02.06.2026
Nowelizacja ustawy z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa wdraża do polskiego prawa unijną dyrektywę NIS2. Nowe przepisy nie obejmują automatycznie wszystkich podmiotowych sportowych. Mogą mieć jednak zastosowanie do wybranych organizacji działających w sektorze sportu – w szczególności tych, które spełniają kryteria wielkości lub wykonują zadania o charakterze publicznym.
Nowelizacja ustawy weszła w życie 3 kwietnia tego roku, a 7 maja pojawiły się pierwsze obowiązki z tego wynikające.
Jaki jest zakres podmiotowy tej nowelizacji w zakresie działalności sportowej?
Po pierwsze, Polskie Związki Sportowe. Wiele Polskich Związków Sportowych (PZS) oraz część większych związków regionalnych (wojewódzkich, okręgowych – w zależności od dyscypliny sportu) może zostać zakwalifikowanych jako podmioty objęte ustawą, jeżeli: wykonują zadania publiczne, są finansowane ze środków publicznych, spełniają kryteria podmiotów „ważnych” lub „kluczowych” w rozumieniu ustawy o Krajowym Systemie Cyberbezpieczeństwa (dalej: UoKSC). Kwalifikacja nie jest automatyczna – zależy od analizy funkcji, struktury i znaczenia danego związku.
Po drugie, duże i średnie kluby sportowe.
Kluby sportowe – niezależnie od formy prawnej (stowarzyszenia, spółki kapitałowe, fundacje) – mogą zostać objęte ustawą, jeśli spełniają kryteria wielkości wynikające z definicji przedsiębiorstw:
- średnie przedsiębiorstwo – to takie przedsiębiorstwo, które zatrudnia od 50 do 250pracowników lub generuje obrót do 50 mln Euro (EUR) lub bilans do 43 mln EUR;
- duże przedsiębiorstwo czyli takie, które zatrudnia więcej 250 pracowników lub generuje obrót do 50 mln EUR lub bilans do 43 mln EUR;
Oznacza to, że kluby sportowe zatrudniające powyżej 50 osób lub osiągające obrót powyżej 10 mln EUR mogą zostać zakwalifikowane jako podmioty ważne, jeśli działają w sektorze objętym regulacją lub mają znaczenie dla ciągłości usług.
Po trzecie, kluby sportowe będące spółkami miejskimi
Kluby sportowe będące spółkami komunalnymi mogą zostać uznane za podmioty publiczne, jeżeli: jednostka samorządu terytorialnego sprawuje nad nimi kontrolę, wykonują zadania publiczne, spełniają kryteria sektorowe lub znaczeniowe.
Nie jest to jednak kwalifikacja automatyczna – wymaga analizy indywidualnej.
Jakie obowiązki wynikają z ustawy KSC?
Podmioty zakwalifikowane jako kluczowe lub ważne muszą m.in.:
- dokonać rejestracji w Wykazie KSC poprzez proces samorejestracji na platformie rządowej,
- wdrożyć środki techniczne i organizacyjne adekwatne do zarządzania ryzykiem cyberbezpieczeństwa,
- prowadzić analizę ryzyka i dokumentację bezpieczeństwa,
- zgłaszać poważne incydenty bezpieczeństwa do CSIRT,
- zapewnić nadzór nad łańcuchem dostaw,
- przeprowadzać szkolenia personelu,
. współpracować z organami właściwymi w zakresie kontroli i audytów.
Kiedy organizacja sportowa powinna podjąć działania w tym zakresie? Jeżeli Państwa organizacja: jest dużym lub średnim klubem sportowym lub Polskim Związkiem Sportowym lub spółką miejską prowadzącą działalność sportową i realizuje zadania publiczne lub otrzymuje znaczące finansowanie publiczne, to istnieje wysokie prawdopodobieństwo, że podlega pod regulacje KSC i powinna przygotować się do wdrożenia wymaganych procedur.
Szczegółowe informacje dotyczące procesu wpisu znajdują się na stronie Ministerstwa Cyfryzacji.
