Kiedy incydent jest „poważny” według KSC?

W połowie sierpnia 2026 r. w wykazie prac legislacyjnych Rady Ministrów opublikowano założenia projektu rozporządzenia w sprawie progów uznania incydentu za poważny. Relacje prasowe streściły to jednym zdaniem, że rząd dopiero określi, co jest incydentem poważnym. Zdanie jest chwytliwe i prowadzi do mylnego wniosku, że do czasu przyjęcia rozporządzenia nie ma czego stosować. W praktyce działają dziś równolegle trzy reżimy progowe. Każdy podmiot podlega jednemu z nich i warto wiedzieć, któremu.

Definicja jest w ustawie, liczby w akcie wykonawczym

Art. 2 pkt 7 ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20 ze zm.) opisuje incydent poważny jako taki, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub ważny, straty finansowe tego podmiotu albo poważną szkodę materialną lub niematerialną dla innych osób i jednostek. To definicja jakościowa. Granicę liczbową wyznacza dopiero rozporządzenie wydawane na podstawie art. 11 ust. 4 ustawy.

Sierpniowe założenia zapowiadają objęcie progami 15 sektorów i podsektorów oraz cztery rodzaje kryteriów: liczbę użytkowników dotkniętych zakłóceniem, czas oddziaływania incydentu na usługę, zasięg geograficzny oraz inne czynniki właściwe dla danego sektora. Tabeli z wartościami na tym etapie nie ma. Przyjęcie rozporządzenia przez Radę Ministrów planowane jest na III lub IV kwartał 2026 r. Nie jest przesądzone, czy dla sektorów objętych regulacją już wcześniej progi zostaną powtórzone, czy skorygowane.

Trzy reżimy działające równolegle

Rozporządzenie Rady Ministrów z 31 października 2018 r. (Dz.U. poz. 2180) nadal obowiązuje i obejmuje sześć sektorów: energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną i jej dystrybucję oraz infrastrukturę cyfrową. Utrzymano je w mocy na okres przejściowy, nie dłużej niż 12 miesięcy od wejścia w życie nowelizacji, czyli najdalej do 3 kwietnia 2027 r.

Dla części podmiotów progi wynikają wprost z prawa unijnego. Rozporządzenie wykonawcze Komisji (UE) 2024/2690 stosuje się bezpośrednio i zawiera konkretne wartości liczbowe.

Sektory dopisane nowelizacją — między innymi gospodarowanie odpadami, chemikalia, żywność, produkcja przemysłowa, przestrzeń kosmiczna, usługi pocztowe i badania naukowe — nie mają jeszcze progów krajowych. Pozostaje im definicja ustawowa oraz cztery kryteria z projektu.

Liczby, które obowiązują już dziś

Rozporządzenie 2024/2690 dotyczy dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, ośrodków przetwarzania danych, sieci dostarczania treści, dostawców usług zarządzanych i usług zarządzanych w zakresie bezpieczeństwa, internetowych platform handlowych, wyszukiwarek, platform sieci społecznościowych oraz dostawców usług zaufania.

Zgodnie z art. 3 ust. 1 incydent jest poważny między innymi wtedy, gdy spowodował lub może spowodować bezpośrednią stratę finansową przekraczającą 500 000 EUR albo 5% rocznego obrotu podmiotu za poprzedni rok obrotowy, przy czym stosuje się wartość niższą. Ten fragment bywa cytowany nieprecyzyjnie, a różnica ma znaczenie praktyczne: przy obrocie poniżej 10 mln EUR próg realny jest niższy niż pół miliona euro.

Pozostałe przesłanki ogólne to wyciek tajemnicy przedsiębiorstwa, śmierć osoby fizycznej, znaczna szkoda na zdrowiu oraz udany, prawdopodobnie złośliwy i nieuprawniony dostęp do systemów, mogący spowodować poważne zakłócenie działalności. Art. 4 dodaje regułę kumulacji: incydenty, które osobno progu nie przekraczają, traktuje się łącznie, jeżeli wystąpiły co najmniej dwukrotnie w ciągu sześciu miesięcy, mają tę samą widoczną przyczynę źródłową i razem spełniają kryterium finansowe.

Progi szczegółowe bywają ostrzejsze, niż podpowiada intuicja. Dla dostawcy usług zarządzanych i MSSP (art. 10) incydentem poważnym jest już całkowita niedostępność usługi trwająca ponad 30 minut. Dla ośrodka przetwarzania danych (art. 8) — całkowita niedostępność bez progu czasowego oraz naruszenie ochrony dostępu fizycznego. Dla usług zaufania (art. 14) — 20 minut. Zaplanowane przerwy serwisowe incydentem poważnym nie są (art. 3 ust. 2).

