Starostwo powiatowe a ustawa o KSC: zawsze podmiot kluczowy

Czy ustawa o KSC Was obejmuje

Starostwo powiatowe jest wymienione wprost wśród podmiotów publicznych będących podmiotami kluczowymi — bez progu zatrudnienia. Stosuje pełny katalog środków z art. 8 ust. 1 oraz obowiązek audytu z art. 15.

Jednostki powiatu — licea, szkoły zawodowe, poradnie, powiatowe centrum pomocy rodzinie, domy dziecka — nie dzielą statusu starostwa. Każda jest osobnym podmiotem i prowadzi własny system, zwykle w trybie uproszczonym.

Podstawy: ustawa o krajowym systemie cyberbezpieczeństwa (starostwo powiatowe — zawsze podmiot kluczowy) · Krajowe Ramy Interoperacyjności (§ 19 rozporządzenia) · RODO (art. 32).

Co trzeba mieć

• System zarządzania bezpieczeństwem informacji oparty na analizie ryzyka
• Zgłaszanie incydentów poważnych: wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, raport końcowy w miesiąc od zgłoszenia (przy dłuższej obsłudze — sprawozdanie z postępu, art. 12b)
• Obsługa incydentów, ciągłość działania i zarządzanie kryzysowe
• Bezpieczeństwo łańcucha dostaw i umowy z dostawcami
• Szkolenia z cyberbezpieczeństwa, w tym obowiązkowe dla kierownictwa
• Odpowiedzialność organu zarządzającego za zatwierdzenie i nadzór nad środkami
• Rejestracja w wykazie podmiotów prowadzonym przez organ właściwy

Terminy

Co oznaczają te terminy

• Wpis do wykazu podmiotów kluczowych i ważnych: Jednostki publiczne wpisuje do wykazu z urzędu Minister Cyfryzacji — termin 3 października 2026 r. nie obowiązuje jednostek wpisanych z urzędu. Sprawdźcie, czy dostaliście zawiadomienie o wpisie i wezwanie do uzupełnienia danych: jeśli tak, macie 6 miesięcy od doręczenia wezwania, a późniejsze zmiany zgłaszacie w 14 dni. Jeśli nie — sprawdźcie wpis albo zapytajcie NASK, bo bez wpisu z urzędu termin 3 października 2026 r. mógł Was dotyczyć. Podmioty niewpisane z urzędu składają wniosek o wpis do 3 października 2026 r. (art. 33 ust. 3 nowelizacji, komunikat MC, Dz. Urz. MC 2026 poz. 7).
• Podłączenie do systemu S46: Wykaz zawiera dane administratora konta jednostki w systemie (art. 7 ust. 2 pkt 11 ustawy o KSC). Konto musi istnieć, zanim wydarzy się incydent — zakładanie go po fakcie jest za późno.
• Wdrożenie SZBI, procedur ryzyka i incydentów oraz dokumentacji: Pełny katalog art. 8 ust. 1 albo Załącznik nr 4 — zależnie od trybu SZBI jednostki.
• Pierwszy audyt bezpieczeństwa: Na własny koszt, co najmniej raz na 3 lata (art. 15 ust. 1). Obejmuje system informacyjny wykorzystywany w procesie świadczenia usługi. Przeprowadza jednostka oceniająca zgodność akredytowana, co najmniej dwóch audytorów z certyfikatami albo wymaganą praktyką lub CSIRT sektorowy (art. 15 ust. 2).

Jakie dane i systemy chronicie

Od tego spisu zaczyna się system: inwentaryzacja aktywów, analiza ryzyka i uprawnienia dotyczą właśnie tych danych i systemów.

• rejestracja pojazdów i uprawnienia do kierowania — dostęp do centralnej ewidencji pojazdów i kierowców (CEPiK)
• zasób geodezyjny i kartograficzny, ewidencja gruntów i budynków
• pozwolenia na budowę i dokumentacja architektoniczno-budowlana
• elektroniczne zarządzanie dokumentacją i elektroniczna skrzynka podawcza
• finanse, kadry i płace starostwa

Na co uważać

• Konto w centralnej ewidencji pojazdów i kierowców używane przez kilka osób albo niewyłączone po odejściu pracownika.
• Udostępnianie danych z ewidencji gruntów i budynków bez sprawdzenia podstawy wniosku.
• Firma informatyczna z pełnym dostępem zdalnym i bez umowy określającej, co jej wolno.
• Incydent poważny zauważony w piątek po południu — wczesne ostrzeżenie trzeba złożyć w ciągu 24 godzin, także w weekend.

