Co zawiera zgłoszenie incydentu poważnego do CSIRT?

Dlaczego to pytanie w ogóle powstaje

W procedurach organizacji „zgłoszenie do CSIRT” występuje zwykle jako jedna czynność z jednym terminem. Tymczasem ustawa opisuje cztery odrębne obowiązki (art. 11 ust. 1 pkt 4–4c). Do tego dochodzi warunkowo sprawozdanie z postępu (art. 12b). Trzy przekazy mają ustawową listę wymaganych informacji (art. 12 i 12a). Dwa pierwsze terminy biegną od wykrycia incydentu poważnego, a termin sprawozdania końcowego biegnie od zgłoszenia. Sprawozdanie okresowe składa się na wniosek CSIRT. Każdy z czterech obowiązków jest też osobno objęty przepisem o karze pieniężnej (art. 73 ust. 1 pkt 6–9). Kary pieniężne z art. 73 ust. 1 i art. 73a można nałożyć po raz pierwszy po 3 kwietnia 2028 r. (art. 35 nowelizacji). Odroczenie nie obejmuje kary z art. 73 ust. 5 za naruszenie powodujące poważne zagrożenie. Nie zmienia też terminów zgłoszenia.

Druga przyczyna wątpliwości to adresat. Ustawa kieruje wszystkie przekazy do właściwego CSIRT sektorowego. Zespoły sektorowe dopiero powstają, więc poza sektorami z zespołem powołanym przed 2025 r. adresatem jest dziś CSIRT poziomu krajowego. Trzecia przyczyna to progi. Rozporządzenie określające, kiedy incydent jest poważny, pochodzi z 2018 r. i obejmuje sześć sektorów w układzie sprzed nowelizacji. Dla części podmiotów cyfrowych i dla dostawców usług zaufania progi określa rozporządzenie wykonawcze Komisji (UE) 2024/2690. Pozostałe organizacje nie mają dziś progu w przepisach wykonawczych, do którego mogłyby się odnieść.

Sekwencję działań organizacyjnych w pierwszej dobie po wykryciu opisuje materiał Co zrobić po wykryciu incydentu?

Co trzeba ustalić przed decyzją

Czy zdarzenie jest incydentem poważnym i od kiedy liczy się czas

Zgłoszenie incydentu poważnego jest obowiązkiem tylko wtedy, gdy zdarzenie spełnia ustawową definicję. Ustawa definiuje go przez skutek (art. 2 pkt 7). Jest to incydent, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości usługi, straty finansowe podmiotu albo poważną szkodę u innych osób. Kwalifikacji dokonuje sam podmiot na podstawie progów uznawania incydentu za poważny (art. 11 ust. 1 pkt 3). Podmioty, które 3 kwietnia 2026 r. spełniały przesłanki uznania za podmiot kluczowy albo ważny, mają czas do 3 kwietnia 2027 r. na wdrożenie obowiązków z rozdziału 3 ustawy (art. 33 ust. 1 nowelizacji). Obowiązki te obejmują zgłaszanie incydentów poważnych. Podmiot, który spełni przesłanki później, ma na wdrożenie tych obowiązków 12 miesięcy od dnia ich spełnienia (art. 16 ustawy). Dla dawnych operatorów usług kluczowych termin na przejście na nowe zasady zgłaszania incydentów poważnych upłynął 3 października 2026 r. (art. 33 ust. 4 nowelizacji).

