Prawo i normy cyberbezpieczeństwa

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa

Tworzy krajowy system cyberbezpieczeństwa: katalog objętych nim podmiotów, zespoły CSIRT, obowiązki zarządzania ryzykiem i zgłaszania incydentów. Pierwotnie wdrażała dyrektywę NIS. Od 3 kwietnia 2026 r. obowiązuje w brzmieniu nadanym nowelizacją wdrażającą NIS2 — czytaj ją razem z ustawą zmieniającą opisaną w osobnym wpisie.

Kogo dotyczy: Operatorzy usług kluczowych, dostawcy usług cyfrowych, podmioty publiczne

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych →

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw

Wdraża dyrektywę NIS2 do prawa polskiego. Zastępuje dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych kategoriami podmiotów kluczowych i podmiotów ważnych, rozszerza katalog objętych sektorów — między innymi o usługi ICT, chmurę, centra danych, usługi zaufania, pocztę, ścieki, przestrzeń kosmiczną oraz produkcję chemikaliów i żywności — i przenosi zgłaszanie incydentów do systemu S46. Wprowadza też odpowiedzialność kierownictwa za realizację zadań z zakresu cyberbezpieczeństwa. Weszła w życie 3 kwietnia 2026 r. Podmioty spełniające kryteria mają obowiązek złożyć wniosek o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych do 3 października 2026 r.; samorejestracja działa od 7 maja 2026 r., a wpis otwiera dostęp do platformy S46.

Kogo dotyczy: Podmioty kluczowe i podmioty ważne w sektorach wskazanych w ustawie, w tym dostawcy usług ICT, chmurowych i centrów danych

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych (Dz.U. 2026 poz. 252) →

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

Uzupełnia stosowanie RODO w polskim porządku prawnym: ustrój i kompetencje Prezesa Urzędu Ochrony Danych Osobowych, postępowanie kontrolne oraz odpowiedzialność.

Kogo dotyczy: Administratorzy i podmioty przetwarzające dane osobowe w Polsce

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych →

Ustawa z dnia 29 sierpnia 1997 r. — Prawo bankowe

Podstawowa ustawa regulująca działalność banków: tajemnica bankowa, wymogi organizacyjne, outsourcing czynności bankowych i nadzór Komisji Nadzoru Finansowego. Ustawa była wielokrotnie nowelizowana — odnośnik prowadzi do najnowszego tekstu jednolitego (Dz.U. z 2026 r. poz. 38), a nie do ogłoszenia z 1997 r., bo tylko tekst jednolity oddaje brzmienie obowiązujące.

Kogo dotyczy: Banki i instytucje kredytowe działające w Polsce

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych (tekst jednolity Dz.U. 2026 poz. 38) →

Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych

Reguluje świadczenie usług płatniczych w Polsce; stanowi krajowe ramy dla wymogów wynikających z dyrektywy PSD2, w tym silnego uwierzytelniania klienta i bezpieczeństwa interfejsów dostępu do rachunku. Odnośnik prowadzi do najnowszego tekstu jednolitego (Dz.U. z 2026 r. poz. 623).

Kogo dotyczy: Dostawcy usług płatniczych, banki, instytucje płatnicze

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych (tekst jednolity Dz.U. 2026 poz. 623) →

Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach

Wytyczne nadzorcze opisujące oczekiwania wobec banków w zakresie zarządzania obszarem IT i bezpieczeństwa środowiska teleinformatycznego: strategia, organizacja, obsługa incydentów, współpraca z dostawcami zewnętrznymi i rola audytu. Nie obowiązuje: uchwała nr 6/2025 Komisji Nadzoru Finansowego z dnia 10 stycznia 2025 r. uchyliła uchwałę nr 7/2013 wydającą tę rekomendację ze skutkiem od 17 stycznia 2025 r., czyli od dnia rozpoczęcia stosowania rozporządzenia DORA. Powodem było pokrywanie się zakresu przedmiotowego z obowiązkami wynikającymi z DORA i aktów wykonawczych do niego. Tego samego dnia uchylono odpowiedniki dla innych sektorów i odwołano „Komunikat chmurowy” z 23 stycznia 2020 r. Wpis zostaje w rejestrze, bo dokumentacja bankowa sprzed 2025 r. i starsze opinie wciąż powołują się na Rekomendację D — dziś odpowiednikiem tych wymogów jest DORA.

Kogo dotyczy: Banki nadzorowane przez Komisję Nadzoru Finansowego — do 16 stycznia 2025 r.

Tekst urzędowy — Dziennik Urzędowy KNF (uchwała nr 6/2025, Dz. Urz. KNF z 2025 r. poz. 1) → Tekst uchylonej Rekomendacji D — Komisja Nadzoru Finansowego →

Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach

Wytyczne nadzorcze dotyczące zarządzania ryzykiem operacyjnym, w którym mieszczą się awarie systemów teleinformatycznych, błędy ludzkie i zdarzenia zewnętrzne: identyfikacja i pomiar ryzyka, gromadzenie danych o stratach, plany ciągłości działania i zarządzanie ryzykiem outsourcingu. Jest miękkim prawem nadzorczym, a nie ustawą. W odróżnieniu od Rekomendacji D pozostaje w mocy — uchylenie z 17 stycznia 2025 r. objęło wytyczne o zakresie pokrywającym się z rozporządzeniem DORA, a nie zarządzanie ryzykiem operacyjnym jako całość.

Kogo dotyczy: Banki nadzorowane przez Komisję Nadzoru Finansowego

Tekst urzędowy — Komisja Nadzoru Finansowego (uchwała nr 8/2013) → Wykaz rekomendacji dla banków — KNF →

Ustawa z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej

Reguluje rynek komunikacji elektronicznej w Polsce, w tym obowiązki przedsiębiorców telekomunikacyjnych dotyczące bezpieczeństwa sieci i usług oraz tajemnicy komunikacji.

Kogo dotyczy: Przedsiębiorcy telekomunikacyjni i dostawcy usług komunikacji elektronicznej

Tekst urzędowy — ISAP — Internetowy System Aktów Prawnych →