Incydent a naruszenie danych — dwa różne zgłoszenia

Incydent poważny zgłasza się według ustawy o KSC do właściwego zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT). Naruszenie ochrony danych osobowych zgłasza się osobno — Prezesowi Urzędu Ochrony Danych Osobowych (UODO), bez zbędnej zwłoki, nie później niż w 72 godziny od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób (art. 33 ust. 1 RODO). Każde naruszenie, także niezgłoszone, trzeba udokumentować (art. 33 ust. 5 RODO).

Jedno zdarzenie może wymagać obu zgłoszeń, na przykład zaszyfrowanie serwera z danymi osobowymi.

RODO

Starostwo jest jednostką sektora finansów publicznych i wyznacza inspektora ochrony danych (art. 37 ust. 1 lit. a RODO w związku z art. 9 pkt 1 ustawy o ochronie danych osobowych).

Dane z ewidencji pojazdów, kierowców i gruntów udostępnia się na podstawie przepisów o tych ewidencjach. Zapis każdego udostępnienia pomaga wykazać, komu i na jakiej podstawie je przekazano.

Krajowe Ramy Interoperacyjności

Jednostka realizująca zadania publiczne stosuje też rozporządzenie w sprawie Krajowych Ram Interoperacyjności (KRI). Zgodnie z § 19 tego rozporządzenia prowadzi system zarządzania bezpieczeństwem informacji, zgodnie z § 19 ust. 2 pkt 3 — okresowe analizy ryzyka utraty integralności, dostępności lub poufności informacji, a zgodnie z § 19 ust. 2 pkt 14 — audyt wewnętrzny co najmniej raz w roku. To osobny i starszy obowiązek, nie to samo co przegląd roczny z ustawy o KSC.

Rozporządzenie traci moc 23.02.2027 w wyniku zmiany art. 18 ustawy o informatyzacji (Dz.U. 2025 poz. 1158). Do tego dnia obowiązuje w całości, także coroczny audyt wewnętrzny.

Kto odpowiada

Odpowiada kierownik jednostki — tu: starosta. Może powierzyć niektóre albo wszystkie obowiązki innej osobie za jej zgodą, na przykład koordynatorowi SZBI, ale odpowiedzialność zostaje przy kierowniku (art. 8c ust. 3). SZBI nie jest „zadaniem informatyka”.

Kierownik i osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą udokumentowane szkolenie (art. 8e ustawy o KSC).

Osoby, które mają realizować zadania z art. 8 lub 11 ustawy o KSC — także z firmy zewnętrznej — przed ich rozpoczęciem przedstawiają informację z Krajowego Rejestru Karnego (art. 8f ustawy o KSC).

Gdy cyberbezpieczeństwem zajmuje się gmina, powiat albo województwo

Gmina, powiat albo województwo może zapewnić swoim jednostkom wspólną obsługę części obowiązków z ustawy o KSC — tych, które wymienia art. 16e ust. 5. Należą do nich między innymi prowadzenie systemu zarządzania bezpieczeństwem informacji (SZBI), obsługa i zgłaszanie incydentów oraz obowiązki kierownika. Obsługę prowadzi jednostka obsługująca: urząd, centrum usług wspólnych, inna jednostka organizacyjna samorządu albo spółka komunalna. Z obsługi korzystają jednostki obsługiwane, na przykład szkoły i ośrodek pomocy społecznej.

