Rekomendacja KSC dla zarządów: kto w firmie odpowiada za cyberbezpieczeństwo?

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa nr 2026-67a-9 z 15 października 2026 r. wskazuje, jak podmioty kluczowe i ważne powinny zorganizować zarządzanie cyberbezpieczeństwem. Dokument nie tworzy nowych obowiązków, ale w 8 obszarach opisuje ponad 100 szczegółowych zaleceń, z których część kierowana jest wprost do kierownictwa: przypisanie odpowiedzialności, macierz RACI, coroczne szkolenia i okresowe raporty. Firmy, które spełniały kryteria KSC 3 kwietnia 2026 r., mają czas na wdrożenie zasadniczych obowiązków do 3 kwietnia 2027 r. W artykule pokazujemy, które zalecenia dotyczą zarządu, dlaczego zmienią też umowy z dostawcami MŚP spoza KSC i jak zorganizować nadzór w firmie zatrudniającej 50–500 osób.

Co dokładnie opublikował rząd i czy to jest obowiązek?

To rekomendacja, nie nowy przepis: sam dokument zastrzega, że ma charakter pomocniczy i nie zastępuje ani obowiązków ustawowych, ani indywidualnej oceny ryzyka. Wydano ją na podstawie art. 67a ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20 z późn. zm.), a Ministerstwo Cyfryzacji opublikowało ją 16 października 2026 r.

Rekomendacja jest kierowana do ponad 70 tys. podmiotów kluczowych i ważnych. Obejmuje osiem obszarów: zarządzanie ryzykiem i polityki, ochronę aktywów i dostępu, infrastrukturę i kryptografię, kopie zapasowe i odtwarzanie, łańcuch dostaw, monitorowanie i reagowanie na incydenty, świadomość pracowników oraz audyt i doskonalenie. Pełna treść jest dostępna w komunikacie Ministerstwa Cyfryzacji oraz w pliku PDF rekomendacji.

Dobrowolność ma jednak granice. Obowiązki z ustawy o KSC — system zarządzania bezpieczeństwem, zgłaszanie incydentów, odpowiedzialność kierownika podmiotu — istnieją niezależnie od rekomendacji. Dokument pokazuje, jak administracja rozumie ich należyte wykonanie. W razie kontroli lub incydentu trudno będzie obronić organizację, która nie zrobiła rzeczy wymienionych przez Pełnomocnika z nazwy i nie potrafi wyjaśnić, dlaczego w jej przypadku nie były potrzebne.

To zmienia rozmowę w zarządach. Do 3 października 2026 r. pytanie brzmiało: czy musimy się wpisać do Wykazu KSC? Teraz brzmi: kto u nas odpowiada za cyberbezpieczeństwo i jak to udokumentujemy? Jeśli firma wciąż nie ma pewności, czy w ogóle podlega ustawie, punktem wyjścia jest test „Czy podlegam KSC”. Szersze tło zmian opisaliśmy w artykule NIS2 i KSC w 2026 roku.

Co to oznacza w praktyce: rekomendacja jest dobrowolna, ale stanie się punktem odniesienia przy ocenie, czy firma należycie wykonuje obowiązki z ustawy o KSC.

Czego rekomendacja oczekuje od zarządu?

Rekomendacja oczekuje, że kierownictwo aktywnie nadzoruje cyberbezpieczeństwo, a nie tylko zatwierdza budżet IT. Punkt 1.3 wymienia pięć zadań, a punkt 8 dokłada dwa kolejne, związane z raportowaniem i kontaktem z CSIRT.

Najczęstszy problem nie leży w technologii, tylko w pustym polu „A” w macierzy RACI. W średnich firmach odpowiedzialność za cyberbezpieczeństwo zwykle rozkłada się między informatyka, zewnętrznego dostawcę IT i prezesa, który „jest na bieżąco”. Każdy robi swoją część, ale nikt nie odpowiada za całość ani nie przedstawia zarządowi obrazu ryzyka. Rekomendacja nazywa tę lukę wprost.