Zegar biegnie niezależnie od tego, który zestaw progów Państwa dotyczy

Ustawa przewiduje trzy etapy: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia (art. 11 ust. 1 pkt 4), zgłoszenie incydentu poważnego w ciągu 72 godzin — również od wykrycia, a nie od ostrzeżenia (pkt 4a) — oraz sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (pkt 4c). Zawartość poszczególnych dokumentów określają art. 12 i 12a, sprawozdanie z postępu obsługi — art. 12b. Kanałem przekazywania jest system S46.

Obowiązki raportowe zaczynają obowiązywać w dwóch terminach: 3 października 2026 r. dla podmiotów objętych ustawą przed nowelizacją oraz 3 kwietnia 2027 r. dla podmiotów włączonych do systemu po raz pierwszy. Sektor bankowości i infrastruktury rynków finansowych korzysta z wyłączenia z art. 8i ust. 1 i raportuje na zasadach DORA.

Kary: wysokie pułapy, ale z karencją

Ustawa przewiduje kary do 10 mln EUR albo 2% przychodu dla podmiotów kluczowych i do 7 mln EUR albo 1,4% dla podmiotów ważnych, a w razie bezpośredniego i poważnego zagrożenia — do 100 mln zł. Kara nakładana na kierownika podmiotu nie może przekroczyć 300% jego wynagrodzenia.

Do tego obrazu trzeba dodać przepis, który w doniesieniach prasowych zwykle znika. Zgodnie z art. 35 ustawy nowelizującej (Dz.U. 2026 poz. 252) kary pieniężne mogą zostać nałożone po raz pierwszy dopiero po upływie dwóch lat od jej wejścia w życie, czyli od 3 kwietnia 2028 r. Dostępne opracowania różnią się w ocenie, czy karencja obejmuje również karę nadzwyczajną do 100 mln zł. Nie mamy w tej kwestii pewności — w konkretnej sprawie weryfikujemy to bezpośrednio na tekście ustawy.

Praktycznego wniosku to jednak nie zmienia. Karencja dotyczy sankcji finansowej, nie obowiązku. Zgłoszenie po terminie pozostaje naruszeniem, a organ dysponuje instrumentami nadzorczymi innymi niż kara pieniężna.

Co warto zrobić przed publikacją rozporządzenia

Jeżeli działają Państwo w jednym z sześciu sektorów objętych rozporządzeniem z 2018 r., progi już istnieją. Warto oprzeć na nich procedurę klasyfikacji i od razu zaplanować jej przegląd na moment wejścia w życie nowego aktu.

Jeżeli świadczą Państwo usługi zarządzane, usługi chmurowe, hosting, DNS albo usługi zaufania, punktem odniesienia jest rozporządzenie 2024/2690 — najlepiej w tekście źródłowym, nie w streszczeniu.

Jeżeli Państwa sektor został dopisany nowelizacją, krajowych wartości liczbowych nie ma. Można jednak zbudować tymczasową matrycę decyzyjną w oparciu o definicję ustawową i cztery kryteria z projektu, a po publikacji rozporządzenia ją skorygować. Niezależnie od sektora warto wskazać osobę, która w ciągu 24 godzin podejmuje decyzję o klasyfikacji, i przejść ścieżkę zgłoszenia w S46 przed pierwszym incydentem, a nie w jego trakcie.

Jak możemy pomóc. Wspieramy podmioty kluczowe i ważne w ustaleniu, który reżim progowy je obejmuje, w opracowaniu procedury klasyfikacji i zgłaszania incydentu oraz w przygotowaniu zespołu do pracy w reżimie 24/72 godzin. Prowadzimy to tak, aby zaangażowanie Państwa zespołu pozostało możliwie niewielkie, a priorytety — jasne.

---

Tekst ma charakter informacyjny i nie stanowi porady prawnej. Stan na 24 sierpnia 2026 r. Opisywane rozporządzenie pozostaje na etapie założeń projektu, a jego treść może się zmienić przed przyjęciem przez Radę Ministrów.

Źródła

1. Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20 ze zm.) — art. 2 pkt 7, art. 8i, art. 11 ust. 1 pkt 4, 4a i 4c, art. 11 ust. 4, art. 12–12b, przepisy o karach pieniężnych.

2. Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), w tym art. 35.

3. Rozporządzenie Rady Ministrów z 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz.U. poz. 2180).

4. Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z 17 października 2024 r. — art. 3, art. 4, art. 7–10, art. 14.

5. Założenia projektu rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny, wykaz prac legislacyjnych Rady Ministrów, sierpień 2026 r.

6. Depesza PAP z 18 sierpnia 2026 r. — terminy 3 października 2026 r. i 3 kwietnia 2027 r. oraz sektorowe zespoły CSIRT.