Administracja publiczna w coraz większym stopniu opiera swoje funkcjonowanie na systemach informatycznych. Elektroniczne usługi dla obywateli, rejestry publiczne, systemy podatkowe, platformy komunikacji, obieg dokumentów, systemy finansowo-księgowe czy rozwiązania wspierające ochronę zdrowia i pomoc społeczną są dziś niezbędne do realizacji zadań państwa i samorządów. Zakłócenie ich działania może oznaczać nie tylko przestój techniczny, lecz także brak możliwości załatwienia sprawy urzędowej, wypłaty świadczenia, dostępu do dokumentacji lub realizacji usługi publicznej. 

Z tego względu administracja publiczna została uznana za jeden z obszarów wymagających szczególnej ochrony w ramach dyrektywy NIS2. Celem regulacji jest podniesienie wspólnego poziomu cyberbezpieczeństwa w Unii Europejskiej oraz zwiększenie odporności organizacji, których działalność ma istotne znaczenie dla społeczeństwa, gospodarki i bezpieczeństwa państwa. Dyrektywa NIS2 została przyjęta 14 grudnia 2022 r. i zastąpiła wcześniejszą dyrektywę NIS. 

W Polsce wymagania NIS2 zostały wdrożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Ustawa z 23 stycznia 2026 r. została ogłoszona 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r. Oznacza to, że obowiązki wynikające z NIS2 i KSC nie są już wyłącznie przedmiotem planowanych zmian – stanowią część obowiązującego prawa. 

Nowe regulacje zmieniają podejście do cyberbezpieczeństwa w urzędach. Nie chodzi już tylko o zakup programu antywirusowego, zapory sieciowej lub wykonanie kopii zapasowej. NIS2 w administracji publicznej wymaga systemowego zarządzania ryzykiem, określenia odpowiedzialności, ochrony łańcucha dostaw, kontrolowania dostępów, dokumentowania działań, przygotowania procedur reagowania oraz regularnej oceny skuteczności wdrożonych zabezpieczeń. 

Czym jest dyrektywa NIS2 i dlaczego obejmuje administrację publiczną? 

Dyrektywa NIS2 ustanawia wymagania dotyczące zarządzania ryzykiem w cyberbezpieczeństwie, zgłaszania incydentów, nadzoru oraz odpowiedzialności osób kierujących organizacjami. Jej zakres jest znacznie szerszy niż w przypadku wcześniejszej dyrektywy NIS i obejmuje większą liczbę sektorów oraz podmiotów świadczących usługi istotne dla społeczeństwa. 

Administracja publiczna została objęta regulacją, ponieważ odpowiada za procesy, których ciągłość ma bezpośredni wpływ na obywateli i funkcjonowanie państwa. Urzędy przetwarzają duże ilości danych, realizują zadania wynikające z przepisów prawa i utrzymują systemy wykorzystywane przez mieszkańców, przedsiębiorców oraz inne instytucje. Atak ransomware, przejęcie konta uprzywilejowanego, awaria rejestru lub utrata danych mogą więc zakłócić wykonywanie zadań publicznych na poziomie lokalnym, regionalnym lub centralnym. 

Cyberbezpieczeństwo urzędu nie ogranicza się przy tym do ochrony danych osobowych. Obejmuje także zapewnienie dostępności, integralności, poufności i autentyczności informacji oraz utrzymanie ciągłości usług. W praktyce oznacza to konieczność zabezpieczenia zarówno infrastruktury technicznej, jak i procesów organizacyjnych, personelu, dostawców oraz sposobu nadawania uprawnień. 

Które jednostki administracji publicznej obejmują NIS2 i ustawa o KSC? 

Ustawy o KSC nie należy interpretować w ten sposób, że każdy podmiot publiczny automatycznie posiada taki sam status i identyczny zakres obowiązków. Regulacja obejmuje podmioty publiczne wskazane w załącznikach nr 1 i 2 do ustawy. Podmioty wymienione w załączniku nr 1 są podmiotami kluczowymi, natomiast wskazane w załączniku nr 2 – podmiotami ważnymi. W przypadku sektora publicznego status ten co do zasady nie zależy od wielkości organizacji, lecz od przypisania jej do odpowiedniej kategorii określonej w ustawie. 

