Art. 12. u.k.s.c. Zgłoszenie incydentu poważnego

Brzmienie obowiązuje od 3 kwietnia 2026 r. Zmieniono: art. 12. Podstawa: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252.

1. Wczesne ostrzeżenie, o którym mowa w art. 11 ust. 1 pkt 4, zawiera:

1) dane podmiotu zgłaszającego, w tym firmę przedsiębiorcy, numer z właściwego rejestru, siedzibę i adres;

2) imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby dokonującej zgłoszenia;

3) imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby uprawnionej do składania wyjaśnień dotyczących zgłaszanych informacji;

4) wskazanie momentu wystąpienia i wykrycia incydentu poważnego oraz czas jego trwania;

5) wskazanie, czy incydent poważny został wywołany działaniem bezprawnym lub działaniem w złej wierze, jeżeli możliwe jest dokonanie takiej oceny;

6) określenie, czy incydent dotyczy innych państw członkowskich Unii Europejskiej.

2. Wczesne ostrzeżenie, o którym mowa w art. 11 ust. 1 pkt 4, może zawierać wniosek o wskazanie wytycznych dotyczących możliwych do wdrożenia środków ograniczających skutki incydentu poważnego lub o dodatkowe wsparcie techniczne przy obsłudze incydentu. CSIRT sektorowy niepóźniej niż w ciągu 24 godzin przekazuje podmiotowi zgłaszającemu wytyczne dotyczące wdrożenia środków lub udziela dodatkowego wsparcia technicznego, a w przypadku incydentu poważnego wyczerpującego znamiona przestępstwa również informacje o sposobie zgłoszenia organom ścigania.

3. Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4a, zawiera:

1) opis wpływu incydentu poważnego na świadczenie usługi, w tym:

a) wskazanie usługi zgłaszającego, na którą incydent poważny miał wpływ,

b) liczbę użytkowników usługi, na których incydent poważny miał wpływ,

c) zasięg geograficzny obszaru, którego dotyczy incydent poważny,

d) wpływ incydentu poważnego na świadczenie usługi przez inne podmioty;

2) opis przyczyn tego incydentu, sposób jego przebiegu oraz prawdopodobne skutki oddziaływania na systemy informacyjne lub świadczone usługi;

3) informacje o podjętych działaniach zapobiegawczych;

4) informacje o podjętych działaniach naprawczych;

5) aktualizację informacji, o których mowa w ust. 1, jeżeli nastąpiła ich zmiana.

4. Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4a, może zawierać także inne istotne informacje związane z przebiegiem incydentu poważnego lub podjętymi działaniami.

5. Podmiot kluczowy lub podmiot ważny przekazuje informacje znane mu w chwili dokonywania zgłoszenia, o którym mowa w art. 11 ust. 1 pkt 4a, które uzupełnia w trakcie obsługi incydentu poważnego.

6. Podmiot kluczowy lub podmiot ważny przekazuje, w niezbędnym zakresie, we wczesnym ostrzeżeniu, o którym mowa w art. 11 ust. 1 pkt 4, lub zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4a, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego.

7. Właściwy CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy może zwrócić się do podmiotu kluczowego lub podmiotu ważnego o uzupełnienie wczesnego ostrzeżenia, o którym mowa w art. 11 ust. 1 pkt 4, lub zgłoszenia, o którym mowa w art. 11 ust. 1 pkt 4a, o informacje, w tym informacje stanowiące tajemnice prawnie chronione, w zakresie niezbędnym do realizacji zadań, o których mowa w ustawie.

8. We wczesnym ostrzeżeniu, o którym mowa w art. 11 ust. 1 pkt 4, lub w zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4a, podmiot kluczowy lub podmiot ważny oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.

Komentarz do Art. 12. uksc

Przepis określa zakres informacji przekazywanych we wczesnym ostrzeżeniu o incydencie poważnym oraz w późniejszym zgłoszeniu dotyczącym tego incydentu. Rozróżnia przy tym dwa poziomy raportowania, wskazane w art. 11 ust. 1 pkt 4 i 4a.

Wczesne ostrzeżenie powinno identyfikować podmiot zgłaszający oraz osoby odpowiedzialne za zgłoszenie i składanie wyjaśnień. Musi także wskazywać moment wystąpienia i wykrycia incydentu, czas jego trwania, ewentualny bezprawny lub dokonany w złej wierze charakter oraz to, czy zdarzenie dotyczy innych państw członkowskich Unii Europejskiej. Jeżeli podmiot potrzebuje pomocy, ostrzeżenie może obejmować wniosek o wytyczne dotyczące ograniczenia skutków incydentu albo o dodatkowe wsparcie techniczne. CSIRT sektorowy przekazuje wytyczne lub udziela wsparcia nie później niż w ciągu 24 godzin. Gdy incydent może stanowić przestępstwo, przekazuje również informacje o sposobie zgłoszenia go organom ścigania.

Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4a, ma szerszy zakres. Obejmuje wpływ incydentu na usługę, liczbę dotkniętych nim użytkowników, zasięg geograficzny oraz oddziaływanie na usługi innych podmiotów. Zawiera też opis przyczyn i przebiegu zdarzenia, jego prawdopodobnych skutków oraz działań zapobiegawczych i naprawczych. Informacje znane w chwili zgłoszenia podmiot kluczowy lub ważny uzupełnia w toku obsługi incydentu, a zmienione dane aktualizuje.

Przepis pozwala przekazywać również inne istotne informacje. Dopuszcza ujawnienie, w niezbędnym zakresie, informacji objętych tajemnicą prawnie chronioną, w tym tajemnicą przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT. Takie informacje należy oznaczyć jako prawnie chronione. CSIRT może także żądać uzupełnienia ostrzeżenia lub zgłoszenia, również o takie informacje.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2023 r. poz. 913.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 11. uksc Art. 12a. uksc