Incydent w jednostce publicznej — co, komu i w jakim terminie zgłosić
Opublikowano 19.09.2026 · aktualizacja 20.09.2026 · czytanie ok. 3 min
Zaszyfrowany komputer w sekretariacie, przejęta skrzynka pocztowa, plik z danymi uczniów wysłany pod zły adres — każde z tych zdarzeń może uruchomić dwa niezależne obowiązki: z ustawy o krajowym systemie cyberbezpieczeństwa i z RODO. Terminy biegną równolegle, a adresaci zgłoszeń są różni.
Incydent i incydent poważny — gdzie jest granica
Ustawa nazywa incydentem każde zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych (art. 2 pkt 5). Obowiązek zgłoszenia dotyczy dopiero incydentu poważnego — takiego, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie świadczenia usługi, straty finansowe dla podmiotu albo poważną szkodę materialną lub niematerialną dla innych osób (art. 2 pkt 7).
W przypadku podmiotu publicznego usługą jest także realizowane przez niego zadanie publiczne (art. 2a). W szkole to np. prowadzenie dokumentacji przebiegu nauczania, rekrutacja czy obsługa sekretariatu.
Terminy: podmiot kluczowy a podmiot ważny publiczny
| Etap | Podmiot kluczowy (np. starostwo) | Podmiot ważny publiczny (np. szkoła) |
|---|---|---|
| Wczesne ostrzeżenie | niezwłocznie, nie później niż w 24 godziny od wykrycia (art. 11 ust. 1 pkt 4) | nie przekazuje (art. 12c) |
| Zgłoszenie incydentu poważnego | niezwłocznie, nie później niż w 72 godziny od wykrycia (art. 11 ust. 1 pkt 4a) | tak samo: niezwłocznie, nie później niż w 72 godziny |
| Sprawozdanie okresowe | na wniosek CSIRT sektorowego (art. 11 ust. 1 pkt 4b) | nie przekazuje (art. 12c) |
| Sprawozdanie końcowe | nie później niż w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4c) | nie przekazuje (art. 12c) |
| Sprawozdanie z postępu obsługi | gdy obsługa nie zakończyła się w terminie sprawozdania końcowego (art. 12b) | nie przekazuje (art. 12c) |
| Współdziałanie z CSIRT przy obsłudze | tak (art. 11 ust. 1 pkt 5) | tak (art. 11 ust. 1 pkt 5) |
Podmiot ważny, który nie jest podmiotem publicznym, stosuje tę samą ścieżkę co podmiot kluczowy. Adresatem zgłoszeń jest właściwy CSIRT sektorowy (art. 11 ust. 1 pkt 4 i 4a).
Niezależnie od zgłoszenia do CSIRT podmiot kluczowy i ważny — także publiczny, bo art. 12c tego nie wyłącza — informuje użytkowników swoich usług o incydencie poważnym, jeżeli niekorzystnie wpływa on na świadczenie tych usług (art. 11 ust. 2b). Przy poważnym cyberzagrożeniu informuje ich o środkach zapobiegawczych, które mogą podjąć (art. 11 ust. 2a). W szkole użytkownikami usług są przede wszystkim rodzice i uczniowie, w urzędzie — interesanci.
Równolegle: naruszenie ochrony danych osobowych
Jeżeli incydent dotyczy danych osobowych — a w szkole i urzędzie dotyczy ich prawie zawsze — administrator ocenia go także jako naruszenie ochrony danych. Zgłasza je Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO).
Gdy ryzyko jest wysokie, administrator zawiadamia także osoby, których dane dotyczą (art. 34 RODO). Każde naruszenie — również niezgłoszone — trzeba udokumentować (art. 33 ust. 5 RODO).
Pierwsze godziny: kolejność działań
- Ogranicz skutki: odłącz zainfekowane urządzenie od sieci, zablokuj przejęte konto, zmień hasła.
- Zapisz, kiedy incydent wykryto — od tej chwili biegną terminy z ustawy o KSC i z RODO.
- Ustal, czy incydent jest poważny i czy dotyczy danych osobowych. Włącz inspektora ochrony danych.
- Jeżeli jest poważny — zgłoś go do CSIRT w 72 godziny; podmiot kluczowy wysyła wcześniej, w 24 godziny, wczesne ostrzeżenie.
- Jeżeli incydent poważny utrudnia korzystanie z usług jednostki — poinformuj ich użytkowników (art. 11 ust. 2b): krótko, co nie działa, do kiedy i co mogą zrobić.
- Jeżeli dotyczy danych osobowych i niesie ryzyko — zgłoś naruszenie Prezesowi UODO w 72 godziny.
- Odtwórz dane z kopii, sprawdź ich kompletność, zapisz wnioski i zmiany w zabezpieczeniach.
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy szkoła musi wysyłać wczesne ostrzeżenie w 24 godziny?
Nie. Jako podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia ani sprawozdań (art. 12c). Incydent poważny zgłasza natomiast niezwłocznie, nie później niż w 72 godziny od wykrycia.
Czy każde kliknięcie w link phishingowy trzeba zgłosić?
Nie. Zgłoszenie do CSIRT dotyczy incydentu poważnego. Kliknięcie, po którym nie doszło do przejęcia konta ani zainstalowania złośliwego oprogramowania, obsługuje się według wewnętrznej procedury i zapisuje w rejestrze.