Lista kontrolna · spółki komunalne

Audyt prawny KSC/NIS2 dla spółki komunalnej: lista kontrolna

Dwadzieścia sześć punktów dla zarządu i rady nadzorczej: czy spółka podlega ustawie o krajowym systemie cyberbezpieczeństwa, co wynika z niej dla kierownika i co trzeba mieć gotowe. To lista prawna, nie techniczny audyt bezpieczeństwa.

Krzysztof Kłoskowski · Stan prawny na dzień 20.10.2026 (ustawa według ISAP z 8.10.2026, ustawa nowelizująca z 23.01.2026)

1. Status spółki w ustawie

• Ustalić, czy spółka prowadzi działalność z załącznika nr 1 lub 2: woda pitna i jej dystrybucja, odprowadzanie i oczyszczanie ścieków, ciepło (przedsiębiorstwo energetyczne z koncesją), gospodarowanie odpadami. W wodzie i ściekach ustawa wyłącza podmioty, dla których ta działalność nie jest istotną częścią ogólnej działalności (zał. nr 1).
• Ustalić wielkość spółki według rozporządzenia 651/2014/UE, na dzień sporządzenia sprawozdania finansowego, z uwzględnieniem przedsiębiorstw powiązanych i partnerskich. Powyżej progu średniego przedsiębiorstwa w sektorze z zał. nr 1: podmiot kluczowy. Średnie przedsiębiorstwo: podmiot ważny (art. 5 ust. 1, 2, 4–7).
• Sprawdzić odrębną ścieżkę dla „podmiotów publicznych”: spółka wykonująca zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy o gospodarce komunalnej jest podmiotem ważnym, jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8, zał. nr 2). Do oceny: która ścieżka (lub obie) dotyczy spółki. Od tego zależą wymogi dla systemu zarządzania bezpieczeństwem informacji i wysokość kary dla kierownika (sekcje 2 i 3).
• Sprawdzić, czy spółka została wpisana do wykazu z urzędu (zawiadomienie i wezwanie do uzupełnienia danych). Podmioty publiczne mogą być wpisywane z urzędu na podstawie rejestrów publicznych (art. 7a ust. 2, art. 7b). Termin na uzupełnienie danych wynosi 6 miesięcy od doręczenia wezwania, pod rygorem kary (art. 7b ust. 2). Uzupełnienie obejmuje też działalność, która nie została objęta wpisem z urzędu, np. działalność sektorową spółki, jeżeli wpis dotyczył jej jako podmiotu publicznego (art. 7b ust. 4). Zawiadomienie i wezwanie doręcza się według Kodeksu postępowania administracyjnego (art. 7b ust. 5), więc warto sprawdzić korespondencję z kwietnia–maja 2026 r. we wszystkich kanałach, w których spółka odbiera pisma urzędowe.
• Jeżeli spółka nie jest wpisana: złożyć wniosek. Spółki, które spełniały przesłanki w dniu wejścia w życie nowelizacji (3.04.2026), składały go według harmonogramu z komunikatu ministra właściwego do spraw informatyzacji (art. 33 ust. 3 i art. 34 ust. 3 pkt 1 ustawy nowelizującej, według komunikatu termin upłynął 3.10.2026). Spółki, które spełnią przesłanki później, składają wniosek w ciągu 6 miesięcy od ich spełnienia (art. 7c ust. 1). Jeżeli termin minął, wniosek trzeba złożyć niezwłocznie, a niezłożenie wniosku w terminie może skutkować karą (art. 73 ust. 1a pkt 1).
• Przygotować wniosek: dane z art. 7 ust. 2 pkt 1–18, oświadczenie kierownika z klauzulą o odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego, podpis kwalifikowany, zaufany lub osobisty kierownika albo osoby upoważnionej, złożenie w systemie z art. 46 ust. 1 (art. 7c ust. 2, 5–7). Praktycznie: wykaz-ksc.gov.pl, logowanie przez Węzeł Krajowy (np. Profil Zaufany, mObywatel, e-Dowód), „Wpisz nowy podmiot”, formularz i podpis; wpis jest już w wykazie z chwilą złożenia wniosku (art. 7d ust. 1), a spółka wpisana z urzędu nie składa nowego wniosku, bo system zgłosi błąd. Zmianę danych zgłasza się w ciągu 14 dni (art. 7c ust. 3).

