Nowa ustawa o krajowym systemie cyberbezpieczeństwa. Co oznacza dla zakupów AI

Ustawa z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 roku. Wdraża dyrektywę NIS2 i znacznie poszerza krąg podmiotów, które mają obowiązki w zakresie cyberbezpieczeństwa

Terminy

Według Ministerstwa Cyfryzacji podmioty kluczowe i ważne mają złożyć wniosek o wpis do wykazu do 3 października 2026 roku. Środki techniczne i organizacyjne trzeba wdrożyć do 3 kwietnia 2027 roku. Podmiot kluczowy musi przeprowadzić pierwszy audyt do 3 kwietnia 2028 roku, a potem co najmniej raz na trzy lata. Za większość obowiązków kary administracyjne będzie można nakładać dopiero po 3 kwietnia 2028 roku. Za realizację zadań z zakresu cyberbezpieczeństwa odpowiada kierownik podmiotu

Dostawca AI w łańcuchu dostaw

Zarządzanie ryzykiem według ustawy obejmuje bezpieczeństwo łańcucha dostaw. Jeśli szpital albo przedsiębiorstwo wodociągowe korzysta z platformy AI w chmurze, ten dostawca staje się częścią jego ryzyka. Dostawca usług chmurowych albo usług zarządzanych może też sam być podmiotem objętym ustawą

Ustawa wprowadza ponadto procedurę uznania dostawcy za dostawcę wysokiego ryzyka. Decyzję wydaje minister właściwy do spraw informatyzacji po opinii Kolegium do Spraw Cyberbezpieczeństwa. Podmioty nie mogą wtedy wprowadzać do użytkowania wskazanych produktów, a te, które już mają, muszą co do zasady wycofać w ciągu siedmiu lat (art. 67b i 67c ustawy)

Co radzę

Najpierw ustalić, czy organizacja jest podmiotem kluczowym albo ważnym, i złożyć wniosek przed 3 października. Potem przejrzeć umowy z dostawcami AI pod kątem zgłaszania incydentów, miejsca przetwarzania danych, podwykonawców i prawa do audytu. Nowe umowy warto od razu pisać tak, żeby spełniały wymogi ustawy w kwietniu 2027 roku

Aleksandra Albera

Prawniczka specjalizująca się w prawie nowych technologii: AI Act, systemy zarządzania AI według ISO/IEC 42001, cyberbezpieczeństwo i ochrona danych. Audytor wiodący ISO/IEC 42001. Czuwa nad prawną stroną zamówień, umów i dokumentacji AI