Cyberbezpieczeństwo w szkołach i przedszkolach po 3 kwietnia 2026 r. – harmonogram i obowiązki

3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Choć regulacja ta kojarzona jest głównie z sektorem energetycznym czy finansowym, ustawodawca objął nią także jednostki publiczne – w tym także jednostki systemu oświaty.

Szkoły i przedszkola w systemie cyberbezpieczeństwa – jako „podmiot ważny”

Ustawa rozróżnia dwa rodzaje podmiotów – podmioty „kluczowe” i podmioty „ważne”. Szkoły, przedszkola, placówki oświatowe zostały uznane w najnowszych przepisach za te drugie, tj. za podmioty ważne. Tym samym włączone zostały one do Krajowego Systemu Cyberbezpieczeństwa (KSC), jednakże ustawodawca dostrzegł ograniczenia organizacyjne takich jednostek (podmiotów publicznych) i wprowadził dla nich uproszczony model wymagań dotyczących bezpieczeństwa informacji, określony w załączniku nr 4 do ustawy.

Co dalej z KRI?

Dla placówek edukacyjnych przepisy dotyczące bezpieczeństwa informacji przetwarzanych cyfrowo nie są całkowicie obce. Od lat obowiązuje je przecież rozporządzenie w sprawie Krajowych Ram Interoperacyjności (KRI), które nakłada obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI).

KRI wymaga w jednostkach m.in.:

• prowadzenia inwentaryzacji sprzętu i oprogramowania,
• zarządzania uprawnieniami,
• prowadzenia analizy ryzyka,
• zabezpieczenia systemów,
• szkolenia pracowników,
• zgłaszania incydentów,
• prowadzenia corocznych audytów.

Nowa ustawa nie zmienia tych zasad – podkreśla konieczność ich praktycznego stosowania – KRI wciąż obowiązuje jednostki oświatowe!

Załącznik nr 4 do ustawy – co konkretnie musi robić szkoła?

To na co szkoła musi zwrócić uwagę – to wspomniany załącznik nr 4 do ustawy w sprawie cyberbezpiczeństwa. Nowelizacja ustawy bardzo szczegółowo opisuje wymagania wobec podmiotów publicznych będących podmiotami ważnymi. Zgodnie z nimi szkoły i przedszkola muszą wdrożyć i utrzymywać system bezpieczeństwa, który obejmuje m.in.:

• pełną inwentaryzację systemów i sprzętu ICT,
• kontrolę wersji oprogramowania i jego aktualności,
• ochronę danych przed utratą, kradzieżą i nieuprawnionym dostępem,
• zarządzanie uprawnieniami (nadawanie, zmiana, odbieranie),
• stosowanie zasady minimalnych uprawnień,
• bezpieczną pracę zdalną i mobilną,
• zabezpieczenie poczty elektronicznej,
• wykonywanie i testowanie kopii zapasowych,
• przygotowanie procedur na wypadek incydentu,
• stosowanie oprogramowania antywirusowego,
• szkolenie pracowników z cyberhigieny,
• monitorowanie podatności i aktualizacji systemów.

Jest to katalog bardzo zbliżony do KRI – jednak bardziej szczegółowy.

Obowiązkowy przegląd i dokumentowanie działań

Ustawa wprost wskazuje, że działania nie mogą być jednorazowe – system bezpieczeństwa musi być stale aktualizowany i dokumentowany.

Jak stanowi załącznik:

„Podmiot ważny będący podmiotem publicznym dokonuje przeglądu systemu zarządzania bezpieczeństwem informacji:

1. co najmniej raz w roku albo
2. bezzwłocznie w przypadku wydania przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa rekomendacji (…) albo
3. bezzwłocznie w przypadku wystąpienia okoliczności, które mogą wpłynąć na ryzyko wystąpienia incydentu poważnego (…)”

oraz:

„Podmiot ważny będący podmiotem publicznym dokumentuje realizację działań wskazanych do realizacji w systemie zarządzania cyberbezpieczeństwa.”

W praktyce oznacza to konieczność:

• regularnych przeglądów,
• aktualizacji procedur,
• prowadzenia dokumentacji działań (nie tylko ich planowania).

Możliwość wspólnej realizacji obowiązków – ważne dla szkół!