Do podmiotów objętych regulacją mogą należeć między innymi: 

• organy administracji rządowej oraz obsługujące je urzędy,  
• ministerstwa, urzędy centralne i urzędy wojewódzkie,  
• organy kontroli państwowej i ochrony prawa,  
• sądy i trybunały,  
• wybrane państwowe i samorządowe jednostki budżetowe,  
• starostwa powiatowe,  
• urzędy gmin,  
• samorządowe zakłady budżetowe,  
• instytucje kultury i wybrane jednostki organizacyjne samorządów,  
• spółki wykonujące zadania o charakterze użyteczności publicznej. 

Klasyfikacja jednostek samorządowych jest bardziej szczegółowa. Przykładowo starostwa powiatowe zostały zaliczone do podmiotów kluczowych. Urząd gminy zatrudniający na 1 stycznia danego roku co najmniej 50 osób w przeliczeniu na pełny etat jest podmiotem kluczowym, natomiast pozostałe urzędy gmin będące samorządowymi jednostkami budżetowymi są podmiotami ważnymi. Szczegółowy status należy jednak zawsze ustalać na podstawie aktualnych załączników do ustawy i charakteru realizowanych zadań. 

Najważniejsze terminy dla administracji publicznej 

Nowelizacja KSC przewiduje okres dostosowawczy, ale nie oznacza to, że przygotowania można odłożyć do ostatniego momentu. 

3 kwietnia 2026 r. – wejście w życie nowelizacji KSC 

Od tego dnia obowiązują nowe zasady identyfikacji podmiotów kluczowych i ważnych, odpowiedzialności kierownictwa, prowadzenia Wykazu KSC oraz przygotowania organizacji do realizacji obowiązków. 

3 października 2026 r. – termin dotyczący wpisu do Wykazu KSC 

Podmioty podlegające samodzielnej rejestracji mają sześć miesięcy na złożenie wniosku. Podmioty publiczne wskazane w załącznikach są zasadniczo wpisywane z urzędu, powinny jednak zweryfikować poprawność danych i odpowiedzieć na ewentualne wezwanie do ich uzupełnienia. 

3 kwietnia 2027 r. – wdrożenie obowiązków i rozpoczęcie korzystania z S46 

Do tego dnia podmioty, które spełniały kryteria w momencie wejścia w życie nowelizacji, powinny wdrożyć wymagania dotyczące między innymi systemu zarządzania bezpieczeństwem informacji, obsługi incydentów, osób kontaktowych i dokumentacji. Jest to również termin rozpoczęcia korzystania z systemu S46, służącego między innymi do raportowania incydentów i komunikacji z podmiotami KSC. 

3 kwietnia 2028 r. – pierwszy obowiązkowy audyt 

Termin dotyczy podmiotów kluczowych objętych obowiązkiem pierwszego audytu, które wcześniej nie posiadały statusu operatora usługi kluczowej. Następne audyty powinny być przeprowadzane co najmniej raz na trzy lata. 

Jakie obowiązki NIS2 nakłada na administrację publiczną? 

Jednym z najważniejszych wymagań ustawy o KSC jest wdrożenie systemu zarządzania bezpieczeństwem informacji, czyli SZBI, w systemach wykorzystywanych w procesach wpływających na świadczenie usług. W przypadku administracji usługą w rozumieniu ustawy może być również wykonywane zadanie publiczne. 

Systemowe podejście oznacza, że urząd powinien znać swoje usługi, procesy, systemy informacyjne, zasoby, użytkowników i dostawców. Dopiero na tej podstawie można określić zagrożenia i dobrać środki bezpieczeństwa odpowiednie do charakteru oraz znaczenia realizowanych zadań. 

Do najważniejszych obszarów wymaganych przez KSC należą: 

• szacowanie ryzyka wystąpienia incydentów i zarządzanie tym ryzykiem,  
• polityki bezpieczeństwa systemów informacyjnych,  
• bezpieczeństwo nabywania, rozwoju, utrzymania i testowania systemów,  
• bezpieczeństwo fizyczne i środowiskowe,  
• bezpieczeństwo personelu,  
• bezpieczeństwo produktów, usług i procesów ICT w łańcuchu dostaw,  
• plany ciągłości działania, plany awaryjne i odtwarzanie działalności,  
• ciągłe monitorowanie systemów,  
• ocena skuteczności środków technicznych i organizacyjnych,  
• edukacja personelu i stosowanie zasad cyberhigieny,  
• stosowanie kryptografii i – w odpowiednich przypadkach – szyfrowania,  
• bezpieczna komunikacja i uwierzytelnianie wieloskładnikowe,  
• zarządzanie aktywami,  
• polityki kontroli dostępu,  
• zarządzanie podatnościami, aktualizacjami i incydentami. 

