Krajowy system cyberbezpieczeństwa (KSC) – system instytucji i podmiotów, którego celem jest zapewnienie cyberbezpieczeństwa na poziomie krajowym, w tym niezakłóconego świadczenia usług przez podmioty kluczowe i podmioty ważne, przez osiągnięcie odpowiedniego poziomu bezpieczeństwa systemów informacyjnych oraz zapewnienie obsługi incydentówUstawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jednolity ze zm.). Od 3 kwietnia 2026 roku, po nowelizacji wdrażającej unijną dyrektywę NIS 2, system obejmuje podmioty kluczowe i podmioty ważne z kilkunastu sektorów gospodarki oraz z sektora podmiotów publicznych. Wcześniej opierał się na podziale na operatorów usług kluczowych i dostawców usług cyfrowychUstawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa ()Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw ().

Podstawa prawna Główne zasady organizacji krajowego systemu cyberbezpieczeństwa, w tym podmioty wchodzące w jego skład, ich prawa, obowiązki i zasady współpracy, określa ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Była ona wdrożeniem do polskiego porządku prawnego europejskiej dyrektywy NIS z dnia 6 lipca 2016 r., której celem było nałożenie wspólnych, minimalnych wymagań na rzecz zapewnienia cyberbezpieczeństwa w każdym kraju członkowskim Unii EuropejskiejDyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii ().

Obszerna nowelizacja ustawy z 23 stycznia 2026 r., wdrażająca zastępującą NIS dyrektywę NIS 2, weszła w życie 3 kwietnia 2026 r.Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dyrektywa NIS 2) ()

Organizacja systemu W skład systemu wchodzą podmioty kluczowe i podmioty ważne, zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT MON, CSIRT NASK, CSIRT GOV i CSIRT sektorowe), organy właściwe do spraw cyberbezpieczeństwa, Połączone Centrum Operacyjne Cyberbezpieczeństwa, Pojedynczy Punkt Kontaktowy do spraw cyberbezpieczeństwa, Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa oraz Kolegium do Spraw Cyberbezpieczeństwa. Do 2026 roku miejsce podmiotów kluczowych i ważnych zajmowali operatorzy usług kluczowych, dostawcy usług cyfrowych i podmioty publiczne.

Podmioty kluczowe i podmioty ważne Nowelizacja z 2026 roku, zgodnie z dyrektywą NIS 2, zastąpiła dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych podziałem na podmioty kluczowe i podmioty ważne. O statusie podmiotu decydują przede wszystkim sektor, w którym działa, i jego wielkość. Podmiotem kluczowym jest co do zasady duże przedsiębiorstwo z sektora wymienionego w załączniku nr 1 do ustawy, a podmiotem ważnym – średnie przedsiębiorstwo z tych sektorów albo średnie lub duże przedsiębiorstwo z sektora wymienionego w załączniku nr 2. Niektóre podmioty, m.in. dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne i podmioty publiczne wskazane w załączniku nr 1, są podmiotami kluczowymi niezależnie od wielkości.

Katalog sektorów został przy tym znacząco rozszerzony. Załącznik nr 1 obejmuje energię, transport, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową (w tym komunikację elektroniczną), zarządzanie usługami ICT, przestrzeń kosmiczną i podmioty publiczne. Załącznik nr 2 obejmuje usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję i dystrybucję żywności, produkcję (m.in. wyrobów medycznych, elektroniki, maszyn i pojazdów), dostawców usług cyfrowych, badania naukowe oraz podmioty publiczne inne niż wymienione w załączniku nr 1. Według szacunków Ministerstwa Cyfryzacji nowe przepisy mogą objąć około 38 tys. podmiotów, z czego około 27 tys. to podmioty publiczne.

