Rząd wydał zalecenia cyberbezpieczeństwa dla ponad 70 tys. podmiotów

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa to katalog zabezpieczeń dla podmiotów kluczowych i ważnych. Ma im pomóc wdrożyć obowiązki z nowelizacji ustawy o KSC, które zaczną być wymagane w kwietniu 2027 roku.

Ministerstwo Cyfryzacji opublikowało 16 października 2026 roku rekomendację Pełnomocnika Rządu ds. Cyberbezpieczeństwa. Dotyczy ona środków organizacyjnych i technicznych chroniących systemy informacyjne. Dokument jest skierowany do podmiotów krajowego systemu cyberbezpieczeństwa (KSC). Według komunikatu resortu jest ich ponad 70 tys.

Wśród zaleceń są m.in.:

• zarządzanie ryzykiem i polityki bezpieczeństwa pod aktywnym nadzorem kierownictwa,
• pełna inwentaryzacja zasobów IT i OT (technologii operacyjnych, np. systemów sterujących produkcją),
• zasada minimalnych uprawnień i uwierzytelnianie wieloskładnikowe (MFA, czyli logowanie z więcej niż jednym potwierdzeniem tożsamości),
• regularne aktualizacje i zarządzanie podatnościami,
• kopie zapasowe według zasady 3-2-1 (trzy kopie, dwa rodzaje nośników, jedna kopia poza głównym środowiskiem) wraz z testami ich odtwarzania,
• kontrola ryzyka u dostawców sprzętu i oprogramowania,
• monitoring, reagowanie na incydenty, szkolenia pracowników i audyty.

Dokument nie jest zestawem, który każda organizacja ma wdrożyć w całości. Dobór środków ma zależeć od charakteru działalności, poziomu ryzyka, znaczenia świadczonych usług i wykorzystywanej infrastruktury. Rekomendacja uzupełnia wcześniejsze zalecenia Pełnomocnika. Tamte dotyczyły m.in. konkretnych luk w WordPressie i panelach cPanel/WHM, a wydane kilka dni przed nią - zabezpieczenia systemów wodociągowych i kanalizacyjnych. Resort zapowiada kolejne, bardziej szczegółowe wytyczne.

Nowelizacja ustawy o KSC, która wdraża unijną dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 roku. Podmioty kluczowe i ważne miały do 3 października złożyć wniosek o wpis do wykazu. Do 3 kwietnia 2027 roku muszą wdrożyć nowe obowiązki, m.in. system zarządzania bezpieczeństwem informacji, procedury reagowania na incydenty i ochronę łańcucha dostaw. Kary sięgają 10 mln euro lub 2 proc. globalnego rocznego obrotu w przypadku podmiotów kluczowych oraz 7 mln euro lub 1,4 proc. obrotu w przypadku podmiotów ważnych.

Ustawa obejmuje głównie duże i średnie firmy z sektorów takich jak energetyka, transport, ochrona zdrowia, produkcja żywności czy usługi cyfrowe. Mogą one wykorzystać rekomendację jako listę kontrolną przed kwietniowym terminem. Pełna treść dokumentu jest dostępna na stronie Ministerstwa Cyfryzacji (otwiera się w nowej karcie).