Art. 30. u.k.s.c. Zgłaszanie incydentów do CSIRT NASK

Brzmienie obowiązuje od 3 kwietnia 2026 r. Zmieniono: ust. 1, ust. 2. Podstawa: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252.

Zmiana uchwalona, wejdzie w życie po ogłoszeniu ustawy zmieniającej. Zmiana obejmie: ust. 1, ust. 2. Podstawa: Ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

1. Podmioty inne niż podmioty kluczowe lub podmioty ważne, w tym osoby fizyczne, mogą zgłosić incydent do CSIRT NASK. W zgłoszeniu należy podać:

1) nazwę podmiotu lub systemu informacyjnego, w którym wystąpił incydent;

2) opis incydentu;

3) inne istotne informacje.

2. Zgłoszenia incydentów od podmiotów kluczowych lub podmiotów ważnych są traktowane priorytetowo względem zgłoszeń, o których mowa w ust. 1.

3. Zgłoszenia, o których mowa w ust. 1, mogą zostać rozpatrzone, gdy nie stanowi to nieproporcjonalnego czy nadmiernego obciążenia dla CSIRT NASK.

4. Podmiot, o którym mowa w ust. 1, oznacza w zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.

Komentarz do Art. 30. uksc

Przepis określa zasady zgłaszania incydentów do CSIRT NASK przez podmioty inne niż podmioty kluczowe lub podmioty ważne, w tym przez osoby fizyczne. Zgłoszenie może obejmować incydent dotyczący podmiotu albo systemu informacyjnego, w którym incydent wystąpił. Powinno zawierać trzy podstawowe elementy:

nazwę podmiotu lub systemu informacyjnego,
opis incydentu,
inne istotne informacje.

Regulacja rozróżnia sposób traktowania zgłoszeń. Zgłoszenia pochodzące od podmiotów kluczowych lub podmiotów ważnych mają pierwszeństwo przed zgłoszeniami składanymi na podstawie ust. 1. Oznacza to, że zgłoszenia od innych podmiotów, w tym osób fizycznych, mogą zostać rozpatrzone wtedy, gdy nie powoduje to nieproporcjonalnego lub nadmiernego obciążenia CSIRT NASK. Samo zgłoszenie nie gwarantuje więc jego rozpatrzenia, ponieważ znaczenie ma również obciążenie tego zespołu oraz priorytet przyznany zgłoszeniom podmiotów kluczowych i ważnych.

Szczególne znaczenie ma obowiązek oznaczenia w zgłoszeniu informacji stanowiących tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa. Przepis wskazuje zatem zarówno zakres podstawowych danych przekazywanych przy zgłoszeniu, jak i sposób wyróżnienia informacji wymagających ochrony. W praktyce tworzy to prostą podstawę do przekazania informacji o incydencie przez szeroki krąg zgłaszających, przy jednoczesnym zachowaniu priorytetu zgłoszeń od podmiotów kluczowych i ważnych.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2023 r. poz. 913.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 28. uksc Art. 31. uksc