Art. 35. u.k.s.c. Przekazywanie informacji o incydencie krytycznym między CSIRT; informowanie RCB o incydencie krytycznym

Brzmienie obowiązuje od 3 kwietnia 2026 r. Zmieniono: ust. 1, lit. a, ust. 2a, ust. 4, ust. 5. Podstawa: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252.

Zmiana uchwalona, wejdzie w życie po ogłoszeniu ustawy zmieniającej. Zmiana obejmie: ust. 1, lit. a, ust. 2a, ust. 4, ust. 5. Podstawa: Ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

Zobacz zapowiedziane brzmienie

Ten tekst jeszcze nie obowiązuje. Zacznie obowiązywać po ogłoszeniu ustawy zmieniającej.

1. CSIRT MON, CSIRT NASK i CSIRT GOV przekazują sobie wzajemnie informacje o incydencie krytycznym lub incydencie w cyberbezpieczeństwie na dużą skalę oraz informują o nim Rządowe Centrum Bezpieczeństwa, właściwy CSIRT sektorowy oraz ministra właściwego do spraw zagranicznych.

2a. Informacja, o której mowa w ust. 1, może zawierać dane osobowe tylko wtedy, gdy jest to niezbędne dla ochrony podmiotów krajowego systemu cyberbezpieczeństwa przed incydentami.

2. Informacja, o której mowa w ust. 1, zawiera:

1) wstępną analizę potencjalnych skutków incydentu, z uwzględnieniem w szczególności:

a) liczby użytkowników, których dotyczy incydent,

b) momentu wystąpienia i wykrycia incydentu oraz czasu jego trwania,

c) zasięgu geograficznego obszaru, którego dotyczy incydent;

2) rekomendację w sprawie zwołania Rządowego Zespołu Zarządzania Kryzysowego, o którym mowa w art. 8 ust. 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym.

2a. Informacja, o której mowa w ust. 1, może zawierać dane osobowe tylko wtedy, gdy jest to niezbędne dla ochrony podmiotów krajowego systemu cyberbezpieczeństwa przed incydentami.

3. Informacja, o której mowa w ust. 1, może zawierać wniosek o zwołanie Zespołu do spraw Incydentów Krytycznych, zwanego dalej "Zespołem".

4. W przypadku uzyskania informacji o cyberzagrożeniach CSIRT MON, CSIRT NASK i CSIRT GOV mogą informować się wzajemnie oraz informować o tych zagrożeniach Rządowe Centrum Bezpieczeństwa. Przepisy ust. 2 i 3 stosuje się odpowiednio.

5. CSIRT MON, CSIRT NASK i CSIRT GOV mogą publikować na stronie podmiotowej Biuletynu Informacji Publicznej odpowiednio Ministra Obrony Narodowej, Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego lub Agencji Bezpieczeństwa Wewnętrznego informacje, w niezbędnym zakresie, o podatnościach, incydentach krytycznych oraz o zagrożeniach bezpieczeństwa, o ile przekazywanie informacji przyczyni się do zwiększenia cyberbezpieczeństwa systemów informacyjnych użytkowanych przez obywateli i przedsiębiorców lub zapewnienia bezpiecznego korzystania z tych systemów. Publikowane informacje nie mogą naruszać przepisów o ochronie informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowych.

Komentarz do Art. 35. uksc

Przepis określa zasady wymiany informacji o poważnych zdarzeniach i zagrożeniach w cyberbezpieczeństwie między CSIRT MON, CSIRT NASK i CSIRT GOV. W przypadku incydentu krytycznego lub incydentu w cyberbezpieczeństwie na dużą skalę zespoły te przekazują sobie wzajemnie informacje oraz powiadamiają Rządowe Centrum Bezpieczeństwa, właściwy CSIRT sektorowy i ministra właściwego do spraw zagranicznych.

Informacja o incydencie powinna obejmować wstępną analizę jego potencjalnych skutków. Analiza uwzględnia w szczególności liczbę użytkowników objętych incydentem, moment jego wystąpienia i wykrycia, czas trwania oraz zasięg geograficzny. Może również zawierać rekomendację zwołania Rządowego Zespołu Zarządzania Kryzysowego, a także wniosek o zwołanie Zespołu do spraw Incydentów Krytycznych. Dane osobowe mogą być zawarte w tej informacji wyłącznie wtedy, gdy jest to niezbędne do ochrony podmiotów krajowego systemu cyberbezpieczeństwa przed incydentami.

Regulacja obejmuje również cyberzagrożenia. Po uzyskaniu informacji o takim zagrożeniu wskazane CSIRT mogą informować się wzajemnie oraz powiadamiać o nim Rządowe Centrum Bezpieczeństwa. W tym przypadku odpowiednio stosuje się zasady dotyczące treści informacji i możliwości złożenia wniosku o zwołanie Zespołu.

Znaczenie praktyczne ma także możliwość publicznego udostępniania informacji o podatnościach, incydentach krytycznych i zagrożeniach bezpieczeństwa. Publikacja jest dopuszczalna tylko w niezbędnym zakresie i wtedy, gdy może zwiększyć cyberbezpieczeństwo systemów używanych przez obywateli i przedsiębiorców lub zapewnić bezpieczne korzystanie z tych systemów. Nie może przy tym naruszać ochrony informacji niejawnych, innych tajemnic prawnie chronionych ani danych osobowych.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2023 r. poz. 913.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 34. uksc Art. 35a. uksc