Jak liczyć 72 godziny na zgłoszenie naruszenia?

Dlaczego to pytanie w ogóle powstaje

Art. 33 ust. 1 RODO wiąże termin z chwilą stwierdzenia naruszenia. Rozporządzenie nie definiuje jednak tego pojęcia. Definicje z art. 4 obejmują samo naruszenie ochrony danych osobowych w pkt 12. Nie obejmują chwili jego stwierdzenia.

W średniej i dużej organizacji ten moment rzadko jest jednym punktem. Pracownik zauważa nieprawidłowość i przekazuje ją do działu IT. Zespół bezpieczeństwa ją weryfikuje i przekazuje wynik inspektorowi. Inspektor doradza w ocenie skutków dla danych, a zarząd decyduje o zgłoszeniu i je podpisuje. Każda z tych osób dowiaduje się o zdarzeniu w innej godzinie. W mojej ocenie procedura powinna więc rozstrzygać, czyja wiedza uruchamia termin.

Drugie źródło wątpliwości to drugi termin 72-godzinny. Podmiot kluczowy lub podmiot ważny zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia. Tak stanowi art. 11 ust. 1 pkt 4a ustawy o krajowym systemie cyberbezpieczeństwa. Ustawa przewiduje od tej reguły odstępstwa. Dostawca usług zaufania ma na zgłoszenie 24 godziny zgodnie z art. 11 ust. 1a. Podmioty z sektora bankowości i infrastruktury rynków finansowych art. 8i ust. 1 wyłącza z przepisów o zgłaszaniu poważnych incydentów, z wyjątkami wymienionymi w tym przepisie. Podmioty spełniające w dniu 3 kwietnia 2026 r. przesłanki uznania za podmiot kluczowy albo ważny mają czas do 3 kwietnia 2027 r. na wdrożenie obowiązków z rozdziału 3 ustawy, w tym zgłaszania incydentów poważnych (art. 33 ust. 1 nowelizacji). Podmiot, który spełni przesłanki później, ma na to 12 miesięcy od dnia ich spełnienia (art. 16 ustawy). Dla dawnych operatorów usług kluczowych termin na przejście na nowe zasady zgłaszania incydentów poważnych upłynął 3 października 2026 r. (art. 33 ust. 4 nowelizacji).

Wykrycie incydentu i stwierdzenie naruszenia to dwa odrębne ustalenia. Mogą przypaść na tę samą chwilę albo na różne godziny, więc przy jednym zdarzeniu oba terminy mogą upływać o innej godzinie. Według Ministra Cyfryzacji momentem wykrycia jest zidentyfikowanie zdarzenia jako incydentu, a nie chwila jego zaistnienia (pyt. 6.5). Adresata zgłoszenia oraz wczesne ostrzeżenie składane w ciągu 24 godzin opisuje materiał Co zawiera zgłoszenie incydentu poważnego do CSIRT?. Podmiot ważny będący podmiotem publicznym wczesnego ostrzeżenia nie składa (art. 12c ustawy o KSC).

Trzecie źródło jest organizacyjne. Procedury zgłoszeniowe powstają zwykle w rytmie pracy biura, z obiegiem dokumentów i akceptacją kierownictwa. Termin z art. 33 ust. 1 liczy się tymczasem w godzinach.

Co trzeba ustalić, żeby policzyć termin

Od kiedy biegnie termin 72 godzin

Punktem startowym jest stwierdzenie naruszenia, a nie jego wystąpienie. Według EROD administrator stwierdza naruszenie w chwili, w której uzyskał dostateczną pewność co do dwóch okoliczności. Doszło do incydentu bezpieczeństwa i ten incydent doprowadził do narażenia danych osobowych.

Prezes UODO opisuje stwierdzenie jako moment, w którym administrator zdobywa wystarczającą wiedzę o incydencie, aby uznać go za naruszenie ochrony danych osobowych. Poradnik wiąże je ze świadomością trzech okoliczności. Zdarzenie jest incydentem bezpieczeństwa i dotyczy przetwarzanych danych osobowych. Może też doprowadzić do skutków opisanych w definicji naruszenia.

Oba ujęcia nie są identyczne. EROD mówi o incydencie, który doprowadził do narażenia danych. Poradnik mówi o zdarzeniu, które może do tego doprowadzić. W mojej ocenie przy dokumentowaniu terminu bezpieczniej przyjąć ujęcie poradnika, bo wskazuje ono wcześniejszy moment.

