DZIENNIK USTAW  
RZECZYPOSPOLITEJ POLSKIEJ 
Warszawa, dnia 13 sierpnia 2018 r. 
Poz. 1560 
 
USTAWA 
z dnia 5 lipca 2018 r. 
o krajowym systemie cyberbezpieczeństwa 1), 2)  
Rozdział 1 
Przepisy ogólne 
Art. 1. 1. Ustawa określa: 
1) organizację krajowego systemu cyberbezpieczeństw a oraz zadania i obowiązki podmiotów wchodzących w skład tego 
systemu; 
2) sposób sprawowania nadzoru i kontroli w zakresie  stosowania przepisów ustawy; 
3) zakres Strategii Cyberbezpieczeństwa Rzeczypospo litej Polskiej. 
2. Ustawy nie stosuje się do: 
1) przedsiębiorców telekomunikacyjnych, o których m owa w ustawie z dnia 16 lipca 2004 r. – Prawo telek omunikacyjne 
(Dz. U. z 2017 r. poz. 1907 i 2201 oraz z 2018 r. p oz. 106, 138, 650 i 1118), w zakresie wymogów dotyc zących bez- 
pieczeństwa i zgłaszania incydentów; 
2) dostawców usług zaufania, którzy podlegają wymog om art. 19 rozporządzenia Parlamentu Europejskiego i Rady (UE) 
nr 910/2014 z dnia 23 lipca 2014 r. w sprawie ident yfikacji elektronicznej i usług zaufania w odniesie niu do transak- 
cji elektronicznych na rynku wewnętrznym oraz uchyl ającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 
z 28.08.2014, str. 73); 
3) podmiotów wykonujących działalność leczniczą, tw orzonych przez Szefa Agencji Bezpieczeństwa Wewnętr znego lub 
Szefa Agencji Wywiadu.  
Art. 2.  Użyte w ustawie określenia oznaczają: 
1) CSIRT GOV – Zespół Reagowania na Incydenty Bezpi eczeństwa Komputerowego działający na poziomie kraj owym, 
prowadzony przez Szefa Agencji Bezpieczeństwa Wewnę trznego; 
2) CSIRT MON – Zespół Reagowania na Incydenty Bezpi eczeństwa Komputerowego działający na poziomie kraj owym, 
prowadzony przez Ministra Obrony Narodowej; 
3) CSIRT NASK – Zespół Reagowania na Incydenty Bezp ieczeństwa Komputerowego działający na poziomie kra jo- 
wym, prowadzony przez Naukową i Akademicką Sieć Kom puterową – Państwowy Instytut Badawczy; 
                                                           
1) Niniejsza ustawa w zakresie swojej regulacji wdraż a dyrektywę Parlamentu Europejskiego i Rady (UE) 201 6/1148 z dnia 6 lipca 
2016 r. w sprawie środków na rzecz wysokiego wspóln ego poziomu bezpieczeństwa sieci i systemów informa tycznych na teryto- 
rium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1).  
2) Niniejszą ustawą zmienia się ustawy: ustawę z dnia  7 września 1991 r. o systemie oświaty, ustawę z dn ia 4 września 1997 r. 
o działach administracji rządowej, ustawę z dnia 24  maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, 
ustawę z dnia 29 stycznia 2004 r. – Prawo zamówień publicznych, ustawę z dnia 16 lipca 2004 r. – Prawo  telekomunikacyjne oraz 
ustawę z dnia 26 kwietnia 2007 r. o zarządzaniu kry zysowym. 
   
Dziennik Ustaw – 2 – Poz. 1560 
 
 4) cyberbezpieczeństwo – odporność systemów informa cyjnych na działania naruszające poufność, integral ność, dostęp- 
ność i autentyczność przetwarzanych danych lub zwią zanych z nimi usług oferowanych przez te systemy; 
5) incydent – zdarzenie, które ma lub może mieć nie korzystny wpływ na cyberbezpieczeństwo; 
6) incydent krytyczny – incydent skutkujący znaczną  szkodą dla bezpieczeństwa lub porządku publicznego , interesów 
międzynarodowych, interesów gospodarczych, działani a instytucji publicznych, praw i wolności obywatels kich lub 
życia i zdrowia ludzi, klasyfikowany przez właściwy  CSIRT MON, CSIRT NASK lub CSIRT GOV; 
7) incydent poważny – incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przer wanie 
ciągłości świadczenia usługi kluczowej; 
8) incydent istotny – incydent, który ma istotny wp ływ na świadczenie usługi cyfrowej w rozumieniu art . 4 rozporządze- 
nia wykonawczego Komisji (UE) 2018/151 z dnia 30 st ycznia 2018 r. ustanawiającego zasady stosowania dy rektywy 
Parlamentu Europejskiego i Rady (UE) 2016/1148 w od niesieniu do dalszego doprecyzowania elementów, jak ie mają 
być uwzględnione przez dostawców usług cyfrowych w zakresie zarządzania istniejącymi ryzykami dla bezp ieczeń- 
stwa sieci i systemów informatycznych, oraz paramet rów służących do określenia, czy incydent ma istotn y wpływ 
(Dz. Urz. UE L 26 z 31.01.2018, str. 48), zwanego d alej „rozporządzeniem wykonawczym 2018/151”; 
9) incydent w podmiocie publicznym – incydent, któr y powoduje lub może spowodować obniżenie jakości lu b przerwa- 
nie realizacji zadania publicznego realizowanego pr zez podmiot publiczny, o którym mowa w art. 4 pkt 7 –15; 
10) obsługa incydentu – czynności umożliwiające wyk rywanie, rejestrowanie, analizowanie, klasyfikowani e, priorytetyza- 
cję, podejmowanie działań naprawczych i ograniczeni e skutków incydentu; 
11) podatność – właściwość systemu informacyjnego, która może być wykorzystana przez zagrożenie cyberb ezpieczeń- 
stwa; 
12) ryzyko – kombinację prawdopodobieństwa wystąpie nia zdarzenia niepożądanego i jego konsekwencji; 
13) szacowanie ryzyka – całościowy proces identyfik acji, analizy i oceny ryzyka; 
14) system informacyjny – system teleinformatyczny,  o którym mowa w art. 3 pkt 3 ustawy z dnia 17 lute go 2005 r. 
o informatyzacji działalności podmiotów realizujący ch zadania publiczne (Dz. U. z 2017 r. poz. 570 ora z z 2018 r. 
poz. 1000 i 1544), wraz z przetwarzanymi w nim dany mi w postaci elektronicznej; 
15) usługa cyfrowa – usługę świadczoną drogą elektr oniczną w rozumieniu przepisów ustawy z dnia 18 lip ca 2002 r. 
o świadczeniu usług drogą elektroniczną (Dz. U. z 2 017 r. poz. 1219 oraz z 2018 r. poz. 650), wymienio ną w załącz- 
niku nr 2 do ustawy; 
16) usługa kluczowa – usługę, która ma kluczowe zna czenie dla utrzymania krytycznej działalności społe cznej lub gospo- 
darczej, wymienioną w wykazie usług kluczowych; 
17) zagrożenie cyberbezpieczeństwa – potencjalną pr zyczynę wystąpienia incydentu; 
18) zarządzanie incydentem – obsługę incydentu, wys zukiwanie powiązań między incydentami, usuwanie prz yczyn ich 
wystąpienia oraz opracowywanie wniosków wynikającyc h z obsługi incydentu; 
19) zarządzanie ryzykiem – skoordynowane działania w zakresie zarządzania cyberbezpieczeństwem w odnie sieniu do 
oszacowanego ryzyka. 
Art. 3.  Krajowy system cyberbezpieczeństwa ma na celu zape wnienie cyberbezpieczeństwa na poziomie krajowym, 
w tym niezakłóconego świadczenia usług kluczowych i  usług cyfrowych, przez osiągnięcie odpowiedniego p oziomu bez- 
pieczeństwa systemów informacyjnych służących do św iadczenia tych usług oraz zapewnienie obsługi incyd entów.  
Art. 4.  Krajowy system cyberbezpieczeństwa obejmuje: 
1) operatorów usług kluczowych; 
2) dostawców usług cyfrowych; 
3) CSIRT MON; 
4) CSIRT NASK; 
5) CSIRT GOV; 
6) sektorowe zespoły cyberbezpieczeństwa; 
7) jednostki sektora finansów publicznych, o któryc h mowa w art. 9 pkt 1–6, 8, 9, 11 i 12 ustawy z dni a 27 sierpnia 
2009 r. o finansach publicznych (Dz. U. z 2017 r. p oz. 2077 oraz z 2018 r. poz. 62, 1000 i 1366); 
   
Dziennik Ustaw – 3 – Poz. 1560 
 
 8) instytuty badawcze; 
9) Narodowy Bank Polski; 
10) Bank Gospodarstwa Krajowego; 
11) Urząd Dozoru Technicznego; 
12) Polską Agencję Żeglugi Powietrznej; 
13) Polskie Centrum Akredytacji; 
14) Narodowy Fundusz Ochrony Środowiska i Gospodark i Wodnej oraz wojewódzkie fundusze ochrony środowis ka 
i gospodarki wodnej; 
15) spółki prawa handlowego wykonujące zadania o ch arakterze użyteczności publicznej w rozumieniu art.  1 ust. 2 usta- 
wy z dnia 20 grudnia 1996 r. o gospodarce komunalne j (Dz. U. z 2017 r. poz. 827 oraz z 2018 r. poz. 14 96); 
16) podmioty świadczące usługi z zakresu cyberbezpi eczeństwa; 
17) organy właściwe do spraw cyberbezpieczeństwa; 
18) Pojedynczy Punkt Kontaktowy do spraw cyberbezpi eczeństwa, zwany dalej „Pojedynczym Punktem Kontakt owym”; 
19) Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa , zwanego dalej „Pełnomocnikiem”; 
20) Kolegium do Spraw Cyberbezpieczeństwa, zwane da lej „Kolegium”. 
Rozdział 2 
Identyfikacja i rejestracja operatorów usług kluczo wych 
Art. 5.  1. Operatorem usługi kluczowej jest podmiot, o któ rym mowa w załączniku nr 1 do ustawy, posiadający j ed- 
nostkę organizacyjną na terytorium Rzeczypospolitej  Polskiej, wobec którego organ właściwy do spraw cy berbezpieczeń- 
stwa wydał decyzję o uznaniu za operatora usługi kl uczowej. Sektory, podsektory oraz rodzaje podmiotów  określa załącz- 
nik nr 1 do ustawy. 
2. Organ właściwy do spraw cyberbezpieczeństwa wyda je decyzję o uznaniu podmiotu za operatora usługi k luczowej, 
jeżeli: 
1) podmiot świadczy usługę kluczową; 
2) świadczenie tej usługi zależy od systemów inform acyjnych; 
3) incydent miałby istotny skutek zakłócający dla ś wiadczenia usługi kluczowej przez tego operatora. 
3. Istotność skutku zakłócającego incydentu dla świ adczenia usługi kluczowej, o którym mowa w ust. 2 p kt 3, 
określana jest na podstawie progów istotności skutk u zakłócającego. 
4. W przypadku gdy podmiot świadczy usługę kluczową  w innych państwach członkowskich Unii Europejskiej , organ 
właściwy do spraw cyberbezpieczeństwa w toku postęp owania administracyjnego, za pośrednictwem Pojedync zego Punktu 
Kontaktowego, prowadzi konsultacje z tymi państwami  w celu ustalenia, czy ten podmiot został uznany w tych państwach 
za operatora usługi kluczowej. 
5. Okresu na przeprowadzenie konsultacji, o których  mowa w ust. 4, nie wlicza się do terminów, o który ch mowa 
w art. 35 ustawy z dnia 14 czerwca 1960 r. – Kodeks  postępowania administracyjnego (Dz. U. z 2017 r. p oz. 1257 oraz 
z 2018 r. poz. 149, 650 i 1544). 
6. W stosunku do podmiotu, który przestał spełniać warunki, o których mowa w ust. 1 i 2, organ właściw y do spraw 
cyberbezpieczeństwa wydaje decyzję stwierdzającą wy gaśnięcie decyzji o uznaniu za operatora usługi klu czowej. 
7. Decyzje, o których mowa w ust. 2 i 6, podlegają natychmiastowemu wykonaniu.  
Art. 6.  Rada Ministrów określi, w drodze rozporządzenia: 
1) wykaz usług kluczowych, o których mowa w art. 5 ust. 2 pkt 1, kierując się przyporządkowaniem usług i kluczowej do 
danego sektora, podsektora i rodzaju podmiotu wymie nionych w załączniku nr 1 do ustawy oraz znaczeniem  usługi 
dla utrzymania krytycznej działalności społecznej l ub gospodarczej; 
   
Dziennik Ustaw – 4 – Poz. 1560 
 
 2) progi istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych, wymienionych w wy kazie usług 
kluczowych, uwzględniając: 
a) liczbę użytkowników zależnych od usługi kluczowe j świadczonej przez dany podmiot, 
b) zależność innych sektorów, o których mowa w załą czniku nr 1 do ustawy, od usługi świadczonej przez ten pod- 
miot, 
c) wpływ, jaki mógłby mieć incydent, ze względu na jego skalę i czas trwania, na działalność gospodarc zą i spo- 
łeczną lub bezpieczeństwo publiczne, 
d) udział podmiotu świadczącego usługę kluczową w r ynku, 
e) zasięg geograficzny obszaru, którego mógłby doty czyć incydent, 
f) zdolność podmiotu do utrzymywania wystarczająceg o poziomu świadczenia usługi kluczowej, przy uwzglę dnie- 
niu dostępności alternatywnych sposobów jej świadcz enia, 
g) inne czynniki charakterystyczne dla danego sekto ra lub podsektora, jeżeli występują 
– kierując się potrzebą zapewnienia ochrony przed z agrożeniem życia lub zdrowia ludzi, znacznymi strat ami mająt- 
kowymi oraz obniżeniem jakości świadczonej usługi k luczowej. 
Art. 7.  1. Minister właściwy do spraw informatyzacji prowa dzi wykaz operatorów usług kluczowych. 
2. Wykaz operatorów usług kluczowych zawiera: 
1) nazwę (firmę) operatora usługi kluczowej; 
2) sektor, podsektor i rodzaj podmiotu; 
3) siedzibę i adres; 
4) numer identyfikacji podatkowej (NIP), jeżeli zos tał nadany; 
5) numer we właściwym rejestrze, jeżeli został nada ny; 
6) nazwę usługi kluczowej, zgodną z wykazem usług k luczowych; 
7) datę rozpoczęcia świadczenia usługi kluczowej; 
8) informację określającą, w których państwach czło nkowskich Unii Europejskiej podmiot został uznany z a operatora 
usługi kluczowej; 
9) datę zakończenia świadczenia usługi kluczowej; 
10) datę wykreślenia z wykazu operatorów usług kluc zowych. 
3. Wpisanie do wykazu operatorów usług kluczowych i  wykreślenie z tego wykazu następuje na wniosek org anu właś-
ciwego do spraw cyberbezpieczeństwa złożony niezwło cznie po wydaniu decyzji o uznaniu za operatora usł ugi kluczowej 
albo decyzji stwierdzającej wygaśnięcie decyzji o u znaniu za operatora usługi kluczowej. Wniosek zawie ra dane, o których 
mowa w ust. 2 pkt 1–9. 
4. Zmiana danych w wykazie operatorów usług kluczow ych następuje na wniosek organu właściwego do spraw  cyber- 
bezpieczeństwa, złożony nie później niż w terminie 6 miesięcy od zmiany tych danych. 
5. Wnioski, o których mowa w ust. 3 i 4, sporządza się w postaci elektronicznej i opatruje kwalifikowa nym podpisem 
elektronicznym albo podpisem potwierdzonym profilem  zaufanym ePUAP. 
6. Wpisanie do wykazu operatorów usług kluczowych i  wykreślenie z tego wykazu oraz zmiana danych w wyk azie 
operatorów usług kluczowych jest czynnością materia lno-techniczną. 
7. Dane z wykazu operatorów usług kluczowych minist er właściwy do spraw informatyzacji udostępnia CSIR T MON, 
CSIRT NASK i CSIRT GOV oraz sektorowemu zespołowi c yberbezpieczeństwa w zakresie sektora lub podsektor a, dla 
którego został ustanowiony, a także operatorowi usł ugi kluczowej w zakresie go dotyczącym. 
8. Dane z wykazu operatorów usług kluczowych, w zak resie niezbędnym do realizacji ich ustawowych zadań , mini- 
ster właściwy do spraw informatyzacji udostępnia, n a wniosek, następującym podmiotom: 
1) organom właściwym do spraw cyberbezpieczeństwa; 
2) Policji; 
3) Żandarmerii Wojskowej; 
   
Dziennik Ustaw – 5 – Poz. 1560 
 
 4) Straży Granicznej; 
5) Centralnemu Biuru Antykorupcyjnemu; 
6) Agencji Bezpieczeństwa Wewnętrznego oraz Agencji  Wywiadu; 
7) Służbie Kontrwywiadu Wojskowego oraz Służbie Wyw iadu Wojskowego; 
8) sądom; 
9) prokuraturze; 
10) organom Krajowej Administracji Skarbowej; 
11) dyrektorowi Rządowego Centrum Bezpieczeństwa; 
12) Służbie Ochrony Państwa.  
Rozdział 3 
Obowiązki operatorów usług kluczowych  
Art. 8.  Operator usługi kluczowej wdraża system zarządzani a bezpieczeństwem w systemie informacyjnym wykorzy-
stywanym do świadczenia usługi kluczowej, zapewniaj ący: 
1) prowadzenie systematycznego szacowania ryzyka wy stąpienia incydentu oraz zarządzanie tym ryzykiem; 
2) wdrożenie odpowiednich i proporcjonalnych do osz acowanego ryzyka środków technicznych i organizacyj nych, 
uwzględniających najnowszy stan wiedzy, w tym: 
a) utrzymanie i bezpieczną eksploatację systemu inf ormacyjnego, 
b) bezpieczeństwo fizyczne i środowiskowe, uwzględn iające kontrolę dostępu, 
c) bezpieczeństwo i ciągłość dostaw usług, od który ch zależy świadczenie usługi kluczowej, 
d) wdrażanie, dokumentowanie i utrzymywanie planów działania umożliwiających ciągłe i niezakłócone świ adcze- 
nie usługi kluczowej oraz zapewniających poufność, integralność, dostępność i autentyczność informacji , 
e) objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej systemem monitorowa nia 
w trybie ciągłym; 
3) zbieranie informacji o zagrożeniach cyberbezpiec zeństwa i podatnościach na incydenty systemu inform acyjnego wy- 
korzystywanego do świadczenia usługi kluczowej; 
4) zarządzanie incydentami; 
5) stosowanie środków zapobiegających i ograniczają cych wpływ incydentów na bezpieczeństwo systemu inf ormacyjne- 
go wykorzystywanego do świadczenia usługi kluczowej , w tym: 
a) stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych prz etwa- 
rzanych w systemie informacyjnym, 
b) dbałość o aktualizację oprogramowania, 
c) ochronę przed nieuprawnioną modyfikacją w system ie informacyjnym, 
d) niezwłoczne podejmowanie działań po dostrzeżeniu  podatności lub zagrożeń cyberbezpieczeństwa; 
6) stosowanie środków łączności umożliwiających pra widłową i bezpieczną komunikację w ramach krajowego  systemu 
cyberbezpieczeństwa. 
Art. 9.  1. Operator usługi kluczowej: 
1) wyznacza osobę odpowiedzialną za utrzymywanie ko ntaktów z podmiotami krajowego systemu cyberbezpiec zeństwa; 
2) zapewnia użytkownikowi usługi kluczowej dostęp d o wiedzy pozwalającej na zrozumienie zagrożeń cyber bezpie- 
czeństwa i stosowanie skutecznych sposobów zabezpie czania się przed tymi zagrożeniami w zakresie związ anym ze 
świadczoną usługą kluczową, w szczególności przez p ublikowanie informacji na ten temat na swojej stron ie interne- 
towej; 
3) przekazuje organowi właściwemu do spraw cyberbez pieczeństwa dane, o których mowa w art. 7 ust. 2 pk t 8 i 9, nie 
później niż w terminie 3 miesięcy od zmiany tych da nych. 
   
Dziennik Ustaw – 6 – Poz. 1560 
 
 2. Operator usługi kluczowej przekazuje do organu w łaściwego do spraw cyberbezpieczeństwa, właściwego CSIRT 
MON, CSIRT NASK, CSIRT GOV i sektorowego zespołu cy berbezpieczeństwa dane osoby, o której mowa w ust. 1 pkt 1, 
zawierające imię i nazwisko, numer telefonu oraz ad res poczty elektronicznej, w terminie 14 dni od dni a jej wyznaczenia, 
a także informacje o zmianie tych danych – w termin ie 14 dni od dnia ich zmiany. 
Art. 10.  1. Operator usługi kluczowej opracowuje, stosuje i  aktualizuje dokumentację dotyczącą cyberbezpieczeń stwa 
systemu informacyjnego wykorzystywanego do świadcze nia usługi kluczowej. 
2. Operator usługi kluczowej jest obowiązany do ust anowienia nadzoru nad dokumentacją dotyczącą cyberb ezpie- 
czeństwa systemu informacyjnego wykorzystywanego do  świadczenia usługi kluczowej, zapewniającego: 
1) dostępność dokumentów wyłącznie dla osób upoważn ionych zgodnie z realizowanymi przez nie zadaniami;  
2) ochronę dokumentów przed niewłaściwym użyciem lu b utratą integralności; 
3) oznaczanie kolejnych wersji dokumentów umożliwia jące określenie zmian dokonanych w tych dokumentach . 
3. Operator usługi kluczowej przechowuje dokumentac ję dotyczącą cyberbezpieczeństwa systemu informacyj nego 
wykorzystywanego do świadczenia usługi kluczowej pr zez co najmniej 2 lata od dnia jej wycofania z użyt kowania lub 
zakończenia świadczenia usługi kluczowej, z uwzględ nieniem przepisów ustawy z dnia 14 lipca 1983 r. o narodowym 
zasobie archiwalnym i archiwach (Dz. U. z 2018 r. p oz. 217, 357, 398 i 650). 
4. Operator usługi kluczowej będący jednocześnie wł aścicielem, posiadaczem samoistnym albo posiadaczem  zależ- 
nym obiektów, instalacji, urządzeń lub usług wchodz ących w skład infrastruktury krytycznej, wymieniony ch w wykazie, 
o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U . z 2018 r. 
poz. 1401), który posiada zatwierdzony plan ochrony  infrastruktury krytycznej uwzględniający dokumenta cję dotyczącą 
cyberbezpieczeństwa systemu informacyjnego wykorzys tywanego do świadczenia usługi kluczowej, nie ma ob owiązku 
opracowania dokumentacji, o której mowa w ust. 1. 
5. Rada Ministrów określi, w drodze rozporządzenia,  rodzaje dokumentacji, o której mowa w ust. 1, uwzg lędniając 
Polskie Normy oraz potrzebę zapewnienia cyberbezpie czeństwa podczas świadczenia usług kluczowych i cią głości świad- 
czenia tych usług. 
Art. 11.  1. Operator usługi kluczowej: 
1) zapewnia obsługę incydentu; 
2) zapewnia dostęp do informacji o rejestrowanych i ncydentach właściwemu CSIRT MON, CSIRT NASK lub CSI RT 
GOV w zakresie niezbędnym do realizacji jego zadań;  
3) klasyfikuje incydent jako poważny na podstawie p rogów uznawania incydentu za poważny; 
4) zgłasza incydent poważny niezwłocznie, nie późni ej niż w ciągu 24 godzin od momentu jego wykrycia, do właściwe- 
go CSIRT MON, CSIRT NASK lub CSIRT GOV; 
5) współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIR T 
NASK lub CSIRT GOV, przekazując niezbędne dane, w t ym dane osobowe; 
6) usuwa podatności, o których mowa w art. 32 ust. 2, oraz informuje o ich usunięciu organ właściwy do  spraw cyber- 
bezpieczeństwa. 
2. Zgłoszenie, o którym mowa w ust. 1 pkt 4, przeka zywane jest w postaci elektronicznej, a w przypadku  braku moż- 
liwości przekazania go w postaci elektronicznej – p rzy użyciu innych dostępnych środków komunikacji. 
3. W przypadku ustanowienia sektorowego zespołu cyb erbezpieczeństwa operator usługi kluczowej niezależ nie od 
zadań określonych w ust. 1: 
1) przekazuje jednocześnie temu zespołowi w postaci  elektronicznej zgłoszenie, o którym mowa w ust. 1 pkt 4; 
2) współdziała z tym zespołem na poziomie sektora l ub podsektora podczas obsługi incydentu poważnego l ub incydentu 
krytycznego, przekazując niezbędne dane, w tym dane  osobowe; 
3) zapewnia temu zespołowi dostęp do informacji o r ejestrowanych incydentach w zakresie niezbędnym do realizacji 
jego zadań. 
4. Rada Ministrów określi, w drodze rozporządzenia,  progi uznania incydentu za poważny według rodzaju zdarzenia 
w poszczególnych sektorach i podsektorach określony ch w załączniku nr 1 do ustawy, uwzględniając: 
1) liczbę użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej, 
2) czas oddziaływania incydentu na świadczoną usług ę kluczową, 
   
