Art. 49. u.k.s.c. Dane przekazywane przez Pojedynczy Punkt Kontaktowy Grupie Współpracy

Brzmienie obowiązuje od 3 kwietnia 2026 r. Zmieniono: pkt 5, pkt 4, ust. 4, ust. 5, ust. 6, ust. 7, ust. 8. Podstawa: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw – Dz.U. 2026 poz. 252.

Zmiana uchwalona, wejdzie w życie po ogłoszeniu ustawy zmieniającej. Zmiana obejmie: pkt 5, pkt 4, ust. 4, ust. 5, ust. 6, ust. 7, ust. 8. Podstawa: Ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

Zobacz zapowiedziane brzmienie

Ten tekst jeszcze nie obowiązuje. Zacznie obowiązywać po ogłoszeniu ustawy zmieniającej.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

4. Pojedynczy Punkt Kontaktowy przekazuje ENISA aktualne dane z wykazu dotyczące dostawców usług DNS, rejestrów nazw domen najwyższego poziomu (TLD), dostawców chmury obliczeniowej, dostawców usługi centrum przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie cyberbezpieczeństwa, jak również dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych.

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

6) informację o wyznaczeniu przedstawiciela wraz z danymi kontaktowymi, o których mowa w art. 7 ust. 2 pkt 17 lit. a lub b; 7) adresy innych miejsc prowadzenia działalności na terenie Unii Europejskiej; 92

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

7. Organ właściwy do spraw cyberbezpieczeństwa dla sektora infrastruktury cyfrowej, CSIRT sektorowy dla tego sektora oraz CSIRT MON, CSIRT NASK, CSIRT GOV może, za pośrednictwem Pojedynczego Punktu Kontaktowego, złożyć wniosek do ENISA o udostępnienie danych z rejestru dostawców usług DNS, rejestrów nazw domen najwyższego poziomu (TLD), dostawców chmury obliczeniowej, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie cyberbezpieczeństwa, jak również dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych. We wniosku wskazuje się zakres żądanych danych.

8. Organy właściwe do spraw cyberbezpieczeństwa, Szef Agencji Bezpieczeństwa Wewnętrznego, Minister Obrony Narodowej, minister właściwy do spraw informatyzacji mogą, za pomocą Pojedynczego Punktu Kontaktowego, zwrócić się do ENISA o udzielenie wsparcia przy rozwijaniu CSIRT sektorowych oraz CSIRT MON, CSIRT NASK lub CSIRT GOV.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5. Dane, o których mowa w ust. 4, obejmują: 1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o: 1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

1. Pojedynczy Punkt Kontaktowy przekazuje Grupie Współpracy:

1) informacje, o których mowa w art. 45 ust. 1 pkt 3;

2) dobre praktyki, o których mowa w art. 45 ust. 1 pkt 4, związane ze zgłaszaniem incydentów;

3) propozycje do programu prac Grupy Współpracy;

4) dobre praktyki krajowe dotyczące podnoszenia świadomości, szkoleń, badań i rozwoju z zakresu cyberbezpieczeństwa;

5) dobre praktyki w odniesieniu do identyfikowania podmiotów kluczowych lub podmiotów ważnych, w tym w odniesieniu do występujących w dwóch lub większej liczbie państw członkowskich Unii Europejskiej zależności dotyczących ryzyka i incydentów.

2. Dane przekazywane Grupie Współpracy nie obejmują informacji, które dotyczą bezpieczeństwa narodowego oraz porządku publicznego.

3. Pojedynczy Punkt Kontaktowy przekazuje organom właściwym do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowym zespołom cyberbezpieczeństwa oraz innym organom władzy publicznej informacje pochodzące z Grupy Współpracy dotyczące:

1) ocen krajowych strategii państw członkowskich Unii Europejskiej w zakresie cyberbezpieczeństwa oraz skuteczności CSIRT, a także dobrych praktyk w zakresie cyberbezpieczeństwa;

2) działań podjętych w odniesieniu do ćwiczeń dotyczących cyberbezpieczeństwa, europejskich programów edukacyjnych i szkoleń, w tym działań Agencji Unii Europejskiej do spraw Bezpieczeństwa Sieci i Informacji (ENISA);

