Jeden cyberincydent — trzy zgłoszenia. Jak ogarnąć obowiązki RODO, NIS2 i DORA jednocześnie?

Wyobraź sobie, że w piątek wieczorem Twój system IT przestaje działać. Dział IT potwierdza: ransomware, dane klientów prawdopodobnie wyciekły. W tym momencie uruchamiają się trzy zegary naraz — bo naruszenie danych osobowych z RODO, incydent cyberbezpieczeństwa z NIS2 i zdarzenie ICT z DORA mogą dotyczyć tego samego ataku, jednocześnie, z różnymi terminami i adresatami. To właśnie dlatego temat naruszenia danych w kontekście RODO, NIS2 i DORA jest dziś jednym z najtrudniejszych praktycznie obszarów compliance dla firm.

W tym artykule wyjaśniam: która regulacja Cię dotyczy, gdzie i kiedy musisz zgłosić incydent, co zrobić w ciągu pierwszych 72 godzin i jak nie wpaść w pułapkę, w której składasz za mało zgłoszeń — albo za dużo.

Trzy regulacje, trzy różne logiki — podstawy, które musisz znać

Zanim przejdziemy do zegarów i formularzy, jedno zdanie o tym, dlaczego te regulacje w ogóle istnieją równolegle — bo każda chroni coś innego.

RODO chroni dane osobowe konkretnych ludzi. Interesuje je pytanie: czy wyciekły informacje o identyfikowalnych osobach? Jeśli tak — uruchamia się obowiązek zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych (UODO) i ewentualnie powiadomienia samych osób.

NIS2 — w Polsce od 3 kwietnia 2026 roku wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC) — chroni ciągłość działania usług i infrastruktury w kluczowych sektorach gospodarki. Nie interesuje jej, czyje dane wyciekły, lecz to, czy usługa przestała działać lub czy zagrożone zostało bezpieczeństwo sieci.

DORA (stosowane od 17 stycznia 2025 roku) to regulacja wyłącznie dla sektora finansowego. Jej celem jest odporność operacyjna banków, ubezpieczycieli, instytucji płatniczych, firm inwestycyjnych i innych podmiotów z rynku finansowego. Chroni stabilność całego ekosystemu finansowego przed skutkami awarii ICT.

Jeden atak może uruchomić jedną, dwie albo wszystkie trzy ścieżki — w zależności od tego, czym zajmuje się Twoja firma i co dokładnie się wydarzyło.

Kogo dotyczy każda z regulacji?

To pierwsze pytanie, które musisz rozstrzygnąć zanim dojdzie do incydentu. Nie w trakcie kryzysu.

RODO dotyczy każdego administratora danych osobowych — czyli praktycznie każdej firmy, która ma pracowników, klientów lub kontrahentów. Nie ma progu wielkości ani sektora. Jeśli przetwarzasz dane osobowe i doszło do naruszenia ich bezpieczeństwa, art. 33 RODO uruchamia się automatycznie.

NIS2 / ustawa o KSC dotyczy podmiotów kluczowych i ważnych w sektorach takich jak: energia, transport, bankowość, infrastruktura cyfrowa, zdrowie, gospodarka wodno-ściekowa, żywność, produkcja krytyczna i kilku innych. Co do zasady obejmuje firmy powyżej 50 pracowników lub 10 mln EUR obrotu (podmiot ważny) oraz powyżej 250 pracowników lub 50 mln EUR obrotu (podmiot kluczowy). Jeśli spełniasz te kryteria, do 3 października 2026 roku masz obowiązek dokonać wpisu do wykazu podmiotów kluczowych i ważnych.

DORA dotyczy m.in. banków, zakładów ubezpieczeń, towarzystw funduszy inwestycyjnych, instytucji płatniczych, dostawców usług kryptoaktywów (CASP), domów maklerskich i zewnętrznych dostawców usług ICT na rzecz tych podmiotów. Jeśli obsługujesz informatycznie firmy z sektora finansowego — DORA może dotyczyć Cię pośrednio, przez wymagania Twoich klientów.

Zegary: kiedy i gdzie zgłaszasz

Tu zaczyna się właściwa komplikacja. Każda regulacja ma inny punkt startowy zegara i innego adresata.

