Este artículo está dirigido a los jefes de distrito (starostas), alcaldes, secretarios y tesoreros. No explico en él cómo proteger los sistemas, porque esa es tarea de los informáticos y los especialistas en seguridad. Describo qué significa la ley para las personas que firman las decisiones y el presupuesto.
Qué ha cambiado y desde cuándo
La Ley de 23 de enero de 2026 de modificación de la Ley del Sistema Nacional de Ciberseguridad (Dz. U. de 2026, pos. 252) entró en vigor el 3 de abril de 2026. Introdujo la división entre entidades clave y entidades importantes, y las administraciones locales aparecen en ella expresamente, en el sector «entidades públicas».
Los plazos de las disposiciones transitorias que la dirección debe conocer:
- 12 meses para cumplir las obligaciones del capítulo 3 de la ley, contados desde su entrada en vigor. Para las entidades sujetas a la ley desde el principio, esto significa el 3 de abril de 2027.
- 24 meses para la primera auditoría de seguridad del sistema de información. Se aplica a las entidades clave; después, la auditoría se repite al menos una vez cada 3 años.
- Las sanciones económicas podrán imponerse por primera vez transcurridos 2 años desde la entrada en vigor de la ley, es decir, después del 3 de abril de 2028.
El registro de entidades clave e importantes funciona desde el 13 de abril de 2026. El ministro competente en materia de digitalización inscribe de oficio en él a las entidades públicas, y después las requiere para que completen los datos que falten. Hay 6 meses desde la notificación del requerimiento para completarlos, bajo pena de sanción. Conviene comprobar si ese requerimiento ya ha llegado a la administración y quién se ha ocupado de él.
Autorregistro y entidades públicas. El plazo de autorregistro en el registro venció el 3 de octubre de 2026, pero, según el comunicado del Ministerio de Digitalización, se refería a las organizaciones que se inscriben por sí mismas, por ejemplo las empresas. Las entidades públicas se inscriben de oficio y no presentan solicitud de inscripción. Su tarea comienza tras recibir el requerimiento: hay que completar los datos en el registro. Por tanto, la administración que todavía no ha recibido el requerimiento no va con retraso en el autorregistro, pero conviene determinar quién recibe este tipo de escritos y si las unidades organizativas y las empresas municipales han comprobado su estatus por separado. El comunicado no describe las consecuencias de incumplir el plazo del 3 de octubre, por lo que no extraigo de él ninguna conclusión sobre sanciones.
Si la ley afecta a nuestra administración
En el anexo n.º 1 de la ley, en el sector «entidades públicas», se enumeran, entre otras:
- el starostwo (administración del distrito), con independencia de su tamaño;
- el ayuntamiento, si a 1 de enero de un año dado emplea, con contrato de trabajo, al menos 50 personas en equivalente a jornada completa.
Estas entidades son entidades clave. Por su parte, es entidad importante la entidad pública que no es clave y que es una unidad presupuestaria municipal, un establecimiento presupuestario municipal, una institución cultural municipal o una empresa que ejecuta tareas de utilidad pública, si realiza una tarea pública mediante sistemas de información. Por tanto, el ayuntamiento más pequeño y las unidades organizativas de la administración local también tienen obligaciones, solo que de alcance más reducido. Conviene confirmar el estatus de cada entidad con el asesor jurídico de la administración.
La entidad clave implementa el sistema completo de gestión de la seguridad de la información descrito en el art. 8 de la ley y se somete a auditoría. La entidad importante que es entidad pública aplica, en su lugar, una lista más breve de requisitos del anexo n.º 4. La ley también permite que las entidades locales organicen una gestión conjunta de estas obligaciones o las encomienden, mediante acuerdo, a una de ellas.
Qué impone la ley al responsable
Estas disposiciones no se pueden delegar en el departamento de informática. Conforme al art. 8c, el responsable de la entidad responde de la ejecución de las obligaciones en materia de ciberseguridad, también cuando ha delegado algunas o todas ellas en otra persona. En una entidad del sector de las finanzas públicas, el responsable es el jefe de la entidad en el sentido de la Ley de Finanzas Públicas.
El art. 8d enumera lo que el responsable hace personalmente:
- toma las decisiones sobre la preparación, implementación, aplicación, revisión y supervisión del sistema de gestión de la seguridad de la información;
- planifica los medios financieros adecuados para estas obligaciones;
- asigna tareas y supervisa su ejecución;
- se asegura de que los empleados conocen sus obligaciones y la normativa interna;
- garantiza que la actuación de la entidad cumple la normativa.
