Organy właściwe do spraw cyberbezpieczeństwa odpowiadają za nadzór nad podmiotami kluczowymi i ważnymi w poszczególnych sektorach gospodarki. Mogą analizować status firmy, dokonać wpisu z urzędu do Wykazu KSC, przeprowadzić kontrolę, nakazać usunięcie nieprawidłowości i nałożyć karę. Nie są jednak tym samym co zespoły CSIRT odbierające zgłoszenia incydentów ani System S46, który służy do ustawowej komunikacji.
Przedsiębiorca komunikacji elektronicznej podlega co do zasady Prezesowi UKE, bank lub podmiot infrastruktury rynku finansowego Komisji Nadzoru Finansowego, a dostawca usług zarządzanych ICT ministrowi właściwemu do spraw informatyzacji. Jeżeli organizacja prowadzi działalność w kilku sektorach, ustalenie jednego organu może nie wystarczyć.
Główna funkcjanadzór i kontrola
Raportowanie incydentuS46 do właściwego CSIRT
Pomylenie tych ról prowadzi do praktycznych błędów: pytanie o kwalifikację podmiotu może trafić do niewłaściwej instytucji, a zespół incydentowy może próbować wysłać zgłoszenie poza ustawową ścieżką. Organizacja powinna ustalić właściwość jeszcze przed pierwszą kontrolą lub incydentem.
Czym jest organ właściwy do spraw cyberbezpieczeństwa?
Organ właściwy do spraw cyberbezpieczeństwa, określany przez Ministerstwo Cyfryzacji także skrótem OWcyber, jest organem administracji publicznej sprawującym nadzór nad podmiotami kluczowymi i ważnymi w przypisanym sektorze lub podsektorze. Polski model jest zdecentralizowany: nie istnieje jeden regulator prowadzący wszystkie sprawy KSC dla całej gospodarki.
Funkcję organów właściwych pełnią przede wszystkim ministrowie odpowiedzialni za poszczególne działy administracji. W wybranych sektorach kompetencje powierzono centralnym organom administracji, takim jak Komisja Nadzoru Finansowego i Prezes Urzędu Komunikacji Elektronicznej. Ustawowa właściwość jest związana z rodzajem podmiotu i świadczonej usługi, dlatego sama branżowa nazwa firmy lub kod PKD mogą nie wystarczyć do prawidłowej kwalifikacji.
Do podstawowych zadań organu należy bieżąca analiza podmiotów pod kątem uznania ich za kluczowe lub ważne, wpis z urzędu w razie braku samodzielnej rejestracji, wydawanie decyzji o uznaniu podmiotu, monitorowanie stosowania ustawy, prowadzenie kontroli oraz reagowanie na informacje przekazywane przez CSIRT. Organ może również wezwać do usunięcia podatności, która doprowadziła albo mogła doprowadzić do incydentu poważnego lub krytycznego.
Organ właściwy, CSIRT i System S46 – trzy różne role
Wewnętrzna procedura firmy powinna rozdzielać komunikację nadzorczą od obsługi incydentów. Organ właściwy może kontrolować, żądać informacji, wydawać nakazy i nakładać kary. CSIRT realizuje zadania operacyjne związane z reagowaniem na incydenty, analizą zgłoszeń, koordynacją oraz wsparciem technicznym. System S46 jest narzędziem, za pomocą którego organizacja wykonuje obowiązki komunikacyjne.
Organ właściwy
Nadzoruje przestrzeganie ustawy w określonym sektorze.
- analizuje status podmiotów,
- prowadzi kontrole,
- wydaje ostrzeżenia i nakazy,
- egzekwuje usunięcie naruszeń,
- nakłada kary administracyjne.
Właściwy CSIRT
Przyjmuje i obsługuje informacje o incydentach.
- odbiera wczesne ostrzeżenia,
- analizuje zgłoszenia incydentów,
- udziela wytycznych i wsparcia,
- koordynuje działania operacyjne,
- może wnioskować o usunięcie podatności.
System S46
Zapewnia elektroniczny kanał wykonywania obowiązków.
