Incydent bezpieczeństwa – co to jest, kiedy i komu go zgłosić

Incydent bezpieczeństwa to zdarzenie, które faktycznie narusza poufność, integralność, dostępność lub autentyczność informacji albo systemu, w którym są przetwarzane. Nie każde podejrzenie jest incydentem, ale też nie każdy incydent oznacza włamanie – zgubiony laptop bez szyfrowania, wysłanie listy klientów pod zły adres i awaria macierzy bez kopii zapasowej mieszczą się w tej definicji tak samo jak ransomware.

Dla firmy praktyczne znaczenie ma jednak co innego niż definicja. Znaczenie ma to, czy z tego zdarzenia wynika obowiązek zgłoszenia – a jeśli tak, to do kogo i w jakim czasie. I tu zaczyna się rzecz, którą łatwo przeoczyć: obowiązki mogą być dwa naraz, z dwóch różnych ustaw, z dwoma różnymi zegarami i dwoma różnymi adresatami.

Dwa obowiązki, dwa zegary, dwóch adresatów

To samo zdarzenie – na przykład ransomware, który zaszyfrował serwer plików z danymi pracowników i klientów – może jednocześnie być incydentem poważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa i naruszeniem ochrony danych osobowych w rozumieniu RODO. To są dwa niezależne reżimy prawne. Wykonanie jednego obowiązku nie zwalnia z drugiego.

	Ustawa o KSC	RODO
Czego dotyczy	zakłócenia świadczenia usługi i bezpieczeństwa systemu informacyjnego	naruszenia ochrony danych osobowych
Kogo dotyczy	wyłącznie podmiotów kluczowych i ważnych z załączników do ustawy	każdego administratora danych, niezależnie od wielkości
Adresat	właściwy CSIRT	Prezes Urzędu Ochrony Danych Osobowych
Pierwszy termin	24 godziny – wczesne ostrzeżenie	72 godziny – zgłoszenie naruszenia
Drugi termin	72 godziny – zgłoszenie incydentu poważnego	zawiadomienie osób, gdy ryzyko jest wysokie
Domknięcie	miesiąc – sprawozdanie końcowe	wpis do wewnętrznego rejestru naruszeń

Jeżeli nie wiesz, czy Twoja firma jest podmiotem kluczowym albo ważnym, zacznij od tego pytania, bo od niego zależy cała lewa kolumna tej tabeli. Odpowiedź daje test NIS2, a szerzej wyjaśniamy ją w przewodniku po ustawie o KSC. Prawa kolumna dotyczy Cię niezależnie od wyniku tego testu – wystarczy, że przetwarzasz dane osobowe, choćby własnych pracowników.

Terminy zgłoszenia incydentu poważnego

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r., rozkłada obowiązek na kilka etapów. Wszystkie terminy liczy się od momentu wykrycia incydentu, nie od jego wystąpienia.

Trzy wyjątki, o których łatwo zapomnieć. Dostawca usług zaufania ma na samo zgłoszenie 24 godziny, nie 72 (art. 11 ust. 1a). Podmiot ważny będący podmiotem publicznym stosuje przepisy o zgłaszaniu z wyłączeniem wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu i sprawozdania końcowego (art. 12c). A jeżeli obsługa incydentu przeciąga się poza miesiąc, sprawozdanie końcowe składa się w ciągu miesiąca od jej zakończenia (art. 12b ust. 2).

Komu naprawdę zgłosić incydent w 2026 roku

Ustawa mówi jednoznacznie: adresatem zgłoszenia jest właściwy CSIRT sektorowy. Problem w tym, że w większości sektorów taki zespół jeszcze nie istnieje.

Przepisy przejściowe dają organom właściwym osiemnaście miesięcy na ustanowienie CSIRT-ów sektorowych (art. 42 ust. 1). Licząc od 3 kwietnia 2026 r., termin upływa 3 października 2027 r. O osiągnięciu zdolności operacyjnej organ ogłasza komunikat w swoim dzienniku urzędowym (art. 42 ust. 2 i 3).