Pierwsza trudność dotyczy progów. Progi określa Rada Ministrów w rozporządzeniu (art. 11 ust. 4). Obowiązuje nadal rozporządzenie z 31 października 2018 r. wydane pod poprzednią dyrektywę. Opisuje ono progi dla sześciu sektorów i posługuje się pojęciem usługi kluczowej. Zachowuje moc na podstawie przepisów przejściowych nowelizacji najdłużej do 3 kwietnia 2027 r. Z delegacji krajowej wyłączone są podmioty, dla których progi ustaliła Komisja Europejska (art. 11 ust. 4). Dla podmiotów cyfrowych i dostawców usług zaufania wymienionych w art. 1 rozporządzenia wykonawczego Komisji (UE) 2024/2690 progi wynikają wprost z tego aktu. Organizacja spoza zakresu rozporządzenia z 2018 r. i rozporządzenia 2024/2690 nie ma dziś progu w przepisach wykonawczych. Ocenia zdarzenie według definicji incydentu poważnego z ustawy. W takiej sytuacji rekomenduję zapisanie w procedurze własnych kryteriów kwalifikacji z uzasadnieniem, bo to one będą przedmiotem pytań organu po zdarzeniu.

Druga trudność dotyczy początku biegu terminu. Oba pierwsze terminy liczy się od momentu wykrycia incydentu poważnego, nie od jego wystąpienia i nie od zakończenia analizy. Ustawa nie definiuje wykrycia. Wczesne ostrzeżenie wymaga jednak wskazania zarówno momentu wystąpienia, jak i momentu wykrycia incydentu (art. 12 ust. 1 pkt 4). Organizacja musi więc umieć wskazać godzinę wykrycia, a procedura ma określać sposób jej zapisu. Według Ministra Cyfryzacji wykrycie to chwila, w której podmiot może stwierdzić, że zdarzenie jest incydentem (pyt. 6.5). Warto liczyć oba terminy od tej chwili, a nie od późniejszej kwalifikacji incydentu jako poważnego. Dziennik zdarzeń zespołu bezpieczeństwa jest tu dokumentem dowodowym, a nie formalnością.

Do kogo trafia zgłoszenie incydentu poważnego

Ustawa wskazuje jako adresata właściwy CSIRT sektorowy (art. 11 ust. 1 pkt 4–4c), a jako kanał system teleinformatyczny S46 (art. 11 ust. 2). Przepisy przejściowe nowelizacji zmieniają ten obraz na okres przejściowy. Do dnia ogłoszenia komunikatu o osiągnięciu przez CSIRT sektorowy zdolności operacyjnej podmioty zgłaszają incydenty poważne do właściwego CSIRT MON, CSIRT NASK albo CSIRT GOV (art. 44 ust. 1 nowelizacji). Zgłaszanie do CSIRT sektorowego zaczyna się od dnia następującego po publikacji komunikatu (art. 44 ust. 2 nowelizacji). Reguła przejściowa nie dotyczy sektorów, w których sektorowy zespół cyberbezpieczeństwa powołano przed 2025 r. (art. 44 ust. 3 nowelizacji). Taki zespół stał się CSIRT sektorowym 3 kwietnia 2026 r. i to do niego trafiają zgłoszenia (art. 46 nowelizacji).

Procedura ma więc wskazywać adresata na dziś, a osoba odpowiedzialna za kontakt z systemem cyberbezpieczeństwa ma sprawdzać komunikaty organu właściwego dla sektora. Organ ogłasza komunikat o zdolności operacyjnej w swoim dzienniku urzędowym (art. 42 ust. 2 nowelizacji). Informacja trafia też na strony urzędu obsługującego Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa i CSIRT poziomu krajowego oraz do S46 (art. 42 ust. 3 nowelizacji). Według Ministra Cyfryzacji zgłoszenie złożone w S46 trafia do właściwego CSIRT, a zespoły przekazują je sobie zgodnie z właściwością (pyt. 6.13 i 7.2).

Osobna sprawa to dostęp do kanału. Korzystanie z S46 rozpoczyna się po uzyskaniu wpisu do wykazu podmiotów kluczowych i ważnych (art. 9 ust. 1 pkt 4). Według Ministra Cyfryzacji dostęp do S46 otrzymuje podmiot wpisany do wykazu, który uzupełnił w nim komplet danych, a konto sprzed 3 kwietnia 2026 r. zostaje zachowane (pyt. 2.15). Podmioty spełniające przesłanki 3 kwietnia 2026 r. mają zacząć korzystać z systemu najpóźniej 3 kwietnia 2027 r. (art. 46 ust. 4). Obowiązek zgłoszenia nie zależy jednak od wpisu ani od konta. Gdy przekazanie przez S46 nie jest możliwe, sposób zgłoszenia określa właściwy CSIRT (art. 31 ust. 1). Dla podmiotów spełniających przesłanki 3 kwietnia 2026 r. termin na wniosek o wpis minął 3 października 2026 r. Organizacja bez wpisu powinna złożyć wniosek niezwłocznie.

