Az új KSC-törvény és a JST: mit kell tudnia a vezetésnek, és hol kezdjék

Ez a bejegyzés a starostáknak, a wójtoknak, a burmistrzoknak, a sekretarzoknak és a skarbnikoknak szól. Nem azt írom le benne, hogyan kell biztosítani a rendszereket, mert az informatikusok és biztonsági szakértők feladata. Azt mutatom be, mit jelent a törvény azok számára, akik a döntéseket és a költségvetést aláírják.

Mi változott, és mikortól

A nemzeti kiberbiztonsági rendszerről szóló törvény módosításáról szóló, 2026. január 23-i törvény (Dz. U. z 2026 r. poz. 252) 2026. április 3-án lépett hatályba. Bevezette a kulcsfontosságú és a fontos szervezetek közötti megkülönböztetést, és az önkormányzati hivatalokat kifejezetten belefoglalta, a „közintézmények” ágazatba sorolva.

Az átmeneti rendelkezésekben szereplő, a vezetés számára fontos határidők:

• 12 hónap a 3. fejezetben foglalt kötelezettségek teljesítésére, a törvény hatálybalépésétől számítva. A kezdettől fogva a törvény hatálya alá tartozó hivatalok számára ez 2027. április 3-át jelenti.
• 24 hónap az első biztonsági audit elvégzésére az információs rendszer tekintetében. Ez a kulcsfontosságú szervezetekre vonatkozik; ezt követően az auditot legalább 3 évente meg kell ismételni.
• A pénzbírságok először a törvény hatálybalépésétől számított 2 év elteltével szabhatók ki, vagyis 2028. április 3. után.

A kulcsfontosságú és fontos szervezetek jegyzéke 2026. április 13. óta működik. A közintézményeket az informatizációért felelős miniszter hivatalból vezeti be ebbe a jegyzékbe, majd felszólítja őket a hiányzó adatok kiegészítésére. A kiegészítésre a felszólítás kézhezvételétől számított 6 hónap áll rendelkezésre, bírság terhe mellett. Érdemes ellenőrizni, hogy a hivatalhoz már megérkezett-e ilyen felszólítás, és ki foglalkozott vele.

Önkéntes regisztráció és a hivatalok. A jegyzékbe történő önkéntes regisztráció határideje 2026. október 3-án járt le, de a Digitalizációs Minisztérium közleménye szerint ez olyan szervezetekre vonatkozott, amelyek maguktól jelentkeznek be, például vállalkozásokra. A közintézményeket hivatalból vezetik be a jegyzékbe, és nem nyújtanak be bejegyzési kérelmet. Az ő feladatuk a felszólítás kézhezvétele után kezdődik: ekkor kell kiegészíteniük a jegyzékben szereplő adatokat. Az a hivatal tehát, amely még nem kapott felszólítást, nincs lemaradva az önkéntes regisztrációval, de érdemes tisztázni, ki veszi át a hivatalban az ilyen leveleket, és hogy a szervezeti egységek és az önkormányzati tulajdonú vállalatok (spółka komunalna) külön ellenőrizték-e saját státuszukat. A közlemény nem írja le a 2026. október 3-i határidő elmulasztásának következményeit, ezért erre vonatkozóan nem vonok le bírságokkal kapcsolatos következtetéseket.

Vonatkozik-e a törvény a mi hivatalunkra

A törvény 1. mellékletében, a „közintézmények” ágazatban többek között a következők szerepelnek:

• starostwo (district head hivatala), méretétől függetlenül;
• urząd gminy (önkormányzati hivatal), ha az adott év január 1-jén munkaszerződés alapján legalább 50 főt foglalkoztat teljes munkaidős egyenértékben számolva.

Ezek a szervezetek kulcsfontosságúnak minősülnek. Fontos szervezetnek minősül viszont az a közintézmény, amely nem kulcsfontosságú, és önkormányzati költségvetési egység, önkormányzati költségvetési üzem, önkormányzati kulturális intézmény, vagy olyan közhasznú feladatot ellátó vállalat, amely az adott közfeladatot információs rendszerek felhasználásával végzi. A kisebb önkormányzati hivataloknak és az önkormányzati szervezeti egységeknek tehát szintén vannak kötelezettségeik, csak szűkebb körben. Az egyes szervezetek státuszát érdemes megerősíttetni a hivatal jogtanácsosával.

A kulcsfontosságú szervezet a törvény 8. cikkében leírt teljes információbiztonság-irányítási rendszert vezeti be, és auditon esik át. A fontos szervezetnek minősülő közintézmény ehelyett a 4. mellékletben szereplő rövidebb követelménylistát alkalmazza. A törvény lehetővé teszi azt is, hogy az önkormányzati egységek közösen szervezzék meg ezeknek a kötelezettségeknek a teljesítését, vagy megállapodás alapján az egyikükre bízzák azokat.

Mit ró a törvény a vezetőre

Ezek a rendelkezések nem háríthatók át az informatikai osztályra. A 8c. cikk szerint a szervezet vezetője felel a kiberbiztonsági kötelezettségek teljesítéséért, akkor is, ha azok egy részét vagy egészét másra ruházta. Az államháztartási szektor egységénél a vezető az államháztartásról szóló törvény értelmében vett egységvezető.

