Podmiot kluczowy a podmiot ważny będący podmiotem publicznym – porównanie obowiązków KSC

Po ustaleniu, że jednostka podlega ustawie o krajowym systemie cyberbezpieczeństwa, trzeba odpowiedzieć na kolejne pytanie:

Czy jednostka jest podmiotem kluczowym, czy podmiotem ważnym będącym podmiotem publicznym – i jakie obowiązki wynikają z tej kwalifikacji?

Różnica nie sprowadza się do nazwy statusu. Wpływa przede wszystkim na:

• zakres systemu zarządzania bezpieczeństwem informacji;
• sposób raportowania incydentów poważnych;
• minimalną liczbę osób kontaktowych;
• obowiązek przeprowadzania okresowego audytu;
• charakter nadzoru sprawowanego przez właściwy organ.

Podmiot ważny będący podmiotem publicznym nie jest zwolniony z obowiązków KSC. Nadal podlega wymaganiom dotyczącym SZBI, dokumentacji, obsługi incydentów, informowania użytkowników, organizacji odpowiedzialności oraz współpracy z krajowym systemem cyberbezpieczeństwa.

Najważniejsza różnica polega na tym, że podmiot kluczowy stosuje zasadniczo pełny model zarządzania ryzykiem z art. 8 ust. 1 ustawy o KSC. Podmiot ważny będący podmiotem publicznym stosuje natomiast szczególny model określony w art. 8 ust. 3 i załączniku nr 4.

Ważny okres przejściowy

Podmioty, które spełniały przesłanki uznania ich za podmiot kluczowy albo ważny 3 kwietnia 2026 r., muszą rozpocząć realizację obowiązków określonych w rozdziale 3 ustawy najpóźniej 3 kwietnia 2027 r. Szczególne reguły przejściowe dotyczą między innymi dotychczasowych operatorów usług kluczowych i przedsiębiorców telekomunikacyjnych.

Kiedy podmiot publiczny jest podmiotem ważnym?

W artykule określenie „podmiot ważny publiczny” jest stosowane jako skrót redakcyjny. Pełne określenie ustawowe brzmi:

podmiot ważny będący podmiotem publicznym.

Zgodnie z art. 5 ust. 2 pkt 8 ustawy o KSC podmiotem ważnym może być podmiot publiczny, który łącznie:

1. nie jest podmiotem kluczowym;
2. jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej;
3. realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Sama forma organizacyjna nie wystarcza zatem do uzyskania statusu podmiotu ważnego.

Nie każda jednostka sektora finansów publicznych jest też podmiotem ważnym. Część podmiotów publicznych została zakwalifikowana jako podmioty kluczowe. Jednostka może ponadto podlegać ustawie z innej podstawy sektorowej, na przykład jako podmiot leczniczy, organizacja badawcza albo podmiot działający w sektorze wodno-kanalizacyjnym.

Jeżeli podmiot spełnia jednocześnie wymagania dla podmiotu kluczowego i ważnego, rozstrzygający jest status podmiotu kluczowego.

Porównanie najważniejszych obowiązków

1. Podmiot kluczowy – pełny model zarządzania ryzykiem

Podmiot kluczowy wdraża SZBI obejmujący systematyczne szacowanie ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem.

Środki techniczne i organizacyjne muszą być odpowiednie i proporcjonalne między innymi do:

• oszacowanego ryzyka;
• aktualnego stanu wiedzy;
• kosztów wdrożenia;
• wielkości podmiotu;
• narażenia na cyberzagrożenia;
• prawdopodobieństwa i możliwych skutków incydentu.

Pełny model obejmuje między innymi bezpieczeństwo nabywania, rozwoju i utrzymania systemów, bezpieczeństwo łańcucha dostaw, ciągłość działania, zarządzanie aktywami, kontrolę dostępu, monitorowanie systemów, kryptografię, cyberhigienę, zarządzanie podatnościami oraz obsługę incydentów.

SZBI nie może ograniczać się do zestawu polityk i procedur. Podmiot powinien być w stanie wykazać powiązanie:

zadanie lub usługa → proces → system informacyjny → ryzyko → zabezpieczenie → właściciel działania → dowód wykonania.

