Czy każda jednostka sektora finansów publicznych podlega znowelizowanej ustawie o KSC? Jak prawidłowo ustalić status jednostki

Jednym z pierwszych pytań pojawiających się przy wdrażaniu nowych obowiązków cyberbezpieczeństwa jest pytanie:

Czy każda jednostka sektora finansów publicznych podlega znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa?

Odpowiedź nie sprowadza się do prostego „tak” albo „nie”.

Samo posiadanie statusu jednostki sektora finansów publicznych nie przesądza jeszcze:

• czy jednostka jest podmiotem kluczowym;
• czy jest podmiotem ważnym;
• z jakiej podstawy wynika jej status;
• czy powinna stosować pełny system zarządzania bezpieczeństwem informacji z art. 8 ust. 1 ustawy o KSC;
• czy powinna wdrożyć SZBI zgodny z art. 8 ust. 3 i załącznikiem nr 4;
• jaki organ jest właściwy do sprawowania nad nią nadzoru.

Część JSFP jest podmiotami kluczowymi niezależnie od swojej wielkości. Część jest podmiotami ważnymi, jeżeli realizuje zadania publiczne z wykorzystaniem systemów informacyjnych. Inne jednostki podlegają ustawie ze względu na działalność prowadzoną w określonym sektorze, na przykład ochrony zdrowia, badań naukowych, zaopatrzenia w wodę, odprowadzania ścieków, energii albo transportu.

Możliwa jest również sytuacja, w której konkretna JSFP nie spełnia żadnej z ustawowych przesłanek uznania jej za podmiot kluczowy albo ważny.

Dlatego prawidłowa kwalifikacja wymaga analizy konkretnej jednostki, a nie jedynie ustalenia, czy znajduje się ona w katalogu z art. 9 ustawy o finansach publicznych.

NIS2 czy ustawa o KSC?

Dyrektywa NIS2 zobowiązała państwa członkowskie Unii Europejskiej do ustanowienia wymagań służących osiągnięciu wysokiego wspólnego poziomu cyberbezpieczeństwa.

Bezpośrednią podstawą obowiązków polskich jednostek jest jednak przede wszystkim ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, zmieniona ustawą z 23 stycznia 2026 r. Nowelizacja została ogłoszona 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r.

Dlatego w odniesieniu do konkretnej jednostki precyzyjniej jest mówić o:

• podleganiu ustawie o KSC;
• kwalifikacji na podstawie ustawy o KSC;
• wdrażaniu obowiązków KSC/NIS2.

Określenie „podleganie NIS2” jest komunikacyjnie zrozumiałe, ale może być prawnie nieprecyzyjne. Zakres polskiej ustawy i szczególne rozwiązania dotyczące podmiotów publicznych nie muszą dokładnie pokrywać się z minimalnym zakresem dyrektywy.

JSFP nie jest tym samym co podmiot publiczny w ustawie o KSC

Katalog jednostek sektora finansów publicznych określa art. 9 ustawy o finansach publicznych. Obejmuje on między innymi organy władzy publicznej, jednostki samorządu terytorialnego, jednostki budżetowe, samorządowe zakłady budżetowe, agencje wykonawcze, samodzielne publiczne zakłady opieki zdrowotnej, uczelnie publiczne oraz państwowe i samorządowe instytucje kultury.

Ustawa o KSC posługuje się natomiast własną definicją podmiotu publicznego. Jest nim podmiot wskazany w załączniku nr 1 albo nr 2 do ustawy w sektorze „podmioty publiczne”. Katalog ten nie jest identyczny z pełnym katalogiem JSFP.

Oznacza to, że:

Przynależność do sektora finansów publicznych nie powoduje automatycznie uznania jednostki za podmiot kluczowy ani nie przesądza o zastosowaniu jednakowego zakresu obowiązków.

Jednocześnie jednostka będąca JSFP może podlegać ustawie na innej podstawie, na przykład jako podmiot działający w sektorze ochrony zdrowia albo badań naukowych.

Trzy elementy prawidłowej kwalifikacji

Analiza jednostki powinna prowadzić do trzech odrębnych ustaleń.

1. Czy jednostka podlega ustawie?

Należy sprawdzić, czy odpowiada rodzajowi podmiotu wymienionemu w załączniku nr 1 albo nr 2 lub spełnia inną szczególną przesłankę określoną w art. 5 KSC.