A 8d. cikk felsorolja, mit tesz a vezető személyesen:

1. döntést hoz az információbiztonság-irányítási rendszer előkészítéséről, bevezetéséről, alkalmazásáról, felülvizsgálatáról és felügyeletéről;
2. megtervezi az e kötelezettségekhez szükséges megfelelő pénzügyi forrásokat;
3. feladatokat oszt ki, és felügyeli azok végrehajtását;
4. gondoskodik arról, hogy a munkatársak ismerjék kötelezettségeiket és a belső szabályzatokat;
5. biztosítja, hogy a szervezet működése megfeleljen a jogszabályoknak.

Ehhez társul a képzés: a vezető, valamint az a személy, akire a kötelezettségeket ruházta, naptári évenként egyszer részt vesz képzésen, és a részvételt dokumentálni kell (8e. cikk).

Milyen szankciók vannak

Pénzbírság szabható ki a szervezetre és külön a vezetőjére is.

Kulcsfontosságú szervezet esetében a bírság 20 ezer zloty és 10 millió euró, illetve a gazdasági tevékenységből származó árbevétel 2%-a között mozog, fontos szervezet esetében 15 ezer zloty és 7 millió euró, illetve 1,4% között. A hatóság ennek megállapításakor figyelembe veszi a közintézmény pénzügyi lehetőségeit.

A közintézmény vezetője a kapott javadalmazás akár 100%-áig terjedő összegű bírsággal sújtható (73a. cikk). Ennek alapja lehet többek között a 8. és 8d. cikkben foglalt kötelezettségek elmulasztása vagy a képzés hiánya.

Miért az első lépés a felmérés

A 4. melléklet, vagyis a fontos szervezetnek minősülő közintézményre vonatkozó követelménylista, azzal a ponttal kezdődik, hogy fel kell mérni az információfeldolgozásra szolgáló ICT-termékeket, -szolgáltatásokat és -folyamatokat. A kulcsfontosságú szervezetnek pedig rendszeresen kockázatot kell értékelnie, kezelnie kell az eszközeit, és gondoskodnia kell az ellátási lánc biztonságáról. Egyik kötelezettséget sem lehet teljesíteni, ha a hivatal nem tudja, mivel rendelkezik.

A felmérést a hivatal saját csapata is elkészítheti. Négy dologra kell kiterjednie:

• Rendszerek. Minden rendszer és szolgáltatás, amelyet a hivatal és szervezeti egységei használnak, beleértve azokat is, amelyeket az osztályok az informatikai osztályon kívül vásároltak.
• Felelősök. Ki felel az adott osztályon a rendszerért, és ki dönt a hozzáférésről.
• Szerződések. A szolgáltató, a határidő, a szerviz terjedelme, a biztonságra vonatkozó rendelkezések, és hogy mi történik a szerződés megszűnése után.
• Kockázatok. Mi történik, ha a rendszer leáll, és meddig tud a hivatal nélküle dolgozni.

Mit kérdezzünk meg az informatikusoktól és a biztonsági szakértőktől

A vezetőnek nem kell megítélnie a műszaki megoldásokat. Néhány kérdésre viszont egyértelmű választ kell kapnia:

1. Kulcsfontosságú vagy fontos szervezetnek minősülünk? Hogyan alakul ez a szervezeti egységeink és az önkormányzati vállalataink esetében?
2. Érkezett-e felszólítás a jegyzékben szereplő adatok kiegészítésére, és ki felel a határidő betartásáért?
3. Van-e naprakész felmérésünk a rendszerekről, szolgáltatásokról és szerződésekről? Mikor ellenőrizték utoljára?
4. Ki végzi a kockázatértékelést, és hol dokumentálják ezt?
5. Kinek és milyen eljárás keretében jelentünk be egy súlyos incidenst? A törvény szerint a bejelentést haladéktalanul, az észleléstől számított legfeljebb 72 órán belül meg kell tenni.
6. Mely feladatokat végezzük el saját magunk, melyeket más egységekkel közösen, és melyeket adjuk ki külső félnek?
7. Mennyibe fog ez kerülni 2027-ben, és ebből mi kötelezettség, mi pedig választás kérdése?

A harmadik kérdésre adott válasz nélkül a többi csak becslés marad.

Források

• A nemzeti kiberbiztonsági rendszerről szóló törvény módosítása, Dz. U. z 2026 r. poz. 252 (a Szejm Kancelláriájának szövege, PDF)
• „KSC-törvénymódosítás” – kérdések és válaszok, Digitalizációs Minisztérium (gov.pl, PDF)
• Egy hónap az önkéntes regisztrációra a KSC-jegyzékben, 2026. szeptember 3-i közlemény (gov.pl)
• Változások az S46 rendszerben a törvénymódosítás után (gov.pl)

Jogi állapot: 2026. október 4. A bejegyzés nem minősül jogi vagy biztonsági tanácsadásnak.