2. Podmiot ważny publiczny – model z załącznika nr 4

Podmiot ważny będący podmiotem publicznym nie stosuje pełnego modelu z art. 8 ust. 1. Opracowuje, wdraża, realizuje, monitoruje i utrzymuje w kontrolowanych przez siebie systemach informacyjnych SZBI spełniający wymagania załącznika nr 4.

Część I załącznika nr 4 określa obowiązkowe minimum obejmujące między innymi:

• inwentaryzację produktów, usług i procesów ICT;
• kontrolowanie stosowanych wersji produktów i usług;
• ochronę informacji przed nieuprawnionym dostępem, utratą i uszkodzeniem;
• zasadę minimalnych uprawnień;
• okresową weryfikację oraz cofanie nieaktualnych uprawnień;
• zasady bezpiecznej pracy zdalnej i mobilnej;
• zabezpieczenie poczty elektronicznej;
• wykonywanie odseparowanych kopii zapasowych;
• testowanie możliwości odtworzenia danych;
• procedury działania na wypadek awarii i incydentu;
• ochronę przed złośliwym oprogramowaniem;
• cyberhigienę i szkolenia;
• kontrolowanie cyklu życia produktów ICT.

Część II załącznika wskazuje rozwiązania dodatkowe, takie jak dedykowane monitorowanie, testy bezpieczeństwa, mechanizmy wysokiej dostępności, zasady korzystania z chmury publicznej, wymagania dotyczące generatywnej sztucznej inteligencji czy klauzule bezpieczeństwa w umowach serwisowych.

Środki z części II nie są automatycznie obowiązkowe dla każdej jednostki. Ich zastosowanie powinno wynikać z charakteru systemów, zagrożeń i potrzeb organizacji.

Podmiot ważny będący podmiotem publicznym może zintegrować wymagania załącznika nr 4 z szerszym systemem zarządzania bezpieczeństwem, na przykład zgodnym z ISO/IEC 27001. Nie zmienia to ustawowej podstawy jego obowiązków.

3. Model uproszczony nie oznacza braku analizy zagrożeń

Ustawa nie nakłada na podmiot ważny będący podmiotem publicznym pełnego modelu systematycznego szacowania ryzyka z art. 8 ust. 1.

Rzetelne wdrożenie załącznika nr 4 wymaga jednak w praktyce rozpoznania:

• chronionych systemów i procesów;
• istotnych zagrożeń oraz podatności;
• możliwych skutków zakłócenia realizacji zadania publicznego;
• zabezpieczeń już stosowanych;
• potrzeby zastosowania środków dodatkowych.

Bez takiego rozpoznania trudno ocenić, czy obowiązkowe minimum jest wystarczające. Szczególny model z załącznika nr 4 nie oznacza więc całkowitego porzucenia podejścia opartego na ryzyku. Różnica dotyczy przede wszystkim stopnia formalizacji i ustawowej konstrukcji SZBI.

4. Przegląd SZBI podmiotu ważnego publicznego

Podmiot ważny będący podmiotem publicznym dokonuje przeglądu SZBI:

• co najmniej raz w roku;
• bezzwłocznie po wydaniu dotyczącej go rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa;
• bezzwłocznie po wystąpieniu okoliczności mogących wpłynąć na ryzyko incydentu poważnego i wymagających ponownego wykonania działań albo zmiany SZBI.

W praktyce warto, aby roczny przegląd obejmował w szczególności:

• aktualność inwentaryzacji;
• wersje produktów i usług ICT;
• stan uprawnień;
• wyniki testów kopii zapasowych;
• skuteczność procedur awaryjnych;
• incydenty i podatności z poprzedniego okresu;
• zmiany systemów i dostawców;
• wykonanie szkoleń;
• stan działań naprawczych;
• potrzebę wdrożenia zabezpieczeń dodatkowych.

Zmiana daty na istniejącej procedurze nie stanowi rzeczywistego przeglądu SZBI.

