Co zawiera zgłoszenie incydentu poważnego do CSIRT?

Dlaczego to pytanie w ogóle powstaje

W procedurach organizacji „zgłoszenie do CSIRT” występuje zwykle jako jedna czynność z jednym terminem. Tymczasem ustawa opisuje cztery odrębne obowiązki. Każdy z nich ma własny termin i własną listę wymaganych informacji. Dwa pierwsze biegną od wykrycia incydentu poważnego, termin sprawozdania końcowego biegnie od zgłoszenia, a termin sprawozdania okresowego wyznacza CSIRT. Każdy jest też osobno objęty przepisem o karze pieniężnej (art. 73 ust. 1 pkt 6–9).

Druga przyczyna wątpliwości to adresat. Ustawa kieruje wszystkie przekazy do właściwego CSIRT sektorowego. Zespoły sektorowe dopiero powstają, więc dla większości sektorów adresatem jest dziś CSIRT poziomu krajowego. Trzecia przyczyna to progi. Rozporządzenie określające, kiedy incydent jest poważny, pochodzi z 2018 r. i obejmuje sześć sektorów w układzie sprzed nowelizacji. Podmiot spoza tych sektorów nie ma dziś progu liczbowego, do którego mógłby się odnieść.

Sekwencję działań organizacyjnych w pierwszej dobie po wykryciu opisuje materiał Co zrobić po wykryciu incydentu?

Co trzeba ustalić przed decyzją

Czy zdarzenie jest incydentem poważnym i od kiedy liczy się czas

Zgłoszenie incydentu poważnego jest obowiązkiem tylko wtedy, gdy zdarzenie spełnia ustawową definicję. Ustawa definiuje go przez skutek (art. 2 pkt 7). Jest to incydent, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości usługi, straty finansowe podmiotu albo poważną szkodę u innych osób. Kwalifikacji dokonuje sam podmiot na podstawie progów uznawania incydentu za poważny (art. 11 ust. 1 pkt 3).

Tu pojawia się pierwsza trudność. Progi określa Rada Ministrów w rozporządzeniu (art. 11 ust. 4). Obowiązuje nadal rozporządzenie z 31 października 2018 r. wydane pod poprzednią dyrektywę. Opisuje ono progi dla sześciu sektorów i posługuje się pojęciem usługi kluczowej. Zachowuje moc na podstawie przepisów przejściowych nowelizacji najdłużej do 3 kwietnia 2027 r. Podmiot z sektora nieobjętego tym rozporządzeniem ocenia zdarzenie wyłącznie według definicji ustawowej. W takiej sytuacji rekomenduję zapisanie w procedurze własnych kryteriów kwalifikacji z uzasadnieniem, bo to one będą przedmiotem pytań organu po zdarzeniu.

Druga trudność dotyczy początku biegu terminu. Oba pierwsze terminy liczy się od momentu wykrycia incydentu, nie od jego wystąpienia i nie od zakończenia analizy. Ustawa nie definiuje wykrycia. Wczesne ostrzeżenie wymaga jednak wskazania zarówno momentu wystąpienia, jak i momentu wykrycia incydentu (art. 12 ust. 1 pkt 4). Organizacja musi więc umieć wskazać godzinę, w której zdarzenie zostało uznane za incydent poważny. Dziennik zdarzeń zespołu bezpieczeństwa jest tu dokumentem dowodowym, a nie formalnością.

Do kogo trafia zgłoszenie incydentu poważnego

Ustawa wskazuje jako adresata właściwy CSIRT sektorowy, a jako kanał system teleinformatyczny S46 (art. 11 ust. 2). Przepisy przejściowe nowelizacji zmieniają ten obraz na okres przejściowy. Do dnia ogłoszenia komunikatu o osiągnięciu przez CSIRT sektorowy zdolności operacyjnej podmioty zgłaszają incydenty poważne do właściwego CSIRT MON, CSIRT NASK albo CSIRT GOV (art. 44 ust. 1 nowelizacji). Zgłaszanie do CSIRT sektorowego zaczyna się od dnia następującego po publikacji komunikatu. Wyjątek dotyczy sektorów, w których zespół sektorowy został powołany przed 2025 r. — tam reguła przejściowa nie ma zastosowania (art. 44 ust. 3).

Procedura ma więc wskazywać adresata na dziś, a osoba odpowiedzialna za kontakt z systemem cyberbezpieczeństwa ma sprawdzać komunikaty organu właściwego dla sektora. Komunikat o zdolności operacyjnej jest ogłaszany w dzienniku urzędowym tego organu i publikowany na stronach CSIRT poziomu krajowego.

