Prawo i normy cyberbezpieczeństwa

Rozporządzenie (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych

Podstawowy akt o ochronie danych osobowych w Unii. Określa zasady przetwarzania, prawa osób, których dane dotyczą, obowiązki administratorów i podmiotów przetwarzających oraz tryb zgłaszania naruszeń ochrony danych.

Kogo dotyczy: Każdy podmiot przetwarzający dane osobowe w UE lub oferujący usługi osobom w UE

Tekst urzędowy — EUR-Lex →

Dyrektywa (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii

Następczyni dyrektywy NIS. Rozszerza katalog podmiotów objętych wymogami cyberbezpieczeństwa, wprowadza podział na podmioty kluczowe i ważne, obowiązki zarządzania ryzykiem oraz zgłaszania poważnych incydentów. Jako dyrektywa wymaga wdrożenia przepisami krajowymi.

Kogo dotyczy: Podmioty kluczowe i ważne w sektorach wskazanych w załącznikach dyrektywy

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego

Ujednolica wymogi odporności cyfrowej w sektorze finansowym: zarządzanie ryzykiem ICT, zgłaszanie incydentów, testowanie odporności oraz nadzór nad zewnętrznymi dostawcami usług ICT. Dla podmiotów wskazanych przez organ nadzoru obejmuje zaawansowane testy penetracyjne prowadzone pod kątem rzeczywistych zagrożeń (TLPT). Jako przepis sektorowy ma pierwszeństwo przed ogólnymi wymogami krajowego systemu cyberbezpieczeństwa.

Kogo dotyczy: Banki, ubezpieczyciele, firmy inwestycyjne i inne podmioty finansowe oraz ich dostawcy ICT

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2024/2847 w sprawie horyzontalnych wymogów cyberbezpieczeństwa produktów z elementami cyfrowymi

Wprowadza wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi wprowadzanych do obrotu w Unii, obejmując cały cykl życia produktu, obsługę podatności oraz dokumentowanie składników oprogramowania (SBOM). Obowiązki zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów z art. 14 stosuje się od 11 września 2026 r.; zgłoszenie idzie jedną drogą, przez wspólną platformę, do właściwego CSIRT i do ENISA. Pozostałe wymogi stosuje się od 11 grudnia 2027 r.

Kogo dotyczy: Producenci, importerzy i dystrybutorzy sprzętu i oprogramowania

Tekst urzędowy — EUR-Lex →

Dyrektywa (UE) 2022/2557 w sprawie odporności podmiotów krytycznych

Dotyczy odporności fizycznej i organizacyjnej podmiotów krytycznych. Stanowi uzupełnienie NIS2, która odpowiada za warstwę cyfrową.

Kogo dotyczy: Podmioty krytyczne wskazane przez państwa członkowskie

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania

Reguluje identyfikację elektroniczną oraz usługi zaufania: podpis i pieczęć elektroniczną, znacznik czasu i uwierzytelnianie witryn. Istotne przy ocenie mocy dowodowej dokumentów elektronicznych.

Kogo dotyczy: Dostawcy usług zaufania, podmioty publiczne, użytkownicy podpisu elektronicznego

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2024/1183 zmieniające rozporządzenie 910/2014 w odniesieniu do europejskich ram tożsamości cyfrowej

Nowelizacja eIDAS wprowadzająca europejskie ramy tożsamości cyfrowej, w tym portfel tożsamości cyfrowej.

Kogo dotyczy: Państwa członkowskie, dostawcy usług zaufania, podmioty uznające tożsamość cyfrową

Tekst urzędowy — EUR-Lex →

Dyrektywa (UE) 2015/2366 w sprawie usług płatniczych w ramach rynku wewnętrznego

Reguluje rynek usług płatniczych, w tym silne uwierzytelnianie klienta oraz obowiązki bezpieczeństwa dostawców usług płatniczych i standardy interfejsów w bankowości otwartej. Zastąpić ma ją pakiet PSD3 i rozporządzenia PSR — w listopadzie 2025 r. osiągnięto wstępne porozumienie polityczne, ale do dnia przeglądu tego rejestru pakiet nie został ogłoszony w Dzienniku Urzędowym UE, więc obowiązuje PSD2.