Kryterium dotyczy pewności co do samego naruszenia. Gdy fakt naruszenia nie budzi wątpliwości, a jego skala nie jest jeszcze znana, EROD uznaje zgłoszenie sukcesywne za bezpieczną metodę. Podobnie jest z niepewnością co do rodzaju naruszenia. EROD pokazuje to na przykładzie zgubionego nośnika USB z niezaszyfrowanymi danymi. Administrator często nie ustali, czy ktoś uzyskał do nich dostęp. Z dostateczną pewnością wiadomo jednak o naruszeniu dostępności danych. Taki przypadek trzeba zgłosić, a stwierdzenie następuje w chwili, w której administrator zdał sobie sprawę z utraty nośnika.

Stwierdzenie nie ma formy osobnej decyzji. Według Prezesa UODO administrator nie musi wykonać żadnych dodatkowych czynności, aby formalnie stwierdzić naruszenie. Powinien natomiast dokładnie odnotować czas, w jakim do tego doszło.

Ile może trwać postępowanie wstępne

Czasem stwierdzenie następuje od razu. EROD podaje przykład osoby trzeciej, która przekazuje administratorowi dowody nieuprawnionego ujawnienia danych. W innych przypadkach między pierwszym sygnałem a stwierdzeniem mieści się krótkie postępowanie wstępne, które administrator może przeprowadzić. Według EROD w jego trakcie nie można uznać, że administrator stwierdził naruszenie. Oczekuje jednak, że postępowanie rozpocznie się możliwie jak najszybciej. Ma ono doprowadzić do ustalenia z dostateczną pewnością, czy naruszenie wystąpiło.

Czas tego postępowania też ma granicę. Według EROD wstępne działania powinny w większości przypadków zakończyć się wkrótce po otrzymaniu początkowego ostrzeżenia. Początkowym ostrzeżeniem jest moment, w którym administrator lub podmiot przetwarzający powziął podejrzenie incydentu mogącego wpłynąć na dane osobowe. Później działania te mogą zostać zakończone wyłącznie w wyjątkowych przypadkach.

Po ustaleniu samego naruszenia EROD dopuszcza bardziej szczegółowe postępowanie. Postępowanie wstępne nie jest więc dochodzeniem prowadzonym do końca. Prezes UODO wymienia wśród okoliczności nieusprawiedliwiających opóźnienia czekanie na zakończenie wewnętrznego dochodzenia w sprawie incydentu, prowadzonego po to, by go zakwalifikować. Oba stanowiska da się pogodzić. Krótkie sprawdzenie faktów jest dopuszczalne, ale czekanie na zakończenie dochodzenia kwalifikacyjnego nie usprawiedliwia opóźnienia zgłoszenia.

Według motywu 87 RODO należy się upewnić, czy wdrożono wszelkie odpowiednie techniczne środki ochrony i środki organizacyjne pozwalające od razu stwierdzić naruszenie i szybko poinformować organ nadzorczy oraz osobę, której dane dotyczą. EROD wiąże z tym obowiązek utrzymania zdolności do terminowego stwierdzania naruszeń. Ostrzega też przed skutkiem zwłoki. Jeżeli administrator nie zareaguje w porę na początkowe ostrzeżenie, a naruszenie później się potwierdzi, może to zostać uznane za niewywiązanie się z obowiązku zgłoszenia.

Czas krążenia sygnału po organizacji bez osoby odpowiedzialnej za jego ocenę nie jest więc neutralny. To luka w zdolności, którą administrator ma utrzymywać.

Kiedy naruszenie stwierdza podmiot przetwarzający

Termin, adresata i treść zgłoszenia, które podmiot przetwarzający wysyła administratorowi, opisuje materiał Jak i kiedy podmiot przetwarzający ma zgłosić naruszenie administratorowi?.

Według wytycznych EROD zasadniczo administrator stwierdza naruszenie w momencie otrzymania informacji od podmiotu przetwarzającego.

Słowo „zasadniczo” ma znaczenie praktyczne. EROD zauważa, że podmiot przetwarzający może nie znać wszystkich okoliczności. Przykładem jest posiadanie przez administratora kopii danych zniszczonych lub utraconych przez podmiot przetwarzający. Administrator może więc przeprowadzić własne postępowanie, a jego wynik może wpłynąć na obowiązek zgłoszenia. Prezes UODO podkreśla, że administrator pozostaje odpowiedzialny za weryfikację informacji oraz ostateczną analizę i kwalifikację incydentu. W komunikacie z 12 sierpnia 2026 r. o wycieku u dostawcy systemu MyDr Prezes UODO wskazał, że przed zgłoszeniem naruszenia i zawiadomieniem osób administrator powinien otrzymać od podmiotu przetwarzającego potwierdzenie, że incydent dotyczył danych związanych z działalnością administratora.