2. Jaki ma status?

Jednostka może być:

• podmiotem kluczowym;
• podmiotem ważnym;
• podmiotem pozostającym poza obiema kategoriami.

Jeżeli spełnia jednocześnie przesłanki podmiotu kluczowego i ważnego, stosuje się do niej przepisy dotyczące podmiotu kluczowego.

3. Jaki model SZBI powinna stosować?

Ustalenie statusu podmiotu ważnego nie zawsze kończy analizę.

Część podmiotów ważnych stosuje pełny SZBI z art. 8 ust. 1. Podmiot ważny będący podmiotem publicznym oraz określony podmiot systemu szkolnictwa wyższego i nauki niebędący organizacją badawczą stosuje natomiast art. 8 ust. 3 i wymagania określone w załączniku nr 4.

Pierwsza ścieżka: podmiot publiczny z załącznika nr 1

Podmiot publiczny wskazany w załączniku nr 1, w sektorze „podmioty publiczne”, jest podmiotem kluczowym niezależnie od swojej wielkości.

Załącznik nr 1 wymienia między innymi określone:

• organy władzy publicznej i obsługujące je urzędy;
• jednostki budżetowe, z uwzględnieniem szczególnych reguł dotyczących samorządu;
• agencje wykonawcze;
• instytucje gospodarki budżetowej;
• Zakład Ubezpieczeń Społecznych i zarządzane przez niego fundusze;
• Kasę Rolniczego Ubezpieczenia Społecznego i fundusze zarządzane przez Prezesa KRUS;
• Narodowy Fundusz Zdrowia;
• państwowe instytucje kultury;
• instytuty badawcze;
• inne podmioty wskazane bezpośrednio w załączniku.

Załącznik odsyła między innymi do art. 9 pkt 3, 5–6, 8 i 9 ustawy o finansach publicznych. Nie obejmuje natomiast ogólnie kategorii państwowych funduszy celowych z art. 9 pkt 7 tej ustawy.

Niektóre podmioty noszące w nazwie określenie „fundusz” zostały jednak wymienione w załączniku nr 1 odrębnie. Nie oznacza to objęcia ustawą całej kategorii państwowych funduszy celowych z art. 9 pkt 7 ustawy o finansach publicznych. O kwalifikacji decyduje treść konkretnej pozycji załącznika nr 1.

Szczególne zasady dotyczące samorządu

W odniesieniu do administracji samorządowej ustawa wprowadza bardziej zróżnicowane zasady.

Podmiotami kluczowymi są w szczególności:

• starostwa powiatowe;
• urzędy gmin zatrudniające 1 stycznia danego roku, w przeliczeniu na pełny wymiar czasu pracy, na podstawie umowy o pracę co najmniej 50 osób;
• określone jednostki budżetowe i zakłady budżetowe samorządu województwa, z uwzględnieniem ustawowych wyłączeń.

Kryterium dotyczące urzędu gminy nie jest zwykłym progiem zatrudnienia. Należy uwzględnić jednocześnie:

• stan zatrudnienia na 1 stycznia;
• zatrudnienie na podstawie umowy o pracę;
• przeliczenie na pełny wymiar czasu pracy.

Wyłączenie jednostki samorządowej z załącznika nr 1 nie oznacza automatycznie, że pozostaje ona poza zakresem ustawy. Może zostać objęta załącznikiem nr 2 jako podmiot ważny.

Druga ścieżka: samorządowy podmiot publiczny z załącznika nr 2

Załącznik nr 2 w sektorze „podmioty publiczne” wymienia między innymi:

• samorządowe jednostki budżetowe;
• samorządowe zakłady budżetowe;
• samorządowe instytucje kultury;
• spółki wykonujące zadania o charakterze użyteczności publicznej.

Podmiot należący do tej grupy jest podmiotem ważnym, jeżeli:

1. nie jest podmiotem kluczowym;
2. realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Status ten powstaje z mocy ustawy po spełnieniu wskazanych przesłanek. Nie wymaga uprzedniej uznaniowej decyzji organu.

Przykładowo urząd gminy, który nie osiąga progu właściwego dla podmiotu kluczowego, może być podmiotem ważnym jako samorządowa jednostka budżetowa. Podobnie szkoła, przedszkole, ośrodek pomocy społecznej albo samorządowa instytucja kultury nie pozostają poza ustawą wyłącznie dlatego, że są małymi jednostkami.

