniejsza ustawa służy częściowemu stosowaniu rozporządzenia delegowanego Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. uzupełniającego rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 poprzez ustanowienie kodeksu sieci dotyczącego zasad sektorowych w zakresie aspektów cyberbezpiecze…”
  3. Applied w art. 1 w ust. 1 w pkt 3 kropkę zastępuje się średnikiem i dodaje się pkt 4 w brzmieniu: „4) zakres Krajowego planu reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę, zwanego dalej „Krajowym planem”.”
  4. Applied w art. 1 w ust. 2 uchyla się pkt 1 i 2;
  5. Applied w art. 2 po pkt 3 dodaje się pkt 3a–3d w brzmieniu: „3a) CSIRT sektorowy – Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego, działający na poziomie sektora lub podsektora, ustanowiony przez organ właściwy do spraw cyberbezpieczeństwa dla danego sektora lub podsektora; 3b) abonent nazwy domeny – podmiot będący stroną umowy o utrzymywanie naz…”
  6. Applied w art. 2 pkt 4 otrzymuje brzmienie: „4) cyberbezpieczeństwo – cyberbezpieczeństwo w rozumieniu art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno…”
  7. Applied w art. 2 po pkt 4 dodaje się pkt 4a–4l w brzmieniu: „4a) cyberzagrożenie – cyberzagrożenie w rozumieniu art. 2 pkt 8 rozporządzenia 2019/881; 4b) dostawca sieci dostarczania treści – osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, która dostarcza treści i usługi cyfrowe do sieci rozproszonych geograficznie …”
  8. Applied w art. 2 pkt 5 otrzymuje brzmienie: „5) incydent – zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych;”
  9. Applied w art. 2 pkt 7 i 8 otrzymują brzmienie: „7) incydent poważny – incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadając…”
  10. Applied w art. 2 po pkt 8 dodaje się pkt 8a w brzmieniu: „8a) kierownik podmiotu kluczowego lub podmiotu ważnego – kierownik jednostki w rozumieniu art. 3 ust. 1 pkt 6 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r. poz. 120, z późn. zm.) kierujący podmiotem kluczowym lub podmiotem ważnym, a w przypadku podmiotu kluczowego lub podmiotu …”
  11. Applied w art. 2 uchyla się pkt 9,
  12. Applied w art. 2 po pkt 10 dodaje się pkt 10a w brzmieniu: „10a) organizacja badawcza – niebędącą podmiotem kluczowym osobę prawną, albo jednostkę organizacyjną nieposiadającą osobowości prawnej, której podstawową działalnością jest działalność, o której mowa w art. 4 ust. 2 pkt 2 lub ust. 3 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nau…”
  13. Applied w art. 2 pkt 11 otrzymuje brzmienie: „11) podatność – właściwości produktu ICT lub usługi ICT, które mogą być wykorzystane przez cyberzagrożenie;”
  14. Applied w art. 2 po pkt 11 dodaje się pkt 11a–11n w brzmieniu: „11a) podmiot finansowy – podmiot, o którym mowa w art. 2 ust. 1 lit. a–t rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniającego rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 6…”
  15. Applied w art. 2 pkt 14 otrzymuje brzmienie: „14) system informacyjny: a) system teleinformatyczny, o którym mowa w art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2025 r. poz. 1703 oraz z 2026 r. poz. 160), lub b) urządzenie lub grupę połączonych urządzeń i oprogram…”
  16. Applied w art. 2 po pkt 14 dodaje się pkt 14a w brzmieniu: „14a) właściwy organ w rozumieniu rozporządzenia 2022/2554 – Komisję Nadzoru Finansowego w zakresie nadzoru przewidzianego rozporządzeniem 2022/2554;”
  17. Applied w art. 2 uchyla się pkt 15–17;
  18. Applied po art. 2 dodaje się art. 2a w brzmieniu: „Art. 2a. W przypadku podmiotu publicznego pod pojęciem usługi rozumie się także zadanie publiczne realizowane przez ten podmiot.”
  19. Applied w art. 3 wyrazy „kluczowych i usług cyfrowych” zastępuje się wyrazami „przez podmioty kluczowe lub podmioty ważne”;
  20. Applied po art. 3 dodaje się art. 3a w brzmieniu: „Art. 3a. W ramach obsługi incydentów podmiot krajowego systemu cyberbezpieczeństwa może w szczególności podejmować działania w celu wykrywania źródła lub dokonywania analizy aktywności, w tym ruchu sieciowego, powodujących wystąpienie incydentu zakłócającego świadczenie usług przez ten podmiot.”
  21. Applied w art. 4 pkt 1 i 2 otrzymują brzmienie: „1) podmioty kluczowe; 2) podmioty ważne;”
  22. Applied w art. 4 pkt 6 otrzymuje brzmienie: „6) CSIRT sektorowe;”
  23. Applied w art. 4 uchyla się pkt 7–16,
  24. Applied w art. 4 po pkt 17 dodaje się pkt 17a w brzmieniu: „17a) Połączone Centrum Operacyjne Cyberbezpieczeństwa, zwane dalej „PCOC”;”
  25. Not applied w tytule rozdziału 2 wyrazy „operatorów usług kluczowych” zastępuje się wyrazami „podmiotów kluczowych lub podmiotów ważnych”;
  26. Applied art. 5 otrzymuje brzmienie: „Art. 5. 1. Podmiotem kluczowym jest: 1) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy, która przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 65…”
  27. Applied po art. 5 dodaje się art. 5a w brzmieniu: „Art. 5a. 1. Podmiot kluczowy lub podmiot ważny podlegają obowiązkom wynikającym z ustawy, jeżeli mają miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej lub prowadzą działalność na terytorium Rzeczypospolitej Polskiej przez swoje siedziby, oddziały lub w ramach działalności transgranicznej…”
  28. Applied uchyla się art. 6;
  29. Applied art. 7 otrzymuje brzmienie: „Art. 7. 1. Wykaz podmiotów kluczowych i podmiotów ważnych, zwany dalej „wykazem”, jest prowadzony w celu: 1) identyfikacji podmiotów kluczowych i podmiotów ważnych; 2) zapewnienia wymiany informacji w zakresie cyberbezpieczeństwa, w tym o incydentach, podatnościach i cyberzagrożeniach między podmiot…”
  30. Applied po art. 7 dodaje się art. 7a–7m w brzmieniu: „Art. 7a. 1. Dane, o których mowa w art. 7 ust. 2 pkt 19–26, uzupełnia minister właściwy do spraw informatyzacji. 2. W przypadku: 1) przedsiębiorców telekomunikacyjnych, 2) dostawców usług zaufania, 3) podmiotów publicznych, 4) podmiotów krytycznych – minister właściwy do spraw informatyzacji wpisuje…”
  31. Not applied tytuł rozdziału 3 otrzymuje brzmienie: „Obowiązki podmiotów kluczowych lub podmiotów ważnych”
  32. Applied art. 8 otrzymuje brzmienie: „Art. 8. 1. Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot, zapewniający: 1) prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarz…”
  33. Applied po art. 8 dodaje się art. 8a–8j w brzmieniu: „Art. 8a. Rada Ministrów może określić, w drodze rozporządzenia, odrębnie dla danego rodzaju działalności wykonywanej przez podmioty kluczowe lub podmioty ważne, szczegółowe wymagania dla systemu zarządzania bezpieczeństwem informacji, o którym mowa w art. 8 ust. 1, biorąc pod uwagę rekomendacje międ…”
  34. Applied art. 9 i art. 10 otrzymują brzmienie: „Art. 9. 1. Podmiot kluczowy lub podmiot ważny: 1) wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa; 2) zapewnia użytkownikowi usługi dostępu do wiedzy pozwalającej na zrozumienie cyberzagrożeń i stosowanie skutecznych sposobó…”
  35. Applied w art. 11 w ust. 1 wprowadzenie do wyliczenia otrzymuje brzmienie: „Podmiot kluczowy lub podmiot ważny:”
  36. Applied w art. 11 w ust. 1 pkt 2 otrzymuje brzmienie: „2) zapewnia dostęp do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu w zakresie niezbędnym do realizacji jego zadań;”
  37. Applied w art. 11 w ust. 1 pkt 4 otrzymuje brzmienie: „4) zgłasza wczesne ostrzeżenie o incydencie poważnym niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego;”
  38. Applied w art. 11 w ust. 1 po pkt 4 dodaje się pkt 4a–4c w brzmieniu: „4a) zgłasza incydent poważny niezwłocznie, niepóźniej niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego; 4b) przekazuje, na wniosek właściwego CSIRT sektorowego, sprawozdanie okresowe z obsługi incydentu poważnego; 4c) przekazuje właściwemu CSIRT sektorowemu sprawozdani…”
  39. Applied w art. 11 w ust. 1 pkt 5 otrzymuje brzmienie: „5) współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowym, przekazując niezbędne dane, w tym dane osobowe;”
  40. Applied w art. 11 po ust. 1 dodaje się ust. 1a w brzmieniu: „1a. Dostawca usług zaufania zgłasza incydent poważny niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia do właściwego CSIRT sektorowego.”
  41. Applied w art. 11 ust. 2 otrzymuje brzmienie: „2. Wczesne ostrzeżenie, o którym mowa w ust. 1 pkt 4, zgłoszenie, o którym mowa w ust. 1 pkt 4a, sprawozdanie okresowe, o którym mowa w ust. 1 pkt 4b, sprawozdanie końcowe, o którym mowa w ust. 1 pkt 4c, oraz sprawozdanie z postępu obsługi incydentu poważnego, o którym mowa w art. 12b ust. 1, są prz…”