Dziennik Ustaw – 7 – Poz. 1560 
 
 3) zasięg geograficzny obszaru, którego dotyczy inc ydent, 
4) inne czynniki charakterystyczne dla danego sekto ra lub podsektora, jeżeli występują 
– kierując się potrzebą zapewnienia ochrony przed z agrożeniem życia lub zdrowia ludzi, znacznymi strat ami majątkowymi 
oraz obniżeniem jakości świadczonej usługi kluczowe j.  
Art. 12.  1. Zgłoszenie, o którym mowa w art. 11 ust. 1 pkt 4, zawiera: 
1) dane podmiotu zgłaszającego, w tym firmę przedsi ębiorcy, numer we właściwym rejestrze, siedzibę i a dres; 
2) imię i nazwisko, numer telefonu oraz adres poczt y elektronicznej osoby dokonującej zgłoszenia; 
3) imię i nazwisko, numer telefonu oraz adres poczt y elektronicznej osoby uprawnionej do składania wyj aśnień dotyczą- 
cych zgłaszanych informacji; 
4) opis wpływu incydentu poważnego na świadczenie u sługi kluczowej, w tym: 
a) usługi kluczowe zgłaszającego, na które incydent  poważny miał wpływ, 
b) liczbę użytkowników usługi kluczowej, na których  incydent poważny miał wpływ, 
c) moment wystąpienia i wykrycia incydentu poważneg o oraz czas jego trwania, 
d) zasięg geograficzny obszaru, którego dotyczy inc ydent poważny, 
e) wpływ incydentu poważnego na świadczenie usługi kluczowej przez innych operatorów usług kluczowych 
i dostawców usług cyfrowych, 
f) przyczynę zaistnienia incydentu poważnego i spos ób jego przebiegu oraz skutki jego oddziaływania na  systemy 
informacyjne lub świadczone usługi kluczowe; 
5) informacje umożliwiające właściwemu CSIRT MON, C SIRT NASK lub CSIRT GOV określenie, czy incydent do ty- 
czy dwóch lub większej liczby państw członkowskich Unii Europejskiej; 
6) w przypadku incydentu, który mógł mieć wpływ na świadczenie usługi kluczowej, opis przyczyn tego in cydentu, 
sposób jego przebiegu oraz prawdopodobne skutki odd ziaływania na systemy informacyjne; 
7) informacje o podjętych działaniach zapobiegawczy ch; 
8) informacje o podjętych działaniach naprawczych; 
9) inne istotne informacje. 
2. Operator usługi kluczowej przekazuje informacje znane mu w chwili dokonywania zgłoszenia, które uzu pełnia 
w trakcie obsługi incydentu poważnego. 
3. Operator usługi kluczowej przekazuje, w niezbędn ym zakresie, w zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4, 
informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy je st to konieczne 
do realizacji zadań właściwego CSIRT MON, CSIRT NAS K lub CSIRT GOV oraz sektorowego zespołu cyberbezpi eczeń- 
stwa. 
4. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV ora z sektorowy zespół cyberbezpieczeństwa może zwró- 
cić się do operatora usługi kluczowej o uzupełnieni e zgłoszenia o informacje, w tym informacje stanowi ące tajemnice 
prawnie chronione, w zakresie niezbędnym do realiza cji zadań, o których mowa w ustawie. 
5. W zgłoszeniu operator usługi kluczowej oznacza i nformacje stanowiące tajemnice prawnie chronione, w  tym sta- 
nowiące tajemnicę przedsiębiorstwa.  
Art. 13.  1. Operator usługi kluczowej może przekazywać do w łaściwego CSIRT MON, CSIRT NASK lub CSIRT 
GOV informacje: 
1) o innych incydentach; 
2) o zagrożeniach cyberbezpieczeństwa; 
3) dotyczące szacowania ryzyka; 
4) o podatnościach; 
5) o wykorzystywanych technologiach. 
   
Dziennik Ustaw – 8 – Poz. 1560 
 
 2. Informacje, o których mowa w ust. 1, są przekazy wane w postaci elektronicznej, a w przypadku braku możliwości 
przekazania w postaci elektronicznej, przy użyciu i nnych dostępnych środków komunikacji. 
3. W przypadku ustanowienia sektorowego zespołu cyb erbezpieczeństwa operator usługi kluczowej może prz ekazy- 
wać jednocześnie temu zespołowi, w postaci elektron icznej, informacje, o których mowa w ust. 1. 
4. Operator usługi kluczowej oznacza informacje sta nowiące tajemnice prawnie chronione, w tym stanowią ce tajem- 
nicę przedsiębiorstwa.  
Art. 14.  1. Operator usługi kluczowej w celu realizacji zad ań, o których mowa w art. 8, art. 9, art. 10 ust. 1 –3, 
art. 11 ust. 1–3, art. 12 i art. 13, powołuje wewnę trzne struktury odpowiedzialne za cyberbezpieczeńst wo lub zawiera 
umowę z podmiotem świadczącym usługi z zakresu cybe rbezpieczeństwa. 
2. Wewnętrzne struktury powołane przez operatora us ługi kluczowej odpowiedzialne za cyberbezpieczeństw o oraz 
podmioty świadczące usługi z zakresu cyberbezpiecze ństwa są obowiązane: 
1) spełniać warunki organizacyjne i techniczne pozw alające na zapewnienie cyberbezpieczeństwa obsługiw anemu opera- 
torowi usługi kluczowej; 
2) dysponować pomieszczeniami służącymi do świadcze nia usług z zakresu reagowania na incydenty, zabezp ieczonymi 
przed zagrożeniami fizycznymi i środowiskowymi; 
3) stosować zabezpieczenia w celu zapewnienia poufn ości, integralności, dostępności i autentyczności p rzetwarzanych 
informacji, z uwzględnieniem bezpieczeństwa osobowe go, eksploatacji i architektury systemów. 
3. Operator usługi kluczowej informuje organ właści wy do spraw cyberbezpieczeństwa i właściwy CSIRT MO N, 
CSIRT NASK, CSIRT GOV i sektorowy zespół cyberbezpi eczeństwa o podmiocie, z którym została zawarta umo wa 
o świadczenie usług z zakresu cyberbezpieczeństwa, danych kontaktowych tego podmiotu, zakresie świadcz onej usługi 
oraz o rozwiązaniu umowy w terminie 14 dni od dnia zawarcia lub rozwiązania umowy. 
4. Minister właściwy do spraw informatyzacji określ i, w drodze rozporządzenia, warunki organizacyjne i  techniczne 
dla podmiotów świadczących usługi z zakresu cyberbe zpieczeństwa oraz wewnętrznych struktur odpowiedzia lnych za 
cyberbezpieczeństwo, uwzględniając Polskie Normy or az konieczność zapewnienia bezpieczeństwa dla wewnę trznych 
struktur odpowiedzialnych za cyberbezpieczeństwo i podmiotów świadczących usługi z zakresu cyberbezpie czeństwa dla 
operatorów usług kluczowych, a także konieczność za pewnienia bezpieczeństwa informacji przetwarzanych w tych struktu- 
rach albo podmiotach. 
Art. 15.  1. Operator usługi kluczowej ma obowiązek zapewnić  przeprowadzenie, co najmniej raz na 2 lata, audytu  
bezpieczeństwa systemu informacyjnego wykorzystywan ego do świadczenia usługi kluczowej, zwanego dalej „audytem”. 
2. Audyt może być przeprowadzony przez: 
1) jednostkę oceniającą zgodność, akredytowaną zgod nie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach 
oceny zgodności i nadzoru rynku (Dz. U. z 2017 r. p oz. 1398 oraz z 2018 r. poz. 650 i 1338), w zakresi e właściwym 
do podejmowanych ocen bezpieczeństwa systemów infor macyjnych; 
2) co najmniej dwóch audytorów posiadających: 
a) certyfikaty określone w przepisach wydanych na p odstawie ust. 8 lub 
b) co najmniej trzyletnią praktykę w zakresie audyt u bezpieczeństwa systemów informacyjnych, lub 
c) co najmniej dwuletnią praktykę w zakresie audytu  bezpieczeństwa systemów informacyjnych i legitymuj ących się 
dyplomem ukończenia studiów podyplomowych w zakresi e audytu bezpieczeństwa systemów informacyjnych, 
wydanym przez jednostkę organizacyjną, która w dniu  wydania dyplomu była uprawniona, zgodnie z odrębny mi 
przepisami, do nadawania stopnia naukowego doktora nauk ekonomicznych, technicznych lub prawnych; 
3) sektorowy zespół cyberbezpieczeństwa, ustanowion y w ramach sektora lub podsektora wymienionego w za łączniku 
nr 1 do ustawy, jeżeli audytorzy spełniają warunki,  o których mowa w pkt 2. 
3. Za praktykę w zakresie audytu bezpieczeństwa sys temów informacyjnych, o której mowa w ust. 2 pkt 2 lit. b i c, 
uważa się udokumentowane wykonanie w ciągu ostatnic h 3 lat przed dniem rozpoczęcia audytu 3 audytów w zakresie 
bezpieczeństwa systemów informacyjnych lub ciągłośc i działania albo wykonywanie audytów bezpieczeństwa  systemów 
informacyjnych lub ciągłości działania w wymiarze c zasu pracy nie mniejszym niż 1/2 etatu, związanych z: 
1) przeprowadzaniem audytu wewnętrznego pod nadzore m audytora wewnętrznego; 
2) przeprowadzaniem audytu zewnętrznego pod nadzore m audytora wiodącego; 
   
Dziennik Ustaw – 9 – Poz. 1560 
 
 3) przeprowadzaniem audytu wewnętrznego w zakresie bezpieczeństwa informacji, o którym mowa w przepisa ch wyda- 
nych na podstawie art. 18 ustawy z dnia 17 lutego 2 005 r. o informatyzacji działalności podmiotów real izujących za- 
dania publiczne; 
4) wykonywaniem czynności kontrolnych, o których mo wa w ustawie z dnia 15 lipca 2011 r. o kontroli w a dministracji 
rządowej (Dz. U. poz. 1092); 
5) wykonywaniem czynności kontrolnych, o których mo wa w ustawie z dnia 23 grudnia 1994 r. o Najwyższej  Izbie 
Kontroli (Dz. U. z 2017 r. poz. 524 oraz z 2018 r. poz. 1000). 
4. Audytor jest obowiązany do zachowania w tajemnic y informacji uzyskanych w związku z przeprowadzanym  audy- 
tem, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych.  
5. Na podstawie zebranych dokumentów i dowodów audy tor sporządza pisemne sprawozdanie z przeprowadzone go 
audytu i przekazuje je operatorowi usługi kluczowej  wraz z dokumentacją z przeprowadzonego audytu. 
6. Operator usługi kluczowej, u którego w danym rok u w stosunku do systemu informacyjnego wykorzystywa nego do 
świadczenia usługi kluczowej został przeprowadzony przez osoby spełniające warunki określone w ust. 2 pkt 2 audyt  
wewnętrzny w zakresie bezpieczeństwa informacji, o którym mowa w przepisach wydanych na podstawie art.  18 ustawy 
z dnia 17 lutego 2005 r. o informatyzacji działalno ści podmiotów realizujących zadania publiczne, nie ma obowiązku 
przeprowadzania audytu przez 2 lata. 
7. Operator usługi kluczowej przekazuje kopię spraw ozdania z przeprowadzonego audytu na uzasadniony wn iosek: 
1) organu właściwego do spraw cyberbezpieczeństwa; 
2) dyrektora Rządowego Centrum Bezpieczeństwa – w p rzypadku gdy operator usługi kluczowej jest jednocz eśnie właś-
cicielem, posiadaczem samoistnym albo posiadaczem z ależnym obiektów, instalacji, urządzeń lub usług wc hodzących 
w skład infrastruktury krytycznej, wymienionych w w ykazie, o którym mowa w art. 5b ust. 7 pkt 1 ustawy  z dnia 
26 kwietnia 2007 r. o zarządzaniu kryzysowym; 
3) Szefa Agencji Bezpieczeństwa Wewnętrznego. 
8. Minister właściwy do spraw informatyzacji określ i, w drodze rozporządzenia, wykaz certyfikatów upra wniających 
do przeprowadzenia audytu, uwzględniając zakres wie dzy specjalistycznej wymaganej od osób legitymujący ch się po- 
szczególnymi certyfikatami. 
Art. 16.  Operator usługi kluczowej realizuje obowiązki okre ślone w: 
1) art. 8 pkt 1 i 4, art. 9, art. 11 ust. 1–3, art.  12 i art. 14 ust. 1 – w terminie 3 miesięcy od dni a doręczenia decyzji 
o uznaniu za operatora usługi kluczowej; 
2) art. 8 pkt 2, 3, 5 i 6 oraz art. 10 ust. 1–3 – w  terminie 6 miesięcy od dnia doręczenia decyzji o u znaniu za operatora 
usługi kluczowej; 
3) art. 15 ust. 1 – w terminie roku od dnia doręcze nia decyzji o uznaniu za operatora usługi kluczowej . 
Rozdział 4 
Obowiązki dostawców usług cyfrowych 
Art. 17.  1. Dostawcą usługi cyfrowej jest osoba prawna albo  jednostka organizacyjna nieposiadająca osobowości 
prawnej mająca siedzibę lub zarząd na terytorium Rz eczypospolitej Polskiej albo przedstawiciela mające go jednostkę 
organizacyjną na terytorium Rzeczypospolitej Polski ej, świadcząca usługę cyfrową, z wyjątkiem mikroprz edsiębiorców 
i małych przedsiębiorców, o których mowa w art. 7 u st. 1 pkt 1 i 2 ustawy z dnia 6 marca 2018 r. – Pra wo przedsiębiorców 
(Dz. U. poz. 646 i 1479). Rodzaje usług cyfrowych o kreśla załącznik nr 2 do ustawy. 
2. Dostawca usługi cyfrowej podejmuje właściwe i pr oporcjonalne środki techniczne i organizacyjne okre ślone 
w rozporządzeniu wykonawczym 2018/151 w celu zarząd zania ryzykiem, na jakie narażone są systemy inform acyjne 
wykorzystywane do świadczenia usługi cyfrowej. Środ ki te zapewniają cyberbezpieczeństwo odpowiednie do  istniejącego 
ryzyka oraz uwzględniają: 
1) bezpieczeństwo systemów informacyjnych i obiektó w; 
2) postępowanie w przypadku obsługi incydentu; 
3) zarządzanie ciągłością działania dostawcy w celu  świadczenia usługi cyfrowej; 
4) monitorowanie, audyt i testowanie; 
5) najnowszy stan wiedzy, w tym zgodność z normami międzynarodowymi, o których mowa w rozporządzeniu w yko- 
nawczym 2018/151. 
   
Dziennik Ustaw – 10 – Poz. 1560 
 
 3. Dostawca usługi cyfrowej podejmuje środki zapobi egające i minimalizujące wpływ incydentów na usługę  cyfrową 
w celu zapewnienia ciągłości świadczenia tej usługi . 
4. Dostawca usługi cyfrowej, który nie posiada jedn ostki organizacyjnej w jednym z państw członkowskic h Unii Euro- 
pejskiej, ale oferuje usługi cyfrowe w Rzeczypospol itej Polskiej, wyznacza przedstawiciela posiadające go jednostkę orga- 
nizacyjną na terytorium Rzeczypospolitej Polskiej, o ile nie wyznaczył przedstawiciela posiadającego j ednostkę organiza- 
cyjną w innym państwie członkowskim Unii Europejski ej. 
5. Przedstawicielem może być osoba fizyczna, osoba prawna lub jednostka organizacyjna nieposiadająca o sobowości 
prawnej, ustanowiona w Rzeczypospolitej Polskiej lu b w innym państwie członkowskim Unii Europejskiej, wyznaczona do 
występowania w imieniu dostawcy usługi cyfrowej, kt óry nie posiada jednostki organizacyjnej w Unii Eur opejskiej, do 
którego organ właściwy do spraw cyberbezpieczeństwa , CSIRT MON, CSIRT NASK lub CSIRT GOV może się zwró cić 
w związku z obowiązkami dostawcy usługi cyfrowej wy nikającymi z ustawy.  
Art. 18.  1. Dostawca usługi cyfrowej: 
1) przeprowadza czynności umożliwiające wykrywanie,  rejestrowanie, analizowanie oraz klasyfikowanie in cydentów; 
2) zapewnia w niezbędnym zakresie dostęp do informa cji dla właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV 
o incydentach zakwalifikowanych jako krytyczne prze z właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV; 
3) klasyfikuje incydent jako istotny; 
4) zgłasza incydent istotny niezwłocznie, nie późni ej niż w ciągu 24 godzin od momentu wykrycia, do wł aściwego 
CSIRT MON, CSIRT NASK lub CSIRT GOV; 
5) zapewnia obsługę incydentu istotnego i incydentu  krytycznego we współpracy z właściwym CSIRT MON, C SIRT 
NASK lub CSIRT GOV, przekazując niezbędne dane, w t ym dane osobowe; 
6) usuwa podatności, o których mowa w art. 32 ust. 2; 
7) przekazuje operatorowi usługi kluczowej, który ś wiadczy usługę kluczową za pośrednictwem tego dosta wcy usługi 
cyfrowej, informacje dotyczące incydentu mającego w pływ na ciągłość świadczenia usługi kluczowej tego operatora. 
2. Dostawca usługi cyfrowej w celu sklasyfikowania incydentu jako istotnego uwzględnia w szczególności : 
1) liczbę użytkowników, których dotyczy incydent, w  szczególności użytkowników zależnych od usługi na potrzeby 
świadczenia ich własnych usług; 
2) czas trwania incydentu; 
3) zasięg geograficzny obszaru, którego dotyczy inc ydent; 
4) zakres zakłócenia funkcjonowania usługi; 
5) zakres wpływu incydentu na działalność gospodarc zą i społeczną. 
3. Dostawca usługi cyfrowej, klasyfikując incydent jako istotny, ocenia istotność wpływu incydentu na świadczenie 
usługi cyfrowej na podstawie parametrów, o których mowa w ust. 2, oraz progów określonych w rozporządz eniu wyko- 
nawczym 2018/151. 
4. Dostawca usługi cyfrowej nie ma obowiązku dokona nia zgłoszenia, o którym mowa w ust. 1 pkt 4, gdy n ie posiada 
informacji pozwalających na ocenę istotności wpływu  incydentu na świadczenie usługi cyfrowej. 
5. Zgłoszenie, o którym mowa w ust. 1 pkt 4, przeka zywane jest w postaci elektronicznej, a w przypadku  braku moż- 
liwości przekazania go w postaci elektronicznej – p rzy użyciu innych dostępnych środków komunikacji. 
Art. 19.  1. Zgłoszenie, o którym mowa w art. 18 ust. 1 pkt 4, zawiera: 
1) dane podmiotu zgłaszającego, w tym firmę przedsi ębiorcy, numer we właściwym rejestrze, siedzibę i a dres; 
2) imię i nazwisko, numer telefonu oraz adres poczt y elektronicznej osoby składającej zgłoszenie; 
3) imię i nazwisko, numer telefonu oraz adres poczt y elektronicznej osoby uprawnionej do składania wyj aśnień dotyczą- 
cych zgłaszanych informacji; 
4) opis wpływu incydentu istotnego na świadczenie u sługi cyfrowej, w tym: 
a) liczbę użytkowników, na których incydent istotny  miał wpływ, 
b) moment wystąpienia i wykrycia incydentu istotneg o oraz czas jego trwania, 
c) zasięg geograficzny obszaru, którego dotyczy inc ydent istotny, 
   
Dziennik Ustaw – 11 – Poz. 1560 
 
 d) zakres zakłócenia funkcjonowania usługi cyfrowej , 
e) zakres wpływu incydentu istotnego na działalność  gospodarczą i społeczną; 
5) informacje umożliwiające właściwemu CSIRT MON, C SIRT NASK lub CSIRT GOV określenie, czy incydent is tot- 
ny dotyczy dwóch lub większej liczby państw członko wskich Unii Europejskiej; 
6) informacje o przyczynie i źródle incydentu istot nego; 
7) informacje o podjętych działaniach zapobiegawczy ch; 
8) informacje o podjętych działaniach naprawczych; 
9) inne istotne informacje. 
2. Dostawca usługi cyfrowej przekazuje informacje z nane mu w chwili dokonywania zgłoszenia, które uzup ełnia 
w trakcie obsługi incydentu istotnego. 
3. Dostawca usługi cyfrowej przekazuje, w niezbędny m zakresie, w zgłoszeniu, o którym mowa w art. 18 u st. 1 pkt 4, 
informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy je st to konieczne 
do realizacji zadań właściwego CSIRT MON, CSIRT NAS K lub CSIRT GOV. 
4. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV moż e zwrócić się do dostawcy usługi cyfrowej o uzupeł-
nienie zgłoszenia o informacje, w tym informacje st anowiące tajemnice prawnie chronione, w zakresie ni ezbędnym do 
realizacji zadań, o których mowa w ustawie. 
5. W zgłoszeniu dostawcy usług cyfrowych oznaczają informacje stanowiące tajemnice prawnie chronione, w tym 
stanowiące tajemnicę przedsiębiorstwa.  
Art. 20.  Dostawca usługi cyfrowej może przekazywać do właśc iwego CSIRT MON, CSIRT NASK lub CSIRT GOV 
informacje, o których mowa w art. 13 ust. 1. Inform acje te przekazywane są w postaci elektronicznej, a  w przypadku braku 
możliwości przekazania ich w postaci elektronicznej  – przy użyciu innych dostępnych środków komunikacj i. 
Rozdział 5 
Obowiązki podmiotów publicznych 
Art. 21. 1. Podmiot publiczny, o którym mowa w art. 4 pkt 7– 15, realizujący zadanie publiczne zależne od system u 
informacyjnego jest obowiązany do wyznaczenia osoby  odpowiedzialnej za utrzymywanie kontaktów z podmio tami krajo- 
wego systemu cyberbezpieczeństwa. 
2. Organ administracji publicznej może wyznaczyć je dną osobę odpowiedzialną za utrzymywanie kontaktów 
z podmiotami krajowego systemu cyberbezpieczeństwa w zakresie zadań publicznych zależnych od systemów informacyj- 
nych, realizowanych przez jednostki jemu podległe l ub przez niego nadzorowane. 
3. Jednostka samorządu terytorialnego może wyznaczy ć jedną osobę odpowiedzialną za utrzymywanie kontak tów 
z podmiotami krajowego systemu cyberbezpieczeństwa w zakresie zadań publicznych zależnych od systemów informacyj- 
nych, realizowanych przez jej jednostki organizacyj ne. 
Art. 22.  1. Podmiot publiczny, o którym mowa w art. 4 pkt 7 –15, realizujący zadanie publiczne zależne od syste mu 
informacyjnego: 
1) zapewnia zarządzanie incydentem w podmiocie publ icznym; 
2) zgłasza incydent w podmiocie publicznym niezwłoc znie, nie później niż w ciągu 24 godzin od momentu wykrycia, do 
właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV; 
3) zapewnia obsługę incydentu w podmiocie publiczny m i incydentu krytycznego we współpracy z właściwym  CSIRT 
MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędn e dane, w tym dane osobowe; 
4) zapewnia osobom, na rzecz których zadanie public zne jest realizowane, dostęp do wiedzy pozwalającej  na zrozumie- 
nie zagrożeń cyberbezpieczeństwa i stosowanie skute cznych sposobów zabezpieczania się przed tymi zagro żeniami, 
w szczególności przez publikowanie informacji w tym  zakresie na swojej stronie internetowej; 
5) przekazuje do właściwego CSIRT MON, CSIRT NASK l ub CSIRT GOV dane osoby, o której mowa w art. 21, 
obejmujące imię i nazwisko, numer telefonu oraz adr es poczty elektronicznej, w terminie 14 dni od dnia  jej wyzna- 
czenia, a także informacje o zmianie tych danych w terminie 14 dni od dnia ich zmiany. 
2. Zgłoszenie, o którym mowa w ust. 1 pkt 2, przeka zywane jest w postaci elektronicznej, a w przypadku  braku moż- 
liwości przekazania go w postaci elektronicznej – p rzy użyciu innych dostępnych środków komunikacji. 
   
