04/03/2026
Ustawa wdrażająca dyrektywę i nowelizująca ustawę o krajowym systemie cyberbezpieczeństwa ( ) została podpisana przez Prezydenta i jednocześnie skierowana do Trybunału Konstytucyjnego w trybie kontroli następczej 19 lutego 2026 r. Następnie została 𝐨𝐠ł𝐨𝐬𝐳𝐨𝐧𝐚 𝐰 𝐃𝐳𝐢𝐞𝐧𝐧𝐢𝐤𝐮 𝐔𝐬𝐭𝐚𝐰 𝟐 𝐦𝐚𝐫𝐜𝐚 𝟐𝟎𝟐𝟔 𝐫.
Z perspektywy podmiotów ważnych i kluczowych istotne jest to, że wniosek do TK nie wstrzymuje stosowania przepisów – do czasu ewentualnego orzeczenia ustawa pozostaje w mocy.
W praktyce oznacza to konieczność rozpoczęcia przygotowań już teraz, bo harmonogram wdrożenia jest jednoznaczny:
➡️ 𝐩𝐨𝐜𝐳𝐚̨𝐭𝐞𝐤 𝐤𝐰𝐢𝐞𝐭𝐧𝐢𝐚 𝟐𝟎𝟐𝟔 – wejście ustawy w życie
➡️ 𝐩𝐚𝐳́𝐝𝐳𝐢𝐞𝐫𝐧𝐢𝐤 𝟐𝟎𝟐𝟔 – samoidentyfikacja (ocena statusu, czy organizacja jest podmiotem ważnym/kluczowym) oraz rejestracja w wykazie podmiotów ważnych i kluczowych
➡️ 𝐤𝐰𝐢𝐞𝐜𝐢𝐞𝐧́ 𝟐𝟎𝟐𝟕 – termin na wdrożenie wymogów (m.in. systemy kontroli dostępu, analiza ryzyka, zarządzanie incydentami, bezpieczeństwo łańcucha dostaw)
➡️ 𝐤𝐰𝐢𝐞𝐜𝐢𝐞𝐧́ 𝟐𝟎𝟐𝟖 – najwcześniejszy moment potencjalnego nałożenia pierwszych kar finansowych
Przesunięcie momentu nakładania kar nie oznacza „okresu wolnego od obowiązków”. Terminy implementacyjne biegną, a w razie kontroli istotne będzie wykazanie faktycznych i udokumentowanych działań wdrożeniowych.
🔔 Jeśli w organizacji jeszcze nie rozpoczęto prac, to jest właściwy moment, aby zaplanować: identyfikację statusu (ważny/kluczowy), mapowanie wymogów do obecnych procesów, analizę luk oraz harmonogram działań pod 6 i 12 miesięcy.
Jeśli potrzebujesz wsparcia w obszarze systemów kontroli dostępu w kontekście nowych dyrektyw, pomożemy Ci poukładać zakres i priorytety oraz przełożyć wymagania na plan działań. 📝