Zakres obowiązków zależy od statusu jednostki. Podmioty kluczowe realizują pełny katalog wymagań wskazanych w art. 8 ustawy. Podmiot ważny będący podmiotem publicznym wdraża natomiast SZBI zgodnie z wymaganiami określonymi w załączniku nr 4 do ustawy. Rozróżnienie to ma znaczenie między innymi dla zakresu formalnego szacowania ryzyka, środków organizacyjnych i procedury raportowania incydentów.  

Niezależnie od statusu urząd powinien również opracowywać, aktualizować i nadzorować dokumentację bezpieczeństwa. 

Odpowiedzialność w urzędzie za cyberbezpieczeństwo 

Polska ustawa o KSC szczegółowo określa zadania kierownika podmiotu kluczowego lub ważnego. Kierownik: 

• podejmuje decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru nad SZBI,  
• planuje odpowiednie środki finansowe na realizację obowiązków,  
• przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie,  
• zapewnia świadomość personelu oraz znajomość wewnętrznych regulacji,  
• odpowiada za zgodność działania podmiotu z prawem i przyjętymi procedurami.  

Kierownik podmiotu oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, mają obowiązek raz w roku kalendarzowym przejść odpowiednie szkolenie. Udział w szkoleniu powinien zostać udokumentowany.  

Cyberbezpieczeństwo nie może być więc wyłącznie zadaniem administratorów IT. Dział informatyczny odpowiada za znaczną część zabezpieczeń technicznych, ale skuteczne wdrożenie NIS2 wymaga udziału także: 

• kierownictwa jednostki,  
• właścicieli usług i procesów,  
• działów prawnych i zamówień publicznych,  
• kadr,  
• osób odpowiedzialnych za ciągłość działania,  
• inspektora ochrony danych,  
• pracowników korzystających z systemów. 

To kierownictwo zatwierdza zasady, zapewnia finansowanie, określa odpowiedzialności i egzekwuje stosowanie procedur. Dział IT nie może samodzielnie rozwiązać problemów wynikających z nieprawidłowych zapisów umów, braku przeglądów uprawnień, niewystarczających szkoleń czy niejasnego podziału odpowiedzialności za usługi publiczne. 

Zgłaszanie incydentów zgodnie z NIS2 i ustawą o KSC 

Ustawa o KSC wprowadza wieloetapowy model raportowania incydentów poważnych. Incydent poważny to zdarzenie, które powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości świadczenia usługi. Może nim być również incydent powodujący straty finansowe lub istotne szkody materialne albo niematerialne po stronie innych podmiotów lub osób.  

W standardowym modelu podmiot kluczowy lub ważny: 

do 24 godzin od wykrycia przekazuje wczesne ostrzeżenie, 

do 72 godzin od wykrycia dokonuje zgłoszenia incydentu poważnego, 

na wniosek CSIRT przekazuje sprawozdania okresowe, 

do miesiąca od zgłoszenia przekazuje sprawozdanie końcowe, a jeżeli obsługa nadal trwa – sprawozdanie z postępu i późniejsze sprawozdanie końcowe. 

Aby zachować ustawowe terminy, urząd musi przygotować procedurę jeszcze przed wystąpieniem incydentu. Powinna ona określać sposób wykrywania i klasyfikacji zdarzeń, osoby uprawnione do dokonania zgłoszenia, zastępstwa na czas nieobecności, zasady komunikacji z kierownictwem, ścieżkę eskalacji oraz sposób gromadzenia informacji potrzebnych do raportu. 

Audyty, kontrole i dokumentowanie zgodności z KSC 

Podmioty kluczowe są zobowiązane do przeprowadzania na własny koszt audytu bezpieczeństwa systemów informacyjnych wykorzystywanych do świadczenia usług. Audyt powinien odbywać się co najmniej raz na trzy lata. Kopię raportu należy przekazać właściwemu organowi w postaci elektronicznej w ciągu trzech dni roboczych od jego otrzymania. 