- służy do raportowania incydentów,
- umożliwia przekazywanie sprawozdań,
- wspiera komunikację z KSC,
- wymaga aktualnych dostępów,
- powinien zostać objęty zastępstwem.
Wczesne ostrzeżenie o incydencie poważnym, pełne zgłoszenie oraz sprawozdania są przekazywane przez S46 do właściwego CSIRT sektorowego. Odrębnym zagadnieniem jest kontrola wykonywania obowiązku raportowego. Jeżeli podmiot nie zgłasza incydentów albo przekazuje nierzetelne informacje, organ właściwy może zastosować środki nadzorcze.
Szczegółowy przebieg raportowania opisujemy w poradniku Zgłoszenie incydentu NIS2 – terminy 24 i 72 godziny. Organizacja powinna również wyznaczyć osoby odpowiedzialne za komunikację, zapewnić im zastępstwo i dostęp do danych technicznych. Zasady tej funkcji omawia artykuł Pełnomocnik jako osoba kontaktowa CSIRT.
Jak ustalić organ właściwy dla swojej firmy?
Punktem wyjścia nie jest wybór urzędu z listy, lecz prawidłowa samoidentyfikacja. Należy ustalić, jakie usługi organizacja faktycznie świadczy, czy odpowiadają one rodzajom podmiotów wskazanym w załącznikach do UoKSC oraz czy firma spełnia przesłanki podmiotu kluczowego lub ważnego. Pomaga w tym analiza przedstawiona w artykule Kogo dotyczy ustawa KSC/NIS2.
Ustal faktyczne usługi
Sprawdź produkty, odbiorców, terytorium świadczenia i procesy, a następnie porównaj je z rodzajami podmiotów wskazanymi w załącznikach do ustawy.
Przypisz sektor i podsektor
Jedna nazwa branży może obejmować kilka kategorii ustawowych. Szczególnej uwagi wymagają infrastruktura cyfrowa, komunikacja elektroniczna, usługi ICT i usługi cyfrowe.
Sprawdź reguły szczególne
Podległość Ministrowi Obrony Narodowej lub Ministrowi Finansów oraz status podmiotu publicznego mogą zmienić właściwość wynikającą z podstawowego sektora.
Udokumentuj wniosek
Zachowaj opis działalności, podstawę kwalifikacji, dane grupy kapitałowej i przyjęte stanowisko. Materiał przyda się przy wpisie, aktualizacji danych i kontroli.
Firma może podlegać więcej niż jednemu organowi
Jeżeli organizacja spełnia kryteria w kilku sektorach, właściwości mogą się nakładać. Ustawa przewiduje współpracę organów sprawujących wspólny nadzór oraz możliwość wskazania organu wiodącego. Nie należy samodzielnie pomijać jednego sektora tylko dlatego, że firma wskazała już inny we wniosku do Wykazu.
Organy właściwe do spraw cyberbezpieczeństwa według sektorów KSC
Poniższe zestawienie odpowiada podziałowi opublikowanemu przez Ministerstwo Cyfryzacji 4 września 2026 r. Nazwy departamentów pokazują aktualną obsługę organizacyjną, ale mogą zmieniać się bez zmiany ustawowego organu. Podstawą oceny powinien pozostawać art. 41 lub 41a UoKSC.
