Gminy i urzędy

KSC 2026 w gminie, szkole i bibliotece: wykaz, terminy i strona internetowa

23 września 2026 Redakcja dlasamorzadu.pl

W skrócie

Od 3 kwietnia 2026 r. KSC obejmuje urzędy gmin, szkoły, GOPS i biblioteki. Sprawdź wykaz, terminy i dwa obowiązki dotyczące strony internetowej.

Więcej w kategorii: Gminy i urzędy →

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC) obowiązuje od 3 kwietnia 2026 r. i wdraża unijną dyrektywę NIS2. W samorządzie obejmuje wszystkie urzędy gmin i starostwa, a także szkoły, przedszkola, ośrodki pomocy społecznej, biblioteki i domy kultury. Jednostki publiczne nie wpisują się same do wykazu podmiotów kluczowych i ważnych, bo robi to z urzędu Minister Cyfryzacji. Muszą za to uzupełnić dane w wykazie i do 3 kwietnia 2027 r. wdrożyć obowiązki ustawy. Dwa z nich dotyczą wprost strony internetowej.

Kogo z samorządu obejmuje KSC

Ustawa dzieli podmioty na kluczowe i ważne. Od kategorii zależy zakres obowiązków, ale nie to, czy jednostka w ogóle podlega ustawie. W sektorze podmiotów publicznych podział wygląda tak:

podmioty kluczowe: urząd gminy, który na 1 stycznia danego roku zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty, starostwo powiatowe oraz jednostki i zakłady budżetowe samorządu województwa. Z tej ostatniej grupy wyłączone są między innymi szkoły i placówki oświatowe, jednostki pomocy społecznej poza regionalnym ośrodkiem polityki społecznej oraz wojewódzkie urzędy pracy (załącznik nr 1 do ustawy);
podmioty ważne: pozostałe urzędy gmin oraz samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, samorządowe instytucje kultury i spółki komunalne wykonujące zadania użyteczności publicznej, jeżeli realizują zadania publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 ustawy).

W praktyce ustawą objęte są szkoły i przedszkola publiczne, gminne i miejskie ośrodki pomocy społecznej oraz biblioteki, domy kultury i muzea działające jako samorządowe instytucje kultury. Ministerstwo Cyfryzacji potwierdza to w oficjalnych odpowiedziach na pytania o KSC: szkoły i przedszkola jako jednostki budżetowe są podmiotami ustawy, a gminne ośrodki pomocy społecznej są podmiotami ważnymi. Dla takich jednostek ustawa przewiduje uproszczone wymagania, które opisujemy niżej.

Wykaz podmiotów kluczowych i ważnych: wpis z urzędu i 6 miesięcy na dane

Podmioty publiczne wpisuje do wykazu z urzędu minister właściwy do spraw informatyzacji, na podstawie danych z rejestrów publicznych (art. 7a ust. 2). Według ministerstwa dotyczy to wszystkich urzędów gmin. Jednostka dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych, razem z danymi do logowania w aplikacji Wykaz KSC. Pismo przychodzi na adres do doręczeń elektronicznych albo przez publiczną usługę hybrydową, czyli w wersji papierowej.

Na uzupełnienie danych jest 6 miesięcy od doręczenia wezwania, pod rygorem kary pieniężnej (art. 7b ust. 2). Ministerstwo wysyłało zawiadomienia w maju i czerwcu 2026 r., więc przy piśmie doręczonym w maju termin mija w listopadzie, a przy doręczonym w czerwcu w grudniu 2026 r. Liczy się data doręczenia konkretnego pisma. Podmiotowi publicznemu pismo jest doręczone w chwili, gdy wpłynie na jego adres do doręczeń elektronicznych, nawet jeśli nikt go nie otworzył (art. 41 ust. 1 pkt 2 i art. 42 ust. 1 pkt 2 ustawy o doręczeniach elektronicznych). Czternaście dni na odbiór przysługuje tylko adresatom spoza sektora publicznego. Dlatego datę wpłynięcia warto odnaleźć w skrzynce i od razu zapisać w kalendarzu.