Podmioty kluczowe i ważne same oceniają, czy spełniają kryteria ustawy, i składają wniosek o wpis do wykazu prowadzonego przez ministra właściwego do spraw informatyzacji za pomocą systemu teleinformatycznego S46. Dotychczasowych operatorów usług kluczowych, a także przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne minister wpisuje do wykazu z urzędu.

Do obowiązków podmiotów kluczowych i ważnych należy wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) obejmującego m.in. szacowanie ryzyka i zarządzanie nim oraz obsługę i zgłaszanie incydentów. Podmioty kluczowe muszą ponadto co najmniej raz na trzy lata przeprowadzać audyt bezpieczeństwa, a podmiotom ważnym audyt może w określonych przypadkach nakazać organ właściwy. Kierownik podmiotu podejmuje decyzje dotyczące systemu zarządzania bezpieczeństwem informacji, planuje środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie. Raz w roku musi przejść szkolenie z zakresu tych obowiązków i może zostać ukarany karą pieniężną w wysokości do 300% wynagrodzenia (w przypadku podmiotów publicznych do 100%).

Operatorzy usług kluczowych i dostawcy usług cyfrowych (2018–2026) W pierwotnym kształcie ustawy operatorów usług kluczowych wyznaczały decyzjami organy właściwe w poszczególnych sektorach. Podstawą był wykaz usług kluczowych oraz progów istotności skutku zakłócającego incydentu, określony w rozporządzeniu Rady MinistrówRozporządzenie Rady Ministrów z dnia 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych (). Przykładowo w sektorze ochrony zdrowia operatorami miały zostać m.in. podmioty lecznicze posiadające szpitalny oddział ratunkowy i należące do tzw. sieci szpitali. Obowiązki operatorów obejmowały wdrożenie systemu zarządzania bezpieczeństwem, prowadzenie dokumentacji, przeprowadzanie audytu bezpieczeństwa co najmniej raz na dwa lata oraz obsługę i zgłaszanie incydentów poważnych do właściwych zespołów CSIRT.

Dostawcy usług cyfrowych – przedsiębiorstwa świadczące usługi internetowej platformy handlowej, wyszukiwarki internetowej albo przetwarzania w chmurze – nie podlegali wyznaczeniu i sami identyfikowali swój status, mając obowiązek zgłaszania incydentów istotnych do właściwego zespołu CSIRT.

Podmioty publiczne Przed nowelizacją podmioty publiczne tworzyły w systemie odrębną kategorię. Ich podstawowym obowiązkiem było wyznaczenie osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa oraz zgłaszanie incydentów do właściwego zespołu CSIRT. Od 2026 roku podmioty publiczne należą do sektora „podmioty publiczne”. Podmioty publiczne wskazane w załączniku nr 1 są podmiotami kluczowymi niezależnie od wielkości, a m.in. samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, samorządowe instytucje kultury i spółki komunalne wykonujące zadania użyteczności publicznej, które nie są podmiotami kluczowymi, są podmiotami ważnymi.

Organy właściwe Organy właściwe do spraw cyberbezpieczeństwa sprawują nadzór nad poszczególnymi sektorami zgodnie z art. 41 i 41a ustawy.

Sektor Organ właściwy Energia, inwestycje energetyki jądrowej minister właściwy do spraw energii Transport (z wyłączeniem transportu wodnego) minister właściwy do spraw transportu Transport wodny minister właściwy do spraw gospodarki morskiej i minister właściwy do spraw żeglugi śródlądowej Bankowość i infrastruktura rynków finansowych Komisja Nadzoru Finansowego Ochrona zdrowia, produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro minister właściwy do spraw zdrowia Zaopatrzenie w wodę pitną i jej dystrybucja, zbiorowe odprowadzanie ścieków minister właściwy do spraw gospodarki wodnej Infrastruktura cyfrowa (z wyłączeniem komunikacji elektronicznej), zarządzanie usługami ICT, dostawcy usług cyfrowych, podmioty publiczne minister właściwy do spraw informatyzacji Komunikacja elektroniczna, usługi pocztowe Prezes Urzędu Komunikacji Elektronicznej Przestrzeń kosmiczna, chemikalia, produkcja (z wyłączeniem wyrobów medycznych) minister właściwy do spraw gospodarki Żywność minister właściwy do spraw rolnictwa Gospodarowanie odpadami minister właściwy do spraw klimatu Badania naukowe minister właściwy do spraw szkolnictwa wyższego i nauki Ochrona zdrowia, infrastruktura cyfrowa, badania naukowe i podmioty publiczne – w zakresie podmiotów podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych Minister Obrony Narodowej