| Lp. | Sektor lub podsektor | Organ właściwy | Urząd i komórka obsługująca | Podstawa |
|---|---|---|---|---|
| 1 | Energia | Minister właściwy do spraw energii | Ministerstwo EnergiiDepartament Cyfryzacji i Bezpieczeństwa | art. 41 pkt 1 |
| 2 | Inwestycje energii jądrowej | Minister właściwy do spraw energii | Ministerstwo EnergiiDepartament Cyfryzacji i Bezpieczeństwa | art. 41 pkt 1a |
| 3 | Transport, z wyłączeniem transportu wodnego | Minister właściwy do spraw transportu | Ministerstwo InfrastrukturyBiuro Zarządzania Kryzysowego | art. 41 pkt 2 |
| 4 | Transport wodny | Minister właściwy do spraw gospodarki morskiej i minister właściwy do spraw żeglugi śródlądowej | Ministerstwo InfrastrukturyBiuro Zarządzania Kryzysowego | art. 41 pkt 3 |
| 5 | Sektor bankowy i infrastruktura rynków finansowych | Komisja Nadzoru Finansowego | Urząd Komisji Nadzoru FinansowegoDepartament Cyberbezpieczeństwa | art. 41 pkt 4 |
| 6 | Ochrona zdrowia, bez podmiotów podległych MON | Minister właściwy do spraw zdrowia | Ministerstwo ZdrowiaDepartament e-Zdrowia | art. 41 pkt 5 |
| 7 | Ochrona zdrowia w zakresie podmiotów wskazanych w art. 26 ust. 5 pkt 1 | Minister Obrony Narodowej | Ministerstwo Obrony NarodowejDepartament Cyberbezpieczeństwa | art. 41 pkt 6 |
| 8 | Zaopatrzenie w wodę pitną i jej dystrybucja | Minister właściwy do spraw gospodarki wodnej | Ministerstwo InfrastrukturyBiuro Zarządzania Kryzysowego | art. 41 pkt 7 |
| 9 | Infrastruktura cyfrowa, bez komunikacji elektronicznej i podmiotów podległych MON | Minister właściwy do spraw informatyzacji | Ministerstwo CyfryzacjiDepartament Cyberbezpieczeństwa | art. 41 pkt 8 |
| 10 | Komunikacja elektroniczna, bez podmiotów podległych MON | Prezes Urzędu Komunikacji Elektronicznej | Urząd Komunikacji ElektronicznejDepartament Bezpieczeństwa | art. 41 pkt 8a |
| 11 | Infrastruktura cyfrowa w zakresie podmiotów wskazanych w art. 26 ust. 5 pkt 1 | Minister Obrony Narodowej | Ministerstwo Obrony NarodowejDepartament Cyberbezpieczeństwa | art. 41 pkt 9 |
| 12 | Zbiorowe odprowadzanie ścieków | Minister właściwy do spraw gospodarki wodnej | Ministerstwo InfrastrukturyBiuro Zarządzania Kryzysowego | art. 41 pkt 9a |
| 13 | Zarządzanie usługami ICT | Minister właściwy do spraw informatyzacji | Ministerstwo CyfryzacjiDepartament Cyberbezpieczeństwa | art. 41 pkt 9b |
| 14 | Przestrzeń kosmiczna | Minister właściwy do spraw gospodarki | Ministerstwo Rozwoju i TechnologiiDepartament Gospodarki Cyfrowej | art. 41 pkt 9c |
| 15 | Produkcja, wytwarzanie i dystrybucja chemikaliów | Minister właściwy do spraw gospodarki | Ministerstwo Rozwoju i TechnologiiDepartament Gospodarki Cyfrowej | art. 41 pkt 9d |
| 16 | Produkcja, przetwarzanie i dystrybucja żywności | Minister właściwy do spraw rolnictwa | Ministerstwo Rolnictwa i Rozwoju WsiBiuro Administracyjno-Finansowe | art. 41 pkt 9e |
| 17 | Produkcja, bez wyrobów medycznych i wyrobów do diagnostyki in vitro | Minister właściwy do spraw gospodarki | Ministerstwo Rozwoju i TechnologiiDepartament Gospodarki Cyfrowej | art. 41 pkt 9f |
| 18 | Produkcja wyrobów medycznych i wyrobów do diagnostyki in vitro | Minister właściwy do spraw zdrowia | Ministerstwo ZdrowiaDepartament e-Zdrowia | art. 41 pkt 9g |
| 19 | Usługi pocztowe | Prezes Urzędu Komunikacji Elektronicznej | Urząd Komunikacji ElektronicznejDepartament Bezpieczeństwa | art. 41 pkt 9h |
| 20 | Gospodarowanie odpadami | Minister właściwy do spraw klimatu | Ministerstwo Klimatu i ŚrodowiskaDepartament Informatyzacji | art. 41 pkt 9i |
| 21 | Dostawcy usług cyfrowych | Minister właściwy do spraw informatyzacji | Ministerstwo CyfryzacjiDepartament Cyberbezpieczeństwa | art. 41 pkt 9j |
| 22 | Badania naukowe, bez podmiotów podległych MON | Minister właściwy do spraw szkolnictwa wyższego i nauki | Ministerstwo Nauki i Szkolnictwa WyższegoDepartament Innowacji i Rozwoju | art. 41 pkt 9k |
| 23 | Badania naukowe w zakresie podmiotów wskazanych w art. 26 ust. 5 pkt 1 | Minister Obrony Narodowej | Ministerstwo Obrony NarodowejDepartament Cyberbezpieczeństwa | art. 41 pkt 9l |
| 24 | Podmioty publiczne, z ustawowymi wyjątkami | Minister właściwy do spraw informatyzacji | Ministerstwo CyfryzacjiDepartament Cyberbezpieczeństwa | art. 41a ust. 1 |
Dla przedsiębiorców komunikacji elektronicznej i usług pocztowych organem właściwym jest Prezes UKE. Status lokalnych operatorów i relację między rejestrem UKE a Wykazem KSC wyjaśnia osobny materiał: Przedsiębiorca komunikacji elektronicznej a KSC.
