Kalendarz obowiązków cyberbezpieczeństwa: NIS2, KSC, CRA i DORA

Ustawa krajowa, dwa rozporządzenia unijne i program dotacyjny to cztery osobne kanały, z których każdy biegnie według własnego kalendarza.

Cztery obowiązki, jeden kalendarz

Jeden przepis na organizację to dziś rzadkość. Bank bywa jednocześnie podmiotem objętym ustawą o KSC i podmiotem finansowym w rozumieniu DORA, a dostawca oprogramowania dla administracji publicznej trafia do wykazu z ustawy o KSC i odpowiada za produkt z elementami cyfrowymi z CRA. Samorząd w trakcie wdrożenia ustawy o KSC dostaje w tym samym roku ofertę dofinansowania z zupełnie innego programu.

Każdy z tych aktów ma inną podstawę prawną i inny zakres podmiotowy, dlatego każdy opisaliśmy w osobnym opracowaniu. Miejsca, w których ich kalendarze się krzyżują, widać jednak dopiero wtedy, gdy postawi się je obok siebie.

O tym, co robić po wykryciu incydentu, mówi poradnik Incydent w organizacji: pierwsze 72 godziny, w którym zebraliśmy terminy zgłoszeń z ustawy o KSC, RODO i DORA, pierwsze kroki i kontakty.

Tabela: NIS2/KSC, CRA, DORA i nabór LCC obok siebie

Tabela pokazuje status każdego z czterech terminów na dzień ostatniej aktualizacji, czyli 5 listopada 2026 r. Trzy pozycje mają twardą podstawę prawną, a czwarta to program dotacyjny, bez sankcji za brak udziału.

Aktów jest oczywiście więcej niż cztery. Pełny wykaz, razem z rozporządzeniami wykonawczymi do ustawy o KSC, zestawia rejestr aktów prawnych krajowego systemu cyberbezpieczeństwa. Przedsiębiorcy wpisani do CEIDG przed 2025 rokiem, którzy od lipca 2025 r. nie zmieniali wpisu, mają obok tego termin spoza przepisów o cyberbezpieczeństwie: od 1 października 2026 r. muszą mieć adres do e-Doręczeń. Kogo i od kiedy obejmuje ten obowiązek, zestawia artykuł e-Doręczenia dla JDG: obowiązek od 1 października 2026, który wyjaśnia też, dlaczego przy tym terminie trzeba się liczyć z próbami phishingu.

Jak sprawdzić, które obowiązki dotyczą Twojej organizacji

Zacznij od tego, czym organizacja się zajmuje, a obrót i liczbę zatrudnionych sprawdź dopiero potem. Cztery typy podmiotów prowadzą do czterech wierszy tabeli wyżej, przy czym dwa z nich mogą pokryć więcej niż jeden wiersz.

Producent oprogramowania albo sprzętu trafia pod CRA niezależnie od modelu sprzedaży, bo produkt płatny i darmowy liczą się tak samo. Samorząd może do 30 listopada złożyć wniosek o LCC w partnerstwie i osobno sprawdza, czy sam nie stał się podmiotem objętym ustawą o KSC. Podmiot finansowy pod nadzorem KNF ma DORA na stałe, a ustawę o KSC wtedy, gdy spełnia jej przesłanki. Każdy inny podmiot kluczowy albo ważny trafia wprost do wiersza NIS2 i KSC.

NIS2 i ustawa o KSC - 3 października 2026 r.

Ustawa nie podaje daty swojego wejścia w życie wprost. Art. 49 mówi tylko o upływie miesiąca od dnia ogłoszenia, a ogłoszenie nastąpiło 2 marca 2026 r.¹³ Wypada to na 3 kwietnia 2026 r. i tę datę potwierdza komunikat Centrum Projektów Polska Cyfrowa⁷.

Kto spełniał przesłanki ustawy już tego dnia, miał złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych do 3 października 2026 r.¹³²³ Kto wszedł w zakres ustawy później, liczy własne sześć miesięcy od dnia, w którym spełnił przesłanki.

Z tego okna wyłączone są podmioty wpisywane do wykazu z urzędu²³. Art. 7a ust. 2 wymienia przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne, a art. 34 ust. 2 dotychczasowych operatorów usług kluczowych¹³. Podmiotem publicznym jest także jednostka samorządu terytorialnego, więc co do zasady nie składa ona wniosku w tym oknie. Dane podmiotów wpisywanych z urzędu wprowadza minister, a one same uzupełniają brakujące dane w terminie sześciu miesięcy od doręczenia wezwania (art. 7b ust. 2)¹³.

