# Wzór procedury zgłaszania incydentu poważnego (24 h i 72 h) według KSC

Ostatnia aktualizacja: 2026-10-17
Wersja HTML (kanoniczna): https://szbihub.pl/wiedza/wzor-procedury-zglaszania-incydentu/

---

Sam wzór procedury zgłaszania incydentu nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach [okresu próbnego](https://app.szbihub.pl/rejestracja).

## W skrócie

- Procedura zgłaszania incydentu mówi, kto w organizacji rozpoznaje incydent poważny, kto go zgłasza, czym i w jakim terminie.
- Obsługę incydentu i zgłaszanie incydentów poważnych przez system S46 ustawa nakłada na podmiot kluczowy i podmiot ważny (art. 11 ustawy o KSC).
- Terminy biegną od wykrycia incydentu poważnego: wczesne ostrzeżenie najpóźniej w 24 godziny, zgłoszenie najpóźniej w 72 godziny, sprawozdanie końcowe najpóźniej w miesiąc od zgłoszenia (art. 11 ust. 1 pkt 4, 4a i 4c).
- Wzór SZBIhub ma sekcje: cel i zakres, definicje i klasyfikacja, wykrywanie i zgłaszanie wewnętrzne, zgłaszanie incydentu poważnego (S46), informowanie użytkowników usług, zamknięcie incydentu i wnioski. Odrębności podmiotu publicznego pojawiają się tylko u podmiotu publicznego.

## Co procedura musi zawierać według ustawy

1. **Kanał zgłoszenia.** Incydent poważny zgłasza się przez system teleinformatyczny, o którym mowa w art. 46 ust. 1 ustawy o KSC (S46).
2. **Wczesne ostrzeżenie.** Niezwłocznie, nie później niż 24 godziny od wykrycia (art. 11 ust. 1 pkt 4). Zakres danych określa art. 12 ust. 1.
3. **Zgłoszenie.** Niezwłocznie, nie później niż 72 godziny od wykrycia (art. 11 ust. 1 pkt 4a). Zakres danych określa art. 12 ust. 3: wpływ na usługę, liczba użytkowników, zasięg geograficzny, wpływ na inne podmioty, przyczyny i przebieg, działania zapobiegawcze i naprawcze.
4. **Sprawozdanie końcowe.** Nie później niż miesiąc od zgłoszenia (art. 11 ust. 1 pkt 4c), z elementami z art. 12a. Gdy obsługa incydentu jeszcze trwa, przekazuje się sprawozdanie z postępu, a sprawozdanie końcowe nie później niż miesiąc od zakończenia obsługi (art. 12b).
5. **Informowanie użytkowników.** Podmiot informuje użytkowników swoich usług o poważnych cyberzagrożeniach i o incydentach poważnych mających niekorzystny wpływ na usługi (art. 11 ust. 2a-2b).
6. **Wyjątek podmiotu publicznego.** Podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia ani sprawozdań (art. 12c). Obowiązek zgłoszenia w 72 godziny pozostaje.

Czym jest incydent poważny i jak wygląda obsługa incydentu od pierwszego sygnału, opisuje artykuł [Zarządzanie incydentami](/wiedza/zarzadzanie-incydentami/). Wpis do wykazu i system S46 opisuje artykuł [Rejestracja w wykazie](/wiedza/rejestracja-w-wykazie/).

## Fragment wzoru

Poniżej dosłowny fragment sekcji „Zgłaszanie incydentu poważnego (S46)” z wzoru procedury SZBIhub: tabela terminów i zakresu danych. Ten fragment nie ma pól do wypełnienia.

> Terminy liczone są **od chwili wykrycia** incydentu poważnego:
>
> | Krok | Termin | Podstawa | Zakres danych |
> |---|---|---|---|
> | Wczesne ostrzeżenie | niezwłocznie, nie później niż **24 godziny** od wykrycia | art. 11 ust. 1 pkt 4 | art. 12 ust. 1: dane podmiotu; osoba zgłaszająca; osoba do wyjaśnień; moment wystąpienia i wykrycia oraz czas trwania; czy zdarzenie mogło wynikać z działania bezprawnego lub w złej wierze (jeżeli ocena możliwa); czy dotyczy innych państw UE. Można dołączyć wniosek o wytyczne lub wsparcie techniczne (art. 12 ust. 2; CSIRT odpowiada w 24 godziny) |
> | Zgłoszenie | niezwłocznie, nie później niż **72 godziny** od wykrycia | art. 11 ust. 1 pkt 4a | art. 12 ust. 3: wpływ na usługę (która usługa, liczba użytkowników, zasięg geograficzny, wpływ na inne podmioty), przyczyny i przebieg, działania zapobiegawcze i naprawcze; dane znane w chwili zgłoszenia uzupełnia się w trakcie obsługi (art. 12 ust. 5) |
> | Sprawozdanie okresowe | na wniosek właściwego CSIRT | art. 11 ust. 1 pkt 4b | zakres wskazany we wniosku CSIRT |
> | Sprawozdanie końcowe | nie później niż **miesiąc od zgłoszenia** | art. 11 ust. 1 pkt 4c | art. 12a: szczegółowy opis incydentu wraz z zakłóceniami i szkodami; rodzaj zagrożenia lub przyczyna; zastosowane i wdrażane środki ograniczające ryzyko; skutki transgraniczne |
>
> Jeżeli obsługa incydentu w chwili upływu terminu sprawozdania końcowego
> jeszcze trwa, organizacja przekazuje sprawozdanie z postępu, a sprawozdanie
> końcowe - nie później niż miesiąc od zakończenia obsługi (art. 12b ustawy
> o KSC).

## Jak dopasować wzór do firmy

1. **Nazwij osobę zgłaszającą i zastępcę.** Wczesne ostrzeżenie zawiera dane osoby zgłaszającej i osoby do wyjaśnień. Ustal je przed incydentem, nie w jego trakcie.
2. **Sprawdź dostęp do S46.** Zgłoszenie idzie przez system S46. Sprawdź, kto w organizacji ma do niego dostęp i czy ten dostęp działa.
3. **Ustal, kto mierzy czas.** Terminy liczy się od chwili wykrycia. Procedura powinna mówić, kto zapisuje moment wykrycia i gdzie.
4. **Sprawdź, czy jesteś podmiotem publicznym.** Wyjątek z art. 12c zmienia zakres obowiązków. Wzór dodaje odrębną sekcję tylko wtedy, gdy organizacja jest podmiotem publicznym.
5. **Wygeneruj dokument na danych organizacji.** Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.