Przekazy do CSIRT — termin, moment początkowy i treść

Wszystkie przekazy idą przez S46 (art. 11 ust. 2). Nieskorzystanie z systemu tam, gdzie jest ono wymagane, jest osobno objęte przepisem o karze (art. 73 ust. 1 pkt 13). Podmiot ważny będący podmiotem publicznym składa wyłącznie zgłoszenie z art. 11 ust. 1 pkt 4a, bez wczesnego ostrzeżenia i sprawozdań (art. 12c). Dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin od wykrycia (art. 11 ust. 1a). Ustawowe przepisy o zgłaszaniu poważnych incydentów nie mają zastosowania do podmiotów z sektora bankowości i infrastruktury rynków finansowych, z wyjątkami z art. 8i ust. 1 i 2. Wśród nich jest obowiązek współdziałania z CSIRT (art. 11 ust. 1 pkt 5). Według Ministra Cyfryzacji pierwszeństwo mają w tym sektorze przepisy rozporządzenia DORA (pyt. 14.2).

Przekaz	Termin	Treść wymagana przepisem	Podstawa
Wczesne ostrzeżenie	24 godziny od wykrycia incydentu poważnego	dane podmiotu, osoby zgłaszającej i osoby uprawnionej do składania wyjaśnień, moment wystąpienia i wykrycia oraz czas trwania, ocena bezprawności działania (jeżeli możliwa), wpływ na inne państwa UE	art. 11 ust. 1 pkt 4, art. 12 ust. 1
Zgłoszenie	72 godziny od wykrycia incydentu poważnego	wpływ na usługę (usługa, liczba użytkowników, zasięg geograficzny, wpływ na inne podmioty), przyczyny i przebieg oraz prawdopodobne skutki, działania zapobiegawcze, działania naprawcze, aktualizacja danych z wczesnego ostrzeżenia	art. 11 ust. 1 pkt 4a, art. 12 ust. 3
Sprawozdanie okresowe	według wniosku CSIRT	ustawa nie określa treści	art. 11 ust. 1 pkt 4b
Sprawozdanie końcowe	miesiąc od dnia zgłoszenia (72 h)	szczegółowy opis incydentu z zakłóceniami i szkodami, rodzaj zagrożenia lub prawdopodobna przyczyna, środki ograniczające ryzyko, skutki transgraniczne	art. 11 ust. 1 pkt 4c, art. 12a

Piąty przekaz pojawia się w jednej sytuacji. Jeżeli obsługa incydentu nie zakończyła się w terminie sprawozdania końcowego, podmiot przekazuje sprawozdanie z postępu obsługi. Sprawozdanie końcowe składa wtedy w ciągu miesiąca od zakończenia obsługi (art. 12b).

Wczesne ostrzeżenie — co da się przygotować przed incydentem

Lista z art. 12 ust. 1 ma sześć pozycji. Trzy z nich nie zależą od zdarzenia. Są to dane podmiotu z numerem rejestrowym i adresem, dane osoby dokonującej zgłoszenia oraz dane osoby uprawnionej do składania wyjaśnień. Te pola można mieć wypełnione przed incydentem. Ustawa rozróżnia przy tym osobę zgłaszającą od osoby składającej wyjaśnienia. Według Ministra Cyfryzacji może to być ta sama osoba (pyt. 6.11). Warto jednak mieć zastępstwo, czyli drugą osobę z dostępem do systemu i wiedzą o sprawie. Osobnym obowiązkiem jest wyznaczenie osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Co do zasady są to co najmniej dwie osoby, a w mikro- i małym przedsiębiorcy oraz w podmiocie ważnym będącym podmiotem publicznym co najmniej jedna (art. 9 ust. 1–3).