RODO — 72 godziny od wykrycia naruszenia → UODO

Zgodnie z art. 33 RODO, jeśli doszło do naruszenia ochrony danych osobowych i istnieje ryzyko naruszenia praw i wolności osób, administrator ma 72 godziny od momentu stwierdzenia naruszenia na zgłoszenie do Prezesa UODO. Zegar nie startuje od momentu ataku, lecz od chwili, w której Twoja firma dowiedziała się o naruszeniu w stopniu umożliwiającym ocenę sytuacji.

Jeśli ryzyko dla osób jest wysokie, dochodzi obowiązek z art. 34 RODO — powiadomienie samych osób, których dane dotyczą, bez zbędnej zwłoki. Forma: jasna, zrozumiała, z opisem zdarzenia i zaleceniami dla poszkodowanych. W przypadku ataków ransomware z eksfiltracją danych klientów, ten obowiązek uruchamia się bardzo często.

Rola IOD jest tu kluczowa: to Inspektor Ochrony Danych powinien koordynować ocenę, czy naruszenie spełnia próg zgłoszenia, i nadzorować procedurę notyfikacji. Jeśli nie masz wdrożonego IOD, obowiązki te spoczywają bezpośrednio na kierownictwie firmy. Więcej o roli IOD przy incydentach bezpieczeństwa przeczytasz w artykule o wdrożeniu RODO w firmie.

NIS2 / KSC — trzystopniowa kaskada od wykrycia incydentu → CSIRT

Ustawa o KSC (obowiązująca od 3 kwietnia 2026) ustala trzy obowiązkowe etapy zgłoszenia poważnego incydentu dla podmiotów kluczowych i ważnych:

24 godziny od wykrycia — wczesne ostrzeżenie do właściwego CSIRT (CSIRT NASK, CSIRT GOV lub CSIRT MON, w zależności od sektora). Na tym etapie wystarczy krótka informacja sygnalizująca zdarzenie, ze wstępną oceną czy incydent mógł być działaniem celowym i czy ma wymiar transgraniczny.

72 godziny od wykrycia — pełne zgłoszenie incydentu: opis wpływu na usługę, przyczyny, przebieg, prawdopodobne skutki, podjęte działania. Zegar liczy się od wykrycia — nie od chwili, gdy IT ma pełny obraz sytuacji.

1 miesiąc od zgłoszenia 72-godzinnego — sprawozdanie końcowe z analizą przyczyn, działań naprawczych i wyciągniętych wniosków.

Ważne: dla dostawców usług zaufania (kwalifikowanych i niekwalifikowanych) termin pełnego zgłoszenia jest skrócony do 24 godzin.

DORA — trzyetapowy raport, ale zegar startuje od klasyfikacji → KNF

DORA ma najbardziej skomplikowany mechanizm spośród trzech regulacji. Kluczowa jest tu klasyfikacja incydentu jako poważny — bo zegar nie startuje od wykrycia, lecz od momentu, w którym podmiot zakwalifikował zdarzenie jako poważny incydent ICT.

Etap 1 — wstępne powiadomienie składane tak szybko jak to możliwe, ale nie później niż 4 godziny od klasyfikacji jako poważny i nie później niż 24 godziny od wykrycia. Adresat: KNF, przez system SOID dostępny na csirt.knf.gov.pl.

Etap 2 — sprawozdanie śródokresowe w ciągu 72 godzin od złożenia powiadomienia wstępnego (nie od wykrycia — to inna logika niż w NIS2). Zawiera wstępną diagnozę techniczną, szacunkowe straty operacyjne i wskaźniki kompromitacji.

Etap 3 — sprawozdanie końcowe w ciągu 1 miesiąca od ostatniego sprawozdania śródokresowego. Pełny post-mortem z analizą przyczyn systemowych.

Ważna reguła dla sektora bankowego: dla banków i podmiotów infrastruktury rynków finansowych ścieżka KSC/NIS2 jest wyłączona przez art. 8i ust. 1 KSC — działa wyłącznie DORA. Dla instytucji płatniczych, AISP, EMI i CASP możliwe są obie ścieżki równolegle.

Praktyczny scenariusz: atak ransomware w piątek wieczorem

Masz firmę z sektora logistyki, zatrudniasz 80 osób, obsługujesz klientów instytucjonalnych. Jesteś podmiotem ważnym w rozumieniu KSC. Twoje systemy przechowują dane klientów i pracowników.