Funkcjonalny związek systemu z zadaniem publicznym

Warunek realizowania zadania publicznego z wykorzystaniem systemu informacyjnego wymaga analizy funkcjonalnej.

Nie wystarczy ustalić, że jednostka posiada komputery, pocztę elektroniczną, program księgowy albo elektroniczny obieg dokumentów. Trzeba zbadać, czy konkretny system rzeczywiście uczestniczy w procesie wykonywania zadania publicznego.

Może chodzić na przykład o system służący do:

• prowadzenia postępowań administracyjnych;
• wykonywania świadczeń;
• prowadzenia rejestru publicznego;
• obsługi procesu dydaktycznego;
• realizacji usług komunalnych;
• prowadzenia dokumentacji medycznej;
• obsługi procesu bezpośrednio związanego z ustawowym zadaniem jednostki.

Samo wykorzystywanie systemu do pomocniczej obsługi administracyjnej nie powinno być automatycznie utożsamiane z realizacją zadania publicznego z wykorzystaniem systemu informacyjnego. Nie oznacza to jednak, że poczta elektroniczna, system księgowy albo obieg dokumentów nigdy nie mogą spełnić tego warunku.

Decydujące znaczenie ma rzeczywista funkcja systemu w procesie realizacji zadania publicznego.

Ustawa nie zawiera kompletnego testu rozgraniczającego system pomocniczy od systemu wykorzystywanego do realizacji zadania. Ocena powinna więc odnosić się do rzeczywistych procesów jednostki i zostać udokumentowana.

Trzecia ścieżka: działalność w innym sektorze

Jednostka sektora finansów publicznych może podlegać KSC również ze względu na działalność prowadzoną w innym sektorze wymienionym w załączniku nr 1 albo nr 2.

Może to dotyczyć między innymi sektorów:

• ochrony zdrowia;
• zaopatrzenia w wodę pitną;
• zbiorowego odprowadzania ścieków;
• energii;
• transportu;
• infrastruktury cyfrowej;
• badań naukowych.

Analiza nie może więc kończyć się na sprawdzeniu wyłącznie sektora „podmioty publiczne”.

Przykładowo jednostka wykonująca zadania wodociągowe może podlegać także regulacjom sektora zaopatrzenia w wodę. SPZOZ powinien być oceniany z uwzględnieniem przepisów dotyczących podmiotów leczniczych, a uczelnia – sektora badań naukowych.

W przypadku zbiegu kilku podstaw należy ustalić:

• wszystkie podstawy kwalifikacji;
• status końcowy;
• właściwy model SZBI;
• właściwy organ do spraw cyberbezpieczeństwa.

Uczelnia publiczna – podmiot ważny, ale nie zawsze ten sam SZBI

Załącznik nr 2 w sektorze badań naukowych obejmuje między innymi podmioty, o których mowa w art. 7 ust. 1 pkt 1–4 oraz 6–7 Prawa o szkolnictwie wyższym i nauce. Kategoria ta obejmuje uczelnie.

Uczelnia publiczna jest więc co do zasady podmiotem ważnym. Ocena, czy uczelnia jest organizacją badawczą, decyduje przede wszystkim o rodzaju stosowanego SZBI, a nie o samym objęciu uczelni ustawą.

Organizacja badawcza

Zgodnie z art. 2 pkt 10a KSC organizacją badawczą jest niebędąca podmiotem kluczowym osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej, której podstawową działalnością jest prowadzenie badań aplikacyjnych lub prac rozwojowych, w zakresie, w jakim prowadzi tę działalność z wykorzystaniem systemów informacyjnych.

Definicja wymaga łącznego spełnienia następujących warunków:

1. podmiot jest osobą prawną albo jednostką organizacyjną nieposiadającą osobowości prawnej;
2. nie jest podmiotem kluczowym;
3. jego podstawową działalnością jest prowadzenie badań aplikacyjnych lub prac rozwojowych;
4. działalność ta jest prowadzona z wykorzystaniem systemów informacyjnych.

Nie należy w tym kontekście używać określenia „badania stosowane”. Ustawa odwołuje się do badań aplikacyjnych i prac rozwojowych w rozumieniu Prawa o szkolnictwie wyższym i nauce.

Według wyjaśnień Ministerstwa Cyfryzacji wykorzystanie systemu informacyjnego powinno mieć znaczenie dla samego prowadzenia badań lub prac rozwojowych. Samo elektroniczne dokumentowanie wyników nie przesądza jeszcze o spełnieniu tego warunku.