Dwie sytuacje szczególne. Samorządowe instytucje kultury ministerstwo zapowiedziało w czerwcu 2026 r. jako osobny etap wpisów z urzędu. Jeżeli jednostka powinna być w wykazie, a nie dostała zawiadomienia, ministerstwo zaleca napisać na adres [email protected], a zgłoszenie sprawdzi operator wykazu. Okno samorejestracji od 7 maja do 3 października 2026 r., wyznaczone w komunikacie Ministra Cyfryzacji, dotyczy podmiotów, których nie wpisano z urzędu.

Najważniejsze terminy

3 kwietnia 2026 r.: nowelizacja weszła w życie.
od 12 czerwca 2026 r.: jednostki mogą zaczynać korzystać z systemu S46, przez który zgłasza się incydenty. Najpóźniej trzeba to zrobić do 3 kwietnia 2027 r.
6 miesięcy od doręczenia wezwania: uzupełnienie danych w wykazie.
3 kwietnia 2027 r.: koniec 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy, w tym systemu zarządzania bezpieczeństwem informacji, osób do kontaktu, informacji na stronie i kanału zgłoszeń.
3 kwietnia 2028 r.: termin pierwszego audytu podmiotów kluczowych. Po tej dacie możliwe są też kary pieniężne.

Co ustawa wymaga na stronie internetowej

Artykuł 9 ustawy nakłada na każdy podmiot kluczowy i ważny dwa obowiązki, które w praktyce spełnia się na stronie internetowej jednostki:

Wiedza o cyberzagrożeniach. Jednostka daje użytkownikom dostęp do wiedzy, która pozwala zrozumieć cyberzagrożenia i skutecznie się przed nimi chronić, „w szczególności przez udostępnianie informacji na ten temat na swojej stronie internetowej” (art. 9 ust. 1 pkt 2). Wystarczy odnośnik do stron zespołów reagowania na incydenty, na przykład CSIRT NASK albo CSIRT GOV (art. 9 ust. 4).
Kanał zgłoszeń. Użytkownik musi mieć możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności związanych z usługą jednostki (art. 9 ust. 1 pkt 3). Formę wybiera jednostka. Ministerstwo podaje jako przykłady osobny adres e-mail, czat na stronie albo adres do doręczeń elektronicznych.

Brak możliwości zgłoszenia cyberzagrożenia jest w ustawie osobną podstawą kary dla kierownika podmiotu (art. 73a ust. 1 pkt 7). W jednostce publicznej taka kara może wynieść do 100% wynagrodzenia kierownika, liczonego według zasad ekwiwalentu za urlop (art. 73a ust. 5). Pierwsze kary są możliwe po 3 kwietnia 2028 r.

Jeżeli obowiązki jednostki realizuje za nią jednostka wyznaczona, na przykład na podstawie porozumienia samorządów, na stronie publikuje się adres strony tej jednostki z informacjami o cyberbezpieczeństwie (art. 16f pkt 3).

Jak to wygląda w praktyce, pokazuje nasze badanie stron internetowych gmin z 23 września 2026 r.: odnośnik do informacji o cyberbezpieczeństwie był na stronie głównej 39% urzędów, a plik security.txt tylko na 8 z 2 291 zbadanych stron.

Jak to zrobić na stronie w praktyce

Oba obowiązki da się spełnić bez przebudowy całej strony. Sprawdza się taki zestaw:

zakładka „Cyberbezpieczeństwo” w stopce albo w menu. Wystarczy kilka zdań o typowych zagrożeniach, na przykład o wiadomościach podszywających się pod urząd albo fałszywych fakturach ze zmienionym numerem konta, i odnośniki do CSIRT NASK oraz CSIRT GOV;
kanał zgłoszeń opisany wprost: jeden adres przeznaczony tylko do tego, informacja, co można zgłaszać, i co dzieje się ze zgłoszeniem dalej;
plik security.txt w katalogu /.well-known/ z tym samym adresem. To standard RFC 9116, po który sięgają osoby i zespoły zgłaszające podatności. Ustawa go nie wymaga, ale dzięki niemu zgłoszenie trafia do właściwej osoby, a nie do ogólnej skrzynki sekretariatu;
ta sama zakładka na stronie każdej jednostki podległej, bo szkoła, ośrodek pomocy społecznej i biblioteka mają własne obowiązki, niezależne od urzędu.

