praca

zgłaszanie incydentów

Dla zarządu i właściciela IT: jedno zdarzenie może uruchomić trzy terminy naraz, każdy wobec innego organu. Godziny łatwo zapamiętać. Trudne jest to, że ktoś musi mieć prawo powiedzieć, że to się liczy, zanim śledztwo się skończy.

NIS2 / DORA / RODO / AI Actostatnio sprawdzone 2 listopada 2026

co to znaczy w praktyce

Możesz zgłaszać, zanim poznasz całość. Wczesne ostrzeżenie NIS2 musi tylko powiedzieć, czy incydent wygląda na złośliwy i czy może mieć skutki transgraniczne, zgłoszenie RODO może przychodzić etapami, a samo zgłoszenie nie zwiększa Twojej odpowiedzialności na gruncie NIS2. Bezpieczna reguła domyślna brzmi więc: zgłaszaj wcześnie i poprawiaj później.

jedno zdarzenie, trzy terminy

4 godziny24 godziny72 godziny1 miesiąc

NIS2

wczesne ostrzeżenie, od uzyskania wiedzy o incydencie poważnym

zgłoszenie incydentu z pierwszą oceną

sprawozdanie końcowe, miesiąc po zgłoszeniu

DORA

zgłoszenie początkowe, 4 godziny po zaklasyfikowaniu jako poważny

to samo zgłoszenie, najpóźniej 24 godziny po uzyskaniu wiedzy

sprawozdanie okresowe, 72 godziny po początkowym

sprawozdanie końcowe, miesiąc po ostatnim okresowym

RODO

powiadom organ, jeśli to wykonalne, chyba że naruszenie raczej nie powoduje ryzyka dla osób

Terminy zaczynają biec w różnych momentach i prowadzą do różnych organów. RODO wymaga też, by bez zbędnej zwłoki powiadomić osoby, których dane dotyczą, gdy ryzyko dla nich jest wysokie. W Polsce godziny NIS2 liczy się od wykrycia incydentu.

podstawa NIS2 art. 23(4); RTS 2025/301 art. 5(1); RODO art. 33(1), 34(1); KSC art. 11

podstawa NIS2 art. 23(1), 23(4); RODO art. 33(4); RTS 2025/301 art. 5(1)

co zdecydować

Kto może uznać zdarzenie za incydent, o dowolnej porze, bez pytania kogokolwiek?zarząd, na wniosek IT
Kto zgłasza do którego organu i kim są zastępcy?wskazany właściciel
Co oznacza dla Ciebie poważny incydent, w liczbach pasujących do Twojej firmy?zarząd
Kto może rozmawiać z klientami i pracownikami?prezes zarządu
Kto zgłasza do właściwego CSIRT i organu w Polsce, i czy termin KSC liczy się od wykrycia incydentu?wskazany właściciel, z prawnikiem

podstawa NIS2 art. 21(2)(b), 23(1), 23(3); RODO art. 34(1); KSC art. 11. Właściciele to praktyka.

kto co robi w pierwszej dobie

zarządkierujący incydentemITprawnik lub IODkomunikacja

uznać zdarzenie za incydentjest informowanydecydujewykonujedoradza

opanować i przywrócić działanieodpowiadawykonuje

zdecydować, co podlega zgłoszeniujest informowanydecydujewykonujedoradza

złożyć zgłoszeniajest informowanyodpowiadawykonujesprawdza

powiadomić klientów i pracownikówdecydujedoradzadoradzawykonuje

Wskaż zastępcę dla każdej kolumny. Sprawdź tę tabelę na scenariuszu sobotniej nocy.

podstawa praktyka

co zbudować

Napisz jedną stronę: kto decyduje, kto dzwoni do prawnika, kto składa które zgłoszenie, z zastępcą dla każdego.
Przygotuj arkusz kontaktów dla każdego organu, z portalem lub adresem. Zaloguj się raz w tym tygodniu, kiedy nic się nie pali.
Spisz własny test istotności. Tam, gdzie istnieje próg krajowy lub sektorowy, ma on pierwszeństwo.
Załóż dziś rejestr naruszeń, nawet jeśli jest pusty. Zapisuj zdarzenia, które uznajesz za niepodlegające zgłoszeniu, wraz z powodem.
Przeprowadź 60-minutowe ćwiczenie na stole według tej strony. Weź skradziony laptop i naruszenie u dostawcy i zapisz pytania, na które nie było odpowiedzi.

podstawa NIS2 art. 21(2)(b); RODO art. 33(5); IR 2024/2690 załącznik 3.1 jako punkt odniesienia

które terminy uruchomiło to zdarzenie?

