Administracja publiczna w NIS2 — pełen zakres
Załącznik I NIS2 (sektor 10) wymienia „administrację publiczną rządu centralnego" oraz „administrację publiczną na poziomie regionalnym". Państwa członkowskie mogą rozszerzać zakres na poziom lokalny — i Polska to robi przez projekt nowelizacji KSC. Pełen polski zakres obejmuje:
- Administrację rządową centralną — ministerstwa, urzędy centralne, KPRM, ZUS, NFZ, KAS, GUS i inne.
- Administrację rządową w terenie — urzędy wojewódzkie, inspekcje (WIOŚ, WIBJ, WIIH, WSSE), administracja zespolona.
- JST — samorząd terytorialny — urzędy województw, starostwa powiatowe, urzędy gmin (miast, gmin wiejskich, miast na prawach powiatu).
- JFP — samorządowe jednostki budżetowe — szkoły, przedszkola, ośrodki kultury, miejskie zakłady komunalne, MOPS, MPK, MPWiK (które mogą równocześnie podlegać NIS2 jako sektor woda).
Próg wielkości — dla gmin specyficzny
W przypadku firm komercyjnych próg NIS2 to średnie przedsiębiorstwo (50 osób / 10 mln EUR — szczegóły w artykule Czy MŚP dotyczy NIS2). Dla JST kryteria są inne, ponieważ nie da się prosto przełożyć „liczby pracowników” na skalę operacji JST. Najczęściej pojawiające się propozycje progowe (na podstawie projektów nowelizacji KSC i praktyki europejskiej):
- Próg populacyjny — liczba mieszkańców obsługiwanych przez JST. Często wskazywane progi: 10 000, 20 000 albo 50 000 mieszkańców. Próg 10 000 pokryłby ok. 850 polskich gmin (z 2477), próg 50 000 — ok. 95 gmin.
- Próg budżetowy — suma dochodów własnych JST powyżej określonej kwoty (np. 50 mln zł rocznie).
- Próg funkcjonalny — JST prowadząca określone klasy usług krytycznych (jedyna komunikacja miejska, jedyne ujęcie wody, jedyny szpital powiatowy).
Dokładne brzmienie progu pozostaje przedmiotem prac legislacyjnych. Realnie — wszystkie miasta na prawach powiatu (66 polskich miast) i wszystkie województwa będą objęte; powiaty również niemal w pełni; gminy wiejskie poniżej progu mogą być wyłączone z mocy ustawy, ale wpisane z urzędu w przypadku roli krytycznej (Art. 2(2) NIS2).
Specyfika operacyjna JST
Gminy i inne JST różnią się od firm komercyjnych w trzech istotnych aspektach, które wpływają na ścieżkę wdrożenia NIS2:
1. Dziesięć środków Art. 21 — gminy zaczynają od niskiej bazy
Raporty NIK z lat 2022–2024 wskazują niskie poziomy dojrzałości cyberbezpieczeństwa w JST: brak SOC, brak SIEM, MFA tylko dla wybranych systemów, brak procedury obsługi incydentów, niesystematyczne testy odtwarzalne. Wdrożenie 10 środków z Art. 21 w gminie średniej wielkości to typowo projekt 9–15 miesięcy. Wystarczy przyrównać czas wdrożenia do daty wejścia w życie (3 kwietnia 2026 r.) — wnioskuje się, że rozpoczęcie później niż w drugim kwartale 2025 r. było już spóźnione.
2. CSIRT GOV (nie NASK) — inny tryb raportowania
Większość podmiotów komercyjnych raportuje do CSIRT NASK. Gminy — jako administracja publiczna — raportują do CSIRT GOV, krajowego zespołu reagowania prowadzonego przez Agencję Bezpieczeństwa Wewnętrznego (ABW). Procedura ta sama (kaskada 24h / 72h / 1 miesiąc), ale kanał inny — przez dedykowany portal CSIRT GOV, nie przez S46. Niektóre kategorie JST (np. gminy świadczące usługi wodne) mogą mieć obowiązek równoległego zgłoszenia do CSIRT NASK przez S46.
