Projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny

Informacje o publikacji dokumentu

Pierwsza publikacja:: 13.08.2026 13:20 Monika Majewska
Wytwarzający/ Odpowiadający:: Minister Cyfryzacji

Tytuł	Wersja	Dane zmiany / publikacji
Projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny	1.0	13.08.2026 13:20 Monika Majewska

Aby uzyskać archiwalną wersję należy skontaktować się z Redakcją BIP

{"register":{"columns":[{"header":"Numer projektu","value":"RD326","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"sequence":{"regex":"RD{#RD_1}"},"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Rodzaj dokumentu","registerId":20874195,"dictionaryValues":[{"id":"Projekty rozporządzeń","value":"Projekty rozporządzeń"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Typ dokumentu","registerId":20874195,"dictionaryValues":[{"id":"D – pozostałe projekty","value":"D – pozostałe projekty"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Informacja dodatkowa","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Cele projektu oraz informacja o przyczynach i potrzebie rozwiązań planowanych w projekcie","value":"Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, zwana dalej „ustawą” nakłada na podmioty kluczowe oraz podmioty ważne obowiązek zgłaszania incydentów poważnych za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ustawy do właściwego zespołu CSIRT sektorowego w terminie 72 godzin od momentu wykrycia incydentu. Incydent poważny został zdefiniowany w ustawie jako incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, może powodować straty finansowe dla tego podmiotu lub incydent ten wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej. Jednocześnie ustawa przewiduje, że progi uznania incydentu za poważny zostaną ustalone w rozporządzeniu Rady Ministrów, wydanym na podstawie art. 11 ust. 4 ustawy. Określenie progów uznania incydentu za poważny umożliwi podmiotom z danego sektora ustalenie momentu, w którym powstaje obowiązek zgłoszenia incydentu poważnego do właściwego zespołu CSIRT sektorowego. Jest to również istotne, gdyż brak zgłoszenia incydentu poważnego przez podmiot kluczowy i podmiot ważny spowoduje konieczność nałożenia administracyjnej kary pieniężnej na dany podmiot. Ponadto incydenty poważne negatywnie oddziałują nie tylko na sam podmiot kluczowy lub podmiot ważny, w którym incydent wystąpił ale też w istotny sposób oddziałują na użytkowników usług danego podmiotu oraz na społeczeństwo i gospodarkę. Stąd konieczne jest, aby incydenty poważne były zgłaszane do CSIRT sektorowych, aby mogły one zareagować na incydent i wesprzeć podmiot kluczowy lub podmiot ważny w jego obsłudze. Informacja o incydencie poważnym jest również istotna dla CSIRT poziomu krajowego, które na bieżąco prowadzą szacowanie ryzyka na poziomie krajowym. Prawidłowe ustalenie progów uznania incydentu za incydent poważny z jednej strony powinno uwzględnić zdarzenia rzeczywiście niebezpieczne, z drugiej strony progi nie powinny dotyczyć zdarzeń, które mają nikły wpływ na funkcjonowanie podmiotu.\nDotychczasowe rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz. U. poz. 2180) zostało utrzymane w mocy do czasu wydania nowego rozporządzenia, nie dłużej niż przez 12 miesięcy od dnia wejścia w życie ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. poz. 252). Jest to spójne z równocześnie trwającym okresem dostosowawczym dla podmiotów kluczowych i podmiotów ważnych, które do 3 kwietnia 2027 r. mają podjąć niezbędne czynności techniczne i organizacyjne w celu stosowania ustawy. Dotychczasowe rozporządzenie nie obejmuje wszystkich nowych sektorów dodanych ustawą z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, z tego powodu konieczne jest wydanie rozporządzenia, które określi nowe progi incydentu poważnego.","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Istota rozwiązań planowanych w projekcie, w tym proponowane środki realizacji","value":"Podmioty kluczowe i podmioty ważne identyfikując incydent i rejestrując go, będą dokonywały klasyfikacji incydentu jako poważnego na podstawie progów uznawania incydentu za poważny. Progi te, w zależności od rodzaju zdarzenia, określają liczbę użytkowników, których dotyczy zakłócenie świadczenia usługi, czas oddziaływania incydentu na świadczoną usługę, zasięg geograficzny obszaru, którego dotyczy ten incydent lub inne czynniki charakterystyczne dla danego sektora lub podsektora.