Dziennik Ustaw – 12 – Poz. 1560 
 
 Art. 23.  1. Zgłoszenie, o którym mowa w art. 22 ust. 1 pkt 2, zawiera: 
1) dane podmiotu zgłaszającego, w tym nazwę podmiot u, numer we właściwym rejestrze, siedzibę i adres; 
2) imię i nazwisko, numer telefonu oraz adres poczt y elektronicznej osoby składającej zgłoszenie; 
3) imię i nazwisko, numer telefonu oraz adres poczt y elektronicznej osoby uprawnionej do składania wyj aśnień dotyczą- 
cych zgłaszanych informacji; 
4) opis wpływu incydentu w podmiocie publicznym na realizowane zadanie publiczne, w tym: 
a) wskazanie zadania publicznego, na które incydent  miał wpływ, 
b) liczbę osób, na które incydent miał wpływ, 
c) moment wystąpienia i wykrycia incydentu oraz cza s jego trwania, 
d) zasięg geograficzny obszaru, którego dotyczy inc ydent, 
e) przyczynę zaistnienia incydentu i sposób jego pr zebiegu oraz skutki jego oddziaływania na systemy i nformacyjne 
podmiotu publicznego; 
5) informacje o przyczynie i źródle incydentu; 
6) informacje o podjętych działaniach zapobiegawczy ch; 
7) informacje o podjętych działaniach naprawczych; 
8) inne istotne informacje. 
2. Podmiot publiczny, o którym mowa w art. 4 pkt 7– 15, przekazuje informacje znane mu w chwili dokonyw ania 
zgłoszenia, które uzupełnia w trakcie obsługi incyd entu w podmiocie publicznym. 
3. Podmiot publiczny, o którym mowa w art. 4 pkt 7– 15, przekazuje, w niezbędnym zakresie, w zgłoszeniu , o którym 
mowa w art. 22 ust. 1 pkt 2, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajem nicę przedsię- 
biorstwa, gdy jest to konieczne do realizacji zadań  właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV. 
4. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV moż e zwrócić się do podmiotu publicznego, o którym 
mowa w art. 4 pkt 7–15, o uzupełnienie zgłoszenia o  informacje, w tym informacje stanowiące tajemnice prawnie chronio- 
ne, w zakresie niezbędnym do realizacji zadań, o kt órych mowa w ustawie. 
5. W zgłoszeniu podmiot publiczny, o którym mowa w art. 4 pkt 7–15, oznacza informacje stanowiące taje mnice 
prawnie chronione, w tym stanowiące tajemnicę przed siębiorstwa. 
Art. 24.  Podmiot publiczny, o którym mowa w art. 4 pkt 7–15 , realizujący zadanie publiczne zależne od systemu  
informacyjnego może przekazywać do właściwego CSIRT  MON, CSIRT NASK lub CSIRT GOV informacje, o któryc h 
mowa w art. 13 ust. 1. Informacje te przekazywane s ą w postaci elektronicznej, a w przypadku braku moż liwości przeka- 
zania ich w postaci elektronicznej – przy użyciu in nych dostępnych środków komunikacji.  
Art. 25.  Do podmiotu publicznego, o którym mowa w art. 4 pk t 7–15, wobec którego wydana została decyzja 
o uznaniu za operatora usługi kluczowej, stosuje si ę przepisy rozdziału 3 w zakresie świadczenia usług i kluczowej, 
w związku z której świadczeniem został uznany za op eratora usługi kluczowej. 
Rozdział 6 
Zadania CSIRT MON, CSIRT NASK i CSIRT GOV  
Art. 26.  1. CSIRT MON, CSIRT NASK i CSIRT GOV współpracują ze sobą, z organami właściwymi do spraw cyber- 
bezpieczeństwa, ministrem właściwym do spraw inform atyzacji oraz Pełnomocnikiem, zapewniając spójny i kompletny 
system zarządzania ryzykiem na poziomie krajowym, r ealizując zadania na rzecz przeciwdziałania zagroże niom cyberbez- 
pieczeństwa o charakterze ponadsektorowym i transgr anicznym, a także zapewniając koordynację obsługi z głoszonych 
incydentów. 
2. CSIRT MON, CSIRT NASK i CSIRT GOV w uzasadnionyc h przypadkach na wniosek operatorów usług kluczo- 
wych, dostawców usług cyfrowych, podmiotów publiczn ych, o których mowa w art. 4 pkt 7–15, sektorowych zespołów 
cyberbezpieczeństwa lub właścicieli, posiadaczy sam oistnych albo posiadaczy zależnych obiektów, instal acji, urządzeń lub 
usług wchodzących w skład infrastruktury krytycznej , wymienionych w wykazie, o którym mowa w art. 5b u st. 7 pkt 1 
ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kry zysowym, mogą zapewnić wsparcie w obsłudze incydent ów. 
   
Dziennik Ustaw – 13 – Poz. 1560 
 
 3. Do zadań CSIRT MON, CSIRT NASK i CSIRT GOV, zgod nie z właściwością wskazaną w ust. 5–7, należy: 
1) monitorowanie zagrożeń cyberbezpieczeństwa i inc ydentów na poziomie krajowym; 
2) szacowanie ryzyka związanego z ujawnionym zagroż eniem cyberbezpieczeństwa oraz zaistniałymi incyden tami, 
w tym prowadzenie dynamicznej analizy ryzyka; 
3) przekazywanie informacji dotyczących incydentów i ryzyk podmiotom krajowego systemu cyberbezpieczeń stwa; 
4) wydawanie komunikatów o zidentyfikowanych zagroż eniach cyberbezpieczeństwa; 
5) reagowanie na zgłoszone incydenty; 
6) klasyfikowanie incydentów, w tym incydentów powa żnych oraz incydentów istotnych, jako incydenty kry tyczne oraz 
koordynowanie obsługi incydentów krytycznych; 
7) zmiana klasyfikacji incydentów poważnych i incyd entów istotnych; 
8) przekazywanie do właściwego CSIRT MON, CSIRT NAS K lub CSIRT GOV informacji technicznych dotyczących  
incydentu, którego koordynacja obsługi wymaga współ pracy CSIRT; 
9) przeprowadzanie w uzasadnionych przypadkach bada nia urządzenia informatycznego lub oprogramowania w  celu 
identyfikacji podatności, której wykorzystanie może  zagrozić w szczególności integralności, poufności,  rozliczalności, 
autentyczności lub dostępności przetwarzanych danyc h, które może mieć wpływ na bezpieczeństwo publiczn e lub 
istotny interes bezpieczeństwa państwa, oraz składa nie wniosków w sprawie rekomendacji dla podmiotów k rajowego 
systemu cyberbezpieczeństwa dotyczących stosowania urządzeń informatycznych lub oprogramowania, w szcz egól- 
ności w zakresie wpływu na bezpieczeństwo publiczne  lub istotny interes bezpieczeństwa państwa, zwanyc h dalej 
„rekomendacjami dotyczącymi stosowania urządzeń inf ormatycznych lub oprogramowania”; 
10) współpraca z sektorowymi zespołami cyberbezpiec zeństwa w zakresie koordynowania obsługi incydentów  poważ- 
nych, w tym dotyczących dwóch lub większej liczby p aństw członkowskich Unii Europejskiej, i incydentów  krytycz- 
nych oraz w zakresie wymiany informacji pozwalający ch przeciwdziałać zagrożeniom cyberbezpieczeństwa; 
11) przekazywanie do innych państw, w tym państw cz łonkowskich Unii Europejskiej, i przyjmowanie z tyc h państw 
informacji o incydentach poważnych i incydentach is totnych dotyczących dwóch lub większej liczby państ w człon- 
kowskich, a także przekazywanie do Pojedynczego Pun ktu Kontaktowego zgłoszenia incydentu poważnego i i stotne- 
go dotyczącego dwóch lub większej liczby państw czł onkowskich Unii Europejskiej; 
12) przekazywanie, w terminie do dnia 30 maja każde go roku, do Pojedynczego Punktu Kontaktowego zestaw ienia zgło- 
szonych w poprzednim roku kalendarzowym przez opera torów usług kluczowych incydentów poważnych mającyc h 
wpływ na ciągłość świadczenia przez nich usług kluc zowych w Rzeczypospolitej Polskiej oraz ciągłość św iadczenia 
przez nich usług kluczowych w państwach członkowski ch Unii Europejskiej, a także zestawienia zgłoszony ch 
w poprzednim roku kalendarzowym przez dostawców usł ug cyfrowych incydentów istotnych, w tym dotyczącyc h 
dwóch lub większej liczby państw członkowskich Unii  Europejskiej; 
13) wspólne opracowywanie i przekazywanie ministrow i właściwemu do spraw informatyzacji części Raportu  o zagroże- 
niach bezpieczeństwa narodowego, o którym mowa w ar t. 5a ust. 1 ustawy z dnia 26 kwietnia 2007 r. o za rządzaniu 
kryzysowym, dotyczącej cyberbezpieczeństwa; 
14) zapewnienie zaplecza analitycznego oraz badawcz o-rozwojowego, które w szczególności: 
a) prowadzi zaawansowane analizy złośliwego oprogra mowania oraz analizy podatności, 
b) monitoruje wskaźniki zagrożeń cyberbezpieczeństw a, 
c) rozwija narzędzia i metody do wykrywania i zwalc zania zagrożeń cyberbezpieczeństwa, 
d) prowadzi analizy i opracowuje standardy, rekomen dacje i dobre praktyki w zakresie cyberbezpieczeńst wa, 
e) wspiera podmioty krajowego systemu cyberbezpiecz eństwa w budowaniu potencjału i zdolności w obszarz e cyber- 
bezpieczeństwa, 
f) prowadzi działania z zakresu budowania świadomoś ci w obszarze cyberbezpieczeństwa, 
g) współpracuje w zakresie rozwiązań edukacyjnych w  obszarze cyberbezpieczeństwa; 
15) zapewnienie możliwości dokonywania zgłoszeń i p rzekazywania informacji, o których mowa w art. 11 u st. 1 pkt 4, 
art. 13 ust. 1, art. 18 ust. 1 pkt 4, art. 20, art.  22 ust. 1 pkt 2, art. 24 i art. 30 ust. 1, oraz ud ostępnienie i obsługa środ- 
ków komunikacji pozwalających na dokonywanie tych z głoszeń; 
16) udział w Sieci CSIRT składającej się z przedsta wicieli CSIRT państw członkowskich Unii Europejskie j, CSIRT właś-
ciwego dla instytucji Unii Europejskiej, Komisji Eu ropejskiej oraz Agencji Unii Europejskiej do spraw Bezpieczeń- 
stwa Sieci i Informacji (ENISA). 
   
Dziennik Ustaw – 14 – Poz. 1560 
 
 4. CSIRT MON, CSIRT NASK i CSIRT GOV wspólnie oprac owują główne elementy procedur postępowania 
w przypadku incydentu, którego koordynacja obsługi wymaga współpracy CSIRT, oraz określą we współpracy  z sektoro- 
wymi zespołami cyberbezpieczeństwa sposób współdzia łania z tymi zespołami, w tym sposób koordynacji ob sługi incy- 
dentu. 
5. Do zadań CSIRT MON należy koordynacja obsługi in cydentów zgłaszanych przez: 
1) podmioty podległe Ministrowi Obrony Narodowej lu b przez niego nadzorowane, w tym podmioty, których systemy 
teleinformatyczne lub sieci teleinformatyczne objęt e są jednolitym wykazem obiektów, instalacji, urząd zeń i usług 
wchodzących w skład infrastruktury krytycznej, o kt órym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 k wietnia 
2007 r. o zarządzaniu kryzysowym; 
2) przedsiębiorców o szczególnym znaczeniu gospodar czo-obronnym, w stosunku do których organem organiz ującym 
i nadzorującym wykonywanie zadań na rzecz obronnośc i państwa w rozumieniu art. 5 pkt 3 ustawy z dnia 2 3 sierpnia 
2001 r. o organizowaniu zadań na rzecz obronności p aństwa realizowanych przez przedsiębiorców (Dz. U. poz. 1320 
oraz z 2002 r. poz. 1571) jest Minister Obrony Naro dowej. 
6. Do zadań CSIRT NASK należy: 
1) koordynacja obsługi incydentów zgłaszanych przez : 
a) jednostki sektora finansów publicznych, o któryc h mowa w art. 9 pkt 2–6, 11 i 12 ustawy z dnia 27 s ierpnia 2009 r. 
o finansach publicznych, 
b) jednostki podległe organom administracji rządowe j lub przez nie nadzorowane, z wyjątkiem jednostek,  o których 
mowa w ust. 7 pkt 2, 
c) instytuty badawcze, 
d) Urząd Dozoru Technicznego, 
e) Polską Agencję Żeglugi Powietrznej, 
f) Polskie Centrum Akredytacji, 
g) Narodowy Fundusz Ochrony Środowiska i Gospodarki  Wodnej oraz wojewódzkie fundusze ochrony środowisk a 
i gospodarki wodnej, 
h) spółki prawa handlowego wykonujące zadania o cha rakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 
ustawy z dnia 20 grudnia 1996 r. o gospodarce komun alnej, 
i) dostawców usług cyfrowych, z wyjątkiem wymienion ych w ust. 7 pkt 5, 
j) operatorów usług kluczowych, z wyjątkiem wymieni onych w ust. 5 i 7, 
k) inne podmioty niż wymienione w lit. a–j oraz ust . 5 i 7, 
l) osoby fizyczne; 
2) tworzenie i udostępnianie narzędzi dobrowolnej w spółpracy i wymiany informacji o zagrożeniach cyber bezpieczeń- 
stwa i incydentach; 
3) zapewnienie obsługi linii telefonicznej lub serw isu internetowego prowadzących działalność w zakres ie zgłaszania 
i analizy przypadków dystrybucji, rozpowszechniania  lub przesyłania pornografii dziecięcej za pośredni ctwem tech- 
nologii informacyjno-komunikacyjnych, o których mow a w dyrektywie Parlamentu Europejskiego i Rady 2011 /92/UE 
z dnia 13 grudnia 2011 r. w sprawie zwalczania nieg odziwego traktowania w celach seksualnych i wykorzy stywania 
seksualnego dzieci oraz pornografii dziecięcej, zas tępującej decyzję ramową Rady 2004/68/WSiSW (Dz. Ur z. 
UE L 335 z 17.12.2011, str. 1). 
7. Do zadań CSIRT GOV należy koordynacja obsługi in cydentów zgłaszanych przez: 
1) jednostki sektora finansów publicznych, o któryc h mowa w art. 9 pkt 1, 8 i 9 ustawy z dnia 27 sierp nia 2009 r. 
o finansach publicznych, z wyjątkiem wymienionych w  ust. 5 i 6; 
2) jednostki podległe Prezesowi Rady Ministrów lub przez niego nadzorowane; 
3) Narodowy Bank Polski; 
4) Bank Gospodarstwa Krajowego; 
   
Dziennik Ustaw – 15 – Poz. 1560 
 
 5) inne niż wymienione w pkt 1–4 oraz ust. 5 podmio ty, których systemy teleinformatyczne lub sieci tel einformatyczne 
objęte są jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury  krytycznej, 
o którym mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym; 
6) podmioty, o których mowa w ust. 6, jeżeli incyde nt dotyczy systemów teleinformatycznych lub sieci t eleinformatycz- 
nych objętych jednolitym wykazem obiektów, instalac ji, urządzeń i usług wchodzących w skład infrastruk tury kry- 
tycznej, o którym mowa w art. 5b ust. 7 pkt 1 ustaw y z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysow ym. 
8. CSIRT MON, CSIRT NASK lub CSIRT GOV, który otrzy mał zgłoszenie incydentu, a nie jest właściwy do ko ordyna- 
cji jego obsługi, przekazuje niezwłocznie to zgłosz enie do właściwego CSIRT wraz z otrzymanymi informa cjami. 
9. Działalność CSIRT NASK jest finansowana w formie  dotacji podmiotowej z części budżetu państwa, któr ej dyspo- 
nentem jest minister właściwy do spraw informatyzac ji. 
10. CSIRT MON, CSIRT NASK i CSIRT GOV mogą, w drodz e porozumienia, powierzyć sobie wzajemnie wykony- 
wanie zadań w stosunku do niektórych rodzajów podmi otów, o których mowa w ust. 5–7. O zawarciu porozum ienia 
CSIRT, który powierzył wykonywanie zadań, informuje  podmioty, w stosunku do których nastąpiła zmiana C SIRT. 
11. Komunikat o zawarciu porozumienia, o którym mow a w ust. 10, ogłasza się w dzienniku urzędowym odpo wiednio 
Ministra Obrony Narodowej, Ministra Cyfryzacji lub Agencji Bezpieczeństwa Wewnętrznego. W komunikacie wskazuje 
się informacje o: 
1) adresie strony internetowej, na której zostanie zamieszczona treść porozumienia wraz ze stanowiącym i jego integralną 
treść załącznikami; 
2) terminie, od którego porozumienie będzie obowiąz ywało. 
Art. 27.  1. CSIRT GOV jest właściwy w zakresie incydentów z wiązanych ze zdarzeniami o charakterze terrorystycz - 
nym, o których mowa w art. 2 pkt 7 ustawy z dnia 10  czerwca 2016 r. o działaniach antyterrorystycznych  (Dz. U. z 2018 r. 
poz. 452, 650 i 730). 
2. CSIRT MON jest właściwy w zakresie incydentów zw iązanych ze zdarzeniami o charakterze terrorystyczn ym, 
o których mowa w art. 5 ust. 1 pkt 2a ustawy z dnia  9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskoweg o oraz Służbie 
Wywiadu Wojskowego (Dz. U. z 2017 r. poz. 1978 i 24 05 oraz z 2018 r. poz. 650 i 1544). 
3. W przypadku stwierdzenia, że incydent, którego o bsługa jest koordynowana przez właściwy CSIRT MON, CSIRT 
NASK lub CSIRT GOV, jest związany ze zdarzeniami, o  których mowa w ust. 1 albo 2, koordynację obsługi incydentu 
przejmuje właściwy CSIRT MON lub CSIRT GOV.  
Art. 28.  1. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV in formuje na podstawie zgłoszenia incydentu 
poważnego dokonanego przez operatora usługi kluczow ej inne państwa członkowskie Unii Europejskiej, któ rych dotyczy 
ten incydent, za pośrednictwem Pojedynczego Punktu Kontaktowego. 
2. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV prz ekazuje, jeżeli pozwalają na to okoliczności, opera to- 
rowi usługi kluczowej zgłaszającemu incydent poważn y informacje dotyczące działań podjętych po zgłosze niu tego incy- 
dentu, które mogłyby pomóc w jego obsłudze. 
3. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV moż e wystąpić z wnioskiem do Pojedynczego Punktu 
Kontaktowego o przekazanie zgłoszenia incydentu pow ażnego, o którym mowa w ust. 1, pojedynczym punktom  kontakto- 
wym w innych państwach członkowskich Unii Europejsk iej, których dotyczy ten incydent. 
Art. 29.  CSIRT MON, CSIRT NASK lub CSIRT GOV informuje inne  państwa członkowskie Unii Europejskiej 
w przypadku, gdy incydent istotny dotyczy dwóch lub  większej liczby państw członkowskich Unii Europejs kiej, za pośred- 
nictwem Pojedynczego Punktu Kontaktowego. 
Art. 30.  1. Podmioty inne niż operatorzy usług kluczowych i  dostawcy usług cyfrowych, w tym osoby fizyczne, mo gą 
zgłosić incydent do CSIRT NASK. W zgłoszeniu należy  podać: 
1) nazwę podmiotu lub systemu informacyjnego, w któ rym wystąpił incydent; 
2) opis incydentu; 
3) inne istotne informacje. 
2. Zgłoszenia incydentów od operatorów usług kluczo wych oraz dostawców usług cyfrowych są traktowane p rioryte- 
towo względem zgłoszeń, o których mowa w ust. 1. 
3. Zgłoszenia, o których mowa w ust. 1, mogą zostać  rozpatrzone, gdy nie stanowi to nieproporcjonalneg o czy nad- 
miernego obciążenia dla CSIRT NASK. 
4. Podmiot, o którym mowa w ust. 1, oznacza w zgłos zeniu informacje stanowiące tajemnice prawnie chron ione, 
w tym stanowiące tajemnicę przedsiębiorstwa.  
   