  42. Applied w art. 11 po ust. 2 dodaje się ust. 2a i 2b w brzmieniu: „2a. W przypadku zaistnienia poważnego cyberzagrożenia podmiot kluczowy lub podmiot ważny informuje użytkowników swoich usług, na których takie cyberzagrożenie może mieć wpływ, o możliwych środkach zapobiegawczych, które użytkownicy ci mogą podjąć. Podmiot kluczowy lub podmiot ważny informuje tych uż…”
  43. Applied w art. 11 uchyla się ust. 3,
  44. Applied w art. 11 ust. 4 otrzymuje brzmienie: „4. Rada Ministrów określi, w drodze rozporządzenia, progi uznania incydentu za poważny według rodzaju zdarzenia w poszczególnych sektorach i podsektorach określonych w załącznikach nr 1 i 2 do ustawy, z wyłączeniem progów uznania incydentu za poważny, dla podmiotów, dla których progi te określiła Ko…”
  45. Applied art. 12 otrzymuje brzmienie: „Art. 12. 1. Wczesne ostrzeżenie, o którym mowa w art. 11 ust. 1 pkt 4, zawiera: 1) dane podmiotu zgłaszającego, w tym firmę przedsiębiorcy, numer z właściwego rejestru, siedzibę i adres; 2) imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby dokonującej zgłosz…”
  46. Applied po art. 12 dodaje się art. 12a–12c w brzmieniu: „Art. 12a. Sprawozdanie końcowe, o którym mowa w art. 11 ust. 1 pkt 4c, zawiera: 1) szczegółowy opis incydentu poważnego, w tym spowodowane zakłócenia i szkody; 2) rodzaj zagrożenia lub przyczynę, która prawdopodobnie była źródłem incydentu; 3) zastosowane i wdrażane środki ograniczające ryzyko; 4) t…”
  47. Applied art. 13 i art. 14 otrzymują brzmienie: „Art. 13. 1. Podmiot kluczowy lub podmiot ważny mogą przekazywać do właściwego CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego informacje o: 1) innych incydentach; 2) cyberzagrożeniach; 3) wynikach szacowania ryzyka; 4) podatnościach; 5) potencjalnych zdarzeniach dla cyberbezpieczeństwa; 6) wy…”
  48. Applied w art. 15 ust. 1 otrzymuje brzmienie: „1. Podmiot kluczowy przeprowadza, na własny koszt, co najmniej raz na 3 lata, audyt bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, zwany dalej „audytem”, licząc od dnia sporządzenia i podpisania przez audytorów przeprowadzających audyt raportu z ostatniego audy…”
  49. Applied w art. 15 po ust. 1 dodaje się ust. 1a–1c w brzmieniu: „1a. Podmiot kluczowy przedstawia w postaci elektronicznej kopię raportu z przeprowadzonego audytu organowi właściwemu do spraw cyberbezpieczeństwa, w terminie 3 dni roboczych od dnia jego otrzymania przez podmiot kluczowy lub podmiot ważny. 1b. Organ właściwy do spraw cyberbezpieczeństwa może nakaza…”
  50. Applied w art. 15 w ust. 2 w pkt 3 wyrazy „sektorowy zespół cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowy”,
  51. Applied w art. 15 po ust. 2 dodaje się ust. 2a w brzmieniu: „2a. Audyt nie może być przeprowadzony przez osobę realizującą w podmiocie audytowanym zadania, o których mowa w art. 8 oraz art. 9–13, lub która realizowała te zadania w podmiocie audytowanym w przeciągu roku przed dniem rozpoczęcia audytu.”
  52. Applied w art. 15 w ust. 3 uchyla się pkt 3,
  53. Applied w art. 15 w ust. 5 wyrazy „operatorowi usługi kluczowej” zastępuje się wyrazami „podmiotowi kluczowemu lub podmiotowi ważnemu”,
  54. Applied w art. 15 uchyla się ust. 6,
  55. Applied w art. 15 w ust. 7 wprowadzenie do wyliczenia otrzymuje brzmienie: „Podmiot kluczowy lub podmiot ważny przekazuje kopię raportu z przeprowadzonego audytu na wniosek:”
  56. Applied w art. 15 w ust. 7 uchyla się pkt 1,
  57. Applied w art. 15 w ust. 7 w pkt 2 wyrazy „operator usługi kluczowej” zastępuje się wyrazami „podmiot kluczowy lub podmiot ważny”;
  58. Applied art. 16 otrzymuje brzmienie: „Art. 16. Podmiot: 1) kluczowy lub ważny realizuje obowiązki, o których mowa w niniejszym rozdziale, w terminie 12 miesięcy, 2) kluczowy zapewnia przeprowadzenie audytu po raz pierwszy w terminie 24 miesięcy – od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.”
  59. Applied uchyla się art. 16a;
  60. Not applied po rozdziale 3 dodaje się rozdziały 3a i 3b w brzmieniu: „Rozdział 3a Obowiązki rejestrów nazw domen najwyższego poziomu oraz zadania i obowiązki podmiotów świadczących usługi rejestracji nazw domen Art. 16b. 1. Rejestr nazw domen najwyższego poziomu (TLD) i podmioty świadczące usługi rejestracji nazw domen z należytą starannością zbierają i zachowują dokł…”
  61. Not applied uchyla się rozdziały 4 i 5;
  62. Applied w art. 26 w ust. 1 po wyrazie „informatyzacji” dodaje się wyrazy „, CSIRT sektorowymi”,
  63. Applied w art. 26 w ust. 1 wyrazy „zagrożeniom cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniom”,
  64. Applied w art. 26 po ust. 1 dodaje się ust. 1a w brzmieniu: „1a. W czasie stanu wojennego lub w czasie wojny CSIRT MON, w imieniu Ministra Obrony Narodowej, koordynuje działania CSIRT NASK i CSIRT GOV.”
  65. Applied w art. 26 ust. 2 otrzymuje brzmienie: „2. CSIRT MON, CSIRT NASK i CSIRT GOV na wniosek podmiotów krajowego systemu cyberbezpieczeństwa mogą zapewnić wsparcie tym podmiotom w obsłudze incydentów, w przypadku gdy: 1) incydent może wpłynąć na inne podmioty krajowego systemu cyberbezpieczeństwa; 2) podmiot obsługujący incydent nie dysponuje …”
  66. Applied w art. 26 po ust. 2 dodaje się ust. 2a–2c w brzmieniu: „2a. Pełnomocnik może zlecić zapewnienie wsparcia w obsłudze incydentów, o których mowa w ust. 2: 1) CSIRT MON, za zgodą Ministra Obrony Narodowej lub 2) CSIRT NASK, lub 3) CSIRT GOV, za zgodą Szefa Agencji Bezpieczeństwa Wewnętrznego. 2b. Zgoda może być wyrażona w formie ustnej lub dokumentowej, w s…”
  67. Applied w art. 26 w ust. 3 w pkt 1 wyrazy „zagrożeń cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeń”,
  68. Applied w art. 26 w ust. 3 pkt 2–4 otrzymują brzmienie: „2) szacowanie ryzyka związanego z ujawnionym cyberzagrożeniem oraz zaistniałymi incydentami, w tym zapewnianie dynamicznej analizy ryzyka; 3) przekazywanie informacji dotyczących cyberzagrożeń, podatności, incydentów i ryzyk, wczesne ostrzeganie i alarmowanie podmiotów krajowego systemu cyberbezpiec…”
  69. Applied w art. 26 w ust. 3 pkt 6 i 7 otrzymują brzmienie: „6) klasyfikowanie incydentów, w tym incydentów poważnych, jako incydenty krytyczne oraz koordynowanie obsługi incydentów krytycznych; 7) zmiana klasyfikacji incydentów;”
  70. Applied w art. 26 w ust. 3 – wyrazy „sektorowymi zespołami cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowymi”,
  71. Applied w art. 26 w ust. 3 – wyrazy „zagrożeniom cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniom”,
  72. Applied w art. 26 w ust. 3 pkt 11 i 12 otrzymują brzmienie: „11) przekazywanie do innych państw, w tym państw członkowskich Unii Europejskiej, i przyjmowanie z tych państw informacji o incydentach poważnych dotyczących dwóch lub większej liczby państw, a także przekazywanie do Pojedynczego Punktu Kontaktowego zgłoszenia incydentu poważnego dotyczącego dwóch l…”
  73. Applied w art. 26 w ust. 3 w pkt 14 w lit. b i c wyrazy „zagrożeń cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeń”,
  74. Applied w art. 26 w ust. 3 uchyla się pkt 15,
  75. Applied w art. 26 w ust. 3 pkt 16 otrzymuje brzmienie: „16) udział w Sieci CSIRT składającej się z przedstawicieli CSIRT państw członkowskich Unii Europejskiej, CSIRT właściwego dla instytucji Unii Europejskiej oraz Komisji Europejskiej;”
  76. Applied w art. 26 w ust. 3 dodaje się pkt 17–23 w brzmieniu: „17) w odpowiednich przypadkach gromadzenie i zabezpieczanie danych na potrzeby postępowań karnych; 18) współpraca z sektorowymi i międzysektorowymi społecznościami podmiotów kluczowych lub podmiotów ważnych oraz wymiana informacji dotyczących cyberbezpieczeństwa, jeżeli wymiana informacji zapewnia z…”
  77. Applied w art. 26 po ust. 3 dodaje się ust. 3a w brzmieniu: „3a. Przy realizacji zadania, o którym mowa w ust. 3 pkt 19, CSIRT MON, CSIRT NASK i CSIRT GOV mogą wymieniać informacje, w tym dane osobowe w celu informowania o potencjalnych cyberzagrożeniach oraz zastosowanych sposobach ich zwalczania, w celu przeciwdziałania cyberzagrożeniom o charakterze transg…”
  78. Applied w art. 26 w ust. 4 wyrazy „sektorowymi zespołami cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowymi”,
  79. Applied w art. 26 w ust. 5 w pkt 2 kropkę zastępuje się średnikiem i dodaje się pkt 3 w brzmieniu: „3) Ministra Obrony Narodowej.”
