Zgłoszenie incydentu NIS2 wymaga dotrzymania dwóch terminów na reakcję: 24 godzin na przekazanie wczesnego ostrzeżenia oraz 72 godzin na zgłoszenie incydentu poważnego. Zanim organizacja wypełni formularz w Systemie S46, musi ocenić charakter zdarzenia, ustalić moment jego wykrycia i uruchomić działania techniczne, prawne oraz zarządcze. To właśnie od momentu wykrycia incydentu poważnego rozpoczyna się bieg obu terminów. W pierwszej dobie podmiot nie musi jeszcze znać pełnych przyczyn ani wszystkich skutków ataku – przekazuje informacje dostępne na tym etapie, a następnie uzupełnia je w toku obsługi incydentu.
Zegar biegnie od momentu wykrycia incydentu poważnego. Dlatego procedura powinna określać, kto może dokonać kwalifikacji zdarzenia, kto zatwierdza zgłoszenie i kto ma dostęp do Systemu S46. Oczekiwanie na pełny raport informatyki śledczej może doprowadzić do przekroczenia ustawowego terminu.
Zabezpiecz informacje, uruchom zespół incydentowy, ustal wpływ na usługę i rozpocznij kwalifikację.
Przekaż podstawowe dane, moment wystąpienia i wykrycia oraz wstępną ocenę charakteru i zasięgu zdarzenia.
Rozwiń opis wpływu, przyczyn, przebiegu, prawdopodobnych skutków oraz działań zapobiegawczych i naprawczych.
Podsumuj zakłócenia, szkody, źródło zagrożenia, ograniczenie ryzyka i ewentualne skutki transgraniczne.
1. Kiedy zdarzenie staje się incydentem poważnym?
Ustawa o krajowym systemie cyberbezpieczeństwa rozróżnia kilka poziomów zdarzeń. Incydent to zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Nie każdy incydent uruchamia jednak obowiązkowy model raportowania 24/72 godziny.
Incydent poważny to incydent, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub ważny, straty finansowe dla tego podmiotu albo poważną szkodę materialną lub niematerialną dla innych osób lub organizacji. Przy kwalifikacji znaczenie mogą mieć między innymi liczba użytkowników, czas zakłócenia, zasięg geograficzny oraz czynniki właściwe dla danego sektora.
Incydent krytyczny jest klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV. Jego skutki mogą dotyczyć między innymi bezpieczeństwa lub porządku publicznego, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich albo życia i zdrowia ludzi. To nie organizacja samodzielnie nadaje zdarzeniu status incydentu krytycznego.
Zaznacz przesłanki widoczne w pierwszych godzinach. Narzędzie porządkuje analizę, ale nie zastępuje kwalifikacji prawnej i technicznej.
Wniosek praktyczny: wystąpienie jednej przesłanki nie rozstrzyga automatycznie kwalifikacji. Jeżeli jednak wpływ na usługę, finanse lub osoby może być poważny, organizacja powinna natychmiast uruchomić udokumentowaną analizę i nie odkładać decyzji do 23. godziny.
Przed zastosowaniem terminów trzeba też ustalić, czy organizacja jest podmiotem kluczowym albo ważnym. Pomaga w tym osobne omówienie: kogo dotyczy ustawa KSC/NIS2. Dla niektórych kategorii podmiotów lub sektorów mogą obowiązywać przepisy szczególne, dlatego kwalifikacja organizacji i zdarzenia powinna poprzedzać raportowanie.
2. Co zrobić w pierwszych 24 godzinach?
Podmiot kluczowy lub ważny zgłasza właściwemu CSIRT sektorowemu wczesne ostrzeżenie o incydencie poważnym niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia. Użycie słowa „niezwłocznie” oznacza, że 24 godziny są terminem maksymalnym, a nie rekomendowanym momentem wysłania formularza.