Dwa możliwe modele

Uczelnia niebędąca organizacją badawczą:

• pozostaje co do zasady podmiotem ważnym;
• stosuje art. 8 ust. 3;
• wdraża SZBI zgodny z załącznikiem nr 4.

Uczelnia będąca organizacją badawczą:

• jest podmiotem ważnym;
• stosuje pełny SZBI z art. 8 ust. 1;
• wdraża ten model dla całego podmiotu, a nie tylko dla wybranej jednostki prowadzącej badania.

Ministerialne Q&A stanowi materiał interpretacyjny, a nie źródło powszechnie obowiązującego prawa. Może jednak pomagać w odczytaniu przepisów w przypadkach, w których ustawa pozostawia wątpliwości praktyczne.

Podmioty lecznicze niebędące przedsiębiorcami

Art. 5 ust. 8 KSC wprowadza szczególne progi dla podmiotów leczniczych niebędących przedsiębiorcami.

Taki podmiot:

• jest podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób;
• jest podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób.

Ustawa posługuje się określeniem „osoby”, a nie wyłącznie „pracownicy”. Zgodnie z wyjaśnieniami Ministerstwa Cyfryzacji należy uwzględniać również zatrudnienie niepracownicze, w tym osoby wykonujące zadania na podstawie umów cywilnoprawnych.

SPZOZ zatrudniający mniej niż 50 osób nie podlega KSC wyłącznie z tytułu statusu podmiotu leczniczego niebędącego przedsiębiorcą.

Odrębnej analizy wymaga tylko ewentualne spełnienie innej, niezależnej przesłanki, na przykład:

• prowadzenie działalności w innym sektorze;
• odpowiadanie innej kategorii podmiotu;
• indywidualna identyfikacja przez właściwy organ.

Status jednostki a wpis do Wykazu KSC

Status podmiotu kluczowego albo ważnego zasadniczo wynika ze spełnienia przesłanek ustawowych, a nie z samego wpisu do Wykazu KSC.

W typowym przypadku wpis:

• dokumentuje status podmiotu;
• umożliwia współpracę z organami i CSIRT;
• zapewnia dostęp do odpowiednich funkcji Systemu S46;
• nie jest decyzją, która dopiero tworzy status jednostki.

Ustawa przewiduje jednak przypadki indywidualnej identyfikacji podmiotu w drodze decyzji. Nieprawidłowe byłoby więc twierdzenie, że decyzja administracyjna nigdy nie może wpływać na kwalifikację.

Brak zawiadomienia o wpisie nie powinien być traktowany jako dowód, że jednostka nie podlega ustawie. Ministerstwo wskazuje, że identyfikacja kolejnych podmiotów publicznych i dokonywanie wpisów z urzędu są procesem sukcesywnym.

Wpis podmiotu publicznego z urzędu

Podmioty publiczne są wpisywane do Wykazu KSC z urzędu. Po otrzymaniu zawiadomienia i wezwania podmiot uzupełnia brakujące dane.

Termin na ich uzupełnienie wynosi sześć miesięcy od dnia doręczenia wezwania, a nie od wejścia w życie nowelizacji ani od technicznej daty wpisu.

Jednostka, która nie otrzymała jeszcze wezwania, nadal powinna:

• ustalić swój status;
• rozpocząć przygotowanie do wykonywania obowiązków;
• zgromadzić dane potrzebne do uzupełnienia wpisu;
• śledzić komunikaty Ministerstwa Cyfryzacji i Systemu S46.

Właściwy organ do spraw cyberbezpieczeństwa

Organ właściwy ustala się na podstawie art. 41 i 41a KSC, z uwzględnieniem:

• sektora;
• statusu podmiotu publicznego;
• podległości lub nadzoru;
• szczególnych reguł dotyczących podmiotów samorządowych.

Dla sektora podmiotów publicznych organem właściwym jest zasadniczo minister właściwy do spraw informatyzacji, z wyjątkami przewidzianymi w art. 41a.

Jeżeli podmiot publiczny jest wymieniony również w innym sektorze, art. 41a ust. 4 wskazuje organ właściwy dla tego innego sektora. Reguła ta nie dotyczy jednak samorządowych podmiotów publicznych.

