Zgłoszenie incydentu poważnego w 24 godziny: procedura, terminy i odpowiedzialność zarządu

Zgłoszenie incydentu poważnego przebiega trzyetapowo: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin od wykrycia oraz sprawozdanie końcowe w ciągu 1 miesiąca od wczesnego ostrzeżenia. Obowiązek zgłaszania incydentów w nowym trybie realizowany jest w terminach wynikających z art. 33 ustawy nowelizującej: podmioty, które przed wejściem w życie ustawy były operatorami usług kluczowych — od 3 października 2026 r. (6 miesięcy, art. 33 ust. 4), pozostałe podmioty kluczowe i ważne — od 3 kwietnia 2027 r. (12 miesięcy, art. 33 ust. 1).

Mimo to obowiązki incydentowe wchodzą wcześniej niż pełne wdrożenie SZBI. Dokumentację SZBI można budować do kwietnia 2027 r., pierwszy audyt przeprowadzić do kwietnia 2028 r. Procedura zgłoszenia incydentu musi natomiast działać odpowiednio wcześniej — już od października 2026 r. dla byłych operatorów usług kluczowych i od kwietnia 2027 r. dla nowo objętych podmiotów. Incydent nie czeka na koniec okresu przejściowego.

Które incydenty podlegają zgłoszeniu?

Zgłoszeniu podlega wyłącznie incydent poważny, czyli taki, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości świadczenia usługi, dotkliwe straty finansowe albo znaczną szkodę majątkową lub niemajątkową u innych podmiotów. Incydent krytyczny, o skutkach dla bezpieczeństwa państwa, podlega odrębnej ścieżce obsługi po stronie organów. Incydent zwykły rejestruje się wewnętrznie, bez zgłoszenia.

Ustawa nie zawiera progów liczbowych. Delegacja z art. 11 ust. 4 ustawy o KSC upoważnia Radę Ministrów do ich określenia rozporządzeniem, według rodzaju zdarzenia w sektorach i podsektorach, z uwzględnieniem liczby użytkowników, czasu oddziaływania i zasięgu geograficznego. Do czasu wydania nowego rozporządzenia stosuje się dotychczasowe, nie dłużej niż przez 12 miesięcy od wejścia w życie nowelizacji (art. 32 pkt 1 ustawy zmieniającej z 23 stycznia 2026 r.).

Konsekwencja praktyczna jest jedna. Decyzję, czy zdarzenie jest incydentem poważnym, podejmuje podmiot, pod presją zegara, który już biegnie. Bez własnego, udokumentowanego schematu klasyfikacji ta decyzja zapada w oparciu o intuicję dyżurnego administratora.

Terminy liczy się od wykrycia, a nie od zakwalifikowania zdarzenia jako incydentu poważnego ani od zakończenia analizy powłamaniowej. Zegar biegnie w nocy, w sobotę i w okresie urlopowym. Dla zarządu oznacza to konieczność zorganizowania dostępności decyzyjnej poza godzinami pracy, ponieważ zgłoszenia dokonuje się w imieniu podmiotu.

Jeżeli obsługa incydentu trwa dłużej niż miesiąc od wczesnego ostrzeżenia, podmiot przekazuje sprawozdanie z postępu obsługi, a sprawozdanie końcowe składa w ciągu miesiąca od zakończenia obsługi incydentu.

Do kogo trafia zgłoszenie?

Zgłoszenie kieruje się do CSIRT sektorowego (zespołu reagowania na incydenty bezpieczeństwa komputerowego) właściwego dla danego sektora, a w braku takiego zespołu wprost do CSIRT krajowego, czyli CSIRT NASK, CSIRT GOV albo CSIRT MON. CSIRT sektorowy przekazuje zgłoszenie niezwłocznie do właściwego CSIRT krajowego (art. 23 ust. 4 dyrektywy NIS 2 przewiduje termin 24 godzin na powiadomienie odpowiednich podmiotów).

W praktyce większość podmiotów przemysłowych, spółek z sektora żywności, chemii, gospodarki odpadami i produkcji zgłasza obecnie do CSIRT NASK, ponieważ dedykowane zespoły sektorowe dla tych obszarów nie osiągnęły jeszcze zdolności operacyjnej. Ustawowy termin na jej osiągnięcie wynosi 18 miesięcy od wejścia w życie nowelizacji. Do czasu pełnej operacyjności rolę zapasowego adresata pełni CSIRT NASK.