Ustawa pozwala, aby obowiązki cyberbezpieczeństwa były realizowane:

• przez jednostkę obsługującą (np. w gminie),
• wspólnie dla wielu szkół,
• a nawet między różnymi JST (na podstawie porozumień).

Ważne!

Szkoła nie musi mieć własnego specjalisty IT, ale musi mieć zapewnioną realizację obowiązków.

Co jeszcze wynika z nowych przepisów dla szkół i przedszkoli?

Jednostki te:

• muszą obsługiwać wszystkie incydenty, oraz
• muszą zgłaszać incydenty, ale tylko poważne.

Incydent to każde zdarzenie, które ma lub może mieć negatywny wpływ na systemy informacyjne.

Incydent poważny to taki, który jak podaje Ministerstwo Cyfryzacji:

• powoduje lub może spowodować przerwanie działania usług,
• prowadzi do istotnych strat (np. danych),
• wpływa na użytkowników (np. uczniów, nauczycieli),
• może wywołać poważne skutki organizacyjne lub finansowe.

Zgłoszenie takiego incydentu:

• trafia do właściwego CSIRT (najczęściej CSIRT NASK) – Computer Security Incident Response Team,
• powinno nastąpić nie później niż w ciągu 72 godzin od wykrycia.

Zgłoszenie zawiera m.in.:

• opis zdarzenia,
• jego wpływ,
• liczbę użytkowników,
• podjęte działania.

Uwaga!

Szkoła w tej kwestii znów korzysta z pewnych ułatwień i uproszczeń – nie ma bowiem obowiązku tworzenia raportów etapowych i wczesnego ostrzeżenia.

Wpis do wykazu

Każdy podmiot objęty ustawą – musi się znaleźć w wykazie KSC.
W przypadku podmiotów publicznych (w tym szkół) minister właściwy do spraw informatyzacji dokonuje wpisu automatycznie na podstawie danych z rejestrów publicznych i innych systemów.

Oznacza to, że:

• szkoła nie musi samodzielnie inicjować wpisu do KSC,
• ale ma obowiązek:
  • sprawdzić poprawność danych,
  • uzupełnić brakujące informacje,
  • aktualizować je w przypadku zmian.

Termin graniczny na uporządkowanie wpisu to 3 października 2026 r.

Kary – ale dopiero od 2028 r.

Ustawa przewiduje także system kar za jej nieprzestrzeganie, ale stosowane będą one dopiero po 2 latach, czyli od 3 kwietnia 2028 r.

Możliwe sankcje dla podmiotów:

• od 15 000 zł,
• do 7 mln euro lub 1,4% przychodów,
• do 100 mln zł (kara nadzwyczajna).

Uwaga!

Ustawa wprowadziła kary bezpośrednio do kierownika jednostki Możliwe sankcje dla dyrektora:

• do 100% wynagrodzenia.

Kary mogą dotyczyć m.in.:

• braku systemu bezpieczeństwa,
• braku zgłoszenia incydentu,
• braku dokumentacji,
• braku audytów i szkoleń,
• niewykonania obowiązków ustawowych.

Harmonogram wdrożenia przepisów ustawy

• 3 kwietnia 2026 r. – wejście w życie ustawy,
• do 3 października 2026 r. – wpis do wykazu,
• do 3 kwietnia 2027 r. – wdrożenie wymagań,
• od 3 kwietnia 2028 r. – możliwość nakładania kar.

Odpowiedzialność dyrektora

Nowe przepisy wyraźnie wskazują, że za cyberbezpieczeństwo odpowiada kierownik jednostki, który musi m.in.:

• zapewnić wdrożenie wymagań,
• dopilnować szkoleń,
• zapewnić zgłaszanie incydentów,
• nadzorować dokumentację.

W tym miejscu warto zwrócić uwagę na fakt, że odpowiedzialność, pod rządami zmienionej ustawy – ma charakter osobisty. Odpowiada dyrektor, a nie jednostka czy organ prowadzący.

Co się realnie zmienia dla szkół?

Dla większości placówek:

• obowiązki już istniały (KRI),
• teraz są bardziej konkretne (załącznik nr 4),
• oraz objęte realnym nadzorem i sankcjami.

Największe zmiany to:

• konieczność faktycznego działania (nie tylko dokumentów),
• gotowość reagowania na incydenty,
• odpowiedzialność dyrektora,
• możliwość kontroli i wysokich kar.