Dziennik Ustaw – 16 – Poz. 1560 
 
 Art. 31. 1. CSIRT MON, CSIRT NASK i CSIRT GOV określa sposób  dokonywania zgłoszeń i przekazywania 
informacji w postaci elektronicznej, o których mowa  w art. 11 ust. 1 pkt 4, art. 13 ust. 1, art. 18 us t. 1 pkt 4, art. 20, 
art. 22 ust. 1 pkt 2, art. 24 i art. 30 ust. 1, a t akże określa sposób dokonywania zgłoszeń i przekazy wania informacji przy 
użyciu innych środków komunikacji – w przypadku bra ku możliwości dokonania zgłoszenia albo przekazania  ich w postaci 
elektronicznej. 
2. Komunikat zawierający informacje, o których mowa  w ust. 1, CSIRT MON, CSIRT NASK i CSIRT GOV publik u- 
je na stronie podmiotowej Biuletynu Informacji Publ icznej odpowiednio Ministra Obrony Narodowej, Nauko wej 
i Akademickiej Sieci Komputerowej – Państwowego Ins tytutu Badawczego lub Agencji Bezpieczeństwa Wewnęt rznego.  
Art. 32.  1. CSIRT MON, CSIRT NASK i CSIRT GOV mogą wykonywa ć niezbędne działania techniczne związane 
z analizą zagrożeń, koordynacją obsługi incydentu p oważnego, incydentu istotnego i incydentu krytyczne go. 
2. W trakcie koordynacji obsługi incydentu poważneg o, incydentu istotnego lub krytycznego CSIRT MON, C SIRT 
NASK lub CSIRT GOV może wystąpić do organu właściwe go do spraw cyberbezpieczeństwa z wnioskiem o wezwa nie 
operatora usługi kluczowej lub dostawcy usługi cyfr owej, aby w wyznaczonym terminie usunął podatności,  które doprowa- 
dziły lub mogłyby doprowadzić do incydentu poważneg o, incydentu istotnego lub krytycznego. 
3. CSIRT MON, CSIRT NASK lub CSIRT GOV może wystąpi ć bezpośrednio do operatora usługi kluczowej 
o udostępnienie informacji technicznych związanych z incydentem poważnym lub krytycznym, które będą ni ezbędne do 
przeprowadzenia analizy lub koordynacji obsługi tak iego incydentu. 
4. CSIRT MON, CSIRT NASK, CSIRT GOV lub sektorowe z espoły cyberbezpieczeństwa na podstawie informacji,  
o których mowa w art. 13 ust. 1 pkt 3 i 5, uzyskany ch od operatora usługi kluczowej, dostawcy usługi c yfrowej lub pod- 
miotu publicznego, o którym mowa w art. 4 pkt 7–15,  mogą przekazywać im informacje o podatnościach i s posobie usu- 
nięcia podatności w wykorzystywanych technologiach.  
Art. 33.  1. CSIRT MON, CSIRT NASK lub CSIRT GOV może przepr owadzić badanie urządzenia informatycznego 
lub oprogramowania w celu identyfikacji podatności,  której wykorzystanie może zagrozić w szczególności  integralności, 
poufności, rozliczalności, autentyczności lub dostę pności przetwarzanych danych, które może mieć wpływ  na bezpieczeń- 
stwo publiczne lub istotny interes bezpieczeństwa p aństwa. 
2. CSIRT MON, CSIRT NASK albo CSIRT GOV, podejmując  badanie urządzenia informatycznego lub oprogramo- 
wania, informuje pozostałe CSIRT o fakcie podjęcia badań oraz urządzeniu informatycznym lub oprogramow aniu, którego 
badanie dotyczy. 
3. CSIRT MON, CSIRT NASK lub CSIRT GOV w przypadku identyfikacji podatności, o której mowa w ust. 1, s kła- 
da wniosek w sprawie rekomendacji, o których mowa w  ust. 4. 
4. Pełnomocnik po uzyskaniu opinii Kolegium wydaje,  zmienia lub odwołuje rekomendacje dotyczące stosow ania 
urządzeń informatycznych lub oprogramowania, w szcz ególności w zakresie wpływu na bezpieczeństwo publi czne lub 
istotny interes bezpieczeństwa państwa. 
5. Podmiot krajowego systemu cyberbezpieczeństwa mo że wnieść do Pełnomocnika zastrzeżenia do rekomenda cji 
dotyczących stosowania urządzeń informatycznych lub  oprogramowania, z uwagi na ich negatywny wpływ na świadczoną 
usługę lub realizowane zadanie publiczne, nie późni ej niż w terminie 7 dni od dnia otrzymania rekomend acji. 
6. Pełnomocnik odnosi się do zastrzeżeń otrzymanych  w trybie ust. 5 niezwłocznie, jednak nie później n iż w terminie 
14 dni od dnia ich otrzymania, i podtrzymuje rekome ndacje dotyczące stosowania urządzeń informatycznyc h lub oprogra- 
mowania albo wydaje zmienione rekomendacje. 
7. Podmiot krajowego systemu cyberbezpieczeństwa in formuje Pełnomocnika, na jego wniosek, o sposobie i  zakresie 
uwzględnienia rekomendacji dotyczących stosowania u rządzeń informatycznych lub oprogramowania. 
8. Nieuwzględnienie rekomendacji dotyczących stosow ania urządzeń informatycznych lub oprogramowania st anowi 
podstawę do wystąpienia przez Pełnomocnika do organ u sprawującego nadzór nad podmiotem, o którym mowa w ust. 7, 
z informacją o ich nieuwzględnieniu. 
Art. 34.  1. CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe ze społy cyberbezpieczeństwa oraz podmioty 
świadczące usługi z zakresu cyberbezpieczeństwa wsp ółpracują z organami ścigania i wymiaru sprawiedliw ości oraz służ- 
bami specjalnymi przy realizacji ich ustawowych zad ań. 
2. CSIRT MON, CSIRT NASK i CSIRT GOV, koordynując o bsługę incydentu, który doprowadził do naruszenia 
ochrony danych osobowych, współpracują z organem wł aściwym do spraw ochrony danych osobowych. 
Art. 35.  1. CSIRT MON, CSIRT NASK i CSIRT GOV przekazują so bie wzajemnie informacje o incydencie kry- 
tycznym oraz informują o nim Rządowe Centrum Bezpie czeństwa. 
   
Dziennik Ustaw – 17 – Poz. 1560 
 
 2. Informacja, o której mowa w ust. 1, zawiera: 
1) wstępną analizę potencjalnych skutków incydentu,  z uwzględnieniem w szczególności: 
a) liczby użytkowników, których dotyczy incydent, w  szczególności jeśli zakłóca świadczenie usługi klu czowej, 
b) momentu wystąpienia i wykrycia incydentu oraz cz asu jego trwania, 
c) zasięgu geograficznego obszaru, którego dotyczy incydent; 
2) rekomendację w sprawie zwołania Rządowego Zespoł u Zarządzania Kryzysowego, o którym mowa w art. 8 u st. 1 
ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kry zysowym. 
3. Informacja, o której mowa w ust. 1, może zawiera ć wniosek o zwołanie Zespołu do spraw Incydentów Kr ytycz- 
nych, zwanego dalej „Zespołem”. 
4. W przypadku uzyskania informacji o zagrożeniach cyberbezpieczeństwa CSIRT MON, CSIRT NASK i CSIRT 
GOV mogą informować się wzajemnie oraz informować o  tych zagrożeniach Rządowe Centrum Bezpieczeństwa. Przepisy 
ust. 2 i 3 stosuje się odpowiednio. 
5. CSIRT MON, CSIRT NASK i CSIRT GOV mogą publikowa ć na stronie podmiotowej Biuletynu Informacji  
Publicznej odpowiednio Ministra Obrony Narodowej, N aukowej i Akademickiej Sieci Komputerowej – Państwo wego 
Instytutu Badawczego lub Agencji Bezpieczeństwa Wew nętrznego informacje, w niezbędnym zakresie, o poda tnościach, 
incydentach krytycznych oraz o zagrożeniach cyberbe zpieczeństwa, o ile przekazywanie informacji przycz yni się do 
zwiększenia cyberbezpieczeństwa systemów informacyj nych użytkowanych przez obywateli i przedsiębiorców  lub zapew- 
nienia bezpiecznego korzystania z tych systemów. Pu blikowane informacje nie mogą naruszać przepisów o ochronie  
informacji niejawnych oraz innych tajemnic prawnie chronionych ani przepisów o ochronie danych osobowy ch.  
Art. 36.  1. Zespół jest organem pomocniczym w sprawach obsł ugi incydentów krytycznych zgłoszonych CSIRT 
MON, CSIRT NASK lub CSIRT GOV i koordynującym dział ania podejmowane przez CSIRT MON, CSIRT NASK, 
CSIRT GOV oraz Rządowe Centrum Bezpieczeństwa. 
2. W skład Zespołu wchodzą przedstawiciele CSIRT MO N, CSIRT NASK, Szefa Agencji Bezpieczeństwa 
Wewnętrznego realizującego zadania w ramach CSIRT G OV oraz Rządowego Centrum Bezpieczeństwa. 
3. Dyrektor Rządowego Centrum Bezpieczeństwa przewo dniczy pracom Zespołu. 
4. Obsługę prac Zespołu zapewnia Rządowe Centrum Be zpieczeństwa. 
5. Do udziału w pracach Zespołu, z głosem doradczym , członkowie Zespołu mogą zapraszać przedstawicieli  organów 
właściwych do spraw cyberbezpieczeństwa lub jednost ek im podległych lub przez nie nadzorowanych, organ ów ścigania, 
wymiaru sprawiedliwości lub służb specjalnych. 
6. W przypadku, o którym mowa w art. 35 ust. 3, alb o na wniosek członka Zespołu lub z własnej inicjaty wy po  
uzyskaniu informacji, o której mowa w art. 35 ust. 1, dyrektor Rządowego Centrum Bezpieczeństwa zawiad amia nie- 
zwłocznie członków Zespołu o terminie i miejscu pos iedzenia Zespołu. Udział w posiedzeniu Zespołu może  odbywać się 
za pośrednictwem środków komunikacji elektronicznej . 
7. Zespół na posiedzeniu: 
1) wyznacza jednomyślnie CSIRT koordynujący obsługę  incydentu, którego dotyczy informacja, o której mo wa w art. 35 
ust. 1; 
2) określa role pozostałych CSIRT oraz Rządowego Ce ntrum Bezpieczeństwa w obsłudze incydentu, którego dotyczy 
informacja, o której mowa w art. 35 ust. 1; 
3) określa sposób wymiany informacji technicznych d otyczących incydentu krytycznego obsługiwanego wspó lnie przez 
CSIRT MON, CSIRT NASK lub Szefa Agencji Bezpieczeńs twa Wewnętrznego realizującego zadania w ramach 
CSIRT GOV; 
4) podejmuje decyzję o wystąpieniu przez dyrektora Rządowego Centrum Bezpieczeństwa z wnioskiem do Pre zesa 
Rady Ministrów w sprawie zwołania Rządowego Zespołu  Zarządzania Kryzysowego; 
5) w przypadku incydentu krytycznego, który może sp owodować zagrożenie wystąpienia zdarzenia o charakt erze terro- 
rystycznym, dotyczącego systemów teleinformatycznyc h organów administracji publicznej lub systemów tel einforma- 
tycznych wchodzących w skład infrastruktury krytycz nej, o którym mowa w art. 15 ust. 2 ustawy z dnia 1 0 czerwca 
2016 r. o działaniach antyterrorystycznych, przygot owuje w zakresie takiego incydentu informacje i wni oski dla mini- 
stra właściwego do spraw wewnętrznych i Szefa Agenc ji Bezpieczeństwa Wewnętrznego. 
   
Dziennik Ustaw – 18 – Poz. 1560 
 
 Rozdział 7 
Zasady udostępniania informacji i przetwarzania dan ych osobowych  
Art. 37. 1. Do udostępniania informacji o podatnościach, inc ydentach i zagrożeniach cyberbezpieczeństwa oraz 
o ryzyku wystąpienia incydentów nie stosuje się ust awy z dnia 6 września 2001 r. o dostępie do informa cji publicznej 
(Dz. U. z 2018 r. poz. 1330). 
2. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV moż e, po konsultacji ze zgłaszającym operatorem usługi  
kluczowej, opublikować na stronie podmiotowej Biule tynu Informacji Publicznej odpowiednio Ministra Obr ony Narodo- 
wej, Naukowej i Akademickiej Sieci Komputerowej – P aństwowego Instytutu Badawczego lub Agencji Bezpiec zeństwa 
Wewnętrznego informacje o incydentach poważnych, gd y jest to niezbędne, aby zapobiec wystąpieniu incyd entu albo 
zapewnić obsługę incydentu. 
3. Właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV moż e, po konsultacji ze zgłaszającym incydent istotny 
dostawcą usług cyfrowych, opublikować na stronie po dmiotowej Biuletynu Informacji Publicznej odpowiedn io Ministra 
Obrony Narodowej lub Naukowej i Akademickiej Sieci Komputerowej – Państwowego Instytutu Badawczego lub  Agencji 
Bezpieczeństwa Wewnętrznego informacje o incydentac h istotnych lub wystąpić do organu właściwego do sp raw cyber- 
bezpieczeństwa dla dostawcy usług cyfrowych, aby zo bowiązał dostawcę usług cyfrowych do podania tych i nformacji do 
publicznej wiadomości, gdy jest to niezbędne, aby z apobiec wystąpieniu incydentu lub zapewnić obsługę incydentu, albo 
gdy z innych powodów ujawnienie incydentu jest w in teresie publicznym. 
4. Opublikowanie informacji, o których mowa w ust. 2 i 3, nie może naruszać przepisów o ochronie infor macji nie- 
jawnych oraz innych tajemnic prawnie chronionych an i przepisów o ochronie danych osobowych. 
Art. 38.  Nie udostępnia się informacji przetwarzanych na po dstawie ustawy, jeżeli ich ujawnienie naruszyłoby o chro- 
nę interesu publicznego w odniesieniu do bezpieczeń stwa lub porządku publicznego, a także negatywnie w płynęłoby na 
prowadzenie postępowań przygotowawczych w sprawie p rzestępstw, ich wykrywania i ścigania.  
Art. 39.  1. W celu realizacji zadań, o których mowa w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44  ust. 1–3, 
CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoł y cyberbezpieczeństwa przetwarzają dane pozyskane 
w związku z incydentami i zagrożeniami cyberbezpiec zeństwa, w tym dane osobowe, obejmujące także dane określone 
w art. 9 ust. 1 rozporządzenia Parlamentu Europejsk iego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r . w sprawie 
ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu t akich da- 
nych oraz uchylenia dyrektywy 95/46/WE (ogólne rozp orządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, 
str. 1), zwanego dalej „rozporządzeniem 2016/679”, w zakresie i w celu niezbędnym do realizacji tych z adań. 
2. CSIRT MON, CSIRT NASK i sektorowe zespoły cyberb ezpieczeństwa, przetwarzając dane osobowe określone  
w art. 9 ust. 1 rozporządzenia 2016/679, prowadzą a nalizę ryzyka, stosują środki ochrony przed złośliw ym oprogramowa- 
niem oraz mechanizmy kontroli dostępu, a także opra cowują procedury bezpiecznej wymiany informacji. 
3. CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zes poły cyberbezpieczeństwa przetwarzają dane osobowe 
pozyskane w związku z incydentami i zagrożeniami cy berbezpieczeństwa: 
1) dotyczące użytkowników systemów informacyjnych o raz użytkowników telekomunikacyjnych urządzeń końco wych; 
2) dotyczące telekomunikacyjnych urządzeń końcowych  w rozumieniu art. 2 pkt 43 ustawy z dnia 16 lipca 2004 r. – 
Prawo telekomunikacyjne; 
3) gromadzone przez operatorów usług kluczowych i d ostawców usług cyfrowych w związku ze świadczeniem usług; 
4) gromadzone przez podmioty publiczne w związku z realizacją zadań publicznych, dotyczące podmiotów z głaszają- 
cych incydent zgodnie z art. 30 ust. 1. 
4. W celu realizacji zadań określonych w ustawie mi nister właściwy do spraw informatyzacji, dyrektor R ządowego 
Centrum Bezpieczeństwa, Pełnomocnik oraz organy wła ściwe do spraw cyberbezpieczeństwa przetwarzają dan e osobowe 
pozyskane w związku z incydentami i zagrożeniami cy berbezpieczeństwa: 
1) gromadzone przez operatorów usług kluczowych i d ostawców usług cyfrowych w związku ze świadczeniem usług; 
2) gromadzone przez podmioty publiczne w związku z realizacją zadań publicznych; 
3) dotyczące podmiotów zgłaszających incydent zgodn ie z art. 30 ust. 1. 
5. Dane, o których mowa w ust. 3 i 4, są usuwane lu b anonimizowane przez CSIRT MON, CSIRT NASK i sekto rowy 
zespół cyberbezpieczeństwa niezwłocznie po stwierdz eniu, że nie są niezbędne do realizacji zadań, o kt órych mowa 
w art. 26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 44 ust. 1–3. 
   
Dziennik Ustaw – 19 – Poz. 1560 
 
 6. Dane, o których mowa w ust. 3 i 4, niezbędne do realizacji zadań, o których mowa w art. 26 ust. 3 p kt 1–11, 14 i 15 
i ust. 5–8 oraz art. 44 ust. 1–3, są usuwane lub an onimizowane przez CSIRT MON, CSIRT NASK i sektorowy  zespół 
cyberbezpieczeństwa w terminie 5 lat od zakończenia  obsługi incydentu, którego dotyczą. 
7. W celu realizacji zadań określonych w ustawie CS IRT MON, CSIRT NASK, CSIRT GOV i sektorowe zespoły cyber- 
bezpieczeństwa mogą przekazywać sobie wzajemnie dan e, o których mowa w ust. 3, w zakresie niezbędnym d o realizacji 
tych zadań i współpracować z organem właściwym do s praw ochrony danych osobowych. 
8. Przetwarzanie przez CSIRT MON, CSIRT NASK i sekt orowe zespoły cyberbezpieczeństwa danych, o których  
mowa w ust. 3, nie wymaga realizacji obowiązków wyn ikających z art. 15, art. 16, art. 18 ust. 1 lit. a  i d oraz art. 19 zdanie 
drugie rozporządzenia 2016/679, jeżeli uniemożliwił oby to realizację zadań CSIRT NASK, CSIRT MON i sek torowych 
zespołów cyberbezpieczeństwa, o których mowa w art.  26 ust. 3 pkt 1–11, 14 i 15 i ust. 5–8 oraz art. 4 4 ust. 1–3, i jest 
możliwe, gdy CSIRT MON, CSIRT NASK i sektorowe zesp oły cyberbezpieczeństwa prowadzą analizę ryzyka, st osują 
środki ochrony przed złośliwym oprogramowaniem, sto sują mechanizmy kontroli dostępu oraz opracowują pr ocedury 
bezpiecznej wymiany informacji. 
9. CSIRT MON, CSIRT NASK i sektorowe zespoły cyberb ezpieczeństwa publikują na swoich stronach internet o- 
wych: 
1) dane kontaktowe administratora danych osobowych oraz, gdy ma to zastosowanie, dane kontaktowe inspe ktora ochrony 
danych osobowych; 
2) cele przetwarzania i podstawę prawną przetwarzan ia; 
3) kategorie przetwarzanych danych osobowych; 
4) informacje o odbiorcach danych osobowych; 
5) informacje o tym, przez jaki okres dane osobowe będą przechowywane; 
6) informacje o ograniczeniach obowiązków i praw os ób, których dane dotyczą; 
7) informacje o prawie wniesienia skargi do organu właściwego do spraw ochrony danych osobowych; 
8) źródło pochodzenia danych osobowych. 
Art. 40.  1. CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowe zes poły cyberbezpieczeństwa i minister właściwy 
do spraw informatyzacji przetwarzają informacje sta nowiące tajemnice prawnie chronione, w tym stanowią ce tajemnicę 
przedsiębiorstwa, gdy jest to konieczne dla realiza cji zadań, o których mowa w ustawie. 
2. CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zes poły cyberbezpieczeństwa przekazują informacje, 
o których mowa w ust. 1, organom ścigania w związku  z incydentem wyczerpującym znamiona przestępstwa. 
3. CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowe zes poły cyberbezpieczeństwa obowiązane są do zachowa- 
nia w tajemnicy informacji, w tym informacji stanow iących tajemnice prawnie chronione, uzyskanych w zw iązku z realiza- 
cją zadań, o których mowa w ustawie. 
Rozdział 8 
Organy właściwe do spraw cyberbezpieczeństwa  
Art. 41.  Organami właściwymi do spraw cyberbezpieczeństwa s ą: 
1) dla sektora energii – minister właściwy do spraw  energii; 
2) dla sektora transportu z wyłączeniem podsektora transportu wodnego – minister właściwy do spraw tra nsportu; 
3) dla podsektora transportu wodnego – minister wła ściwy do spraw gospodarki morskiej i minister właśc iwy do spraw 
żeglugi śródlądowej; 
4) dla sektora bankowego i infrastruktury rynków fi nansowych – Komisja Nadzoru Finansowego; 
5) dla sektora ochrony zdrowia z wyłączeniem podmio tów, o których mowa w art. 26 ust. 5 – minister wła ściwy do 
spraw zdrowia; 
6) dla sektora ochrony zdrowia obejmującego podmiot y, o których mowa w art. 26 ust. 5 – Minister Obron y Narodowej; 
7) dla sektora zaopatrzenia w wodę pitną i jej dyst rybucji – minister właściwy do spraw gospodarki wod nej; 
8) dla sektora infrastruktury cyfrowej z wyłączenie m podmiotów, o których mowa w art. 26 ust. 5 – mini ster właściwy 
do spraw informatyzacji; 
   
Dziennik Ustaw – 20 – Poz. 1560 
 
 9) dla sektora infrastruktury cyfrowej obejmującego  podmioty, o których mowa w art. 26 ust. 5 – Minist er Obrony 
Narodowej; 
10) dla dostawców usług cyfrowych z wyłączeniem pod miotów, o których mowa w art. 26 ust. 5 – minister właściwy do 
spraw informatyzacji; 
11) dla dostawców usług cyfrowych obejmujących podm ioty, o których mowa w art. 26 ust. 5 – Minister Ob rony Naro- 
dowej. 
Art. 42.  1. Organ właściwy do spraw cyberbezpieczeństwa: 
1) prowadzi bieżącą analizę podmiotów w danym sekto rze lub podsektorze pod kątem uznania ich za operat ora usługi 
kluczowej lub niespełniania warunków kwalifikującyc h podmiot jako operatora usługi kluczowej; 
2) wydaje decyzje o uznaniu podmiotu za operatora u sługi kluczowej albo decyzje stwierdzające wygaśnię cie decyzji 
o uznaniu podmiotu za operatora usługi kluczowej; 
3) niezwłocznie po wydaniu decyzji o uznaniu za ope ratora usługi kluczowej albo decyzji stwierdzającej  wygaśnięcie 
decyzji o uznaniu za operatora usługi kluczowej prz ekazuje wnioski do ministra właściwego do spraw inf ormatyzacji 
o wpisanie do wykazu operatorów usług kluczowych al bo wykreślenie z tego wykazu; 
4) składa wnioski o zmianę danych w wykazie operato rów usług kluczowych, nie później niż w terminie 6 miesięcy od 
zmiany tych danych; 
5) przygotowuje we współpracy z CSIRT NASK, CSIRT G OV, CSIRT MON i sektorowymi zespołami cyberbezpie- 
czeństwa rekomendacje dotyczące działań mających na  celu wzmocnienie cyberbezpieczeństwa, w tym wytycz ne sek- 
torowe dotyczące zgłaszania incydentów; 
6) monitoruje stosowanie przepisów ustawy przez ope ratorów usług kluczowych i dostawców usług cyfrowyc h; 
7) wzywa na wniosek CSIRT NASK, CSIRT GOV lub CSIRT  MON operatorów usług kluczowych lub dostawców 
usług cyfrowych do usunięcia w wyznaczonym terminie  podatności, które doprowadziły lub mogły doprowadz ić do 
incydentu poważnego, istotnego lub krytycznego; 
8) prowadzi kontrole operatorów usług kluczowych i dostawców usług cyfrowych; 
9) może prowadzić współpracę z właściwymi organami państw członkowskich Unii Europejskiej za pośrednic twem 
Pojedynczego Punktu Kontaktowego; 
10) przetwarza informacje, w tym dane osobowe, doty czące świadczonych usług kluczowych i usług cyfrowy ch oraz 
operatorów usług kluczowych lub dostawców usług cyf rowych w zakresie niezbędnym do realizacji zadań wy nikają- 
cych z ustawy; 
11) uczestniczy w ćwiczeniach w zakresie cyberbezpi eczeństwa organizowanych w Rzeczypospolitej Polskie j lub w Unii 
Europejskiej. 
2. W przypadku gdy osoba prawna lub jednostka organ izacyjna nieposiadająca osobowości prawnej, świadcz ąca 
usługi cyfrowe, nie posiada siedziby lub zarządu na  terytorium Rzeczypospolitej Polskiej albo nie wyzn aczyła przedstawi- 
ciela na terytorium Rzeczypospolitej Polskiej, ale jej systemy informacyjne znajdują się na terytorium  Rzeczypospolitej 
Polskiej, ani nie spełnia wymagań określonych w roz porządzeniu wykonawczym 2018/151, organ właściwy do  spraw  
cyberbezpieczeństwa dla dostawców usług cyfrowych m oże przekazywać informacje oraz zwracać się o podej mowanie 
działań, o których mowa w art. 53 ust. 2, do organu  właściwego w innym państwie członkowskim Unii Euro pejskiej, na 
terytorium którego posiada ona siedzibę lub zarząd albo został wyznaczony jej przedstawiciel. 
3. Organ właściwy do spraw cyberbezpieczeństwa może  powierzyć realizację, w jego imieniu, niektórych z adań, 
o których mowa w ust. 1, jednostkom podległym lub n adzorowanym przez ten organ. 
4. Powierzenie następuje na podstawie porozumienia organu właściwego do spraw cyberbezpieczeństwa z po dmiota- 
mi, o których mowa w ust. 3. 
5. W porozumieniu, o którym mowa w ust. 4, określa się zasady sprawowania przez organ właściwy do spra w cyber- 
bezpieczeństwa kontroli nad prawidłowym wykonywanie m powierzonych zadań. 
6. Komunikat o zawarciu porozumienia ogłasza się w dzienniku urzędowym organu właściwego do spraw cybe r- 
bezpieczeństwa. W komunikacie wskazuje się informac je o: 
1) adresie strony internetowej, na której zostanie zamieszczona treść porozumienia wraz ze stanowiącym i jego integralną 
treść załącznikami; 
2) terminie, od którego porozumienie będzie obowiąz ywało. 
   