Kogo dotyczy: Banki, instytucje płatnicze, dostawcy usług płatniczych

Tekst urzędowy — EUR-Lex →

Wnioski Komisji COM(2023) 366 — dyrektywa o usługach płatniczych (PSD3) oraz COM(2023) 367 — rozporządzenie o usługach płatniczych (PSR)

Pakiet, który ma zastąpić PSD2: rozporządzenie PSR przejmuje zasady świadczenia usług płatniczych — silne uwierzytelnianie klienta, weryfikację odbiorcy, odpowiedzialność za oszustwa i bankowość otwartą — a dyrektywa PSD3 zostawia w gestii państw członkowskich licencjonowanie i nadzór nad instytucjami płatniczymi. Parlament Europejski i Rada osiągnęły wstępne porozumienie polityczne 27 listopada 2025 r., a teksty zatwierdzono na poziomie COREPER 22 kwietnia 2026 r. Do dnia przeglądu tego rejestru pakiet nie został ogłoszony w Dzienniku Urzędowym UE, więc nie obowiązuje — wiążącym prawem pozostaje PSD2. Odnośnik prowadzi do wniosku Komisji, a nie do tekstu przyjętego; brzmienie końcowe będzie się od niego różnić.

Kogo dotyczy: Banki, instytucje płatnicze, dostawcy usług płatniczych i podmioty bankowości otwartej — po ogłoszeniu i upływie okresów przejściowych

Tekst urzędowy — EUR-Lex — wniosek dyrektywy PSD3 → EUR-Lex — wniosek rozporządzenia PSR →

Rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji

Ustanawia podejście oparte na ryzyku wobec systemów sztucznej inteligencji, z odrębnymi wymogami dla systemów wysokiego ryzyka oraz zakazami określonych praktyk. Dla systemów wysokiego ryzyka i modeli ogólnego przeznaczenia obejmuje też wymogi dokładności, odporności i cyberbezpieczeństwa — w tym odporności na zatruwanie danych i modelu oraz na ataki przeciwstawne.

Kogo dotyczy: Dostawcy i podmioty stosujące systemy AI na rynku unijnym

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2023/2854 w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania

Reguluje dostęp do danych generowanych przez produkty połączone i usługi powiązane oraz zmianę dostawcy usług przetwarzania danych.

Kogo dotyczy: Producenci urządzeń połączonych, dostawcy usług chmurowych, użytkownicy danych

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2022/868 w sprawie europejskiego zarządzania danymi

Ustanawia ramy ponownego wykorzystywania danych sektora publicznego, usług pośrednictwa danych oraz altruizmu danych.

Kogo dotyczy: Podmioty publiczne, pośrednicy danych, organizacje altruizmu danych

Tekst urzędowy — EUR-Lex →

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa

Tworzy krajowy system cyberbezpieczeństwa: katalog objętych nim podmiotów, zespoły CSIRT, obowiązki zarządzania ryzykiem i zgłaszania incydentów. Pierwotnie wdrażała dyrektywę NIS. Od 3 kwietnia 2026 r. obowiązuje w brzmieniu nadanym nowelizacją wdrażającą NIS2 — czytaj ją razem z ustawą zmieniającą opisaną w osobnym wpisie.

Kogo dotyczy: Operatorzy usług kluczowych, dostawcy usług cyfrowych, podmioty publiczne

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych →

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw

Wdraża dyrektywę NIS2 do prawa polskiego. Zastępuje dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych kategoriami podmiotów kluczowych i podmiotów ważnych, rozszerza katalog objętych sektorów — między innymi o usługi ICT, chmurę, centra danych, usługi zaufania, pocztę, ścieki, przestrzeń kosmiczną oraz produkcję chemikaliów i żywności — i przenosi zgłaszanie incydentów do systemu S46. Wprowadza też odpowiedzialność kierownictwa za realizację zadań z zakresu cyberbezpieczeństwa. Weszła w życie 3 kwietnia 2026 r. Podmioty spełniające kryteria mają obowiązek złożyć wniosek o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych do 3 października 2026 r.; samorejestracja działa od 7 maja 2026 r., a wpis otwiera dostęp do platformy S46.

