Incydent bezpieczeństwa i naruszenie ochrony danych: odpowiedzialność, koszty i pierwsze 72 godziny
Incydent poważny i naruszenie ochrony danych to dwa różne reżimy. Jakie terminy naprawdę obowiązują po 3 kwietnia 2026 r. i dlaczego odpowiedzialność jest dziś osobista.
Dlaczego 72 godziny to nie jest twój pierwszy termin
„Mamy 72 godziny" to zdanie, które pada w polskich organizacjach w pierwszej godzinie incydentu. Pochodzi z art. 33 RODO i przez lata było wystarczającym skrótem myślowym. Od 3 kwietnia 2026 r., czyli od wejścia w życie nowelizacji ustawy o KSC, dla podmiotów kluczowych i ważnych jest błędne. Pierwszy wiążący termin wynosi 24 godziny, biegnie do zgłoszenia do innego organu i od innego momentu. Dla kierownictwa nie jest to niuans proceduralny. Odpowiedzialność za przeoczenie tej różnicy jest dziś osobista i nie da się jej scedować.
Dwa zdarzenia, nie jedno
Punktem wyjścia jest rozróżnienie, które w większości planów reagowania na incydenty nie istnieje. Incydent poważny w rozumieniu ustawy o KSC to zdarzenie oceniane przez pryzmat wpływu na świadczoną usługę - jej dostępność, ciągłość, skalę zakłócenia, zasięg terytorialny. Zgłasza się go do właściwego CSIRT sektorowego. Naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Zgłasza się je Prezesowi UODO. Te zbiory się przecinają, ale żaden nie zawiera drugiego. Ransomware na systemie z danymi klientów uruchamia oba reżimy. DDoS wyłączający usługę bez dostępu do danych - tylko KSC. Załącznik wysłany do niewłaściwego adresata - tylko RODO. Konsekwencja operacyjna: klasyfikacja musi przebiegać dwutorowo i równolegle. Organizacje, które najpierw ustalają, czy „to jest incydent KSC", a dopiero potem wracają do pytania o dane osobowe, tracą godziny, których nie mają. Zegary startują też w różnych momentach. Termin z KSC biegnie od wykrycia incydentu. Termin z RODO - od stwierdzenia naruszenia, czyli od chwili, w której administrator uzyskał wystarczającą pewność co do jego zaistnienia. W praktyce oznacza to, że zegar KSC rusza wcześniej.
Harmonogram, który obowiązuje naprawdę
24 godziny od wykrycia - wczesne ostrzeżenie o incydencie poważnym do właściwego CSIRT. Zakres jest celowo minimalny: dane podmiotu, moment wystąpienia i wykrycia, wstępne wskazanie, czy zdarzenie mogło być skutkiem działania bezprawnego - „jeżeli możliwe jest dokonanie takiej oceny". Nie trzeba znać przyczyny. Trzeba zgłosić. 72 godziny od wykrycia - pełne zgłoszenie incydentu poważnego: ocena skutków, skala, wpływ, wskaźniki naruszenia integralności. 72 godziny od stwierdzenia - zgłoszenie naruszenia ochrony danych do UODO, o ile naruszenie wiąże się z ryzykiem dla praw i wolności osób. Bez zbędnej zwłoki - zawiadomienie osób, których dane dotyczą, gdy ryzyko jest wysokie. Osobno, bez wskazanego terminu: poinformowanie użytkowników usług, jeżeli incydent ma niekorzystny wpływ na ich świadczenie. Miesiąc od zgłoszenia (nie od wykrycia) - sprawozdanie końcowe. Jeżeli obsługa incydentu jeszcze trwa, w tym terminie składa się sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi. Dwa uszczegółowienia. Podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia ani sprawozdań. Natomiast podmioty z sektora bankowości i infrastruktury rynków finansowych są z kolei wyłączone spod przepisów o SZBI i zgłaszania incydentów poważnych - obowiązują je terminy z rozporządzenia DORA, krótsze od KSC. To nie trzeci zegar, lecz podmiana zegara.
