Incydent poważny w KSC: jak go rozpoznać, zanim wejdą nowe progi

Jakie terminy obowiązują?

1. Wczesne ostrzeżenie: do 24 godzin od wykrycia incydentu poważnego.
2. Zgłoszenie incydentu poważnego: do 72 godzin od wykrycia.
3. Raport końcowy: do miesiąca od zgłoszenia. Jeśli obsługa incydentu wciąż trwa, składasz sprawozdanie z postępów, a raport końcowy w ciągu miesiąca od zakończenia obsługi.

Terminy biegną także w weekend. Zgłoszenia przekazuje się przez system S46 do właściwego CSIRT: CSIRT GOV, CSIRT NASK lub CSIRT MON, a po ogłoszeniu gotowości operacyjnej do CSIRT sektorowego.

Co dziś decyduje, że incydent jest poważny?

W uproszczeniu ustawa uznaje za poważny incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi, straty finansowe podmiotu albo znaczne szkody dla innych osób. Słowa „może spowodować” są kluczowe: nie trzeba czekać, aż skutek nastąpi.

Szczegółowe progi wyglądają dziś tak:

1. Rozporządzenie z 2018 r. obejmuje 6 sektorów i obowiązuje najpóźniej do 3 kwietnia 2027.
2. Projekt nowego rozporządzenia Rady Ministrów, opublikowany 9 września 2026, obejmuje 15 sektorów. Przewiduje między innymi próg strat finansowych powyżej 2 mln zł w wielu sektorach, a w podmiotach publicznych uznaje za poważny atak ransomware z żądaniem okupu.
3. Dla dostawców chmury, DNS, centrów danych i usług zarządzanych progi wynikają już z rozporządzenia wykonawczego Komisji (UE) 2024/2690.

Dlaczego procedurę warto oprzeć na analizie wpływu?

Progi w projekcie są ustawione dla przeciętnego podmiotu w sektorze. Dla mniejszej organizacji 2 mln zł strat albo 72 godziny przestoju to często kryzys zagrażający jej istnieniu, a nie moment, od którego zaczyna się zgłoszenie.

Analiza wpływu na działalność (BIA), potrzebna i tak do zarządzania ciągłością działania, wskazuje dla każdego procesu krytycznego maksymalny tolerowany okres zakłócenia (MTPD) i docelowy czas odtworzenia (RTO). Wpisz te wartości do procedury. Jeśli incydent przekracza albo zagraża przekroczeniem MTPD procesu krytycznego, traktuj go jako kandydata na incydent poważny i uruchom ścieżkę 24 godzin. Nadmiarowe zgłoszenie łatwiej wyjaśnić niż spóźnione.

Co przygotować teraz?

1. Wskaż, kto w ciągu godziny ocenia, czy incydent jest poważny, i kto ma konto w S46. Ustal zastępstwa na noc i urlopy.
2. Zbierz kryteria w jednym miejscu: definicję ustawową, progi dla Twojego sektora, obecne i projektowane, oraz MTPD z BIA.
3. Przygotuj szablony wczesnego ostrzeżenia i zgłoszenia, żeby w nocy nie pisać ich od zera.
4. Prowadź rejestr decyzji: dlaczego zdarzenie uznano albo nie uznano za poważne.
5. Gdy incydent dotyczy danych osobowych, uruchom równolegle ścieżkę z art. 33 RODO: 72 godziny na zgłoszenie do Prezesa UODO.
6. Raz w roku przećwicz scenariusz z zegarem 24 godzin.

Co się zmieni po przyjęciu rozporządzenia?

Zmieni się tabela progów, a nie logika procedury. Jeśli procedura opiera się na definicji ustawowej i BIA, wystarczy podmienić progi dla Twojego sektora. Ten artykuł zaktualizujemy po publikacji rozporządzenia.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 11 (ISAP)
• Projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny (gov.pl)
• Rozporządzenie Rady Ministrów z 2018 r. w sprawie progów uznania incydentu za poważny (ISAP)
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690
• Dyrektywa (UE) 2022/2555 (NIS2), art. 23

Powiązane artykuły

• Podmiot kluczowy tylko przez grupę? Wyłączenie z art. 5 ust. 6 i 7 KSC
• Audyt KSC: kto może go przeprowadzić i jak wybrać audytora