Raport dla zarządu nie musi być techniczny. Wystarczy jedna strona: pięć największych ryzyk, zmiana od ostatniego raportu, stan obowiązków ustawowych, incydenty i decyzje do podjęcia. To ten sam format, którego zarząd oczekuje od dyrektora finansowego przy cash flow.

Co to oznacza w praktyce: zarząd powinien móc pokazać dokument z przypisaną odpowiedzialnością, potwierdzenie szkolenia i co najmniej jeden raport o poziomie ryzyka z ostatnich miesięcy.

Dlaczego rekomendacja dotyczy także firm spoza KSC?

Bo punkt 5 rekomendacji każe podmiotom KSC przenosić wymagania bezpieczeństwa na dostawców — przez umowy, SLA i prawo do audytu. Firma, która sama nie podlega ustawie, ale obsługuje klienta z KSC, odczuje rekomendację w najbliższych negocjacjach kontraktowych.

Rekomendacja zaleca podmiotom KSC m.in.: ocenę ryzyka przed wyborem dostawcy, okresową ocenę w trakcie współpracy, analizę skutków niedostępności usług, zapisy o wymaganiach cyberbezpieczeństwa, poziomach usług (SLA) i uprawnieniach audytowych w umowach, kontrolę dostępów przyznanych dostawcom oraz ograniczanie koncentracji usług u jednego dostawcy.

Dla MŚP działających jako dostawcy oznacza to trzy rzeczy, które w naszej ocenie pojawią się w praktyce w ciągu kilku najbliższych miesięcy:

• Ankiety bezpieczeństwa przed podpisaniem lub przedłużeniem umowy. Pytania o politykę bezpieczeństwa, MFA, kopie zapasowe, procedurę zgłaszania incydentów i osobę odpowiedzialną.

• Nowe klauzule umowne. Terminy powiadamiania klienta o incydencie, poziomy dostępności, prawo klienta do audytu lub żądania raportu z audytu.

• Ograniczenie dostępów. Koniec stałych, niemonitorowanych połączeń serwisowych do systemów klienta; dostęp przez VPN z MFA i w ewidencji kont uprzywilejowanych.

To jest szansa, nie tylko koszt. Dostawca, który na ankietę bezpieczeństwa odpowiada w dwa dni gotowymi dokumentami, wygrywa z tym, który potrzebuje dwóch miesięcy na ich stworzenie. Jak wygląda presja klientów na dostawców i od czego zacząć przygotowania, opisaliśmy w artykule NIS2 dla MŚP: czy Twoja firma podlega i co zrobić, zanim zapyta o to klient.

Co to oznacza w praktyce: jeśli wśród Twoich klientów są energetyka, transport, ochrona zdrowia, produkcja lub inne sektory KSC, przygotuj się na pytania o bezpieczeństwo — nawet jeśli Twoja firma nie musiała wpisywać się do wykazu.

Ile czasu firma może stać po ataku — i kto o tym decyduje?

To decyzja biznesowa zarządu, a nie parametr techniczny. Rekomendacja zaleca określenie dla systemów kluczowych RTO (docelowego czasu przywrócenia usługi) i RPO (dopuszczalnej utraty danych), regularne testowanie odtwarzania i dokumentowanie wyników testów.

Kopie mają spełniać zasadę 3-2-1: co najmniej trzy kopie danych, na dwóch różnych nośnikach lub technologiach, z jedną kopią poza główną lokalizacją lub offline. Środowisko kopii powinno być odseparowane od produkcji i chronione przed usunięciem lub zaszyfrowaniem. Ten ostatni punkt odróżnia kopię, która przetrwa ransomware, od kopii, którą napastnik zaszyfruje razem z serwerem.

RTO i RPO to pytania do zarządu, bo ich odpowiedź kosztuje. Przykład ilustracyjny (założenia przyjęte na potrzeby artykułu, nie dane klienta): firma produkcyjna z przychodem 60 mln zł rocznie traci przy postoju ERP ok. 230 tys. zł przychodu dziennie (60 mln zł / ok. 260 dni roboczych). RTO na poziomie 24 godzin wymaga innej architektury kopii niż RTO na poziomie tygodnia. Bez tej liczby dział IT dobiera rozwiązanie „na wyczucie”, a zarząd dowiaduje się o realnym czasie odtworzenia dopiero w dniu awarii.