Do dnia ogłoszenia tego komunikatu zgłoszenia przyjmuje właściwy CSIRT MON, CSIRT NASK albo CSIRT GOV (art. 44 ust. 1). Do CSIRT-u sektorowego zgłasza się dopiero od dnia następującego po publikacji komunikatu (art. 44 ust. 2). Wyjątkiem są sektory, w których zespół powołano przed 2025 rokiem – taki zespół stał się CSIRT-em sektorowym z dniem wejścia ustawy w życie (art. 44 ust. 3 w związku z art. 46).

CSIRT	Kogo obsługuje
CSIRT NASK	wszystko, co nie należy do dwóch pozostałych – podmioty prywatne, jednostki sektora finansów publicznych, szpitale, uczelnie, samorządy, instytuty badawcze, spółki komunalne, zgłoszenia obywateli
CSIRT GOV	organy administracji rządowej i organy regulacyjne, infrastruktura krytyczna, incydenty o charakterze terrorystycznym
CSIRT MON	podmioty podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane, sektor obronny

Dla zdecydowanej większości firm domyślnym adresatem jest dziś CSIRT NASK. Zanim zgłosisz, sprawdź jednak, czy dla Twojego sektora nie ogłoszono już komunikatu o zdolności operacyjnej zespołu sektorowego – po tej dacie adresat się zmienia.

Czym zgłaszać i co zrobić, gdy kanał nie działa

Ustawowym kanałem jest system teleinformatyczny z art. 46 ust. 1, czyli S46 (art. 11 ust. 2). Tą drogą przekazuje się wczesne ostrzeżenie, zgłoszenie i wszystkie sprawozdania. Podmioty kluczowe i ważne mają dwanaście miesięcy na podłączenie się do systemu.

W praktyce trwającego incydentu bywa inaczej, dlatego CSIRT-y udostępniają kanały zastępcze. CSIRT NASK przyjmuje zgłoszenia formularzem na incydent.cert.pl, pocztą na cert@cert.pl, telefonicznie pod numerem 22 380 82 00, a także formularzem papierowym wysłanym na adres NASK. CSIRT GOV ma formularz na własnej stronie, dyżurny telefon +48 22 585 93 73 oraz faks na wypadek awarii drogi elektronicznej.

Warto to zapisać w procedurze zawczasu, bo firma w trakcie ataku ransomware często nie ma dostępu ani do poczty, ani do systemu S46. Konto w S46 trzeba mieć założone wcześniej – zakładanie go w trakcie incydentu jest w dwadzieścia cztery godziny niewykonalne.

Co musi zawierać zgłoszenie

Wczesne ostrzeżenie (art. 12 ust. 1) obejmuje sześć punktów: dane podmiotu wraz z numerem z właściwego rejestru; dane osoby dokonującej zgłoszenia z telefonem i adresem służbowym; te same dane osoby uprawnionej do składania wyjaśnień; moment wystąpienia i wykrycia incydentu oraz czas jego trwania; wskazanie, czy incydent wywołano działaniem bezprawnym lub w złej wierze, jeżeli taka ocena jest możliwa; oraz informację, czy dotyczy innych państw członkowskich Unii.

Do wczesnego ostrzeżenia można dołączyć wniosek o wytyczne albo o wsparcie techniczne. CSIRT ma wtedy dobę na odpowiedź, a przy incydencie noszącym znamiona przestępstwa przekazuje też informację o sposobie zawiadomienia organów ścigania (art. 12 ust. 2).

Zgłoszenie incydentu poważnego (art. 12 ust. 3) idzie dalej: opis wpływu na świadczenie usługi wraz ze wskazaniem usługi, liczby dotkniętych użytkowników, zasięgu geograficznego i wpływu na inne podmioty; opis przyczyn, przebiegu i prawdopodobnych skutków; działania zapobiegawcze; działania naprawcze; oraz aktualizacja danych z wczesnego ostrzeżenia, jeżeli coś się zmieniło. Podmiot przekazuje informacje znane mu w chwili zgłoszenia i uzupełnia je w trakcie obsługi (art. 12 ust. 5).

Tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa, przekazuje się w niezbędnym zakresie i oznacza jako chronione (art. 12 ust. 6 i 8).

Gotowy dokument z tymi punktami, wypełniony danymi Twojej firmy, przygotuje generator procedury zgłoszenia incydentu. Liczy wszystko w przeglądarce i nie wysyła danych na serwer.