Wczesne ostrzeżenie ma umożliwić szybkie uruchomienie współpracy z CSIRT. Ustawa wymaga przede wszystkim informacji identyfikujących podmiot i osoby kontaktowe, wskazania momentu wystąpienia i wykrycia incydentu oraz czasu jego trwania. Jeżeli jest to możliwe, należy również wskazać, czy zdarzenie wynika z działania bezprawnego lub działania w złej wierze oraz czy dotyczy innych państw członkowskich Unii Europejskiej.
Co powinno znaleźć się we wczesnym ostrzeżeniu?
- dane podmiotu zgłaszającego,
- dane osoby dokonującej zgłoszenia,
- dane osoby uprawnionej do składania wyjaśnień,
- moment wystąpienia i wykrycia incydentu oraz czas jego trwania,
- wstępna ocena bezprawnego lub złośliwego działania, jeżeli jest możliwa,
- informacja o możliwym wpływie na inne państwa UE.
Czego nie trzeba znać w pierwszej dobie?
- pełnej przyczyny źródłowej ataku,
- ostatecznej wysokości wszystkich strat,
- kompletnej listy zaatakowanych urządzeń,
- zamkniętego raportu z informatyki śledczej,
- ostatecznej liczby wszystkich poszkodowanych,
- pełnego planu działań naprawczych.
Organizacja przekazuje informacje, które zna w danym momencie, a następnie je aktualizuje. To ważne dla zarządu: brak pełnej wiedzy nie powinien być utożsamiany z brakiem obowiązku działania. Trzeba jednak wyraźnie oddzielać fakty potwierdzone, ustalenia wstępne i hipotezy zespołu technicznego.
Podmiot może zawrzeć wniosek o wytyczne dotyczące środków ograniczających skutki incydentu lub o dodatkowe wsparcie techniczne. CSIRT sektorowy powinien przekazać wytyczne albo udzielić wsparcia nie później niż w ciągu 24 godzin. Jeżeli zdarzenie może wyczerpywać znamiona przestępstwa, przekazuje również informacje o sposobie zawiadomienia organów ścigania.
Co musi wydarzyć się równolegle z raportowaniem?
- Zabezpieczenie dowodów: zachowanie logów, kopii wiadomości, obrazów systemów, list aktywnych sesji i innych danych, zanim zostaną nadpisane.
- Ograniczenie skutków: izolacja urządzeń, czasowe ograniczenie ruchu, reset poświadczeń lub inne działania adekwatne do zagrożenia.
- Utrzymanie usługi: uruchomienie BCP/DRP i ustalenie priorytetów odtwarzania procesów krytycznych.
- Ocena prawna: sprawdzenie, czy zdarzenie uruchamia również obowiązki wynikające z RODO, DORA, umów, polisy cyber lub regulacji sektorowych.
- Komunikacja: przygotowanie spójnych komunikatów dla zarządu, pracowników, klientów, dostawców i ubezpieczyciela.
3. Co musi zawierać zgłoszenie w ciągu 72 godzin?
Najpóźniej w ciągu 72 godzin od wykrycia incydentu poważnego podmiot przekazuje jego zgłoszenie do właściwego CSIRT sektorowego. To drugi etap raportowania. Nie jest powtórzeniem wczesnego ostrzeżenia, lecz jego rozwinięciem na podstawie informacji zebranych podczas pierwszych dwóch dób obsługi.
| Etap | Zakres informacji | Cel zarządczy |
|---|---|---|
| Wczesne ostrzeżenie – 24 h | Identyfikacja podmiotu i osób kontaktowych, moment wystąpienia i wykrycia, czas trwania, możliwe złośliwe działanie i wpływ transgraniczny. | Niezwłoczne powiadomienie CSIRT i uruchomienie współpracy mimo niepełnego obrazu zdarzenia. |
| Zgłoszenie – 72 h | Wpływ na usługę, liczba użytkowników, zasięg, wpływ na inne podmioty, przyczyny, przebieg, skutki oraz działania zapobiegawcze i naprawcze. | Przedstawienie aktualnej oceny skali incydentu i kontroli nad procesem jego obsługi. |
| Sprawozdanie końcowe – 1 miesiąc | Szczegółowy opis zakłóceń i szkód, rodzaj zagrożenia lub prawdopodobna przyczyna, środki ograniczające ryzyko i skutki transgraniczne. | Zamknięcie udokumentowanej ścieżki incydentu oraz wskazanie działań ograniczających ryzyko powtórzenia. |
Zgłoszenie 72-godzinne powinno opisywać wpływ na konkretną usługę, liczbę użytkowników dotkniętych zdarzeniem, zasięg geograficzny oraz wpływ na świadczenie usług przez inne podmioty. Należy także przedstawić znane przyczyny, przebieg i prawdopodobne skutki incydentu, a także podjęte działania zapobiegawcze i naprawcze.