Wyjątki dotyczące MON, Ministra Finansów i podmiotów publicznych
Jeżeli podmiot podlega Ministrowi Obrony Narodowej albo jest przez niego nadzorowany w rozumieniu art. 26 ust. 5 pkt 1 UoKSC, właściwym organem jest Minister Obrony Narodowej. Dotyczy to również wskazanych podmiotów działających w ochronie zdrowia, infrastrukturze cyfrowej i badaniach naukowych.
W sektorze podmiotów publicznych szczególna właściwość Ministra Finansów obejmuje jednostki organizacyjne podległe temu ministrowi lub przez niego nadzorowane, urząd go obsługujący oraz określoną ustawowo spółkę wykonującą zadania informatyczne dla administracji skarbowej. Jeżeli podmiot publiczny jest wymieniony również w innym sektorze, co do zasady właściwy jest organ sektorowy. Zasada ta nie zmienia właściwości wobec samorządowych podmiotów publicznych.
Jakie uprawnienia ma organ właściwy?
Kompetencje organu nie kończą się na korespondencji i sprawdzeniu wpisu. Ustawa pozwala ingerować w sposób wykonywania obowiązków, żądać dowodów, a w przypadku podmiotów kluczowych stosować środki mogące bezpośrednio wpływać na działalność organizacji.
Identyfikacja i Wykaz KSC
Organ analizuje rynek, może wpisać podmiot z urzędu, jeżeli ten nie dokonał rejestracji, oraz wydać decyzję o uznaniu organizacji za podmiot kluczowy lub ważny.
Informacje i dokumenty
Może żądać danych potrzebnych do sprawowania nadzoru, w tym informacji o usługach, systemach, ryzyku, zabezpieczeniach, incydentach i wykonaniu wcześniejszych zaleceń.
Kontrola i audyt
Prowadzi kontrole planowe lub doraźne. Może nakazać ocenę bezpieczeństwa systemu informacyjnego, przeprowadzenie audytu albo wdrożenie zaleceń wynikających z jego wyników.
Nakazy naprawcze
Może zobowiązać podmiot do zaniechania naruszeń, zapewnienia zgodności SZBI, wykonania określonych czynności podczas incydentu i usunięcia wskazanych uchybień.
Urzędnik monitorujący
Wobec podmiotu kluczowego organ może czasowo wyznaczyć urzędnika nadzorującego wykonywanie obowiązków i realizację precyzyjnie określonych zadań.
Sankcje i publikacja
Organ może nakładać administracyjne kary pieniężne, nakazać poinformowanie odbiorców lub podanie naruszenia do publicznej wiadomości, a w szczególnych przypadkach zastosować dalej idące środki.
Podmiot kluczowy i ważny – różny model nadzoru
Nadzór prewencyjny i następczy
Organ może działać również bez wcześniejszego incydentu lub zawiadomienia o konkretnym naruszeniu. Ustawa przewiduje wobec podmiotów kluczowych rozbudowane środki egzekucyjne, w tym urzędnika monitorującego, a w określonych okolicznościach czasowe ograniczenie działalności lub funkcji zarządczych.