  80. Not applied w art. 26 w ust. 6 – lit. a otrzymuje brzmienie: „a) jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 2a–6 i 10–13 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, z wyjątkiem podmiotów, o których mowa w ust. 5,”
  81. Not applied w art. 26 w ust. 6 – po lit. a dodaje się lit. aa w brzmieniu: „aa) urzędy obsługujące jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 2 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych,”
  82. Not applied w art. 26 w ust. 6 – lit. b i c otrzymują brzmienie: „b) jednostki podległe organom administracji rządowej lub przez nie nadzorowane, z wyjątkiem podmiotów, o których mowa w ust. 5, oraz jednostek, o których mowa w ust. 7 pkt 2, c) instytuty badawcze, z wyjątkiem podmiotów, o których mowa w ust. 5,”
  83. Not applied w art. 26 w ust. 6 – po lit. c dodaje się lit. ca–cc w brzmieniu: „ca) międzynarodowe instytuty badawcze, z wyjątkiem podmiotów, o których mowa w ust. 5 pkt 2, cb) Centrum Łukasiewicz, cc) instytuty działające w ramach Sieci Badawczej Łukasiewicz, z wyjątkiem podmiotów, o których mowa w ust. 5 pkt 2,”
  84. Not applied w art. 26 w ust. 6 – uchyla się lit. e,
  85. Not applied w art. 26 w ust. 6 – uchyla się lit. i,
  86. Not applied w art. 26 w ust. 6 – lit. j otrzymuje brzmienie: „j) podmioty kluczowe lub podmioty ważne, z wyjątkiem wymienionych w ust. 5 i 7,”
  87. Applied w art. 26 w ust. 6 w pkt 2 wyrazy „zagrożeniach cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniach”,
  88. Applied w art. 26 w ust. 7 pkt 1 otrzymuje brzmienie: „1) jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1, 8 i 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, i urzędy je obsługujące, z wyjątkiem wymienionych w ust. 5 i 6;”
  89. Applied w art. 26 w ust. 7 po pkt 4 dodaje się pkt 4a–4e w brzmieniu: „4a) Polską Agencję Żeglugi Powietrznej; 4b) Polską Agencję Prasową; 4c) Państwowe Gospodarstwo Wodne Wody Polskie; 4d) Polski Fundusz Rozwoju i inne instytucje rozwoju, o których mowa w art. 2 ust. 1 pkt 3–6 ustawy z dnia 4 lipca 2019 r. o systemie instytucji rozwoju (Dz. U. z 2026 r. poz. 9); 4e) U…”
  90. Applied w art. 26 po ust. 8 dodaje się ust. 8a w brzmieniu: „8a. Minister właściwy do spraw informatyzacji może udzielić CSIRT NASK dotacji celowej na zakup, utrzymanie i rozbudowę infrastruktury teleinformatycznej niezbędnej do wykonywania zadań CSIRT NASK.”
  91. Applied w art. 26 dodaje się ust. 12–16 w brzmieniu: „12. CSIRT MON, CSIRT NASK i CSIRT GOV mogą uczestniczyć w procesie wzajemnej oceny, o którym mowa w art. 40a. 13. Przepisy ust. 2 i 3 stosuje się odpowiednio do zadań realizowanych przez CSIRT NASK lub CSIRT GOV w sektorze bankowości i infrastruktury rynków finansowych, w szczególności w zakresie po…”
  92. Applied po art. 26 dodaje się art. 26a–26d w brzmieniu: „Art. 26a. 1. CSIRT NASK pełni funkcję koordynatora na potrzeby skoordynowanego ujawniania podatności. 2. Osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej może zgłosić wykrytą podatność do CSIRT NASK. 3. Zgłoszenie podatności jest przekazywane w postaci elek…”
  93. Applied w art. 28 w ust. 1 wyrazy „operatora usługi kluczowej” zastępuje się wyrazami „podmiot kluczowy lub podmiot ważny”,
  94. Applied w art. 28 w ust. 2 wyrazy „operatorowi usługi kluczowej” zastępuje się wyrazami „podmiotowi kluczowemu lub podmiotowi ważnemu”;
  95. Applied uchyla się art. 29;
  96. Applied w art. 30 w ust. 1 we wprowadzeniu do wyliczenia wyrazy „operatorzy usług kluczowych i dostawcy usług cyfrowych” zastępuje się wyrazami „podmioty kluczowe lub podmioty ważne”,
  97. Applied w art. 30 w ust. 2 wyrazy „operatorów usług kluczowych oraz dostawców usług cyfrowych” zastępuje się wyrazami „podmiotów kluczowych lub podmiotów ważnych”;
  98. Applied art. 31 i art. 32 otrzymują brzmienie: „Art. 31. 1. CSIRT MON, CSIRT NASK, CSIRT GOV oraz CSIRT sektorowe określą sposób przekazywania informacji i zgłoszeń, o których mowa w art. 11 i art. 13, w przypadku braku możliwości przekazania ich za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1. 2. CSIRT NASK określi sposób d…”
  99. Applied w art. 33 w ust. 1 wyrazy „urządzenia informatycznego lub oprogramowania” zastępuje się wyrazami „produktu ICT lub usługi ICT”,
  100. Applied w art. 33 po ust. 1 dodaje się ust. 1a–1f w brzmieniu: „1a. Badanie, o którym mowa w ust. 1, przeprowadza się także na pisemny wniosek Pełnomocnika lub przewodniczącego Kolegium, skierowany do organu prowadzącego lub nadzorującego właściwy CSIRT. 1b. Badanie, o którym mowa w ust. 1, przeprowadza się w środowisku testowym i nie może ono wpłynąć na ciągłoś…”
  101. Applied w art. 33 ust. 2 otrzymuje brzmienie: „2. CSIRT MON, CSIRT NASK albo CSIRT GOV, podejmując badanie produktu ICT, usługi ICT lub procesu ICT, informuje pozostałe CSIRT poziomu krajowego o fakcie podjęcia badań oraz o produkcie ICT lub usłudze ICT, których badanie dotyczy.”
  102. Applied w art. 33 w ust. 4 i 6–8 wyrazy „urządzeń informatycznych lub oprogramowania” zastępuje się wyrazami „produktów ICT lub usług ICT”,
  103. Applied w art. 33 w ust. 4a wyrazy „zagrożeniu cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniu”,
  104. Applied w art. 33 po ust. 4b dodaje się ust. 4c w brzmieniu: „4c. Rekomendacje, o których mowa w ust. 4, a także informację o ich zmianie lub odwołaniu, Pełnomocnik publikuje na swojej stronie podmiotowej Biuletynu Informacji Publicznej.”
  105. Applied w art. 33 ust. 5 otrzymuje brzmienie: „5. Podmiot krajowego systemu cyberbezpieczeństwa może wnieść do Pełnomocnika zastrzeżenia do rekomendacji dotyczących stosowania produktów ICT lub usług ICT, z uwagi na ich negatywny wpływ na świadczoną usługę lub realizowane zadanie publiczne, niepóźniej niż w terminie 14 dni od dnia publikacji rek…”
  106. Applied w art. 33 dodaje się ust. 9 w brzmieniu: „9. CSIRT MON, CSIRT NASK lub CSIRT GOV przeprowadzający badanie mogą zwrócić się do producenta badanego produktu ICT lub dostawcy badanej usługi ICT o przekazanie dokumentacji. Przepisy art. 53c stosuje się odpowiednio. O zwróceniu się do producenta, jak również o nieprzekazaniu przez producenta dok…”
  107. Applied w art. 34 ust. 1 otrzymuje brzmienie: „1. CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe oraz dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa współpracują z organami ścigania i wymiaru sprawiedliwości oraz służbami specjalnymi przy realizacji ich ustawowych zadań.”
  108. Applied w art. 34 w ust. 2 wyrazy „i CSIRT GOV” zastępuje się wyrazami „CSIRT GOV i CSIRT sektorowe”,
  109. Applied w art. 34 dodaje się ust. 3 i 4 w brzmieniu: „3. CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe oraz dostawcy usług zarządzanych z zakresu cyberbezpieczeństwa współpracują z Prezesem Urzędu Lotnictwa Cywilnego, Prezesem Urzędu Komunikacji Elektronicznej oraz Komisją Nadzoru Finansowego. 4. CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe …”
  110. Applied w art. 35 ust. 1 otrzymuje brzmienie: „1. CSIRT MON, CSIRT NASK i CSIRT GOV przekazują sobie wzajemnie informacje o incydencie krytycznym lub incydencie w cyberbezpieczeństwie na dużą skalę oraz informują o nim Rządowe Centrum Bezpieczeństwa, właściwy CSIRT sektorowy oraz ministra właściwego do spraw zagranicznych.”
  111. Applied w art. 35 w ust. 2 w pkt 1 w lit. a skreśla się wyrazy „w szczególności jeśli zakłóca świadczenie usługi kluczowej,”,
  112. Applied w art. 35 po ust. 2 dodaje się ust. 2a w brzmieniu: „2a. Informacja, o której mowa w ust. 1, może zawierać dane osobowe tylko wtedy, gdy jest to niezbędne dla ochrony podmiotów krajowego systemu cyberbezpieczeństwa przed incydentami.”
  113. Applied w art. 35 w ust. 4 i 5 wyrazy „zagrożeniach cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniach”,
  114. Applied w art. 35 w ust. 5 wyraz „cyberbezpieczeństwa” zastępuje się wyrazem „bezpieczeństwa”;
  115. Applied po art. 35 dodaje się art. 35a w brzmieniu: „Art. 35a. W przypadku wystąpienia incydentu krytycznego Prezes Rady Ministrów może, na podstawie propozycji Rządowego Zespołu Zarządzania Kryzysowego, o której mowa w art. 9 ust. 1 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2023 r. poz. 122, z późn. zm.), zobowiązać M…”