Nie można więc automatycznie przyjmować, że wykonywanie przez jednostkę samorządową działalności sektorowej powoduje przejście całej właściwości na organ właściwy dla tego sektora.

Jak przeprowadzić kwalifikację krok po kroku?

Krok 1. Zidentyfikuj podmiot

Należy ustalić:

• pełną nazwę;
• formę prawną i organizacyjną;
• podstawę utworzenia;
• NIP, REGON i ewentualnie KRS;
• pozycję w art. 9 ustawy o finansach publicznych;
• relację z jednostką nadrzędną, tworzącą albo obsługującą;
• zakres samodzielności organizacyjnej i prawnej.

Nie należy kwalifikować całej struktury samorządowej jednym rozstrzygnięciem. Urząd, szkoła, biblioteka, OPS, zakład budżetowy i spółka komunalna mogą podlegać innym podstawom.

Krok 2. Ustal rzeczywistą działalność

Analiza powinna objąć:

• zadania ustawowe i statutowe;
• zadania powierzone;
• usługi świadczone mieszkańcom;
• działalność leczniczą;
• działalność dydaktyczną i badawczą;
• działalność wodociągową, kanalizacyjną, energetyczną lub transportową;
• zadania wykonywane w ramach wspólnej obsługi.

Kod PKD może mieć znaczenie pomocnicze, ale nie zastępuje analizy rzeczywiście wykonywanych zadań i usług.

Krok 3. Sprawdź załączniki nr 1 i 2

Nie należy ograniczać analizy do sektora „podmioty publiczne”. Trzeba sprawdzić wszystkie sektory odpowiadające działalności jednostki.

Dla każdej możliwej podstawy należy wskazać:

• właściwy wiersz załącznika;
• odpowiedni przepis art. 5;
• kryteria wielkości, jeżeli mają zastosowanie;
• ewentualne wyłączenia.

Krok 4. Zbadaj wykorzystanie systemów informacyjnych

Należy powiązać:

zadanie publiczne → proces → system informacyjny → funkcja systemu → znaczenie dla wykonania zadania.

Sama lista aplikacji, serwerów i urządzeń nie przesądza jeszcze o spełnieniu warunku ustawowego.

Krok 5. Sprawdź regulacje szczególne

Trzeba odrębnie przeanalizować między innymi:

• próg właściwy dla urzędów gmin;
• progi dotyczące podmiotów leczniczych niebędących przedsiębiorcami;
• definicję organizacji badawczej;
• podmioty objęte ustawą niezależnie od wielkości;
• ustawowe wyłączenia;
• możliwość indywidualnej identyfikacji.

Krok 6. Rozstrzygnij zbieg podstaw

Jeżeli jednostka odpowiada kilku kategoriom, należy wskazać wszystkie podstawy i ustalić:

• status końcowy;
• właściwy SZBI;
• właściwy organ;
• właściwy CSIRT.

Jeżeli jedna z podstaw prowadzi do uznania jednostki za podmiot kluczowy, stosuje się status podmiotu kluczowego.

Krok 7. Udokumentuj wynik

Wynik powinien zostać przedstawiony w karcie kwalifikacji, protokole samoidentyfikacji albo innym zatwierdzonym dokumencie.

Przykładowa kwalifikacja wybranych jednostek

Podstawy prawne: art. 2 pkt 10a, art. 5 ust. 1, 2, 4 i 8, art. 8 ust. 1 i 3, art. 16d, art. 41 i 41a oraz załączniki nr 1, 2 i 4 do ustawy o KSC.

Tabela ma charakter pomocniczy. Ostateczna kwalifikacja wymaga analizy konkretnej jednostki i jej działalności.

Co powinna zawierać karta kwalifikacji?

Dokument kwalifikacyjny powinien obejmować co najmniej:

1. dane identyfikacyjne jednostki;
2. formę prawną i organizacyjną;
3. podstawę utworzenia;
4. pozycję w art. 9 ustawy o finansach publicznych;
5. opis rzeczywiście wykonywanych zadań;
6. wskazanie procesów i systemów wykorzystywanych do realizacji zadań publicznych;
7. analizę załączników nr 1 i 2;
8. analizę kryteriów wielkości i regulacji szczególnych;
9. analizę wyłączeń;
10. wskazanie wszystkich podstaw kwalifikacji;
11. status końcowy;
12. właściwy model SZBI;
13. właściwy organ i CSIRT;
14. tryb wpisu do Wykazu KSC;
15. źródła danych i podstawy prawne;
16. datę oceny i termin kolejnego przeglądu;
17. osoby przygotowujące, opiniujące i zatwierdzające dokument.