5. Odpowiedzialność kierownika i szkolenia

Kierownik podmiotu kluczowego albo ważnego odpowiada za wykonywanie ustawowych obowiązków z zakresu cyberbezpieczeństwa. Odpowiedzialność pozostaje po jego stronie także wtedy, gdy zadania zostaną powierzone pracownikowi IT, pełnomocnikowi, wyodrębnionej komórce, centrum usług wspólnych, jednostce obsługującej albo zewnętrznemu dostawcy.

Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano konkretnej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu.

Kierownik w szczególności:

• podejmuje decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru nad SZBI;
• planuje adekwatne środki finansowe;
• przydziela zadania i nadzoruje ich wykonanie;
• zapewnia świadomość personelu;
• zapewnia zgodność działania jednostki z prawem i regulacjami wewnętrznymi.

Raz w każdym roku kalendarzowym udokumentowane szkolenie przechodzą:

1. kierownik podmiotu;
2. osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa.

6. Weryfikacja niekaralności personelu

Przed rozpoczęciem realizacji zadań określonych w art. 8 albo art. 11 osoba, która ma wykonywać te zadania, przedstawia informację z Krajowego Rejestru Karnego potwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji.

Kierownik dopuszcza tę osobę do wykonywania zadań dopiero po otrzymaniu wymaganej informacji.

Ponowne przedstawienie informacji jest wymagane, jeżeli podmiot poweźmie uzasadnione podejrzenie, że osoba została skazana za takie przestępstwo. Obowiązek uznaje się za spełniony, jeżeli osoba posiada ważne poświadczenie bezpieczeństwa uprawniające do dostępu do informacji niejawnych o klauzuli „poufne” albo wyższej.

W praktyce jednostka powinna:

• ustalić, które osoby realizują zadania z art. 8 lub art. 11;
• zapewnić przedstawienie informacji przed rozpoczęciem ich wykonywania;
• uwzględnić obowiązek w relacjach z dostawcami, jeżeli ich personel realizuje takie zadania;
• nie rozszerzać weryfikacji automatycznie na wszystkich pracowników jednostki.

7. Osoby kontaktowe i korzystanie z S46

Zasadą jest wyznaczenie co najmniej dwóch osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.

Ustawa przewiduje jednak wyjątki:

• podmiot kluczowy albo ważny będący mikro- lub małym przedsiębiorcą wyznacza co najmniej jedną osobę;
• podmiot ważny będący podmiotem publicznym wyznacza co najmniej jedną osobę.

Mimo że ustawowe minimum może wynosić jedną osobę, organizacja powinna zapewnić realne zastępstwo na czas urlopu, choroby albo innej nieobecności.

Po uzyskaniu wpisu do wykazu podmiot rozpoczyna korzystanie z systemu S46, z uwzględnieniem właściwych regulacji przejściowych. Musi również zapewnić użytkownikom możliwość zgłaszania cyberzagrożeń, incydentów i podatności związanych ze świadczoną usługą.

8. Informowanie użytkowników

Komunikacja nie działa wyłącznie od użytkownika do jednostki. Podmiot kluczowy albo ważny:

• informuje użytkowników swoich usług o możliwych środkach zapobiegawczych w przypadku poważnego cyberzagrożenia;
• informuje o samym poważnym cyberzagrożeniu, jeżeli nie zwiększy to poziomu ryzyka;
• informuje użytkowników o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie usług.

Nie oznacza to obowiązku publicznego komunikowania każdego zdarzenia bezpieczeństwa.

Jednostka powinna wcześniej ustalić, kto podejmuje decyzję o przekazaniu informacji, kto przygotowuje komunikat, jakie kanały zostaną wykorzystane oraz jak skoordynować działania kierownictwa, IOD i osób odpowiedzialnych za komunikację zewnętrzną.

9. Raportowanie incydentów

Obie kategorie podmiotów muszą zapewnić obsługę incydentów, ich rejestrowanie i klasyfikowanie, współpracować z właściwymi zespołami oraz zgłaszać incydenty poważne.