2. Zarząd i rada nadzorcza

• Ustalić, kto jest „kierownikiem” w rozumieniu ustawy (art. 2 pkt 8a). Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie. Powierzenie obowiązków innej osobie nie zwalnia kierownika z odpowiedzialności (art. 8c).
• Podjąć uchwałę zarządu o odpowiedzialności za cyberbezpieczeństwo: osoba odpowiedzialna, zadania, budżet, sposób raportowania do zarządu i rady nadzorczej (art. 8d pkt 1–3).
• Zapewnić, że personel zna obowiązki i wewnętrzne regulacje oraz że spółka działa zgodnie z prawem i własnymi procedurami (art. 8d pkt 4–5, art. 8 ust. 1 pkt 2 lit. i).
• Zaplanować i udokumentować coroczne szkolenie kierownika oraz osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa (art. 8e).
• Ocenić osobiste ryzyko członków zarządu: kierownik może podlegać karze pieniężnej do 300% wynagrodzenia (obliczanego jak ekwiwalent za urlop), a kierownik podmiotu publicznego do 100%. Kara może dotyczyć także jednorazowego zaniechania i może być nałożona niezależnie od kary dla spółki (art. 73a). Do oceny: który limit dotyczy zarządu spółki (art. 73a ust. 4–5).

3. System zarządzania bezpieczeństwem informacji i dokumentacja

• Sprawdzić, czy wdrożono system zarządzania bezpieczeństwem informacji z szacowaniem ryzyka, środkami technicznymi i organizacyjnymi, planami ciągłości działania, zarządzaniem aktywami, kontrolą dostępu i edukacją personelu (art. 8 ust. 1). Podmiot ważny będący podmiotem publicznym stosuje wymogi z załącznika nr 4 zamiast art. 8 ust. 1 (art. 8 ust. 3). Do oceny: który reżim dotyczy spółki.
• Sprawdzić termin wdrożenia: podmioty spełniające przesłanki w dniu wejścia w życie nowelizacji (3.04.2026) realizują obowiązki z rozdziału 3 w ciągu 12 miesięcy od tego dnia, czyli do 3.04.2027 (art. 33 ust. 1 ustawy nowelizującej). Podmioty, które spełnią przesłanki później, mają 12 miesięcy od ich spełnienia (art. 16 pkt 1).
• Prowadzić dokumentację bezpieczeństwa (normatywną i operacyjną) z nadzorem nad wersjami i dostępem, przechowywać ją co najmniej 2 lata od wycofania, a zniszczenie potwierdzać protokołem brakowania (art. 10).
• Powołać wewnętrzną strukturę odpowiedzialną za cyberbezpieczeństwo albo zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14).
• Przed dopuszczeniem do zadań z art. 8 i 11 uzyskać od osoby informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f).
• Wyznaczyć osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa: co najmniej dwie, a dla mikro- i małych przedsiębiorców oraz podmiotów publicznych będących podmiotami ważnymi co najmniej jedną (art. 9 ust. 1–3). Umieścić na stronie internetowej informacje o zagrożeniach (lub linki do CSIRT) i dać użytkownikom możliwość zgłoszenia zagrożenia, incydentu lub podatności (art. 9 ust. 1 pkt 2–3, ust. 4).

