Jeśli jesteś dyrektorem publicznego przedszkola lub żłobka i słyszysz ostatnio o cyberbezpieczeństwie więcej niż zazwyczaj? Takie zwroty jak NIS2 lub ustawa KSC pojawiają się w rozmowach i wiadomościach od organu prowadzącego, ale nie do końca wiesz, czy i w jakim stopniu te przepisy dotyczą Twojej placówki? Jesteś we właściwym miejscu. W tym artykule postaram się wyjaśnić wszystko, co musisz wiedzieć: od podstaw prawnych, przez klasyfikację placówki w systemie, po konkretną listę obowiązków i terminów.
Krajowy system cyberbezpieczeństwa – co oznacza dla przedszkola i żłobka?
Krajowy system cyberbezpieczeństwa to struktura instytucji, przepisów i procedur chroniących sieci i systemy informatyczne w Polsce. Od 3 kwietnia 2026 r. jej formalnym uczestnikiem jest również Twoje przedszkole – jako samorządowa jednostka budżetowa objęta nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa wdrażającą dyrektywę NIS2.
Dla dyrektora w praktyce oznacza to jedno: placówka realizująca zadanie publiczne ma teraz konkretne obowiązki ustawowe w zakresie cyberbezpieczeństwa, przypisany organ nadzoru i terminy, których nie można przesunąć.
Ustawa o krajowym systemie cyberbezpieczeństwa – co się zmieniło?
Dyrektywa NIS 2 – dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 – weszła w życie 16 stycznia 2023 roku. Zastąpiła poprzednią dyrektywę NIS z 2016 r., która okazała się niewystarczająca wobec rosnącej skali cyberataków obejmujących całe sektory usług publicznych.
Każde państwo członkowskie Unii Europejskiej było zobowiązane wdrożyć dyrektywę NIS 2 do prawa krajowego do 17 października 2024 roku. Polska zrobiła to z opóźnieniem – ustawa KSC wdrażająca nowe wymogi weszła w życie 3 kwietnia 2026 r.
Celem dyrektywy jest osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej UE. Zamiast chronić wyłącznie wąsko rozumianą infrastrukturę krytyczną, NIS2 rozszerza ochronę na znacznie szerszy krąg podmiotów – bo ataki cyfrowe na instytucje publiczne mają wpływ transgraniczny i dotykają całego społeczeństwa UE.
Najważniejsze zmiany dla sektora oświaty:
Radykalne rozszerzenie kręgu podmiotów objętych ustawą. Dotychczasowy system obejmował głównie operatorów usług kluczowych – energetykę, transport, bankowość. Nowelizacja włączyła do niego jednostki administracji publicznej i podległe im placówki: szkoły, przedszkola, żłobki, domy pomocy społecznej, biblioteki, muzea. Ministerstwo Cyfryzacji szacuje, że przepisami objętych zostanie łącznie nawet 38 tysięcy podmiotów – w tym tysiące firm prywatnych oraz około 27 tysięcy podmiotów publicznych.
Nowy podział na podmioty kluczowe i podmioty ważne. Zamiast dotychczasowego podziału na operatorów usług kluczowych i dostawców usług cyfrowych ustawa wprowadza dwie nowe kategorie z różnymi poziomami wymagań.
Osobista odpowiedzialność kierownika podmiotu. To rozwiązanie specyficzne dla polskiej ustawy, niemające bezpośredniego odpowiednika w samej dyrektywie NIS 2. Za realizację obowiązków w zakresie cyberbezpieczeństwa odpowiada kierownik podmiotu – w przypadku przedszkola lub żłobka dyrektor – nawet jeśli powierzył te zadania innej osobie lub firmie zewnętrznej.
Obowiązkowe szkolenie kierownika. Dyrektor jako kierownik podmiotu ważnego musi raz w roku odbyć szkolenie w dziedzinie cyberbezpieczeństwa i udokumentować swój udział.
NIS2 w przedszkolu – czy nowe przepisy dotyczą placówek oświatowych?
Tak – i to zdanie zaskakuje większość dyrektorów, bo dyrektywa NIS2 kojarzy się z bankami, elektrowniami i wielkimi korporacjami. Tymczasem ustawodawca objął nią również jednostki publiczne sektora oświaty, w tym publiczne przedszkola i żłobki.
Celem dyrektywy jest osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej UE. Zamiast chronić wyłącznie wąsko rozumianą infrastrukturę krytyczną – elektrownie, wodociągi, sieci telekomunikacyjne – NIS2 rozszerza ochronę na znacznie szerszy krąg podmiotów. Ataki cyfrowe na instytucje publiczne mają bowiem wpływ transgraniczny i dotykają całego społeczeństwa UE, nie tylko pojedynczych organizacji.