Podmiot kluczowy

Podmiot kluczowy:

1. przekazuje wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego;
2. zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 72 godzin od jego wykrycia;
3. przekazuje sprawozdanie okresowe, jeżeli zażąda go właściwy CSIRT sektorowy;
4. przekazuje sprawozdanie końcowe zasadniczo nie później niż w ciągu miesiąca od zgłoszenia;
5. przekazuje sprawozdanie z postępu, jeżeli obsługa incydentu nie zakończyła się w terminie składania sprawozdania końcowego;
6. po zakończeniu dłużej trwającej obsługi przekazuje sprawozdanie końcowe nie później niż w ciągu miesiąca od jej zakończenia.

Podmiot ważny będący podmiotem publicznym

Podmiot ważny publiczny:

• nie przekazuje wczesnego ostrzeżenia w ciągu 24 godzin;
• zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 72 godzin od jego wykrycia;
• nie przekazuje sprawozdania okresowego;
• nie przekazuje sprawozdania z postępu;
• nie przekazuje sprawozdania końcowego.

Uproszczenie nie oznacza więc zwolnienia z obowiązku zgłoszenia incydentu poważnego.

Do którego CSIRT kierować zgłoszenie?

Zasadniczo do czasu ogłoszenia osiągnięcia zdolności operacyjnej przez właściwy CSIRT sektorowy zgłoszenia przekazuje się do właściwego CSIRT MON, CSIRT NASK albo CSIRT GOV.

Reguły tej nie stosuje się, jeżeli sektorowy zespół cyberbezpieczeństwa dla danego sektora został powołany przed 2025 r. Taki zespół stał się CSIRT sektorowym z dniem wejścia nowelizacji w życie.

Jednostka nie powinna zatem automatycznie zakładać, że każde zgłoszenie w okresie przejściowym trafia do jednego z trzech CSIRT poziomu krajowego. Trzeba sprawdzić rozwiązanie właściwe dla konkretnego sektora.

10. Dokumentacja i dowody wykonania obowiązków

Podmiot kluczowy albo ważny opracowuje, stosuje i aktualizuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego.

Ustawa rozróżnia:

• dokumentację normatywną, określającą zasady, polityki i procedury;
• dokumentację operacyjną, czyli zapisy potwierdzające rzeczywiste wykonywanie działań.

Dokumentacją operacyjną mogą być między innymi raporty z aktualizacji, protokoły testów odtworzeniowych, przeglądy uprawnień, rejestry incydentów, raporty z obsługi podatności, wyniki szkoleń oraz automatyczne zapisy w dziennikach systemowych.

Samo posiadanie procedury nie potwierdza jeszcze, że jest ona stosowana.

Dokumentacja musi podlegać nadzorowi zapewniającemu ograniczenie dostępu, ochronę przed utratą lub nieuprawnioną zmianą oraz wersjonowanie. Dokumentację przechowuje się zgodnie z art. 10 ust. 7, z uwzględnieniem określonej w nim reguły liczenia okresu przechowywania. Do podmiotów objętych ustawą o narodowym zasobie archiwalnym i archiwach stosuje się właściwe przepisy archiwalne.

11. Struktura wewnętrzna albo dostawca zewnętrzny

Podmiot kluczowy albo ważny:

• powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo
• zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.

Outsourcing nie przenosi ustawowej odpowiedzialności kierownika na wykonawcę.

Z perspektywy prawidłowego podziału odpowiedzialności umowa z dostawcą powinna określać w szczególności:

• zakres obsługiwanych systemów;
• sposób przyjmowania zgłoszeń;
• czasy reakcji i eskalacji;
• obowiązki podczas incydentu;
• dostęp jednostki do logów i dowodów;
• zasady obsługi podatności;
• wymagania wobec podwykonawców;
• zasady ciągłości świadczenia usługi;
• obowiązek przekazania dokumentacji po zakończeniu współpracy;
• wymagania wynikające z art. 8f wobec personelu wykonującego zadania z art. 8 albo art. 11.

Nie jest to literalny katalog ustawowy. Są to praktyczne postanowienia potrzebne do wykazania, kto i w jaki sposób realizuje powierzone obowiązki.

Samo zawarcie umowy na ogólną obsługę informatyczną nie oznacza, że wykonawca realizuje obowiązki KSC.

12. Audyt i nadzór

Audyt podmiotu kluczowego

Podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa systemu informacyjnego co najmniej raz na trzy lata, licząc od dnia sporządzenia i podpisania raportu z ostatniego audytu.