Kanałem zgłoszenia jest system teleinformatyczny S46 albo formularz właściwego CSIRT. Podmiot, który nie uzyskał jeszcze dostępu do S46, zgłasza formularzem. Ustalenie właściwego adresata i przetestowanie kanału przed pierwszym incydentem to najkrótszy element całej procedury i jednocześnie ten, którego brak najczęściej pochłania pierwsze godziny z dwudziestu czterech.

Kogo jeszcze trzeba poinformować poza CSIRT?

Trzy dodatkowe obowiązki informacyjne uruchamiają się równolegle ze zgłoszeniem:

• odbiorcy usługi, jeżeli incydent poważny negatywnie wpływa na świadczenie usługi, wraz ze wskazaniem środków zaradczych, które odbiorca może zastosować po swojej stronie,
• organ nadzorczy do spraw ochrony danych osobowych, jeżeli incydent stanowi jednocześnie naruszenie ochrony danych osobowych, w terminie 72 godzin z art. 33 RODO (rozporządzenia o ochronie danych osobowych), biegnącym niezależnie od terminów z ustawy o KSC [TUTAJ LINK DO: /prawo/dane-osobowe/],
• ubezpieczyciel oraz kontrahenci, jeżeli umowy zawierają klauzule notyfikacyjne, przy czym terminy umowne bywają krótsze niż ustawowe.

Zbieżność reżimów jest źródłem najczęstszego błędu operacyjnego. Zgłoszenie do CSIRT nie zastępuje zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych i odwrotnie. To dwa niezależne postępowania, z odrębnymi sankcjami.

Co powinna zawierać procedura zgłaszania incydentów?

Procedura, która przechodzi weryfikację organu nadzoru, rozstrzyga sześć kwestii:

1. Kto wykrywa i kto rejestruje moment wykrycia. Godzina wpisana do rejestru wyznacza początek biegu terminu i stanowi dowód w postępowaniu nadzorczym.
2. Kto klasyfikuje incydent. Schemat decyzyjny prowadzący od objawu do decyzji, czytelny dla osoby dyżurującej o trzeciej w nocy.
3. Kto podejmuje decyzję o zgłoszeniu. Wskazanie osoby i zastępcy, z uprawnieniem do działania bez zwoływania zarządu.
4. Kto podpisuje i wysyła zgłoszenie. Umocowanie musi obejmować składanie oświadczeń wobec CSIRT.
5. Jak przebiega komunikacja do odbiorców usługi. Gotowe szablony komunikatów skracają decyzję z godzin do minut.
6. Jak dokumentuje się przebieg obsługi. Materiał do sprawozdania końcowego powstaje w trakcie obsługi, nie po jej zakończeniu.

Procedurę zatwierdza kierownictwo podmiotu, w spółce kapitałowej zarząd. Zatwierdzenie uchwałą, z datą, jest dowodem dochowania należytej staranności przez organ.

Co grozi za niezgłoszenie incydentu w terminie?

Uchybienie obowiązkowi zgłoszenia zagrożone jest karą pieniężną do 10 000 000 EUR lub 2% przychodu za poprzedni rok obrotowy wobec podmiotu kluczowego oraz do 7 000 000 EUR lub 1,4% przychodu wobec podmiotu ważnego, nie mniej niż odpowiednio 20 000 zł i 15 000 zł (art. 73 ust. 3 ustawy o KSC). Wobec kierownika podmiotu organ może orzec karę do 300% jego miesięcznego wynagrodzenia (art. 73a ust. 4 ustawy o KSC).

Kary te organ może nałożyć po raz pierwszy od 3 kwietnia 2028 r. Karencję wprowadza art. 35 ustawy nowelizującej z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), odraczający stosowanie kar z art. 73 ust. 1–4, art. 73a–73c i art. 76b ustawy o KSC o 2 lata od jej wejścia w życie.