Jeżeli obsługiwane mają być szkoła, ośrodek pomocy społecznej albo inne jednostki organizacyjne samorządu zaliczane do sektora finansów publicznych, rada gminy, rada powiatu albo sejmik województwa określa w uchwale jednostkę obsługującą, jednostki obsługiwane i zakres powierzonych obowiązków. Instytucja kultury przystępuje do wspólnej obsługi na podstawie porozumienia z jednostką obsługującą, po zgłoszeniu zamiaru wójtowi (burmistrzowi, prezydentowi miasta), zarządowi powiatu albo zarządowi województwa. Wspólna obsługa dotyczy tylko jednostek i instytucji samorządowych — nie obejmuje placówek prowadzonych przez fundację, stowarzyszenie albo osobę fizyczną. Obowiązek, którego uchwała albo porozumienie nie wymienia, zostaje w jednostce obsługiwanej (art. 16d).

Jednostka obsługiwana powinna mieć kopię uchwały albo porozumienia. Sprawdźcie, czy dokument wymienia obowiązki z ustawy o KSC — uchwała, która powierza centrum usług wspólnych tylko księgowość, ich nie obejmuje.

Zadania „jednostki wyznaczonej” określają art. 16f–16h, a art. 16g i 16h odsyłają do „jednostki wyznaczonej, o której mowa w art. 16e”. Ustawa o KSC nie mówi wprost, czy te przepisy dotyczą także jednostki obsługującej w samorządzie. Portal przyjmuje, że tak: art. 16e ust. 5 posługuje się zwrotem „wyznaczenia jednostki obsługującej”, a nowelizacja — „wyznaczenia jednostki do wspólnej obsługi” (art. 43 nowelizacji, Dz.U. 2026 poz. 252).

Jednostka obsługująca:

• wykonuje obowiązki wymienione w uchwale albo porozumieniu (na przykład dokumentacja systemu, analiza ryzyka, przegląd) — zakres zależy od dokumentu (art. 16e ust. 5)
• zgłasza w imieniu jednostki obsługiwanej incydenty poważne do właściwego CSIRT (art. 16h pkt 1), a za podmiot kluczowy także wczesne ostrzeżenie oraz sprawozdania okresowe i końcowe — podmiot ważny będący podmiotem publicznym ich nie składa (art. 12c); warto wprost zapisać w uchwale, kto zgłasza
• wskazuje osobę do kontaktu z jednostkami, które obsługuje (art. 16h pkt 2)
• korzysta z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy o KSC (S46), przy wykonywaniu obowiązków podmiotów kluczowych i ważnych z rozdziału 3 ustawy — nie tylko przy zgłoszeniach (art. 16h pkt 3)
• przez swojego kierownika może wskazać jednostkom obsługiwanym terminy przekazania informacji o incydentach (art. 16g)

Co wtedy zostaje w jednostce obsługiwanej

Jednostka obsługiwana:

• przekazuje jednostce obsługującej informacje o incydentach (art. 16f pkt 1) — od razu, bo termin zgłoszenia incydentu poważnego do CSIRT ustawa liczy od wykrycia incydentu (art. 11 ust. 1 pkt 4a); jeżeli kierownik jednostki obsługującej wskazał terminy przekazania informacji, trzeba ich dotrzymać (art. 16g)
• wykonuje decyzje kierownika jednostki obsługującej dotyczące systemu zarządzania bezpieczeństwem informacji, czyli SZBI (art. 16f pkt 2)
• publikuje na swojej stronie internetowej adres strony jednostki obsługującej, na której są informacje o cyberbezpieczeństwie (art. 16f pkt 3)
• uczestniczy przez swojego kierownika w szkoleniach z cyberbezpieczeństwa, jeżeli prowadzi je jednostka obsługująca (art. 16f pkt 4); bez względu na to, kto prowadzi szkolenie, kierownik raz w roku kalendarzowym przechodzi szkolenie, a jego udział jest udokumentowany (art. 8e ustawy o KSC)
• sama wykonuje obowiązki, których uchwała albo porozumienie nie wymienia (art. 16d)
• pozostaje administratorem danych osobowych, które przetwarza (art. 4 pkt 7 RODO) — zgłoszenie naruszenia ochrony danych osobowych do UODO należy do niej także wtedy, gdy incydent do CSIRT zgłasza jednostka obsługująca (art. 33 ust. 1 RODO)
• stosuje u siebie środki bezpieczeństwa systemów (uprawnienia pracowników, hasła, nośniki danych, dostęp do pomieszczeń z urządzeniami), także te, które kierownik jednostki obsługującej ustali w sprawie SZBI (art. 16f pkt 2); dokumenty papierowe z danymi osobowymi zabezpiecza jako administrator (art. 32 RODO)
• pozostaje adresatem obowiązków z rozporządzenia o Krajowych Ramach Interoperacyjności (KRI): prowadzenia SZBI (§ 19) i audytu wewnętrznego (§ 19 ust. 2 pkt 14) — nie należą one do katalogu art. 16e ust. 5; rozporządzenie traci moc 23.02.2027

