Powiatowy urząd pracy i centrum usług wspólnych a ustawa o KSC

Czy ustawa o KSC Was obejmuje

Jednostka samorządowa niewymieniona wśród podmiotów kluczowych jest podmiotem ważnym będącym podmiotem publicznym. SZBI prowadzi się według listy kontrolnej z Załącznika nr 4 (art. 8 ust. 3), z przeglądem co najmniej raz w roku. Status potwierdź z wykazem podmiotów publicznych będących podmiotami kluczowymi.

Centrum usług wspólnych działające jako wydział urzędu gminy nie jest odrębnym podmiotem — wchodzi do systemu urzędu i ma jego status. Ten artykuł dotyczy centrów gminy i powiatu — jednostki budżetowe samorządu województwa mają w ustawie osobne zasady.

Centrum może przejąć część obowiązków jednostek, które obsługuje, jeżeli uchwała o wspólnej obsłudze wymienia obowiązki z ustawy o KSC, które przejmuje (art. 16e ust. 5). Ustawa nie mówi wprost, kto po przejęciu obowiązków za nie odpowiada — ustalcie to z prawnikiem.

Podstawy: ustawa o krajowym systemie cyberbezpieczeństwa (powiatowy urząd pracy i centrum usług wspólnych jako jednostki budżetowe — podmiot ważny; centrum usług wspólnych w strukturze urzędu gminy — status urzędu) · Krajowe Ramy Interoperacyjności (§ 19 rozporządzenia) · RODO (art. 32).

Co trzeba mieć

• SZBI według listy kontrolnej z Załącznika nr 4 — bez systematycznego szacowania ryzyka wymaganego od podmiotów kluczowych (okresową analizę ryzyka nadal wymaga rozporządzenie o KRI — patrz niżej)
• Przegląd systemu co najmniej raz w roku
• Zgłoszenie incydentu poważnego w 72 h od wykrycia (bez wczesnego ostrzeżenia i sprawozdań — art. 12c)
• Inwentaryzacja ICT, kontrola dostępu i minimalne uprawnienia
• Kopie zapasowe wraz z testami odtwarzania oraz ochrona antywirusowa
• Cyberhigiena i procedury na wypadek incydentu
• Odpowiedzialność kierownika, coroczne udokumentowane szkolenie kierownictwa (art. 8e)
• Weryfikacja niekaralności osób realizujących zadania z art. 8 lub 11 (art. 8f)
• Wpis do wykazu: sprawdźcie zawiadomienie o wpisie z urzędu; po wezwaniu dane uzupełnia się w ciągu 6 miesięcy (art. 7b ust. 2)

Terminy

Co oznaczają te terminy

• Wpis do wykazu podmiotów kluczowych i ważnych: Jednostki publiczne wpisuje do wykazu z urzędu Minister Cyfryzacji — termin 3 października 2026 r. nie obowiązuje jednostek wpisanych z urzędu. Sprawdźcie, czy dostaliście zawiadomienie o wpisie i wezwanie do uzupełnienia danych: jeśli tak, macie 6 miesięcy od doręczenia wezwania, a późniejsze zmiany zgłaszacie w 14 dni. Jeśli nie — sprawdźcie wpis albo zapytajcie NASK, bo bez wpisu z urzędu termin 3 października 2026 r. mógł Was dotyczyć. Podmioty niewpisane z urzędu składają wniosek o wpis do 3 października 2026 r. (art. 33 ust. 3 nowelizacji, komunikat MC, Dz. Urz. MC 2026 poz. 7).
• Podłączenie do systemu S46: Wykaz zawiera dane administratora konta jednostki w systemie (art. 7 ust. 2 pkt 11 ustawy o KSC). Konto musi istnieć, zanim wydarzy się incydent — zakładanie go po fakcie jest za późno.
• Wdrożenie SZBI, procedur ryzyka i incydentów oraz dokumentacji: Pełny katalog art. 8 ust. 1 albo Załącznik nr 4 — zależnie od trybu SZBI jednostki.

Jakie dane i systemy chronicie

Od tego spisu zaczyna się system: inwentaryzacja aktywów, analiza ryzyka i uprawnienia dotyczą właśnie tych danych i systemów.