  116. Applied w art. 36 ust. 2–4 otrzymują brzmienie: „2. W skład Zespołu wchodzą przedstawiciele CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV, Rządowego Centrum Bezpieczeństwa oraz ministra właściwego do spraw zagranicznych. 3. Pełnomocnik przewodniczy pracom Zespołu. 4. Obsługę prac Zespołu …”
  117. Applied w art. 36 w ust. 6 wyrazy „dyrektor Rządowego Centrum Bezpieczeństwa” zastępuje się wyrazem „Pełnomocnik”;
  118. Not applied po rozdziale 6 dodaje się rozdział 6a w brzmieniu: „Rozdział 6a Ocena bezpieczeństwa Art. 36a. 1. CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy mogą przeprowadzić ocenę bezpieczeństwa systemów informacyjnych wykorzystywanych przez podmioty krajowego systemu cyberbezpieczeństwa. 2. Ocena bezpieczeństwa polega na przeprowadzeniu testów bezpiecze…”
  119. Applied w art. 37 ust. 1 i 2 otrzymują brzmienie: „1. Do udostępniania informacji o podatnościach, incydentach i cyberzagrożeniach oraz o ryzyku wystąpienia incydentów nie stosuje się przepisów: 1) ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej; 2) ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu …”
  120. Applied w art. 37 uchyla się ust. 3,
  121. Applied w art. 37 w ust. 4 skreśla się wyrazy „i 3”;
  122. Applied w art. 39 ust. 1 otrzymuje brzmienie: „1. W celu realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 16–21 i ust. 5–8, art. 26a–26c oraz art. 44 ust. 1–1c i 3, CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe przetwarzają dane pozyskane w związku z incydentami i cyberzagrożeniami, w tym dane osobowe, obejmujące także dane …”
  123. Applied w art. 39 w ust. 2 wyrazy „sektorowe zespoły cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowe”,
  124. Applied w art. 39 w ust. 2 po wyrazach „art. 9 ust. 1” dodaje się wyrazy „i art. 10”,
  125. Applied w art. 39 w ust. 3 wprowadzenie do wyliczenia otrzymuje brzmienie: „CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe przetwarzają dane osobowe pozyskane w związku z incydentami i cyberzagrożeniami:”
  126. Applied w art. 39 w ust. 3 pkt 3 i 4 otrzymują brzmienie: „3) gromadzone przez podmioty kluczowe lub podmioty ważne w związku ze świadczeniem usług; 4) dotyczące podmiotów zgłaszających incydent zgodnie z art. 30 ust. 1.”
  127. Applied w art. 39 w ust. 4 wprowadzenie do wyliczenia otrzymuje brzmienie: „W celu realizacji zadań określonych w ustawie minister właściwy do spraw informatyzacji, dyrektor Rządowego Centrum Bezpieczeństwa, Pełnomocnik, minister właściwy do spraw zagranicznych oraz organy właściwe do spraw cyberbezpieczeństwa przetwarzają dane osobowe pozyskane w związku z incydentami i cy…”
  128. Applied w art. 39 w ust. 4 pkt 1 otrzymuje brzmienie: „1) gromadzone przez podmioty kluczowe lub podmioty ważne w związku ze świadczeniem usług;”
  129. Applied w art. 39 w ust. 4 uchyla się pkt 2,
  130. Applied w art. 39 po ust. 4 dodaje się ust. 4a w brzmieniu: „4a. Minister właściwy do spraw informatyzacji przetwarza dane osobowe zawierające imię i nazwisko oraz numer PESEL osób fizycznych lub niepowtarzalny identyfikator środka identyfikacji elektronicznej, o którym mowa w aktach wykonawczych Komisji Europejskiej, wydanych na podstawie art. 12 ust. 8 rozp…”
  131. Applied w art. 39 ust. 5 i 6 otrzymują brzmienie: „5. Dane, o których mowa w ust. 3 i 4, są anonimizowane przez CSIRT MON, CSIRT NASK i CSIRT sektorowy niezwłocznie po stwierdzeniu, że nie są niezbędne do realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 16–21 i ust. 5–8, art. 26a–26c oraz art. 44 ust. 1–1c i 3. 6. Dane, o których mow…”
  132. Applied w art. 39 po ust. 6 dodaje się ust. 6a i 6b w brzmieniu: „6a. Dane, o których mowa w ust. 3 i 4, niezbędne do realizacji zadania, o którym mowa w art. 26a, są anonimizowane przez CSIRT NASK po upływie 5 lat od dnia ich pozyskania. 6b. Dane, o których mowa w art. 26c ust. 2, są anonimizowane przez CSIRT NASK po upływie 5 lat od dnia ich pozyskania.”
  133. Applied w art. 39 w ust. 7 wyrazy „sektorowe zespoły cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowe”,
  134. Applied w art. 39 ust. 8 otrzymuje brzmienie: „8. Realizacja obowiązków wynikających z art. 15, art. 16, art. 18 ust. 1 lit. a i d oraz art. 19 zdanie drugie rozporządzenia 2016/679 przez CSIRT MON, CSIRT NASK i CSIRT sektorowe, w zakresie danych, o których mowa w ust. 3, jest możliwa dopiero po zakończeniu obsługi incydentu, w związku z którym …”
  135. Applied w art. 39 w ust. 9 we wprowadzeniu do wyliczenia wyrazy „sektorowe zespoły cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowe”,
  136. Applied w art. 39 dodaje się ust. 10 i 11 w brzmieniu: „10. Dane, o których mowa w ust. 4, są anonimizowane przez ministra właściwego do spraw informatyzacji, dyrektora Rządowego Centrum Bezpieczeństwa, Pełnomocnika, ministra właściwego do spraw zagranicznych oraz organy właściwe do spraw cyberbezpieczeństwa niezwłocznie po stwierdzeniu, że nie są niezbę…”
  137. Not applied użyte w art. 40, w art. 42 w ust. 1 w pkt 5, w art. 44 w ust. 3 w zdaniu pierwszym i drugim, w art. 49 w ust. 3 we wprowadzeniu do wyliczenia oraz w art. 64, w różnej liczbie i różnym przypadku, wyrazy „sektorowy zespół cyberbezpieczeństwa” zastępuje się użytymi w odpowiedniej liczbie i odpowiednim przypadku wyrazami „CSIRT sektorowy”;
  138. Applied po art. 40 dodaje się art. 40a w brzmieniu: „Art. 40a. 1. CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowy i organy właściwe do spraw cyberbezpieczeństwa mogą, w porozumieniu z Pełnomocnikiem, uczestniczyć w procesie oceny wzajemnej, w celu wymiany doświadczeń, zwiększania wzajemnego zaufania pomiędzy organami z różnych państw, osiągnięcia wy…”
  139. Applied w art. 41 po pkt 1 dodaje się pkt 1a w brzmieniu: „1a) dla sektora inwestycji energii jądrowej – minister właściwy do spraw energii;”
  140. Applied w art. 41 w pkt 5, 6 i 9 wyrazy „o których mowa w art. 26 ust. 5” zastępuje się wyrazami „o których mowa w art. 26 ust. 5 pkt 1”,
  141. Applied w art. 41 pkt 8 otrzymuje brzmienie: „8) dla sektora infrastruktury cyfrowej z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 pkt 1, oraz z wyłączeniem podsektora komunikacji elektronicznej – minister właściwy do spraw informatyzacji;”
  142. Applied w art. 41 po pkt 8 dodaje się pkt 8a w brzmieniu: „8a) dla podsektora komunikacji elektronicznej, z wyłączeniem podmiotów, o których mowa w art. 26 ust. 5 pkt 1 – Prezes Urzędu Komunikacji Elektronicznej;”
  143. Applied w art. 41 po pkt 9 dodaje się pkt 9a–9l w brzmieniu: „9a) dla sektora zbiorowego odprowadzania ścieków – minister właściwy do spraw gospodarki wodnej; 9b) dla sektora zarządzania usług ICT – minister właściwy do spraw informatyzacji; 9c) dla sektora przestrzeni kosmicznej – minister właściwy do spraw gospodarki; 9d) dla sektora produkcji, wytwarzania i…”
  144. Applied w art. 41 uchyla się pkt 10 i 11;
  145. Applied po art. 41 dodaje się art. 41a w brzmieniu: „Art. 41a. 1. Organem właściwym do spraw cyberbezpieczeństwa w sektorze podmiotów publicznych, z wyłączeniem podmiotów podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych oraz urzędu obsługującego tego ministra, jest minister właściwy do spraw informatyzacji. 2. Organem właściwym do …”
  146. Applied w art. 42 w ust. 1 pkt 1–3 otrzymują brzmienie: „1) prowadzi bieżącą analizę podmiotów w danym sektorze lub podsektorze pod kątem uznania ich za podmiot kluczowy lub podmiot ważny; 2) wpisuje z urzędu podmiot kluczowy lub podmiot ważny do wykazu, jeżeli podmiot ten nie zarejestrował się w tym wykazie; 3) wydaje decyzję o uznaniu podmiotu za podmio…”
  147. Applied w art. 42 w ust. 1 uchyla się pkt 4,
  148. Applied w art. 42 w ust. 1 pkt 6–8 otrzymują brzmienie: „6) monitoruje stosowanie przepisów ustawy przez podmioty kluczowe lub podmioty ważne; 7) wzywa na wniosek CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego podmioty kluczowe lub podmioty ważne do usunięcia w wyznaczonym terminie podatności, które doprowadziły lub mogły doprowadzić do incydentu …”
  149. Applied w art. 42 w ust. 1 pkt 10 otrzymuje brzmienie: „10) przetwarza informacje, w tym dane osobowe, dotyczące podmiotów kluczowych lub podmiotów ważnych oraz świadczonych przez nich usług, w zakresie niezbędnym do: a) identyfikacji podmiotów kluczowych lub podmiotów ważnych, b) zapewnienia wymiany informacji w zakresie cyberbezpieczeństwa, w tym o inc…”
