Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS 2. Po raz pierwszy obejmuje ona wprost urzędy gmin, starostwa i urzędy marszałkowskie – a za stan bezpieczeństwa osobiście odpowiada wójt, burmistrz lub prezydent. Systemy informacji przestrzennej, portale mapowe i e-usługi są częścią infrastruktury, która podlega tym wymaganiom. Wyjaśniamy, co się zmienia i od czego zacząć.
Kto jest podmiotem kluczowym, a kto ważnym?
Nowelizacja dzieli instytucje na podmioty kluczowe i ważne. Według komentarzy do ustawy:
- podmioty kluczowe – m.in. urzędy gmin zatrudniające co najmniej 50 pracowników na umowę o pracę (stan na 1 stycznia danego roku), starostwa powiatowe i urzędy marszałkowskie,
- podmioty ważne – mniejsze urzędy gmin, spółki komunalne i samorządowe jednostki organizacyjne.
Jednostki publiczne trafiają do Wykazu KSC z urzędu – Ministerstwo Cyfryzacji wpisało je wiosną 2026 r., a samorządy miały zweryfikować swoje dane do 3 października 2026 r. Jeśli Twój urząd jeszcze tego nie sprawdził, to pierwsza rzecz do zrobienia.
Najważniejsze terminy
| Data | Obowiązek |
|---|---|
| 3 kwietnia 2026 r. | wejście w życie nowelizacji |
| 13 kwietnia 2026 r. | uruchomienie Wykazu KSC |
| 12 czerwca 2026 r. | dostęp do systemu S46 – incydenty poważne zgłasza się w ciągu 24 godzin od wykrycia |
| 3 października 2026 r. | weryfikacja danych w wykazie przez JST |
| 3 kwietnia 2027 r. | pełne wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) |
| 3 kwietnia 2028 r. | pierwszy obowiązkowy audyt bezpieczeństwa dla podmiotów kluczowych (potem co najmniej raz na 3 lata); koniec dwuletniego okresu ochronnego dla kar finansowych |
Odpowiedzialność kierownika urzędu
Nowością jest osobista odpowiedzialność wójta, burmistrza lub prezydenta miasta. Przekazanie zadań informatykom jej nie znosi. Kierownik urzędu musi m.in. zatwierdzać analizy ryzyka i dobór środków bezpieczeństwa, zapewnić środki w budżecie na wdrożenie SZBI i osobiście uczestniczyć w szkoleniach z cyberbezpieczeństwa. Organ nadzorczy może nałożyć na kierownika karę do wysokości 100% jego wynagrodzenia, a na podmiot – do 2% przychodów (kluczowe) lub 1,4% (ważne). Komentatorzy wskazują też na ryzyko tzw. shadow AI – korzystania przez urzędników z narzędzi sztucznej inteligencji bez wiedzy i polityki urzędu.
Co to oznacza dla systemów GIS i danych przestrzennych?
System informacji przestrzennej gminy to zwykle kilka elementów: baza danych, aplikacje desktopowe, portal mapowy dostępny publicznie, e-usługi z danymi osobowymi wnioskodawców oraz integracje z systemami centralnymi. Każdy z nich powinien znaleźć się w analizie ryzyka. W praktyce warto sprawdzić:
- Inwentaryzację – czy urząd wie, jakie systemy GIS, wtyczki i usługi sieciowe są używane i kto za nie odpowiada,
- Kopie zapasowe – czy dane planistyczne i rejestry są regularnie kopiowane i czy ktoś kiedykolwiek sprawdził odtworzenie z kopii,
- Aktualizacje – czy oprogramowanie (w tym QGIS, biblioteki, serwer portalu mapowego) jest aktualizowane, a wersje bez wsparcia wycofywane,
- Dostępy – kto ma konto administratora w portalu mapowym i czy dawni pracownicy nadal mają dostęp,
- Dane w e-usługach – wnioski o wypis i wyrys czy zgłoszenia mieszkańców zawierają dane osobowe; ich wyciek to jednocześnie incydent KSC i naruszenie RODO,
- Umowy z dostawcami – NIS 2 wymaga oceny bezpieczeństwa łańcucha dostaw; warto, aby umowa na system GIS określała zasady aktualizacji, zgłaszania podatności i wsparcia przy incydencie,
- Logowanie zdarzeń – czy da się ustalić, kto i kiedy zmienił dane w rejestrze gminnym.
Gdzie szukać wsparcia?
Samorządy mogą korzystać z programów wsparcia (np. „Cyberbezpieczny Samorząd”) oraz z regionalnych lokalnych centrów cyberbezpieczeństwa. Dostawcy systemów dziedzinowych – w tym GIAP – powinni przekazywać informacje o wersjach, aktualizacjach i zasadach bezpiecznej konfiguracji swoich produktów. Jeśli korzystasz z naszych rozwiązań i przygotowujesz analizę ryzyka, skontaktuj się z nami – pomożemy opisać system w dokumentacji SZBI.
Źródła: Prawo.pl, „Nowelizacja KSC i NIS 2. Wójt odpowie finansowo za cyberbezpieczeństwo urzędu” (kwiecień 2026); ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 2026 r.; dyrektywa (UE) 2022/2555 (NIS 2). Artykuł ma charakter informacyjny i nie stanowi porady prawnej.