Strona i BIP to też systemy informacyjne jednostki

Dla podmiotów ważnych z sektora publicznego minimalny zakres systemu zarządzania bezpieczeństwem informacji określa załącznik nr 4 do ustawy (art. 8 ust. 3). Kilka jego punktów przekłada się bezpośrednio na stronę internetową i BIP, bo to również systemy, na których jednostka realizuje zadania publiczne:

inwentaryzacja produktów i usług ICT, czyli także systemu zarządzania treścią strony, wtyczek i hostingu (pkt I.1);
stabilne wersje oprogramowania bez znanych krytycznych podatności i śledzenie cyklu życia produktów (pkt I.15 i I.16), co przy stronie oznacza aktualny system z wtyczkami i plan na koniec wsparcia producenta;
minimalne uprawnienia kont, cofanie ich, gdy dostęp przestaje być potrzebny, i zawieszanie po co najmniej miesiącu niewykonywania obowiązków (pkt I.4 do I.7);
kopie zapasowe odseparowane logicznie i fizycznie oraz sprawdzanie, czy da się z nich odtworzyć dane (pkt I.10 i I.11);
kontrola poczty elektronicznej z mechanizmami SPF, DKIM i DMARC, których używanie nakazuje podmiotom publicznym art. 24 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej (pkt I.9). To wpisy w DNS tej samej domeny, na której działa strona.

Podmiot ważny z sektora publicznego, który stosuje załącznik nr 4, nie ma formalnego obowiązku szacowania ryzyka, ale ministerstwo przypomina, że analizy ryzyka i tak wymaga art. 32 RODO. Na pytanie, czy trzeba mieć centrum operacji bezpieczeństwa (SOC), ministerstwo odpowiada, że ustawa nie narzuca rozwiązań technicznych ani organizacyjnych, a środki dobiera sam podmiot.

Różnią się też zasady zgłaszania incydentów. Podmioty publiczne będące podmiotami ważnymi zgłaszają wyłącznie incydent poważny, bez wczesnego ostrzeżenia i sprawozdań. Podmioty kluczowe, czyli między innymi większe urzędy gmin i starostwa, zgłaszają wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu poważnego, a sam incydent w ciągu 72 godzin (art. 11 ust. 1 pkt 4 i 4a). Zgłoszenia idą przez system S46.

Odpowiedzialność kierownika i środki w budżecie

Za wykonanie obowiązków odpowiada kierownik podmiotu, także wtedy, gdy powierzy je innej osobie za jej zgodą (art. 8c ust. 1 i 3). W urzędzie gminy kierownikiem jest wójt, burmistrz albo prezydent miasta. W szkole czy w ośrodku pomocy społecznej jest nim dyrektor, co ministerstwo potwierdziło w odpowiedziach na pytania. Kierownik raz w roku przechodzi udokumentowane szkolenie (art. 8e) i planuje adekwatne środki finansowe na obowiązki z zakresu cyberbezpieczeństwa (art. 8d pkt 2). Ten ostatni obowiązek ma znaczenie teraz, przy przygotowaniu budżetu na 2027 rok.

Elementy, które dotyczą strony, wpisujemy do zakresu przy budowie i przebudowie stron dla jednostek publicznych. Chodzi o zakładkę o cyberbezpieczeństwie z kanałem zgłoszeń, plik security.txt, aktualne oprogramowanie, uprawnienia redaktorów i kopie zapasowe. Jeżeli planujecie nową stronę urzędu, szkoły albo biblioteki, napiszcie do nas po bezpłatną wycenę.