Dziennik Ustaw – 21 – Poz. 1560 
 
 7. Organy właściwe do spraw cyberbezpieczeństwa i P ojedynczy Punkt Kontaktowy w uzasadnionych przypadk ach 
współpracują z organami ścigania i organem właściwy m do spraw ochrony danych osobowych. 
8. Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sek torowe 
dotyczące zgłaszania incydentów, o których mowa w u st. 1 pkt 5, przygotowuje się z uwzględnieniem w sz czególności 
Polskich Norm przenoszących normy europejskie, wspó lnych specyfikacji technicznych, rozumianych jako s pecyfikacje 
techniczne w dziedzinie produktów teleinformatyczny ch określone zgodnie z art. 13 i art. 14 rozporządz enia Parlamentu 
Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 pa ździernika 2012 r. w sprawie normalizacji europejsk iej, zmieniają- 
cego dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyr ektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/ 25/WE, 
95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/W E, 2009/23/WE i 2009/105/WE oraz uchylającego decyz ję 
Rady 87/95/EWG i decyzję Parlamentu Europejskiego i  Rady nr 1673/2006/WE (Dz. Urz. UE L 316 z 14.11.20 12, str. 12) 
oraz wytycznych Komisji Europejskiej oraz Europejsk iej Agencji do spraw Bezpieczeństwa Sieci i Informa cji (ENISA) 
w tym zakresie. 
Art. 43.  1. Organ właściwy do spraw cyberbezpieczeństwa moż e, bez wszczynania postępowania w sprawie uznania 
podmiotu za operatora usługi kluczowej, wystąpić do  podmiotu, o którym mowa w załączniku nr 1 do ustaw y, o udzielenie 
informacji, które umożliwią wstępną ocenę, czy dany  podmiot spełnia warunki do uznania go za operatora  usługi kluczo- 
wej. 
2. Organ właściwy do spraw cyberbezpieczeństwa może , bez wszczynania kontroli, wystąpić do operatora u sługi klu- 
czowej o udzielenie informacji, które umożliwią ust alenie potrzeby przeprowadzania kontroli, a także m oże, bez wszczy- 
nania postępowania, wystąpić do operatora usługi kl uczowej o udzielenie informacji, które umożliwią ws tępną ocenę, czy 
dany podmiot przestał spełniać warunki do uznania g o za operatora usługi kluczowej. 
3. Organ właściwy do spraw cyberbezpieczeństwa, wys tępując do podmiotu, o którym mowa w załączniku nr 1 do 
ustawy, lub operatora usługi kluczowej wskazuje ter min udzielenia informacji. Wyznaczony termin nie mo że być krótszy 
niż 14 dni, licząc od dnia otrzymania wystąpienia p rzez podmiot lub operatora usługi kluczowej. 
4. Podmiot, o którym mowa w załączniku nr 1 do usta wy, lub operator usługi kluczowej, do których organ  właściwy 
do spraw cyberbezpieczeństwa skierował wystąpienie,  mogą przekazać informacje w sprawie, której dotycz y wystąpienie, 
lub poinformować o odmowie udzielenia informacji. 
5. Wystąpienie o udzielenie informacji oraz brak ud zielenia informacji nie wpływa na możliwości wszczę cia postę- 
powania administracyjnego lub kontroli. 
6. Informacje udzielone przez podmiot lub operatora  usługi kluczowej, o których mowa w ust. 1 i 2, mog ą stanowić 
materiał dowodowy we wszczętym postępowaniu adminis tracyjnym lub kontroli. Brak udzielenia informacji nie wpływa na 
sytuację procesową strony albo kontrolowanego ani n a wszczęte postępowanie administracyjne lub kontrol ę. 
Art. 44.  1. Organ właściwy do spraw cyberbezpieczeństwa moż e ustanowić, zgodnie z odrębnymi przepisami, sekto-
rowy zespół cyberbezpieczeństwa dla danego sektora lub podsektora wymienionego w załączniku nr 1 do us tawy, odpo- 
wiedzialny w szczególności za: 
1) przyjmowanie zgłoszeń o incydentach poważnych or az wsparcie w obsłudze tych incydentów; 
2) wspieranie operatorów usług kluczowych w wykonyw aniu obowiązków określonych w art. 8, art. 9, art. 10 ust. 1–3, 
art. 11 ust. 1–3, art. 12 i art. 13; 
3) analizowanie incydentów poważnych, wyszukiwanie powiązań pomiędzy incydentami oraz opracowywanie wn iosków 
z obsługi incydentu; 
4) współpracę z właściwym CSIRT MON, CSIRT NASK i C SIRT GOV w zakresie koordynowania obsługi incydentó w 
poważnych. 
2. Sektorowy zespół cyberbezpieczeństwa może przeka zywać do innych państw, w tym państw członkowskich Unii 
Europejskiej, i przyjmować z tych państw informacje  o incydentach poważnych, w tym dotyczących dwóch l ub większej 
liczby państw członkowskich Unii Europejskiej. 
3. Sektorowy zespół cyberbezpieczeństwa może otrzym ywać zgłoszenia incydentu poważnego z innego państw a 
członkowskiego Unii Europejskiej dotyczącego dwóch lub większej liczby państw członkowskich Unii Europ ejskiej. Sek- 
torowy zespół cyberbezpieczeństwa przekazuje te zgł oszenia do właściwego CSIRT MON, CSIRT NASK lub CSI RT 
GOV oraz Pojedynczego Punktu Kontaktowego. 
4. W przypadku ustanowienia sektorowego zespołu cyb erbezpieczeństwa organ właściwy do spraw cyberbezpi eczeń- 
stwa informuje operatorów usług kluczowych w danym sektorze oraz CSIRT MON, CSIRT NASK i CSIRT GOV o u sta- 
nowieniu tego zespołu i zakresie realizowanych zada ń. 
   
Dziennik Ustaw – 22 – Poz. 1560 
 
 Rozdział 9 
Zadania ministra właściwego do spraw informatyzacji  
Art. 45.  1. Minister właściwy do spraw informatyzacji jest odpowiedzialny za: 
1) monitorowanie wdrażania Strategii Cyberbezpiecze ństwa Rzeczypospolitej Polskiej, zwanej dalej „Stra tegią”, oraz 
realizację planów działań na rzecz jej wdrożenia; 
2) rekomendowanie obszarów współpracy z sektorem pr ywatnym w celu zwiększenia cyberbezpieczeństwa Rzec zy-
pospolitej Polskiej; 
3) opracowywanie rocznych sprawozdań dotyczących: 
a) incydentów poważnych zgłaszanych przez operatoró w usług kluczowych mających wpływ na ciągłość świad czo- 
nych przez nich usług kluczowych w Rzeczypospolitej  Polskiej oraz ciągłość świadczonych usług kluczowy ch 
w państwach członkowskich Unii Europejskiej, 
b) incydentów istotnych zgłaszanych przez dostawców  usług cyfrowych, w tym incydentów dotyczących dwóc h lub 
większej liczby państw członkowskich Unii Europejsk iej; 
4) prowadzenie działań informacyjnych dotyczących d obrych praktyk, programów edukacyjnych, kampanii i szkoleń na 
rzecz poszerzania wiedzy i budowania świadomości z zakresu cyberbezpieczeństwa, w tym bezpiecznego kor zystania 
z Internetu przez różne kategorie użytkowników; 
5) gromadzenie informacji o incydentach poważnych, które dotyczą lub zostały przekazane przez inne pań stwo człon- 
kowskie Unii Europejskiej; 
6) udostępnianie informacji i dobrych praktyk związ anych ze zgłaszaniem incydentów poważnych przez ope ratorów 
usług kluczowych i incydentów istotnych przez dosta wców usług cyfrowych, uzyskanych z Grupy Współpracy , 
w tym: 
a) procedur postępowania w zakresie zarządzania inc ydentem, 
b) procedur postępowania przy zarządzaniu ryzykiem,  
c) klasyfikacji informacji, ryzyka i incydentów. 
2. Przez Grupę Współpracy rozumie się grupę, o któr ej mowa w decyzji wykonawczej Komisji UE 2017/179 z  dnia 
1 lutego 2017 r. ustanawiającej procedury niezbędne  do funkcjonowania grupy współpracy zgodnie z art. 11 ust. 5 dyrek- 
tywy Parlamentu Europejskiego i Rady (UE) 2016/1148  w sprawie środków na rzecz wysokiego wspólnego poz iomu bez- 
pieczeństwa sieci i systemów informatycznych na ter ytorium Unii (Dz. Urz. UE L 28 z 02.02.2017, str. 7 3).  
Art. 46.  1. Minister właściwy do spraw informatyzacji zapew nia rozwój lub utrzymanie systemu teleinformatyczne go 
wspierającego: 
1) współpracę podmiotów wchodzących w skład krajowe go systemu cyberbezpieczeństwa; 
2) generowanie i przekazywanie rekomendacji dotyczą cych działań podnoszących poziom cyberbezpieczeństw a; 
3) zgłaszanie i obsługę incydentów; 
4) szacowanie ryzyka na poziomie krajowym; 
5) ostrzeganie o zagrożeniach cyberbezpieczeństwa. 
2. CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowe zesp oły cyberbezpieczeństwa i Prezes Urzędu Komunikacji  
Elektronicznej mogą korzystać z systemu teleinforma tycznego na podstawie porozumienia zawartego z mini strem właści- 
wym do spraw informatyzacji. 
3. W porozumieniu określa się zakres i warunki korz ystania z systemu teleinformatycznego. 
Art. 47.  1. Minister właściwy do spraw informatyzacji może realizować zadania, o których mowa w art. 45 ust. 1  
i art. 46 ust. 1, na zasadach określonych w przepis ach odrębnych, za pomocą właściwych w tym zakresie jednostek pod- 
ległych lub nadzorowanych przez ministra właściwego  do spraw informatyzacji. 
2. Zadania powierzone do realizacji jednostkom, o k tórych mowa w ust. 1, są finansowane w formie dotac ji celowej 
z części budżetu państwa, której dysponentem jest m inister właściwy do spraw informatyzacji.  
   
Dziennik Ustaw – 23 – Poz. 1560 
 
 Art. 48.  Minister właściwy do spraw informatyzacji prowadzi  Pojedynczy Punkt Kontaktowy, do którego zadań nale ży: 
1) odbieranie zgłoszeń incydentu poważnego lub incy dentu istotnego dotyczącego dwóch lub większej licz by państw 
członkowskich Unii Europejskiej z pojedynczych punk tów kontaktowych w innych państwach członkowskich U nii 
Europejskiej, a także przekazywanie tych zgłoszeń d o CSIRT MON, CSIRT NASK, CSIRT GOV lub sektorowych 
zespołów cyberbezpieczeństwa; 
2) przekazywanie, na wniosek właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV, zgłoszenia incydentu powa ż- 
nego lub incydentu istotnego dotyczącego dwóch lub większej liczby państw członkowskich Unii Europejsk iej do po- 
jedynczych punktów kontaktowych w innych państwach członkowskich Unii Europejskiej; 
3) zapewnienie reprezentacji Rzeczypospolitej Polsk iej w Grupie Współpracy; 
4) zapewnienie współpracy z Komisją Europejską w dz iedzinie cyberbezpieczeństwa; 
5) koordynacja współpracy między organami właściwym i do spraw cyberbezpieczeństwa i organami władzy pu blicznej 
w Rzeczypospolitej Polskiej z odpowiednimi organami  w państwach członkowskich Unii Europejskiej; 
6) zapewnienie wymiany informacji na potrzeby Grupy  Współpracy oraz Sieci CSIRT. 
Art. 49.  1. Pojedynczy Punkt Kontaktowy przekazuje Grupie W spółpracy: 
1) informacje, o których mowa w art. 45 ust. 1 pkt 3; 
2) dobre praktyki, o których mowa w art. 45 ust. 1 pkt 4, związane ze zgłaszaniem incydentów; 
3) propozycje do programu prac Grupy Współpracy; 
4) dobre praktyki krajowe dotyczące podnoszenia świ adomości, szkoleń, badań i rozwoju z zakresu cyberb ezpieczeń- 
stwa; 
5) dobre praktyki w odniesieniu do identyfikowania operatorów usług kluczowych, w tym w odniesieniu do  występują- 
cych w dwóch lub większej liczbie państw członkowsk ich Unii Europejskiej zależności dotyczących ryzyka  i incyden- 
tów. 
2. Dane przekazywane Grupie Współpracy nie obejmują  informacji, które dotyczą bezpieczeństwa narodoweg o oraz 
porządku publicznego. 
3. Pojedynczy Punkt Kontaktowy przekazuje organom w łaściwym do spraw cyberbezpieczeństwa, CSIRT MON, 
CSIRT NASK, CSIRT GOV, sektorowym zespołom cyberbez pieczeństwa oraz innym organom władzy publicznej in for- 
macje pochodzące z Grupy Współpracy dotyczące: 
1) ocen krajowych strategii państw członkowskich Un ii Europejskiej w zakresie cyberbezpieczeństwa oraz  skuteczności 
CSIRT, a także dobrych praktyk w zakresie cyberbezp ieczeństwa; 
2) działań podjętych w odniesieniu do ćwiczeń dotyc zących cyberbezpieczeństwa, europejskich programów edukacyj- 
nych i szkoleń, w tym działań Agencji Unii Europejs kiej do spraw Bezpieczeństwa Sieci i Informacji (EN ISA); 
3) wytycznych o charakterze strategicznym dotyczący ch działalności Sieci CSIRT; 
4) dobrych praktyk w zakresie wymiany informacji zw iązanych ze zgłaszaniem w Unii Europejskiej incyden tów poważ- 
nych przez operatorów usług kluczowych i incydentów  istotnych przez dostawców usług cyfrowych; 
5) dobrych praktyk w krajach członkowskich Unii Eur opejskiej dotyczących podnoszenia świadomości, szko lenia, 
zakresu badań i rozwoju w zakresie cyberbezpieczeńs twa; 
6) dobrych praktyk w zakresie identyfikowania opera torów usług kluczowych przez państwa członkowskie U nii Euro- 
pejskiej, w tym w odniesieniu do transgranicznych z ależności, dotyczących ryzyka i incydentów. 
Art. 50.  Pojedynczy Punkt Kontaktowy przekazuje Komisji Eur opejskiej: 
1) niezwłocznie informacje o: 
a) wyznaczonych organach właściwych do spraw cyberb ezpieczeństwa, Pojedynczym Punkcie Kontaktowym, ich  
zadaniach oraz późniejszych zmianach w tym zakresie , 
b) przepisach dotyczących kar pieniężnych dotyczący ch krajowego systemu cyberbezpieczeństwa; 
   
Dziennik Ustaw – 24 – Poz. 1560 
 
 2) co 2 lata informacje umożliwiające ocenę wdrażan ia dyrektywy Parlamentu Europejskiego i Rady (UE) 2 016/1148 
z dnia 6 lipca 2016 r. w sprawie środków na rzecz w ysokiego wspólnego poziomu bezpieczeństwa sieci i s ystemów 
informatycznych na terytorium Unii (Dz. Urz. UE L 1 94 z 19.07.2016, str. 1), obejmujące w szczególnośc i: 
a) środki umożliwiające identyfikację operatorów us ług kluczowych, 
b) wykaz usług kluczowych, 
c) liczbę zidentyfikowanych operatorów usług kluczo wych w każdym sektorze, o którym mowa w załączniku nr 1 do 
ustawy, oraz wskazanie ich znaczenia w odniesieniu do tego sektora, 
d) progi istotności skutku zakłócającego dla świadc zonej usługi kluczowej brane pod uwagę przy kwalifi kowaniu 
podmiotów jako operatorów usług kluczowych; 
3) informacje o zadaniach CSIRT MON, CSIRT NASK i C SIRT GOV, w tym o głównych elementach procedur post ę- 
powania w przypadku wystąpienia incydentu. 
Rozdział 10 
Zadania Ministra Obrony Narodowej 
Art. 51. Minister Obrony Narodowej jest odpowiedzialny za: 
1) współpracę Sił Zbrojnych Rzeczypospolitej Polski ej z właściwymi organami Organizacji Traktatu Półno cnoatlantyc- 
kiego, Unii Europejskiej i organizacji międzynarodo wych w obszarze obrony narodowej w zakresie cyberbe zpieczeń- 
stwa; 
2) zapewnienie zdolności Siłom Zbrojnym Rzeczypospo litej Polskiej w układzie krajowym, sojuszniczym i koalicyjnym 
do prowadzenia działań militarnych w przypadku zagr ożenia cyberbezpieczeństwa powodującego konieczność  dzia- 
łań obronnych; 
3) rozwijanie umiejętności Sił Zbrojnych Rzeczyposp olitej Polskiej w zakresie zapewnienia cyberbezpiec zeństwa przez 
organizację specjalistycznych przedsięwzięć szkolen iowych; 
4) pozyskiwanie i rozwój narzędzi służących budowan iu zdolności zapewnienia cyberbezpieczeństwa w Siła ch Zbroj- 
nych Rzeczypospolitej Polskiej; 
5) kierowanie działaniami związanymi z obsługą incy dentów w czasie stanu wojennego; 
6) ocenę wpływu incydentów na system obrony państwa ; 
7) ocenę zagrożeń cyberbezpieczeństwa w czasie stan u wojennego oraz przedstawianie właściwym organom p ropozycji 
dotyczących działań obronnych; 
8) koordynację, we współpracy z ministrem właściwym  do spraw wewnętrznych i ministrem właściwym do spr aw 
informatyzacji, realizacji zadań organów administra cji rządowej i jednostek samorządu terytorialnego w  czasie stanu 
wojennego dotyczących działań obronnych w przypadku  zagrożenia cyberbezpieczeństwa. 
Art. 52. Minister Obrony Narodowej prowadzi Narodowy Punkt K ontaktowy do współpracy z Organizacją Traktatu 
Północnoatlantyckiego, do którego zadań należy: 
1) zapewnienie współpracy w obszarze obrony narodow ej z właściwymi organami Organizacji Traktatu Półno cnoatlan- 
tyckiego w zakresie cyberbezpieczeństwa; 
2) koordynacja działań w zakresie wzmacniania zdoln ości obronnych w przypadku zagrożenia cyberbezpiecz eństwa; 
3) zapewnienie współpracy między narodowymi i sojus zniczymi siłami zbrojnymi w zakresie zapewnienia cy berbezpie- 
czeństwa; 
4) rozwijanie systemów wymiany informacji o zagroże niach cyberbezpieczeństwa w obszarze obrony narodow ej; 
5) udział w realizacji celów Organizacji Traktatu P ółnocnoatlantyckiego w obszarze cyberbezpieczeństwa  i kryptologii. 
Rozdział 11 
Nadzór i kontrola operatorów usług kluczowych, dost awców usług cyfrowych i podmiotów świadczących usłu gi 
w zakresie cyberbezpieczeństwa  
Art. 53. 1. Nadzór w zakresie stosowania przepisów ustawy sp rawują: 
1) minister właściwy do spraw informatyzacji w zakr esie spełniania przez podmioty świadczące usługi z zakresu cyber- 
bezpieczeństwa wymogów, o których mowa w art. 14 us t. 2; 
   
Dziennik Ustaw – 25 – Poz. 1560 
 
 2) organy właściwe do spraw cyberbezpieczeństwa w z akresie: 
a) wykonywania przez operatorów usług kluczowych wy nikających z ustawy obowiązków dotyczących przeciw-
działania zagrożeniom cyberbezpieczeństwa i zgłasza nia incydentów poważnych, 
b) spełniania przez dostawców usług cyfrowych wymog ów bezpieczeństwa świadczonych przez nich usług cyf ro- 
wych określonych w rozporządzeniu wykonawczym 2018/ 151 oraz wykonywania wynikających z ustawy obo- 
wiązków dotyczących zgłaszania incydentów istotnych . 
2. W ramach nadzoru, o którym mowa w ust. 1: 
1) organ właściwy do spraw cyberbezpieczeństwa lub minister właściwy do spraw informatyzacji prowadzi kontrole 
w zakresie, o którym mowa w ust. 1; 
2) organ właściwy do spraw cyberbezpieczeństwa nakł ada kary pieniężne na operatorów usług kluczowych i  dostawców 
usług cyfrowych. 
3. W stosunku do dostawcy usług cyfrowych podjęcie czynności, o których mowa w ust. 2, następuje po uz yskaniu 
dowodu, że dostawca usług cyfrowych nie spełnia wym ogów określonych w rozporządzeniu wykonawczym 2018/ 151 lub 
nie wykonuje wynikających z ustawy obowiązków dotyc zących zgłaszania incydentów istotnych.  
Art. 54.  1. Do kontroli, której zakres określony jest w art . 53 ust. 1 pkt 1, stosuje się przepisy rozdziału 5  ustawy 
z dnia 6 marca 2018 r. – Prawo przedsiębiorców. 
2. Do kontroli, której zakres określony jest w art.  53 ust. 1 pkt 2, realizowanej wobec podmiotów: 
1) będących przedsiębiorcami stosuje się przepisy r ozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo pr zedsiębiorców; 
2) niebędących przedsiębiorcami stosuje się przepis y ustawy z dnia 15 lipca 2011 r. o kontroli w admin istracji rządowej 
określające zasady i tryb przeprowadzania kontroli.  
Art. 55.  Osoba prowadząca czynności kontrolne wobec podmiot ów będących przedsiębiorcami ma prawo do: 
1) swobodnego wstępu i poruszania się po terenie po dmiotu kontrolowanego bez obowiązku uzyskiwania prz epustki; 
2) wglądu do dokumentów dotyczących działalności po dmiotu kontrolowanego, pobierania za pokwitowaniem oraz 
zabezpieczania dokumentów związanych z zakresem kon troli, z zachowaniem przepisów o tajemnicy prawnie chro- 
nionej; 
3) sporządzania, a w razie potrzeby żądania sporząd zenia, niezbędnych do kontroli kopii, odpisów lub w yciągów 
z dokumentów oraz zestawień lub obliczeń; 
4) przetwarzania danych osobowych w zakresie niezbę dnym do realizacji celu kontroli; 
5) żądania złożenia ustnych lub pisemnych wyjaśnień  w sprawach dotyczących zakresu kontroli; 
6) przeprowadzania oględzin urządzeń, nośników oraz  systemów informacyjnych.  
Art. 56.  1. Kontrolowane podmioty będące przedsiębiorcami z apewniają osobie prowadzącej czynności kontrolne 
warunki niezbędne do sprawnego przeprowadzenia kont roli, w szczególności przez zapewnienie niezwłoczne go przedsta- 
wienia żądanych dokumentów, terminowego udzielania ustnych i pisemnych wyjaśnień w sprawach objętych k ontrolą, 
udostępniania niezbędnych urządzeń technicznych, a także sporządzania we własnym zakresie kopii lub wy druków doku- 
mentów oraz informacji zgromadzonych na nośnikach, w urządzeniach lub w systemach informacyjnych. 
2. Podmiot kontrolowany dokonuje potwierdzenia za z godność z oryginałem sporządzonych kopii lub wydruk ów, 
o których mowa w ust. 1. W przypadku odmowy potwier dzenia za zgodność z oryginałem potwierdza je osoba  prowadząca 
czynności kontrolne, o czym czyni wzmiankę w protok ole kontroli.  
Art. 57.  Osoba prowadząca czynności kontrolne wobec podmiot ów będących przedsiębiorcami ustala stan faktyczny 
na podstawie dowodów zebranych w toku kontroli, w s zczególności dokumentów, przedmiotów, oględzin oraz  ustnych lub 
pisemnych wyjaśnień i oświadczeń.  
Art. 58.  1. Osoba prowadząca czynności kontrolne wobec podm iotów będących przedsiębiorcami przedstawia prze- 
bieg przeprowadzonej kontroli w protokole kontroli.  
2. Protokół kontroli zawiera: 
1) wskazanie nazwy albo imienia i nazwiska oraz adr esu podmiotu kontrolowanego; 
2) imię i nazwisko osoby reprezentującej podmiot ko ntrolowany oraz nazwę organu reprezentującego ten p odmiot; 
   