Pozostałe trzy pozycje wymagają ustaleń. Moment wystąpienia i wykrycia oraz czas trwania pochodzą z dziennika zdarzeń. Ocena, czy incydent został wywołany działaniem bezprawnym albo w złej wierze — tylko wtedy, gdy taka ocena jest możliwa; ustawa nie wymaga zgadywania w pierwszej dobie. Wskazanie, czy incydent dotyczy innych państw członkowskich — pole często pomijane, a istotne dla organizacji z klientami albo infrastrukturą poza Polską.

Wczesne ostrzeżenie może zawierać wniosek o wytyczne dotyczące środków ograniczających skutki albo o dodatkowe wsparcie techniczne (art. 12 ust. 2). CSIRT ma wtedy 24 godziny na przekazanie wytycznych albo udzielenie wsparcia. Przy incydencie noszącym znamiona przestępstwa przekazuje także informację o sposobie zgłoszenia organom ścigania. To jedyny termin w sekwencji, który ustawa wyznacza CSIRT wobec podmiotu zgłaszającego. Warto wpisać tę możliwość do procedury, bo wczesne ostrzeżenie jest też kanałem uzyskania pomocy.

Zgłoszenie incydentu poważnego po 72 godzinach — najpierw opis wpływu

Zgłoszenie z art. 12 ust. 3 jest zbudowane wokół usługi. Pierwsza pozycja to opis wpływu incydentu na świadczenie usługi z czterema elementami. Trzeba wskazać, która usługa, ilu użytkowników, jaki zasięg geograficzny i jaki wpływ na usługi innych podmiotów. Dopiero druga pozycja dotyczy przyczyn, przebiegu i prawdopodobnych skutków dla systemów lub usług. Opis przebiegu też jest wymagany. Minister Cyfryzacji wskazuje, że należy w nim przykładowo podać oznaki naruszenia integralności systemu (pyt. 6.14).

Trzecia i czwarta pozycja to działania zapobiegawcze i naprawcze. Ustawa nie definiuje różnicy między nimi. Przyjmuję rozróżnienie praktyczne. Działania zapobiegawcze ograniczają rozprzestrzenianie się skutków — na przykład odcięcie segmentu sieci albo zablokowanie kont. Działania naprawcze przywracają usługę — odtworzenie z kopii albo wymiana komponentu. Piąta pozycja to aktualizacja informacji z wczesnego ostrzeżenia, jeżeli się zmieniły. Zgłoszenie może zawierać także inne istotne informacje o przebiegu incydentu lub podjętych działaniach (art. 12 ust. 4).

Podmiot przekazuje informacje znane mu w chwili dokonywania zgłoszenia i uzupełnia je w trakcie obsługi incydentu (art. 12 ust. 5). Niepełna wiedza po 72 godzinach nie jest więc powodem do opóźnienia zgłoszenia. Jest powodem do wskazania w zgłoszeniu, które informacje są wstępne. CSIRT może zresztą sam zwrócić się o uzupełnienie wczesnego ostrzeżenia albo zgłoszenia (art. 12 ust. 7).

Tajemnice prawnie chronione w zgłoszeniu

Zgłoszenie incydentu poważnego często zawiera informacje objęte tajemnicą przedsiębiorstwa albo inną tajemnicą prawnie chronioną. Dotyczy to architektury systemów, danych klientów i warunków umów z dostawcami. Ustawa rozstrzyga ten konflikt na rzecz zgłoszenia. Podmiot przekazuje takie informacje w niezbędnym zakresie, gdy jest to konieczne do realizacji zadań CSIRT (art. 12 ust. 6). Ma jednak obowiązek oznaczyć w treści, które informacje stanowią tajemnice prawnie chronione (art. 12 ust. 8).