Kiedy incydent jest „poważny”

Progi uznania incydentu za poważny nie wynikają z ustawy. Określa je Rada Ministrów w rozporządzeniu, osobno dla rodzajów zdarzeń w poszczególnych sektorach i podsektorach z załączników nr 1 i 2. Kryteriami są: liczba użytkowników dotkniętych zakłóceniem, czas oddziaływania, zasięg geograficzny oraz inne czynniki sektorowe (art. 11 ust. 4). Część podmiotów jest z tego wyłączona, bo progi określiła dla nich Komisja Europejska w akcie wykonawczym.

Dlatego nie da się podać jednej liczby, powyżej której incydent staje się poważny. Każdy, kto podaje taki próg bez wskazania sektora, zgaduje. Wartość progową dla własnego sektora trzeba odczytać z rozporządzenia i wpisać do procedury, zanim wydarzy się cokolwiek.

Incydent RODO to osobna sprawa

Jeżeli incydent objął dane osobowe – a obejmuje je znacznie częściej, niż się zakłada, bo dane pracowników są danymi osobowymi – uruchamia się drugi tor. Administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Do zgłoszenia przekazanego po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO).

Zgłoszenia nie składa się, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. To ocena administratora – i to on musi umieć ją uzasadnić.

Osobny obowiązek spoczywa na podmiocie przetwarzającym, czyli na przykład na zewnętrznym dostawcy IT albo dostawcy chmury. Po stwierdzeniu naruszenia zgłasza je administratorowi, bez zbędnej zwłoki (art. 33 ust. 2). Warto sprawdzić, czy umowa powierzenia przetwarzania z Waszym dostawcą w ogóle to reguluje i w jakim czasie.

Zgłoszenie musi co najmniej opisywać charakter naruszenia wraz z kategoriami i przybliżoną liczbą osób oraz wpisów danych, których dotyczy; zawierać dane kontaktowe inspektora ochrony danych albo innego punktu kontaktowego; opisywać możliwe konsekwencje naruszenia; oraz opisywać środki zastosowane lub proponowane w celu zaradzenia naruszeniu i zminimalizowania jego skutków (art. 33 ust. 3). Jeżeli nie da się podać wszystkiego naraz, informacji udziela się sukcesywnie, bez zbędnej zwłoki (art. 33 ust. 4).

Gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności, dochodzi trzeci obowiązek: zawiadomienie samych osób, których dane dotyczą, bez zbędnej zwłoki, jasnym i prostym językiem (art. 34 ust. 1 i 2).

Kiedy nie trzeba zawiadamiać osób

Rozporządzenie wskazuje trzy sytuacje, w których zawiadomienie osób nie jest wymagane (art. 34 ust. 3). Pierwsza z nich jest najbardziej praktyczna i warto ją znać przed incydentem, a nie po nim.

• Dane były zabezpieczone. Administrator wdrożył odpowiednie środki techniczne i organizacyjne, zastosowane do danych objętych naruszeniem, w szczególności szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym.
• Ryzyko zostało wyeliminowane. Administrator zastosował później środki eliminujące prawdopodobieństwo wysokiego ryzyka.
• Zawiadomienie wymagałoby niewspółmiernie dużego wysiłku. Wtedy wydaje się publiczny komunikat albo stosuje podobny środek informujący osoby w równie skuteczny sposób.

Pierwszy punkt to najkonkretniejszy argument za szyfrowaniem dysków i kopii zapasowych, jaki daje samo rozporządzenie: skradziony zaszyfrowany laptop i skradziony niezaszyfrowany laptop to dwie zupełnie różne sprawy – w drugim przypadku trzeba zawiadomić każdą osobę, której dane były na dysku.

Organ nadzorczy może zresztą sam zażądać zawiadomienia osób, jeżeli uzna, że naruszenie powoduje wysokie ryzyko, a administrator jeszcze tego nie zrobił (art. 34 ust. 4).

Niezależnie od tego, czy zgłoszenie poszło do organu, administrator dokumentuje wszelkie naruszenia – ich okoliczności, skutki i podjęte działania zaradcze. Dokumentacja musi pozwolić organowi zweryfikować przestrzeganie tego przepisu (art. 33 ust. 5). To jest ten dokument, o który organ pyta w pierwszej kolejności podczas kontroli, i to on pozwala wykazać, że decyzja o niezgłaszaniu była przemyślana, a nie zaniechana.