Moratorium nie zawiesza samego obowiązku. Incydenty poważne, które wystąpią w 2026 i 2027 r., podlegają zgłoszeniu na zasadach ogólnych, a udokumentowana historia zgłoszeń stanowi materiał oceniany przez organ po 2028 r. Ustawa przewiduje przy tym, że decyzję o nałożeniu kary poprzedza ostrzeżenie i poinformowanie podmiotu o wstępnych ustaleniach. Podmiot dowiaduje się więc o zarzucie wcześniej niż o karze, ale to, co wtedy pokaże, powstaje dziś.

Osobną kategorią ryzyka jest odpowiedzialność cywilna wobec kontrahentów. Spółka, która nie poinformowała odbiorcy usługi o incydencie mającym wpływ na świadczenie tej usługi, odpowiada za szkodę wynikającą z braku możliwości zastosowania środków zaradczych po stronie odbiorcy. Ta odpowiedzialność nie zna żadnego okresu przejściowego.

Dlaczego zgłoszenie dobrowolne bywa opłacalne?

Ustawa dopuszcza dobrowolne zgłaszanie incydentów innych niż poważne oraz cyberzagrożeń. Zgłoszenie dobrowolne nie tworzy nowych obowiązków po stronie zgłaszającego ani nie stanowi przyznania się do naruszenia.

Argument praktyczny jest inny. Rejestr zgłoszeń dobrowolnych dokumentuje działającą procedurę wykrywania i klasyfikacji. Podmiot, który przez dwa lata nie zgłosił niczego, przy pierwszym incydencie poważnym tłumaczy organowi, czy niczego nie było, czy niczego nie wykrył.

Skala zjawiska rośnie szybciej niż większość podmiotów zdąży się przygotować. CERT Polska zarejestrował w 2025 r. 260 783 incydenty cyberbezpieczeństwa, o 152% więcej niż rok wcześniej, w tym 179 ataków ransomware wobec 148 w 2024 r. (Raport roczny CERT Polska 2025). Rejestr zgłoszeń dobrowolnych, prowadzony zanim własny incydent stanie się poważny, jest dowodem, że podmiot obserwował rosnące zagrożenie, a nie zignorował je.

Czego nie da się przygotować po incydencie?

Trzy elementy muszą istnieć przed incydentem, ponieważ w trakcie jego obsługi nie ma czasu na ich stworzenie:

• konto w S46 i przetestowany formularz zgłoszeniowy, wraz z listą osób z dostępem i ich zastępstwami,
• schemat klasyfikacji przełożony na własne wskaźniki, ze wskazaniem systemu, z którego pobiera się liczbę dotkniętych użytkowników i czas niedostępności,
• uchwała zarządu wskazująca osobę uprawnioną do zgłoszenia, obowiązująca również poza godzinami pracy.

Koszt przygotowania tych trzech elementów jest niewspółmiernie niższy od kary minimalnej za pojedyncze uchybienie terminowi. To jest cała kalkulacja, którą można przedstawić zarządowi.

Jeżeli nie masz pewności, czy Twoja firma w ogóle podlega ustawie o KSC, zacznij od ustalenia statusu podmiotu.

Z jakimi innymi obowiązkami wiąże się zgłaszanie incydentów?

Zgłaszanie incydentów to jeden z obowiązków uruchamianych wpisem do wykazu. Procedurę samego wpisu i termin 3 października 2026 r. opisaliśmy we wpisie o rejestracji w systemie S46. Zakres dokumentacji systemu zarządzania bezpieczeństwem informacji, w tym samej procedury incydentowej, omawiamy osobno. Pełny kalendarz obowiązków w latach 2026 do 2028 znajduje się we wpisie NIS2: kogo dotyczy, obowiązki i terminy. Obowiązek notyfikacji incydentów po stronie dostawców ICT (technologii informacyjno-komunikacyjnych) i jego umocowanie w umowach rozwijamy we wpisie o łańcuchu dostaw.

Jak wspieramy przy obsłudze incydentów?

Przygotowujemy procedurę zgłaszania incydentów wraz z kryteriami klasyfikacji i szablonami zgłoszeń, ustalamy właściwy CSIRT i umocowania do działania poza godzinami pracy, przygotowujemy uchwałę zarządu zatwierdzającą procedurę oraz wspieramy operacyjnie w trakcie biegu terminów 24 i 72 godzin, w tym w zakresie równoległych obowiązków wynikających z RODO. Zakres wsparcia przy wdrożeniu NIS2 i ustawy o KSC opisujemy szerzej na stronie usługi.