Każde państwo członkowskie Unii Europejskiej było zobowiązane wdrożyć dyrektywę do prawa krajowego do 17 października 2024 r. Polska zrobiła to z opóźnieniem – ustawa KSC wdrażająca nowe wymogi weszła w życie 3 kwietnia 2026 r.
Podmioty kluczowe i podmioty ważne – gdzie w tym systemie jest przedszkole?
Ustawa KSC dzieli wszystkie objęte nią organizacje na dwie kategorie podmiotów kluczowych i ważnych. Od tej klasyfikacji zależy zakres Twoich obowiązków.
Podmioty kluczowe to organizacje o najwyższym znaczeniu dla funkcjonowania państwa: duże urzędy administracji rządowej, starostwa powiatowe, szpitale, operatorzy energetyczni, instytucje finansowe. Podlegają pełnemu, 14-obszarowemu systemowi zarządzania bezpieczeństwem informacji (SZBI) i nadzorowi prewencyjnemu – organ właściwy ma możliwość kontroli w każdym czasie.
Podmioty ważne to szeroka kategoria obejmująca m.in. jednostki samorządowe i podległe im instytucje – w tym właśnie żłobki, przedszkola, szkoły, biblioteki, muzea i domy pomocy społecznej. Dla podmiotów ważnych będących podmiotami publicznymi ustawa przewiduje uproszczony model wymagań określony w załączniku nr 4. To realna ulga w porównaniu z podmiotami kluczowymi – jednak obowiązki są wiążące i mają twarde terminy.
Różnica ma też znaczenie dla nadzoru: podmioty ważne podlegają nadzorowi następczemu, uruchamianemu przy uzasadnionym podejrzeniu naruszenia przepisów lub po wystąpieniu poważnego incydentu. Nie oznacza to jednak, że możliwość kontroli nie istnieje – organ może ją zarządzić w każdym przypadku naruszenia nowych regulacji.
Dla publicznych przedszkoli nie ma żadnego progu wielkości. Każda placówka jest podmiotem objętym ustawą, niezależnie od liczby oddziałów czy pracowników.
Nowe obowiązki dyrektora – co wynika z załącznika nr 4 do ustawy KSC?
Zgodnie z uproszczonym modelem z załącznika nr 4 do ustawy KSC, przedszkole jako podmiot ważny musi wdrożyć i utrzymywać system zarządzania bezpieczeństwem informacji obejmujący poniższe obszary.
Inwentaryzacja bezpieczeństwa sieci i systemów informatycznych
Pierwszym krokiem jest sporządzenie rejestru wszystkich zasobów: komputerów, tabletów, drukarek, routerów, oprogramowania i baz danych. Obejmuje to również systemy zewnętrzne, z których korzysta placówka – dziennik elektroniczny, systemy kadrowe, poczta elektroniczna. Bez tej listy niemożliwe jest skuteczne zarządzanie ryzykiem w zakresie ochrony infrastruktury cyfrowej placówki.
Zarządzanie ryzykiem i polityka bezpieczeństwa
Placówka musi wdrożyć politykę bezpieczeństwa informacji – dokument opisujący zasady korzystania z systemów informacyjnych, zarządzania hasłami, aktualizacji oprogramowania i reagowania na zagrożenia. W zakresie zarządzania ryzykiem wymagane jest regularne przeprowadzanie analiz i aktualizowanie środków zarządzania ryzykiem adekwatnie do zidentyfikowanych zagrożeń. Ustawa wprost wskazuje, że działania te mają charakter ciągły, a nie jednorazowy.
Zarządzanie dostępem i wykorzystaniem systemów informacyjnych
Każdy pracownik powinien mieć indywidualne konto z uprawnieniami ograniczonymi do niezbędnego minimum. Zasady dotyczące dostępu i wykorzystaniem systemów informacyjnych muszą być opisane w polityce bezpieczeństwa i egzekwowane w codziennej praktyce. Dostęp do danych osobowych wychowanków wymaga szczególnej ochrony – w tym miejscu obowiązki z zakresu cyberbezpieczeństwa nakładają się bezpośrednio na wymagania RODO.
Bezpieczeństwo łańcucha dostaw
Obowiązek dbania o bezpieczeństwo łańcucha dostaw to jedna z kluczowych nowości wprowadzonych przez dyrektywę NIS 2. W praktyce oznacza to dla placówki weryfikację, czy dostawcy oprogramowania i usług IT – firma obsługująca dziennik elektroniczny, dostawca systemu kadrowego – stosują odpowiednie środki bezpieczeństwa, a umowy z nimi regulują kwestie obsługi i zgłoszenia incydentu.