Obowiązki dokumentacyjne po stronie RODO omawiamy szerzej przy rejestrze czynności przetwarzania, a różnice między oboma reżimami – w porównaniu dyrektywy NIS2 z RODO.

Czego nie da się zorganizować w dwadzieścia cztery godziny

Termin dwudziestu czterech godzin jest tym, który przesądza o wszystkim. Żeby go dotrzymać, w firmie muszą być gotowe cztery rzeczy, a żadnej z nich nie da się załatwić w trakcie trwającego incydentu.

• Wykrycie. Zegar rusza od momentu wykrycia, więc incydent zauważony po tygodniu to tydzień straconej reakcji, nie przesunięty termin.
• Decyzja. Ktoś musi mieć uprawnienie do zakwalifikowania zdarzenia jako incydentu poważnego. Jeżeli tej osoby nie wyznaczono, decyzja zapada wtedy, gdy zbierze się zarząd – czyli po terminie.
• Dane. Sześć punktów wczesnego ostrzeżenia, w tym numer z rejestru i dwie osoby kontaktowe z telefonami służbowymi. Zbieranie tego w nocy podczas ataku jest stratą godzin.
• Dostęp. Konto w systemie S46 albo działający kanał zastępczy, znany osobie dyżurującej.

Wykrycie poza godzinami pracy zapewnia monitoring SIEM i SOC, obowiązek ciągłego monitorowania wynika zresztą wprost z art. 8 ust. 1 pkt 2 lit. g ustawy. Stan przygotowania – kto ma jakie uprawnienia, czy kopie naprawdę się odtwarzają, czy dane do zgłoszenia są zebrane – ustala audyt bezpieczeństwa IT. A jeżeli incydent już trwa, zajmujemy się nim w ramach pomocy po włamaniu.

Najczęstsze pytania

Co to jest incydent bezpieczeństwa informacji?
Zdarzenie, które faktycznie narusza poufność, integralność, dostępność albo autentyczność informacji lub systemu, w którym są przetwarzane. Odróżnia się je od samego zagrożenia czy podatności, które są stanem, a nie zdarzeniem.

Kiedy należy zgłosić incydent bezpieczeństwa?
Podmiot kluczowy lub ważny ma 24 godziny od wykrycia na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu poważnego. Jeżeli incydent objął dane osobowe, dochodzi osobne zgłoszenie do UODO w ciągu 72 godzin od stwierdzenia naruszenia.

Czy każdy incydent trzeba zgłaszać?
Nie. Zgłoszeniu do CSIRT podlega incydent poważny, a progi określa rozporządzenie osobno dla każdego sektora. Zgłoszeniu do UODO podlega naruszenie, przy którym ryzyko naruszenia praw lub wolności osób nie jest mało prawdopodobne.

Czy mała firma podlega obowiązkowi zgłaszania incydentów?
Pod ustawę o KSC – najczęściej nie, bo obowiązek dotyczy podmiotów z załączników i zwykle powyżej progu wielkości. Pod RODO – tak, bo obowiązek zgłaszania naruszeń nie zależy od wielkości firmy.

Od kiedy liczy się termin – od włamania czy od jego wykrycia?
Od wykrycia. Ustawa mówi o momencie wykrycia incydentu, a RODO o stwierdzeniu naruszenia. Data samego zdarzenia jest jednym z elementów zgłoszenia, ale nie ona uruchamia zegar.

Od czego zacząć

Jeżeli incydent trwa w tej chwili – pomoc po włamaniu. Jeżeli przygotowujesz się na przyszłość, kolejność jest odwrotna niż ta strona: najpierw sprawdź, czy firma podlega przepisom, potem przygotuj procedurę zgłoszenia z danymi i terminami, a całą ścieżkę zgodności prowadzimy krok po kroku w sekcji Zgodność.

Podstawa prawna

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) – art. 11, 12, 12a, 12b, 12c oraz art. 42, 44 i 46 przepisów przejściowych
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 33 i 34
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) – art. 23