Poradnik ujmuje podobną sytuację inaczej niż EROD. W jednym z jego przykładów pożar zniszczył serwery z kopiami zapasowymi u podmiotu przetwarzającego. Podmiot przetwarzający stwierdził naruszenie dostępności i przekazał informację administratorowi. Administrator miał własną, kompletną kopię tych danych i według poradnika słusznie nie stwierdził naruszenia. EROD w podobnej sytuacji mówi o wpływie kopii na obowiązek zgłoszenia, a poradnik o braku samego stwierdzenia.

Przy współadministrowaniu art. 26 ust. 1 RODO każe określić zakresy odpowiedzialności we wspólnych uzgodnieniach, chyba że określa je prawo Unii lub prawo państwa członkowskiego, któremu administratorzy ci podlegają. EROD zaleca, by uzgodnienia wskazywały administratora odpowiedzialnego za zgłaszanie naruszeń.

Czy termin 72 godzin biegnie w weekendy i święta

Tak. Według Prezesa UODO termin 72 godzin biegnie niezależnie od dni wolnych od pracy. Naruszenie zgłasza się jak najszybciej i nie później niż w ciągu 72 godzin od jego stwierdzenia. Poradnik dodaje, że przepisy RODO nie przewidują wstrzymywania biegu terminu z powodu weekendu i niedostępności kluczowego personelu.

Przy terminie 72 godzin EROD odsyła w przypisie do rozporządzenia nr 1182/71 określającego zasady mające zastosowanie do okresów, dat i terminów. Według jego art. 3 ust. 3 okres obejmuje dni ustawowo wolne od pracy, niedziele i soboty. Wyjątkiem są przypadki wyraźnie wyłączone oraz okresy wyrażone w dniach roboczych. Art. 3 ust. 4 przesuwa koniec okresu na następny dzień roboczy, gdy ostatni dzień przypada na dzień wolny od pracy, niedzielę lub sobotę. Dotyczy jednak okresów wyrażonych inaczej niż w godzinach. Art. 3 ust. 5 stanowi natomiast, że każdy okres trwający dwa lub więcej dni zawiera przynajmniej dwa dni robocze. Rozporządzenie nie rozstrzyga wprost, czy ta reguła wydłuża okres liczony w godzinach. Wytyczne ani poradnik UODO jej nie omawiają, więc w mojej ocenie nie należy na niej opierać procedury.

Rozporządzenie wskazuje też, od której chwili liczyć godziny. Jeżeli okres wyrażony w godzinach nalicza się od zaistnienia wydarzenia, art. 3 ust. 1 nie zalicza do niego godziny, w której wydarzenie miało miejsce. Z zastrzeżeniem ust. 1 i 4 okres taki rozpoczyna się na początku pierwszej godziny i wygasa wraz z upłynięciem ostatniej godziny okresu, zgodnie z art. 3 ust. 2 lit. a. Przy stwierdzeniu naruszenia w środę o 14:20 okres liczony według tych zasad zaczyna się o 15:00 i kończy w sobotę o 15:00.

Art. 1 obejmuje jednak, o ile nie postanowiono inaczej, akty Rady lub Komisji wydane na podstawie Traktatu EWG lub Traktatu Euratom. RODO przyjęły Parlament Europejski i Rada na podstawie art. 16 Traktatu o funkcjonowaniu Unii Europejskiej. Wytyczne nie wyjaśniają, jak rozumieć to odesłanie. W mojej ocenie bezpieczniej liczyć termin od minuty stwierdzenia, bo pierwszym wymogiem i tak jest zgłoszenie bez zbędnej zwłoki.

W wyjątkowych sytuacjach, na przykład przy awarii systemów zgłoszeń elektronicznych, poradnik dopuszcza tymczasowe zgłoszenie mailowe na adres kancelaria@uodo.gov.pl. Takie zgłoszenie trzeba w najbliższym możliwym terminie potwierdzić jedną ze standardowych metod.

Poradnik wymienia sytuacje, które nie powinny usprawiedliwiać opóźnienia. Lista jest otwarta, bo poprzedza ją skrót „m.in.”.

