Projekt rozporządzenia w sprawie progów poważnego incydentu

Michał Nowakowski · 9 września 2026

Dzisiaj MC opublikowało projekt rozporządzenia w sprawie progów uznania incydentu za poważny. To taki szczególny rodzaj incydentu, który musi zostać zaraportowany i szczególnie zaopiekowany, jeżeli jesteśmy adresatem ustawy o krajowym systemie cyberbezpieczeństwa

A więc Nowakowski oszalał i ogłasza loterię. Dwa miliony dla każdego kto wdroży operacyjnie działający system zarządzania bezpieczeństwem informacji. Blisko, ale nadal uważam, że zgodność z ustawą hazardową jest ważna. A ja nie jestem gotowy na organizację gier losowych. Ale o poważnych incydentach cyberbezpieczeństwa mogę coś powiedzieć.

No właśnie, dzisiaj Ministerstwo Cyfryzacji opublikowało projekt rozporządzenia w sprawie progów uznania incydentu za poważny. To taki szczególny rodzaj incydentu, który musi zostać zaraportowany i szczególnie zaopiekowany, jeżeli jesteśmy adresatem ustawy o krajowym systemie cyberbezpieczeństwa. Mowa o tym w art. 11 i wśród naszych obowiązków znajdziemy konieczność (upraszczam i niektóre kwestie pomijam):

✅ zapewnienia obsługi incydentu,

✅ zgłoszenia wczesnego ostrzeżenia w ciągu 24h,

✅ zawiadomienia CSIRT o incydencie w ciągu 72h.

I teraz brakuje nam nadal (bo wspomniany projekt trafia do konsultacji) jasności co do tego co właściwie raportować, bo poważny incydent jest zdefiniowany (celowo) dość opisowo i "otwarcie". A rzeczone rozporządzenie ma nam pomóc odkryć tajemnicę tego jakie ilościowe i jakościowe przesłanki świadczą o aktualizacji naszych obowiązków.

W projekcie znajdziemy 15 sektorów (a więc nie wszystkie składające się na załącznik I i II - podmioty kluczowe i ważne; zaraz to wyjaśnię) i przypadków incydentów, które mogą świadczyć o tym, że są one poważne. Znajdziemy tam takie sektory jak:

🏥 ochrona zdrowia, 🏭 energia, 🚌 transport, 🚀 sektor kosmiczny czy 👑 sektor publiczny.

Nie znajdziemy tak np. sektora bankowości (DORA), usług zarządzanych ICT (rozporządzenie wykonawcze 2024/2690), większość obszarów infrastruktury cyfrowej. Dla 15 sektorów wskazano jedną lub więcej spośród czterech przesłanek uznania incydentu za poważny, tj.:

✅ liczba użytkowników, których dotyczy zakłócenie świadczenia usługi,

✅ czas oddziaływania incydentu na świadczoną usługę,

✅zasięg geograficzny obszaru, którego dotyczy incydent,

✅ inne czynniki charakterystyczne dla danego sektora lub podsektora.

Wspomniane usługi zarządzania ICT oraz cyber mają próg "szkodowości" na poziomie wspomnianych 2 000 000 PLN (akurat z innego aktu), jak zresztą większość przypadków, niedostępność systemów powyżej 8 godzin, a przesłanki sektorowe to najczęściej uszczerbek na zdrowiu czy śmierć, ale także ujawnienie tajemnicy przedsiębiorstwa. Powiem tak - nic nowego, nic zaskakującego. Jak na razie. No bo jeszcze konsultacje.

Ale... jeżeli nadal nie odrobiliśmy pracy domowej i nie mamy procesów oraz procedur do zarządzania incydentami, to jest to dobry moment. Przygotowanie do obowiązków, jeżeli są dla nas nowe nie może być odkładane na ostatnią chwilę. Nigdy nie wiemy kiedy nas coś "trzaśnie". Dlatego już myślę, jak ułatwić Wam pracę. Coś mam już w głowie, ale może i Wy macie propozycje?