Podmiot ważny czy kluczowy — jak ustalić status swojej jednostki
Opublikowano 15.09.2026 · czytanie ok. 3 min
Od statusu zależy wszystko: zakres systemu, audyt, terminy i wysokość kar. Dla jednostek samorządu ustawa rozstrzyga to dość precyzyjnie — trzeba tylko wiedzieć, gdzie patrzeć.
Podmiot kluczowy: kogo ustawa wskazuje wprost
Art. 5 ust. 1 pkt 4 lit. d ustawy o krajowym systemie cyberbezpieczeństwa czyni podmiotem kluczowym — niezależnie od wielkości — podmiot publiczny wskazany w załączniku nr 1 do ustawy w sektorze „podmioty publiczne”. Dla samorządu ten załącznik wymienia:
- w samorządzie województwa — jednostki budżetowe i zakłady budżetowe, z wyłączeniem m.in. jednostek oświatowych, jednostek wspierania rodziny i pieczy zastępczej, jednostek pomocy społecznej (oprócz regionalnych ośrodków polityki społecznej), wojewódzkich urzędów pracy i parków krajobrazowych,
- w samorządzie powiatu — starostwo powiatowe,
- w samorządzie gminy — urząd gminy, jeżeli na 1 stycznia danego roku zatrudnia w przeliczeniu na pełny wymiar czasu pracy, na podstawie umowy o pracę, co najmniej 50 osób.
Ten sam załącznik wymienia też z nazwy urzędy i instytucje administracji rządowej — one również są podmiotami kluczowymi.
Podmiot ważny: jednostki budżetowe, zakłady i instytucje kultury
Art. 5 ust. 2 pkt 8 czyni podmiotem ważnym podmiot publiczny, który nie jest kluczowym, a jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej — jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.
W praktyce to większość jednostek samorządu: szkoły i przedszkola, żłobki, ośrodki pomocy społecznej, powiatowe centra pomocy rodzinie, domy pomocy społecznej, biblioteki i domy kultury, zakłady budżetowe, a także urząd gminy poniżej progu 50 etatów.
Co wynika ze statusu
| Obowiązek | Podmiot kluczowy | Podmiot ważny publiczny |
|---|---|---|
| System zarządzania bezpieczeństwem informacji | pełny katalog środków z art. 8 ust. 1 | według Załącznika nr 4 |
| Audyt bezpieczeństwa (art. 15) | co najmniej raz na 3 lata, na własny koszt; pierwszy do 3 kwietnia 2028 r. | nie dotyczy; przegląd systemu co najmniej raz w roku |
| Wykaz podmiotów | wpis z urzędu i uzupełnienie danych w 6 miesięcy od wezwania (podmioty publiczne) | wpis z urzędu i uzupełnienie danych w 6 miesięcy od wezwania (podmioty publiczne) |
| Zgłaszanie incydentów poważnych | wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h | wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h |
| Szkolenie kierownika (art. 8e) | raz w roku kalendarzowym | raz w roku kalendarzowym |
| Kara pieniężna (art. 73) | do 10 mln euro, nie mniej niż 20 000 zł | do 7 mln euro, nie mniej niż 15 000 zł |
Kary z art. 73 można nałożyć po raz pierwszy po upływie dwóch lat od wejścia w życie nowelizacji, czyli od 3 kwietnia 2028 r. (art. 35 nowelizacji). Termin wykonania obowiązków to 3 kwietnia 2027 r.
Pułapki przy ustalaniu statusu
- Próg 50 osób w urzędzie gminy liczy się na 1 stycznia danego roku, w etatach i tylko z umów o pracę. Zlecenia się nie wliczają. Status może się więc zmienić z roku na rok.
- Liczy się forma prawna, nie nazwa. Przedszkole niepubliczne czy fundacja prowadząca szkołę nie są samorządowymi jednostkami budżetowymi.
- Zmianę danych we wpisie w wykazie zgłasza się w 14 dni od jej wystąpienia (art. 7c ust. 3).
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy biblioteka gminna podlega ustawie o KSC?
Tak, jeżeli jest samorządową instytucją kultury i realizuje zadania publiczne z użyciem systemów informacyjnych — jest wtedy podmiotem ważnym (art. 5 ust. 2 pkt 8).
Urząd gminy zatrudnia dokładnie 50 osób. Jaki ma status?
Kluczowy. Załącznik nr 1 mówi o zatrudnieniu co najmniej 50 osób, liczonym na 1 stycznia w przeliczeniu na pełne etaty, na podstawie umowy o pracę.
Czy GOPS jest podmiotem kluczowym?
Nie. Ośrodek pomocy społecznej gminy jest samorządową jednostką budżetową, a więc podmiotem ważnym. Jednostki pomocy społecznej są też wprost wyłączone z kluczowych jednostek samorządu województwa.