Incydent poważny w KSC: 24 godziny na zgłoszenie – co, komu i jak zgłosić

Większość firm kojarzy nowe przepisy z jedną liczbą: 24 godziny na zgłoszenie incydentu. Mało kto zauważa, od kiedy ten zegar tyka. Nie od chwili, gdy zespół potwierdzi atak, opanuje sytuację i ustali przyczynę. Termin na wczesne ostrzeżenie o incydencie poważnym liczy się od momentu wykrycia – także wtedy, gdy o tym, co się naprawdę stało, wiesz jeszcze bardzo niewiele.

A wykrycie to najsłabszy punkt. Według raportu Mandiant M-Trends 2026 atakujący przebywa w sieci ofiary 14 dni (mediana), zanim ktokolwiek go zauważy – rok wcześniej było to 11 dni. Firma, która dowiaduje się o włamaniu po dwóch tygodniach, i tak ma potem tylko dobę na pierwsze zgłoszenie. Poniżej wyjaśniamy, co ustawa o krajowym systemie cyberbezpieczeństwa (KSC) uznaje za incydent poważny, co, komu i w jakim terminie trzeba zgłosić oraz jak przygotować firmę, żeby zmieścić się w czasie.

Najważniejsze w skrócie:

• Wczesne ostrzeżenie wysyłasz niezwłocznie, najpóźniej w 24 godziny od wykrycia incydentu poważnego, a zgłoszenie incydentu – najpóźniej w 72 godziny od wykrycia. Oba terminy biegną od tego samego momentu.
• Sprawozdanie końcowe składasz najpóźniej miesiąc po zgłoszeniu incydentu.
• Zgłoszenia trafiają do CSIRT sektorowego przez system S46. Dopóki CSIRT sektorowy nie działa – do CSIRT NASK, CSIRT GOV lub CSIRT MON.
• Firmy, które spełniały kryteria ustawy 3 kwietnia 2026 r., muszą zgłaszać incydenty według nowych zasad najpóźniej od 3 kwietnia 2027 r. Dawni operatorzy usług kluczowych – już od 3 października 2026 r.
• Zgłoszenie do CSIRT nie zastępuje zgłoszenia do UODO, jeśli wyciekły dane osobowe.

Co to jest incydent poważny w ustawie o KSC?

Ustawa definiuje incydent poważny jako incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi, straty finansowe dla podmiotu albo wpływa na inne osoby i organizacje, wywołując poważną szkodę materialną lub niematerialną (art. 2 pkt 7 ustawy o KSC).

Dwa słowa w tej definicji mają duże znaczenie: „może spowodować”. Incydent nie musi zatrzymać firmy, żeby był poważny – wystarczy, że realnie mógł to zrobić. Zaszyfrowane serwery to przypadek oczywisty. Przejęte konto administratora, które atakujący zdążył wykorzystać tylko do rozpoznania sieci, też może się zakwalifikować.

Skąd wiadomo, gdzie leży granica? Szczegółowe progi uznania incydentu za poważny określa rozporządzenie Rady Ministrów – osobno dla poszczególnych sektorów, z uwzględnieniem m.in. liczby użytkowników, czasu trwania i zasięgu geograficznego. Według stanu na początek października 2026 r. nowe rozporządzenie było na etapie projektu. Do czasu jego wejścia w życie – ale nie dłużej niż do 3 kwietnia 2027 r. – moc zachowuje dotychczasowe rozporządzenie z 2018 r.

Wyjątkiem jest sektor cyfrowy. Dla dostawców chmury, centrów danych, usług DNS, usług zarządzanych IT i bezpieczeństwa, platform handlowych czy wyszukiwarek progi wynikają bezpośrednio z rozporządzenia wykonawczego Komisji (UE) 2024/2690. Jeśli nie masz pewności, do której grupy należy Twoja firma, zacznij od naszego poradnika o tym, jak sprawdzić status firmy w nowelizacji KSC.