Kogo dotyczy: Podmioty kluczowe i podmioty ważne w sektorach wskazanych w ustawie, w tym dostawcy usług ICT, chmurowych i centrów danych

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych (Dz.U. 2026 poz. 252) →

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

Uzupełnia stosowanie RODO w polskim porządku prawnym: ustrój i kompetencje Prezesa Urzędu Ochrony Danych Osobowych, postępowanie kontrolne oraz odpowiedzialność.

Kogo dotyczy: Administratorzy i podmioty przetwarzające dane osobowe w Polsce

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych →

Ustawa z dnia 29 sierpnia 1997 r. — Prawo bankowe

Podstawowa ustawa regulująca działalność banków: tajemnica bankowa, wymogi organizacyjne, outsourcing czynności bankowych i nadzór Komisji Nadzoru Finansowego. Ustawa była wielokrotnie nowelizowana — odnośnik prowadzi do najnowszego tekstu jednolitego (Dz.U. z 2026 r. poz. 38), a nie do ogłoszenia z 1997 r., bo tylko tekst jednolity oddaje brzmienie obowiązujące.

Kogo dotyczy: Banki i instytucje kredytowe działające w Polsce

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych (tekst jednolity Dz.U. 2026 poz. 38) →

Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych

Reguluje świadczenie usług płatniczych w Polsce; stanowi krajowe ramy dla wymogów wynikających z dyrektywy PSD2, w tym silnego uwierzytelniania klienta i bezpieczeństwa interfejsów dostępu do rachunku. Odnośnik prowadzi do najnowszego tekstu jednolitego (Dz.U. z 2026 r. poz. 623).

Kogo dotyczy: Dostawcy usług płatniczych, banki, instytucje płatnicze

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych (tekst jednolity Dz.U. 2026 poz. 623) →

Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach

Wytyczne nadzorcze opisujące oczekiwania wobec banków w zakresie zarządzania obszarem IT i bezpieczeństwa środowiska teleinformatycznego: strategia, organizacja, obsługa incydentów, współpraca z dostawcami zewnętrznymi i rola audytu. Nie obowiązuje: uchwała nr 6/2025 Komisji Nadzoru Finansowego z dnia 10 stycznia 2025 r. uchyliła uchwałę nr 7/2013 wydającą tę rekomendację ze skutkiem od 17 stycznia 2025 r., czyli od dnia rozpoczęcia stosowania rozporządzenia DORA. Powodem było pokrywanie się zakresu przedmiotowego z obowiązkami wynikającymi z DORA i aktów wykonawczych do niego. Tego samego dnia uchylono odpowiedniki dla innych sektorów i odwołano „Komunikat chmurowy” z 23 stycznia 2020 r. Wpis zostaje w rejestrze, bo dokumentacja bankowa sprzed 2025 r. i starsze opinie wciąż powołują się na Rekomendację D — dziś odpowiednikiem tych wymogów jest DORA.

Kogo dotyczy: Banki nadzorowane przez Komisję Nadzoru Finansowego — do 16 stycznia 2025 r.