Zgłaszanie incydentów bezpieczeństwa komputerowego
Przedszkole musi mieć wdrożoną procedurę wykrywania, klasyfikowania i zgłaszania incydentów bezpieczeństwa komputerowego. Każde zdarzenie mające wpływ na dostępność, integralność lub poufność danych w systemach informatycznych placówki powinno być odnotowane i przekazane odpowiednich organów zgodnie z ustawą.
W przypadku incydentu poważnego ustawa przewiduje trzyetapowy proces zgłoszenia do właściwego CSIRT:
- wczesne ostrzeżenie – w ciągu 24 godzin od wykrycia incydentu,
- zgłoszenie incydentu – pełny raport w ciągu 72 godzin,
- raport końcowy – po zakończeniu obsługi incydentu.
Dla samorządowych jednostek budżetowych właściwym CSIRT jest CSIRT NASK – zgłoszenia przyjmuje portal incydent.cert.pl.
Audyty zgodności i przeglądy systemu
Wdrożone rozwiązania muszą być regularnie weryfikowane. Ustawa wymaga przeprowadzania audytów zgodności i przeglądów systemu bezpieczeństwa – bezzwłocznie po wydaniu rekomendacji przez Pełnomocnika Rządu ds. Cyberbezpieczeństwa oraz w każdym przypadku, gdy pojawią się okoliczności mogące zwiększyć ryzyko poważnego incydentu. Wyniki przeglądów należy dokumentować. Warto też wpisać podpunkt dotyczący audytu w planie kontroli zarządczej placówki.
Harmonogram zmian – co i kiedy musi zrobić przedszkole?
| Termin | Obowiązek |
|---|---|
| 3 kwietnia 2026 r. | Wejście w życie nowelizacji KSC – wszystkie terminy zaczynają biec |
| 3 października 2026 r. | Weryfikacja wpisu do wykazu podmiotów kluczowych i ważnych |
| 3 kwietnia 2027 r. | Pełne wdrożenie obowiązków: SZBI, procedury, szkolenia |
| 3 kwietnia 2028 r. | Od tej daty możliwe nakładanie sankcji administracyjnych |
Wpis do wykazu podmiotów kluczowych i ważnych dla podmiotów publicznych dokonywany jest automatycznie przez ministra właściwego ds. informatyzacji na podstawie danych z rejestrów publicznych. Dyrektor powinien jednak zweryfikować poprawność tego wpisu przed 3 października 2026 r.
NIS2 a RODO i KRI – jak te przepisy się uzupełniają?
Dyrektorzy, którzy przeszli przez wdrożenie RODO w przedszkolu i standardów cyberbezpieczeństwa wynikających z rozporządzenia w sprawie Krajowych Ram Interoperacyjności (KRI), znajdą w KSC wiele znanych elementów. To dobra wiadomość: istniejąca dokumentacja może stanowić punkt wyjścia.
RODO chroni dane osobowe, KSC chroni systemy, które te dane przetwarzają. Oba akty prawne wymagają zarządzania ryzykiem, dokumentowania działań i reagowania na incydenty. Procedury z obu obszarów powinny być ze sobą skoordynowane, a obowiązki z zakresu wymiany informacji z odpowiednimi organami – połączone w jedną spójną procedurę.
KRI nałożyło na podmioty publiczne obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji już w 2012 r. Rozporządzenie w sprawie Krajowych Ram Interoperacyjności definiowało minimalne wymagania i standardy cyberbezpieczeństwa dla systemów teleinformatycznych podmiotów publicznych. Katalog wymagań KSC jest jednak bardziej szczegółowy i obejmuje nowsze zagrożenia – w tym bezpieczeństwo łańcucha dostaw i szczegółowe zasady dotyczące środków zarządzania ryzykiem. Jeśli przedszkole posiada dokumentację zgodną z KRI, warto przeprowadzić analizę luk (gap analysis), by ustalić, co wymaga uzupełnienia pod kątem nowych wymogów.
Nie wiesz, od czego zacząć z NIS2? Mamy dla Ciebie gotową listę.
Pobierz checklistę dla dyrektora – bezpłatnie. 📥
Kary pieniężne i sankcje administracyjne – co grozi za brak wdrożenia?
Sankcje administracyjne będą mogły być nakładane od 3 kwietnia 2028 r. Dwuletni okres przejściowy ma dać podmiotom czas na rzetelne dostosowanie się do nowych regulacji – nie zwalnia jednak z wdrożenia obowiązków ustawowych.