Czy spowodowało lub mogło spowodować poważne zakłócenia albo straty finansowe, albo znaczną szkodę u innych?
tak lub nie
takPoważny według NIS2: 24 godziny, 72 godziny, miesiąc.
Czy jesteś instytucją finansową i czy to poważny incydent związany z ICT?
tak lub nie
takDORA: 4 godziny od zaklasyfikowania, najpóźniej 24 godziny od uzyskania wiedzy.
Czy chodzi o dane osobowe, z ryzykiem dla osób, które nie jest nieprawdopodobne?
tak lub nie
takRODO: organ w ciągu 72 godzin, jeśli to wykonalne.
Czy ryzyko dla tych osób jest wysokie?
tak lub nie
takRODO: powiadom je bez zbędnej zwłoki.
Zapisz zdarzenie, nawet jeśli każda odpowiedź brzmiała nie.

podstawa NIS2 art. 23(3), 23(4); RTS 2025/301 art. 5(1); RODO art. 33(1), 33(5), 34(1). Zapisywanie zdarzeń niebędących naruszeniem to praktyka.

dowody, które zostają

co możesz pokazać	kto jest właścicielem	odświeżanie
procedura incydentowa ze wskazanymi rolami	szef IT	co roku i po każdym incydencie
arkusz kontaktów dla każdego organu	szef IT	dwa razy w roku
pisemne kryteria istotności	zarząd	co roku
rejestr incydentów i naruszeń	szef IT i IOD	przy każdym zdarzeniu
złożone zgłoszenia ze znacznikami czasu	szef IT i prawnik	przy każdym zgłoszeniu
zapis ćwiczenia: data, scenariusz, uczestnicy, luki	szef IT	co roku

podstawa RODO art. 33(5); IR 2024/2690 załącznik 3.1. Częstotliwości odświeżania to praktyka.

gdzie to się psuje

czekanie na pełny obraz

Wczesne zgłoszenia mogą być niekompletne. Firma zapłaciła 475 000 euro kary za zgłoszenie po 22 dniach.

nikt nie może zdecydować

Osoba, która widzi problem, nie ma uprawnień, by go nazwać, a osoba z uprawnieniami jest w samolocie.

incydent dostawcy

Twój termin może zacząć biec od ich powiadomienia, które dotrze tylko wtedy, gdy wymaga tego Twoja umowa. Ryzyko dostawców.

naprawa i zamknięcie sprawy

Zgłoszenie można ukarać za to, czego w nim zabrakło, a rejestr naruszeń za to, czego nie udokumentowano.

termin liczony od złego momentu

W Polsce KSC liczy 24 godziny i 72 godziny od wykrycia poważnego incydentu. Jeśli liczysz od chwili, gdy skończyła się analiza, zgłaszasz za późno.

podstawa RODO art. 33(1), 33(3), 33(5); KSC art. 11; reszta to praktyka

co przepisy zostawiają otwarte

Kiedy dokładnie dowiedziałeś się o zdarzeniu. EROD uznaje, że chodzi o rozsądny stopień pewności, że naruszenie nastąpiło. NIS2 używa tego samego pojęcia bez definicji.
Polska liczy od wykrycia incydentu. Inne akty krajowe mogą się różnić, więc przeczytaj swój.
NIS2 nie wyznacza liczbowego testu dla większości sektorów. Twój organ może go opublikować. Wymienieni dostawcy usług cyfrowych mają już liczby, na przykład bezpośrednią stratę powyżej 500 000 euro lub 5% obrotu.
Czy jedno zgłoszenie może służyć dwóm przepisom. Zakładaj, że nie, dopóki organ nie powie inaczej. Jeden punkt wejścia jest zaproponowany i nie jest prawem.

podstawa NIS2 art. 23(4); KSC art. 11; wytyczne EROD 9/2022

sprawdź sam

co mówi każdy tekst, dla osoby sprawdzającej tę stronę

tekst	mówi
NIS2 art. 23(4)	Wczesne ostrzeżenie w ciągu 24 godzin od stwierdzenia poważnego incydentu. Zgłoszenie w ciągu 72 godzin. Sprawozdanie końcowe w ciągu miesiąca od zgłoszenia.
NIS2 art. 23(3)	Poważny oznacza poważne zakłócenie działania lub stratę finansową albo znaczną szkodę dla innych, spowodowane lub możliwe.
IR 2024/2690 art. 3(1)	Wymienieni dostawcy usług cyfrowych: testy liczbowe, na przykład bezpośrednia strata powyżej 500 000 euro lub 5% obrotu, w zależności od tego, która kwota jest niższa.
DORA art. 19(1)	Zgłaszaj poważne incydenty związane z ICT do właściwego organu, w trzech etapach.
RTS 2025/301 art. 5(1)	Zgłoszenie początkowe w ciągu 4 godzin od zaklasyfikowania jako poważnego, najpóźniej 24 godziny po stwierdzeniu. Raport okresowy w ciągu 72 godzin. Raport końcowy w ciągu miesiąca.
RODO art. 33(1)	Zawiadom organ w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem. Przy późniejszym zgłoszeniu podaj powody.
RODO art. 33(4)	Informacje mogą być przekazywane etapami.
RODO art. 34(1)	Zawiadom osoby, których dane dotyczą, bez zbędnej zwłoki, gdy ryzyko dla nich jest wysokie.
RODO art. 33(5)	Dokumentuj każde naruszenie ochrony danych osobowych, aby organ mógł sprawdzić zgodność.
AI Act art. 26(5)	Podmioty stosujące system AI wysokiego ryzyka zgłaszają poważne incydenty dostawcy i organowi, od 2 grudnia 2027 r.
KSC art. 11	Polska: wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin od wykrycia poważnego incydentu, sprawozdanie końcowe w ciągu miesiąca.

twój następny krok

Otwórz pustą stronę i zapisz trzy terminy, które Cię dotyczą, z nazwiskiem osoby, która składa każdy z nich.

zobacz, które inne przepisy to obejmuje