Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (UKSC). Oznacza to, że firmy z sektora transportu mają do zrealizowania konkretny harmonogram, w tym podlegają obowiązkowi rejestracji w wykazie KSC do 3 października 2026 r. Jeśli tego nie zrobią, mogą czekać je wysokie sankcje połączone w dodatku z ryzykiem osobistej odpowiedzialności kadry zarządzającej. Nie wszyscy jednak automatycznie podlegają nowym przepisom. Sprawdź, czy dotyczy to Twojej firmy i co warto zrobić, zanim skończy się czas na przygotowanie.
Czy Twoja firma transportowa musi wdrożyć UKSC?
Część podmiotów z sektora transportu podlega reżimowi nowej regulacji jako podmioty kluczowe lub ważne. Dotyczy to przede wszystkim:
- Przewoźników lotniczych
- Podmiotów zarządzających lotniskami
- Podmiotów obsługi lotniczej i bezpieczeństwa oraz służb żeglugi powietrznej
- Zarządców infrastruktury kolejowej
- Licencjonowanych przewoźników kolejowych
- Operatorów obiektów infrastruktury usługowej, jeśli są przewoźnikami
- Armatorów morskich i śródlądowych
- Zarządzających portami i obiektami portowymi
- Podmiotów portowych wspomagających transport morski oraz VTS
- Podmiotów świadczących usługi ITS
- Zarządców dróg publicznych
Ważna informacja dla przewoźników drogowych: sam przewóz drogowy nie przesądza o statusie podmiotu kluczowego lub ważnego.
Nie podlegasz pod UKSC bezpośrednio? Wymogi mogą dotrzeć do Twojej organizacji w sposób pośredni
Pozostałe firmy transportowe mogą odczuć regulację np. przez wymagania kontraktowe większych operatorów, klientów publicznych albo grup kapitałowych.
Trzy kanały, którymi regulacja „dotrze” do Twojej firmy, to:
- Łańcuch dostaw. Twój klient objęty UKSC może przenieść wymagania do kolejnej umowy. Chodzi tu m.in. o: dostęp do systemów, kopie zapasowe, zgłaszanie incydentów i kontrolę podwykonawców
- Znaczenie krytyczne usługi. Nawet bez oczywistego statusu, znaczenie może mieć usługa, której awaria zatrzyma przewozy, odprawę, terminal, ITS albo łączność
- Kontrakty i ubezpieczenia. Coraz częściej trzeba pokazać dowody, nie deklaracje. Są to m.in. procedury, testy odtworzeniowe, rejestry incydentów, plany awaryjne i zasady dostępu
Szybki test: obowiązek formalny czy ryzyko operacyjne?
Cztery krótkie pytania, które pomogą ustalić, czy firma będzie formalnie podlegać UKSC (lub czy wymogi wrócą przez klienta, przetarg lub ubezpieczyciela):
- Czy spółka jest jednym z podmiotów transportowych wskazanych w UKSC, np. przewoźnikiem lotniczym lub kolejowym, zarządcą lotniska, portu, infrastruktury albo drogi, operatorem ITS?
- Czy spełnia właściwy próg wielkości lub szczególną przesłankę objęcia regulacją, z uwzględnieniem grupy i podmiotów powiązanych?
- Czy awaria usługi lub systemu mogłaby zatrzymać przewóz, odprawę, terminal, bilety, ITS, łączność lub telematykę?
- Czy klient, przetarg, ubezpieczyciel lub grupa kapitałowa wymaga dowodów dotyczących cyberbezpieczeństwa: MFA, backupów, BCP/DRP, procedury incydentowej albo kontroli dostawców?
Jeśli choć jedna z odpowiedzi była na „tak” – działaj. Masz mniej czasu, niż myślisz.
Podmiot kluczowy czy ważny? To zmienia poziom nadzoru, nie cel
Status nie zmienia celu wdrożenia, w obu przypadkach trzeba bowiem zarządzać kwestiami cyberbezpieczeństwa. Różnica tkwi w intensywności kontroli i ryzyku sankcji.
UKSC – harmonogram wdrożenia
Nowelizacja UKSC obowiązuje od 3 kwietnia 2026 r., a pierwsze obowiązki należy spełnić do 3 października 2026 r.
Październik 2026 jest jednak bliżej, niż wynika to z kalendarza. Kwalifikacja, zebranie danych, audyt wewnętrzny i przygotowanie dokumentacji wymagają bowiem czasu. Nie warto zostawiać tego na wrzesień.