Który z dwóch trybów wpisu dotyczy Twojej organizacji, jakie prace obejmuje samo wdrożenie i ile wynoszą widełki kar, rozkładamy osobno w artykule Kto w Polsce wdroży NIS2 i ustawę o KSC.

Objęcie ustawą oznacza też pracę po stronie zespołu technicznego, bo znaczną część wymogów systemu zarządzania bezpieczeństwem informacji z art. 8 spełnia się w konfiguracji, logach i procesie wytwórczym. Podział tych wymogów na prace w systemach IT i prace w dokumentach rozpisuje Silesian Solutions, a w osobnym tekście pokazuje, które środki z art. 21 dyrektywy NIS2 da się zamienić w kontrolę w potoku CI.

Artykuł 14 CRA - obowiązek już działa od 11 września 2026 r.

Artykuł 14 rozporządzenia o cyberodporności (Cyber Resilience Act, CRA)¹² działa od 11 września 2026 r. i obejmuje każdego producenta produktu z elementami cyfrowymi wprowadzanego na rynek Unii, także bezpłatnie. Zgłoszenie aktywnie wykorzystywanej podatności i poważnego incydentu idzie jednocześnie do CSIRT-u koordynatora i do ENISA, przez wspólną platformę CRA-SRP uruchomioną tego samego dnia¹²⁴⁵.

Termin z artykułu 14 CRA minął jako pierwszy z czterech, a okno na wniosek o wpis do wykazu KSC zamknęło się 3 października. Za nami są też wejście w życie ustawy o KSC 3 kwietnia 2026 r.¹³⁷ i start naboru LCC 31 lipca 2026 r.⁷⁸, a obie te daty otwierały okna, z których pierwsze zamknęło się 3 października (wniosek o wpis do wykazu), a drugie zamyka się 30 listopada (nabór LCC).

Kto dokładnie zgłasza, do jakiego CSIRT-u i w ciągu ilu godzin, rozkłada artykuł Artykuł 14 CRA: kto zgłasza podatność i w jakim terminie.

DORA - obowiązuje od 2025 r., bez nowego terminu w tym kalendarzu

DORA¹⁰ wyłamuje się z tego zestawienia. Rozporządzenie stosuje się w całości od 17 stycznia 2025 r.¹¹⁰ i obejmuje podmioty finansowe z art. 2 ust. 1 oraz ich zewnętrznych dostawców usług ICT, pod nadzorem Komisji Nadzoru Finansowego¹¹⁰. Nowego terminu do tego kalendarza nie wnosi, a terminy sprawozdawcze KNF wyznacza osobnymi komunikatami, więc podmiot finansowy śledzi je bezpośrednio u nadzorcy. Przykładem ryzyka po stronie zewnętrznego dostawcy jest awaria Microsoft 365 z 12-13 listopada 2026 roku, która objęła pocztę Exchange Online, Teams i SharePoint Online.

Organizacja z sektora finansowego, która jednocześnie spełnia przesłanki ustawy o KSC, podlega naraz DORA i ustawie o KSC, a każdy z tych aktów nakłada na nią obowiązki osobno. Ten przypadek rozkładamy niżej, w sekcji o nakładaniu się obowiązków.

Nabór LCC - 30 listopada 2026 r.

Nabór prowadzi Centrum Projektów Polska Cyfrowa w ramach działania 4.1 programu FERC i przyjmuje wnioski do 30 listopada 2026 r., a pierwotny termin 30 października przesunęło zmianą z 8 października⁹. Warunek wstępny jest jeden: wniosek składa partnerstwo co najmniej dwóch jednostek samorządu terytorialnego, więc pojedyncza gmina ani powiat nie złoży go samodzielnie.

Pułapy dofinansowania w zależności od liczby jednostek w partnerstwie i warunki, które trzeba spełnić przed złożeniem wniosku, rozkłada artykuł Lokalne Centra Cyberbezpieczeństwa: nabór LCC do 30 listopada.

Co się nakłada - organizacje pod dwoma obowiązkami naraz

Weźmy dostawcę oprogramowania, który sprzedaje własny produkt administracji publicznej. Jako producent podlega artykułowi 14 CRA od 11 września 2026 r.¹² Bywa też wpisany do wykazu podmiotów kluczowych albo ważnych, bo obok licencji świadczy dla administracji usługę. Wtedy dochodzą obowiązki zgłoszeniowe z ustawy o KSC, z osobnym zegarem, osobnym CSIRT-em i osobnym rejestrem¹³¹².