Konsekwencja dla procedury jest praktyczna. Osoba przygotowująca zgłoszenie musi wiedzieć, które kategorie informacji organizacja uznaje za tajemnicę. Musi też mieć sposób ich oznaczenia w systemie. Brak oznaczenia nie zwalnia CSIRT z obowiązku tajemnicy (art. 40 ust. 3). Oznaczenie jest jednak obowiązkiem podmiotu. Jego niewykonanie może skutkować karą dla kierownika (art. 73a ust. 1 pkt 10).

Sprawozdanie końcowe — dokument, który zamyka sprawę wobec organu

Sprawozdanie końcowe (art. 12a) ma cztery elementy. Są to szczegółowy opis incydentu wraz ze spowodowanymi zakłóceniami i szkodami, rodzaj zagrożenia lub prawdopodobna przyczyna, zastosowane i wdrażane środki ograniczające ryzyko oraz skutki transgraniczne. To jest jedyny dokument w sekwencji, który opisuje zdarzenie po jego zakończeniu i z pełną wiedzą.

Trzeci element zasługuje na uwagę. Ustawa mówi o środkach „zastosowanych i wdrażanych”, czyli także o tych, które w dniu sprawozdania są dopiero w trakcie wdrożenia. Sprawozdanie końcowe jest więc również deklaracją zmian w systemie zarządzania bezpieczeństwem informacji. Organ nadzoru może później sprawdzić, czy zadeklarowane środki zostały wdrożone. Z tego względu rekomenduję, żeby sprawozdanie końcowe przed wysłaniem przeszło przez osobę odpowiedzialną za system zarządzania bezpieczeństwem, a nie tylko przez zespół obsługujący incydent.

Termin miesiąca liczy się od dnia zgłoszenia, nie od zakończenia obsługi. Jeżeli obsługa trwa dłużej, w tym terminie przekazuje się sprawozdanie z postępu, a sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi (art. 12b). Data zakończenia obsługi jest więc kolejnym momentem, który organizacja musi umieć wskazać i udokumentować.

Najczęstsze błędy

• Traktowanie wczesnego ostrzeżenia jako całego obowiązku. Po 24 godzinach zostają jeszcze zgłoszenie w 72 godziny i sprawozdanie końcowe w miesiąc od zgłoszenia. Sprawozdanie okresowe dochodzi, gdy zażąda go CSIRT.
• Czekanie z 72-godzinnym zgłoszeniem na pełne ustalenia. Przepis nakazuje przekazać informacje znane w chwili zgłoszenia i uzupełniać je później. Opóźnienie z powodu niepełnej wiedzy jest naruszeniem terminu, a nie starannością.
• Nieaktualny adresat w procedurze. Do dnia komunikatu o zdolności operacyjnej adresatem jest CSIRT MON, NASK albo GOV, chyba że zespół sektorowy powołano przed 2025 r. Według Ministra Cyfryzacji zgłoszenie złożone w S46 trafia do właściwego zespołu (pyt. 6.13 i 7.2).
• Brak konta w S46 w dniu incydentu. Według Ministra Cyfryzacji dostęp do systemu dostaje podmiot wpisany do wykazu, który uzupełnił komplet danych (pyt. 2.15). Brak konta nie zwalnia z terminów, a sposób zgłoszenia bez S46 określa właściwy CSIRT (art. 31 ust. 1).
• Liczenie terminów od wystąpienia incydentu albo od zakończenia analizy. Oba pierwsze terminy biegną od wykrycia. Moment wykrycia trzeba wskazać w samym wczesnym ostrzeżeniu, więc musi być udokumentowany.
• Pominięcie oznaczenia tajemnic prawnie chronionych. Obowiązek oznaczenia spoczywa na podmiocie zgłaszającym.
• Przygotowanie sprawozdania końcowego wyłącznie przez zespół techniczny. Dokument deklaruje środki wdrażane w systemie zarządzania i będzie punktem odniesienia dla nadzoru.

