Szkoła w krajowym systemie cyberbezpieczeństwa. Co nowelizacja ustawy oznacza dla dyrektora?

E-dziennik, służbowa poczta, SIO, strona internetowa z sekretariatem „w chmurze" – placówka oświatowa od dawna działa cyfrowo. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, objęła szkoły i przedszkola publiczne obowiązkami, które dotąd kojarzyły się z bankami i elektrowniami: wpisem do państwowego wykazu, systemem zarządzania bezpieczeństwem informacji i zgłaszaniem poważnych incydentów w ciągu 72 godzin. Ten artykuł pokazuje, co konkretnie ma zrobić dyrektor, w jakiej kolejności i jak pogodzić nowe wymogi z realnymi możliwościami kadrowymi i finansowymi placówki.

List, który nie jest pomyłką Początek roku szkolnego, poniedziałek. W skrzynce do doręczeń elektronicznych szkoły podstawowej czeka pismo od Ministra Cyfryzacji. Jest to zawiadomienie o wpisaniu placówki z urzędu do wykazu podmiotów kluczowych i podmiotów ważnych wraz z wezwaniem do uzupełnienia danych – z linkiem, kodem dostępu i terminem sześciu miesięcy. Dyrektor czyta pismo dwukrotnie. Szkoła podstawowa w kilkunastotysięcznej gminie podmiotem ważnym krajowego systemu cyberbezpieczeństwa? Obok elektrowni, szpitali i operatorów telekomunikacyjnych? Pierwsza myśl: to pomyłka albo kolejna próba phishingu. Druga: może wystarczy nie odpowiadać i sprawa sama się zakończy. Obie myśli są błędne i obie mogą okazać się kosztowne. Pismo jest autentyczne, wpis już istnieje, a termin biegnie od dnia doręczenia. Zanim jednak przejdziemy do tego, jakie działania powinien podjąć dyrektor na skutek otrzymanego zawiadomienia, warto zrozumieć, skąd szkoła wzięła się w systemie zaprojektowanym z myślą o infrastrukturze krytycznej państwa. Szkoła w systemie cyberbezpieczeństwa? Punktem wyjścia jest dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dalej: dyrektywa NIS2). Prawodawca unijny wyszedł z założenia, że odporność cyfrowa państwa jest tak silna, jak jej najsłabsze ogniwo, a tym ogniwem coraz częściej okazują się podmioty publiczne, które przetwarzają ogromne ilości danych, dysponując jednocześnie skromnym zapleczem informatycznym. Do polskiego porządku prawnego dyrektywę wdrożyła ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. poz. 252; dalej: nowelizacja), która gruntownie przebudowała ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20 ze zm.; dalej: ustawa o KSC). Nowelizacja weszła w życie 3 kwietnia 2026 r. i właśnie realizowany jest harmonogram jej wdrażania. Szkoła publiczna i przedszkole publiczne prowadzone przez jednostkę samorządu terytorialnego działają w formie samorządowej jednostki...