Kto wtedy odpowiada i co warto mieć w dokumentacji

Pewne jest jedno: za obowiązki, których uchwała albo porozumienie nie wymienia, odpowiada kierownik jednostki obsługiwanej (art. 8c ust. 1 w związku z art. 16d).

Jednego ustawa nie mówi wprost: czy za obowiązki przejęte przez jednostkę obsługującą nadal odpowiada kierownik jednostki obsługiwanej. Za przejściem odpowiedzialności na kierownika jednostki obsługującej przemawia to, że wspólna obsługa może objąć także obowiązki kierownika, w tym sam przepis o jego odpowiedzialności (art. 16e ust. 5 wymienia art. 8c–8f), a jednostka obsługiwana wykonuje decyzje kierownika jednostki obsługującej w sprawie SZBI (art. 16f pkt 2). Przeciw przemawia to, że odpowiedzialność i karę ustawa przypisuje kierownikowi podmiotu kluczowego albo ważnego (art. 8c ust. 1, art. 73a), a ten odpowiada także wtedy, gdy obowiązki powierzył innej osobie za jej zgodą (art. 8c ust. 3). Do tego przy ministrze i wojewodzie ustawa pozwala wyznaczyć „jednostkę odpowiedzialną za realizację obowiązków” (art. 16e ust. 1–4), a samorządowi — zapewnić „wspólną obsługę realizacji obowiązków” (art. 16e ust. 5). Ustawa o KSC — inaczej niż ustawa o finansach publicznych w zakresie gospodarki finansowej, rachunkowości i sprawozdawczości (art. 53 ust. 5) — nie przenosi też odpowiedzialności na kierownika jednostki obsługującej. Kary z art. 73a można nałożyć po raz pierwszy po upływie dwóch lat od wejścia w życie nowelizacji, czyli po 03.04.2028 (art. 35 nowelizacji). Z prawnikiem gminy albo powiatu ustalcie, kto co wykonuje i dokumentuje, i zapiszcie to w uchwale albo porozumieniu — taki zapis nie zmienia jednak tego, komu ustawa przypisuje karę.

Niezależnie od podziału odpowiedzialności warto w praktyce mieć w dokumentacji jednostki obsługiwanej:

• kopię uchwały albo porozumienia z listą przejętych obowiązków
• ślad przekazania informacji o każdym incydencie: godzinę wykrycia, godzinę i sposób przekazania, potwierdzenie odbioru
• kopię albo potwierdzenie zgłoszenia do CSIRT złożonego w imieniu jednostki
• decyzje kierownika jednostki obsługującej w sprawie SZBI i ślad ich wdrożenia, na przykład zarządzenie i potwierdzenia zapoznania się z nimi pracowników
• zaświadczenie albo listę obecności z corocznego szkolenia kierownika
• zrzut ekranu albo wydruk własnej strony internetowej z adresem strony jednostki obsługującej — z datą wykonania

Jak pomaga i-SZBI

Menu portalu dopasowuje się do statusu jednostki: ekrany obowiązków, których jednostka nie ma, są oznaczone „nie dotyczy”.

• analiza ryzyka, Deklaracja Stosowania i Rejestr wyjątków
• rejestr incydentów z zegarem: 24 godziny, 72 godziny i sprawozdanie końcowe
• audyty wewnętrzne i przeglądy: plan, protokół, zalecenia i ich realizacja
• dostawcy, umowy i umowy powierzenia w jednym miejscu
• szkolenia pracowników i kierownictwa z potwierdzeniem udziału