3) wytycznych o charakterze strategicznym dotyczących działalności Sieci CSIRT;

4) dobrych praktyk w zakresie wymiany informacji związanych ze zgłaszaniem w Unii Europejskiej incydentów poważnych przez podmioty kluczowe lub podmioty ważne;

5) dobrych praktyk w krajach członkowskich Unii Europejskiej dotyczących podnoszenia świadomości, szkolenia, zakresu badań i rozwoju w zakresie cyberbezpieczeństwa;

6) dobrych praktyk w zakresie identyfikowania operatorów usług kluczowych przez państwa członkowskie Unii Europejskiej, w tym w odniesieniu do transgranicznych zależności, dotyczących ryzyka i incydentów.

5. Dane, o których mowa w ust. 4, obejmują:

1) nazwę (firmę) podmiotu;

2) sektor, podsektor i rodzaj podmiotu;

3) siedzibę i adres;

4) adres poczty elektronicznej;

5) numer telefonu przyporządkowany do wykonywanej działalności;

6) informację o wyznaczeniu przedstawiciela wraz z danymi kontaktowymi, o których mowa w art. 7 ust. 2 pkt 17 lit. a lub b;

7) adresy innych miejsc prowadzenia działalności na terenie Unii Europejskiej;

8) adres wyznaczonego przedstawiciela, jeśli został wyznaczony;

9) wskazanie państw członkowskich Unii Europejskiej, w których podmiot świadczy usługi;

10) główne miejsce prowadzenia działalności ustalone zgodnie z art. 5a ust. 3–6.

6. Pojedynczy Punkt Kontaktowy, co trzy miesiące, przedkłada ENISA sprawozdanie podsumowujące, zawierające dane o:

1) incydentach poważnych;

2) incydentach;

3) cyberzagrożeniach;

4) potencjalnych zdarzeniach dla cyberbezpieczeństwa.

Komentarz do Art. 49. uksc

Przepis określa zadania Pojedynczego Punktu Kontaktowego w wymianie informacji dotyczących cyberbezpieczeństwa, zarówno z Grupą Współpracy, jak i z organami krajowymi oraz ENISA. Jego rola obejmuje przekazywanie informacji, dobrych praktyk i propozycji dotyczących prac Grupy Współpracy. Przekazywane materiały mogą dotyczyć między innymi zgłaszania incydentów, podnoszenia świadomości, szkoleń, badań i rozwoju, a także identyfikowania podmiotów kluczowych i podmiotów ważnych oraz zależności transgranicznych związanych z ryzykiem i incydentami. Z zakresu tych przekazań wyłączono informacje dotyczące bezpieczeństwa narodowego i porządku publicznego.

Pojedynczy Punkt Kontaktowy przekazuje krajowym organom właściwym do spraw cyberbezpieczeństwa, zespołom CSIRT i innym organom władzy publicznej informacje otrzymane od Grupy Współpracy. Obejmują one między innymi oceny krajowych strategii cyberbezpieczeństwa, skuteczności CSIRT, działania związane z ćwiczeniami, edukacją i szkoleniami, wytyczne strategiczne dla Sieci CSIRT oraz dobre praktyki dotyczące zgłaszania incydentów i identyfikowania operatorów usług kluczowych.

Przepis ustanawia również obowiązki informacyjne wobec ENISA. Pojedynczy Punkt Kontaktowy przekazuje jej aktualne dane z wykazu określonych dostawców usług i platform, obejmujące między innymi nazwę, sektor, adres, dane kontaktowe, informacje o przedstawicielu oraz państwa, w których podmiot świadczy usługi. Co trzy miesiące przedkłada także sprawozdanie o incydentach poważnych, incydentach, cyberzagrożeniach i potencjalnych zdarzeniach dla cyberbezpieczeństwa. Za jego pośrednictwem możliwe jest ponadto występowanie do ENISA o dane z rejestru dostawców oraz o wsparcie przy rozwijaniu wskazanych zespołów CSIRT.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2023 r. poz. 913.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 48. uksc Art. 50. uksc