Rozdział 11 Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20, z późn. zm.) reguluje zasady sprawowania nadzoru i kontroli nad realizacją obowiązków wynikających z ustawy przez podmioty ważne oraz podmioty kluczowe. Określa w szczególności kompetencje organów właściwych do spraw cyberbezpieczeństwa oraz środki nadzorcze służące zapewnieniu zgodności działalności podmiotów objętych ustawą z jej wymaganiami.

Zgodnie z art. 53 ust. 1 Ustawy o krajowym systemie cyberbezpieczeństwa, nadzór dotyczący stosowania przepisów ustawy sprawują organy właściwe do spraw cyberbezpieczeństwa w zakresie wykonywania przez podmioty kluczowe i podmioty ważne wynikających z ustawy obowiązków.

Organy właściwe do spraw cyberbezpieczeństwa za pomocą działań nadzorczych sprawują nadzór o charakterze:

1. prewencyjnym i następczym nad podmiotami kluczowymi;
2.  następczym nad podmiotami ważnymi, w szczególności w przypadku uzasadnionego podejrzenia, że zachodzi możliwość naruszenia przepisów ustawy.

 

Środki nadzoru nad podmiotami kluczowymi:

• podejmowanie kontroli przez organ właściwy do spraw cyberbezpieczeństwa,
• nakazanie audytu ad hoc,
• przeprowadzenie oceny bezpieczeństwa systemu informacyjnego,
• żądanie udzielenia informacji, danych i dokumentów od podmiotu,
• wniosek o udzielenie dowodów realizacji wymogów SZBI.

Organ właściwy do spraw cyberbezpieczeństwa może wystąpić do podmiotu z ostrzeżeniem, w którym wskaże czynności które należy podjąć w celu dostosowania się do wymogów ustawy.

Organ właściwy do spraw cyberbezpieczeństwa może nakazać środki egzekwujące obowiązki ustawowe wobec podmiotu kluczowego:

• Nakaz:

• podjęcia określonych czynności dotyczących obsługi incydentu,
• zaniechania naruszania przepisów ustawy,
• zapewnienia zgodności SZBI z wymogami ustawy,
• zgłoszenia incydentu poważnego,
• poinformowania użytkowników usług o cyberzagrożeniu oraz o możliwych środkach które należy podjąć w reakcji na to zagrożenie,
• wdrożenia zaleceń wydanych w wyniku audytu bezpieczeństwa systemu informacyjnego,
• Podanie do wiadomości publicznej informacji o naruszeniu przepisów ustawy lub o incydencie poważnym w podmiocie.

• Wyznaczyć urzędnika monitorującego działalność danego podmiotu, nie dłużej niż przez miesiąc.

Środkiem ostatecznym jest wniosek o zawieszenie, ograniczenie lub cofnięcie zezwolenia czy koncesji na daną działalność.

 

Środki nadzoru nad podmiotami ważnymi:

• podejmowanie kontroli przez organ właściwy do spraw cyberbezpieczeństwa,
• nakazanie audytu ad hoc,
• przeprowadzenie oceny bezpieczeństwa systemu informacyjnego,
• żądanie udzielenia informacji, danych i dokumentów od podmiotu,
• wniosek o udzielenie dowodów realizacji wymogów SZBI.

Organ właściwy do spraw cyberbezpieczeństwa może wystąpić do podmiotu z ostrzeżeniem, w którym wskaże czynności które należy podjąć w celu dostosowania się do wymogów ustawy.

Organ właściwy do spraw cyberbezpieczeństwa może nakazać środki egzekwujące obowiązki ustawowe wobec podmiotu ważnego:

• Nakaz:

• podjęcia określonych czynności dotyczących obsługi incydentu
• zaniechania naruszania przepisów ustawy
• zapewnienia zgodności SZBI z wymogami ustawy
• zgłoszenia incydentu poważnego
• poinformowania użytkowników usług o cyberzagrożeniu oraz o możliwych środkach które należy podjąć w reakcji na to zagrożenie
• wdrożenia zaleceń wydanych w wyniku audytu bezpieczeństwa systemu informacyjnego
• Podanie do wiadomości publicznej informacji o naruszeniu przepisów ustawy lub o incydencie poważnym w podmiocie.

Zgodnie z art. 54 Ustawy o krajowym systemie cyberbezpieczeństwa: Do kontroli, której zakres określony jest w rozdziale 11, realizowanej wobec podmiotów:

• będących przedsiębiorcami – stosuje się przepisy rozdziału 5 Ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców (Dz. U. z 2025 r. poz. 1480, z późn. zm.),
• niebędących przedsiębiorcami – stosuje się przepisy Ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej (Dz. U. z 2026 r. poz. 158).