Masz kilkunastu dostawców IT: system ERP, hosting, sieć, oprogramowanie na zamówienie. Jeżeli Twoja firma jest podmiotem kluczowym lub ważnym według ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażasz jej obowiązki, w tym bezpieczeństwo łańcucha dostaw. Firma, która spełniała warunki ustawy 3 kwietnia 2026 (dzień wejścia w życie nowelizacji), ma czas do 3 kwietnia 2027; spełniająca je później ma 12 miesięcy od tego dnia. Umowy z dostawcami sięgają zwykle dalej, a aneks wymaga zgody drugiej strony i kosztuje. Kary mogą być nałożone po raz pierwszy po 3 kwietnia 2028. Sięgają 10 mln euro lub 2 % przychodów (podmiot kluczowy) i 7 mln euro lub 1,4 % (podmiot ważny), zawsze wyższa z kwot. Stan prawny na 20 września 2026.
Skąd bierze się obowiązek
Nowelizacja ustawy o KSC wdraża dyrektywę NIS2 (unijną dyrektywę 2022/2555 o cyberbezpieczeństwie). Art. 8 ust. 1 pkt 2 lit. e ustawy każe podmiotowi kluczowemu lub ważnemu zapewnić bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi. Pierwowzorem jest art. 21 ust. 2 lit. d dyrektywy. ICT to w uproszczeniu sprzęt, oprogramowanie i usługi informatyczne; uwzględnia się związki z bezpośrednim dostawcą. Art. 8 ust. 2 każe też uwzględnić:
- podatności związane z dostawcą, czyli luki w zabezpieczeniach,
- ogólną jakość jego produktów, usług i procesów,
- wyniki skoordynowanej oceny bezpieczeństwa Grupy Współpracy, ciała z art. 22 ust. 1 dyrektywy prowadzącego skoordynowane oceny ryzyka łańcuchów dostaw,
- wyniki postępowania w sprawie dostawcy wysokiego ryzyka (niżej).
Adresatem jesteś Ty: w ustawie nie znaleźliśmy przepisu nakładającego obowiązki wprost na dostawcę, który sam nie jest podmiotem kluczowym ani ważnym; wymagania docierają do niego przez Twoją umowę. Dostawca, który nim jest, ma własne obowiązki.
Pięć pytań do każdego dostawcy
- Co dostawca dostarcza i która z Twoich usług stanie, gdy on przestanie działać?
- Gdzie są Twoje dane: w jakim kraju, w czyim centrum danych, u jakiego podwykonawcy?
- Kto u dostawcy ma dostęp do Twoich systemów i kto ten dostęp nadaje i odbiera?
- W jakim czasie dostawca usuwa luki w zabezpieczeniach i jak Cię o nich informuje?
- Czy dostawca sam jest podmiotem kluczowym lub ważnym?
Siedem zapisów do umowy
Tekst jest informacją. Brzmienie zapisów uzgodnij z prawnikiem. Przy każdym: skąd wynika i po co jest.
- Informowanie o incydencie. Ustawa wyznacza Ci terminy zgłoszeń incydentu poważnego do CSIRT sektorowego, czyli zespołu reagowania na incydenty w Twoim sektorze. Wczesne ostrzeżenie: 24 godziny od wykrycia; zgłoszenie: 72 godziny; sprawozdanie końcowe: miesiąc od zgłoszenia. Dostawca powiadamia Cię o incydencie u siebie w czasie, który pozwoli dotrzymać tych terminów.
- Prawo do audytu. Rekomendacja, bo art. 8 ust. 2 każe uwzględniać „ogólną jakość” produktów dostawcy. Sprawdzasz sam, przez wskazaną firmę albo przez wgląd w wyniki jego audytu. Bez tego zapewnienia dostawcy zostają na papierze.
- Luki w zabezpieczeniach i aktualizacje. Ustawa każe Ci uwzględniać podatności związane z dostawcą. Dostawca informuje o znanych lukach i usuwa je w czasie zależnym od wagi, aktualizacje w cenie utrzymania. Bez terminu luka czeka na kolejną wersję.
