Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku i wdrożyła do polskiego prawa dyrektywę NIS2. Dla tysięcy firm oznacza to konkretny kalendarz, a nie ogólne zalecenia.

Kalendarz, którego nie da się przesunąć

• 3 października 2026 – złożenie wniosku o wpis do Wykazu KSC przez system S46.
• 3 kwietnia 2027 – podłączenie do systemu S46 oraz wdrożenie obowiązków wynikających z nowych przepisów, w tym Systemu Zarządzania Bezpieczeństwem Informacji.
• 3 kwietnia 2028 – pierwszy obowiązkowy audyt cyberbezpieczeństwa dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych. Kolejne audyty co najmniej raz na trzy lata.

Przygotowanie i wdrożenie SZBI a profesjonalna komunikacja

Ministerstwo Cyfryzacji wskazuje jako trzon obowiązków do 3 kwietnia 2027 roku:

• przygotowanie i wdrożenie SZBI,
• zgłaszanie incydentów do zespołów CSIRT i zarządzanie incydentami,
• wyznaczenie osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa,

SZBI to nie jest zbiór dokumentów przygotowany na potrzeby audytu. To działający proces: analiza ryzyka, dobór proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, ciągłość działania, obsługa incydentów i regularny przegląd całości.

W tym procesie, w ramach środków organizacyjnych, ciągłości działania i obsługi incydentów należy prowadzić profesjonalną komunikację (plan PR).

Jak się komunikować?

To komunikacja z pracownikami, partnerami, dziennikarzami, ifluencerami (osobami znaczącymi dla opinii), urzędnikami i konkurencją. W teorii to jest jasne, ale bez odpowiednich kompetencji, trudno spełnić te oczekiwania i obowiązki (między innymi: ustawa KSC, dyrektywy NIS 2, DORA, CER).

Dodatkowo wpływają na to:

– presja czasu

– nacisk klientów i opinii publicznej

– media i sygnaliści

– inwestorzy, akcjonariusze

– ludzie przekazujący dane i powierzający nam intymne i prywatne informacje.

Znaczenie komunikacji i public relations podczas cyberataku

 

W takich sytuacjach, efektywna komunikacja PR jest nie tylko ważna, ale wręcz kluczowa.

– To kwestia budowanie i utrzymywania zaufania, przypomina Łukasz Zając, absolwent zarządzania cyberbezpieczeństwem w Wojskowej Akademii Technicznej. Podczas cyberataku, zaufanie klientów i partnerów biznesowych jest zagrożone. Szybka, przejrzysta i rzetelna komunikacja może pomóc w utrzymaniu tego zaufania. Informowanie zainteresowanych stron o tym, co się dzieje, jakie kroki są podejmowane w celu rozwiązania problemu i jakie środki zapobiegawcze zostaną wprowadzone na przyszłość, jest kluczowe.

Cyberatak to sytuacja kryzysowa, która wymaga skutecznego zarządzania. Dział PR, w tym właściciele, zarząd, dyrektorzy – powinien być gotowy do szybkiego reagowania, koordynowania komunikacji wewnętrznej i zewnętrznej, a także do zarządzania relacjami z mediami. Dobrze przemyślany plan komunikacji kryzysowej to podstawa – podkreśla Łukasz Zając.

 

Ochrona marki a cyberatak?

Cyberatak może mieć negatywne konsekwencje dla wizerunku marki. Dział PR ma za zadanie minimalizować te skutki poprzez efektywną komunikację i zarządzanie odbiorem marki przez publiczność. To obejmuje zarówno komunikację bezpośrednią z klientami, jak i zarządzanie relacjami z mediami.

Obszar pomijany we wdrożeniach: kto mówi i co mówi?

Projekty zgodności z KSC prowadzą zwykle działy IT, bezpieczeństwa i prawne. Komunikacja pojawia się w harmonogramie jako ostatni punkt albo nie pojawia się wcale. Tymczasem obowiązek informowania użytkowników i odbiorców usług jest obowiązkiem ustawowym o skutkach reputacyjnych – a te są trwalsze niż sama awaria.

Firma zaskoczona incydentem komunikuje się zbyt późno, niespójnie albo w sposób sprzeczny z późniejszymi ustaleniami. Wtedy narrację przejmuje ktoś inny: atakujący, media, konkurencja, ekspert bezpieczeństwa, były pracownik lub klient w mediach społecznościowych. Konsekwencje są przewidywalne – utrata zaufania klientów i partnerów, rozgłos o negatywnym wydźwięku, eskalacja skarg i roszczeń, zwiększone zainteresowanie organów nadzoru, odpływ klientów, spadek przychodów lub wyceny, trudności rekrutacyjne.

Mówiąc inaczej, jeżeli klienci i partnerzy dowiadują się o incydencie od serwisów Niebezpiecznik czy Zaufana Trzecia Strona, już jest trochę za późno…

Szkoda reputacyjna rzadko wynika z samego faktu cyberataku. Wynika z tego, jak organizacja się zachowała: z opóźnienia, zaprzeczeń i późniejszych korekt komunikatów.

 

Praktyczne wnioski do wdrożenia:

1. Polityka komunikacji kryzysowej powinna powstawać równolegle z SZBI i planem obsługi incydentów, a nie po nich.
2. Potrzebne są cztery elementy: wskazana osoba mówiąca w imieniu firmy i jej zastępca, zatwierdzone przez compliance i eksperta PR szablony komunikatów,
3. Kanał kontaktu działający poza zaatakowaną infrastrukturą,
4. Przećwiczony scenariusz,
5. Audyt polityki komunikacji (co 12 miesięcy).

Najważniejsze fakty w skrócie: wdrożenie KSC w firmie

Zagadnienie	Stan na dziś
Podstawa prawna	Znowelizowana ustawa o KSC, obowiązuje od 3 kwietnia 2026 r., wdraża dyrektywę NIS2
Kwalifikacja	Samoocena podmiotu; podział na podmioty kluczowe i ważne; rozszerzony katalog sektorów
Wpis do Wykazu KSC	Do 3 października 2026 r., przez system S46
SZBI i pozostałe obowiązki	Do 3 kwietnia 2027 r.
Podłączenie do S46	Do 3 kwietnia 2027 r.
Pierwszy audyt (podmioty kluczowe)	Do 3 kwietnia 2028 r., następnie co najmniej raz na trzy lata
Zgłoszenie incydentu poważnego	Wczesne ostrzeżenie 24 h, zgłoszenie 72 h, następnie sprawozdania i raport końcowy
Naruszenie danych osobowych	Odrębna ścieżka: zgłoszenie do UODO w 72 h, zawiadomienie osób przy wysokim ryzyku
Odpowiedzialność	Kierownik podmiotu odpowiada osobiście; obowiązkowe szkolenie z cyberbezpieczeństwa
Nadzór	Ostrzeżenia, urzędnik monitorujący, nakaz oceny bezpieczeństwa lub audytu, kary pieniężne

Źródła: Ministerstwo Cyfryzacji, komunikaty i materiały Q&A dotyczące nowelizacji ustawy o KSC (gov.pl).

 

Czytaj także:

Artykuł o komunikacji w czasie cyberatatków

Naruszenie prywatności a zgłoszenie do regulatora

Ryzyko utraty reputacji – element nieuwzględniany przez działy cyber

Działania PR podczas cyber incydentu