Ustawa wyraźnie dopuszcza przekazanie informacji znanych w chwili zgłoszenia i ich późniejsze uzupełnianie. W praktyce dobry raport powinien posiadać oznaczenie wersji, datę, właściciela informacji oraz jasne rozróżnienie pomiędzy danymi potwierdzonymi i wymagającymi dalszej analizy.
Jedno zdarzenie może uruchomić kilka terminów
Incydent ransomware może jednocześnie stanowić incydent poważny w rozumieniu KSC, naruszenie ochrony danych osobowych, szkodę zgłaszaną ubezpieczycielowi oraz naruszenie obowiązków wobec kontrahentów. Terminy i adresaci tych zgłoszeń nie są tożsame. Zespół incydentowy powinien prowadzić wspólną oś czasu, ale odrębnie oceniać każdą podstawę prawną.
Gotowość zarządu do takich decyzji warto zweryfikować jeszcze przed zdarzeniem. Pomocne są materiały: audyt KSC/NIS2 dla zarządu w 2026 roku oraz audyt zerowy KSC/NIS2 – zakres, czas i cena.
4. Jak zgłosić incydent przez System S46?
Wczesne ostrzeżenie, zgłoszenie incydentu poważnego, sprawozdanie okresowe, sprawozdanie z postępu i sprawozdanie końcowe są przekazywane za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ustawy, czyli Systemu S46. Zgłoszenie trafia do właściwego CSIRT sektorowego, który przekazuje je dalej do właściwego CSIRT MON, CSIRT NASK albo CSIRT GOV.
Wyznaczona osoba zbiera dane, dokonuje zgłoszenia i wskazuje osobę uprawnioną do składania dalszych wyjaśnień.
Zgłoszenie jest przekazywane przez S46 do właściwego CSIRT sektorowego odpowiadającego sektorowi organizacji.
CSIRT sektorowy przekazuje materiały do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV i wspiera koordynację obsługi.
Przed incydentem trzeba sprawdzić, czy organizacja posiada aktywną przestrzeń w S46, co najmniej właściwie umocowane osoby mają dostęp do konta, a dane kontaktowe są aktualne. Dostęp przechowywany przez jednego pracownika albo powiązany z niedostępnym urządzeniem może w praktyce uniemożliwić terminowe zgłoszenie.
CSIRT GOV wskazuje również alternatywne kanały kontaktu, między innymi formularz elektroniczny, pocztę elektroniczną i – przy braku możliwości przekazania elektronicznego – faks. Dobór kanału zależy jednak od statusu podmiotu, właściwości CSIRT i aktualnych wymogów proceduralnych. W przypadku przekazywania informacji poufnych należy korzystać z dostępnych mechanizmów ochrony, w tym szyfrowania wskazanego przez właściwy CSIRT.
Procedura nie jest gotowa, jeżeli osoba odpowiedzialna zna nazwę systemu, ale nigdy nie logowała się do przestrzeni podmiotu i nie wie, jakie informacje będą potrzebne. Próba techniczna, aktualizacja administratorów oraz roboczy wzór zgłoszenia powinny być elementem ćwiczenia incydentowego.
5. Co dzieje się po dokonaniu zgłoszenia?
Wysłanie zgłoszenia nie kończy obowiązków. Na wniosek właściwego CSIRT sektorowego podmiot przekazuje sprawozdania okresowe z obsługi incydentu. Sprawozdanie końcowe należy przekazać nie później niż w ciągu miesiąca od zgłoszenia 72-godzinnego.