• rejestracja bezrobotnych i poszukujących pracy, w tym dane o zdrowiu i niepełnosprawności
• zasiłki, staże, dotacje i umowy z pracodawcami
• kadry i płace wielu jednostek — dane wszystkich pracowników szkół i przedszkoli gminy
• księgowość i bankowość elektroniczna obsługiwanych jednostek
• dostęp do systemów jednostek obsługiwanych

Na co uważać

• Jedno konto w bankowości elektronicznej obsługiwanej jednostki dla kilku księgowych.
• Listy płac wysyłane do szkół zwykłą pocztą elektroniczną.
• Wspólny dostawca oprogramowania dla wszystkich jednostek — awaria albo włamanie u niego zatrzymuje wszystkie naraz.
• Pracownik, który przestał obsługiwać daną jednostkę, a nadal ma dostęp do jej danych.

Incydent a naruszenie danych — dwa różne zgłoszenia

Incydent poważny zgłasza się według ustawy o KSC do właściwego zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT). Naruszenie ochrony danych osobowych zgłasza się osobno — Prezesowi Urzędu Ochrony Danych Osobowych (UODO), bez zbędnej zwłoki, nie później niż w 72 godziny od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób (art. 33 ust. 1 RODO). Każde naruszenie, także niezgłoszone, trzeba udokumentować (art. 33 ust. 5 RODO).

Jedno zdarzenie może wymagać obu zgłoszeń, na przykład zaszyfrowanie serwera z danymi osobowymi.

RODO

Dane o zdrowiu i niepełnosprawności to szczególna kategoria (art. 9 RODO).

Centrum przetwarza dane obsługiwanych jednostek zwykle jako podmiot przetwarzający (art. 28 RODO). Czy wystarczy sama uchwała o wspólnej obsłudze, czy potrzebne są dodatkowe zapisy, ustalcie z inspektorem ochrony danych.

Jednostka samorządowa jest jednostką sektora finansów publicznych i wyznacza inspektora ochrony danych (art. 37 ust. 1 lit. a RODO w związku z art. 9 pkt 1 ustawy o ochronie danych osobowych).

Krajowe Ramy Interoperacyjności

Jednostka realizująca zadania publiczne stosuje też rozporządzenie w sprawie Krajowych Ram Interoperacyjności (KRI). Zgodnie z § 19 tego rozporządzenia prowadzi system zarządzania bezpieczeństwem informacji, zgodnie z § 19 ust. 2 pkt 3 — okresowe analizy ryzyka utraty integralności, dostępności lub poufności informacji, a zgodnie z § 19 ust. 2 pkt 14 — audyt wewnętrzny co najmniej raz w roku. To osobny i starszy obowiązek, nie to samo co przegląd roczny z ustawy o KSC.

Rozporządzenie traci moc 23.02.2027 w wyniku zmiany art. 18 ustawy o informatyzacji (Dz.U. 2025 poz. 1158). Do tego dnia obowiązuje w całości, także coroczny audyt wewnętrzny.

Kto odpowiada

Odpowiada kierownik jednostki — tu: dyrektor urzędu albo centrum. Może powierzyć niektóre albo wszystkie obowiązki innej osobie za jej zgodą, na przykład koordynatorowi SZBI, ale odpowiedzialność zostaje przy kierowniku (art. 8c ust. 3). SZBI nie jest „zadaniem informatyka”.

Kierownik i osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą udokumentowane szkolenie (art. 8e ustawy o KSC).

Osoby, które mają realizować zadania z art. 8 lub 11 ustawy o KSC — także z firmy zewnętrznej — przed ich rozpoczęciem przedstawiają informację z Krajowego Rejestru Karnego (art. 8f ustawy o KSC).

Gdy cyberbezpieczeństwem zajmuje się gmina, powiat albo województwo

Gmina, powiat albo województwo może zapewnić swoim jednostkom wspólną obsługę części obowiązków z ustawy o KSC — tych, które wymienia art. 16e ust. 5. Należą do nich między innymi prowadzenie systemu zarządzania bezpieczeństwem informacji (SZBI), obsługa i zgłaszanie incydentów oraz obowiązki kierownika. Obsługę prowadzi jednostka obsługująca: urząd, centrum usług wspólnych, inna jednostka organizacyjna samorządu albo spółka komunalna. Z obsługi korzystają jednostki obsługiwane, na przykład szkoły i ośrodek pomocy społecznej.