  150. Applied w art. 42 w ust. 1 w pkt 11 kropkę zastępuje się średnikiem i dodaje się pkt 12 i 13 w brzmieniu: „12) współpracuje oraz wymienia informacje i dokumenty z właściwym organem w rozumieniu rozporządzenia 2022/2554, w zakresie niezbędnym do wykonywania przez ten organ obowiązków wynikających z rozporządzenia 2022/2554; 13) współpracuje oraz wymienia informacje i dokumenty z organem właściwym do spraw…”
  151. Applied w art. 42 uchyla się ust. 2,
  152. Applied w art. 42 w ust. 8 wyrazy „Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA)” zastępuje się wyrazem „ENISA”,
  153. Applied w art. 42 dodaje się ust. 9–11 w brzmieniu: „9. Organ właściwy do spraw cyberbezpieczeństwa dla sektora bankowości i infrastruktury rynków finansowych realizuje swoje zadania, z uwzględnieniem zakresu zastosowania ustawy do podmiotów finansowych. 10. W ramach współpracy, o której mowa w ust. 1 pkt 12, mającej związek z podmiotem kluczowym lub …”
  154. Not applied w art. 43 ust. 1 otrzymuje brzmienie „1. Organ właściwy do spraw cyberbezpieczeństwa może, bez wszczynania postępowania, o którym mowa w art. 7j lub art. 7l, wystąpić do podmiotu, o którym mowa w załączniku nr 1 lub 2 do ustawy, o udzielenie informacji, które umożliwią wstępną ocenę, czy dany podmiot należy uznać za podmiot kluczowy lub podmiot ważny. Przepisy art. 53c ust. 2 i 3 stosuje się odpowiednio.”,
  155. Applied w art. 43 uchyla się ust. 2–5,
  156. Applied w art. 43 ust. 6 otrzymuje brzmienie: „6. Informacje udzielone przez podmiot, o którym mowa w ust. 1, mogą stanowić podstawę do wpisania podmiotu do wykazu na podstawie art. 7j albo wydania decyzji, o której mowa w art. 7l.”
  157. Applied w art. 44 ust. 1 otrzymuje brzmienie: „1. Organ właściwy do spraw cyberbezpieczeństwa zapewnia funkcjonowanie CSIRT sektorowego dla podmiotów kluczowych lub podmiotów ważnych w danym sektorze lub podsektorze wymienionych w załączniku nr 1 i 2 do ustawy, do którego zadań należy: 1) przyjmowanie wczesnych ostrzeżeń, zgłoszeń o incydentach,…”
  158. Applied w art. 44 po ust. 1 dodaje się ust. 1a–1d w brzmieniu: „1a. CSIRT sektorowy przekazuje, za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, wczesne ostrzeżenie, zgłoszenie incydentu, sprawozdanie okresowe i sprawozdanie końcowe, o których mowa w art. 11 ust. 1 pkt 4–4c, niezwłocznie, niepóźniej niż 8 godzin od jego otrzymania, do właśc…”
  159. Applied w art. 44 uchyla się ust. 2,
  160. Applied w art. 44 ust. 4 otrzymuje brzmienie: „4. Organ właściwy do spraw cyberbezpieczeństwa informuje podmioty kluczowe lub podmioty ważne w danym sektorze oraz CSIRT MON, CSIRT NASK i CSIRT GOV o ustanowieniu CSIRT sektorowego i zakresie realizowanych zadań.”
  161. Applied w art. 44 dodaje się ust. 5 i 6 w brzmieniu: „5. Przepisy ust. 1–1d, 3 i 4 stosuje się odpowiednio do CSIRT sektorowego ustanowionego w sektorze bankowości i infrastruktury rynków finansowych, w szczególności w zakresie poważnych incydentów związanych z ICT zgłaszanych przez podmioty kluczowe lub podmioty ważne. 6. CSIRT sektorowy ustanowiony w…”
  162. Applied po art. 44 dodaje się art. 44a–44f w brzmieniu: „Art. 44a. 1. Organ właściwy do spraw cyberbezpieczeństwa może powierzyć realizację zadania lub zadań CSIRT sektorowego: 1) jednostce jemu podległej lub przez niego nadzorowanej; 2) organowi przez niego nadzorowanemu; 3) urzędowi, który go obsługuje. 2. Organ właściwy do spraw cyberbezpieczeństwa moż…”
  163. Applied w art. 45 w ust. 1 po pkt 1 dodaje się pkt 1a i 1b w brzmieniu: „1a) monitorowanie wdrażania Krajowego planu oraz realizację działań na rzecz jego wdrożenia; 1b) prowadzenie wykazu;”
  164. Applied w art. 45 w ust. 1 pkt 3 otrzymuje brzmienie: „3) opracowywanie rocznych sprawozdań dotyczących incydentów poważnych zgłaszanych przez podmioty kluczowe lub podmioty ważne mających wpływ na ciągłość świadczenia usług przez te podmioty w Rzeczypospolitej Polskiej oraz ciągłość świadczenia usług w państwach członkowskich Unii Europejskiej;”
  165. Applied w art. 45 w ust. 1 pkt 6 otrzymuje brzmienie: „6) udostępnianie informacji i dobrych praktyk uzyskanych z Grupy Współpracy podmiotom krajowego systemu cyberbezpieczeństwa w celu usprawnienia działań krajowego systemu cyberbezpieczeństwa;”
  166. Applied w art. 45 w ust. 1 dodaje się pkt 7–15 w brzmieniu: „7) rekomendowanie i wspieranie przy wykorzystywaniu europejskich lub międzynarodowych standardów, a także specyfikacji technicznych mających znaczenie dla bezpieczeństwa systemów informacyjnych; 8) zachęcanie do korzystania z produktów ICT, usług ICT i procesów ICT certyfikowanych w ramach europejsk…”
  167. Not applied w art. 45 ust. 2 otrzymuje brzmienie „2. Przez Grupę Współpracy rozumie się grupę, o której mowa w art. 14 dyrektywy 2022/2555.”,
  168. Applied w art. 45 dodaje się ust. 3–5 w brzmieniu: „3. Minister właściwy do spraw informatyzacji może opublikować na swojej stronie podmiotowej Biuletynu Informacji Publicznej zestawienie wymogów dokumentów normalizacyjnych, o których mowa w art. 2 pkt 3 ustawy z dnia 12 września 2002 r. o normalizacji (Dz. U. z 2015 r. poz. 1483), których wykonywani…”
  169. Applied art. 45a otrzymuje brzmienie: „Art. 45a. 1. Minister właściwy do spraw informatyzacji może udzielić wsparcia finansowego w ramach programów rządowych lub innych programów finansowanych w całości albo w części z udziałem środków, o których mowa w art. 5 ust. 3 pkt 6 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, na rea…”
  170. Applied po art. 45a dodaje się art. 45b i art. 45c w brzmieniu: „Art. 45b. Wsparcie finansowe, o którym mowa w art. 45a ust. 1, może być udzielane w imieniu ministra właściwego do spraw informatyzacji przez podmiot mu podległy albo przez niego nadzorowany. Art. 45c. 1. Wyboru projektów dokonuje się w sposób przejrzysty, rzetelny i bezstronny na podstawie obiektyw…”
  171. Applied w art. 46 w ust. 1 w pkt 5 wyrazy „zagrożeniach cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniach”,
  172. Applied w art. 46 w ust. 1 kropkę zastępuje się średnikiem i dodaje się pkt 6–8 w brzmieniu: „6) czynności nadzorcze organów właściwych do spraw cyberbezpieczeństwa; 7) dokonywanie zgłoszenia naruszenia ochrony danych osobowych, o którym mowa w art. 33 rozporządzenia 2016/679 i art. 44 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwa…”
  173. Applied w art. 46 po ust. 1 dodaje się ust. 1a w brzmieniu: „1a. W systemie teleinformatycznym prowadzi się wykaz.”
  174. Applied w art. 46 ust. 2 otrzymuje brzmienie: „2. CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowe, organy właściwe do spraw cyberbezpieczeństwa oraz Prezes Urzędu Ochrony Danych Osobowych korzystają z systemu teleinformatycznego w celu realizacji swoich zadań ustawowych.”
  175. Applied w art. 46 uchyla się ust. 3,
  176. Applied w art. 46 dodaje się ust. 4–9 w brzmieniu: „4. Podmioty kluczowe lub podmioty ważne, korzystają z systemu teleinformatycznego w zakresie, o którym mowa w ust. 1, w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. 5. Uwierzytelnienie w systemie teleinformatycznym następuje za pomocą środków okre…”
  177. Applied po art. 46 dodaje się art. 46a i art. 46b w brzmieniu: „Art. 46a. W celu realizacji zadań, o których mowa w art. 11 ust. 2 oraz w art. 46 ust. 1 pkt 3, 4 i 6, Minister Obrony Narodowej, urząd go obsługujący oraz podmioty podległe Ministrowi Obrony Narodowej i przez niego nadzorowane mogą korzystać ze środków komunikacji elektronicznej, innych niż system,…”
  178. Applied w art. 47 ust. 1 otrzymuje brzmienie: „1. Minister właściwy do spraw informatyzacji może powierzyć realizację zadań, o których mowa w art. 45 ust. 1, art. 45a ust. 1 i art. 46 ust. 1 i 1a, jednostkom jemu podległym lub przez niego nadzorowanym.”
  179. Applied w art. 47 dodaje się ust. 3 w brzmieniu: „3. Minister właściwy do spraw informatyzacji może udostępniać jednostkom, o których mowa w ust. 1, dane z wykazu w zakresie i w celu realizacji zadań im powierzonych, z uwzględnieniem poufności, integralności, dostępności i autentyczności tych danych.”
  180. Applied w art. 48 pkt 1 i 2 otrzymują brzmienie: „1) odbieranie zgłoszeń incydentu dotyczącego więcej niż jednego sektora lub dotyczącego innych państw członkowskich Unii Europejskiej z Pojedynczych Punktów Kontaktowych w innych państwach członkowskich Unii Europejskiej, także przekazywanie tych zgłoszeń do CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIR…”