Dziennik Ustaw – 26 – Poz. 1560 
 
 3) imię i nazwisko, stanowisko oraz numer upoważnie nia osoby prowadzącej czynności kontrolne; 
4) datę rozpoczęcia i zakończenia czynności kontrol nych; 
5) określenie przedmiotu i zakresu kontroli; 
6) opis stanu faktycznego ustalonego w toku kontrol i oraz inne informacje mające istotne znaczenie dla  przeprowadzo- 
nej kontroli, w tym zakres, przyczyny i skutki stwi erdzonych nieprawidłowości; 
7) wyszczególnienie załączników. 
3. Protokół kontroli podpisują osoba prowadząca czy nności kontrolne oraz osoba reprezentująca podmiot kontrolo- 
wany. 
4. Przed podpisaniem protokołu podmiot kontrolowany  może, w terminie 7 dni od dnia przedstawienia mu g o do 
podpisu, złożyć pisemne zastrzeżenia do tego protok ołu. 
5. W razie zgłoszenia zastrzeżeń osoba prowadząca c zynności kontrolne dokonuje ich analizy i w razie p otrzeby po- 
dejmuje dodatkowe czynności kontrolne, a w przypadk u stwierdzenia zasadności zastrzeżeń zmienia lub uz upełnia odpo- 
wiednią część protokołu w formie aneksu do protokoł u. 
6. W razie nieuwzględnienia zastrzeżeń w całości lu b w części osoba prowadząca czynności kontrolne inf ormuje 
podmiot kontrolowany na piśmie. 
7. O odmowie podpisania protokołu osoba prowadząca czynności kontrolne czyni w protokole wzmiankę zawi erającą 
datę jej dokonania. 
8. Protokół w postaci papierowej sporządza się w dw óch egzemplarzach, z których jeden pozostawia się p odmiotowi 
kontrolowanemu, a w przypadku protokołu sporządzone go w postaci elektronicznej doręcza się go podmioto wi kontrolo- 
wanemu. 
Art. 59.  1. Jeżeli na podstawie informacji zgromadzonych w protokole kontroli organ właściwy do spraw cyberbez - 
pieczeństwa lub minister właściwy do spraw informat yzacji uzna, że mogło dojść do naruszenia przepisów  ustawy przez 
podmiot kontrolowany, przekazuje zalecenia pokontro lne dotyczące usunięcia nieprawidłowości. 
2. Od zaleceń pokontrolnych nie przysługują środki odwoławcze. 
3. Podmiot kontrolowany, w wyznaczonym terminie, in formuje organ właściwy do spraw cyberbezpieczeństwa  lub 
ministra właściwego do spraw informatyzacji o sposo bie wykonania zaleceń. 
Rozdział 12 
Pełnomocnik i Kolegium 
Art. 60.  Koordynowanie działań i realizowanie polityki rząd u w zakresie zapewnienia cyberbezpieczeństwa 
w Rzeczypospolitej Polskiej powierza się Pełnomocni kowi. 
Art. 61.  1. Pełnomocnika powołuje i odwołuje Prezes Rady Mi nistrów. 
2. Pełnomocnik podlega Radzie Ministrów. 
3. Pełnomocnikiem jest sekretarz stanu albo podsekr etarz stanu. 
4. Obsługę merytoryczną, organizacyjno-prawną, tech niczną i kancelaryjno-biurową Pełnomocnika zapewnia  mini- 
sterstwo albo inny urząd administracji rządowej, w którym powołano Pełnomocnika. 
Art. 62.  1. W ramach koordynowania działań i realizowania p olityki rządu w zakresie zapewnienia cyberbezpiecze ń- 
stwa do zadań Pełnomocnika należy: 
1) analiza i ocena funkcjonowania krajowego systemu  cyberbezpieczeństwa na podstawie zagregowanych dan ych 
i wskaźników opracowanych z udziałem organów admini stracji publicznej, organów właściwych do spraw cyb erbez- 
pieczeństwa, CSIRT MON, CSIRT NASK i CSIRT GOV; 
2) nadzór nad procesem zarządzania ryzykiem krajowe go systemu cyberbezpieczeństwa z wykorzystaniem zag regowa- 
nych danych i wskaźników opracowanych z udziałem or ganów właściwych do spraw cyberbezpieczeństwa, CSIR T 
MON, CSIRT NASK i CSIRT GOV; 
3) opiniowanie dokumentów rządowych, w tym projektó w aktów prawnych, mających wpływ na realizację zada ń 
z zakresu cyberbezpieczeństwa; 
   
Dziennik Ustaw – 27 – Poz. 1560 
 
 4) upowszechnianie nowych rozwiązań i inicjowanie d ziałań w zakresie zapewnienia cyberbezpieczeństwa n a poziomie 
krajowym; 
5) inicjowanie krajowych ćwiczeń w zakresie cyberbe zpieczeństwa; 
6) wydawanie rekomendacji dotyczących stosowania ur ządzeń informatycznych lub oprogramowania na wniose k 
CSIRT. 
2. Do zadań Pełnomocnika wykonywanych w porozumieni u z właściwymi ministrami należy również: 
1) współpraca w sprawach związanych z cyberbezpiecz eństwem z innymi państwami, organizacjami oraz inst ytucjami 
międzynarodowymi; 
2) podejmowanie działań mających na celu wspieranie  badań naukowych i rozwój technologii z zakresu cyb erbezpie- 
czeństwa; 
3) podejmowanie działań mających na celu podnoszeni e świadomości społeczeństwa w zakresie zagrożeń cyb erbezpie- 
czeństwa i bezpiecznego korzystania z Internetu. 
Art. 63.  1. Pełnomocnik opracowuje i przedkłada Radzie Mini strów w terminie do dnia 31 marca każdego roku spra - 
wozdanie za poprzedni rok kalendarzowy zawierające informacje o prowadzonej działalności w zakresie za pewnienia 
cyberbezpieczeństwa na poziomie krajowym. 
2. Pełnomocnik może przekazywać Radzie Ministrów wn ioski oraz rekomendacje dotyczące działań, które po winny 
podejmować podmioty krajowego systemu cyberbezpiecz eństwa w celu zapewnienia cyberbezpieczeństwa na po ziomie 
krajowym i przeciwdziałania zagrożeniom w tym zakre sie. 
Art. 64.  Przy Radzie Ministrów działa Kolegium, jako organ opiniodawczo-doradczy w sprawach cyberbezpieczeń- 
stwa oraz działalności w tym zakresie CSIRT MON, CS IRT NASK, CSIRT GOV, sektorowych zespołów cyberbezp ie- 
czeństwa i organów właściwych do spraw cyberbezpiec zeństwa. 
Art. 65.  1. Do zadań Kolegium należy wyrażanie opinii w spr awach: 
1) kierunków i planów na rzecz przeciwdziałania zag rożeniom cyberbezpieczeństwa; 
2) wykonywania przez CSIRT MON, CSIRT NASK, Szefa A gencji Bezpieczeństwa Wewnętrznego realizującego za da- 
nia w ramach CSIRT GOV, sektorowe zespoły cyberbezp ieczeństwa i organy właściwe do spraw cyberbezpiecz eń- 
stwa powierzonych im zadań zgodnie z kierunkami i p lanami na rzecz przeciwdziałania zagrożeniom cyberb ezpie- 
czeństwa; 
3) współdziałania organów prowadzących lub nadzoruj ących CSIRT MON, CSIRT GOV i CSIRT NASK; 
4) współdziałania podmiotów CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego oraz mini stra 
– członka Rady Ministrów właściwego do spraw koordy nowania działalności służb specjalnych, sektorowych  zespo- 
łów cyberbezpieczeństwa i organów właściwych do spr aw cyberbezpieczeństwa; 
5) organizacji wymiany informacji istotnych dla cyb erbezpieczeństwa i międzynarodowej pozycji Rzeczypo spolitej 
Polskiej między organami administracji rządowej; 
6) wniosków CSIRT MON, CSIRT NASK lub CSIRT GOV w s prawie rekomendacji dotyczących stosowania urządzeń  
informatycznych lub oprogramowania. 
2. Do zadań Kolegium należy opracowywanie rekomenda cji dla Rady Ministrów dotyczących działań w zakres ie 
zapewnienia cyberbezpieczeństwa na poziomie krajowy m, o których mowa w art. 67. 
Art. 66.  1. W skład Kolegium wchodzą: 
1) przewodniczący Kolegium – Prezes Rady Ministrów;  
2) Pełnomocnik; 
3) sekretarz Kolegium; 
4) członkowie Kolegium: 
a) minister właściwy do spraw wewnętrznych, 
b) minister właściwy do spraw informatyzacji, 
c) Minister Obrony Narodowej, 
d) minister właściwy do spraw zagranicznych, 
   
Dziennik Ustaw – 28 – Poz. 1560 
 
 e) Szef Kancelarii Prezesa Rady Ministrów, 
f) Szef Biura Bezpieczeństwa Narodowego, jeżeli zos tał wyznaczony przez Prezydenta Rzeczypospolitej Po lskiej, 
g) minister – członek Rady Ministrów właściwy do sp raw koordynowania działalności służb specjalnych lu b osoba 
przez niego upoważniona w randze sekretarza stanu a lbo podsekretarza stanu, a jeżeli minister – człone k Rady 
Ministrów właściwy do spraw koordynowania działalno ści służb specjalnych nie został wyznaczony – Szef 
Agencji Bezpieczeństwa Wewnętrznego. 
2. Prezes Rady Ministrów może upoważnić Pełnomocnik a do pełnienia funkcji przewodniczącego Kolegium. 
3. Członkowie Kolegium, o których mowa w ust. 1 pkt  4 lit. a–e, mogą być zastępowani przez upoważniony ch przed- 
stawicieli w randze sekretarza stanu lub podsekreta rza stanu. 
4. W posiedzeniach Kolegium uczestniczą również: 
1) Dyrektor Rządowego Centrum Bezpieczeństwa; 
2) Szef Agencji Bezpieczeństwa Wewnętrznego albo je go zastępca; 
3) Szef Służby Kontrwywiadu Wojskowego albo jego za stępca; 
4) Dyrektor Naukowej i Akademickiej Sieci Komputero wej – Państwowego Instytutu Badawczego. 
5. Przewodniczący Kolegium: 
1) zwołuje posiedzenia Kolegium; 
2) może zapraszać do udziału w posiedzeniach Kolegi um przewodniczących właściwych komisji sejmowych, p rzedsta- 
wicieli organów państwowych, przedstawicieli organó w właściwych do spraw cyberbezpieczeństwa oraz inne  osoby, 
których uczestnictwo jest niezbędne ze względu na t ematykę obrad. 
6. Sekretarza Kolegium powołuje Prezes Rady Ministr ów spośród osób spełniających wymagania określone 
w przepisach o ochronie informacji niejawnych w zak resie dostępu do informacji niejawnych o klauzuli „ tajne”. Sekretarza 
Kolegium odwołuje Prezes Rady Ministrów. 
7. Sekretarz Kolegium organizuje pracę Kolegium i w  tym zakresie może występować do CSIRT MON, CSIRT 
GOV, CSIRT NASK, sektorowych zespołów cyberbezpiecz eństwa, organów właściwych do spraw cyberbezpieczeń stwa 
oraz organów administracji rządowej o przedstawieni e informacji niezbędnych w sprawach rozpatrywanych przez Kole- 
gium. 
8. Obsługę Kolegium zapewnia ministerstwo lub inny urząd administracji rządowej, który obsługuje Pełno mocnika. 
9. Rada Ministrów określi, w drodze rozporządzenia,  szczegółowy zakres działania oraz tryb pracy Koleg ium, mając 
na uwadze charakter zadań Kolegium oraz konieczność  zapewnienia jego sprawnej pracy. 
Art. 67.  1. Prezes Rady Ministrów w celu koordynacji działa ń administracji rządowej w zakresie cyberbezpieczeń - 
stwa może, na podstawie rekomendacji Kolegium, wyda wać wiążące wytyczne dotyczące zapewnienia cyberbez pieczeń- 
stwa na poziomie krajowym oraz funkcjonowania krajo wego systemu cyberbezpieczeństwa, a także żądać inf ormacji 
i opinii w tym zakresie od: 
1) ministra właściwego do spraw wewnętrznych – w od niesieniu do działalności Policji, Straży Graniczne j i Służby 
Ochrony Państwa; 
2) Ministra Obrony Narodowej – w odniesieniu do dzi ałalności CSIRT MON; 
3) Szefa Agencji Bezpieczeństwa Wewnętrznego – w od niesieniu do działalności CSIRT GOV; 
4) Dyrektora Rządowego Centrum Bezpieczeństwa – w o dniesieniu do zadań realizowanych zgodnie z ustawą;  
5) Dyrektora Naukowej i Akademickiej Sieci Komputer owej – Państwowego Instytutu Badawczego – w odniesi eniu do 
działalności CSIRT NASK; 
6) ministra właściwego do spraw informatyzacji – w odniesieniu do zadań realizowanych zgodnie z ustawą . 
2. Prezes Rady Ministrów wydaje wiążące wytyczne dl a CSIRT MON, CSIRT GOV i CSIRT NASK w zakresie 
obsługi incydentów krytycznych, w tym wskazuje CSIR T odpowiedzialny za obsługę incydentu krytycznego. 
   
Dziennik Ustaw – 29 – Poz. 1560 
 
 Rozdział 13 
Strategia 
Art. 68.  Rada Ministrów przyjmuje Strategię, w drodze uchwa ły. 
Art. 69.  1. Strategia określa cele strategiczne oraz odpowi ednie środki polityczne i regulacyjne, mające na ce lu osiąg-
nięcie i utrzymanie wysokiego poziomu cyberbezpiecz eństwa. Strategia obejmuje sektory, o których mowa w załączniku 
nr 1 do ustawy, usługi cyfrowe oraz podmioty public zne, o których mowa w art. 4 pkt 7–15. 
2. Strategia uwzględnia w szczególności: 
1) cele i priorytety w zakresie cyberbezpieczeństwa ; 
2) podmioty zaangażowane we wdrażanie i realizację Strategii; 
3) środki służące realizacji celów Strategii; 
4) określenie środków w zakresie gotowości, reagowa nia i przywracania stanu normalnego, w tym zasady w spółpracy 
między sektorem publicznym i prywatnym; 
5) podejście do oceny ryzyka; 
6) działania odnoszące się do programów edukacyjnyc h, informacyjnych i szkoleniowych dotyczących cyber bezpieczeń- 
stwa; 
7) działania odnoszące się do planów badawczo-rozwo jowych w zakresie cyberbezpieczeństwa. 
3. Strategia ustalana jest na okres pięcioletni z m ożliwością wprowadzenia zmian w okresie jej obowiąz ywania. 
Art. 70.  1. Projekt Strategii opracowuje minister właściwy do spraw informatyzacji we współpracy z Pełnomocni-
kiem, innymi ministrami i właściwymi kierownikami u rzędów centralnych. 
2. W pracach nad projektem może uczestniczyć przeds tawiciel Prezydenta Rzeczypospolitej Polskiej. 
Art. 71.  Minister właściwy do spraw informatyzacji we współ pracy z Pełnomocnikiem, innymi ministrami i właści-
wymi kierownikami urzędów centralnych dokonuje prze glądu Strategii co 2 lata. 
Art. 72.  Minister właściwy do spraw informatyzacji przekazu je Komisji Europejskiej Strategię w terminie 3 mies ięcy 
od dnia jej przyjęcia przez Radę Ministrów. 
Rozdział 14 
Przepisy o karach pieniężnych 
Art. 73.  1. Karze pieniężnej podlega operator usługi kluczo wej, który: 
1) nie przeprowadza systematycznego szacowania ryzy ka lub nie zarządza ryzykiem wystąpienia incydentu,  o których 
mowa w art. 8 pkt 1; 
2) nie wdrożył środków technicznych i organizacyjny ch uwzględniających wymagania, o których mowa w art . 8 pkt 2 
lit. a–e; 
3) nie stosuje środków, o których mowa w art. 8 pkt  5 lit. a–d; 
4) nie wyznaczył osoby, o której mowa w art. 9 ust.  1 pkt 1; 
5) nie wykonuje obowiązków, o których mowa w art. 1 0 ust. 1; 
6) nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 1; 
7) nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 4; 
8) nie wykonuje obowiązku, o którym mowa w art. 11 ust. 1 pkt 5; 
9) nie usuwa podatności, o których mowa w art. 32 u st. 2; 
10) nie wykonuje obowiązku, o którym mowa w art. 14  ust. 1; 
11) nie przeprowadza audytu; 
12) uniemożliwia lub utrudnia wykonywanie kontroli,  o której mowa w art. 53 ust. 2 pkt 1; 
13) nie wykonał w wyznaczonym terminie zaleceń poko ntrolnych, o których mowa w art. 59 ust. 1. 
   
Dziennik Ustaw – 30 – Poz. 1560 
 
 2. Karze pieniężnej podlega dostawca usługi cyfrowe j, który: 
1) nie wykonuje obowiązku, o którym mowa w art. 18 ust. 1 pkt 4; 
2) nie wykonuje obowiązku, o którym mowa w art. 18 ust. 1 pkt 5; 
3) nie usuwa podatności, o których mowa w art. 32 u st. 2. 
3. Wysokość kary pieniężnej, o której mowa w: 
1) ust. 1 pkt 1, wynosi do 150 000 zł; 
2) ust. 1 pkt 2, wynosi do 100 000 zł; 
3) ust. 1 pkt 3, wynosi do 50 000 zł; 
4) ust. 1 pkt 4, wynosi do 15 000 zł; 
5) ust. 1 pkt 5, wynosi do 50 000 zł; 
6) ust. 1 pkt 6, wynosi do 15 000 zł za każdy stwie rdzony przypadek zaniechania obsługi incydentu; 
7) ust. 1 pkt 7, wynosi do 20 000 zł za każdy stwie rdzony przypadek niezgłoszenia incydentu poważnego;  
8) ust. 1 pkt 8 i 9, wynosi do 20 000 zł; 
9) ust. 1 pkt 10, wynosi 100 000 zł; 
10) ust. 1 pkt 11 i 13, wynosi do 200 000 zł; 
11) ust. 1 pkt 12, wynosi do 50 000 zł; 
12) ust. 2 pkt 1, wynosi do 20 000 zł za każdy stwi erdzony przypadek niezgłoszenia incydentu istotnego ; 
13) ust. 2 pkt 2 i 3, wynosi do 20 000 zł. 
4. Kara, o której mowa w: 
1) ust. 1 pkt 4, nie może być niższa niż 1000 zł; 
2) ust. 1 pkt 1–3, 6–9 i 12, nie może być niższa ni ż 5000 zł; 
3) ust. 1 pkt 5, 10, 11 i 13, nie może być niższa n iż 15 000 zł. 
5. Jeżeli w wyniku kontroli organ właściwy do spraw  cyberbezpieczeństwa stwierdzi, że operator usługi kluczowej 
albo dostawca usługi cyfrowej uporczywie narusza pr zepisy ustawy, powodując: 
1) bezpośrednie i poważne zagrożenie cyberbezpiecze ństwa dla obronności, bezpieczeństwa państwa, bezpi eczeństwa 
i porządku publicznego lub życia i zdrowia ludzi, 
2) zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług kluczow ych 
– organ właściwy do spraw cyberbezpieczeństwa nakła da karę w wysokości do 1 000 000 zł.  
Art. 74.  1. Karę pieniężną, o której mowa w art. 73, nakład a, w drodze decyzji, organ właściwy do spraw cyber-
bezpieczeństwa. 
2. Wpływy z tytułu kar pieniężnych, o których mowa w art. 73, stanowią dochód budżetu państwa. 
Art. 75. Organ właściwy do spraw cyberbezpieczeństwa może na łożyć karę pieniężną na kierownika operatora usługi  
kluczowej w przypadku, gdy nie dochował należytej s taranności celem spełnienia obowiązków, o których m owa w art. 8 
pkt 1, art. 9 ust. 1 pkt 1 oraz art. 15 ust. 1, z t ym że kara ta może być wymierzona w kwocie nie więk szej niż 200% jego 
miesięcznego wynagrodzenia. 
Art. 76. Kara, o której mowa w art. 73, może zostać nałożona  również w przypadku, gdy podmiot zaprzestał narusz a- 
nia prawa lub naprawił wyrządzoną szkodę, jeżeli or gan właściwy do spraw cyberbezpieczeństwa uzna, że przemawiają za 
tym czas trwania, zakres lub skutki naruszenia. 
Rozdział 15 
Zmiany w przepisach, przepisy przejściowe, dostosow ujące i końcowe 
Art. 77.  W ustawie z dnia 7 września 1991 r. o systemie ośw iaty (Dz. U. z 2018 r. poz. 1457) w art. 90u: 
1) w ust. 1 pkt 6 otrzymuje brzmienie: 
„6) rozwijanie kompetencji, zainteresowań i uzdolni eń dzieci i młodzieży oraz innych grup społecznych,  w tym 
wspomaganie organów prowadzących szkoły lub placówk i w realizacji przedsięwzięć w tym obszarze, w szcz e- 
gólności w zakresie bezpiecznego korzystania z tech nologii informacyjno-komunikacyjnych;”; 
   