Osobna sprawa to dostęp do kanału. Korzystanie z S46 rozpoczyna się po uzyskaniu wpisu do wykazu podmiotów kluczowych i ważnych (art. 9 ust. 1 pkt 4). Organizacja bez wpisu nie ma konta w systemie, a bez konta nie ma kanału do zgłoszenia. To jest najbardziej praktyczny argument za tym, żeby wpis do wykazu poprzedzał pierwszy incydent.

Cztery przekazy — termin, moment początkowy i treść

Przekaz	Termin	Liczony od	Treść wymagana przepisem	Podstawa
Wczesne ostrzeżenie	24 godziny	wykrycia incydentu	dane podmiotu i osób do kontaktu, moment wystąpienia i wykrycia oraz czas trwania, ocena bezprawności działania (jeżeli możliwa), wpływ na inne państwa UE	art. 11 ust. 1 pkt 4, art. 12 ust. 1
Zgłoszenie	72 godziny	wykrycia incydentu	wpływ na usługę (usługa, liczba użytkowników, zasięg geograficzny, wpływ na inne podmioty), przyczyny i przebieg oraz prawdopodobne skutki, działania zapobiegawcze, działania naprawcze, aktualizacja danych z wczesnego ostrzeżenia	art. 11 ust. 1 pkt 4a, art. 12 ust. 3
Sprawozdanie okresowe	według wniosku CSIRT	wniosku CSIRT	ustawa nie określa treści	art. 11 ust. 1 pkt 4b
Sprawozdanie końcowe	miesiąc	dnia zgłoszenia (72 h)	szczegółowy opis incydentu z zakłóceniami i szkodami, rodzaj zagrożenia lub prawdopodobna przyczyna, środki ograniczające ryzyko, skutki transgraniczne	art. 11 ust. 1 pkt 4c, art. 12a

Do tabeli dochodzi piąty dokument w jednej sytuacji. Jeżeli obsługa incydentu nie zakończyła się w terminie sprawozdania końcowego, podmiot przekazuje sprawozdanie z postępu obsługi. Sprawozdanie końcowe składa wtedy w ciągu miesiąca od zakończenia obsługi (art. 12b).

Trzy zastrzeżenia do tabeli. Dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin od wykrycia (art. 11 ust. 1a). Podmiot ważny będący podmiotem publicznym składa wyłącznie zgłoszenie z art. 11 ust. 1 pkt 4a — przepisy o wczesnym ostrzeżeniu i o sprawozdaniach nie mają do niego zastosowania (art. 12c). Wszystkie przekazy idą przez S46. Nieskorzystanie z systemu tam, gdzie jest ono wymagane, jest osobno objęte przepisem o karze (art. 73 ust. 1 pkt 13).

Wczesne ostrzeżenie — co da się przygotować przed incydentem

Lista z art. 12 ust. 1 ma sześć pozycji. Trzy z nich nie zależą od zdarzenia. Są to dane podmiotu z numerem rejestrowym i adresem, dane osoby dokonującej zgłoszenia oraz dane osoby uprawnionej do składania wyjaśnień. Te pola można mieć wypełnione przed incydentem. Ustawa rozróżnia przy tym osobę zgłaszającą od osoby składającej wyjaśnienia. W praktyce oznacza to co najmniej dwie osoby z dostępem do systemu i wiedzą o sprawie, co zresztą odpowiada obowiązkowi wyznaczenia co najmniej dwóch osób do kontaktu (art. 9 ust. 1 pkt 1).

Pozostałe trzy pozycje wymagają ustaleń. Moment wystąpienia i wykrycia oraz czas trwania — omówione wyżej. Ocena, czy incydent został wywołany działaniem bezprawnym albo w złej wierze — tylko wtedy, gdy taka ocena jest możliwa; ustawa nie wymaga zgadywania w pierwszej dobie. Wskazanie, czy incydent dotyczy innych państw członkowskich — pole często pomijane, a istotne dla organizacji z klientami albo infrastrukturą poza Polską.

Wczesne ostrzeżenie może zawierać wniosek o wytyczne dotyczące środków ograniczających skutki albo o dodatkowe wsparcie techniczne (art. 12 ust. 2). CSIRT ma wtedy 24 godziny na przekazanie wytycznych albo udzielenie wsparcia. Przy incydencie noszącym znamiona przestępstwa przekazuje także informację o sposobie zgłoszenia organom ścigania. To jest jedyny moment w sekwencji, w którym ustawa nakłada termin na CSIRT, a nie na podmiot. Organizacje rzadko z tego korzystają, bo traktują wczesne ostrzeżenie jako obowiązek, a nie jako kanał uzyskania pomocy.