24 godziny, 72 godziny, miesiąc – co i kiedy zgłaszasz

Zgłaszanie incydentu poważnego to nie jeden formularz, tylko kilka etapów. Każdy ma inny cel:

1. Wczesne ostrzeżenie – do 24 godzin od wykrycia. Krótka informacja: dane podmiotu i osoby do kontaktu, moment wystąpienia i wykrycia incydentu, ocena, czy mogło go wywołać działanie bezprawne lub w złej wierze, oraz czy incydent może dotyczyć innych państw UE.
2. Zgłoszenie incydentu – do 72 godzin od wykrycia. Tu potrzeba konkretów: której usługi dotyczy incydent, ilu użytkowników i jaki obszar obejmuje, jakie są przyczyny i przebieg, jakie działania naprawcze już podjęto.
3. Sprawozdanie okresowe – na wniosek CSIRT. Ustawa nie wyznacza tu sztywnego terminu.
4. Sprawozdanie końcowe – najpóźniej miesiąc po zgłoszeniu. Szczegółowy opis incydentu i szkód, rodzaj zagrożenia lub prawdopodobna przyczyna, zastosowane i wdrażane środki, ewentualne skutki transgraniczne.
5. Sprawozdanie z postępu – jeśli obsługa incydentu trwa dłużej niż termin sprawozdania końcowego. Sprawozdanie końcowe składasz wtedy w ciągu miesiąca od zakończenia obsługi.

Częsty błąd w interpretacji: 72 godziny to nie „kolejne 48 godzin” po wczesnym ostrzeżeniu. Oba terminy liczą się od wykrycia. W praktyce i tak wychodzi na to samo, ale tylko wtedy, gdy ostrzeżenie zostało wysłane w ostatniej chwili.

Dobra wiadomość: ustawa nie oczekuje, że po trzech dniach będziesz wiedzieć wszystko. Przekazujesz informacje znane w chwili zgłoszenia i uzupełniasz je w trakcie obsługi incydentu. Wczesne ostrzeżenie może też zawierać wniosek o wytyczne lub wsparcie techniczne – CSIRT sektorowy ma na odpowiedź 24 godziny. Zgłoszenie warto więc traktować nie tylko jak obowiązek, ale też jak sposób na szybką pomoc.

Są dwa wyjątki. Dostawcy usług zaufania zgłaszają incydent poważny w ciągu 24 godzin od wykrycia. Z kolei podmioty ważne będące podmiotami publicznymi nie składają wczesnego ostrzeżenia ani sprawozdań – zostaje im samo zgłoszenie w 72 godziny.

Komu i jak zgłosić incydent poważny?

Adresatem zgłoszeń jest właściwy CSIRT sektorowy, a kanałem – system S46. Dostęp do niego otwiera wpis do wykazu podmiotów kluczowych i ważnych, dlatego wniosek o wpis jest pierwszym praktycznym krokiem także z perspektywy incydentów. Jak go złożyć, opisaliśmy w poradniku o wpisie do wykazu KSC.

CSIRT-y sektorowe dopiero powstają – ustawa daje na ich utworzenie 18 miesięcy od wejścia w życie. Do dnia, w którym CSIRT dla Twojego sektora ogłosi gotowość operacyjną, incydenty zgłaszasz do CSIRT NASK, CSIRT GOV albo CSIRT MON – zależnie od rodzaju podmiotu. Dla większości firm prywatnych będzie to CSIRT NASK.

Ustawa każe też pamiętać o klientach. Jeśli incydent poważny ma niekorzystny wpływ na świadczenie usług, podmiot informuje o nim użytkowników tych usług. Przy poważnym cyberzagrożeniu przekazuje im także informację o środkach, które mogą zastosować, żeby się chronić.

Od kiedy obowiązuje zgłaszanie według nowych zasad?