- Ciągłość działania i kopie zapasowe. Ciągłość łańcucha dostaw jest w ustawie, liczby są Twoje: czas przywrócenia usługi po awarii, miejsce kopii i częstość prób ich odtworzenia. Bez tego nie wiesz, ile dni stoi usługa.
- Lokalizacja danych i dostęp. Rekomendacja. Dane są w określonym kraju i u określonych podmiotów, zmiana wymaga Twojej zgody; dostawca prowadzi listę osób z dostępem i odbiera go, gdy kończą pracę. Pytanie o miejsce danych pada przy każdym incydencie i kontroli.
- Wyjście z umowy i przekazanie danych. Rekomendacja. Po zakończeniu umowy dostawca przekazuje dane i dokumentację w formacie użytecznym dla następcy, bez dodatkowej opłaty i bez kary umownej za wyjście po decyzji organu (art. 67c, niżej). Bez tego zmiana dostawcy zależy od jego dobrej woli.
- Odpowiedzialność i podwykonawcy. Ustawa mówi o bezpośrednim dostawcy; podwykonawców obejmiesz tylko umową. Dostawca odpowiada za nich jak za siebie, informuje Cię o ich zmianie i przenosi na nich te same wymagania; zapis mówi też, kto płaci za incydent z jego winy.
Co z dostawcą wysokiego ryzyka
Art. 67b pozwala ministrowi właściwemu do spraw informatyzacji wszcząć postępowanie o uznanie dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Dotyczy dostawców podmiotów kluczowych i ważnych (poza podsektorem komunikacji elektronicznej), przedsiębiorców komunikacji elektronicznej z przychodami z działalności telekomunikacyjnej powyżej 10 mln zł w poprzednim roku obrotowym oraz podmiotów finansowych. Po decyzji (art. 67c) objętych nią produktów, usług i procesów nie wolno wprowadzać do użytkowania, a używane trzeba wycofać w ciągu 7 lat od ogłoszenia. Wymienieni przedsiębiorcy mają 4 lata dla funkcji krytycznych.
Według komunikatu Ministerstwa Cyfryzacji z 6 sierpnia 2026 listy dostawców wysokiego ryzyka nie ma, nie wszczęto żadnego postępowania ani nie wydano decyzji. Część przepisów art. 67b, 67c i 67e jest przedmiotem wniosku Prezydenta RP do Trybunału Konstytucyjnego (sprawa K 19/26), dotąd bez rozprawy i orzeczenia. Dziś żadna decyzja nie każe wycofywać produktu; punkt szósty zabezpiecza przyszłość.
Od których umów zacząć
Zacznij od dostawców, od których zależy usługa objęta ustawą: system, bez którego stanie, sieć, hosting. Umowy kończące się przed 3 kwietnia 2027 dostają nowe zapisy przy odnowieniu, dłuższe wymagają aneksu i rozmowy z wyprzedzeniem. Przy nowych systemach siedem zapisów wchodzi do zapytania ofertowego i umowy z wykonawcą; dyrektywa wymienia bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu systemów.
Pierwszym krokiem jest analiza: lista dostawców z odpowiedziami na pięć pytań i przegląd umów pod kątem siedmiu zapisów, z kolejnością zmian i projektem zapisów. Od tej analizy, prowadzonej w jednym zespole z zapleczem prawnym, zaczyna się współpraca.
Źródła
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, tekst ustawy, dostęp 20.09.2026
- Dz.U. 2026 poz. 252, metadane aktu w API ELI Sejmu (ogłoszenie 2.03.2026, wejście w życie 3.04.2026), dostęp 20.09.2026
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), wersja polska na EUR-Lex, dostęp 20.09.2026
- Ministerstwo Cyfryzacji, komunikat „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa” z 14.04.2026 (terminy wdrożenia obowiązków), dostęp 20.09.2026
- Ministerstwo Cyfryzacji, komunikat o procedurze dotyczącej listy dostawców wysokiego ryzyka, 6.08.2026, dostęp 20.09.2026
- Trybunał Konstytucyjny, strona sprawy K 19/26 (wniosek Prezydenta RP w sprawie zmiany ustawy o KSC), data dodania 30.07.2026, dostęp 20.09.2026