Komunikacja po incydencie: kto mówi, do kogo i kiedy?

Tego samego dnia CERT Polska opublikował materiał o komunikacji kryzysowej, odsyłający do swojego przewodnika po komunikacji kryzysowej po incydencie. Główna myśl: komunikacja jest częścią reagowania na incydent, a cisza po ataku sprzyja plotkom i dezinformacji. Komunikat powinien odpowiadać na trzy pytania: co się wydarzyło, kogo dotyczy i jaki ma wpływ na odbiorców.

Część komunikacji jest obowiązkowa, ale warunkowo. Podmiot kluczowy lub ważny informuje użytkowników swoich usług o incydencie poważnym wtedy, gdy ma on niekorzystny wpływ na świadczenie tych usług — nie o każdym zdarzeniu. Niezależnie od tego biegną terminy zgłoszeń do CSIRT; zgodnie z przypisem do rekomendacji zgłaszanie przez system S46 staje się obowiązkiem od 3 kwietnia 2027 r. Jeśli incydent dotyczy danych osobowych, dochodzi odrębna ocena według RODO.

Przed incydentem zarząd powinien ustalić imiennie: kto podejmuje decyzję o komunikacie, kto mówi w imieniu firmy, kto informuje pracowników, klientów i partnerów, oraz kto kontaktuje się z CSIRT. W planie reagowania na incydenty to zwykle jedna strona — której brak widać dopiero w pierwszych godzinach kryzysu.

Co to oznacza w praktyce: zarząd zatwierdza RTO i RPO dla systemów kluczowych oraz listę osób odpowiedzialnych za komunikację, zanim wydarzy się incydent.

Jak zorganizować nadzór bez budowania działu bezpieczeństwa?

Średnia firma nie potrzebuje etatowego dyrektora ds. bezpieczeństwa, ale potrzebuje osoby, która tę funkcję pełni wobec zarządu. W modelu, który wiele firm zna z finansów — zewnętrzny CFO na godziny — tę rolę w bezpieczeństwie pełni vCISO (z ang. virtual Chief Information Security Officer), czyli zewnętrzny szef bezpieczeństwa informacji pracujący w wymiarze dopasowanym do firmy.

Podział pracy jest prosty. Zarząd zachowuje odpowiedzialność i podejmuje decyzje o ryzyku. Informatyk lub dostawca IT wykonuje zadania techniczne. vCISO ocenia ryzyko, przygotowuje polityki i procedury, nadzoruje dostawców i co kwartał raportuje zarządowi. Więcej o tej roli piszemy w artykule czym jest vCISO i dlaczego firma może go potrzebować.

Narzędzie: wzorcowa macierz RACI dla średniej firmy

R — wykonuje, A — odpowiada i zatwierdza, C — konsultowany, I — informowany. Macierz należy dopasować do struktury firmy; poniżej punkt startowy.

W wierszu „Raport dla zarządu” vCISO odpowiada za przygotowanie raportu, a zarząd jest jego odbiorcą. Decyzje podjęte na jego podstawie należą już do zarządu.

Plan na pierwsze 90 dni

1. Dni 1–30: uchwała o przypisaniu odpowiedzialności, macierz RACI, inwentaryzacja aktywów i lista dostawców z dostępem do systemów.

2. Dni 31–60: ocena ryzyka, RTO i RPO dla systemów kluczowych, przegląd umów z kluczowymi dostawcami, test odtworzenia kopii.

3. Dni 61–90: polityki i procedura reagowania na incydenty z planem komunikacji, szkolenie zarządu, pierwszy raport dla zarządu.

Co to oznacza w praktyce: odpowiedzialność zostaje w zarządzie, ale codzienne prowadzenie funkcji bezpieczeństwa można powierzyć zewnętrznemu ekspertowi w wymiarze kilku godzin miesięcznie.

