Placówka oświatowa w krajowym systemie cyberbezpieczeństwa Co nowelizacja ustawy oznacza dla dyrektora?

List, który nie jest pomyłką

Początek roku szkolnego, poniedziałek. W skrzynce do doręczeń elektronicznych szkoły podstawowej czeka pismo od Ministra Cyfryzacji. Jest to zawiadomienie o wpisaniu placówki z urzędu do wykazu podmiotów kluczowych i podmiotów ważnych wraz z wezwaniem do uzupełnienia danych – z linkiem, kodem dostępu i terminem sześciu miesięcy. Dyrektor czyta pismo dwukrotnie. Szkoła podstawowa w kilkunastotysięcznej gminie podmiotem ważnym krajowego systemu cyberbezpieczeństwa? Obok elektrowni, szpitali i operatorów telekomunikacyjnych? Pierwsza myśl: to pomyłka albo kolejna próba phishingu. Druga: może wystarczy nie odpowiadać i sprawa sama się zakończy. 

Obie myśli są błędne i obie mogą okazać się kosztowne. Pismo jest autentyczne, wpis już istnieje, a termin biegnie od dnia doręczenia. Zanim jednak przejdziemy do tego, jakie działania powinien podjąć dyrektor na skutek otrzymanego zawiadomienia, warto zrozumieć, skąd szkoła wzięła się w systemie zaprojektowanym z myślą o infrastrukturze krytycznej państwa.

Szkoła w systemie cyberbezpieczeństwa?

Punktem wyjścia jest dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dalej: dyrektywa NIS2). Prawodawca unijny wyszedł z założenia, że odporność cyfrowa państwa jest tak silna, jak jej najsłabsze ogniwo, a tym ogniwem coraz częściej okazują się podmioty publiczne, które przetwarzają ogromne ilości danych, dysponując jednocześnie skromnym zapleczem informatycznym. Do polskiego porządku prawnego dyrektywę wdrożyła ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. z 2026 r., poz. 252; dalej: nowelizacja), która gruntownie przebudowała ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r., poz. 20 z późn. zm.; dalej: u.k.s.c.). Nowelizacja weszła w życie 3 kwietnia 2026 r. i właśnie realizowany jest harmonogram jej wdrażania.

Szkoła publiczna i przedszkole publiczne prowadzone przez jednostkę samorządu terytorialnego działają w formie samorządowej jednostki budżetowej. To przesądza o ich statusie: podmiotem ważnym jest podmiot publiczny będący samorządową jednostką budżetową, jeżeli realizuje zadanie...