Zgłoszenie incydentu poważnego po 72 godzinach — opis wpływu, nie opis ataku

Zgłoszenie z art. 12 ust. 3 jest zbudowane wokół usługi. Pierwsza pozycja to opis wpływu incydentu na świadczenie usługi z czterema elementami. Trzeba wskazać, która usługa, ilu użytkowników, jaki zasięg geograficzny i jaki wpływ na usługi innych podmiotów. Dopiero druga pozycja dotyczy przyczyn, przebiegu i prawdopodobnych skutków dla systemów. Kolejność nie jest przypadkowa. CSIRT potrzebuje w pierwszej kolejności informacji pozwalającej ocenić skalę zakłócenia, a nie technicznego opisu wektora ataku.

Trzecia i czwarta pozycja to działania zapobiegawcze i naprawcze. Ustawa nie definiuje różnicy między nimi. Przyjmuję rozróżnienie praktyczne. Działania zapobiegawcze ograniczają rozprzestrzenianie się skutków — na przykład odcięcie segmentu sieci albo zablokowanie kont. Działania naprawcze przywracają usługę — odtworzenie z kopii albo wymiana komponentu. Piąta pozycja to aktualizacja informacji z wczesnego ostrzeżenia, jeżeli się zmieniły. Zgłoszenie może zawierać także inne istotne informacje o przebiegu incydentu (art. 12 ust. 4).

Najważniejszy przepis tej sekcji jest krótki. Podmiot przekazuje informacje znane mu w chwili dokonywania zgłoszenia i uzupełnia je w trakcie obsługi incydentu (art. 12 ust. 5). Niepełna wiedza po 72 godzinach nie jest więc powodem do opóźnienia zgłoszenia. Jest powodem do wskazania w zgłoszeniu, które informacje są wstępne. CSIRT może zresztą sam zwrócić się o uzupełnienie wczesnego ostrzeżenia albo zgłoszenia (art. 12 ust. 7).

Tajemnice prawnie chronione w zgłoszeniu

Zgłoszenie incydentu poważnego często zawiera informacje objęte tajemnicą przedsiębiorstwa albo inną tajemnicą prawnie chronioną. Dotyczy to architektury systemów, danych klientów i warunków umów z dostawcami. Ustawa rozstrzyga ten konflikt na rzecz zgłoszenia. Podmiot przekazuje takie informacje w niezbędnym zakresie, gdy jest to konieczne do realizacji zadań CSIRT (art. 12 ust. 6). Ma jednak obowiązek oznaczyć w treści, które informacje stanowią tajemnice prawnie chronione (art. 12 ust. 8).

Konsekwencja dla procedury jest praktyczna. Osoba przygotowująca zgłoszenie musi wiedzieć, które kategorie informacji organizacja uznaje za tajemnicę. Musi też mieć sposób ich oznaczenia w systemie. Brak oznaczenia nie zwalnia CSIRT z ochrony informacji, ale utrudnia organizacji późniejsze wykazanie, że dochowała staranności.

Sprawozdanie końcowe — dokument, który zamyka sprawę wobec organu

Sprawozdanie końcowe (art. 12a) ma cztery elementy. Są to szczegółowy opis incydentu wraz ze spowodowanymi zakłóceniami i szkodami, rodzaj zagrożenia lub prawdopodobna przyczyna, zastosowane i wdrażane środki ograniczające ryzyko oraz skutki transgraniczne. To jest jedyny dokument w sekwencji, który opisuje zdarzenie po jego zakończeniu i z pełną wiedzą.

Trzeci element zasługuje na uwagę. Ustawa mówi o środkach „zastosowanych i wdrażanych”, czyli także o tych, które w dniu sprawozdania są dopiero w trakcie wdrożenia. Sprawozdanie końcowe jest więc również deklaracją zmian w systemie zarządzania bezpieczeństwem informacji. Organ nadzoru może później sprawdzić, czy zadeklarowane środki zostały wdrożone. Z tego względu rekomenduję, żeby sprawozdanie końcowe przed wysłaniem przeszło przez osobę odpowiedzialną za system zarządzania bezpieczeństwem, a nie tylko przez zespół obsługujący incydent.

