3 kwietnia 2026 r. weszła w życie większość przepisów znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Firmy, które podlegają wynikającym z niej obowiązkom, mają od teraz sześć miesięcy na samoidentyfikację i ewentualny wpis do rejestru. Ministerstwo Cyfryzacji opublikowało zestaw pytań i odpowiedzi dotyczących stosowania ustawy.

Księgowi i biura rachunkowe powinni zabezpieczać się przed ryzykami cyberbezpieczeństwa nie tylko poprzez rozwiązania techniczne, ale również poprzez odpowiednio skonstruowane umowy z klientami oraz dostawcami usług IT. W praktyce to właśnie właściwe zapisy kontraktowe pozwalają precyzyjnie określić zasady ochrony danych, zakres obowiązków stron oraz podział odpowiedzialności w razie incydentu – mówi Ani Sokołowska, prawnik w JCJK Kancelaria Prawna w Krakowie, Inspektor Ochrony Danych osobowych.

Trwa gorący okres rozliczeń podatkowych i wdrożenia Krajowego Systemu e-Faktur - cyberprzestępcy wykorzystują to, żeby wyłudzić dane. Krzysztof Gawkowski, Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa, ostrzega i zaleca zachowanie szczególnej ostrożności w internecie, zwłaszcza w przypadku odbierania niepokojących i niestandardowych wiadomości e-mail, SMS czy komunikatów w komunikatorach. Obserwowana jest bowiem kampania phishingowa, w której oszuści podszywają się pod KAS, informując o rzekomej nowej notyfikacji.

To nie jest pytanie „czy”, lecz „kiedy” nastąpi kolejna próba ataku i jak dobrze organizacja będzie na nią przygotowana - zaznacza Jeremi Olechnowicz, kierownik Sektorowego Zespołu Cyberbezpieczeństwa CSIRT CeZ, w kontekście cyberataków na placówki medyczne. Tylko w tym miesiącu doszło do kilku poważnych incydentów, dlatego resort cyfryzacji, wraz z innymi instytucjami, wydał specjalny komunikat zawierający "checklistę" cyberbezpieczeństwa. Cyberataki niosą ze sobą poważne konsekwencje - jak słyszymy w szczecińskim szpitalu, trzy tygodnie po zdarzeniu wciąż widać jego efekty.

Stosowanie AI do generowania haseł to poważne zagrożenie dla danych gromadzonych przez instytucje publiczne i firmy. Takie hasła na pierwszy rzut oka wyglądają na mocne, jednak są przewidywalne. Przestępcy mogą je łatwo złamać i wykraść poufne informacje. Dla administratorów danych oraz podmiotów z sektora IT, używanie haseł z AI to ryzyko naruszenia wymogów należytej staranności oraz groźba dotkliwych sankcji przewidzianych w RODO.

Rada Ministrów przyjęła 10 marca 2026 r. Strategię Cyberbezpieczeństwa Rzeczypospolitej Polskiej – kluczowy dokument wyznaczający kierunki rozwoju bezpieczeństwa cyfrowego państwa do 2029 r. Strategia ma wzmocnić Krajowy System Cyberbezpieczeństwa, zwiększyć odporność kraju na rosnące cyberzagrożenia oraz poprawić ochronę danych obywateli, przedsiębiorstw i instytucji publicznych. Zakłada m.in. rozwój krajowych technologii, rozszerzenie współpracy międzysektorowej oraz powołanie centralnej instytucji koordynującej działania w cyberprzestrzeni.

Szkolnictwo wyższe czeka przełom w ochronie cyfrowej. Będą zmiany w prawie, ale bez ograniczania kreatywności i autonomii akademickiej. Nowe zasady ochrony systemów informatycznych w uczelniach i instytutach naukowych przedstawili minister nauki i szkolnictwa wyższego Marcin Kulasek oraz przedstawiciele Konferencji Rektorów Akademickich Szkół Polskich.

Ponad dwa tysiące pracowników jednostek samorządu terytorialnego weźmie udział w ogólnopolskim projekcie „Samorząd otwarty na dane”, którego celem jest wzmocnienie kompetencji w zakresie zarządzania, analizy i udostępniania danych. Inicjatywa Ministerstwa Cyfryzacji ma zwiększyć przejrzystość działania samorządów, poprawić jakość usług publicznych oraz wspierać podejmowanie decyzji opartych na rzetelnych informacjach.

W dniu 2 marca w Dzienniku Ustaw opublikowana została nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS2. W lutym prezydent Karol Nawrocki podpisał tę ustawę, ale jednocześnie skierował do Trybunału Konstytucyjnego wniosek o kontrolę następczą przepisów dotyczących dostawców wysokiego ryzyka. Nowe przepisy wejdą w życie na początku kwietnia.

Rozwiązania cyfrowe w ochronie zdrowia trzeba udoskonalać i unowocześniać, ale niektóre elementy projektu nowelizacji niektórych ustaw w związku z rozwojem usług e-zdrowia budzą zastrzeżenia - wynika ze stanowiska przedstawionego przez samorząd lekarski. Wskazano w nim, że w przepisach zabrakło zwłaszcza rozwiązań pozwalających na walkę z tzw. receptomatami. Podkreślono też, że wprowadzanie opartych na sztucznej inteligencji wymaga lepszego przygotowania.