  181. Applied w art. 49 w ust. 1 w pkt 5 wyrazy „operatorów usług kluczowych” zastępuje się wyrazami „podmiotów kluczowych lub podmiotów ważnych”,
  182. Applied w art. 49 w ust. 3 w pkt 2 wyrazy „Agencji Unii Europejskiej do spraw Bezpieczeństwa Sieci i Informacji (ENISA)” zastępuje się wyrazem „ENISA”,
  183. Applied w art. 49 w ust. 3 pkt 4 otrzymuje brzmienie: „4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;”
  184. Applied w art. 49 w ust. 3 pkt 6 otrzymuje brzmienie: „6) dobrych praktyk w zakresie identyfikowania podmiotów kluczowych lub podmiotów ważnych przez państwa członkowskie Unii Europejskiej, w tym w odniesieniu do transgranicznych zależności, dotyczących ryzyka i incydentów.”
  185. Applied w art. 49 dodaje się ust. 4–8 w brzmieniu: „4. Pojedynczy Punkt Kontaktowy przekazuje ENISA aktualne dane z wykazu dotyczące dostawców usług DNS, rejestrów nazw domen najwyższego poziomu (TLD), dostawców chmury obliczeniowej, dostawców usługi centrum przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dost…”
  186. Not applied w art. 50 dotychczasową treść oznacza się jako ust. 1 i w ust. 1 pkt 2 otrzymuje brzmienie: „2) co 2 lata informacje dotyczące krajowego systemu cyberbezpieczeństwa, w szczególności: a) liczbę podmiotów kluczowych w podziale na poszczególne sektory, b) liczbę podmiotów ważnych w podziale na poszczególne sektory, c) rodzaje usług świadczonych przez podmioty kluczowe lub podmioty ważne, d) pr…”
  187. Applied w art. 50 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu: „2. Pojedynczy Punkt Kontaktowy przekazuje Grupie Współpracy: 1) liczbę podmiotów kluczowych w podziale na poszczególne sektory; 2) liczbę podmiotów ważnych w podziale na poszczególne sektory.”
  188. Applied w art. 51 w pkt 2 wyrazy „zagrożenia cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożenia”,
  189. Applied w art. 51 pkt 5–8 otrzymują brzmienie: „5) koordynację działań związanych z obsługą incydentów w czasie stanu wojennego lub w czasie wojny, z zastrzeżeniem kompetencji Naczelnego Dowódcy Sił Zbrojnych; 6) ocenę wpływu incydentów poważnych i krytycznych na system obronny państwa; 7) ocenę cyberzagrożeń, w zakresie ich wpływu na system obro…”
  190. Applied w art. 52 w pkt 2 wyrazy „zagrożenia cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożenia”,
  191. Applied w art. 52 w pkt 4 wyrazy „zagrożeniach cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniach”;
  192. Not applied po rozdziale 10 dodaje się rozdziały 10a–10c w brzmieniu: „Rozdział 10a Zadania ministra właściwego do spraw energii Art. 52a. 1. Organem właściwym, o którym mowa w art. 4 ust. 1 rozporządzenia 2024/1366, jest minister właściwy do spraw energii. 2. Właściwy organ, określony w ust. 1, identyfikuje podmioty o dużym wpływie i podmioty o krytycznym wpływie zgod…”
  193. Not applied tytuł rozdziału 11 otrzymuje brzmienie: „Nadzór i kontrola podmiotów kluczowych lub podmiotów ważnych”
  194. Applied art. 53 otrzymuje brzmienie: „Art. 53. 1. Nadzór dotyczący stosowania przepisów ustawy sprawują organy właściwe do spraw cyberbezpieczeństwa w zakresie wykonywania przez podmioty kluczowe i podmioty ważne wynikających z ustawy obowiązków. 2. W ramach nadzoru, o którym mowa w ust. 1, organ właściwy do spraw cyberbezpieczeństwa w …”
  195. Applied po art. 53 dodaje się art. 53a–53f w brzmieniu: „Art. 53a. 1. Organy właściwe do spraw cyberbezpieczeństwa mogą tworzyć, samodzielnie lub wspólnie, metodyki nadzoru dotyczące prowadzenia nadzoru nad podmiotami kluczowymi lub podmiotami ważnymi w zakresie stosowania przepisów ustawy. 2. Metodyki nadzoru określają w szczególności: 1) zakres nadzoru;…”
  196. Applied art. 54 otrzymuje brzmienie: „Art. 54. Do kontroli realizowanej wobec podmiotów kluczowych lub podmiotów ważnych: 1) będących przedsiębiorcami stosuje się przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców; 2) niebędących przedsiębiorcami stosuje się przepisy ustawy z dnia 15 lipca 2011 r. o kontroli w ad…”
  197. Applied w art. 56 dodaje się ust. 3 i 4 w brzmieniu: „3. Organ przeprowadzający kontrolę może żądać od podmiotu kontrolowanego przedstawienia tłumaczenia na język polski sporządzonej w języku obcym dokumentacji przedłożonej przez podmiot kontrolowany. Tłumaczenie dokumentacji podmiot kontrolowany jest obowiązany wykonać na własny koszt. Zlecenie tłumac…”
  198. Applied w art. 58 ust. 4–8 otrzymują brzmienie: „4. W przypadku zastrzeżeń dotyczących ustaleń zawartych w protokole kontroli, podmiot kontrolowany ma prawo odmówić podpisania protokołu kontroli oraz złożyć umotywowane pisemne zastrzeżenia do tego protokołu w terminie 7 dni od dnia przedstawienia mu go do podpisu. 5. Odmowę podpisania protokołu ko…”
  199. Applied w art. 58 dodaje się ust. 9–11 w brzmieniu: „9. Kierownik komórki organizacyjnej do spraw kontroli, po rozpatrzeniu zastrzeżeń do protokołu kontroli, sporządza stanowisko wobec tych zastrzeżeń. 10. O nieuwzględnieniu zastrzeżeń do protokołu kontroli w całości albo w części kierownik komórki organizacyjnej do spraw kontroli informuje podmiot ko…”
  200. Applied w art. 59 ust. 1 otrzymuje brzmienie: „1. Jeżeli na podstawie informacji zgromadzonych w toku kontroli organ właściwy do spraw cyberbezpieczeństwa uzna, że mogło dojść do naruszenia przepisów ustawy przez podmiot kontrolowany, przekazuje zalecenia pokontrolne wzywające do usunięcia nieprawidłowości. Organ właściwy do spraw cyberbezpiecze…”
  201. Applied w art. 59 w ust. 3 skreśla się wyrazy „lub ministra właściwego do spraw informatyzacji”;
  202. Applied po art. 59 dodaje się art. 59a–59c w brzmieniu: „Art. 59a. 1. W przypadku stwierdzenia podczas sprawowania nadzoru podejrzenia naruszenia ochrony danych osobowych organ właściwy do spraw cyberbezpieczeństwa informuje o tym Prezesa Urzędu Ochrony Danych Osobowych w terminie 7 dni od dnia stwierdzenia podejrzenia tego naruszenia. 2. W przypadku stwi…”
  203. Applied w art. 61 ust. 3 otrzymuje brzmienie: „3. Pełnomocnikiem jest minister właściwy do spraw informatyzacji, sekretarz stanu albo podsekretarz stanu w urzędzie obsługującym ministra właściwego do spraw informatyzacji.”
  204. Applied w art. 62 w ust. 1 w pkt 1 wyrazy „i CSIRT GOV” zastępuje się wyrazami „CSIRT GOV i CSIRT sektorowych”,
  205. Applied w art. 62 w ust. 2 w pkt 3 wyrazy „zagrożeń cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeń”,
  206. Applied w art. 62 dodaje się ust. 3–8 w brzmieniu: „3. Pełnomocnik może dokonywać zakupów produktów ICT, usług ICT lub procesów ICT z zakresu cyberbezpieczeństwa na rzecz podmiotów, o których mowa w art. 62a ust. 2 pkt 3, na podstawie umowy, przekazując prawa do zakupionych produktów ICT, usług ICT lub procesów ICT z zakresu cyberbezpieczeństwa. 4. P…”
  207. Not applied po art. 62 dodaje się art. 62a w brzmieniu: „Art. 62a 1. Przy Pełnomocniku działa PCOC, jako organ pomocniczy w sprawach koordynowania działań i realizowania polityki rządu w zakresie zapewnienia cyberbezpieczeństwa w Rzeczypospolitej Polskiej. 2. W skład PCOC wchodzą: 1) Pełnomocnik; 2) sekretarz PCOC; 3) przedstawiciele: a) ministra – członk…”
  208. Applied w art. 65 w ust. 1 w pkt 1 wyrazy „zagrożeniom cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniom”,
  209. Applied w art. 65 w ust. 1 – wyrazy „sektorowe zespoły cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowe”,
  210. Applied w art. 65 w ust. 1 – wyrazy „zagrożeniom cyberbezpieczeństwa” zastępuje się wyrazem „cyberzagrożeniom”,
  211. Applied w art. 65 w ust. 1 w pkt 3 wyrazy „i CSIRT NASK” zastępuje się wyrazami „CSIRT NASK i CSIRT sektorowych”,
  212. Applied w art. 65 w ust. 1 w pkt 4 wyrazy „sektorowych zespołów cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowych”,
  213. Applied w art. 65 w ust. 1 pkt 8 otrzymuje brzmienie: „8) współdziałania zespołów CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowego w sektorze bankowości i infrastruktury rynków finansowych oraz właściwego organu w rozumieniu rozporządzenia 2022/2554, w zakresie działalności podmiotów finansowych będących podmiotami kluczowymi lub podmiotami ważnymi;”
  214. Applied w art. 65 w ust. 1 dodaje się pkt 9 w brzmieniu: „9) decyzji w sprawie uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka.”
  215. Applied w art. 65 w ust. 2 wyrazy „Rady Ministrów” zastępuje się wyrazami „Prezesa Rady Ministrów”;