Warto usystematyzować sobie jakie obowiązki wynikające z UoKSC mają podmioty kluczowe i ważne.
Pierwszy etap realizacji tych obowiązków to rejestracja i formalności:
- Weryfikacja kwalifikacji — sprawdzenie, czy organizacja spełnia kryteria podmiotu kluczowego lub ważnego.
- Rejestracja w Wykazie KSC — dokonanie samorejestracji na platformie rządowej.
- Wyznaczenie osoby kontaktowej — zgłoszenie oficjalnego punktu kontaktowego ds. cyberbezpieczeństwa.
- Przygotowanie dokumentacji formalnej — polityki, procedury, regulaminy.
Drugi etap to zarządzanie ryzykiem i bezpieczeństwem:
- Analiza ryzyka — identyfikacja zagrożeń, podatności i skutków incydentów.
- Wdrożenie środków technicznych i organizacyjnych — zgodnie z art. 20 NIS2 (m.in. kontrola dostępu, szyfrowanie, kopie zapasowe).
- Zarządzanie ciągłością działania — plany awaryjne, procedury odtwarzania.
- Bezpieczeństwo łańcucha dostaw — ocena dostawców IT i usługodawców.
Trzeci etap to monitorowanie i reagowanie:
- System monitorowania incydentów — wykrywanie, rejestrowanie i analiza zdarzeń.
- Procedura zgłaszania incydentów — obowiązek zgłoszenia poważnego incydentu do CSIRT (od ang. Computer Security Incident Response Team) to Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego. Są to specjalistyczne jednostki, których głównym zadaniem jest monitorowanie zagrożeń w sieci, zapobieganie im oraz szybkie reagowanie na ataki hakerskie i inne incydenty uderzające w cyberbezpieczeństwo.
- Reagowanie na incydenty — instrukcje, role, eskalacja, komunikacja.
- Testy i ćwiczenia — regularne testowanie procedur.
Kluczową kwestią są działania w zakresie samej organizacji i jej personelu:
- Wyznaczenie osoby odpowiedzialnej za cyberbezpieczeństwo — np. Inspektor Cyberbezpieczeństwa.
- Szkolenia pracowników — obowiązkowe, cykliczne, udokumentowane.
- Polityka dostępu i uprawnień — zasada minimalnych uprawnień, weryfikacja kont.
- Weryfikacja podmiotów zewnętrznych — audyty, umowy, SLA. SLA to Service Level Agreement, czyli umowa w branży usługowej i IT o gwarantowanym poziomie świadczenia usług. Dokument ten precyzuje m.in. czas reakcji na awarię, dostępność systemu (np. 99,9% w skali miesiąca) oraz kary finansowe dla dostawcy za niedotrzymanie warunków.).
Dokumentacja i audyty
- Rejestr incydentów — obowiązkowy, przechowywany min. 5 lat.
- Dokumentacja środków bezpieczeństwa — opis wdrożonych zabezpieczeń.
- Audyty wewnętrzne — regularna ocena zgodności.
- Przygotowanie do kontroli organu właściwego — komplet dokumentów, procedur i dowodów.
Obowiązki dodatkowe (dla podmiotów kluczowych)
- Ocena ryzyka na poziomie zarządu — zarząd ponosi odpowiedzialność za nadzór nad cyberbezpieczeństwem.
- Współpraca z CSIRT i organami państwa — obowiązek udzielania informacji i wsparcia.
- Wymogi dotyczące raportowania rocznego — sprawozdanie z działań bezpieczeństwa.
Jakie są kluczowe daty dla omawianej nowelizacji?
To po pierwsze, 3 kwietnia 2026 – wejście w życie ustawy (Nowelizacja ustawy o KSC zaczęła obowiązywać 3.04.2026 r. Od tego dnia biegną wszystkie terminy dostosowawcze). Po drugie, 13 kwietnia 2026 – uruchomienie Wykazu KSC (Wystartował oficjalny Wykaz podmiotów kluczowych i ważnych). Po trzecie, okres 13 kwietnia – 6 maja 2026 – wpisy z urzędu. Minister Cyfryzacji wpisał automatycznie: dotychczasowych operatorów usług kluczowych (OUK), dostawców usług zaufania, przedsiębiorców telekomunikacyjnych, podmioty publiczne. Po czwarte – okres 7 maja – 3 października 2026 – samorejestracja. To najważniejszy termin dla większości organizacji. Podmioty, które nie zostały wpisane z urzędu, muszą same dokonać wpisu do Wykazu KSC poprzez aplikację wykaz‑ksc.gov.pl. Termin ostateczny to 3 października 2026 roku.