Sama polityka bezpieczeństwa nie będzie wystarczającym dowodem zgodności. Urząd powinien potrafić wykazać, że wymagane działania są wykonywane w praktyce. Znaczenie będą miały między innymi: 

• aktualne rejestry zasobów i systemów,  
• wyniki przeglądów uprawnień,  
• historia zmian konfiguracyjnych,  
• rejestry incydentów i podatności,  
• potwierdzenia instalacji aktualizacji,  
• wyniki testów kopii zapasowych,  
• raporty z testów ciągłości działania,  
• potwierdzenia szkoleń,  
• oceny dostawców,  
• decyzje dotyczące akceptacji i postępowania z ryzykiem. 

Jak administracja publiczna powinna przygotować się do wdrożenia NIS2? 

Pierwszym krokiem powinno być potwierdzenie, czy jednostka została objęta ustawą oraz czy posiada status podmiotu kluczowego, czy ważnego. Od tego zależy szczegółowy zakres obowiązków, procedura raportowania i wymogi audytowe. 

Następnie urząd powinien przeprowadzić uporządkowany program przygotowawczy. 

1. Zidentyfikować usługi i zadania publiczne
2. Zinwentaryzować systemy i zasoby 
3. Przeprowadzić analizę luk 
4. Uporządkować dostępy 
5. Przygotować procedurę obsługi incydentów 
6. Zweryfikować ciągłość działania 
7. Ocenić dostawców 
8. Przygotować dokumentację i dowody 
9. Przeszkolić kierownictwo i personel 

Najczęstsze wyzwania związane z NIS2 w urzędach 

Jednym z najczęstszych problemów jest brak jednej, aktualnej ewidencji infrastruktury. Informacje o komputerach mogą znajdować się w jednym systemie, dane o licencjach w arkuszach kalkulacyjnych, konta w usługach katalogowych, umowy u pracowników administracyjnych, a zgłoszenia w skrzynkach e-mail. Taki model utrudnia ustalenie, które zasoby wspierają daną usługę i kto za nie odpowiada. 

Drugim wyzwaniem jest rozproszona odpowiedzialność. System może być utrzymywany przez dział IT, właścicielem procesu może być wydział merytoryczny, umowę nadzoruje dział zamówień, a dostawca posiada zdalny dostęp administracyjny. Bez jednoznacznego przypisania ról trudno szybko podjąć decyzję w czasie incydentu. 

Administracja publiczna korzysta również z wielu starszych systemów i rozwiązań tworzonych w różnych okresach. Mogą one nie wspierać współczesnych metod uwierzytelniania, automatycznych aktualizacji lub szczegółowego rejestrowania zdarzeń. Modernizacja musi być więc zaplanowana tak, aby poprawiać bezpieczeństwo bez niekontrolowanego zakłócenia usług publicznych. 

Kolejne problemy to ograniczone zasoby kadrowe, niedostateczna automatyzacja, trudności w pozyskiwaniu specjalistów i brak czasu na systematyczne dokumentowanie działań. Nowelizacja KSC przewiduje możliwość organizowania wspólnej obsługi obowiązków cyberbezpieczeństwa przez jednostki samorządu terytorialnego oraz zawierania w tym celu porozumień. Może to pomóc mniejszym jednostkom w racjonalnym wykorzystaniu zasobów i kompetencji. 

Jak system ITAM, IAM i ITSM wspiera realizację wymagań NIS2? 

Spełnienie wymagań NIS2 wymaga zarówno środków bezpieczeństwa, jak i wiedzy o tym, co należy chronić, kto posiada dostęp oraz jak organizacja reaguje na zdarzenia. Właśnie w tych obszarach wykorzystuje się rozwiązania klasy ITAM, IAM i ITSM. 

ITAM i CMDB wspierają inwentaryzację sprzętu, oprogramowania, systemów, lokalizacji, właścicieli i zależności. Dzięki relacjom pomiędzy zasobami urząd może określić, jakie elementy infrastruktury wspierają konkretną usługę oraz jaki wpływ może mieć ich awaria. 

IAM porządkuje cykl życia tożsamości, kont i uprawnień. Ułatwia nadawanie dostępów zgodnie z rolą, ich zatwierdzanie, okresową weryfikację i odbieranie po zmianie stanowiska lub zakończeniu współpracy. 