Podsumowanie dla zarządu

• Wpis do wykazu zamknął formalności, nie obowiązki. Firmy objęte KSC od 3 kwietnia 2026 r. mają czas na wdrożenie zasadniczych obowiązków do 3 kwietnia 2027 r.

• Rekomendacja jest dobrowolna, ale wyznacza standard. Warto ją przejść punkt po punkcie i udokumentować, co firma robi, a czego świadomie nie robi i dlaczego.

• Najpierw odpowiedzialność, potem narzędzia. Uchwała, macierz RACI i stały raport dla zarządu kosztują mało, a porządkują całą resztę.

• Dostawcy i klienci. Przejrzyj umowy z dostawcami IT i przygotuj się na ankiety bezpieczeństwa od klientów z sektorów KSC.

Najczęściej zadawane pytania

Czy rekomendacja Pełnomocnika z 16 października 2026 r. jest obowiązkowa? Nie. Dokument sam określa się jako pomocniczy katalog środków i nie zastępuje przepisów ani oceny ryzyka. Obowiązki z ustawy o KSC istnieją jednak niezależnie od niego, a rekomendacja pokazuje, jak administracja rozumie ich należyte wykonanie.

Kogo dotyczy rekomendacja? Podmiotów kluczowych i ważnych w krajowym systemie cyberbezpieczeństwa — według Ministerstwa Cyfryzacji to ponad 70 tys. organizacji. Pośrednio dotyczy też ich dostawców, ponieważ rekomendacja zaleca uwzględnianie wymagań bezpieczeństwa, SLA i prawa do audytu w umowach.

Czy zarząd musi przechodzić szkolenia z cyberbezpieczeństwa? Rekomendacja zaleca coroczne szkolenia dla kierownika podmiotu i osób odpowiedzialnych za cyberbezpieczeństwo. Najprościej jest zaplanować je raz w roku, z udokumentowanym programem i listą obecności.

Czym jest macierz RACI w cyberbezpieczeństwie? To tabela, która dla każdego zadania wskazuje, kto je wykonuje, kto za nie odpowiada, kogo się konsultuje i kogo informuje. Rekomendacja zaleca jej opracowanie i aktualizowanie, bo usuwa ona sytuację, w której nikt nie odpowiada za całość.

Czy średnia firma potrzebuje etatowego CISO, żeby spełnić rekomendację? Zwykle nie. Funkcję szefa bezpieczeństwa informacji może pełnić zewnętrzny ekspert (vCISO) w wymiarze dopasowanym do skali firmy, a odpowiedzialność i decyzje o ryzyku zostają w zarządzie.

Źródła

• Rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026-67a-9 z 15.10.2026 r. (PDF)

• Ministerstwo Cyfryzacji — komunikat z 16.10.2026 r.

• CERT Polska — Od incydentu do odbudowy zaufania. Praktyczny przewodnik po komunikacji kryzysowej

• Ministerstwo Cyfryzacji — samorejestracja w Wykazie KSC

Kto w Twojej firmie odpowiada za cyberbezpieczeństwo?

Cedepe wspiera zarząd w obszarach, których firma potrzebuje, ale nie musi budować na pełny etat. W bezpieczeństwie oznacza to funkcję szefa bezpieczeństwa informacji pełnioną dla zarządu — tak jak zewnętrzny CFO w finansach.

W Cedepe Consulting możemy wspólnie przeanalizować m.in.:

• które zalecenia rekomendacji dotyczą Twojej firmy i co już spełniacie;

• przypisanie odpowiedzialności i macierz RACI dopasowaną do Waszej struktury;

• umowy z dostawcami IT pod kątem SLA, dostępów i prawa do audytu;

• RTO, RPO i realny test odtworzenia kopii;

• plan reagowania na incydenty razem z planem komunikacji kryzysowej.

Ścieżka jest etapowa: diagnoza i audyt bezpieczeństwa, potem stałe wsparcie vCISO, a dla kierownictwa coroczne szkolenie. Zacznij od 1 godziny i konkretnej diagnozy ryzyk — bez zobowiązań.

Umów bezpłatną konsultację →