  216. Applied po art. 65 dodaje się art. 65a w brzmieniu: „Art. 65a. 1. Przewodniczący Kolegium, działając z urzędu lub na wniosek innego członka Kolegium, może zlecić CSIRT MON, CSIRT NASK lub CSIRT GOV przeprowadzenie analizy dotyczącej wpływu konkretnych produktów ICT, usług ICT lub procesów ICT na bezpieczeństwo usług świadczonych przez podmioty określo…”
  217. Applied w art. 66 w ust. 1 w pkt 4 w lit. g kropkę zastępuje się przecinkiem i dodaje się lit. h w brzmieniu: „h) organy właściwe do spraw cyberbezpieczeństwa.”
  218. Applied w art. 66 ust. 3 otrzymuje brzmienie: „3. Członkowie Kolegium, o których mowa w ust. 1 pkt 4 lit. a–e oraz lit. h, mogą być zastępowani przez upoważnionych przedstawicieli w randze sekretarza stanu, podsekretarza stanu, wiceprezesa urzędu lub zastępcy przewodniczącego.”
  219. Applied w art. 66 w ust. 4 pkt 1 otrzymuje brzmienie: „1) dyrektor Rządowego Centrum Bezpieczeństwa albo jego zastępca;”
  220. Applied w art. 66 w ust. 4 w pkt 5 kropkę zastępuje się średnikiem i dodaje się pkt 6–9 w brzmieniu: „6) Dowódca Komponentu Wojsk Obrony Cyberprzestrzeni albo jego zastępca; 7) Prokurator Generalny albo jego zastępca; 8) Szef Agencji Wywiadu albo jego zastępca; 9) Szef Służby Wywiadu Wojskowego albo jego zastępca.”
  221. Applied w art. 66 w ust. 5 w pkt 2 kropkę zastępuje się średnikiem i dodaje się pkt 3–8 w brzmieniu: „3) może pisemnie wnioskować o przeprowadzenie badania, o którym mowa w art. 33 ust. 1; 4) może zlecić CSIRT MON, CSIRT NASK lub CSIRT GOV, przeprowadzenie analizy dotyczącej wpływu konkretnych produktów ICT, usług ICT lub procesów ICT na bezpieczeństwo usług, o której mowa w art. 65a ust. 1; 5) może…”
  222. Applied w art. 66 po ust. 5 dodaje się ust. 5a w brzmieniu: „5a. Kolegium przyjmuje i rozpatruje sprawy na posiedzeniu albo w drodze korespondencyjnego uzgodnienia stanowisk (tryb obiegowy).”
  223. Applied w art. 66 w ust. 7 wyrazy „sektorowych zespołów cyberbezpieczeństwa” zastępuje się wyrazami „CSIRT sektorowych”,
  224. Applied w art. 66 po ust. 7 dodaje się ust. 7a i 7b w brzmieniu: „7a. Sekretarz Kolegium może powołać swojego zastępcę spośród osób spełniających wymagania określone w ust. 6. Zastępcę sekretarza Kolegium odwołuje sekretarz Kolegium. 7b. W przypadku nieobecności sekretarza Kolegium jego obowiązki wykonuje zastępca sekretarza Kolegium, w tym zastępuje go na posiedz…”
  225. Not applied po rozdziale 12 dodaje się rozdział 12a w brzmieniu: „Rozdział 12a Szczególne działania na rzecz zapewnienia cyberbezpieczeństwa na poziomie krajowym Art. 67a. 1. Pełnomocnik może wydać rekomendacje określające środki techniczne i organizacyjne stosowane w celu zwiększania poziomu bezpieczeństwa systemów informacyjnych podmiotów krajowego systemu cyber…”
  226. Applied art. 69 otrzymuje brzmienie: „Art. 69. 1. Strategia określa: 1) cele strategiczne i cele szczegółowe oraz środki organizacyjne i regulacyjne, służące ich realizacji; 2) mechanizm służący określeniu istotnych zasobów i szacowania ryzyka związanego z cyberbezpieczeństwem; 3) zasady współpracy między sektorem publicznym i prywatnym…”
  227. Applied w art. 70 ust. 1 otrzymuje brzmienie: „1. Projekt Strategii opracowuje minister właściwy do spraw informatyzacji we współpracy z Pełnomocnikiem, innymi ministrami, właściwymi kierownikami urzędów centralnych, a także właściwym organem w rozumieniu rozporządzenia 2022/2554.”
  228. Applied w art. 70 dodaje się ust. 3 w brzmieniu: „3. Strategia jest ogłaszana w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski”.”
  229. Applied po art. 70 dodaje się art. 70a w brzmieniu: „Art. 70a. 1. Podmioty, o których mowa w art. 69 ust. 1 pkt 4, przekazują na żądanie ministra właściwego do spraw informatyzacji informację o bieżącym stanie realizacji celów szczegółowych Strategii i działań określonych w planie działań. 2. CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowy i organ w…”
  230. Applied art. 71 otrzymuje brzmienie: „Art. 71. Minister właściwy do spraw informatyzacji we współpracy z Pełnomocnikiem, innymi ministrami i właściwymi kierownikami urzędów centralnych dokonuje przeglądu Strategii i oceny jej skuteczności, nierzadziej niż co 2,5 roku.”
  231. Not applied po rozdziale 13 dodaje się rozdział 13a w brzmieniu: „Rozdział 13a Krajowy plan reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę Art. 72a. Rada Ministrów przyjmuje, w drodze uchwały, Krajowy plan. Art. 72b. 1. Krajowy plan określa cele i tryb zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na du…”
  232. Applied w art. 73 ust. 1 otrzymuje brzmienie: „1. Karze pieniężnej podlega podmiot kluczowy lub podmiot ważny, który: 1) nie uzupełnił w terminie brakujących danych w wykazie albo nie dokonał korekty danych pomimo wezwania, o którym mowa w art. 7b ust. 2 albo art. 7j ust. 3, albo art. 7k ust. 2, art. 7l ust. 3 pkt 2 albo art. 7m ust. 3; 2) nie p…”
  233. Applied w art. 73 po ust. 1 dodaje się ust. 1a–1d w brzmieniu: „1a. Organ właściwy do spraw cyberbezpieczeństwa, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów, może nałożyć karę pieniężną na podmiot, który: 1) w terminie, o którym mowa w art. 7c ust. 1, nie złożył wniosku o wpis do wykazu; 2) nie wykonuje obowiązków, o których mowa w art. 9. 1b.…”
  234. Applied w art. 73 uchyla się ust. 2,
  235. Applied w art. 73 ust. 3 otrzymuje brzmienie: „3. Wysokość kary pieniężnej nie może przekroczyć 10 000 000 euro, wyrażonej w złotych i ustalanej przy zastosowaniu kursu średniego ogłaszanego przez Narodowy Bank Polski obowiązującego w dniu 31 grudnia w roku poprzedzającym rok wydania decyzji o wymierzeniu kary lub 2 % przychodów osiągniętych prz…”
  236. Applied w art. 73 po ust. 3 dodaje się ust. 3a w brzmieniu: „3a. W przypadku gdy okres wykonywania działalności gospodarczej jest krótszy niż 12 miesięcy albo podmiot nie osiągnął przychodu za podstawę wymiaru kary pieniężnej przyjmuje się równowartość kwoty 500 000 euro, wyrażonej w złotych i ustalanej przy zastosowaniu kursu średniego ogłaszanego przez Naro…”
  237. Applied w art. 73 ust. 4 i 5 otrzymują brzmienie: „4. Wysokość kary pieniężnej nie może przekroczyć 7 000 000 euro, wyrażonej w złotych i ustalanej przy zastosowaniu kursu średniego ogłaszanego przez Narodowy Bank Polski obowiązującego w dniu 31 grudnia w roku poprzedzającym rok wydania decyzji o wymierzeniu kary lub 1,4 % przychodów osiągniętych pr…”
  238. Applied po art. 73 dodaje się art. 73a–73c w brzmieniu: „Art. 73a. 1. Karze pieniężnej może podlegać kierownik podmiotu kluczowego lub podmiotu ważnego, który: 1) nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 7b ust. 4, art. 7c ust. 1, 3 lub art. 7f ust. 3, 2) nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 8, 3…”
  239. Applied art. 74 otrzymuje brzmienie: „Art. 74. 1. Karę pieniężną, o której mowa w art. 73, art. 73a i art. 73b ust. 1 pkt 4 i 5, nakłada, w drodze decyzji, organ właściwy do spraw cyberbezpieczeństwa. 2. Karę pieniężną, o której mowa w art. 73b ust. 1 pkt 1–3, nakłada, w drodze decyzji, minister właściwy do spraw informatyzacji. 3. Karę…”
  240. Applied uchyla się art. 75 i art. 76;
  241. Applied po art. 76 dodaje się art. 76a–76e w brzmieniu: „Art. 76a. 1. Organ właściwy do spraw cyberbezpieczeństwa, podejmując decyzję o nałożeniu kary pieniężnej i ustalając jej wysokość, uwzględnia odpowiednio kryteria określone w art. 53 ust. 12 oraz wysokość przychodu uzyskanego z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie ka…”
  242. Applied w art. 83 wyrazy „Zagrożenia cyberbezpieczeństwa” zastępuje się wyrazem „Cyberzagrożenia”;
  243. Applied w art. 93 uchyla się ust. 8,
  244. Applied w art. 93 ust. 11 otrzymuje brzmienie: „11. W przypadku zagrożenia przekroczenia lub przekroczenia przyjętych nadany rok budżetowy maksymalnych limitów wydatków, o których mowa w ust. 1–6, zostaną zastosowane mechanizmy korygujące polegające na: 1) ograniczeniu wydatków związanych z realizacją zadań organu właściwego do spraw cyberbezpiec…”
  245. Applied w art. 93 uchyla się ust. 23;
  246. Not applied załączniki nr 1 i 2 do ustawy otrzymują brzmienie określone w załącznikach nr 1 i 2 do niniejszej ustawy;
  247. Not applied dodaje się załączniki nr 3 i 4 do ustawy w brzmieniu określonym w załącznikach nr 3 i 4 do niniejszej ustawy.