Termin miesiąca liczy się od dnia zgłoszenia, nie od zakończenia obsługi. Jeżeli obsługa trwa dłużej, w tym terminie przekazuje się sprawozdanie z postępu, a sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi (art. 12b). Data zakończenia obsługi jest więc kolejnym momentem, który organizacja musi umieć wskazać i udokumentować.

Najczęstsze błędy

• Traktowanie wczesnego ostrzeżenia jako całego obowiązku. Po 24 godzinach biegną jeszcze trzy terminy. Są to 72 godziny na zgłoszenie, miesiąc na sprawozdanie końcowe i termin z wniosku CSIRT na sprawozdanie okresowe.
• Czekanie z 72-godzinnym zgłoszeniem na pełne ustalenia. Przepis nakazuje przekazać informacje znane w chwili zgłoszenia i uzupełniać je później. Opóźnienie z powodu niepełnej wiedzy jest naruszeniem terminu, a nie starannością.
• Wpisanie do procedury CSIRT sektorowego jako adresata na dziś. Do dnia komunikatu o zdolności operacyjnej zgłoszenia trafiają do CSIRT MON, NASK albo GOV, chyba że zespół sektorowy działał przed 2025 r.
• Brak konta w S46 w dniu incydentu. Dostęp do systemu następuje po wpisie do wykazu. Bez wpisu nie ma kanału zgłoszenia.
• Liczenie terminów od wystąpienia incydentu albo od zakończenia analizy. Oba pierwsze terminy biegną od wykrycia. Moment wykrycia trzeba wskazać w samym wczesnym ostrzeżeniu, więc musi być udokumentowany.
• Pominięcie oznaczenia tajemnic prawnie chronionych. Obowiązek oznaczenia spoczywa na podmiocie zgłaszającym.
• Przygotowanie sprawozdania końcowego wyłącznie przez zespół techniczny. Dokument deklaruje środki wdrażane w systemie zarządzania i będzie punktem odniesienia dla nadzoru.

Wnioski i dalsze kroki

Zawartość każdego dokumentu, z których składa się zgłoszenie incydentu poważnego, wyznacza ustawa, więc procedura obsługi incydentu może zawierać gotowe szablony czterech dokumentów z polami odpowiadającymi art. 12, 12a i 12b. Część pól da się wypełnić przed zdarzeniem. Kolejność prac przy porządkowaniu tego obszaru wygląda następująco.

1. Sprawdzić, czy organizacja ma wpis do wykazu i konto w S46 dla co najmniej dwóch osób. Bez tego pozostałe kroki nie mają kanału realizacji.
2. Ustalić adresata zgłoszeń na dziś dla sektora organizacji i wskazać osobę, która śledzi komunikaty o zdolności operacyjnej CSIRT sektorowego.
3. Zapisać w procedurze kryteria kwalifikacji incydentu jako poważnego, z uzasadnieniem przyjętych wartości. Dla sześciu sektorów są to progi z rozporządzenia z 2018 r., dla pozostałych definicja ustawowa.
4. Przygotować szablony czterech przekazów z polami z ustawy. Pola stałe wypełnić z góry, pola zmienne opisać instrukcją, kto i skąd bierze dane.
5. Ustalić sposób rejestrowania momentu wykrycia i momentu zakończenia obsługi, bo od nich liczą się terminy.
6. Wskazać kategorie informacji uznawanych za tajemnice prawnie chronione i sposób ich oznaczania w zgłoszeniu.
7. Przetestować sekwencję na ćwiczeniu, w tym przekazanie sprawozdania końcowego przez osobę odpowiedzialną za system zarządzania bezpieczeństwem.

Materiały powiązane

• Co zrobić po wykryciu incydentu? — sekwencja działań organizacyjnych w pierwszej dobie i zegary biegnące równolegle w różnych reżimach
• Incydent cyberbezpieczeństwa a naruszenie ochrony danych osobowych: czym się różnią? — kiedy jedno zdarzenie wymaga dwóch niezależnych zgłoszeń
• Kiedy i jak złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? — wpis jako warunek dostępu do systemu S46

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (stan na 7 lipca 2026 r.), art. 2 pkt 5–7, art. 9, art. 11–12c, art. 46 i art. 73 — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl (dostęp: 05.09.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 32, art. 35, art. 42 i art. 44 — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 05.09.2026)
• Rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz.U. 2018 poz. 2180) — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl (dostęp: 05.09.2026)
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl (dostęp: 05.09.2026)
• System S46, „Samorejestracja (wpis do Wykazu KSC)” — NASK, Ministerstwo Cyfryzacji: gov.pl (dostęp: 05.09.2026)