3. Zarząd JST — wójt/burmistrz/prezydent z osobistą odpowiedzialnością
W gminie wybranego organu zarządzającego nie ma — funkcję spełnia wójt, burmistrz lub prezydent miasta. To on odpowiada osobiście za wdrożenie NIS2 — w tym za regres z projektowanego Art. 12a polskiej ustawy o KSC. Rada gminy odpowiada za zatwierdzenie budżetu, ale za nieuchwalenie odpowiedniego budżetu cyber również może być adresatem konsekwencji. Sekretarz gminy najczęściej prowadzi operacyjnie. Pełna analiza odpowiedzialności — Art. 12a KSC i kary.
Plan działań dla gminy — ustawa już obowiązuje
Cztery działania, które gmina średniej wielkości powinna wykonać bez zwłoki — nowelizacja KSC obowiązuje od 3 kwietnia 2026 r.:
- Notatka klasyfikacyjna — wójt/burmistrz/ prezydent dokumentuje status gminy (Podmiot Kluczowy / Ważny / nieobjęty) na podstawie aktualnego stanu projektu nowelizacji KSC. Notatka z datą i podstawą prawną.
- Audyt zerowy — wstępna mapa luk między obecnym stanem zabezpieczeń a wymaganiami Art. 21. Czas: 5–10 dni roboczych. Wynik: lista 30–50 niezgodności z szacunkiem nakładu.
- Budżet cyber w uchwale budżetowej 2026 r. — środki na: SOC (własny albo MSSP), SIEM, MFA, procedury, szkolenia, ewentualnie vCISO zewnętrznego. Dla średniej gminy szacunek 0,5–2% budżetu rocznego.
- Procedura obsługi incydentów — minimum: kanał zgłoszenia 24/7, decyzja kto może uruchomić kaskadę raportowania do CSIRT GOV, kontakt do osoby kontaktowej cyber. Możliwe wsparcie w pierwszym roku przez umowę z lokalnym MSSP.
Najczęstsze błędne przekonanie wśród gmin. „Jesteśmy małym samorządem, NIS2 to dla państwa i dużych firm”. Praktyka pokazuje, że gminy są jednym z najczęstszych celów cyberataków w UE — zarówno ze względu na niski poziom zabezpieczeń, jak i wysoki koszt społeczny zakłócenia usług (brak dostępu do USC, brak płatności podatków, brak komunikacji miejskiej). Atak ransomware na gminę w Niemczech (Anhalt- Bitterfeld, 2021) sparaliżował usługi publiczne na 207 dni i kosztował 2,5 mln EUR. NIS2 jest właśnie odpowiedzią na ten typ ekspozycji.
Krótko
- JST są w sektorze „administracja publiczna” Załącznika I NIS2.
- Próg najczęściej populacyjny — orientacyjnie 10 000 mieszkańców; doprecyzowanie w rozporządzeniu.
- Małe gminy mogą być wpisane z urzędu (Art. 2(2)) jeżeli świadczą krytyczne usługi.
- Raportowanie do CSIRT GOV (nie NASK), kaskada 24h / 72h / 1 miesiąc bez zmian.
- Wójt/burmistrz/prezydent — osobiście odpowiedzialny za wdrożenie i regres z Art. 12a.
- Realne wdrożenie 10 środków Art. 21 to 9–15 miesięcy — rozpoczęcie dopiero po wejściu ustawy w życie (3 kwietnia 2026 r.) to nieuchronne spóźnienie.
Marka Cyber Alterity prowadzi bezpłatną 20-minutową konsultację gotowości JST do NIS2 — z perspektywą specyfiki sektora publicznego (CSIRT GOV, budżet, struktura organów zarządzających).