A esto se añade la formación: el responsable y la persona en quien ha delegado las obligaciones la reciben una vez al año natural, y la participación debe quedar documentada (art. 8e).
El segundo punto es una tarea para ahora. El proyecto de presupuesto de 2027 se elabora en otoño, y el plazo del 3 de abril de 2027 cae dentro de ese año presupuestario. No se puede valorar con rigor la partida de «ciberseguridad» sin saber cuántos sistemas tiene la administración, quién los mantiene y qué contratos habrá que modificar. El tesorero tiene derecho a pedir esa base.
Cuáles son las sanciones
Se puede imponer una sanción económica a la entidad y, por separado, a su responsable.
Para la entidad clave, la sanción va de 20.000 zł a 10 millones de euros, o el 2 % de los ingresos de la actividad económica; para la entidad importante, de 15.000 zł a 7 millones de euros, o el 1,4 %. El órgano tiene en cuenta, en este caso, la capacidad financiera de la entidad pública.
El responsable de una entidad pública puede ser sancionado con una cuantía de hasta el 100 % de la remuneración que percibe (art. 73a). El fundamento puede ser, entre otros, el incumplimiento de las obligaciones de los arts. 8 y 8d o la falta de formación.
Por qué el primer paso es el inventario
El anexo n.º 4, es decir, la lista de requisitos para la entidad importante que es entidad pública, empieza por un punto: la inventariación de los productos, servicios y procesos TIC utilizados para el tratamiento de la información. La entidad clave, por su parte, debe evaluar sistemáticamente el riesgo, gestionar los activos y velar por la seguridad de la cadena de suministro. Ninguna de estas obligaciones se puede cumplir si la administración no sabe qué tiene.
Una aseguradora no puede valorar la póliza de un edificio que nadie sabe describir: cuántas plantas tiene, quién tiene las llaves, cuándo fue la última revisión de las instalaciones. Los especialistas en seguridad también necesitan, primero, una lista de lo que deben proteger.
El inventario puede prepararlo el propio equipo de la administración. Debe incluir cuatro elementos:
- Sistemas. Cada sistema y servicio que utilizan la administración y sus unidades, incluidos los adquiridos por los departamentos al margen del área de informática.
- Responsables. Quién, en cada departamento, responde del sistema y quién decide sobre el acceso a él.
- Contratos. Proveedor, plazo, alcance del servicio, cláusulas de seguridad y qué ocurre al finalizar el contrato.
- Riesgos. Qué pasará cuando el sistema deje de funcionar y cuánto tiempo puede la administración trabajar sin él.
Qué preguntar a los informáticos y a los especialistas en seguridad
El responsable no tiene que evaluar las soluciones técnicas. Debe obtener respuestas claras a varias preguntas:
- ¿Somos entidad clave o entidad importante? ¿Cómo se aplica esto a nuestras unidades organizativas y empresas municipales?
- ¿Ha llegado el requerimiento para completar los datos en el registro y quién responde del plazo?
- ¿Tenemos un inventario actualizado de sistemas, servicios y contratos? ¿Cuándo se revisó por última vez?
- ¿Quién realiza la evaluación de riesgos y dónde está documentada?
- ¿A quién y por qué vía notificamos un incidente grave? La ley habla de notificarlo de inmediato, en un plazo no superior a 72 horas desde su detección.
- ¿Qué tareas haremos nosotros mismos, cuáles junto con otras entidades y cuáles encargaremos a terceros?
- ¿Cuánto costará esto en 2027 y qué parte es obligación y qué parte es elección?
Sin respuesta a la tercera pregunta, las demás serán una estimación.
Fuentes
- Modificación de la Ley del Sistema Nacional de Ciberseguridad, Dz. U. de 2026, pos. 252 (texto de la Cancillería del Sejm, PDF)
- Preguntas y respuestas «Modificación de la KSC», Ministerio de Digitalización (gov.pl, PDF)
- Un mes para el autorregistro en el Registro KSC, comunicado del 3 de septiembre de 2026 (gov.pl)
- Cambios en el Sistema S46 tras la modificación (gov.pl)
Estado legal a 4 de octubre de 2026. Este artículo no constituye asesoramiento jurídico ni de seguridad.