Ocena negatywna również powinna być uzasadniona. Samo stwierdzenie, że jednostka zatrudnia mniej niż 50 osób, nie stanowi wystarczającej podstawy do uznania jej za niepodlegającą ustawie.

Najważniejsze ryzyka kwalifikacyjne

Najczęstsze błędy można sprowadzić do kilku grup:

• utożsamiania wszystkich JSFP z podmiotami kluczowymi;
• traktowania 50 osób jako uniwersalnego progu stosowania ustawy;
• sprawdzania tylko sektora podmiotów publicznych;
• kwalifikowania całej struktury samorządowej jako jednego podmiotu;
• uzależniania statusu od wpisu do Wykazu KSC;
• automatycznego uznawania każdego używanego systemu za system realizujący zadanie publiczne;
• nierozróżniania statusu podmiotu od właściwego modelu SZBI;
• nieuwzględniania szczególnych reguł właściwości organów dla samorządowych podmiotów publicznych.

Podsumowanie

Samo posiadanie statusu jednostki sektora finansów publicznych nie wystarcza do ustalenia obowiązków KSC.

Prawidłowa kwalifikacja wymaga łącznej analizy:

• formy prawnej i organizacyjnej;
• załączników nr 1 i 2;
• rzeczywiście wykonywanych zadań i działalności;
• wykorzystania systemów informacyjnych;
• kryteriów wielkości i regulacji szczególnych;
• możliwego zbiegu kilku podstaw;
• właściwego modelu SZBI;
• właściwego organu i CSIRT.

Kwalifikacja jednostki powinna wskazywać nie tylko, czy jest ona podmiotem kluczowym albo ważnym, lecz także z jakiej podstawy wynika ten status i jaki zakres obowiązków należy zastosować.

Wynik analizy powinien zostać udokumentowany, zatwierdzony na właściwym poziomie zarządzania i aktualizowany po zmianach organizacyjnych, prawnych lub dotyczących działalności jednostki.

Zastrzeżenie: Artykuł ma charakter informacyjny i nie stanowi opinii ani porady prawnej. Kwalifikacja konkretnego podmiotu wymaga uwzględnienia jego formy prawnej, struktury organizacyjnej, rzeczywiście wykonywanych zadań, sposobu wykorzystywania systemów informacyjnych oraz aktualnego stanu prawnego.

Źródła

Urzędowe źródła prawa

Podstawowym źródłem obowiązujących norm są akty ogłoszone w Dzienniku Ustaw wraz z późniejszymi ustawami zmieniającymi.

• Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa – urzędowy tekst jednolity ogłoszony w Dz.U. z 2026 r. poz. 20 ↗. Tekst jednolity został ogłoszony przed nowelizacją z 23 stycznia 2026 r., dlatego należy czytać go łącznie z późniejszymi zmianami.
• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. z 2026 r. poz. 252 ↗.
• Ustawa z 27 sierpnia 2009 r. o finansach publicznych – urzędowy tekst jednolity ogłoszony w Dz.U. z 2025 r. poz. 1483 ↗, z uwzględnieniem późniejszych zmian.
• Ustawa z 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce – urzędowy tekst jednolity ogłoszony w Dz.U. z 2024 r. poz. 1571 ↗, z uwzględnieniem późniejszych zmian.

Materiały informacyjne i interpretacyjne

Poniższe materiały pomagają w stosowaniu przepisów, ale nie są źródłami powszechnie obowiązującego prawa.

• Ustawa o KSC – karta aktu i tekst ujednolicony w bazie ISAP ↗. Udostępniany przez Kancelarię Sejmu tekst ujednolicony ma charakter informacyjny i powinien być weryfikowany z aktami ogłoszonymi w Dzienniku Ustaw.
• Ministerstwo Cyfryzacji – Q&A dotyczące nowelizacji ustawy o KSC, aktualizacja z czerwca 2026 r. ↗.
• Ministerstwo Cyfryzacji – informacje o samoidentyfikacji podmiotów ↗.
• Ministerstwo Cyfryzacji – informacje o samorejestracji i wpisach z urzędu do Wykazu KSC ↗.
• Cyber.gov.pl – FAQ dotyczące krajowego systemu cyberbezpieczeństwa ↗.