Kopię raportu przekazuje właściwemu organowi do spraw cyberbezpieczeństwa w terminie trzech dni roboczych od jej otrzymania.

Podmiot ważny publiczny

Podmiot ważny będący podmiotem publicznym nie ma automatycznego obowiązku okresowego audytu co trzy lata. Musi natomiast przeprowadzać przegląd SZBI zgodnie z załącznikiem nr 4.

Organ właściwy może nakazać podmiotowi ważnemu przeprowadzenie zewnętrznego audytu, jeżeli wystąpił incydent poważny albo podmiot dopuścił się innego naruszenia ustawy. W przypadku podmiotu kluczowego taki audyt może zostać nakazany w każdym czasie.

Model nadzoru

Nadzór nad podmiotami kluczowymi ma charakter prewencyjny i następczy.

Nadzór nad podmiotami ważnymi ma charakter następczy, w szczególności w przypadku uzasadnionego podejrzenia naruszenia ustawy.

Podmiot ważny nie znajduje się więc poza systemem kontroli. Różnica dotyczy momentu i intensywności działań nadzorczych.

13. Zakres systemów i kwalifikacja wielosektorowa

Podmiot publiczny zakwalifikowany jako podmiot kluczowy albo ważny realizuje obowiązki KSC w zakresie określonym ustawą, jeżeli wykorzystuje system informacyjny do realizacji zadania publicznego.

Nie oznacza to, że każdy podmiot publiczny korzystający z systemów informacyjnych automatycznie staje się podmiotem kluczowym albo ważnym. Najpierw trzeba potwierdzić spełnienie przesłanek podmiotowych.

Zakres SZBI może obejmować między innymi:

• systemy dziedzinowe;
• elektroniczne zarządzanie dokumentacją;
• pocztę elektroniczną;
• systemy finansowo-księgowe i kadrowe;
• infrastrukturę sieciową;
• systemy zarządzania tożsamością;
• stacje robocze;
• kopie zapasowe;
• usługi chmurowe;
• systemy centralne dostarczane przez inne podmioty publiczne.

Jednostka może wykonywać działalność należącą do więcej niż jednego sektora KSC. Przykładowo podmiot publiczny może być równocześnie podmiotem leczniczym, organizacją badawczą albo podmiotem działającym w sektorze energii, wody lub ścieków.

Nie można zakończyć analizy po ustaleniu, że jednostka spełnia przesłanki art. 5 ust. 2 pkt 8, jeżeli z innej podstawy wynika dla niej status podmiotu kluczowego.

14. Najważniejsze terminy

Dla podmiotów, które spełniały przesłanki objęcia ustawą 3 kwietnia 2026 r., zasadnicze terminy przedstawiają się następująco:

Samorejestracja dotyczy podmiotów niewpisywanych z urzędu. Podmioty publiczne są co do zasady wpisywane z urzędu i nie powinny składać równoległego wniosku o samorejestrację. Po otrzymaniu wezwania uzupełniają brakujące dane w ciągu sześciu miesięcy od jego doręczenia. Termin nie jest liczony od dnia wejścia ustawy w życie ani od samej daty wpisu.

15. Jak przygotować wdrożenie?

Krok 1. Potwierdź status

Należy ustalić:

• podstawę prawną kwalifikacji;
• sektor i podsektor;
• formę organizacyjną;
• ewentualne przesłanki wielkościowe;
• zadania realizowane z wykorzystaniem systemów informacyjnych;
• inne możliwe podstawy sektorowe.

Krok 2. Określ zakres SZBI

Trzeba zidentyfikować zadania, procesy, systemy, dane, infrastrukturę, dostawców i zależności objęte wymaganiami KSC.

Krok 3. Ustal właściwy model

• podmiot kluczowy – art. 8 ust. 1;
• podmiot ważny będący podmiotem publicznym – art. 8 ust. 3 i załącznik nr 4.

Podmiot ważny może wdrożyć model szerszy niż ustawowe minimum.