Wnioski i dalsze kroki

Treść wczesnego ostrzeżenia, zgłoszenia i sprawozdania końcowego wyznacza ustawa (art. 12 i 12a). Procedura obsługi incydentu może więc zawierać gotowe szablony tych trzech dokumentów. Według Ministra Cyfryzacji sprawozdanie okresowe dotyczy działań podjętych w trakcie obsługi (pyt. 6.23). Szablony sprawozdania okresowego i sprawozdania z postępu organizacja układa sama. Część pól da się wypełnić przed zdarzeniem. Kolejność prac przy porządkowaniu tego obszaru wygląda następująco.

1. Sprawdzić, czy organizacja ma wpis do wykazu i konto w S46 z dostępem dla osoby zgłaszającej i jej zastępcy. Ustalić na podstawie komunikatu właściwego CSIRT sposób zgłoszenia na wypadek niedostępności S46 (art. 31 ust. 1 i 3).
2. Ustalić adresata zgłoszeń na dziś dla sektora organizacji i wskazać osobę, która śledzi komunikaty o zdolności operacyjnej CSIRT sektorowego.
3. Zapisać w procedurze kryteria kwalifikacji incydentu jako poważnego, z uzasadnieniem przyjętych wartości. Dla sektorów z rozporządzenia z 2018 r. są to jego progi, a dla podmiotów wymienionych w art. 1 rozporządzenia 2024/2690 progi z tego aktu. Pozostałe organizacje oceniają zdarzenie według definicji incydentu poważnego z ustawy. Podmiotów z sektora bankowości i infrastruktury rynków finansowych ten krok nie dotyczy (art. 8i ust. 1).
4. Przygotować szablony przekazów, a w szablonach wczesnego ostrzeżenia, zgłoszenia i sprawozdania końcowego zapisać pola z ustawy. Pola stałe wypełnić z góry, pola zmienne opisać instrukcją, kto i skąd bierze dane.
5. Ustalić sposób rejestrowania momentu wykrycia i momentu zakończenia obsługi, bo od nich liczą się terminy.
6. Wskazać kategorie informacji uznawanych za tajemnice prawnie chronione i sposób ich oznaczania w zgłoszeniu.
7. Przetestować sekwencję na ćwiczeniu, w tym przekazanie sprawozdania końcowego przez osobę odpowiedzialną za system zarządzania bezpieczeństwem.

Materiały powiązane

• Co zrobić po wykryciu incydentu? — sekwencja działań organizacyjnych w pierwszej dobie i zegary biegnące równolegle w różnych reżimach
• Incydent cyberbezpieczeństwa a naruszenie ochrony danych: czym się różnią? — kiedy jedno zdarzenie wymaga dwóch niezależnych zgłoszeń
• Kiedy i jak złożyć wniosek o wpis do wykazu KSC? — wpis jako warunek dostępu do systemu S46
• Jak zarządzać ryzykiem dostawców w NIS2? — informacja o incydencie od dostawcy i obowiązki wpisane do umów z dostawcami

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (stan na 18 sierpnia 2026 r.), art. 2 pkt 5–7, art. 8i, art. 9, art. 11–12c, art. 16, art. 31, art. 40, art. 46, art. 73 i art. 73a — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 32, art. 33, art. 35, art. 42, art. 44 i art. 46 — Dziennik Ustaw: dziennikustaw.gov.pl
• Rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz.U. 2018 poz. 2180) — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. ustanawiające zasady stosowania dyrektywy (UE) 2022/2555 w odniesieniu do wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie oraz doprecyzowujące przypadki, w których incydent uznaje się za poważny, art. 1 i art. 3–14 — EUR-Lex: eur-lex.europa.eu
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl
• System S46, „Samorejestracja (wpis do Wykazu KSC)” — NASK, Ministerstwo Cyfryzacji: gov.pl
• Pytania i odpowiedzi dotyczące nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (wersja z października 2026 r.), pyt. 2.15, 6.5, 6.11, 6.13, 6.14, 6.23, 7.2 i 14.2 — Ministerstwo Cyfryzacji: cyber.gov.pl