Dziennik Ustaw – 31 – Poz. 1560 
 
 2) w ust. 4 pkt 6 otrzymuje brzmienie: 
„6) szczegółowe warunki, formy i tryb realizacji pr zedsięwzięć w zakresie rozwijania kompetencji, zain teresowań 
i uzdolnień dzieci i młodzieży oraz innych grup spo łecznych, a także warunki i tryb wspomagania organó w 
prowadzących szkoły lub placówki w realizacji przed sięwzięć w tym obszarze, w szczególności w zakresie  bez- 
piecznego korzystania z technologii informacyjno-ko munikacyjnych, uwzględniając konieczność rozwijania  
umiejętności ułatwiających przystosowanie się do zm ian zachodzących w życiu społecznym i gospodarczym,  
możliwość udzielenia wsparcia finansowego organów p rowadzących szkoły lub placówki oraz wymóg skutecz-
ności i efektywności wydatkowania środków budżetowy ch;”.  
Art. 78.  W ustawie z dnia 4 września 1997 r. o działach adm inistracji rządowej (Dz. U. z 2018 r. poz. 762, 810 , 
1090, 1467 i 1544) wprowadza się następujące zmiany : 
1) w art. 12a w ust. 1 pkt 10 otrzymuje brzmienie: 
„10) bezpieczeństwa cyberprzestrzeni w wymiarze cyw ilnym;”; 
2) w art. 19 w ust. 1 po pkt 1 dodaje się pkt 1a w brzmieniu: 
„1a) bezpieczeństwa cyberprzestrzeni w wymiarze mil itarnym,”. 
Art. 79. W ustawie z dnia 24 maja 2002 r. o Agencji Bezpieczeń stwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. 
z 2017 r. poz. 1920, z późn. zm. 3)) po art. 32a dodaje się art. 32aa w brzmieniu: 
„Art. 32aa. 1. W celu zapobiegania i przeciwdziałan ia oraz zwalczania zdarzeń o charakterze terrorysty cznym 
dotyczących istotnych z punktu widzenia ciągłości f unkcjonowania państwa systemów teleinformatycznych organów 
administracji publicznej lub sieci teleinformatyczn ych objętych jednolitym wykazem obiektów, instalacj i, urządzeń 
i usług wchodzących w skład infrastruktury krytyczn ej, a także systemów teleinformatycznych właściciel i, posiadaczy 
samoistnych i posiadaczy zależnych obiektów, instal acji lub urządzeń infrastruktury krytycznej, o któr ych mowa 
w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 20 07 r. o zarządzaniu kryzysowym, lub danych przetwar zanych 
w tych systemach oraz zapobiegania i wykrywania prz estępstw o charakterze terrorystycznym w tym obszar ze oraz 
ścigania ich sprawców, ABW wdraża w tych podmiotach  system wczesnego ostrzegania o zagrożeniach występ ują- 
cych w sieci Internet, zwany dalej „systemem ostrze gania”, prowadzi go i koordynuje jego funkcjonowani e. 
2. Wdrożenie elementów systemu ostrzegania w podmio tach, o których mowa w ust. 1, następuje zgodnie 
z rocznym planem wdrożenia, opracowywanym przez Sze fa ABW w terminie do dnia 30 września roku poprzedz ają- 
cego. W uzasadnionych przypadkach, na wniosek podmi otu, wdrożenie elementów systemu ostrzegania może z ostać 
przeprowadzone z pominięciem planu. 
3. ABW niezwłocznie informuje podmiot, o którym mow a w ust. 1, o jego włączeniu do rocznego planu wdro - 
żenia systemu ostrzegania. 
4. Podmiot, o którym mowa w ust. 1, ma obowiązek pr zystąpić do systemu ostrzegania oraz przekazać ABW 
niezbędne informacje umożliwiające wdrożenie system u ostrzegania w tym podmiocie. 
5. W podmiotach, o których mowa w ust. 1, podległyc h Ministrowi Obrony Narodowej lub przez niego nadzo - 
rowanych, wdrożenie systemu ostrzegania może nastąp ić za zgodą Ministra Obrony Narodowej. 
6. Koszty wdrożenia i utrzymania systemu ostrzegani a w podmiotach, o których mowa w ust. 1, pokrywa AB W. 
7. ABW, w drodze porozumienia, uzgadnia z podmiotem , o którym mowa w ust. 1, techniczne aspekty uczest - 
nictwa w systemie ostrzegania oraz model konfigurac ji systemu. 
8. W sytuacji braku możliwości zawarcia porozumieni a, o którym mowa w ust. 7, z przyczyn leżących po s tro- 
nie podmiotu, o którym mowa w ust. 1, ABW informuje  podmiot go nadzorujący lub ministra właściwego do spraw 
informatyzacji. 
9. Prezes Rady Ministrów określi, w drodze rozporzą dzenia, warunki i tryb prowadzenia, koordynacji 
i wdrażania systemu ostrzegania, w szczególności ok reśli czynności niezbędne do jego uruchomienia i ut rzymania 
oraz wzór porozumienia, o którym mowa w ust. 7, kie rując się potrzebą zapewnienia bezpieczeństwa syste mów tele- 
informatycznych istotnych z punktu widzenia ciągłoś ci funkcjonowania państwa.”. 
                                                           
3) Zmiany tekstu jednolitego wymienionej ustawy zosta ły ogłoszone w Dz. U. z 2017 r. poz. 2405 oraz z 20 18 r. poz. 138, 650, 723, 
730 i 1544. 
   
Dziennik Ustaw – 32 – Poz. 1560 
 
 Art. 80. W ustawie z dnia 29 stycznia 2004 r. – Prawo zamówień  publicznych (Dz. U. z 2017 r. poz. 1579 i 2018) 
w art. 89 w ust. 1 pkt 7d otrzymuje brzmienie: 
„7d) jej przyjęcie naruszałoby bezpieczeństwo publi czne lub istotny interes bezpieczeństwa państwa, w tym bezpie- 
czeństwo podmiotów objętych jednolitym wykazem obie któw, instalacji, urządzeń i usług wchodzących w sk ład 
infrastruktury krytycznej, o której mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o za rządzaniu 
kryzysowym (Dz. U. z 2018 r. poz. 1401), a tego bez pieczeństwa lub interesu nie można zagwarantować w inny 
sposób;”. 
Art. 81.  W ustawie z dnia 16 lipca 2004 r. – Prawo telekomu nikacyjne (Dz. U. z 2017 r. poz. 1907 i 2201 oraz 
z 2018 r. poz. 106, 138, 650 i 1118) wprowadza się następujące zmiany: 
1) w art. 175a: 
a) po ust. 1 dodaje się ust. 1a i 1b w brzmieniu: 
„1a. Prezes UKE przekazuje informacje, o których mo wa w ust. 1, jeżeli dotyczą one zdarzeń będących  
incydentami w rozumieniu ustawy z dnia 5 lipca 2018  r. o krajowym systemie cyberbezpieczeństwa (Dz. U.  
poz. 1560), CSIRT właściwemu dla zgłaszającego prze dsiębiorcy telekomunikacyjnego, zgodnie z art. 26 u st. 5–7 
tej ustawy, z wyłączeniem informacji stanowiących t ajemnicę przedsiębiorstwa, zastrzeżonych na podstaw ie art. 9. 
1b. Przekazanie, o którym mowa w ust. 1a, następuje  w postaci elektronicznej, a w przypadku braku moż-
liwości przekazania w postaci elektronicznej – przy  użyciu innych dostępnych środków komunikacji.”, 
b) po ust. 2 dodaje się ust. 2a w brzmieniu: 
„2a. Minister właściwy do spraw informatyzacji okre śli, w drodze rozporządzenia, kryteria uznania naru - 
szenia bezpieczeństwa lub integralności sieci lub u sług telekomunikacyjnych za naruszenie o istotnym w pływie 
na funkcjonowanie sieci lub usług, biorąc pod uwagę  w szczególności wartość procentową użytkowników, n a 
których naruszenie bezpieczeństwa lub integralności  sieci lub usług telekomunikacyjnych miało wpływ, c zas 
trwania naruszenia bezpieczeństwa lub integralności  sieci lub usług telekomunikacyjnych powodującego n ie-
dostępność lub ograniczenie dostępności sieci lub u sług telekomunikacyjnych oraz rekomendacje i wytycz ne  
Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA).”; 
2) w art. 176a: 
a) w ust. 1 pkt 3 otrzymuje brzmienie: 
„3) bezpośrednich zagrożeń dla bezpieczeństwa lub i ntegralności infrastruktury telekomunikacyjnej prze dsię- 
biorcy lub świadczonych przez niego usług”, 
b) w ust. 2 pkt 4 otrzymuje brzmienie: 
„4) technicznych i organizacyjnych środków zapewnie nia bezpieczeństwa i integralności infrastruktury t ele- 
komunikacyjnej i świadczonych usług, w tym ochrony przed wystąpieniem incydentów w rozumieniu ustawy 
z dnia 5 lipca 2018 r. o krajowym systemie cyberbez pieczeństwa;”; 
3) w art. 209 w ust. 1 po pkt 27 dodaje się pkt 27¹  w brzmieniu: 
„27¹) nie wypełnia obowiązku, o którym mowa w art. 175a ust. 1,”.  
Art. 82.  W ustawie z dnia 26 kwietnia 2007 r. o zarządzaniu  kryzysowym (Dz. U. z 2018 r. poz. 1401) wprowadza 
się następujące zmiany: 
1) w art. 5a ust. 2 otrzymuje brzmienie: 
„2. Koordynację przygotowania Raportu zapewnia dyre ktor Rządowego Centrum Bezpieczeństwa, natomiast 
w części dotyczącej zagrożeń o charakterze terrorys tycznym, mogących doprowadzić do sytuacji kryzysowe j, Szef 
Agencji Bezpieczeństwa Wewnętrznego, a w części dot yczącej zagrożeń cyberbezpieczeństwa mogących dopro wa- 
dzić do sytuacji kryzysowej – Pełnomocnik Rządu do spraw Cyberbezpieczeństwa.”; 
2) w art. 6 po ust. 5a dodaje się ust. 5b w brzmien iu: 
„5b. Właściciele, posiadacze samoistni i zależni, o  których mowa w ust. 5, będący jednocześnie operato rami 
usług kluczowych w rozumieniu ustawy z dnia 5 lipca  2018 r. o krajowym systemie cyberbezpieczeństwa (D z. U. 
poz. 1560), uwzględniają w planach ochrony infrastr uktury krytycznej dokumentację dotyczącą cyberbezpi eczeństwa 
systemów informacyjnych wykorzystywanych do świadcz enia usług kluczowych zgodnie z zakresem informacji  okreś-
lonym w przepisach wydanych na podstawie art. 10 us t. 5 ustawy z dnia 5 lipca 2018 r. o krajowym syste mie cyber- 
bezpieczeństwa.”; 
   
Dziennik Ustaw – 33 – Poz. 1560 
 
 3) w art. 8 w ust. 3 w pkt 14 kropkę zastępuje się średnikiem i dodaje się pkt 15 w brzmieniu: 
„15) Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa .”; 
4) w art. 11 po ust. 1 dodaje się ust. 1a w brzmien iu: 
„1a. Centrum zapewnia obsługę Zespołu do spraw Incy dentów Krytycznych, o którym mowa w art. 36 ust. 1 
ustawy z dnia 5 lipca 2018 r. o krajowym systemie c yberbezpieczeństwa.”. 
Art. 83.  Zagrożenia cyberbezpieczeństwa, mogące doprowadzić  do sytuacji kryzysowej, po raz pierwszy zostaną uj ę- 
te w Raporcie o zagrożeniach bezpieczeństwa narodow ego, który zostanie sporządzony z udziałem Pełnomoc nika, po wej- 
ściu w życie ustawy. 
Art. 84. Prezes Rady Ministrów powoła Pełnomocnika w termini e 3 miesięcy od dnia wejścia w życie ustawy. 
Art. 85.  Minister właściwy do spraw informatyzacji przekaże  Komisji Europejskiej informacje o: 
1) wyznaczonych organach właściwych do spraw cyberb ezpieczeństwa, Pojedynczym Punkcie Kontaktowym oraz  o ich 
zadaniach; 
2) zakresie zadań CSIRT MON, CSIRT NASK i CSIRT GOV , w tym o głównych elementach procedur postępowania  
w przypadku incydentu. 
Art. 86.  Organy właściwe do spraw cyberbezpieczeństwa w ter minie do dnia 9 listopada 2018 r. wydadzą decyzje 
o uznaniu za operatora usługi kluczowej oraz przeka żą ministrowi właściwemu do spraw informatyzacji wn ioski 
o wpisanie operatorów usług kluczowych do wykazu, o  którym mowa w art. 7. 
Art. 87.  Minister właściwy do spraw informatyzacji w termin ie do dnia 9 sierpnia 2018 r. przekaże Grupie Współ -
pracy sprawozdanie podsumowujące o: 
1) incydentach poważnych zgłaszanych przez operator ów usług kluczowych, mających wpływ na ciągłość świ adczenia 
przez nich usług kluczowych w Rzeczypospolitej Pols kiej oraz ciągłość świadczenia usług kluczowych w p aństwach 
członkowskich Unii Europejskiej; 
2) zgłaszanych przez dostawców usług cyfrowych incy dentach istotnych, w tym dotyczących dwóch lub więk szej liczby 
państw członkowskich Unii Europejskiej. 
Art. 88.  Minister właściwy do spraw informatyzacji w termin ie do dnia 9 listopada 2018 r. przekaże Komisji Eur o- 
pejskiej informacje o: 
1) krajowych środkach umożliwiających identyfikację  operatorów usług kluczowych; 
2) wykazie usług kluczowych; 
3) liczbie zidentyfikowanych operatorów usług klucz owych w każdym z sektorów, o którym mowa w załączni ku nr 1 do 
ustawy, ze wskazaniem ich znaczenia w odniesieniu d o tego sektora; 
4) progach istotności skutku zakłócającego dla świa dczonej usługi kluczowej branych pod uwagę przy kwa lifikowaniu 
podmiotów jako operatorów usług kluczowych. 
Art. 89.  Minister właściwy do spraw informatyzacji uruchomi  system teleinformatyczny, o którym mowa w art. 46 
ust. 1, do dnia 1 stycznia 2021 r. 
Art. 90. Strategia zostanie przyjęta do dnia 31 października  2019 r. 
Art. 91. 1. Roczny plan wdrożenia, o którym mowa w art. 32aa  ust. 2 ustawy zmienianej w art. 79, Szef Agencji 
Bezpieczeństwa Wewnętrznego opracuje po raz pierwsz y na rok 2019. 
2. Podmiot, który do dnia wejścia w życie ustawy pr zystąpił do realizowanego przez Agencję Bezpieczeńs twa 
Wewnętrznego programu ARAKIS-GOV, uznaje się za pod miot, który przystąpił do systemu ostrzegania, w ro zumieniu 
art. 32aa ust. 4 ustawy zmienianej w art. 79. 
3. Podmiot, o którym mowa w ust. 2, który do dnia w ejścia w życie ustawy nie dokonał pełnego wdrożenia  elementów 
systemu ostrzegania, w rozumieniu art. 32aa ust. 4 ustawy zmienianej w art. 79 obowiązany jest do ich uzupełnienia 
w terminie roku od dnia wejścia w życie ustawy. 
4. Zawarte przed dniem wejścia w życie ustawy poroz umienia w sprawie udziału w programie ARAKIS-GOV uz naje 
się za porozumienia, o których mowa w art. 32aa ust . 7 ustawy zmienianej w art. 79. 
   
Dziennik Ustaw – 34 – Poz. 1560 
 
 Art. 92.  1. Dotychczasowe przepisy wykonawcze wydane na pod stawie art. 90u ust. 4 pkt 6 ustawy zmienianej 
w art. 77 zachowują moc do dnia wejścia w życie prz episów wykonawczych wydanych na podstawie art. 90u ust. 4 pkt 6 
ustawy zmienianej w art. 77 w brzmieniu nadanym nin iejszą ustawą, nie dłużej jednak niż do dnia 1 grud nia 2019 r., 
i mogą być zmieniane. 
2. Dotychczasowe przepisy wykonawcze, wydane na pod stawie art. 176a ust. 5 ustawy zmienianej w art. 81 , zacho- 
wują moc do dnia wejścia w życie nowych przepisów w ykonawczych wydanych na podstawie art. 176a ust. 5 ustawy zmie- 
nianej w art. 81, jednak nie dłużej niż przez 24 mi esiące od dnia wejścia w życie niniejszej ustawy. 
3. Dotychczasowe przepisy wykonawcze, wydane na pod stawie art. 5a ust. 6 ustawy zmienianej w art. 82, zachowują 
moc do dnia wejścia w życie nowych przepisów wykona wczych wydanych na podstawie art. 5a ust. 6 ustawy zmienianej 
w art. 82, jednak nie dłużej niż przez 12 miesięcy od dnia wejścia w życie niniejszej ustawy. 
Art. 93.  1. Maksymalny limit wydatków z budżetu państwa dla  części budżetowej 21 – Gospodarka morska, będący 
skutkiem finansowym wejścia w życie niniejszej usta wy, wynosi: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 388 tys. zł; 
3) w 2020 r. – 404 tys. zł; 
4) w 2021 r. – 404 tys. zł; 
5) w 2022 r. – 404 tys. zł; 
6) w 2023 r. – 404 tys. zł; 
7) w 2024 r. – 404 tys. zł; 
8) w 2025 r. – 404 tys. zł; 
9) w 2026 r. – 404 tys. zł; 
10) w 2027 r. – 404 tys. zł. 
2. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 22 – Gospodarka wodna, będący sku tkiem 
finansowym wejścia w życie niniejszej ustawy, wynos i: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 388 tys. zł; 
3) w 2020 r. – 404 tys. zł; 
4) w 2021 r. – 404 tys. zł; 
5) w 2022 r. – 404 tys. zł; 
6) w 2023 r. – 404 tys. zł; 
7) w 2024 r. – 404 tys. zł; 
8) w 2025 r. – 404 tys. zł; 
9) w 2026 r. – 404 tys. zł; 
10) w 2027 r. – 404 tys. zł. 
3. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 27 – Informatyzacja, będący skutk iem 
finansowym wejścia w życie niniejszej ustawy, wynos i: 
1) w 2018 r. – 6450 tys. zł; 
2) w 2019 r. – 13 349 tys. zł; 
3) w 2020 r. – 17 334 tys. zł; 
4) w 2021 r. – 17 314 tys. zł; 
5) w 2022 r. – 18 904 tys. zł; 
6) w 2023 r. – 18 904 tys. zł; 
7) w 2024 r. – 18 904 tys. zł; 
   
Dziennik Ustaw – 35 – Poz. 1560 
 
 8) w 2025 r. – 18 904 tys. zł; 
9) w 2026 r. – 18 904 tys. zł; 
10) w 2027 r. – 18 904 tys. zł. 
4. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 39 – Transport, będący skutkiem f inanso- 
wym wejścia w życie niniejszej ustawy, wynosi: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 388 tys. zł; 
3) w 2020 r. – 404 tys. zł; 
4) w 2021 r. – 404 tys. zł; 
5) w 2022 r. – 404 tys. zł; 
6) w 2023 r. – 404 tys. zł; 
7) w 2024 r. – 404 tys. zł; 
8) w 2025 r. – 404 tys. zł; 
9) w 2026 r. – 404 tys. zł; 
10) w 2027 r. – 404 tys. zł. 
5. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 46 – Zdrowie, będący skutkiem fin ansowym 
wejścia w życie niniejszej ustawy, wynosi: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 388 tys. zł; 
3) w 2020 r. – 404 tys. zł; 
4) w 2021 r. – 404 tys. zł; 
5) w 2022 r. – 404 tys. zł; 
6) w 2023 r. – 404 tys. zł; 
7) w 2024 r. – 404 tys. zł; 
8) w 2025 r. – 404 tys. zł; 
9) w 2026 r. – 404 tys. zł; 
10) w 2027 r. – 404 tys. zł. 
6. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 47 – Energia, będący skutkiem fin ansowym 
wejścia w życie niniejszej ustawy, wynosi: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 758 tys. zł; 
3) w 2020 r. – 789 tys. zł; 
4) w 2021 r. – 789 tys. zł; 
5) w 2022 r. – 789 tys. zł; 
6) w 2023 r. – 789 tys. zł; 
7) w 2024 r. – 789 tys. zł; 
8) w 2025 r. – 789 tys. zł; 
9) w 2026 r. – 789 tys. zł; 
10) w 2027 r. – 789 tys. zł. 
   
Dziennik Ustaw – 36 – Poz. 1560 
 
 7. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 57 – Agencja Bezpieczeństwa Wewnę trzne- 
go, będący skutkiem finansowym wejścia w życie nini ejszej ustawy, wynosi: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 255 tys. zł; 
3) w 2020 r. – 3605 tys. zł; 
4) w 2021 r. – 5605 tys. zł; 
5) w 2022 r. – 5605 tys. zł; 
6) w 2023 r. – 9705 tys. zł; 
7) w 2024 r. – 705 tys. zł; 
8) w 2025 r. – 705 tys. zł; 
9) w 2026 r. – 705 tys. zł; 
10) w 2027 r. – 8705 tys. zł. 
8. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 70 – Komisja Nadzoru Finansowego,  będą- 
cy skutkiem finansowym wejścia w życie niniejszej u stawy, wynosi: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 758 tys. zł; 
3) w 2020 r. – 789 tys. zł; 
4) w 2021 r. – 789 tys. zł; 
5) w 2022 r. – 789 tys. zł; 
6) w 2023 r. – 789 tys. zł; 
7) w 2024 r. – 789 tys. zł; 
8) w 2025 r. – 789 tys. zł; 
9) w 2026 r. – 789 tys. zł; 
10) w 2027 r. – 789 tys. zł. 
9. Maksymalny limit wydatków z budżetu państwa dla części budżetowej 76 – Urząd Komunikacji Elektronic znej, 
będący skutkiem finansowym wejścia w życie niniejsz ej ustawy, wynosi: 
1) w 2018 r. – 0 zł; 
2) w 2019 r. – 203 tys. zł; 
3) w 2020 r. – 212 tys. zł; 
4) w 2021 r. – 212 tys. zł; 
5) w 2022 r. – 212 tys. zł; 
6) w 2023 r. – 212 tys. zł; 
7) w 2024 r. – 212 tys. zł; 
8) w 2025 r. – 212 tys. zł; 
9) w 2026 r. – 212 tys. zł; 
10) w 2027 r. – 212 tys. zł. 
10. Maksymalny limit wydatków z budżetu państwa dla  części budżetowej 42 – Sprawy wewnętrzne, będący s kutkiem 
finansowym wejścia w życie niniejszej ustawy, wynos i: 
1) w 2018 r. – 242 tys. zł; 
2) w 2019 r. – 360 tys. zł; 
3) w 2020 r. – 0 zł; 
4) w 2021 r. – 0 zł; 
5) w 2022 r. – 0 zł; 
   
Dziennik Ustaw – 37 – Poz. 1560 
 
 6) w 2023 r. – 0 zł; 
7) w 2024 r. – 0 zł; 
8) w 2025 r. – 0 zł; 
9) w 2026 r. – 0 zł; 
10) w 2027 r. – 0 zł. 
11. W przypadku zagrożenia przekroczenia lub przekr oczenia przyjętych na dany rok budżetowy maksymalny ch limi- 
tów wydatków, o których mowa w ust. 1–6 i 8, zostan ą zastosowane mechanizmy korygujące polegające na: 
1) ograniczeniu wydatków związanych z realizacją za dań organu właściwego do spraw cyberbezpieczeństwa w zakresie 
identyfikacji operatorów usług kluczowych oraz prow adzenia bieżącej analizy podmiotów w danym sektorze  pod 
kątem uznania ich za operatora usługi kluczowej lub  niespełniania warunków kwalifikujących podmiot jak o operatora 
usługi kluczowej; 
2) zmniejszeniu liczby kontroli u operatorów usług kluczowych i dostawców usług cyfrowych; 
3) rezygnacji z organizowania albo uczestnictwa w ć wiczeniach w zakresie cyberbezpieczeństwa organizow anych 
w Rzeczypospolitej Polskiej lub w Unii Europejskiej ; 
4) ograniczeniu finansowania działalności sektorowe go zespołu cyberbezpieczeństwa powołanego przez dan y organ 
właściwy do spraw cyberbezpieczeństwa. 
12. W przypadku zagrożenia przekroczenia lub przekr oczenia przyjętego na dany rok budżetowy maksymalne go limi- 
tu wydatków, o którym mowa w ust. 7, zostanie zasto sowany mechanizm korygujący polegający na ogranicze niu liczby 
podmiotów wdrażających system wczesnego ostrzegania  o zagrożeniach występujących w sieci Internet, wsk azanych 
w rocznym planie wdrożenia, opracowywanym przez Sze fa Agencji Bezpieczeństwa Wewnętrznego. 
13. W przypadku zagrożenia przekroczenia lub przekr oczenia przyjętego na dany rok budżetowy maksymalne go limi- 
tu wydatków, o którym mowa w ust. 9, zostanie zasto sowany mechanizm korygujący polegający na ogranicze niu wydatków 
związanych z realizacją zadań ustawowych dotyczącyc h obsługi incydentów. 
14. W przypadku zagrożenia przekroczenia lub przekr oczenia przyjętego na dany rok budżetowy maksymalne go limi- 
tu wydatków, o którym mowa w ust. 10, zostanie zast osowany mechanizm korygujący polegający na ogranicz eniu wydat- 
ków związanych z zapewnieniem wyposażenia niezbędne go do obsługi Zespołu. 
15. W przypadku gdy wielkość wydatków w poszczególn ych miesiącach zgodna jest z planem finansowym, prz epi- 
sów ust. 11–14 nie stosuje się. 
16. Minister właściwy do spraw gospodarki morskiej monitoruje wykorzystanie limitu wydatków, o którym mowa 
w ust. 1, i przynajmniej cztery razy do roku dokonu je, według stanu na koniec każdego kwartału, oceny wykorzystania 
limitu wydatków na dany rok. Wdrożenia mechanizmów korygujących, o których mowa w ust. 11, dokonuje mi nister właś-
ciwy do spraw gospodarki morskiej. 
17. Minister właściwy do spraw gospodarki wodnej mo nitoruje wykorzystanie limitu wydatków, o którym mo wa 
w ust. 2, i przynajmniej cztery razy do roku dokonu je, według stanu na koniec każdego kwartału, oceny wykorzystania 
limitu wydatków na dany rok. Wdrożenia mechanizmów korygujących, o których mowa w ust. 11, dokonuje mi nister właś-
ciwy do spraw gospodarki wodnej. 
18. Minister właściwy do spraw informatyzacji monit oruje wykorzystanie limitu wydatków, o którym mowa w ust. 3, 
i przynajmniej cztery razy do roku dokonuje, według  stanu na koniec każdego kwartału, oceny wykorzysta nia limitu wy- 
datków na dany rok. Wdrożenia mechanizmów korygując ych, o których mowa w ust. 11, dokonuje minister wł aściwy do 
spraw informatyzacji. 
19. Minister właściwy do spraw transportu monitoruj e wykorzystanie limitu wydatków, o którym mowa w us t. 4, 
i przynajmniej cztery razy do roku dokonuje, według  stanu na koniec każdego kwartału, oceny wykorzysta nia limitu wy- 
datków na dany rok. Wdrożenia mechanizmów korygując ych, o których mowa w ust. 11, dokonuje minister wł aściwy do 
spraw transportu. 
20. Minister właściwy do spraw ochrony zdrowia moni toruje wykorzystanie limitu wydatków, o którym mowa  
w ust. 5, i przynajmniej cztery razy do roku dokonu je, według stanu na koniec każdego kwartału, oceny wykorzystania 
limitu wydatków na dany rok. Wdrożenia mechanizmów korygujących, o których mowa w ust. 11, dokonuje mi nister właś-
ciwy do spraw ochrony zdrowia. 
   