UKSC – 6 obszarów wdrożenia
- Zarządzanie. Role, decyzje, rejestr ryzyk oraz osoby odpowiedzialne za usługi i systemy. Zarząd powinien znać stan prac i zatwierdzać kluczowe decyzje
- Ryzyka i zabezpieczenia. Środki techniczne i organizacyjne dobrane do skutków incydentu, znaczenia systemów i scenariuszy awarii
- Ciągłość działania. Plany awaryjne i odtworzeniowe dla TMS, ITS, systemów portowych, kolejowych, biletowych, odprawy, telematyki i łączności
- Dostawcy. Wymagania wobec dostawców IT, hostingu, utrzymania, integratorów, podwykonawców i wsparcia operacyjnego
- Dostęp i ludzie. Uwierzytelnianie wieloskładnikowe, uprawnienia, konta uprzywilejowane, odejścia pracowników, szkolenia i zasady pracy z systemami
- Incydenty i dokumentacja. Procedura wykrycia, eskalacji, decyzji i zgłoszeń oraz dokumenty pozwalające odtworzyć, kto co zrobił i kiedy
Czego nie robić?
Nie zaczynaj od zakupu narzędzia IT ani wpisu spółki do wykazu „na zapas”.
Najpierw trzeba ustalić:
- Jaka usługa
- Jakie systemy
- Jaki obowiązek
- Odpowiedzialność (kto za co odpowiada)
Dopiero z tego wynikają procedury, umowy, dostawcy i odpowiednie środki techniczne.
Odpowiedzialność zarządu: to nie jest projekt wyłącznie dla IT
Czyli to miejsce, które bezpośrednio dotyczy kadry kierowniczej. I które najczęściej bywa najbardziej niedoceniane.
Największe ryzyko nie powstaje bowiem przy okazji samego incydentu, lecz w efekcie braku ścieżki decyzyjnej na temat tego: kto klasyfikuje zdarzenie, kto eskaluje, kto zgłasza, kto informuje klientów i kto zatwierdza działania naprawcze.
Kierownictwo powinno więc umieć wykazać, że podjęło decyzje w zakresie kwalifikacji, budżetu, roli, harmonogramu, nadzoru i cyklicznego przeglądu ryzyk.
Samo przekazanie projektu do IT albo compliance to zdecydowanie za mało.
Co musi istnieć jako minimum dowodowe? Decyzje zarządu, rejestr ryzyk, harmonogram wdrożenia, raporty postępu, wyniki testów i potwierdzenia szkoleń.
Incydent: trzy zegary, trzy poziomy informacji
Gdy dojdzie do incydentu, czas gra zawsze przeciwko nam. Dlatego raportowanie incydentów przebiega zawsze w trzech etapach:
Sankcje, ryzyko dla firmy i osobiste ryzyko zarządu
Sankcje należy traktować jako ryzyko zarządcze.
Wniosek dla zarządu: kara do 300% wynagrodzenia to nie jest ryzyko dla firmy, ale konkretnej osoby, przed którym, o czym warto pamiętać, nie chroni delegowanie projektu bez nadzoru.
Istotne zastrzeżenie: kary pieniężne omówione powyżej będą nakładane dopiero po upływie 2 lat od wejścia w życie nowelizacji UKSC, czyli od 4 kwietnia 2028 r. (z wyjątkiem kary ekstraordynaryjnej, która może być nałożona przed upływem tego okresu).
UKSC – 6 kroków, które prowadzą do wdrożenia
Wdrożenie przebiega w sześciu krokach:
- Ocena statusu i rejestracja: sprawdź usługi, podstawy w UKSC, rolę spółki, próg wielkości, umowy i ustal, czy spółka jest w zakresie regulacji. Dokonaj rejestracji podmiotu w wykazie KSC.
- Mapa usług i zależności: powiąż usługi z systemami, dostawcami, lokalizacjami, danymi oraz procesami awaryjnymi
- Scenariusze awarii: opisz kilka sytuacji: brak systemu TMS/ITS, atak szyfrujący, awaria hostingu, błąd dostawcy, utrata łączności
- Braki i plan działań: oddziel braki krytyczne od mniej pilnych; przypisz właścicieli, terminy i sposób potwierdzenia wykonania
- Umowy i dostawcy: sprawdź zapisy o zgłaszaniu incydentów, prawie audytu, podwykonawcach, lokalizacji danych i prawie kontroli
- Reakcja na incydent: ustal, kto informuje, kto decyduje, kto zgłasza incydent, co trafia do klienta i co trzeba udokumentować
Efektem tych działań nie może być opis regulacji, tylko praktyczny zestaw do wdrożenia i przewodnik, który zawiera: ocenę statusu, mapę usług, plan działań, reakcje na incydent, zapisy do umów i potwierdzenia decyzji zarządu. Warto go przygotować we współpracy ze specjalistami.
Masz pytania? Skontaktuj się z nami