4. Incydenty

• Przyjąć procedurę obsługi incydentu i klasyfikacji incydentu jako poważnego według progów z rozporządzenia Rady Ministrów dla sektora spółki (art. 11 ust. 1 pkt 1, 3, ust. 4). Sprawdzić, jakie progi obowiązują w dniu przeglądu.
• Wpisać do procedury terminy: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, zgłoszenie incydentu poważnego w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia, sprawozdanie okresowe na wniosek CSIRT. Zgłoszenia przekazuje się w systemie z art. 46 ust. 1 (art. 11 ust. 1 pkt 4–4c, ust. 2). Do czasu ogłoszenia komunikatu o zdolności operacyjnej właściwego CSIRT sektorowego (organ ma go ustanowić w ciągu 18 miesięcy od 3.04.2026) incydenty poważne zgłasza się do CSIRT MON, CSIRT NASK lub CSIRT GOV, a po komunikacie do CSIRT sektorowego (art. 42 i 44 ustawy nowelizującej). Sprawdzić w dzienniku urzędowym organu właściwego dla sektora spółki, czy komunikat już ogłoszono. Przy incydencie z danymi osobowymi równolegle ocenić obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin (art. 33 RODO).
• Ustalić zasady informowania użytkowników usług o poważnym cyberzagrożeniu i o incydencie, który niekorzystnie wpływa na usługę (art. 11 ust. 2a–2b). Dla wodociągów i ciepłowni oznacza to przygotowanie komunikatu dla odbiorców.

5. Dostawcy i umowy

• Sporządzić wykaz dostawców produktów, usług i procesów ICT, od których zależy usługa (sterowanie i monitoring sieci, system billingowy, ERP, chmura, serwis) i ocenić ryzyko związane z dostawcą oraz jakość jego produktów. Uwzględnić komunikaty dotyczące dostawców wysokiego ryzyka (art. 8 ust. 1 pkt 2 lit. e, ust. 2).
• Uzupełnić umowy z dostawcami ICT: zgłaszanie incydentów, wsparcie przy obsłudze incydentu, dostęp do dokumentacji bezpieczeństwa, podwykonawcy, lokalizacja danych, zakończenie współpracy. Dołączyć kryteria cyberbezpieczeństwa do warunków zamówień (rekomendacja).
• Wpisać do wykazu narzędzi AI i polityki AI zasady korzystania z AI przez pracowników i dostawców, bo to element zarządzania aktywami, łańcuchem dostaw i edukacją personelu. Zob. wzór wykazu narzędzi AI i wzór polityki AI.

6. Audyt, kontrola i kary

• Podmiot kluczowy: zaplanować audyt bezpieczeństwa na własny koszt co najmniej raz na 3 lata, pierwszy w ciągu 24 miesięcy od 3.04.2026 dla podmiotów spełniających wtedy przesłanki, czyli do 3.04.2028 (art. 33 ust. 2 ustawy nowelizującej, art. 16 pkt 2), i przekazać kopię raportu organowi w 3 dni robocze od jego otrzymania (art. 15 ust. 1, 1a). Podmiot ważny: organ może nakazać audyt po incydencie poważnym lub naruszeniu ustawy, a decyzja podlega natychmiastowemu wykonaniu (art. 15 ust. 1b–1c).
• Ocenić ekspozycję na kary dla spółki: podmiot kluczowy do 10 mln euro lub 2% przychodów (nie mniej niż 20 000 zł), podmiot ważny do 7 mln euro lub 1,4% przychodów (nie mniej niż 15 000 zł), a przy poważnym zagrożeniu do 100 mln zł. Utrudnianie kontroli jest samodzielną podstawą kary (art. 73). Kary z art. 73 ust. 1–4 oraz art. 73a–73c (w tym kary dla kierownika) mogą być po raz pierwszy nałożone po upływie 2 lat od wejścia w życie nowelizacji, czyli po 3.04.2028 (art. 35 ustawy nowelizującej). Do oceny: przepis nie wymienia art. 73 ust. 5 (kara do 100 mln zł przy poważnym zagrożeniu).
• Zaplanować przegląd zgodności: harmonogram wdrożenia do 3.04.2027 (SZBI, dokumentacja, struktury, osoby kontaktowe), pierwsze sprawozdanie dla rady nadzorczej, kolejny przegląd po orzeczeniu Trybunału Konstytucyjnego w sprawie przepisów skierowanych przez Prezydenta (dostawcy wysokiego ryzyka, polecenia zabezpieczające, kary).