W sieci krążą na ten temat sprzeczne informacje, więc trzymamy się tekstu ustawy. Terminy zależą od tego, kim jest podmiot:

• Firmy, które spełniały kryteria 3 kwietnia 2026 r. – obowiązki z rozdziału 3 ustawy, w tym zgłaszanie incydentów, realizują w terminie 12 miesięcy od wejścia ustawy w życie, czyli najpóźniej od 3 kwietnia 2027 r.
• Dawni operatorzy usług kluczowych – zgłaszają incydenty poważne według nowych przepisów w terminie 6 miesięcy, czyli od 3 października 2026 r.
• Firmy, które spełnią kryteria później – mają 12 miesięcy na wdrożenie obowiązków, liczone od dnia spełnienia przesłanek.

To, że termin jest odległy, nie znaczy, że można czekać. Żeby 3 kwietnia 2027 r. mieć działające wykrywanie, procedurę i dostęp do S46, prace trzeba zacząć jesienią. Pełną listę tego, co powinno być gotowe na ten dzień, znajdziesz w artykule co firma musi wdrożyć do 3 kwietnia 2027 r.

Jak zmieścić się w 24 godzinach? Procedura w 6 krokach

Z naszej praktyki wynika, że firmy rzadko przegrywają z samym formularzem. Przegrywają z czasem, który mija między pierwszym sygnałem a decyzją „to jest incydent poważny, zgłaszamy”. Dlatego procedura powinna powstać, zanim będzie potrzebna:

1. Wykrywanie całą dobę. Incydent z piątkowej nocy zauważony w poniedziałek rano to prawie trzy stracone dni. Potrzebny jest monitoring 24/7 – własny albo w modelu SOC as a Service – oraz ochrona stacji i serwerów klasy EDR lub XDR.
2. Zapis momentu wykrycia. Od tej godziny liczą się terminy. Kto i gdzie ją zapisuje – to powinno wynikać z procedury, a nie z pamięci dyżurnego.
3. Kryteria klasyfikacji pod ręką. Jedna strona z progami dla Twojego sektora i przykładami. Osoba na dyżurze nie powinna zaczynać od szukania rozporządzenia.
4. Jasne uprawnienia. Kto decyduje o zgłoszeniu, kto ma konto w S46 i kto go zastępuje podczas urlopu. Jedna osoba z dostępem to za mało.
5. Szablon wczesnego ostrzeżenia. Dane podmiotu i osób do kontaktu uzupełnione z góry. W trakcie incydentu dopisujesz tylko to, co nowe.
6. Ćwiczenie raz na jakiś czas. Godzinna symulacja przy stole pokazuje, gdzie procedura się zacina – zwykle na telefonie, którego nikt nie odbiera.

Osobna sprawa to dostawcy. Jeśli incydent zaczyna się u firmy, która utrzymuje Twoje systemy, zegar i tak tyka po Twojej stronie. Warto więc wpisać do umów krótki termin powiadomienia o incydencie – więcej o tym w artykule NIS2 a dostawcy. A po czym poznać, że atak już trwa, opisujemy w tekście 10 sygnałów ostrzegawczych cyberataku.

Incydent a RODO: dwa zgłoszenia, dwa adresaty

Jeśli w incydencie doszło do naruszenia ochrony danych osobowych, obowiązki się sumują. Zgłoszenie do CSIRT nie zwalnia ze zgłoszenia do Prezesa UODO, na które RODO daje 72 godziny od stwierdzenia naruszenia. To dwa osobne zgłoszenia, z inną treścią i innym celem: CSIRT interesuje ciągłość usługi i zagrożenie dla innych, UODO – ryzyko dla osób, których dane dotyczą.

Ułatwieniem ma być jeden kanał. Ustawa przewiduje, że system S46 posłuży także do zgłaszania naruszeń ochrony danych osobowych, a UODO i Ministerstwo Cyfryzacji podpisały w tej sprawie porozumienie. Minister ma na uruchomienie tej funkcji rok od wejścia ustawy w życie. Do tego czasu naruszenie zgłaszasz do UODO dotychczasową drogą.

Co grozi za brak zgłoszenia?

Ustawa przewiduje osobne kary za brak wczesnego ostrzeżenia, brak zgłoszenia, brak sprawozdania okresowego i brak sprawozdania końcowego, a także za niekorzystanie z systemu S46. Kara może zostać nałożona również za jednorazowe naruszenie.