Co przed nami:
12 czerwca 2026 – pełne uruchomienie systemu S46. System S46 staje się oficjalnym kanałem: raportowania incydentów oraz komunikacji z organami właściwymi. Od tej daty podmioty mogą rozpocząć korzystanie z systemu.
3 kwietnia 2027 – koniec okresu dostosowawczego. Do tego dnia wszystkie podmioty kluczowe i ważne muszą: wdrożyć środki techniczne i organizacyjne, uruchomić SZBI (system zarządzania bezpieczeństwem informacji), wdrożyć procedury reagowania na incydenty, korzystać z systemu S46.
3 kwietnia 2028 – pierwszy obowiązkowy audyt (dla podmiotów kluczowych). Dotyczy podmiotów kluczowych, które wcześniej nie były OUK. To także moment, od którego organy mogą w pełni egzekwować kary finansowe.
Kary finansowe dla Podmiotów Kluczowych mogą wynieść do 10 000 000 EUR lub 2% całkowitego rocznego światowego obrotu (zawsze wybierana jest kwota wyższa, a dla Podmiotów Ważnych, kary mogą sięgnąć do 7 000 000 EUR lub 1,4% całkowitego rocznego światowego obrotu. Z kolei kary minimalny niezależnie od obrotów mogą sięgać od 15 000 do 20 000 złotych. Należy jeszcze wspomnieć o osobistej odpowiedzialności kadry zarządzającej. Nowelizacja KSC nakłada obowiązek odbycia szkoleń z cyberbezpieczeństwa na kierowników jednostek. W przypadku rażących zaniedbań zarząd może ponieść konsekwencje osobiste, a nawet finansowe.
Fitness
09.06.2026
Organizacje sportowe
02.06.2026
E-sport
26.05.2026
AUTOR
Portal prawosportowe.pl powstał w 2012 roku i od tego czasu dostarcza czytelnikom wiedzę z zakresu szeroko rozumianego prawa sportowego.
30.03.2026
27.01.2026
05.01.2026
09.12.2025
10.11.2025
Portal prawosportowe.pl powstał w 2012 roku i od tego czasu dostarcza czytelnikom wiedzę z zakresu szeroko rozumianego prawa sportowego. Odbiorcami naszych treści są sportowcy amatorzy i profesjonalni, trenerzy, sędziowe, menedżerowie, agenci, działacze organizacji sportowych, sponsorzy. Jesteśmy po to, by pomagać i edukować w sporcie.
Portal od samego początku jest wspierany przez Kancelarię Prawa Sportowego i Gospodarczego DAUERMAN
Zgodnie z art. 13 ust. 1 i ust. 2 Ogólnego rozporządzenia Parlamentu i Rady Unii Europejskiej o ochronie danych osobowych z dnia 27 kwietnia 2016 r. informujemy, iż:
PrawoSportowe.pl Sp. z o.o.
ul. Powstańców Śląskich
53-332 Wrocław
tel. +48 693 672 258
e-mail: bok@prawosportowe.pl
Jeśli potrzebujesz pomocy prawnej w Twojej działalności sportowej, napisz do nas korzystając z poniższego formularza.
Pamiętaj – odległość nie stanowi problemu. Działamy całkowicie on-line.
Przedstaw nam swój problem, a my dokonamy wstępnej bezpłatnej analizy prawnej. Następnie przedstawimy, co możemy wspólnie w tej sprawie zrobić oraz zaproponujemy zasady współpracy. Oczywiście za wszelkie usługi otrzymasz fakturę VAT.
Polityka prywatności PrawoSportowe.pl Sp. z o.o.