Praktyczne narzędzie prawne · stan informacji: 2026-10-05

Incydent cybernetyczny — równolegle zabezpiecz system, dowody i obowiązki prawne

W kryzysie cybernetycznym prawo nie może czekać, aż IT „skończy naprawę”. Trzeba prowadzić jedną chronologię decyzji, zachować materiał i równolegle oceniać obowiązki RODO, KSC/NIS2 oraz kontrakty.

bez logowaniadane lokalnewzory do edycji
Najważniejsze reguły

Co musisz wiedzieć przed pierwszym ruchem

RODO: 72 godziny na zgłoszenie, jeśli jest wymaganeAdministrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób.
RODO: wysokie ryzyko może oznaczać zawiadomienie osóbJeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób, art. 34 RODO przewiduje obowiązek zawiadomienia tych osób, z wyjątkami ustawowymi.
NIS2 przewiduje sekwencję 24 h / 72 h / raport końcowyDla podmiotów objętych właściwym reżimem wczesne ostrzeżenie następuje co do zasady do 24 godzin, zgłoszenie incydentu do 72 godzin, a raport końcowy w terminie przewidzianym regulacją. W Polsce należy stosować aktualne przepisy KSC po nowelizacji.
Nie niszcz materiału technicznegoLogi, obrazy systemów, e-maile phishingowe, nagłówki wiadomości i historia decyzji mogą być kluczowe prawnie i technicznie.
Komunikat publiczny musi być zgodny z faktamiNie deklaruj „braku wycieku”, jeżeli analiza jeszcze trwa. Rozdziel fakty potwierdzone od hipotez.
Procedura

Jak podejść do sprawy krok po kroku

1

Zatrzymaj dalszą szkodę

IT izoluje systemy bez niszczenia dowodów.

2

Uruchom dziennik incydentu

Czas, osoba, decyzja, źródło informacji.

3

Ustal zakres danych i usług

Dane osobowe? usługi kluczowe? kontrahenci?

4

Oceń obowiązki zgłoszeniowe

RODO + KSC/NIS2 + regulacje sektorowe + umowy.

5

Zarządzaj komunikacją

Zarząd, DPO/IOD, CSIRT/organ, kontrahenci, osoby – zależnie od oceny.

Warianty sprawy

Najpierw rozpoznaj, w którym miejscu jesteś

Naruszenie danych osobowychUruchom ocenę art. 33–34 RODO i zapisz moment stwierdzenia naruszenia.
Poważny incydent w podmiocie KSC/NIS2Równolegle uruchom tryb raportowania właściwy dla podmiotu i incydentu.
Incydent u dostawcyNatychmiast pozyskaj fakty, logi, zakres danych i obowiązki kontraktowe dostawcy.
Podstawy kluczowe

Przepisy, od których zaczyna się analiza

  • art. 33–34 RODO – zgłoszenie naruszenia i zawiadomienie osób
  • ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 2026 r.
  • art. 23 dyrektywy NIS2 – sekwencja raportowania poważnych incydentów

To mapa startowa, nie zamknięty katalog. Konkretna sprawa może wymagać dodatkowych przepisów, orzecznictwa i przepisów przejściowych.

Materiały

Checklista dokumentów i dowodów

0 / 9 gotowe

Pilna konsultacja

Czerwone flagi

  • ransomware lub aktywne włamanie
  • dane szczególnych kategorii / dane dzieci / dane finansowe
  • brak możliwości ustalenia skali wycieku
  • zakłócenie usługi kluczowej lub ważnej
  • żądanie okupu lub groźba publikacji danych
  • incydent transgraniczny
Czego nie robić

Błędy, które mogą pogorszyć sprawę

  • nie kasuj logów i nie formatuj urządzeń bez uzgodnienia z zespołem technicznym
  • nie składaj zgłoszenia „na ślepo” bez dokumentowania oceny, ale nie przegap terminu
  • nie wysyłaj masowego komunikatu, który zawiera niesprawdzone fakty
  • nie ujawniaj publicznie szczegółów ułatwiających dalszy atak
Termin

Kalkulator terminów kryzysowych

  • 24 h: —
  • 72 h: —

Kalkulator ma charakter orientacyjny. Bieg terminów należy zweryfikować według właściwych przepisów i okoliczności konkretnej sprawy.

Proste wzory

Generatory podstawowych pism

Generator tworzy szkic roboczy, a nie gotowe pismo do automatycznego złożenia. W sprawach sądowych zawsze sprawdź właściwość, termin, opłatę, wymagane odpisy, aktualny stan prawny i pouczenie w konkretnej sprawie.

To wzór roboczy. Przed złożeniem sprawdź właściwość sądu/organu, tryb, termin, opłatę i treść pouczenia.

Uzupełnij pola i wybierz „Generuj szkic”.

To wzór roboczy. Przed złożeniem sprawdź właściwość sądu/organu, tryb, termin, opłatę i treść pouczenia.

Uzupełnij pola i wybierz „Generuj szkic”.
Podstawy prawne

Źródła do weryfikacji

RODO – rozporządzenie (UE) 2016/679 (EUR-Lex)
Ustawa o krajowym systemie cyberbezpieczeństwa – tekst jednolity (ISAP)
Nowelizacja KSC z 23 stycznia 2026 r. (ISAP)
Dyrektywa NIS2 – (UE) 2022/2555 (EUR-Lex)

Linki prowadzą do źródeł urzędowych lub pierwotnych. Przed podjęciem czynności sprawdź najnowszy tekst i ewentualne przepisy przejściowe.

Opracowanie merytoryczne

adw. Tomasz Wiliński

Kancelaria adwokacka Tomasz Wiliński
ul. Krucza 16/22, 00-526 Warszawa
NIP 5992888071

Narzędzie ma charakter informacyjny i edukacyjny. Nie zastępuje analizy akt ani indywidualnej porady. Użycie aplikacji nie oznacza przyjęcia sprawy.