\nProjektowane rozporządzenie zastępuje dotychczas obowiązujące rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny. W stosunku do obowiązujących przepisów wprowadza ono zmiany polegające w szczególności na dostosowaniu progów do aktualnych realiów funkcjonowania usług oraz wymagań wynikających z prawa Unii Europejskiej, w tym dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającą rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającą dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz. Urz. UE L 333 z 27.12.2022, str. 80).\nRozporządzenie określa progi uznania incydentu za poważny dla następujących sektorów i podsektorów (jeśli występuje): \n1. Sektor: Energia; Podsektor: Wydobywanie kopalin, Energia elektryczna, Ciepło, Ropa i paliwa, Gaz, Energetyka jądrowa, Wodór. \n2. Sektor: Transport; Podsektor: Transport lotniczy, Transport kolejowy, Transport wodny, Transport drogowy.\n3. Sektor: Ochrona zdrowia; Podsektor: Udzielanie świadczeń zdrowotnych i zdrowie publiczne, Produkcja i dystrybucja substancji czynnych, Produktów leczniczych i wyrobów medycznych.\n4. Sektor: Zaopatrzenie w wodę pitną i jej dystrybucja.\n5. Sektor: Zbiorowe odprowadzanie ścieków.\n6. Sektor: Infrastruktura cyfrowa; Podsektor: Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej, Komunikacja elektroniczna.\n7. Sektor: Przestrzeń kosmiczna.\n8. Sektor: Podmioty publiczne.\n9. Sektor: Usługi pocztowe.\n10. Sektor: Inwestycje energetyki jądrowej.\n11. Sektor: Gospodarowanie odpadami; Podsektor: Zbieranie odpadów, Transport odpadów, Przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów, Działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami.\n12. Sektor: Produkcja, wytwarzanie i dystrybucja chemikaliów.\n13. Sektor: Produkcja, przetwarzanie i dystrybucja żywności.\n14. Sektor: Produkcja; Podsektor: Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro, Produkcja komputerów, wyrobów elektronicznych i optycznych, Produkcja urządzeń elektrycznych, Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana, Produkcja pojazdów samochodowych, przyczep i naczep, Produkcja pozostałego sprzętu transportowego.\n15. Sektor: Badania naukowe. \nProjekt rozporządzenia oparto na dotychczasowym rozporządzeniu Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny w zakresie w jakim dotyczy dotychczasowych sektorów. W pozostałym zakresie uzupełniono progi uznania incydentu za poważny dla nowych sektorów.","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Oddziaływanie na życie społeczne nowych regulacji prawnych","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Spodziewane skutki i następstwa projektowanych regulacji prawnych","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Sposoby mierzenia efektów nowych regulacji prawnych","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Organ odpowiedzialny za opracowanie projektu","registerId":20874195,"dictionaryValues":[{"id":"MC","value":"MC"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Organ współpracujący przy opracowaniu projektu","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Osoba odpowiedzialna za opracowanie projektu","value":"Paweł Olszewski Sekretarz Stanu","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Organ odpowiedzialny za przedłożenie projektu RM","registerId":20874195,"dictionaryValues":[{"id":"MC","value":"MC"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Planowany termin przyjęcia projektu przez RM","value":"III/IV kwartał 2026 r. ","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Informacja o rezygnacji z prac nad projektem","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Status realizacji","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"}]}}