Tekst urzędowy — Dziennik Urzędowy KNF (uchwała nr 6/2025, Dz. Urz. KNF z 2025 r. poz. 1) → Tekst uchylonej Rekomendacji D — Komisja Nadzoru Finansowego →

Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach

Wytyczne nadzorcze dotyczące zarządzania ryzykiem operacyjnym, w którym mieszczą się awarie systemów teleinformatycznych, błędy ludzkie i zdarzenia zewnętrzne: identyfikacja i pomiar ryzyka, gromadzenie danych o stratach, plany ciągłości działania i zarządzanie ryzykiem outsourcingu. Jest miękkim prawem nadzorczym, a nie ustawą. W odróżnieniu od Rekomendacji D pozostaje w mocy — uchylenie z 17 stycznia 2025 r. objęło wytyczne o zakresie pokrywającym się z rozporządzeniem DORA, a nie zarządzanie ryzykiem operacyjnym jako całość.

Kogo dotyczy: Banki nadzorowane przez Komisję Nadzoru Finansowego

Tekst urzędowy — Komisja Nadzoru Finansowego (uchwała nr 8/2013) → Wykaz rekomendacji dla banków — KNF →

Ustawa z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej

Reguluje rynek komunikacji elektronicznej w Polsce, w tym obowiązki przedsiębiorców telekomunikacyjnych dotyczące bezpieczeństwa sieci i usług oraz tajemnicy komunikacji.

Kogo dotyczy: Przedsiębiorcy telekomunikacyjni i dostawcy usług komunikacji elektronicznej

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych →

Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz)

Określa zadania i uprawnienia federalnego urzędu BSI oraz obowiązki bezpieczeństwa operatorów infrastruktury krytycznej w Niemczech. Podstawa niemieckiego systemu cyberbezpieczeństwa, kolejno nowelizowana ustawami IT-Sicherheitsgesetz.

Kogo dotyczy: Operatorzy infrastruktury krytycznej i administracja federalna w Niemczech

Tekst urzędowy — Gesetze im Internet — federalny portal aktów prawnych →

Bundesdatenschutzgesetz — federalna ustawa o ochronie danych

Niemiecka ustawa uzupełniająca stosowanie RODO: przepisy krajowe dotyczące m.in. przetwarzania danych pracowników, monitoringu wizyjnego oraz kompetencji organów nadzorczych.

Kogo dotyczy: Administratorzy danych działający w Niemczech

Tekst urzędowy — Gesetze im Internet — federalny portal aktów prawnych →

Bundesamt für Sicherheit in der Informationstechnik — organ nadzoru i standardy IT-Grundschutz

Federalny urząd odpowiedzialny za cyberbezpieczeństwo w Niemczech. Publikuje standardy IT-Grundschutz — metodykę zarządzania bezpieczeństwem informacji szeroko stosowaną w niemieckiej administracji i przemyśle.

Kogo dotyczy: Administracja, operatorzy infrastruktury krytycznej, przedsiębiorstwa

Tekst urzędowy — BSI →

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés

Najstarsza europejska ustawa o ochronie danych, wielokrotnie nowelizowana; obecnie stanowi francuskie ramy stosowania RODO i podstawę działania organu nadzorczego CNIL.

Kogo dotyczy: Administratorzy danych działający we Francji

Tekst urzędowy — Légifrance — oficjalny portal prawa francuskiego →

Agence nationale de la sécurité des systèmes d’information — francuski organ cyberbezpieczeństwa

Krajowa agencja odpowiedzialna za bezpieczeństwo systemów informacyjnych we Francji. Wydaje wymagania dla operatorów o istotnym znaczeniu oraz rekomendacje techniczne i schematy certyfikacji.

Kogo dotyczy: Operatorzy o istotnym znaczeniu, administracja, dostawcy usług cyfrowych

Tekst urzędowy — ANSSI / cyber.gouv.fr →

Commission nationale de l’informatique et des libertés — francuski organ ochrony danych

Organ nadzorczy ochrony danych osobowych we Francji. Publikuje wytyczne, rekomendacje bezpieczeństwa i decyzje, które w praktyce wyznaczają standard stosowania RODO.