Odpowiedzialność, czyli dlaczego to sprawa zarządu, a nie działu IT
Art. 8 ustawy o KSC nakłada na kierownika podmiotu obowiązek zatwierdzania środków zarządzania ryzykiem cyberbezpieczeństwa i nadzorowania ich wdrożenia. Kierownik ponosi odpowiedzialność również wtedy, gdy obowiązki powierzył innej osobie za jej zgodą. Delegowanie zadań jest dopuszczalne, delegowanie odpowiedzialności już nie. Sankcje mają trzy poziomy: - podmiot kluczowy - do 10 mln EUR albo 2% rocznych przychodów, kwota wyższa; - podmiot ważny - do 7 mln EUR albo 1,4% przychodów; - naruszenie powodujące bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa lub życia i zdrowia ludzi - do 100 mln zł. Niezależnie od kary nałożonej na podmiot, karze podlega osobiście kierownik: do 300% wynagrodzenia, a w podmiotach publicznych do 100%. Natomiast za brak zgłoszenia naruszenia ochrony danych lub niedostateczne zabezpieczenie danych Prezes UODO może nałożyć karę do 20 mln EUR albo 4% obrotu. Sankcje z obu reżimów nie kumulują się. Art. 76c ustawy o KSC stanowi, że jeżeli za ten sam czyn prawomocną karę nałożył już Prezes UODO, organ właściwy do spraw cyberbezpieczeństwa nie wszczyna postępowania i poprzestaje na pouczeniu. Ust. 2 zachowuje mu jednak inne środki nadzoru z art. 53. Wyłączone jest więc dublowanie kar, nie dublowanie konsekwencji.
Koszty - cztery warstwy, z których widać zwykle jedną
Kary są warstwą najbardziej medialną i zwykle nie największą. - Reagowanie techniczne - informatyka śledcza, odtworzenie środowiska, przestój. - Obsługa prawno-regulacyjna - dwa postępowania, dwie linie komunikacji z organami, żądania podmiotów danych. - Zobowiązania wobec osób - zawiadomienia i roszczenia z art. 82 RODO, w tym za szkodę niemajątkową. - Koszty pośrednie - kary umowne z SLA i utrata kontraktów, bo NIS2 nakazuje kontrahentom oceniać ryzyko dostawców. Incydent u Ciebie staje się pozycją w rejestrze ryzyka Klienta. Osobnym kosztem jest niewiedza o własnych danych. Zgłoszenie wymaga podania zakresu naruszenia. Organizacja bez aktualnej inwentaryzacji i mapy danych osobowych ustala go pod presją czasu - i albo zawyża (uruchamiając zawiadomienia szerzej, niż trzeba), albo zaniża (narażając się na zarzut nierzetelnego zgłoszenia).
Pierwsze 72 godziny w praktyce
0-2 h - klasyfikacja dwutorowa i uruchomienie rejestracji czasu. Moment wykrycia i moment stwierdzenia trzeba udokumentować, bo od nich liczy się terminy. 2-24 h - wczesne ostrzeżenie do CSIRT. Równolegle: izolacja, zabezpieczenie materiału dowodowego, ustalenie, które systemy i zbiory danych są dotknięte incydentem. 24-72 h - ustalenie zakresu i ocena ryzyka dla praw i wolności podmiotu danych. To etap, na którym organizacje przekraczają termin - nie z braku procedury, lecz z braku wiedzy, gdzie w systemach znajdują się dane osobowe. Zgłoszenie do CSIRT i, jeśli przesłanki są spełnione, do UODO. Po 72 h - zawiadomienie osób (art. 34 RODO), informacja dla użytkowników usług, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.
Co realnie decyduje o wyniku
Żadnej z tych czynności nie da się przyspieszyć w trakcie incydentu. Decydują trzy rzeczy przygotowane wcześniej: aktualna mapa danych osobowych w systemach, egzekwowana polityka retencji ograniczająca zakres potencjalnego naruszenia oraz przećwiczony scenariusz dwutorowej klasyfikacji i skutecznego zarządzania incydentem. Pierwsza jest zarazem najtrudniejsza do odtworzenia pod presją i najłatwiejsza do zbudowania. Systematyczne wykrywanie i klasyfikowanie danych, w tym wrażliwych w bazach i repozytoriach plików zamienia najbardziej czasochłonny etap zarządzania naruszeniem w zapytanie do istniejącego rejestru.