Art. 10. u.k.s.c. Obowiązek opracowania, wdrożenia i aktualizacji dokumentacji cyberbezpieczeństwa systemu informacyjnego…

Brzmienie obowiązuje od 3 kwietnia 2026 r. Zmieniono: art. 9, art. 10. Podstawa: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252.

1. Podmiot kluczowy lub podmiot ważny opracowuje, stosuje i aktualizuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.

2. Do dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, o której mowa w ust. 1, zalicza się:

1) dokumentację normatywną;

2) dokumentację operacyjną.

3. Dokumentację normatywną stanowią:

1) dokumentacja systemu zarządzania bezpieczeństwem informacji;

2) dokumentacja ochrony infrastruktury, z wykorzystaniem której jest świadczona usługa, obejmująca:

a) charakterystykę usługi oraz infrastruktury, w której świadczona jest usługa,

b) ocenę aktualnego stanu ochrony infrastruktury,

c) szacowanie ryzyka dla obiektów infrastruktury,

d) plan postępowania z ryzykiem,

e) opis zabezpieczeń technicznych obiektów infrastruktury,

f) zasady organizacji i wykonywania ochrony fizycznej infrastruktury,

g) dane o specjalistycznej uzbrojonej formacji ochronnej, o której mowa w art. 2 pkt 7 ustawy z dnia 22 sierpnia 1997 r. o ochronie osób i mienia (Dz. U. z 2025 r. poz. 532), chroniącej infrastrukturę – jeżeli występuje;

3) dokumentacja systemu zarządzania ciągłością działania;

4) dokumentacja techniczna systemu informacyjnego wykorzystywanego w procesie świadczenia usługi;

5) dokumentacja wynikająca ze specyfiki świadczonej usługi w danym sektorze lub podsektorze.

4. Dokumentację operacyjną stanowią zapisy poświadczające wykonywanie czynności wymaganych przez postanowienia zawarte w dokumentacji normatywnej, w tym automatycznie generowane zapisy w dziennikach systemów informacyjnych.

5. Dokumentacja dotycząca bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi może być prowadzona w postaci papierowej lub w postaci elektronicznej.

6. Podmiot kluczowy lub podmiot ważny jest obowiązany do ustanowienia nadzoru nad dokumentacją dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, zapewniającego:

1) dostępność dokumentów wyłącznie dla osób upoważnionych, zgodnie z realizowanymi przez nie zadaniami;

2) ochronę dokumentów przed uszkodzeniem, zniszczeniem, utratą, nieuprawnionym dostępem, niewłaściwym użyciem lub utratą integralności;

3) oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w tych dokumentach.

7. Podmiot kluczowy lub podmiot ważny przechowuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi przez okres co najmniej 2 lat od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi, liczony od dnia 1 stycznia roku następującego po roku, w którym wygasa okres jej przechowywania. Przepisu nie stosuje się do podmiotów podlegających ustawie z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164 oraz z 2025 r. poz. 1173).

8. Zniszczenie wycofanej z użytkowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi potwierdza się protokołem brakowania zawierającym w szczególności: datę protokołu, oznaczenie niszczonej dokumentacji, opis sposobu zniszczenia, dane osoby zatwierdzającej protokół. Protokoły brakowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi są przechowywane w sposób trwały.

Komentarz do Art. 10. uksc

Przepis określa zasady tworzenia, prowadzenia i ochrony dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego przy świadczeniu usługi. Obowiązek ten dotyczy podmiotu kluczowego oraz podmiotu ważnego. Dokumentacja ma być opracowywana, stosowana i aktualizowana.

Dokumentacja obejmuje dwie podstawowe części:

dokumentację normatywną, czyli między innymi dokumentację systemu zarządzania bezpieczeństwem informacji, ochrony infrastruktury, zarządzania ciągłością działania oraz dokumentację techniczną systemu informacyjnego;
dokumentację operacyjną, którą tworzą zapisy potwierdzające wykonywanie czynności wymaganych przez dokumentację normatywną, w tym automatycznie generowane zapisy w dziennikach systemów informacyjnych.

Dokumentacja ochrony infrastruktury powinna uwzględniać między innymi charakterystykę usługi i infrastruktury, ocenę jej aktualnego stanu ochrony, szacowanie ryzyka, plan postępowania z ryzykiem, zabezpieczenia techniczne oraz zasady ochrony fizycznej. Jeżeli przy ochronie infrastruktury działa specjalistyczna uzbrojona formacja ochronna, dokumentacja obejmuje również dane o tej formacji. Zakres dokumentacji może także wynikać ze specyfiki usługi w danym sektorze lub podsektorze.

Dokumentacja może być prowadzona w formie papierowej albo elektronicznej, ale musi podlegać nadzorowi. Obejmuje on ograniczenie dostępu do osób upoważnionych, ochronę przed uszkodzeniem, utratą lub nieuprawnionym użyciem oraz oznaczanie kolejnych wersji, tak aby można było ustalić wprowadzone zmiany. Dokumentację przechowuje się co najmniej przez 2 lata od jej wycofania z użytkowania lub zakończenia świadczenia usługi, z wyjątkiem podmiotów podlegających przepisom o narodowym zasobie archiwalnym i archiwach. Zniszczenie dokumentacji potwierdza protokół brakowania, który podlega trwałemu przechowywaniu.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2023 r. poz. 913.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 9. uksc Art. 11. uksc