• Termin przypadł na weekend lub inny dzień wolny od pracy, a kluczowy personel był niedostępny.
• Osoba odpowiedzialna za zgłoszenie była na urlopie lub zwolnieniu lekarskim, a administrator nie zapewnił odpowiedniego zastępstwa.
• Kierownictwo nie miało czasu na zatwierdzenie zgłoszenia, choć procedury powinny uwzględniać konieczność niezwłocznego działania.
• Administrator czekał na zakończenie wewnętrznego dochodzenia w sprawie incydentu, prowadzonego w celu jego kwalifikacji, albo procesu oceny ryzyka związanego z naruszeniem.
• Administrator potrzebował dodatkowego czasu na zgromadzenie wszystkich wymaganych informacji.

Przy ostatniej pozycji poradnik wskazuje rozwiązanie. Jest nim zgłoszenie wstępne i jego późniejsze uzupełnienie.

Co musi się zmieścić w 72 godzinach

Według EROD w tym okresie administrator powinien ocenić prawdopodobne ryzyko dla osób fizycznych. Od tej oceny zależy, czy zgłoszenie jest w ogóle wymagane. Art. 33 ust. 1 zwalnia z niego w sytuacji, gdy mało prawdopodobne jest ryzyko naruszenia praw lub wolności osób fizycznych. W tym samym czasie administrator powinien według EROD określić działania potrzebne do zaradzenia naruszeniu.

Ocena ryzyka nie musi czekać na pełny obraz zdarzenia. W wytycznych 01/2021 EROD stwierdza, że administrator nie powinien czekać na szczegółową analizę kryminalistyczną ani na wczesne działania zaradcze. Pełna ocena ryzyka może toczyć się równolegle ze zgłoszeniem.

Tę samą logikę zawiera art. 33 ust. 4 RODO. Jeżeli i w zakresie, w jakim informacji nie da się udzielić w tym samym czasie, można je udzielać sukcesywnie bez zbędnej zwłoki. Informacje dostępne od razu trafiają więc do pierwszego zgłoszenia. Prezes UODO wyróżnia trzy rodzaje zgłoszeń. Są to zgłoszenia wstępne, uzupełniające i kompletne. EROD zaleca poinformować organ już w pierwszym zgłoszeniu o braku części danych i zamiarze ich późniejszego przekazania.

Dalsze postępowanie może wykazać, że do naruszenia nie doszło. Administrator może wtedy przekazać organowi tę informację. EROD wskazuje, że nie przewidziano sankcji za zgłoszenie incydentu, który ostatecznie nie okazał się naruszeniem.

72 godziny nie są też terminem do wykorzystania w całości. Przepis stawia na pierwszym miejscu zgłoszenie bez zbędnej zwłoki, a granicę 72 godzin łagodzi zwrotem „w miarę możliwości”. Omawiając atak szyfrujący w wytycznych 01/2021, EROD przywołuje ten termin i wskazuje, że można uznać jego przekroczenie za niewskazane w każdym przypadku. Przy wysokim poziomie ryzyka nawet jego dotrzymanie może zostać uznane za niezadowalające.

Co zrobić, gdy termin 72 godzin minął

Art. 33 ust. 1 RODO przewiduje zgłoszenie przekazane po upływie 72 godzin. Dołącza się do niego wyjaśnienie przyczyn opóźnienia. Upływ terminu nie znosi więc obowiązku zgłoszenia. Samo wyjaśnienie nie usuwa jednak naruszenia art. 33 ust. 1, jeżeli zgłoszenie w terminie było możliwe.

EROD dopuszcza zgłoszenie z opóźnieniem w niektórych przypadkach i podaje przykład. Administrator w krótkim czasie mierzy się z serią podobnych naruszeń poufności, które w ten sam sposób dotykają wielu osób. Stwierdza pierwsze z nich i jeszcze przed zgłoszeniem wykrywa kolejne, wynikające z różnych przyczyn. Zamiast zgłaszać każde z osobna może przygotować jedno zgłoszenie zbiorcze. Wytyczne stawiają temu trzy warunki. Naruszenia mają dotyczyć tego samego rodzaju danych, naruszonych w ten sam sposób i w stosunkowo krótkim czasie. Przy różnych rodzajach danych naruszonych w różny sposób każde naruszenie zgłasza się osobno.