• Podmiot kluczowy – do 10 mln euro lub 2% przychodów, nie mniej niż 20 000 zł.
• Podmiot ważny – do 7 mln euro lub 1,4% przychodów, nie mniej niż 15 000 zł.
• Kierownik podmiotu – osobiście do 300% wynagrodzenia, w podmiocie publicznym do 100%.

Te kary mogą być po raz pierwszy nałożone po 3 kwietnia 2028 r. Przepis o odroczeniu nie wymienia jednak kary do 100 mln zł, przewidzianej za naruszenia powodujące m.in. bezpośrednie i poważne cyberzagrożenie dla bezpieczeństwa państwa albo życia i zdrowia ludzi. O tym, jak ustawa rozkłada odpowiedzialność na zarząd, piszemy w artykule kierownik podmiotu w KSC.

Jak pomagamy przygotować firmę do zgłaszania incydentów

W mIT security układamy ten proces tak, żeby w dniu incydentu nikt nie musiał improwizować:

• monitoring SOC 24/7, który wykrywa incydent także w nocy i w weekend,
• ochrona EDR i XDR dla komputerów i serwerów,
• procedura obsługi i zgłaszania incydentów z kryteriami klasyfikacji dla Twojego sektora i szablonami zgłoszeń,
• ćwiczenie symulacyjne dla zespołu i kierownictwa,
• wdrożenie wymagań NIS2 i KSC – od analizy luk po dokumentację.

Chcesz sprawdzić, czy Twoja firma zdążyłaby dziś ze zgłoszeniem w 24 godziny? Umów bezpłatną konsultację – przejdziemy z Tobą przez scenariusz incydentu i wskażemy, czego brakuje.

FAQ – zgłaszanie incydentów w KSC

Od kiedy liczy się termin 24 godzin?

Od momentu wykrycia incydentu poważnego. Nie od zakończenia analizy ani od opanowania sytuacji. Dlatego godzinę wykrycia warto zapisywać od razu.

Czy każdy incydent trzeba zgłosić?

Nie. Obowiązek dotyczy incydentów poważnych, czyli spełniających definicję z ustawy i progi określone dla danego sektora. Pozostałe incydenty obsługujesz i dokumentujesz wewnętrznie.

Co, jeśli po 72 godzinach nie znam jeszcze przyczyny incydentu?

Zgłaszasz to, co wiesz. Ustawa pozwala przekazać informacje znane w chwili zgłoszenia i uzupełniać je w trakcie obsługi incydentu.

Gdzie zgłosić incydent, jeśli w moim sektorze nie ma jeszcze CSIRT sektorowego?

Do czasu ogłoszenia gotowości operacyjnej CSIRT sektorowego – do CSIRT NASK, CSIRT GOV lub CSIRT MON, odpowiednio do rodzaju podmiotu.

Czy zgłoszenie do CSIRT zastępuje zgłoszenie do UODO?

Nie. Jeśli doszło do naruszenia ochrony danych osobowych, zgłoszenie do UODO jest osobnym obowiązkiem wynikającym z RODO.

Czy firma, która nie podlega KSC, musi zgłaszać incydenty?

Z ustawy o KSC – nie, choć każdy może zgłosić incydent do CERT Polska dobrowolnie. Jeśli jednak jesteś dostawcą firmy objętej KSC, termin powiadomienia klienta o incydencie najpewniej wynika z umowy.

Źródła

• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
• Ministerstwo Cyfryzacji – obowiązki podmiotów kluczowych i podmiotów ważnych
• CERT Polska – baza wiedzy: zgłoszenie incydentu
• Mandiant – M-Trends 2026 (23.03.2026)
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 – EUR-Lex
• Dyrektywa (UE) 2022/2555 (NIS2), art. 23 – EUR-Lex
• Ministerstwo Cyfryzacji – porozumienie z Prezesem UODO o zgłaszaniu naruszeń ochrony danych

Stan prawny na 2 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.