Dziennik Ustaw – 38 – Poz. 1560 
 
 21. Minister właściwy do spraw energii monitoruje w ykorzystanie limitu wydatków, o którym mowa w ust. 6, 
i przynajmniej cztery razy do roku dokonuje, według  stanu na koniec każdego kwartału, oceny wykorzysta nia limitu wy- 
datków na dany rok. Wdrożenia mechanizmów korygując ych, o których mowa w ust. 11, dokonuje minister wł aściwy do 
spraw energii. 
22. Szef Agencji Bezpieczeństwa Wewnętrznego monito ruje wykorzystanie limitu wydatków, o którym mowa 
w ust. 7, i przynajmniej cztery razy do roku dokonu je, według stanu na koniec każdego kwartału, oceny wykorzystania 
limitu wydatków na dany rok. Wdrożenia mechanizmu k orygującego, o którym mowa w ust. 12, dokonuje Szef  Agencji 
Bezpieczeństwa Wewnętrznego. 
23. Komisja Nadzoru Finansowego monitoruje wykorzys tanie limitu wydatków, o którym mowa w ust. 8, i pr zynajm- 
niej cztery razy do roku dokonuje, według stanu na koniec każdego kwartału, oceny wykorzystania limitu  wydatków na 
dany rok. Wdrożenia mechanizmów korygujących, o któ rych mowa w ust. 11, dokonuje Komisja Nadzoru Finan sowego. 
24. Prezes Urzędu Komunikacji Elektronicznej monito ruje wykorzystanie limitu wydatków, o którym mowa w  ust. 9, 
i przynajmniej cztery razy do roku dokonuje, według  stanu na koniec każdego kwartału, oceny wykorzysta nia limitu wy- 
datków na dany rok. Wdrożenia mechanizmu korygujące go, o którym mowa w ust. 13, dokonuje Prezes Urzędu  Komuni- 
kacji Elektronicznej. 
25. Minister właściwy do spraw wewnętrznych monitor uje wykorzystanie limitu wydatków, o którym mowa w ust. 10, 
i dokonuje oceny jego wykorzystania. Wdrożenia mech anizmu korygującego, o którym mowa w ust. 14, dokon uje minister 
właściwy do spraw wewnętrznych. 
Art. 94.  Ustawa wchodzi w życie po upływie 14 dni od dnia o głoszenia. 
Prezydent Rzeczypospolitej Polskiej: A. Duda 
  
   
Dziennik Ustaw – 39 – Poz. 1560 
 
 Załączniki do ustawy z dnia 5 lipca 2018 r. (poz. 1 560)   
Załącznik nr 1 
SEKTORY I PODSEKTORY ORAZ RODZAJE PODMIOTÓW  
 
Sektor Podsektor  
(jeżeli występuje) Rodzaj podmiotu  
Energia Wydobywanie kopalin Podmioty prowadzące dzi ałalność gospodarczą w zakresie wydo- 
bywania gazu ziemnego na podstawie koncesji, o któr ej mowa 
w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologicz- 
ne i górnicze (Dz. U. z 2017 r. poz. 2126 oraz z 20 18 r. poz. 650 
i 723). 
Podmioty prowadzące działalność gospodarczą w zakre sie wydoby- 
wania ropy naftowej na podstawie koncesji, o której  mowa w art. 22 
ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geol ogiczne i górni- 
cze. 
Podmioty prowadzące działalność gospodarczą w zakre sie wydo- 
bywania węgla brunatnego na podstawie koncesji, o k tórej mowa 
w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologicz- 
ne i górnicze. 
Podmioty prowadzące działalność gospodarczą w zakre sie wydo- 
bywania węgla kamiennego na podstawie koncesji, o k tórej mowa 
w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologicz- 
ne i górnicze. 
Podmioty prowadzące działalność gospodarczą w zakre sie wydo- 
bywania pozostałych kopalin na podstawie koncesji, o której mowa 
w art. 22 ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geologicz- 
ne i górnicze. 
Energia elektryczna Przedsiębiorstwo energetyczne, o którym w art. 3 pkt 12 ustawy 
z dnia 10 kwietnia 1997 r. – Prawo energetyczne (Dz . U. z 2018 r. 
poz. 755, 650, 685, 771, 1000 i 1356), posiadające koncesję na 
wykonywanie działalności gospodarczej w zakresie wy twarzania 
energii elektrycznej. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 24 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
przesyłania energii elektrycznej. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 25 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
dystrybucji energii elektrycznej. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
obrotu  energią elektryczną. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, prowadzą- 
ce działalność gospodarczą w zakresie przetwarzania  albo magazy- 
nowania energii elektrycznej. 
Podmioty prowadzące działalność gospodarczą w zakre sie świad- 
czenia usług systemowych, jakościowych i zarządzani a infrastruktu- 
rą energetyczną. 
Ciepło Przedsiębiorstwo energetyczne, o którym mowa  w art. 3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
wytwarzania ciepła. 
   
Dziennik Ustaw – 40 – Poz. 1560 
 
 Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
obrotu ciepłem. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
przesyłania ciepła. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
dystrybucji ciepła. 
Ropa naftowa Przedsiębiorstwo energetyczne, o który m mowa w art. 3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
wytwarzania paliw ciekłych, o której mowa w art. 32  ust. 1 ustawy 
z dnia 10 kwietnia 1997 r. – Prawo energetyczne. 
Podmioty prowadzące działalność gospodarczą w zakre sie przesyła- 
nia ropy naftowej. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
przesyłania paliw ciekłych siecią rurociągów, o któ rej mowa 
w art. 32 ust. 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energe- 
tyczne. 
Podmiot prowadzący działalność gospodarczą w zakres ie magazy- 
nowania ropy naftowej, w tym w zakresie bezzbiornik owego pod- 
ziemnego magazynowania ropy naftowej, o którym mowa  w art. 22 
ust. 1 ustawy z dnia 9 czerwca 2011 r. – Prawo geol ogiczne i górni- 
cze. 
Podmioty prowadzące działalność gospodarczą w zakre sie przeła- 
dunku ropy naftowej. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, wykonują- 
ce działalność gospodarczą w zakresie magazynowania  paliw ciek-
łych, o którym mowa w art. 32 ust. 1 ustawy z dnia 10 kwietnia 
1997 r. – Prawo energetyczne, oraz podmiot prowadzą cy działal- 
ność w zakresie bezzbiornikowego podziemnego magazy nowania 
paliw ciekłych, o którym mowa w art. 22 ust. 1 usta wy z dnia 
9 czerwca 2011 r. – Prawo geologiczne i górnicze. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, wykonują- 
ce działalność gospodarczą w zakresie przeładunku p aliw ciekłych, 
o którym mowa w art. 32 ust. 1 ustawy z dnia 10 kwi etnia 1997 r. – 
Prawo energetyczne. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, wykonują- 
ce działalność gospodarczą w zakresie obrotu paliwa mi ciekłymi lub 
w zakresie obrotu paliwami ciekłymi z zagranicą, o którym mowa 
w art. 32 ust. 1 ustawy z dnia 10 kwietnia 1997 r. – Prawo energe-
tyczne. 
Podmioty prowadzące działalność gospodarczą w zakre sie wytwa- 
rzania paliw syntetycznych. 
Gaz Przedsiębiorstwo energetyczne, o którym mowa w art. 3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, prowadzą- 
ce działalność w zakresie wytwarzania paliw gazowyc h, o którym 
mowa w art. 3 pkt 45 ustawy z dnia 10 kwietnia 1997  r. – Prawo 
energetyczne. 
   
Dziennik Ustaw – 41 – Poz. 1560 
 
 Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
przesyłania paliw gazowych. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 12 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, posiadają- 
ce koncesję na wykonywanie działalności gospodarcze j w zakresie 
obrotu gazem ziemnym z zagranicą lub na wykonywanie  działalności 
gospodarczej w zakresie obrotu paliwami gazowymi. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 24 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, będące 
wyznaczonym przez Prezesa Urzędu Regulacji Energety ki operato- 
rem systemu przesyłowego gazowego. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 25 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, będące 
wyznaczonym przez Prezesa Urzędu Regulacji Energety ki operato- 
rem systemu dystrybucyjnego gazowego. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 26 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, będące 
wyznaczonym przez Prezesa Urzędu Regulacji Energety ki operato- 
rem systemu magazynowania paliw gazowych. 
Przedsiębiorstwo energetyczne, o którym mowa w art.  3 pkt 27 
ustawy z dnia 10 kwietnia 1997 r. – Prawo energetyc zne, będące 
wyznaczonym przez Prezesa Urzędu Regulacji Energety ki operato- 
rem systemu skraplania gazu ziemnego. 
Dostawy i usługi dla 
sektora energii Podmioty prowadzące działalność gospodarczą w zakre sie dostaw 
systemów, maszyn, urządzeń, materiałów, surowców or az świadcze- 
nia usług na rzecz sektora energii. 
Jednostki nadzorowa- 
ne i podległe Jednostki organizacyjne podległe ministrowi właściw emu do spraw 
energii lub przez niego nadzorowane. 
Jednostki organizacyjne podległe ministrowi właściw emu do spraw 
gospodarki złożami kopalin lub przez niego nadzorow ane. 
Transport Transport lotniczy Przewoźnik lotniczy, o  którym mowa w art. 3 pkt 4 rozporządzenia 
Parlamentu Europejskiego i Rady (WE) nr 300/2008 z dnia 11 mar- 
ca 2008 r. w sprawie wspólnych zasad w dziedzinie o chrony lotnic- 
twa cywilnego i uchylającego rozporządzenie (WE) nr  2320/2002 
(Dz. Urz. UE L 97 z 09.04.2008, str. 72). 
Zarządzający lotniskiem, o którym mowa w art. 2 pkt  7 ustawy 
z dnia 3 lipca 2002 r. – Prawo lotnicze (Dz. U. z 2 018 r. poz. 1183). 
Przedsiębiorca, o którym mowa w art. 177 ust. 2 ust awy z dnia  
3 lipca 2002 r. – Prawo lotnicze, wykonujący dla pr zewoźników 
lotniczych oraz innych użytkowników statków powietr znych jedną 
lub więcej kategorii usług, o których mowa w art. 1 76 tej ustawy, 
oraz przedsiębiorca, o którym mowa w art. 186b ust.  1 pkt 2 ustawy 
z dnia 3 lipca 2002 r. – Prawo lotnicze, wykonujący  dla przewoźni- 
ków lotniczych zadania związane z kontrolą bezpiecz eństwa. 
Instytucja zapewniająca służby żeglugi powietrznej,  o której mowa 
w art. 127 ust. 1 ustawy z dnia 3 lipca 2002 r. – P rawo lotnicze. 
Transport kolejowy Zarządca infrastruktury kolejowe j w rozumieniu art. 4 pkt 7 ustawy 
z dnia 28 marca 2003 r. o transporcie kolejowym (Dz . U. z 2017 r. 
poz. 2117 i 2361 oraz z 2018 r. poz. 650, 927 i 133 8), z wyłącze- 
niem zarządców wyłącznie infrastruktury nieczynnej,  o której mowa 
w art. 4 pkt 1b tej ustawy,  infrastruktury prywatnej, o której mowa 
w art. 4 pkt 1c, oraz infrastruktury kolei wąskotor owej, o której 
mowa w art. 4 pkt 1d tej ustawy. 
   
Dziennik Ustaw – 42 – Poz. 1560 
 
 Przewoźnik kolejowy, o którym mowa w art. 4 pkt 9 u stawy z dnia 
28 marca 2003 r. o transporcie kolejowym, którego d ziałalność 
podlega licencjonowaniu, oraz operator obiektu infr astruktury usłu- 
gowej, o którym mowa w art. 4 pkt 52 ustawy z dnia 28 marca 2003 r. 
o transporcie kolejowym, jeżeli przedsiębiorca wyko nujący funkcję 
operatora jest jednocześnie przewoźnikiem kolejowym . 
Transport wodny Armator w transporcie morskim pasaż erów i towarów zgodnie 
z definicją dla transportu morskiego w załączniku I  do rozporządze- 
nia (WE) nr 725/2004 Parlamentu Europejskiego i Rad y z dnia 
31 marca 2004 r. w sprawie podniesienia ochrony sta tków i obiek- 
tów portowych (Dz. Urz. UE L 129 z 29.04.2004, str.  6), z wyłącze- 
niem poszczególnych statków, na których prowadzą dz iałalność 
ci armatorzy. 
Armator, o którym mowa w art. 5 ust. 1 pkt 2 ustawy  z dnia 
21 grudnia 2000 r. o żegludze śródlądowej (Dz. U. z  2017 r. 
poz. 2128 oraz z 2018 r. poz. 1137). 
Podmiot zarządzający portem, o którym mowa w art. 2  pkt 6 ustawy 
z dnia 20 grudnia 1996 r. o portach i przystaniach morskich (Dz. U. 
z 2017 r. poz. 1933). 
Podmiot zarządzający obiektem portowym, o którym mo wa w art. 2 
pkt 11 rozporządzenia (WE) 725/2004 Parlamentu Euro pejskiego 
i Rady z dnia 31 marca 2004 r. w sprawie podniesien ia ochrony 
statków i obiektów portowych. 
Podmioty prowadzące na terenie portu działalność ws pomagającą 
transport morski. 
VTS (Służba Kontroli Ruchu Statków) – aparat pomocn iczy dyrek- 
tora urzędu morskiego powołany w celu monitorowania  ruchu stat- 
ków i przekazywania informacji, stanowiący część sk ładową Naro- 
dowego Systemu SafeSeaNet, o którym mowa w art. 91 ustawy 
z dnia 18 sierpnia 2011 r. o bezpieczeństwie morski m (Dz. U. 
z 2018 r. poz. 181 i 1137). 
Transport drogowy Organy, o których mowa w art. 19 ust. 2, 5 i 5a ustawy z dnia 
21 marca 1985 r. o drogach publicznych (Dz. U. z 20 17 r. poz. 2222 
oraz z 2018 r. poz. 12, 138, 159, 317 i 1356). 
Podmioty, o których mowa w art. 43a ust. 1 ustawy z  dnia 21 marca 
1985 r. o drogach publicznych. 
Bankowość 
i infrastruktura 
rynków finan- 
sowych  Instytucja kredytowa, o której mowa w art. 4 ust. 1 pkt 17 ustawy 
z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2017 r. 
poz. 1876, z późn. zm. 4)). 
Bank krajowy, o którym mowa w art. 4 ust. 1 pkt 1 u stawy z dnia 
29 sierpnia 1997 r. – Prawo bankowe. 
Oddział banku zagranicznego, o którym mowa w art. 4  ust. 1 pkt 20 
ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe. 
Oddział instytucji kredytowej, o którym mowa w art.  4 ust. 1 pkt 18 
ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe. 
Spółdzielcze kasy oszczędnościowo-kredytowe w rozum ieniu usta- 
wy z dnia 5 listopada 2009 r. o spółdzielczych kasa ch oszczędnoś-  
ciowo-kredytowych (Dz. U. z 2017 r. poz. 2065, z pó źn. zm. 5)). 
Podmiot prowadzący rynek regulowany, o którym mowa w art. 14 
ust. 1 ustawy z dnia 29 lipca 2005 r. o obrocie ins trumentami finan- 
sowymi (Dz. U. z 2017 r. poz. 1768, z późn. zm. 6)). 
                                                           
4) Zmiany tekstu jednolitego wymienionej ustawy zosta ły ogłoszone w Dz. U. z 2017 r. poz. 2361 i 2491 or az z 2018 r. poz. 62, 106, 
138, 650, 685, 723, 864, 1000, 1075 i 1499. 
5) Zmiany tekstu jednolitego wymienionej ustawy zosta ły ogłoszone w Dz. U. z 2017 r. poz. 2486 i 2491 or az z 2018 r. poz. 62, 106, 
138, 650, 723, 771, 864, 1000, 1075, 1499 i 1544. 
6) Zmiany tekstu jednolitego wymienionej ustawy zosta ły ogłoszone w Dz. U. z 2017 r. poz. 2486 i 2491 or az z 2018 r. poz. 106, 138, 
650, 685, 723 i 771. 
   
Dziennik Ustaw – 43 – Poz. 1560 
 
 Podmiot, o którym mowa w art. 3 pkt 49 ustawy z dni a 29 lipca 
2005 r. o obrocie instrumentami finansowymi. 
Podmiot, o którym mowa w art. 48 ust. 7 ustawy z dn ia 29 lipca 
2005 r. o obrocie instrumentami finansowymi  
Ochrona  
zdrowia  Podmiot leczniczy, o którym mowa w art. 4 ust. 1 u stawy z dnia 
15 kwietnia 2011 r. o działalności leczniczej (Dz. U. z 2018 r. 
poz. 160, 138, 650, 1128, 1375 i 1532). 
Jednostka podległa ministrowi właściwemu do spraw z drowia, właś-
ciwa w zakresie systemów informacyjnych ochrony zdr owia. 
Narodowy Fundusz Zdrowia. 
Podmiot leczniczy, w przedsiębiorstwie którego funk cjonuje dział 
farmacji szpitalnej w rozumieniu ustawy z dnia 6 wr ześnia 2001 r. – 
Prawo farmaceutyczne (Dz. U. z 2017 r. poz. 2211, z  późn. zm. 7)). 
Podmiot leczniczy, w przedsiębiorstwie którego funk cjonuje apteka 
szpitalna w rozumieniu ustawy z dnia 6 września 200 1 r. – Prawo 
farmaceutyczne. 
Przedsiębiorca prowadzący działalność polegającą na  prowadzeniu 
hurtowni farmaceutycznej w rozumieniu ustawy z dnia  6 września 
2001 r. – Prawo farmaceutyczne.  
Przedsiębiorca lub podmiot prowadzący działalność g ospodarczą 
w państwie członkowskim Unii Europejskiej lub państ wie człon- 
kowskim Europejskiego Porozumienia o Wolnym Handlu (EFTA) – 
stronie umowy o Europejskim Obszarze Gospodarczym, który uzys-
kał pozwolenie na dopuszczenie do obrotu produktu l eczniczego. 
Importer produktu leczniczego/substancji czynnej w rozumieniu 
ustawy z dnia 6 września 2001 r. – Prawo farmaceuty czne. 
Wytwórca produktu leczniczego/substancji czynnej w rozumieniu 
ustawy z dnia 6 września 2001 r. – Prawo farmaceuty czne. 
Importer równoległy w rozumieniu ustawy z dnia 6 wr ześnia 2001 r. – 
Prawo farmaceutyczne. 
Dystrybutor substancji czynnej w rozumieniu ustawy z dnia 6 wrześ-
nia 2001 r. – Prawo farmaceutyczne. 
Przedsiębiorca prowadzący działalność w formie apte ki ogólno-  
dostępnej w rozumieniu ustawy z dnia 6 września 200 1 r. – Prawo 
farmaceutyczne. 
Zaopatrzenie 
w wodę pitną 
i jej dystrybucja  Przedsiębiorstwo wodociągowo-kanalizacyjne, o któr ym mowa 
w art. 2 pkt 4 ustawy z dnia 7 czerwca 2001 r. o zb iorowym za-
opatrzeniu w wodę i zbiorowym odprowadzaniu ścieków  (Dz. U. 
z 2018 r. poz. 1152). 
Infrastruktura 
cyfrowa  Podmiot, który świadczy usługi DNS. 
Podmiot prowadzący punkt wymiany ruchu internetoweg o (IXP), 
stanowiącego obiekt sieciowy, który umożliwia połąc zenie między- 
systemowe pomiędzy więcej niż dwoma niezależnymi sy stemami 
autonomicznymi, głównie do celów ułatwienia wymiany  ruchu  
internetowego. 
Podmiot zarządzający rejestracją internetowych nazw  domen 
w ramach domeny najwyższego poziomu (TLD). 
 
  
                                                           
7) Zmiany tekstu jednolitego wymienionej ustawy zosta ły ogłoszone w Dz. U. z 2018 r. poz. 650, 697, 1039 , 1375, 1515 i 1544. 
   
Dziennik Ustaw – 44 – Poz. 1560 
 
 Załącznik nr 2   
USŁUGI CYFROWE 
Nazwa usługi Definicja usługi 
Internetowa platforma handlowa Usługa, która umożli wia konsumentom lub przedsiębiorcom zawie- 
ranie umów drogą elektroniczną z przedsiębiorcami n a stronie inter- 
netowej platformy handlowej albo na stronie interne towej przedsię- 
biorcy, który korzysta z usług świadczonych przez i nternetową plat- 
formę handlową. 
Usługa przetwarzania w chmurze Usługa umożliwiającą  dostęp do skalowalnego i elastycznego zbioru 
zasobów obliczeniowych do wspólnego wykorzystywania  przez wielu 
użytkowników. 
Wyszukiwarka internetowa Usługa, która umożliwia uż ytkownikom wyszukiwanie wszystkich 
stron internetowych lub stron internetowych w danym  języku za 
pomocą zapytania przez podanie słowa kluczowego, wy rażenia lub 
innego elementu, przedstawiającą w wyniku odnośniki , odnoszące się 
do informacji związanych z zapytaniem.