Według EROD zgłoszenia z opóźnieniem nie powinny być traktowane jako coś, co zdarza się regularnie. Dodaje też, że zgłoszenie zbiorcze można złożyć również w terminie 72 godzin. Prezes UODO wskazuje z kolei, że opóźnienia powinny wynikać wyłącznie z wyjątkowych sytuacji.

Jak udokumentować moment stwierdzenia

Art. 33 ust. 5 RODO nakazuje dokumentować wszelkie naruszenia. Dokumentacja obejmuje w szczególności okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze. Dokumentacja ma pozwolić organowi zweryfikować przestrzeganie art. 33. Prezes UODO wskazuje, że czas stwierdzenia naruszenia jest elementem tej obowiązkowej dokumentacji.

Rekomenduję zapisywać cztery znaczniki czasu z godziną i funkcją osoby, która je odnotowała.

1. Pierwszy sygnał i jego źródło.
2. Rozpoczęcie postępowania wstępnego.
3. Stwierdzenie naruszenia wraz z ustaleniami, które o nim przesądziły.
4. Wysłanie zgłoszenia i każdego jego uzupełnienia.

Zapis stwierdzenia z uzasadnieniem pozwala pokazać organowi, dlaczego termin liczono od danej godziny. Prezes UODO wskazuje w poradniku, że umieszczanie danych osobowych w wewnętrznym rejestrze naruszeń nie jest wymagane ani zalecane. Nazwiska osób odnotowujących znaczniki warto więc trzymać w aktach sprawy. Pozostałe elementy wpisu opisuje materiał Co powinien zawierać rejestr naruszeń ochrony danych?.

Oś czasu jednego naruszenia

Moment	Znaczenie dla terminu	Podstawa i od kiedy	Wyjątki i ograniczenia
Wystąpienie zdarzenia	termin nie biegnie	art. 33 ust. 1 RODO — przepis od 25 maja 2018 r.	zdarzenie bez skutku dla danych osobowych nie jest naruszeniem w rozumieniu art. 4 pkt 12
Pierwszy sygnał	termin zwykle jeszcze nie biegnie, administrator może przeprowadzić krótkie postępowanie wstępne	wytyczne EROD 9/2022, pkt 33, 34 i 36 — wytyczne w wersji 2.0 od 28 marca 2023 r.	przy jednoznacznych dowodach naruszenia stwierdzenie następuje od razu; postępowanie powinno w większości przypadków zakończyć się wkrótce
Stwierdzenie przez administratora	termin zaczyna biec	art. 33 ust. 1 RODO, wytyczne EROD 9/2022, pkt 31 — przepis od 25 maja 2018 r., wytyczne w wersji 2.0 od 28 marca 2023 r.	brak obowiązku zgłoszenia, gdy ryzyko dla osób jest mało prawdopodobne
Informacja od podmiotu przetwarzającego	zasadniczo moment stwierdzenia przez administratora	art. 33 ust. 2 RODO, wytyczne EROD 9/2022, pkt 44, poradnik UODO, rozdz. 5.2 — przepis od 25 maja 2018 r., wytyczne w wersji 2.0 od 28 marca 2023 r., poradnik w wersji z 20 lutego 2025 r.	według EROD własne ustalenia administratora, na przykład o kopii danych, mogą wpłynąć na obowiązek zgłoszenia; według poradnika mogą wykluczyć stwierdzenie naruszenia
Upływ 72 godzin	zgłoszenie nadal wymagane, z wyjaśnieniem przyczyn opóźnienia	art. 33 ust. 1 zdanie drugie RODO, wytyczne EROD 9/2022, pkt 62–65 — przepis od 25 maja 2018 r., wytyczne w wersji 2.0 od 28 marca 2023 r.	opóźnienie dopuszczalne w niektórych przypadkach, na przykład przy zbiorczym zgłoszeniu serii podobnych naruszeń

Najczęstsze błędy

• Liczenie terminu od zatwierdzenia przez zarząd. Termin biegnie od stwierdzenia naruszenia. Brak czasu kierownictwa poradnik UODO wymienia wśród okoliczności nieusprawiedliwiających opóźnienia.

• Czekanie na raport z analizy kryminalistycznej. Według EROD ocena ryzyka nie powinna czekać na szczegółową analizę. Informacje można przekazywać sukcesywnie.

• Przesuwanie terminu na najbliższy dzień roboczy. Według Prezesa UODO zgłoszenia dokonuje się niezależnie od dni wolnych od pracy.

