SOC a ustawa o KSC Co NIS2 zmienia dla Twojej firmy.

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026. Firmy objęte ustawą muszą wykrywać incydenty, zgłaszać je w ciągu 24 godzin i mieć kogoś, kto się nimi zajmie. Wyjaśniamy, co to oznacza w praktyce i w czym pomaga zewnętrzny SOC.

Damian Waszczak, CBO, Senior Security AnalystZaktualizowano

Zobacz SOC 24/7 i MDR Omów swoją sytuację

Kogo dotyczy ustawa o KSC

Ustawa dzieli objęte nią organizacje na podmioty kluczowe i podmioty ważne. O tym, czy Twoja firma do nich należy, decyduje przede wszystkim sektor (między innymi energetyka, transport, ochrona zdrowia, infrastruktura cyfrowa, gospodarka odpadami i produkcja wybranych wyrobów) oraz wielkość przedsiębiorstwa.

Co do zasady chodzi o średnie i duże firmy z sektorów wymienionych w ustawie, ale część podmiotów podlega jej niezależnie od wielkości. Jeśli nie masz pewności, zacznij od tej oceny, bo od niej zależą wszystkie kolejne obowiązki. Pomoże Ci w tym nasz test „Czy podlegasz KSC?”.

Najważniejsze terminy

3 kwietnia 2026Nowelizacja wchodzi w życie.
3 października 2026Wpis do wykazu podmiotów kluczowych i ważnych. Ten termin już minął, więc firmy, które powinny się zarejestrować, a jeszcze tego nie zrobiły, powinny nadrobić to bez zwłoki.
3 kwietnia 2027Wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), obsługa i zgłaszanie incydentów, podłączenie do systemu S46 i wyznaczenie osób kontaktowych.
3 kwietnia 2028Pierwszy audyt bezpieczeństwa w podmiotach kluczowych. Kolejne co najmniej raz na trzy lata.

Terminy według informacji Ministerstwa Cyfryzacji, stan na październik 2026. Ten tekst nie jest poradą prawną.

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

Poważny incydent zgłasza się do właściwego zespołu CSIRT w trzech krokach. Czas liczy się od wykrycia incydentu, dlatego tak ważne jest, jak szybko zostanie zauważony.

  1. 1

    Wczesne ostrzeżenie w ciągu 24 godzin

    Krótka informacja, że doszło do poważnego incydentu, ze wstępną oceną, czy mógł być skutkiem działania bezprawnego i czy może mieć wpływ na inne kraje.

  2. 2

    Zgłoszenie incydentu w ciągu 72 godzin

    Rozwinięcie wczesnego ostrzeżenia: wstępna ocena incydentu, jego wagi i skutków oraz wskaźniki naruszenia (IOC), jeśli są dostępne.

  3. 3

    Raport końcowy w ciągu miesiąca

    Szczegółowy opis incydentu, jego prawdopodobna przyczyna, zastosowane środki zaradcze i ewentualne skutki transgraniczne.

Własne struktury czy zewnętrzny SOC?

Ustawa daje dwie drogi: podmiot może powołać wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Przepisy nie nakazują wprost budowy SOC, ale wymagają wykrywania i obsługi incydentów oraz zgłaszania ich w terminie.

Całodobowy dyżur to w praktyce co najmniej pięć, sześć etatów, żeby pokryć zmiany, urlopy i zwolnienia. Dla większości średnich firm zewnętrzny SOC jest po prostu tańszy i szybszy do uruchomienia.

W czym pomaga zewnętrzny SOC

Kary

Za niewdrożenie obowiązków grożą kary od 20 000 zł do 10 mln euro lub 2% przychodu dla podmiotów kluczowych oraz od 15 000 zł do 7 mln euro lub 1,4% przychodu dla podmiotów ważnych, przy czym liczy się wyższa kwota. Kierownikowi podmiotu grozi kara do 300% wynagrodzenia.

Kary można nakładać dopiero po dwóch latach od wejścia nowelizacji w życie, czyli od kwietnia 2028. Okres przejściowy nie zwalnia jednak z obowiązków, które obowiązują już teraz.

Najczęstsze pytania o SOC i KSC

Czy ustawa o KSC wymaga posiadania SOC?

Nie wprost. Wymaga wykrywania i obsługi incydentów, zgłaszania ich w terminie oraz zapewnienia struktur bezpieczeństwa: własnych albo w ramach umowy z dostawcą usług zarządzanych. SOC, wewnętrzny lub zewnętrzny, to najprostszy sposób, żeby te obowiązki realnie wykonywać.

Czy wystarczy SOC działający w godzinach pracy?

To zależy od wyniku szacowania ryzyka, które ustawa każe przeprowadzić. Pamiętaj, że 24 godziny na wczesne ostrzeżenie liczą się od wykrycia, także w weekend. Dlatego firmom objętym ustawą zwykle proponujemy SOC Pro z dyżurem całodobowym.

Moja firma nie podlega ustawie. Czy to temat dla mnie?

Tak, jeśli dostarczasz usługi lub produkty podmiotom kluczowym albo ważnym. Muszą one zarządzać ryzykiem w łańcuchu dostaw, więc coraz częściej wymagają od dostawców konkretnych zabezpieczeń.

Ile kosztuje zewnętrzny SOC?

Zależy od liczby urządzeń, źródeł logów i wymaganego czasu reakcji. Szczegóły opisujemy na stronie o kosztach SOC.

Przewodnik po ustawie o KSC

Sprawdźmy, czego potrzebuje Twoja firma

Opisz swoje środowisko i sektor. Powiemy, jak SOC wpisuje się w obowiązki z ustawy o KSC i od czego warto zacząć.

Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com
0/500

* Pola wymagane

Podane dane wykorzystamy wyłącznie do odpowiedzi na Twoje zapytanie. Zasady ich przetwarzania opisuje nasza polityka prywatności.