Preview +1172 lines added −397 lines removed

Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw

DU/2026/815 In force from July 4, 2026 Some instructions applied

Applied to version 19, Dz.U. 2026 poz. 20.

Instructions

  1. Applied w art. 15 w ust. 7 w pkt 2 wyrazy „właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym” zastępuje się wyrazami „operatorem infrastruktury krytycznej, o którym mowa w art. 3 pkt 3a ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2026 r. poz. 574 i 815)”;
  2. Applied w art. 26 w ust. 3 w pkt 13 wyrazy „części Raportu o zagrożeniach bezpieczeństwa narodowego, o którym mowa w art. 5a ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, dotyczącej cyberbezpieczeństwa” zastępuje się wyrazami „propozycji do ujęcia w projekcie Krajowej Oceny Ryzyka, o której mowa w art. 6e ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, dotyczących cyberbezpieczeństwa”,
  3. Applied w art. 26 w ust. 5 w pkt 1 skreśla się wyrazy „, w tym podmioty, których systemy teleinformatyczne lub sieci teleinformatyczne objęte są jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym”,
  4. Applied w art. 26 w ust. 7 w pkt 5 i 6 wyrazy „jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym” zastępuje się wyrazami „wykazem, o którym mowa w art. 6r ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym”;
  5. Not applied w art. 46 po ust. 1a dodaje się ust. 1b w brzmieniu: „1b. System teleinformatyczny zapewnia wymianę informacji między organami do spraw podmiotów krytycznych, o których mowa w art. 6zk ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, dyrektorem Rządowego Centrum Bezpieczeństwa a podmiotami krytycznymi, o których mowa w art. 3 pkt 1a t…”

Preview +5 lines added −5 lines removed

Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji

DU/2026/1003 In force from Oct. 28, 2026 No instruction could be applied

Applied to version 19, Dz.U. 2026 poz. 20.

Instructions

  1. Not applied w art. 26 w ust. 3 w pkt 23 kropkę zastępuje się średnikiem i dodaje się pkt 24 w brzmieniu: „24) współpraca z Komisją Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.”

Ustawa z dnia 31 lipca 2026 r. o zmianie ustawy - Prawo bankowe oraz niektórych innych ustaw

DU/2026/1206 In force from Jan. 11, 2027 No instruction could be applied

Applied to version 19, Dz.U. 2026 poz. 20.

Instructions

  1. Not applied w załączniku nr 1 do ustawy w kolumnie I Sektor w sektorze „Bankowość i infrastruktura rynków finansowych” w kolumnie III „Rodzaj podmiotu” wyrazy „Oddział banku zagranicznego, o którym mowa w art. 4 ust. 1 pkt 20 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe” zastępuje się wyrazami „Oddział z państwa trzeciego w rozumieniu art. 4 ust. 1 pkt 20a ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe”.

Bills in the Sejm

None.