Nadzór zasadniczo następczy
Działania nadzorcze są podejmowane przede wszystkim wtedy, gdy organ uzyska informacje pozwalające przyjąć, że podmiot może naruszać przepisy. Nie oznacza to łagodniejszych wymagań organizacyjnych ani zwolnienia z SZBI, raportowania incydentów czy kontroli dostawców.
Wpis z urzędu jest narzędziem organu, a nie warunkiem powstania wszystkich obowiązków. Organizacja powinna sama ocenić status i złożyć wniosek, jeżeli spełnia ustawowe przesłanki. Instrukcję przejścia przez proces zawiera poradnik Jak zarejestrować się w Systemie S46 i złożyć wniosek do Wykazu.
Jak przygotować firmę do kontaktu i kontroli?
Organ będzie oceniał nie tylko istnienie dokumentacji, lecz także jej zgodność ze stanem faktycznym i dowody działania przyjętych zabezpieczeń. Polityka podpisana przez zarząd nie potwierdza jeszcze, że testowano odtworzenie kopii, przeprowadzono ocenę ryzyka dostawców, zamknięto niezgodności albo przeszkolono kierownictwo.
- Potwierdź kwalifikację: opisz sektor, rodzaj świadczonej usługi, wielkość przedsiębiorstwa i podstawę uznania za podmiot kluczowy albo ważny.
- Sprawdź wpis: zweryfikuj kompletność danych w Wykazie KSC, reprezentację, kontakty, administratora S46, domeny i zakresy adresów IP.
- Przydziel odpowiedzialność: wskaż właścicieli SZBI, ryzyka, incydentów, ciągłości działania, relacji z dostawcami i komunikacji z administracją.
- Zbierz dokumenty i dowody: przygotuj rejestr ryzyka, polityki, protokoły testów, raporty, rejestry incydentów, szkolenia i decyzje zarządu.
- Przetestuj komunikację: upewnij się, że wyznaczone osoby potrafią zalogować się do S46, mają zastępstwo i znają ścieżkę eskalacji poza godzinami pracy.
- Uporządkuj dostawców: ustal, którzy wykonawcy mają dostęp do kluczowych systemów i czy umowy zapewniają wsparcie, dowody oraz informację o incydencie.
Checklista gotowości przed kontaktem z organem
Zaznacz wyłącznie punkty potwierdzone aktualnym dokumentem lub dowodem wykonania.
Jeżeli wynik kontroli gotowości pokazuje luki, warto rozpocząć od uporządkowanej diagnozy. Zakres, czas i rezultat takiej pracy opisujemy w materiale Audyt zerowy KSC/NIS2. Dalsze kroki po rejestracji przedstawia artykuł Co po wpisie do Wykazu KSC?.
Ocena powinna obejmować rzeczywiście świadczone usługi, sektor, wielkość przedsiębiorstwa, powiązania oraz wyjątki dotyczące podmiotów publicznych i nadzorowanych. Bezpłatna konsultacja pozwala wstępnie ustalić status, właściwy organ i najbliższe obowiązki.
Kary nakładane przez organ właściwy
Organ właściwy nakłada kary pieniężne w drodze decyzji administracyjnej. Wobec podmiotu kluczowego maksymalna wysokość wynosi 10 mln EUR albo 2% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym, przy czym zastosowanie ma kwota wyższa. Ustawowe minimum wynosi 20 tys. zł.
Dla podmiotu ważnego górny limit wynosi 7 mln EUR albo 1,4% przychodów z działalności gospodarczej, a kara nie może być niższa niż 15 tys. zł. Jeżeli naruszenie powoduje bezpośrednie i poważne cyberzagrożenie dla szczególnie chronionych dóbr albo ryzyko poważnej szkody majątkowej lub utrudnień w świadczeniu usług, ustawa przewiduje karę do 100 mln zł.
Odrębna kara może zostać nałożona na kierownika podmiotu. Jej maksymalna wysokość wynosi 300% wynagrodzenia obliczanego według zasad stosowanych przy ustalaniu ekwiwalentu pieniężnego za urlop. Dla kierowników podmiotów publicznych ustawowy limit wynosi zasadniczo 100%. Osobista odpowiedzialność może dotyczyć między innymi braku wykonania obowiązków SZBI, zgłoszeń incydentów, szkoleń, wpisu lub wyznaczenia wymaganych osób kontaktowych.
