POLSKA

1. Status implementacji

   Gotowa ustawa (Opublikowana i wchodząca w życie).

2. Nazwa lokalnej ustawy: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
• Link: https://api.sejm.gov.pl/eli/acts/DU/2026/252/text.pdf – ustawa została opublikowana w Dzienniku Ustaw na początku marca 2026 r.
• Data wejścia w życie: Ustawa wchodzi w życie 3 kwietnia 2026 r. (po upływie miesięcznego vacatio legis od ogłoszenia).

3. Branże kluczowe i ważne
• Podział na podmioty kluczowe (m.in. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, administracja publiczna) oraz podmioty ważne (m.in. produkcja, żywność, gospodarka odpadami, usługi pocztowe, chemikalia).

4. Środki techniczne:
• Zapory sieciowe oraz IDS/IPS: Obowiązkowe jako element bezpieczeństwa sieci i systemów informatycznych.
• MFA (Uwierzytelnianie wieloskładnikowe): Ustawa wprost wskazuje na konieczność stosowania silnego uwierzytelniania, zwłaszcza w dostępie zdalnym i administracyjnym.
• Narzędzia szyfrujące i SIEM: Wymagane w celu zapewnienia poufności danych oraz ciągłego monitorowania incydentów (wykrywanie anomalii).
• Ochrona punktów końcowych (EDR/XDR) oraz zarządzanie podatnościami: Kluczowe elementy proaktywnej obrony, wymagane przez polskie organy nadzorcze.
• Backup i Recovery: Bezpośredni wymóg ustawowy dotyczący ciągłości działania i zarządzania kryzysowego.
• Bezpieczeństwo łańcucha dostaw: Nowość w UKSC – podmioty muszą technicznie i kontraktowo weryfikować bezpieczeństwo dostawców ICT.
• Dostawca Wysokiego Ryzyka (DWR): Mechanizm pozwalający na wykluczenie dostawców sprzętu/oprogramowania uznanych za zagrożenie dla bezpieczeństwa narodowego (przepis ten został skierowany przez Prezydenta do kontroli następczej w Trybunale Konstytucyjnym, ale obecnie obowiązuje).

5. Środki organizacyjne:
• Zarządzanie bezpieczeństwem i obsługa incydentów: Ustanowienie stałych kanałów raportowania do CSIRT poziomu krajowego (NASK, GOV, MON) oraz procedur natychmiastowej analizy i ograniczania skutków ataków w trybie 24/7.
• Nadzór nad łańcuchem dostaw: Wprowadzenie rygorystycznej weryfikacji dostawców usług i produktów ICT, obejmującej ocenę ich odporności oraz egzekwowanie wymogów bezpieczeństwa w umowach (w tym procedury wycofywania rozwiązań od „dostawców wysokiego ryzyka”).
• Systematyczne testowanie i weryfikacja skuteczności: Przeprowadzanie obowiązkowych audytów bezpieczeństwa (co 2 lata dla podmiotów kluczowych) oraz realizacja cyklicznych testów penetracyjnych, które weryfikują realną odporność systemów.
• Ciągłe wyszukiwanie podatności i zarządzanie poprawkami: Uruchomienie procesów stałego monitorowania luk w oprogramowaniu i infrastrukturze, połączone z harmonogramem priorytetowego wdrażania aktualizacji (Patch Management).
• Sformalizowana kontrola dostępu i stosowanie kryptografii: Wdrożenie procedur nadawania uprawnień wyłącznie do niezbędnych zasobów oraz zatwierdzonych przez kierownictwo zasad szyfrowania danych w spoczynku i transmisji.
• Zarządzanie kontami uprzywilejowanymi (PAM): Wprowadzenie szczególnego nadzoru nad dostępami administratorów i personelu technicznego, aby zapobiec nadużyciom uprawnień i atakom wewnętrznym.
• Zapewnienie ciągłości działania i odtwarzania po awarii (BCP/DRP): Utrzymywanie aktualnych planów awaryjnych oraz procedur odzyskiwania danych z kopii zapasowych, pozwalających na szybki powrót do pracy po incydencie.
• Edukacja i budowanie świadomości (Higiena Cybernetyczna): Realizacja cyklicznych programów szkoleniowych dla pracowników wszystkich szczebli, obejmujących zasady bezpiecznej pracy, rozpoznawanie phishingu i ochronę przed socjotechniką.
• Zarządzanie zasobami i nośnikami wymiennymi: Wprowadzenie ewidencji całego sprzętu IT/OT oraz procedur bezpiecznego korzystania z zewnętrznych pamięci i fizycznej ochrony nośników danych.
• Zasady bezpieczeństwa personelu: Wdrożenie procesów weryfikacji pracowników na kluczowych stanowiskach przed zatrudnieniem oraz procedur natychmiastowego odbierania uprawnień po rozwiązaniu współpracy.

6. Szkolenia:
• Programy podnoszenia odporności użytkowników końcowych (Higiena Cybernetyczna): Realizacja cyklicznych warsztatów dla wszystkich pracowników organizacji, koncentrujących się na rozpoznawaniu prób manipulacji (socjotechnika, phishing), zasadach bezpiecznej pracy zdalnej oraz fizycznej ochronie zasobów informacyjnych.
• Specjalistyczne szkolenia dla zespołów IT i Cyberbezpieczeństwa: Systematyczne podnoszenie kompetencji technicznych personelu odpowiedzialnego za infrastrukturę. Obejmuje to certyfikowane kursy z zakresu reagowania na incydenty, analizy złośliwego oprogramowania oraz zaawansowanej administracji systemami bezpieczeństwa.
• Szkolenia z obsługi i konfiguracji wdrożonych rozwiązań cybersecurity: Obowiązkowe sesje techniczne dedykowane konkretnym narzędziom eksploatowanym w organizacji (np. systemy klasy EDR/XDR, SIEM, zapory ogniowe nowej generacji, systemy PAM). Proces ten zapewnia, że osoby zarządzające tymi narzędziami w pełni wykorzystują ich potencjał obronny i potrafią prawidłowo interpretować generowane przez nie alerty
• Warsztaty z procedur operacyjnych i reagowania: Praktyczne ćwiczenia dla zespołów technicznych oparte na symulacjach rzeczywistych ataków, mające na celu wypracowanie automatyzmów w obsłudze incydentów zgodnie z przyjętymi w organizacji schematami działania.
• Budowanie świadomości kadry zarządzającej: Szkolenia zarządu są obowiązkowe (coroczne) i obejmują odpowiedzialność prawną, zarządzanie ryzykiem oraz reakcję na kryzys. Dodatkowo kadra musi przejść ten sam program, co każdy pracownik: od rozpoznawania phishingu po higienę haseł, by dawać przykład i znać realne zagrożenia wewnątrz firmy.
• Ciągły proces aktualizacji wiedzy o zagrożeniach (Threat Intelligence): Zapewnienie specjalistom IT dostępu do bieżących informacji o nowych metodach ataków (TTPs) oraz szkolenia z zakresu wdrażania adekwatnych zabezpieczeń przed nowo odkrytymi podatnościami typu zero-day.