ITSM wspiera rejestrowanie incydentów, problemów i zmian. Pozwala określić ścieżki eskalacji, terminy, odpowiedzialności, klasyfikację zdarzeń i wymagane informacje. Historia zgłoszenia może jednocześnie stanowić dowód podjętych działań. 

Połączenie tych trzech obszarów pozwala odpowiedzieć na podstawowe pytania istotne dla NIS2: 

• jakie zasoby i systemy posiada organizacja,  
• które usługi są od nich zależne,  
• kto ma do nich dostęp,  
• kto jest ich właścicielem,  
• jakie incydenty ich dotyczyły,  
• jakie zmiany zostały wykonane,  
• czy wymagane działania zostały przeprowadzone w terminie.  

System ITAM, IAM lub ITSM nie zapewnia jednak zgodności samodzielnie. Jest narzędziem wspierającym wdrożenie i dokumentowanie procesów. Organizacja nadal potrzebuje odpowiednich polityk, kompetencji, zabezpieczeń technicznych, monitorowania, kopii zapasowych, analizy ryzyka i zaangażowania kierownictwa.

Jak LOG Plus może wspierać administrację w przygotowaniu do NIS2 i KSC? 

LOG Plus łączy funkcje zarządzania zasobami IT, usługami, zgłoszeniami, procesami i dostępami. Dzięki temu może pełnić rolę centralnego źródła informacji potrzebnych do organizowania działań związanych z cyberbezpieczeństwem. 

W obszarze ITAM LOG Plus umożliwia ewidencję zasobów, śledzenie ich cyklu życia oraz tworzenie relacji pomiędzy sprzętem, użytkownikami, lokalizacjami i strukturą organizacyjną. Mapa zależności może ułatwić ocenę wpływu awarii lub incydentu na pozostałe elementy środowiska.  

W obszarze IAM system wspiera zarządzanie pełnym cyklem życia tożsamości i uprawnień. Pozwala kontrolować, kto i na jakim poziomie ma dostęp do systemów oraz zasobów, obsługiwać wnioski o nadanie uprawnień i odbierać dostępy, gdy przestają być potrzebne.  

Funkcje ITSM i ServiceDesk umożliwiają obsługę incydentów, problemów, zmian, akceptacji i innych procesów. Edytor procesów, reguły biznesowe oraz automatyzacja mogą wspierać przydzielanie odpowiedzialności, eskalacje, kontrolę terminów i gromadzenie informacji niezbędnych do raportowania. 

Wdrożenie platformy nie zastępuje SZBI ani nie zapewnia automatycznie zgodności z NIS2. Może jednak znacząco ułatwić uporządkowanie danych, procesów i odpowiedzialności, bez których skuteczne spełnianie obowiązków KSC jest bardzo trudne. 

Podsumowanie

Wpływ dyrektywy NIS2 i nowelizacji ustawy o KSC na administrację publiczną wykracza daleko poza konieczność zakupu nowych zabezpieczeń. Regulacje wymagają zmiany sposobu zarządzania organizacją – od inwentaryzacji zasobów, przez kontrolę dostępów i bezpieczeństwo dostawców, aż po obsługę incydentów, ciągłość działania, dokumentację i odpowiedzialność kierownictwa. 

Dla urzędów kluczowe znaczenie ma teraz ustalenie statusu jednostki, identyfikacja realizowanych usług oraz systemów, przygotowanie SZBI, podłączenie do S46 i zbudowanie mechanizmów pozwalających wykazać, że wymagane działania są wykonywane w praktyce. 

Termin 3 kwietnia 2027 r. nie powinien być traktowany jako data rozpoczęcia prac, lecz jako moment, w którym wymagane rozwiązania mają już funkcjonować. Podmioty kluczowe objęte obowiązkiem audytowym powinny dodatkowo przygotować się do pierwszego audytu przewidzianego do 3 kwietnia 2028 r.  

Największą wartością NIS2 może być nie samo spełnienie wymagań formalnych, lecz stworzenie administracji zdolnej do utrzymania usług publicznych także w sytuacji awarii, cyberataku lub błędu człowieka. Wymaga to połączenia odpowiednich technologii, procesów, aktualnych danych oraz świadomych decyzji podejmowanych przez kierownictwo.