Ustawa o KSC i CRA nie znoszą się nawzajem. Jedno zdarzenie oznacza wtedy dwa niezależne zgłoszenia do dwóch różnych odbiorców.

W sektorze finansowym wzorzec się powtarza, tylko z inną parą: bank podlega rozporządzeniu DORA jako podmiot finansowy z art. 2 ust. 1, a ustawie o KSC wtedy, gdy spełnia przesłanki podmiotu kluczowego albo ważnego¹³¹⁰.

Kto w Polsce pomoże się dostosować

Przy tych czterech obowiązkach pracują trzy grupy dostawców. Firmy, które na własnych stronach opisują usługę wdrożenia konkretnej regulacji, zestawiamy na stronach Wdrożenie NIS2 i KSC i Wdrożenie DORA. Gap analysis, budowę systemu zarządzania bezpieczeństwem informacji i dokumentację obsługują firmy z kategorii GRC i Zgodność. Audyt zgodności i dowód aktywnego wykorzystania podatności z artykułu 14 CRA prowadzą firmy z kategorii Testy Penetracyjne i Audyty. Wykrywanie i zgłaszanie incydentów w terminach liczonych w godzinach, wspólne dla ustawy o KSC i dla CRA, obsługują zespoły z kategorii Monitoring i SOC.

Samorząd, którego partnerstwo otrzyma dofinansowanie w ramach naboru LCC, sięga po te same trzy kategorie naraz, z tą różnicą, że usługi kupuje partnerstwo kilku jednostek.

Źródła

1. Komisja Nadzoru Finansowego, "Rozporządzenie DORA" - data rozpoczęcia stosowania rozporządzenia 2022/2554 i nadzór KNF nad jego wykonaniem (odczyt 09.09.2026)
2. Minister Cyfryzacji, "Komunikat Ministra Cyfryzacji z dnia 08 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne", Dz. Urz. Min. Cyfryzacji z 2026 r. poz. 7 - pkt 1 i pkt 2 (odczyt 26.08.2026)
3. Ministerstwo Cyfryzacji, "Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - najważniejsze terminy", 10.04.2026 - uruchomienie wykazu i okres wpisów z urzędu (odczyt 27.08.2026)
4. ENISA, "Single Reporting Platform (SRP)" - adres i termin uruchomienia platformy CRA-SRP (odczyt 08.09.2026)
5. ENISA, "Frequently Asked Questions" - konto EU Login, rola AR, licznik 72h, brak retroaktywności, niedostępność platformy (odczyt 08.09.2026)
6. Prawo.pl, "Dotacje na Lokalne Centra Cyberbezpieczeństwa", Robert Horbaczewski, 03.08.2026 - termin naboru, warunek partnerstwa i pułapy kwot (odczyt 02.09.2026)
7. Centrum Projektów Polska Cyfrowa, "Samorządy wspólnie ochronią swoje systemy przed cyberatakami", 31.07.2026 - kwota naboru, działanie 4.1 programu FERC oraz potwierdzenie, że znowelizowana ustawa o KSC obowiązuje od 3 kwietnia 2026 r. (odczyt 02.09.2026)
8. Ministerstwo Cyfryzacji, "Startuje nabór wniosków na Lokalne Centra Cyberbezpieczeństwa", 31.07.2026 - opis poziomu dofinansowania i zakresu wsparcia (odczyt 04.09.2026)
9. Centrum Projektów Polska Cyfrowa, "Działanie 4.1 Wzmocnienie cyberbezpieczeństwa oraz rozwój odpornej infrastruktury przetwarzania danych (trzeci nabór)" - zakończenie naboru 30.11.2026 zamiast 30.10.2026, zmiana z 8.10.2026 (odczyt 05.11.2026)
10. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA), art. 2 ust. 1 oraz art. 64 (odczyt 09.09.2026)
11. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), art. 41 ust. 1 (odczyt 09.09.2026)
12. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 (akt o cyberodporności), art. 14 oraz art. 71 ust. 2 (odczyt 09.09.2026)
13. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 7a ust. 2, art. 7b ust. 2, art. 33-37 i art. 49 (odczyt 30.09.2026)
14. Silesian Solutions, "SZBI w ustawie o KSC: które obowiązki dotyczą systemów IT", 08.10.2026 (odczyt 29.10.2026)
15. Silesian Solutions, "NIS2 dla zespołu IT: które wymagania wpiąć w CI", 28.10.2026 (odczyt 29.10.2026)