RD326

Projekty rozporządzeń

D – pozostałe projekty

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, zwana dalej „ustawą” nakłada na podmioty kluczowe oraz podmioty ważne obowiązek zgłaszania incydentów poważnych za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ustawy do właściwego zespołu CSIRT sektorowego w terminie 72 godzin od momentu wykrycia incydentu. Incydent poważny został zdefiniowany w ustawie jako incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, może powodować straty finansowe dla tego podmiotu lub incydent ten wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej. Jednocześnie ustawa przewiduje, że progi uznania incydentu za poważny zostaną ustalone w rozporządzeniu Rady Ministrów, wydanym na podstawie art. 11 ust. 4 ustawy. Określenie progów uznania incydentu za poważny umożliwi podmiotom z danego sektora ustalenie momentu, w którym powstaje obowiązek zgłoszenia incydentu poważnego do właściwego zespołu CSIRT sektorowego. Jest to również istotne, gdyż brak zgłoszenia incydentu poważnego przez podmiot kluczowy i podmiot ważny spowoduje konieczność nałożenia administracyjnej kary pieniężnej na dany podmiot. Ponadto incydenty poważne negatywnie oddziałują nie tylko na sam podmiot kluczowy lub podmiot ważny, w którym incydent wystąpił ale też w istotny sposób oddziałują na użytkowników usług danego podmiotu oraz na społeczeństwo i gospodarkę. Stąd konieczne jest, aby incydenty poważne były zgłaszane do CSIRT sektorowych, aby mogły one zareagować na incydent i wesprzeć podmiot kluczowy lub podmiot ważny w jego obsłudze. Informacja o incydencie poważnym jest również istotna dla CSIRT poziomu krajowego, które na bieżąco prowadzą szacowanie ryzyka na poziomie krajowym. Prawidłowe ustalenie progów uznania incydentu za incydent poważny z jednej strony powinno uwzględnić zdarzenia rzeczywiście niebezpieczne, z drugiej strony progi nie powinny dotyczyć zdarzeń, które mają nikły wpływ na funkcjonowanie podmiotu.
Dotychczasowe rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz. U. poz. 2180) zostało utrzymane w mocy do czasu wydania nowego rozporządzenia, nie dłużej niż przez 12 miesięcy od dnia wejścia w życie ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. poz. 252). Jest to spójne z równocześnie trwającym okresem dostosowawczym dla podmiotów kluczowych i podmiotów ważnych, które do 3 kwietnia 2027 r. mają podjąć niezbędne czynności techniczne i organizacyjne w celu stosowania ustawy. Dotychczasowe rozporządzenie nie obejmuje wszystkich nowych sektorów dodanych ustawą z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, z tego powodu konieczne jest wydanie rozporządzenia, które określi nowe progi incydentu poważnego.

Podmioty kluczowe i podmioty ważne identyfikując incydent i rejestrując go, będą dokonywały klasyfikacji incydentu jako poważnego na podstawie progów uznawania incydentu za poważny. Progi te, w zależności od rodzaju zdarzenia, określają liczbę użytkowników, których dotyczy zakłócenie świadczenia usługi, czas oddziaływania incydentu na świadczoną usługę, zasięg geograficzny obszaru, którego dotyczy ten incydent lub inne czynniki charakterystyczne dla danego sektora lub podsektora.
Projektowane rozporządzenie zastępuje dotychczas obowiązujące rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny. W stosunku do obowiązujących przepisów wprowadza ono zmiany polegające w szczególności na dostosowaniu progów do aktualnych realiów funkcjonowania usług oraz wymagań wynikających z prawa Unii Europejskiej, w tym dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającą rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającą dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz. Urz. UE L 333 z 27.12.2022, str. 80).
Rozporządzenie określa progi uznania incydentu za poważny dla następujących sektorów i podsektorów (jeśli występuje):
1. Sektor: Energia; Podsektor: Wydobywanie kopalin, Energia elektryczna, Ciepło, Ropa i paliwa, Gaz, Energetyka jądrowa, Wodór.
2. Sektor: Transport; Podsektor: Transport lotniczy, Transport kolejowy, Transport wodny, Transport drogowy.
3. Sektor: Ochrona zdrowia; Podsektor: Udzielanie świadczeń zdrowotnych i zdrowie publiczne, Produkcja i dystrybucja substancji czynnych, Produktów leczniczych i wyrobów medycznych.
4. Sektor: Zaopatrzenie w wodę pitną i jej dystrybucja.
5. Sektor: Zbiorowe odprowadzanie ścieków.
6. Sektor: Infrastruktura cyfrowa; Podsektor: Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej, Komunikacja elektroniczna.
7. Sektor: Przestrzeń kosmiczna.
8. Sektor: Podmioty publiczne.
9. Sektor: Usługi pocztowe.
10. Sektor: Inwestycje energetyki jądrowej.
11. Sektor: Gospodarowanie odpadami; Podsektor: Zbieranie odpadów, Transport odpadów, Przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów, Działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami.
12. Sektor: Produkcja, wytwarzanie i dystrybucja chemikaliów.
13. Sektor: Produkcja, przetwarzanie i dystrybucja żywności.
14. Sektor: Produkcja; Podsektor: Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro, Produkcja komputerów, wyrobów elektronicznych i optycznych, Produkcja urządzeń elektrycznych, Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana, Produkcja pojazdów samochodowych, przyczep i naczep, Produkcja pozostałego sprzętu transportowego.
15. Sektor: Badania naukowe.
Projekt rozporządzenia oparto na dotychczasowym rozporządzeniu Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny w zakresie w jakim dotyczy dotychczasowych sektorów. W pozostałym zakresie uzupełniono progi uznania incydentu za poważny dla nowych sektorów.

Paweł Olszewski Sekretarz Stanu

III/IV kwartał 2026 r.