Jeżeli obsługa nadal trwa, podmiot przekazuje sprawozdanie z postępu. Następnie dostarcza sprawozdanie końcowe nie później niż w ciągu miesiąca od zakończenia obsługi incydentu. Dokument powinien opisywać zakłócenia i szkody, rodzaj zagrożenia lub prawdopodobną przyczynę, zastosowane środki ograniczające ryzyko oraz ewentualne skutki transgraniczne.
Organizacja może działać, aby wykryć i ograniczyć źródło ataku
Przepisy dają podstawę do podejmowania w ramach obsługi incydentu działań służących wykrywaniu źródła i analizie aktywności, w tym ruchu sieciowego, który spowodował zakłócenie. Środki zarządzania ryzykiem mogą obejmować także czasowe ograniczenie ruchu przychodzącego po dostrzeżeniu podatności lub cyberzagrożenia. Działania te powinny być proporcjonalne, udokumentowane i uzgodnione z osobami odpowiadającymi za ciągłość usługi oraz zabezpieczenie dowodów.
W przypadku incydentu poważnego u podmiotu ważnego organ właściwy do spraw cyberbezpieczeństwa może nakazać przeprowadzenie zewnętrznego audytu bezpieczeństwa. Przy incydencie krytycznym minister właściwy do spraw informatyzacji może wydać natychmiast wykonalne polecenie zabezpieczające. Może ono dotyczyć między innymi zastosowania poprawki, zmiany konfiguracji, wzmożonego monitorowania, ograniczenia ruchu, zakazu korzystania z podatnego produktu lub zabezpieczenia logów.
Informowanie użytkowników i raportowanie dobrowolne
Jeżeli incydent poważny ma niekorzystny wpływ na świadczenie usług, podmiot kluczowy lub ważny informuje użytkowników tych usług. W przypadku poważnego cyberzagrożenia może być również konieczne przekazanie użytkownikom informacji o możliwych środkach zapobiegawczych.
Podmioty kluczowe i ważne mogą przekazywać przez S46 również informacje o innych incydentach, cyberzagrożeniach, podatnościach, wynikach szacowania ryzyka, potencjalnych zdarzeniach dla cyberbezpieczeństwa oraz wykorzystywanych technologiach. Dobrowolne raportowanie nie zmienia jednak obowiązku terminowego zgłoszenia zdarzenia, które osiągnęło próg incydentu poważnego.
6. Jak przygotować organizację przed incydentem?
Największym błędem jest budowanie procedury dopiero po wykryciu ataku. W pierwszych godzinach organizacja nie powinna zastanawiać się, kto posiada dostęp do S46, czy prawnik może otrzymać logi ani kto informuje zarząd. Te decyzje muszą być zapisane, przećwiczone i przypisane konkretnym osobom wraz z zastępcami.
| Obszar | Co powinno być gotowe przed incydentem? | Dowód dla zarządu |
|---|---|---|
| Kwalifikacja | Kryteria incydentu poważnego, progi sektorowe i ścieżka eskalacji wątpliwych zdarzeń. | Procedura z datą zatwierdzenia oraz właścicielem procesu. |
| Osoby | Zespół techniczny, prawnik, zarząd, komunikacja, IOD oraz osoby kontaktowe i ich zastępcy. | Lista ról, dane kontaktowe i harmonogram dyżurów lub dostępności. |
| S46 | Aktywne konta, aktualni administratorzy, poprawne dane podmiotu i właściwy CSIRT. | Protokół próby dostępu oraz aktualizacji danych. |
| Dowody | Zasady zabezpieczania logów, obrazów systemów, wiadomości, alertów i chronologii działań. | Checklista i wskazane miejsce bezpiecznego przechowywania. |
| Komunikacja | Wzory komunikatów dla klientów, pracowników, organów, ubezpieczyciela i kontrahentów. | Zatwierdzony plan komunikacji kryzysowej. |
| Ćwiczenie | Symulacja pierwszych 24 i 72 godzin z incydentem ransomware, wyciekiem albo awarią dostawcy. | Raport z ćwiczenia, lista luk i plan naprawczy. |
Stałą gotowość do obsługi incydentów można powierzyć specjaliście, który łączy analizę techniczną, procesową i prawną. Zakres takiego wsparcia opisuje artykuł: pełnomocnik ds. cyberbezpieczeństwa w abonamencie.