Urzędnicy powszechnie korzystają w pracy ze sztucznej inteligencji. Większość robi to bez wiedzy i nadzoru pracodawcy, narażając urzędy na wycieki danych, błędne decyzje i poważne konsekwencje prawne. Tylko nieliczne samorządy uregulowały zasady korzystania z narzędzi opartych na AI. I nie spieszą się ze zmianami, choć wkrótce zacznie obowiązywać unijny AI Act. Eksperci ostrzegają, że skala tzw. shadow AI w administracji rośnie, a nadzór praktycznie nie istnieje.

Dyskusja wokół nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa wciąż bywa prowadzona tak, jakby dotyczyła wyłącznie sektora telekomunikacyjnego lub regulacji o charakterze technicznym. To zasadniczy błąd. W rzeczywistości mówimy o fundamentach bezpieczeństwa narodowego państwa. O infrastrukturze, bez której nie funkcjonują dziś ani administracja publiczna, ani służby, ani nowoczesna gospodarka - pisze Michał Kanownik, prezes Związku Cyfrowa Polska.

Wprowadzona w ustawie instytucja dostawcy wysokiego ryzyka jest niezgodna z Konstytucją i prowadzi do wywłaszczenia podmiotów wykorzystujących sprzęt elektroniczny lub oprogramowanie wskazane w decyzji ministra – twierdzą przeciwnicy nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. - Te przepisy są warunkiem bezpieczeństwa państwa – przekonują inni. W oczekiwaniu na decyzję prezydenta, organizacje biznesowe przerzucają się argumentami.

Infrastruktura IT Uniwersytetu Warszawskiego padła ofiarą złośliwego oprogramowania typu ransomware – poinformował wicepremier Krzysztof Gawkowski. Rzeczniczka uczelni zapewniła, że dotychczasowe ustalenia nie wskazują na wyciek danych osobowych.

Zapewnienie cyberbezpieczeństwa będzie jednym z filarów odpowiedzialności osób zarządzających. Niedopełnianie obowiązków w tym zakresie może grozić zarówno osobistym zakazem pełnienia funkcji kierowniczych, jak i ograniczeniem lub nawet zatrzymaniem działalności operacyjnej – piszą Alicja Szyrner i Michał Majnusz, radcowie prawni z kancelarii Rödl.

Weryfikacja wieku to jeden z kluczowych problemów dla regulacji mających chronić dzieci przed szkodliwymi treściami w internecie – twierdzi Mateusz Kupiec, associate w kancelarii Traple Konarski Podrecki i Wspólnicy, asystent badawczy w Instytucie Nauk Prawnych PAN. I wskazuje, że w grę może wchodzić potwierdzanie pełnoletności za pośrednictwem otwartej bankowości, weryfikacja dokumentu tożsamości ze zdjęciem, ocena wieku na podstawie cech twarzy, weryfikacja przez operatorów sieci komórkowych, wykorzystanie kart płatniczych oraz portfele tożsamości cyfrowej.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wprowadza nowe obowiązki dla wielu podmiotów korzystających z rozwiązań cyfrowych, które muszą samodzielnie sprawdzić, czy są podmiotami kluczowymi lub ważnymi. W razie pozytywnej kwalifikacji konieczne jest złożenie wniosku o wpis do wykazu – piszą Alicja Szyrner i Michał Majnusz, radcowie prawni z kancelarii Rödl.

Zarządy podmiotów zaliczanych do kategorii "ważnych" mogą nie zdawać sobie sprawy, że ich działalność jest krytyczna dla gospodarki. W Polsce przyjęto model samoidentyfikacji – to zarząd musi przeanalizować status organizacji. Jeśli spełnia ona przesłanki, ma obowiązek zgłosić się do wykazu ministra cyfryzacji - pisze Paulina Petroniec-Bruens, adwokat, BCLA Bisiorek, Cieśliński i Partnerzy.

Wiele wskazuje, że największym problemem do rozwiązania w pracach nad przepisami, mającymi chronić dzieci przed pornografią i innymi szkodliwymi treściami w internecie, jest weryfikacja wieku osób korzystających z takich przekazów. Jest dość powszechna zgoda, że sama deklaracja użytkownika to za mało, że trzeba wprowadzić jakiś inny mechanizm, ale wciąż nie wiadomo, co to miałoby być. Na forum UE trwają prace nad odpowiednią aplikacją, ale wciąż nie wiadomo, czy i kiedy ona powstanie.

11 organizacji przedsiębiorców przeciwnych nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa w kształcie przyjętym przez parlament prosi Karola Nawrockiego o zainicjowanie kontroli jej konstytucyjności, np. poprzez skierowanie jej do Trybunału Konstytucyjnego. Jak przekonują, przepisy prowadzą do wywłaszczenia bez odszkodowania przedsiębiorców ze sprzętu elektronicznego uznanego za stwarzający wysokie ryzyko.