Terminy wdrożenia, aktualizacji danych i obowiązków operacyjnych przedstawia kalendarz KSC i NIS2 dla zarządu. Zarząd powinien powiązać go z właścicielami działań i cyklicznym raportowaniem, zamiast traktować jako jednorazową listę dat.
FAQ: organy właściwe do spraw cyberbezpieczeństwa
Czy organ właściwy i CSIRT to ta sama instytucja?
Nie. Organ właściwy sprawuje nadzór, prowadzi kontrole, wydaje nakazy i nakłada kary. Właściwy CSIRT realizuje zadania związane z przyjmowaniem zgłoszeń i koordynacją obsługi incydentów. W niektórych przypadkach zadania CSIRT sektorowego mogą zostać powierzone CSIRT NASK, GOV lub MON, ale nie zmienia to zasadniczego rozdziału funkcji.
Do kogo firma zgłasza incydent poważny?
Wczesne ostrzeżenie, zgłoszenie incydentu i późniejsze sprawozdania przekazuje się za pomocą Systemu S46 do właściwego CSIRT sektorowego. Wewnętrzna procedura powinna wskazywać konkretny zespół, osoby uprawnione do wysyłki oraz sposób zatwierdzenia informacji.
Czy organ może wpisać firmę do Wykazu KSC z urzędu?
Tak. Jeżeli podmiot spełnia przesłanki uznania za kluczowy lub ważny, ale nie zarejestrował się w Wykazie, organ właściwy może dokonać wpisu z urzędu. Nie usuwa to ryzyka sankcji za niewykonanie obowiązku samodzielnego złożenia wniosku.
Czy jedna firma może mieć kilka organów właściwych?
Tak, jeżeli prowadzi działalność objętą kilkoma sektorami lub podsektorami. Organy mogą wtedy współpracować przy nadzorze i wskazać organ wiodący. Zakres właściwości trzeba ocenić na podstawie wszystkich świadczonych usług.
Kto nadzoruje przedsiębiorcę komunikacji elektronicznej?
Co do zasady organem właściwym dla podsektora komunikacji elektronicznej jest Prezes Urzędu Komunikacji Elektronicznej. Wyjątek dotyczy podmiotów podległych Ministrowi Obrony Narodowej albo przez niego nadzorowanych w zakresie wskazanym przez ustawę.
Kto nadzoruje podmiot publiczny?
Zasadniczo minister właściwy do spraw informatyzacji, ale ustawa przewiduje wyjątki dla podmiotów związanych z Ministrem Obrony Narodowej i Ministrem Finansów. Podmiot publiczny wymieniony również w innym sektorze może podlegać organowi sektorowemu, z zastrzeżeniem reguły dotyczącej samorządowych podmiotów publicznych.
Czy organ może nakazać przeprowadzenie audytu?
Tak. W ramach środków nadzorczych może nakazać ocenę bezpieczeństwa systemu informacyjnego lub audyt, a następnie wdrożenie zaleceń wynikających z jego wyników. Kontrola może również zakończyć się zaleceniami i terminem usunięcia nieprawidłowości.
Z kim kontaktować się w sprawie kwalifikacji firmy?
Ministerstwo Cyfryzacji wskazuje, że pytania dotyczące kwalifikacji jako podmiot kluczowy lub ważny oraz obowiązków KSC należy kierować do organu właściwego dla danego sektora. Przed kontaktem warto przygotować zwięzły opis usług, odbiorców, skali działalności i podstaw prawnych.
Ustal status firmy, właściwy organ i najbliższe obowiązki
W ramach bezpłatnej oceny sprawdzimy, czy organizacja podlega KSC/NIS2, czy jest podmiotem kluczowym, ważnym albo pozostaje poza zakresem regulacji. Wskażemy właściwy organ, listę obowiązków i najbliższe ustawowe terminy. W razie potrzeby dalsza analiza może zakończyć się pisemnym stanowiskiem prawnym.