Aktualności prawne: cyberbezpieczeństwo i informatyzacja w jednostkach publicznych

Ustawa o doręczeniach elektronicznych — koniec elektronicznej skrzynki podawczej

Dz.U. 2020 poz. 2320 · wejście w życie: 1.10.2029

• Ustawa weszła w życie w 2021 r., ale jej część zmieniająca ustawę o informatyzacji (art. 105) zacznie obowiązywać dopiero 1 października 2029 r.
• Od tego dnia z ustawy o informatyzacji znikają przepisy o elektronicznej skrzynce podawczej podmiotu publicznego — obowiązek jej udostępnienia i zgłaszania jej adresu ministrowi (art. 16 ust. 1a i 1b) oraz powiązane przepisy (art. 3 pkt 17 i 20, art. 16 ust. 3 pkt 1–3, art. 19a ust. 1a).
• Pisma do i od podmiotów publicznych idą wtedy przez adres do doręczeń elektronicznych, czyli e-Doręczenia.

Kogo dotyczy: Podmioty publiczne, które dziś przyjmują pisma przez elektroniczną skrzynkę podawczą na ePUAP.

Terminy: koniec przepisów o elektronicznej skrzynce podawczej — 1.10.2029

Nowelizacja ustawy o informatyzacji — koniec obecnego rozporządzenia o KRI

Dz.U. 2025 poz. 1158 · wejście w życie: 23.02.2027

• Od 23 lutego 2027 r. zmienia się upoważnienie do wydania rozporządzenia o Krajowych Ramach Interoperacyjności (nowy art. 18). Obecne rozporządzenie (Dz.U. 2024 poz. 773) obowiązuje do tego dnia.
• Projekt nowego rozporządzenia (RD313) według jego uzasadnienia NIE zawiera już wymagań dla SZBI — ministerstwo przenosi je do ustawy o KSC.
• Publiczne szkoły, przedszkola, ośrodki pomocy i biblioteki tego nie odczują: jako samorządowe jednostki budżetowe albo instytucje kultury są podmiotami ważnymi (art. 5 ust. 2 pkt 8 ustawy o KSC) i SZBI prowadzą z ustawy — według Załącznika nr 4.
• Jeśli rozporządzenie wejdzie w tym kształcie, przepis wprost nakazujący SZBI straci podmiot, który realizuje zadania publiczne, ale nie jest ani kluczowym, ani ważnym. Zostanie mu obowiązek odpowiednich zabezpieczeń z art. 32 RODO.

Kogo dotyczy: Wszystkie podmioty realizujące zadania publiczne. Realnie odczują to te, które nie są podmiotem kluczowym ani ważnym w rozumieniu ustawy o KSC — publicznej oświaty i pomocy społecznej to nie dotyczy, bo ustawa o KSC obejmuje je wprost.

Terminy: koniec obecnego rozporządzenia o KRI — 23.02.2027

Ustawa o systemach sztucznej inteligencji

Dz.U. 2026 poz. 1003 · wejście w życie: 28.10.2026

• Tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji — krajowy organ nadzoru nad systemami AI.
• W ustawie o KSC dodaje jedno zadanie zespołów CSIRT: współpracę z tą Komisją (art. 26 ust. 3 pkt 24).
• W ustawie o ochronie danych osobowych dodaje art. 59a: Prezes UODO współpracuje z Komisją.

Kogo dotyczy: Zespoły CSIRT i Prezes UODO. Jednostki nie dostają nowych obowiązków z ustawy o KSC ani z ustawy o ochronie danych.

Terminy: wejście w życie zmian w ustawie o KSC i ustawie o ochronie danych — 28.10.2026

Nowelizacja ustawy o zarządzaniu kryzysowym (dyrektywa CER)

Dz.U. 2026 poz. 815 · wejście w życie: 4.07.2026

• Ustawa porządkuje pojęcia infrastruktury krytycznej i wprowadza „podmioty krytyczne” w ustawie o zarządzaniu kryzysowym.
• W ustawie o KSC zmienia tylko odesłania: art. 15 i art. 26 odsyłają teraz do nowych pojęć (operator infrastruktury krytycznej, Krajowa Ocena Ryzyka, nowy wykaz).
• Art. 46 dostaje ust. 1b: system S46 ma służyć także wymianie informacji między organami do spraw podmiotów krytycznych, Rządowym Centrum Bezpieczeństwa i podmiotami krytycznymi.

Kogo dotyczy: Podmioty krytyczne i operatorzy infrastruktury krytycznej. Nie dotyczy szkół, przedszkoli ani większości urzędów.

Nowelizacja ustawy o KSC wdrażająca dyrektywę NIS 2

Dz.U. 2026 poz. 252 · wejście w życie: 3.04.2026

• Zamiast „operatorów usług kluczowych” są teraz dwie kategorie: podmiot kluczowy i podmiot ważny. O kategorii decyduje głównie sektor i wielkość (podmiot ważny od 50 osób, kluczowy od 250), a część podmiotów publicznych jest wskazana w ustawie wprost.
• Każdy podmiot kluczowy i ważny wdraża system zarządzania bezpieczeństwem informacji (art. 8). Podmiot ważny będący podmiotem publicznym może to zrobić w węższym zakresie — według Załącznika nr 4.
• Incydent poważny zgłasza się do CSIRT etapami: wczesne ostrzeżenie najpóźniej w 24 godziny od wykrycia, zgłoszenie w 72 godziny, potem raport końcowy.
• Kierownik jednostki raz w roku kalendarzowym przechodzi szkolenie z cyberbezpieczeństwa (art. 8e). Osoba, która ma realizować zadania z art. 8 lub 11, przed dopuszczeniem przedstawia informację o niekaralności (art. 8f).
• Podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa co najmniej raz na 3 lata.
• Dotychczasowy rozdział „Obowiązki podmiotów publicznych” (art. 21–25) został uchylony w całości — jego miejsce zajęły obowiązki podmiotów kluczowych i ważnych.
• Kary pieniężne: dla podmiotu kluczowego do 10 mln euro albo 2% przychodów, dla podmiotu ważnego do 7 mln euro albo 1,4% przychodów.

Kogo dotyczy: Podmioty kluczowe i ważne, w tym część jednostek samorządu i podmiotów publicznych. Czy konkretna jednostka podlega, rozstrzyga kalkulator statusu prawnego.

Terminy: wpis do wykazu podmiotów — 3.10.2026; podłączenie do systemu S46 oraz wdrożenie SZBI i środków — 3.04.2027; pierwszy audyt (tylko podmiot kluczowy) — 3.04.2028; pierwsze kary pieniężne — 3.04.2028