Jeżeli obsługiwane mają być szkoła, ośrodek pomocy społecznej albo inne jednostki organizacyjne samorządu zaliczane do sektora finansów publicznych, rada gminy, rada powiatu albo sejmik województwa określa w uchwale jednostkę obsługującą, jednostki obsługiwane i zakres powierzonych obowiązków. Instytucja kultury przystępuje do wspólnej obsługi na podstawie porozumienia z jednostką obsługującą, po zgłoszeniu zamiaru wójtowi (burmistrzowi, prezydentowi miasta), zarządowi powiatu albo zarządowi województwa. Wspólna obsługa dotyczy tylko jednostek i instytucji samorządowych — nie obejmuje placówek prowadzonych przez fundację, stowarzyszenie albo osobę fizyczną. Obowiązek, którego uchwała albo porozumienie nie wymienia, zostaje w jednostce obsługiwanej (art. 16d).

Jednostka obsługiwana powinna mieć kopię uchwały albo porozumienia. Sprawdźcie, czy dokument wymienia obowiązki z ustawy o KSC — uchwała, która powierza centrum usług wspólnych tylko księgowość, ich nie obejmuje.

Zadania „jednostki wyznaczonej” określają art. 16f–16h, a art. 16g i 16h odsyłają do „jednostki wyznaczonej, o której mowa w art. 16e”. Ustawa o KSC nie mówi wprost, czy te przepisy dotyczą także jednostki obsługującej w samorządzie. Portal przyjmuje, że tak: art. 16e ust. 5 posługuje się zwrotem „wyznaczenia jednostki obsługującej”, a nowelizacja — „wyznaczenia jednostki do wspólnej obsługi” (art. 43 nowelizacji, Dz.U. 2026 poz. 252).

Jednostka obsługująca:

• wykonuje obowiązki wymienione w uchwale albo porozumieniu (na przykład dokumentacja systemu, analiza ryzyka, przegląd) — zakres zależy od dokumentu (art. 16e ust. 5)
• zgłasza w imieniu jednostki obsługiwanej incydenty poważne do właściwego CSIRT (art. 16h pkt 1), a za podmiot kluczowy także wczesne ostrzeżenie oraz sprawozdania okresowe i końcowe — podmiot ważny będący podmiotem publicznym ich nie składa (art. 12c); warto wprost zapisać w uchwale, kto zgłasza
• wskazuje osobę do kontaktu z jednostkami, które obsługuje (art. 16h pkt 2)
• korzysta z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy o KSC (S46), przy wykonywaniu obowiązków podmiotów kluczowych i ważnych z rozdziału 3 ustawy — nie tylko przy zgłoszeniach (art. 16h pkt 3)
• przez swojego kierownika może wskazać jednostkom obsługiwanym terminy przekazania informacji o incydentach (art. 16g)

Co wtedy zostaje w jednostce obsługiwanej

Jednostka obsługiwana:

• przekazuje jednostce obsługującej informacje o incydentach (art. 16f pkt 1) — od razu, bo termin zgłoszenia incydentu poważnego do CSIRT ustawa liczy od wykrycia incydentu (art. 11 ust. 1 pkt 4a); jeżeli kierownik jednostki obsługującej wskazał terminy przekazania informacji, trzeba ich dotrzymać (art. 16g)
• wykonuje decyzje kierownika jednostki obsługującej dotyczące systemu zarządzania bezpieczeństwem informacji, czyli SZBI (art. 16f pkt 2)
• publikuje na swojej stronie internetowej adres strony jednostki obsługującej, na której są informacje o cyberbezpieczeństwie (art. 16f pkt 3)
• uczestniczy przez swojego kierownika w szkoleniach z cyberbezpieczeństwa, jeżeli prowadzi je jednostka obsługująca (art. 16f pkt 4); bez względu na to, kto prowadzi szkolenie, kierownik raz w roku kalendarzowym przechodzi szkolenie, a jego udział jest udokumentowany (art. 8e ustawy o KSC)
• sama wykonuje obowiązki, których uchwała albo porozumienie nie wymienia (art. 16d)
• pozostaje administratorem danych osobowych, które przetwarza (art. 4 pkt 7 RODO) — zgłoszenie naruszenia ochrony danych osobowych do UODO należy do niej także wtedy, gdy incydent do CSIRT zgłasza jednostka obsługująca (art. 33 ust. 1 RODO)
• stosuje u siebie środki bezpieczeństwa systemów (uprawnienia pracowników, hasła, nośniki danych, dostęp do pomieszczeń z urządzeniami), także te, które kierownik jednostki obsługującej ustali w sprawie SZBI (art. 16f pkt 2); dokumenty papierowe z danymi osobowymi zabezpiecza jako administrator (art. 32 RODO)
• pozostaje adresatem obowiązków z rozporządzenia o Krajowych Ramach Interoperacyjności (KRI): prowadzenia SZBI (§ 19) i audytu wewnętrznego (§ 19 ust. 2 pkt 14) — nie należą one do katalogu art. 16e ust. 5; rozporządzenie traci moc 23.02.2027