Warto znać konkretne widełki kar, bo są one wyższe niż większość dyrektorów przypuszcza:
| Kategoria | Minimalna kara | Maksymalna kara |
|---|---|---|
| Podmiot kluczowy | 20 000 zł | 100 000 000 zł |
| Podmiot ważny (przedszkole, żłobek) | 15 000 zł | 100 000 000 zł |
Kary mogą być nałożone m.in. za brak zgłaszania incydentów, niewdrożenie SZBI lub uniemożliwienie kontroli. Co istotne – maksymalna kara administracyjna może wynosić 100 mln zł, choć w praktyce wobec małych jednostek publicznych organ będzie uwzględniał ich możliwości finansowe. Dyrektor, który zignoruje harmonogram, naraża się nie tylko na przyszłe kary pieniężne, lecz przede wszystkim na osobistą odpowiedzialność za konsekwencje prawne ewentualnego incydentu, któremu mógł zapobiec.
Ustawa przewiduje, że odpowiedzialność kierownika podmiotu istnieje niezależnie od tego, czy powierzył on obowiązki innej osobie. Przekazanie tematu informatykowi lub firmie zewnętrznej nie zwalnia dyrektora z odpowiedzialności – zwalnia go jedynie prawidłowe wykonanie obowiązków ustawowych świadczenia usługi bezpieczeństwa na wymaganym poziomie.
Najczęstsze pytania dyrektorów o NIS2 i KSC
Czy małe przedszkole lub żłobek z dwoma oddziałami też podlega przepisom? Tak. Dla podmiotów publicznych ustawa nie przewiduje progu zatrudnienia ani obrotów. Każde publiczne przedszkole jest podmiotem objętym ustawą KSC.
Czy wystarczy, że mamy wdrożone RODO? Nie w pełni. RODO i KSC mają część wspólną, ale KSC nakłada dodatkowe obowiązki – m.in. zgłaszanie incydentów do właściwego CSIRT, roczne szkolenie dyrektora w dziedzinie cyberbezpieczeństwa, weryfikację bezpieczeństwa łańcucha dostaw. Konieczna jest analiza luk.
Co to jest CSIRT NASK i jak zgłosić incydent? CSIRT NASK to Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego przy NASK – właściwy CSIRT dla samorządowych jednostek budżetowych. Procedura obejmuje wczesne ostrzeżenie (24 h), zgłoszenie incydentu (72 h) i raport końcowy po jego obsłudze. Zgłoszenia przyjmuje portal incydent.cert.pl. Pamiętaj: zgłoszenia muszą być przekazywane bez nieuzasadnionej zwłoki.
Czy dyrektor musi zatrudnić dedykowanego informatyka? Nie. Obowiązki techniczne można powierzyć firmie zewnętrznej lub skorzystać z modelu wspólnej obsługi cyberbezpieczeństwa w gminie. Dyrektor odpowiada jednak za to, że obowiązki są prawidłowo wykonywane.
Kiedy zaczną obowiązywać kary i ile mogą wynosić? Sankcje administracyjne mogą być nakładane od 3 kwietnia 2028 r. Minimalna kara dla podmiotu ważnego wynosi 15 000 zł, a maksymalna może sięgnąć 100 mln zł. Kary mogą być nałożone za brak zgłaszania incydentów, brak SZBI lub utrudnianie kontroli.
Czy przedszkole lub żłobek niepubliczny też podlega KSC? Co do zasady nie – ustawa obejmuje samorządowe jednostki budżetowe realizujące zadanie publiczne. Placówki niepubliczne prowadzone przez osoby fizyczne lub fundacje nie są podmiotami publicznymi i nie zostały bezpośrednio objęte przepisami.
Czym jest samoidentyfikacja w kontekście NIS2? Samoidentyfikacja to proces, w którym podmiot samodzielnie ocenia, czy spełnia kryteria kwalifikujące go jako podmiot kluczowy lub ważny w rozumieniu ustawy KSC, a następnie weryfikuje swój wpis w wykazie prowadzonym przez Ministerstwo Cyfryzacji. Dla przedszkoli i żłobków publicznych wpis dokonywany jest automatycznie, ale jego weryfikacja przez dyrektora jest obowiązkowa do 3 października 2026 r.
Podsumowanie
Dyrektywa NIS2, wdrożona w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, objęła publiczne przedszkola i żłobki jako podmioty ważne z konkretnymi obowiązkami i twardymi terminami. Nowymi regulacjami objęto tysiące podmiotów publicznych w całej Polsce – i żadne przedszkole samorządowe nie jest z tego zwolnione.
Trzy pierwsze kroki, które warto zrobić już teraz: sprawdzić model wspólnej obsługi w gminie, zweryfikować wpis w wykazie przed 3 października 2026 r. i rozpocząć inwentaryzację sieci i systemów informatycznych placówki.