FAQ: zgłoszenie incydentu cyberbezpieczeństwa
+Od którego momentu liczyć termin 24 i 72 godzin?
Ustawa wiąże oba terminy z momentem wykrycia incydentu poważnego. Organizacja powinna zatem dokumentować, kiedy zebrane informacje pozwoliły rozpoznać zdarzenie jako incydent poważny. Nie należy sztucznie przesuwać tego momentu do zakończenia pełnej analizy technicznej.
+Czy trzeba zgłosić incydent, jeżeli nie znamy jeszcze jego przyczyny?
Tak, jeżeli dostępne informacje pozwalają zakwalifikować zdarzenie jako incydent poważny. W pierwszym etapie przekazuje się dane znane w danej chwili. Zgłoszenie 72-godzinne rozwija ocenę, a informacje mogą być następnie uzupełniane w trakcie obsługi.
+Czy każda próba włamania wymaga wczesnego ostrzeżenia?
Nie. Obowiązkowa ścieżka 24/72 godziny dotyczy incydentu poważnego. Nieskuteczna próba włamania może być cyberzagrożeniem, potencjalnym zdarzeniem albo innym incydentem. Nadal może zostać zgłoszona dobrowolnie i powinna zostać obsłużona zgodnie z wewnętrzną procedurą.
+Kto powinien wysłać zgłoszenie w Systemie S46?
Powinna to zrobić osoba wyznaczona i odpowiednio umocowana przez organizację, posiadająca dostęp do przestrzeni podmiotu w S46. Procedura powinna także wskazywać osobę uprawnioną do składania wyjaśnień oraz zastępców na wypadek nieobecności.
+Czy zgłoszenie do CSIRT zastępuje zgłoszenie naruszenia do UODO?
Nie. Jeżeli incydent prowadzi do naruszenia ochrony danych osobowych, trzeba odrębnie ocenić obowiązki wynikające z RODO. Zgłoszenie do CSIRT i zawiadomienie Prezesa UODO mają inne podstawy, zakresy informacji i cele, nawet jeżeli dotyczą tego samego zdarzenia.
+Czy zarząd może powierzyć przygotowanie zgłoszenia zewnętrznemu ekspertowi?
Organizacja może korzystać ze wsparcia zewnętrznego dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa lub pełnomocnika. Zakres umocowania, dostęp do informacji, odpowiedzialność za decyzje i sposób pracy z S46 powinny być ustalone przed incydentem. Powierzenie czynności nie zwalnia kierownictwa z ustawowej odpowiedzialności za nadzór nad realizacją obowiązków.
Artykuł opiera się na ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w brzmieniu po nowelizacji ogłoszonej w Dz.U. z 2026 r. poz. 252, w szczególności art. 11–14, oraz na art. 23 dyrektywy NIS2. Aktualne kanały techniczne należy każdorazowo weryfikować na stronach właściwego CSIRT i w Systemie S46. Zobacz: oficjalny tekst nowelizacji KSC, art. 23 dyrektywy NIS2 oraz informacje CSIRT GOV o zgłaszaniu incydentów.
Powiązane materiały
Bezpłatna konsultacja
Nie masz pewności, czy zdarzenie wymaga zgłoszenia?
Wypełnij formularz bezpłatnej konsultacji. Ustalimy status organizacji, etap obsługi incydentu, dostępne informacje oraz obszary, które wymagają pilnej analizy przed wczesnym ostrzeżeniem lub zgłoszeniem do właściwego CSIRT.
Wypełnij formularz bezpłatnej konsultacji Poznaj Kancelarię Manowiecki Bez zobowiązań. Formularz zawiera wyłącznie podstawowe dane kontaktowe.