Kto wtedy odpowiada i co warto mieć w dokumentacji

Pewne jest jedno: za obowiązki, których uchwała albo porozumienie nie wymienia, odpowiada kierownik jednostki obsługiwanej (art. 8c ust. 1 w związku z art. 16d).

Jednego ustawa nie mówi wprost: czy za obowiązki przejęte przez jednostkę obsługującą nadal odpowiada kierownik jednostki obsługiwanej. Za przejściem odpowiedzialności na kierownika jednostki obsługującej przemawia to, że wspólna obsługa może objąć także obowiązki kierownika, w tym sam przepis o jego odpowiedzialności (art. 16e ust. 5 wymienia art. 8c–8f), a jednostka obsługiwana wykonuje decyzje kierownika jednostki obsługującej w sprawie SZBI (art. 16f pkt 2). Przeciw przemawia to, że odpowiedzialność i karę ustawa przypisuje kierownikowi podmiotu kluczowego albo ważnego (art. 8c ust. 1, art. 73a), a ten odpowiada także wtedy, gdy obowiązki powierzył innej osobie za jej zgodą (art. 8c ust. 3). Do tego przy ministrze i wojewodzie ustawa pozwala wyznaczyć „jednostkę odpowiedzialną za realizację obowiązków” (art. 16e ust. 1–4), a samorządowi — zapewnić „wspólną obsługę realizacji obowiązków” (art. 16e ust. 5). Ustawa o KSC — inaczej niż ustawa o finansach publicznych w zakresie gospodarki finansowej, rachunkowości i sprawozdawczości (art. 53 ust. 5) — nie przenosi też odpowiedzialności na kierownika jednostki obsługującej. Kary z art. 73a można nałożyć po raz pierwszy po upływie dwóch lat od wejścia w życie nowelizacji, czyli po 03.04.2028 (art. 35 nowelizacji). Z prawnikiem gminy albo powiatu ustalcie, kto co wykonuje i dokumentuje, i zapiszcie to w uchwale albo porozumieniu — taki zapis nie zmienia jednak tego, komu ustawa przypisuje karę.

Niezależnie od podziału odpowiedzialności warto w praktyce mieć w dokumentacji jednostki obsługiwanej:

• kopię uchwały albo porozumienia z listą przejętych obowiązków
• ślad przekazania informacji o każdym incydencie: godzinę wykrycia, godzinę i sposób przekazania, potwierdzenie odbioru
• kopię albo potwierdzenie zgłoszenia do CSIRT złożonego w imieniu jednostki
• decyzje kierownika jednostki obsługującej w sprawie SZBI i ślad ich wdrożenia, na przykład zarządzenie i potwierdzenia zapoznania się z nimi pracowników
• zaświadczenie albo listę obecności z corocznego szkolenia kierownika
• zrzut ekranu albo wydruk własnej strony internetowej z adresem strony jednostki obsługującej — z datą wykonania

Jak pomaga i-SZBI

Menu portalu dopasowuje się do statusu jednostki: ekrany obowiązków, których jednostka nie ma, są oznaczone „nie dotyczy”.

• lista kontrolna Załącznika nr 4 z dowodami i datami — widać, co jest zrobione, a co czeka
• wzory polityk i procedur do uzupełnienia danymi jednostki
• rejestr incydentów z zegarem do zgłoszenia i wskazaniem adresata
• szkolenia pracowników z testem i potwierdzeniem udziału
• przypomnienia o przeglądzie, kopiach zapasowych i szkoleniu kierownika