Najczęstsze pytania

Czy szkoła podstawowa podlega pod KSC?

Tak. Szkoły i przedszkola publiczne są samorządowymi jednostkami budżetowymi, a takie jednostki ustawa uznaje za podmioty ważne, jeżeli realizują zadania publiczne z wykorzystaniem systemów informacyjnych. Ministerstwo Cyfryzacji potwierdza to w odpowiedziach na pytania o KSC. Szkoła stosuje uproszczone wymagania z załącznika nr 4, a gmina może zorganizować dla swoich jednostek wspólną obsługę obowiązków z zakresu cyberbezpieczeństwa.

Czy urząd gminy musi złożyć wniosek o wpis do wykazu do 3 października 2026 r.?

Nie. Urzędy gmin minister wpisuje do wykazu z urzędu, a okno od 7 maja do 3 października 2026 r. dotyczy podmiotów, których nie wpisano z urzędu. Urząd musi natomiast uzupełnić dane w ciągu 6 miesięcy od doręczenia wezwania. Jeżeli zawiadomienie nie przyszło, ministerstwo zaleca kontakt pod adresem [email protected].

Czy strona urzędu musi mieć zakładkę o cyberbezpieczeństwie?

Przepisy nie mówią o zakładce, tylko o dwóch obowiązkach: dostępie do wiedzy o cyberzagrożeniach, w szczególności na stronie internetowej, oraz możliwości zgłaszania cyberzagrożeń, incydentów i podatności. Osobna zakładka to najprostszy sposób, żeby spełnić oba w jednym, łatwym do znalezienia miejscu. Informację o zagrożeniach można zastąpić odnośnikiem do stron zespołów CSIRT.

Czy gmina musi mieć SOC albo system SIEM?

Ustawa tego nie wymaga. Ministerstwo odpowiada, że ustawa nie narzuca rozwiązań technicznych ani organizacyjnych i każdy podmiot sam dobiera środki do swojej sytuacji. Dla podmiotów ważnych z sektora publicznego minimalny zakres opisuje załącznik nr 4: inwentaryzacja, aktualizacje, uprawnienia, kopie zapasowe, oprogramowanie antywirusowe, szkolenia i procedury na wypadek incydentu.

Od kiedy grożą kary za niewykonanie obowiązków z KSC?

Kary pieniężne są możliwe dopiero po 3 kwietnia 2028 r., czyli po dwóch latach od wejścia w życie nowelizacji. Wyjątkiem jest kara ekstraordynaryjna, przewidziana na poważne naruszenia. Obowiązki trzeba jednak wdrożyć wcześniej, do 3 kwietnia 2027 r. Kierownikowi jednostki publicznej grozi kara do 100% jego wynagrodzenia, liczonego według zasad ekwiwalentu za urlop.

Kto w szkole albo w GOPS odpowiada za obowiązki z KSC?

Dyrektor, bo ustawa nakłada odpowiedzialność na kierownika podmiotu, a kierownikiem samorządowej jednostki budżetowej jest jej dyrektor. Odpowiada także wtedy, gdy powierzy zadania innej osobie za jej zgodą. Raz w roku przechodzi udokumentowane szkolenie z cyberbezpieczeństwa. W urzędzie gminy kierownikiem jest wójt, burmistrz albo prezydent miasta.

Czy biblioteka i dom kultury też są objęte KSC?

Tak, jeżeli działają jako samorządowe instytucje kultury i realizują zadania publiczne z wykorzystaniem systemów informacyjnych. Ustawa wymienia samorządowe instytucje kultury wśród podmiotów ważnych. Ministerstwo zapowiedziało w czerwcu 2026 r., że wpisze je do wykazu z urzędu w osobnym etapie, więc warto pilnować skrzynki do doręczeń elektronicznych.

Podstawa prawna i źródła

Stan prawny na 23 września 2026 r.

Potrzebujesz profesjonalnego portalu?

Przygotujemy indywidualną ofertę dla Państwa jednostki.

Zapytaj o wycenę

Kategorie: Gminy i urzędy