• Traktowanie informacji od podmiotu przetwarzającego jak wstępnej pogłoski. Według EROD zasadniczo od tej chwili administrator stwierdził naruszenie. Według EROD własne ustalenia administratora, na przykład o kopii danych, mogą wpłynąć na obowiązek zgłoszenia. Według poradnika UODO mogą wykluczyć samo stwierdzenie.

• Przenoszenie 72 godzin na zawiadomienie osób. Art. 34 ust. 1 RODO wymaga zawiadomienia osób bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko. Liczby godzin ten przepis nie podaje.

• Jedno pole daty w procedurze dla RODO i ustawy o KSC. Termin z art. 33 ust. 1 RODO biegnie od stwierdzenia naruszenia, a termin z art. 11 ust. 1 pkt 4a ustawy o KSC od wykrycia incydentu poważnego. Oba momenty mogą przypaść na tę samą godzinę, ale każdy zapisuje się osobno wraz z ustaleniami, które o nim przesądziły.

Wnioski i dalsze kroki

W dniu naruszenia organizacja wykonuje to, co wcześniej ustaliła. W mojej ocenie najwięcej czasu ginie między pierwszym sygnałem a stwierdzeniem, bo tego odcinka przepis nie mierzy w godzinach.

Rekomenduję pięć kroków, które porządkują liczenie terminu. Żaden z nich nie jest wymogiem wprost zapisanym w przepisie.

1. Wskaż osobę przyjmującą sygnały o incydentach przez całą dobę oraz jej zastępcę.
2. Ustal, kto w imieniu administratora stwierdza naruszenie i na podstawie jakich ustaleń.
3. Zapisz w procedurze, że krótkie postępowanie wstępne zaczyna się od razu po sygnale.
4. Przygotuj wzór zgłoszenia wstępnego i wskaż osobę uprawnioną do jego wysłania w dni wolne od pracy, także drogą awaryjną.
5. Sprawdź umowy powierzenia pod kątem terminu i kanału zgłaszania naruszeń przez podmioty przetwarzające.

Materiały powiązane

• Czy każde naruszenie ochrony danych trzeba zgłosić? — próg zgłoszenia i ocena ryzyka dla osób, od której zależy, czy termin w ogóle trzeba liczyć.
• Co powinien zawierać rejestr naruszeń ochrony danych? — gdzie zapisać moment stwierdzenia i jego uzasadnienie.
• Co zrobić po wykryciu incydentu? — kolejność działań w pierwszej dobie, gdy biegnie kilka terminów naraz.
• Co zawiera zgłoszenie incydentu poważnego do CSIRT? — drugi termin 72-godzinny, liczony od wykrycia.
• Jak zawiadomić osoby o naruszeniu i co musi zawierać zawiadomienie? — zawiadomienie osób, które nie ma terminu w godzinach i biegnie obok zgłoszenia do organu.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 4 pkt 12, art. 26 ust. 1, art. 28 ust. 3 lit. f, art. 33, art. 34 ust. 1 i art. 99 ust. 2 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja ogłoszona w Dz.U. UE L 119 z 4 maja 2016 r. — motyw 87 — eur-lex.europa.eu.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 8i ust. 1, art. 11 ust. 1 pkt 4 i 4a i ust. 1a, art. 12c oraz art. 16 — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — art. 33 ust. 1 i 4 — isap.sejm.gov.pl.
• Minister Cyfryzacji, Pytania i odpowiedzi dotyczące nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, wersja z października 2026 r. — pyt. 6.5 — cyber.gov.pl.
• Rozporządzenie Rady (EWG, Euratom) nr 1182/71 z dnia 3 czerwca 1971 r. określające zasady mające zastosowanie do okresów, dat i terminów — art. 1 i art. 3 ust. 1–5 — eur-lex.europa.eu.
• Urząd Ochrony Danych Osobowych, Poradnik dotyczący naruszeń ochrony danych osobowych, wersja z 20 lutego 2025 r. — rozdziały 5.2, 8.1 i 9.2 — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, komunikat „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym” z 12 sierpnia 2026 r. — uodo.gov.pl.
• Europejska Rada Ochrony Danych, Wytyczne 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO, wersja 2.0 przyjęta 28 marca 2023 r. — pkt 31–48, 53 i 56–65 — edpb.europa.eu.
• Europejska Rada Ochrony Danych, Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych, wersja 2.0 przyjęta 14 grudnia 2021 r. — pkt 8, 9 i 24 — edpb.europa.eu.