Kogo dotyczy: Administratorzy i podmioty przetwarzające we Francji

Tekst urzędowy — CNIL →

Zákon č. 181/2014 Sb., o kybernetické bezpečnosti

Czeska ustawa o cyberbezpieczeństwie: obowiązki podmiotów objętych regulacją, zgłaszanie incydentów oraz kompetencje krajowego urzędu NÚKIB. Wdrożenie dyrektywy NIS2 prowadzone jest odrębnym procesem legislacyjnym — aktualny stan sprawdź u NÚKIB.

Kogo dotyczy: Operatorzy usług kluczowych i podmioty infrastruktury krytycznej w Czechach

Tekst urzędowy — Zákony pro lidi →

Národní úřad pro kybernetickou a informační bezpečnost — czeski urząd cyberbezpieczeństwa

Krajowy urząd odpowiedzialny za cyberbezpieczeństwo i bezpieczeństwo informacji w Czechach. Prowadzi regulację, wydaje wytyczne oraz ostrzeżenia dotyczące dostawców technologii.

Kogo dotyczy: Podmioty regulowane czeską ustawą o cyberbezpieczeństwie

Tekst urzędowy — NÚKIB →

Úřad pro ochranu osobních údajů — czeski organ ochrony danych osobowych

Organ nadzorczy ochrony danych osobowych w Czechach, odpowiedzialny za stosowanie RODO i czeskich przepisów o przetwarzaniu danych.

Kogo dotyczy: Administratorzy i podmioty przetwarzające w Czechach

Tekst urzędowy — ÚOOÚ →

ISO/IEC 27001 — Systemy zarządzania bezpieczeństwem informacji. Wymagania

Najczęściej stosowana norma systemu zarządzania bezpieczeństwem informacji. Określa wymagania dla ustanowienia, wdrożenia, utrzymania i doskonalenia SZBI; stanowi podstawę certyfikacji organizacji.

Kogo dotyczy: Organizacje wdrażające lub certyfikujące system zarządzania bezpieczeństwem informacji

Tekst urzędowy — ISO — katalog norm →

ISO/IEC 27002 — Zabezpieczenia bezpieczeństwa informacji

Zbiór zabezpieczeń wraz z wytycznymi wdrożenia, stanowiący uzupełnienie normy 27001. Praktyczny katalog środków technicznych i organizacyjnych.

Kogo dotyczy: Zespoły wdrażające zabezpieczenia w ramach SZBI

Tekst urzędowy — ISO — katalog norm →

ISO/IEC 27005 — Wytyczne zarządzania ryzykiem bezpieczeństwa informacji

Wytyczne prowadzenia procesu zarządzania ryzykiem bezpieczeństwa informacji, spójne z wymaganiami normy 27001.

Kogo dotyczy: Osoby odpowiedzialne za analizę i postępowanie z ryzykiem

Tekst urzędowy — ISO — katalog norm →

ISO/IEC 27037 — Wytyczne identyfikacji, gromadzenia, pozyskiwania i zabezpieczania dowodów cyfrowych

Norma bezpośrednio dotycząca informatyki śledczej: opisuje postępowanie z dowodem cyfrowym od jego identyfikacji, przez pozyskanie, po zabezpieczenie, z naciskiem na zachowanie integralności i ciągłości nadzoru.

Kogo dotyczy: Biegli, zespoły reagowania na incydenty, laboratoria kryminalistyczne

Tekst urzędowy — ISO — katalog norm →

ISO 22301 — Systemy zarządzania ciągłością działania

Wymagania dla systemu zarządzania ciągłością działania: analiza wpływu na biznes, plany ciągłości i odtwarzania po awarii.

Kogo dotyczy: Organizacje budujące odporność operacyjną

Tekst urzędowy — ISO — katalog norm →

NIST Cybersecurity Framework — ramy zarządzania cyberbezpieczeństwem

Amerykańskie ramy zarządzania ryzykiem cyberbezpieczeństwa, szeroko stosowane także poza Stanami Zjednoczonymi jako uzupełnienie norm ISO. Dostępne bezpłatnie.

Kogo dotyczy: Organizacje budujące program cyberbezpieczeństwa

Tekst urzędowy — NIST →