Organy właściwe nadzorują i kontrolują wykonywanie obowiązków przez podmioty kluczowe i ważne w swoich sektorach. Nowelizacja z 2026 roku wzmocniła ich kompetencje nadzorcze. Mogą m.in. kierować do podmiotów pisma z ostrzeżeniem, nakazać przeprowadzenie oceny bezpieczeństwa systemu informacyjnego lub audytu, a wobec podmiotów kluczowych również wyznaczyć urzędnika monitorującego wykonywanie ich obowiązków.

Zespoły CSIRT

Zespoły działające na poziomie krajowym W ramach krajowego systemu cyberbezpieczeństwa działają trzy zespoły CSIRT poziomu krajowego.

Zespół Instytucja Właściwość CSIRTGOV Agencja Bezpieczeństwa Wewnętrznego Wybrane jednostki sektora finansów publicznych i obsługujące je urzędy, jednostki podległe Prezesowi Rady Ministrów, NBP, BGK i inne wskazane w ustawie instytucje oraz podmioty, których systemy teleinformatyczne objęte są wykazem prowadzonym na podstawie ustawy o zarządzaniu kryzysowym CSIRTMON Dowództwo Komponentu Wojsk Obrony Cyberprzestrzeni Podmioty podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane, przedsiębiorcy realizujący zadania na rzecz Sił Zbrojnych oraz Minister Obrony Narodowej CSIRTNASK Naukowa i Akademicka Sieć Komputerowa – Państwowy Instytut Badawczy M.in. urzędy obsługujące jednostki samorządu terytorialnego i inne jednostki sektora finansów publicznych spoza właściwości CSIRT GOV i CSIRT MON, podmioty kluczowe i ważne spoza właściwości tych zespołów, inne podmioty oraz osoby fizyczne

Do wspólnych zadań trzech zespołów należą m.in. monitorowanie cyberzagrożeń i incydentów na poziomie krajowym, szacowanie ryzyka, w tym dynamiczna analiza ryzyka, wczesne ostrzeganie o cyberzagrożeniach oraz koordynacja obsługi zgłaszanych incydentów.

W 2025 roku działający w strukturze NASK zespół CERT Polska (realizujący zadania CSIRT NASK) otrzymał 658 320 zgłoszeń, o około 10% więcej niż rok wcześniej, i zarejestrował 260 783 incydenty cyberbezpieczeństwa wobec 103 449 w 2024 roku, czyli o 152% więcej.

CSIRT sektorowe Przed nowelizacją z 2026 roku organy właściwe mogły powoływać sektorowe zespoły cyberbezpieczeństwa. Po nowelizacji organ właściwy zapewnia funkcjonowanie CSIRT sektorowego dla podmiotów kluczowych i ważnych w danym sektorze lub podsektorze. Do zadań takiego zespołu należy m.in. przyjmowanie od tych podmiotów wczesnych ostrzeżeń, zgłoszeń o incydentach i sprawozdań. Działają m.in. następujące zespoły sektorowe:

Zespół Instytucja Sektor CSIRTKNF Komisja Nadzoru Finansowego Bankowość i infrastruktura rynków finansowych CSIRTCeZ Centrum e-Zdrowia Ochrona zdrowia

Pełnomocnik rządu i Kolegium ds. cyberbezpieczeństwa