Ustawa mówi, kto w Polsce reaguje na cyberataki i jakie obowiązki mają firmy oraz urzędy, od których zależy działanie państwa. Incydenty obsługują trzy zespoły CSIRT: przy ABW, NASK i MON.1
System
Ustawa wdrożyła dyrektywę NIS. Incydenty obsługują trzy CSIRT-y: GOV (prowadzi ABW), NASK (zob. CERT Polska) i MON. Obowiązki nałożono na operatorów usług kluczowych – m.in. banki, energetykę, transport i szpitale – oraz dostawców usług cyfrowych; politykę koordynuje Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa.1
Nowelizacja wdrażająca NIS2 zastąpiła ten podział podmiotami kluczowymi (10 sektorów) i ważnymi (9 sektorów); może objąć ok. 38 tys. podmiotów, w tym ok. 27 tys. publicznych, z 12-miesięcznym okresem dostosowawczym. Wpis do wykazu KSC ruszył w kwietniu 2026 roku.2