Krok 4. Przeprowadź analizę luk

Dla każdego wymagania warto ustalić:

• czy jest realizowane;
• kto odpowiada za jego wykonanie;
• jaki dokument je opisuje;
• jaki dowód potwierdza realizację;
• czego brakuje;
• jakie działanie naprawcze jest potrzebne;
• w jakim terminie ma zostać wykonane.

Krok 5. Przygotuj organizację i obsługę incydentów

Należy wyznaczyć osoby kontaktowe, zweryfikować personel zgodnie z art. 8f, określić odpowiedzialność kierownika oraz przygotować procedurę obsługi i raportowania incydentów, w tym informowania użytkowników.

Najczęstsze błędy

1. Przyjęcie, że sama forma organizacyjna przesądza o statusie

Art. 5 ust. 2 pkt 8 wymaga również braku statusu podmiotu kluczowego oraz realizowania zadania publicznego z wykorzystaniem systemów informacyjnych.

2. Traktowanie załącznika nr 4 jako dobrowolnej listy

Część I określa obowiązkowe minimum. Część II wskazuje środki dodatkowe.

3. Przyjęcie, że podmiot ważny publiczny nie zgłasza incydentów

Nadal musi zgłosić incydent poważny w ciągu 72 godzin od jego wykrycia.

4. Kierowanie każdego zgłoszenia do CSIRT MON, CSIRT NASK albo CSIRT GOV

Trzeba uwzględnić wyjątek dotyczący sektorowych zespołów cyberbezpieczeństwa powołanych przed 2025 r.

5. Pominięcie obowiązków wobec użytkowników

Jednostka nie tylko przyjmuje zgłoszenia, lecz także w określonych przypadkach informuje użytkowników o poważnych cyberzagrożeniach i incydentach poważnych.

6. Pominięcie weryfikacji niekaralności

Osoby wykonujące zadania z art. 8 albo art. 11 muszą spełniać wymagania art. 8f.

7. Przerzucenie całej odpowiedzialności na dział IT albo wykonawcę

Kierownik zachowuje odpowiedzialność również po powierzeniu zadań innym osobom.

8. Ograniczenie SZBI do dokumentów

Ustawa wymaga także dokumentacji operacyjnej, czyli dowodów faktycznego wykonywania działań.

Podsumowanie

Podmiot kluczowy i podmiot ważny będący podmiotem publicznym mają wiele wspólnych obowiązków. Obie kategorie muszą między innymi:

• wdrożyć odpowiedni SZBI;
• prowadzić dokumentację;
• zapewnić obsługę incydentów;
• zgłaszać incydenty poważne;
• informować użytkowników w przypadkach określonych ustawą;
• wyznaczyć osoby kontaktowe;
• korzystać z S46;
• zapewnić odpowiednią strukturę organizacyjną;
• zweryfikować niekaralność osób wykonujących określone zadania;
• szkolić kierownika i osobę, której powierzono jego obowiązki;
• gromadzić dowody wykonania obowiązków.

Najważniejsze różnice dotyczą modelu SZBI, zakresu raportowania incydentów, minimalnej liczby osób kontaktowych, obowiązku okresowego audytu oraz charakteru nadzoru.

Status podmiotu ważnego będącego podmiotem publicznym oznacza częściowo uproszczony model obowiązków. Nie oznacza jednak zwolnienia z wdrożenia rzeczywistych zabezpieczeń, procedur, odpowiedzialności i mechanizmów kontrolnych.

Podstawy prawne i źródła

• Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa – tekst ujednolicony ↗;
• ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. z 2026 r. poz. 252 ↗;
• załącznik nr 4 do ustawy o KSC;
• informacje Ministerstwa Cyfryzacji o obowiązkach podmiotów kluczowych i ważnych ↗;
• System S46 – wpis z urzędu i uzupełnienie danych po wezwaniu ↗.

Zastrzeżenie: Artykuł ma charakter informacyjny i nie stanowi opinii prawnej ani indywidualnej kwalifikacji konkretnej jednostki. Prawidłowe określenie statusu wymaga analizy formy organizacyjnej, rodzaju wykonywanych zadań, sektorów działalności, wykorzystywanych systemów oraz przesłanek szczególnych wynikających z ustawy.