Piątek, 20:00 — IT wykrywa ransomware. Szyfrowanie danych potwierdzone. Prawdopodobna eksfiltracja danych klientów.

Do soboty, 20:00 (24h) — wczesne ostrzeżenie do CSIRT NASK. Nie musisz mieć pełnej analizy. Wystarczy: co się stało, w jakim sektorze działasz, czy atak był celowy, czy ma wymiar transgraniczny.

Przez całą sobotę — IOD lub osoba odpowiedzialna za RODO ocenia: jakie dane osobowe zostały naruszone, ile osób dotyczy, jaka jest skala ryzyka. Jeśli ryzyko naruszenia praw istnieje — do niedzieli 20:00 (72h od wykrycia) musisz złożyć zgłoszenie do UODO przez portal uodo.gov.pl.

Do poniedziałku, 20:00 (72h od wykrycia) — pełne zgłoszenie incydentu do CSIRT NASK: przyczyny, przebieg, skutki, działania naprawcze.

Jeśli ryzyko dla osób jest wysokie (np. wyciekły numery PESEL, dane medyczne lub finansowe) — powiadomienie poszkodowanych bez zbędnej zwłoki, niezależnie od 72-godzinnego terminu do UODO.

W ciągu miesiąca — raport końcowy do CSIRT i ewentualnie uzupełniające działania wobec UODO.

Co naprawdę łączy te trzy regulacje?

Więcej niż się wydaje. Trzy regulacje mają wspólny mianownik: każda wymaga procedur gotowych zanim coś się wydarzy. Nie można ich wdrożyć w trakcie kryzysu.

Konkretnie, każda wymaga, żebyś miał: (1) kogoś wyznaczonego do komunikacji z organem regulacyjnym, (2) procedurę klasyfikacji zdarzenia — czy to „poważny incydent", (3) udokumentowaną ścieżkę wewnętrznej eskalacji. Bez tych trzech elementów każdy incydent zamienia się w chaos.

Jest też jedna ważna zasada z art. 76c ust. 1 znowelizowanej ustawy o KSC: jeżeli za czyn zagrożony karą z KSC nałożono prawomocnie karę przez Prezesa UODO, organ KSC nie wszczyna postępowania, poprzestając na pouczeniu. To tzw. tarcza anty-RODO, która działa wyłącznie w jednym kierunku — RODO ukarze pierwsze, KSC poprzestaje na pouczeniu. Mechanizm nie działa odwrotnie.

I jeszcze jedna rzecz, którą warto znać przed incydentem: ocena skutków dla ochrony danych (DPIA) wykonana wcześniej dla procesów przetwarzania danych znacząco skraca czas reakcji przy naruszeniu — bo masz już gotowy inwentarz danych, który jest pierwszym pytaniem każdego organu regulacyjnego.

Kary — żeby wiedzieć, co grozi

RODO: do 10 mln EUR lub 2% rocznego obrotu za naruszenie obowiązków technicznych i organizacyjnych (art. 83 ust. 4); do 20 mln EUR lub 4% za naruszenie podstawowych zasad przetwarzania. Niezgłoszenie naruszenia w terminie 72h to naruszenie art. 33 — i podlega karze z art. 83 ust. 4 RODO (do 10 mln EUR lub 2% obrotu).

NIS2 / KSC: do 10 mln EUR lub 2% obrotu dla podmiotów kluczowych; do 7 mln EUR lub 1,4% obrotu dla podmiotów ważnych. Polska implementacja wprowadza dodatkowo osobistą odpowiedzialność kierownika podmiotu — do równowartości 300% jego miesięcznego wynagrodzenia za zaniedbanie obowiązków cyberbezpieczeństwa. Odpowiedzialności nie można scedować na inną osobę.

DORA: kary nakłada KNF — sankcje są analogiczne do kar za naruszenie innych regulacji sektora finansowego i mogą dotyczyć zarówno instytucji, jak i osób pełniących funkcje kierownicze.

Jeśli chcesz zobaczyć, jak wyglądają realne postępowania UODO i jakie kwoty kar pojawiają się w Polsce, sprawdź nasz przegląd kar RODO w polskich postępowaniach.

FAQ

Moja firma nie jest bankiem ani operatorem krytycznym — czy RODO wystarczy?

Jeśli nie należysz do sektorów wymienionych w ustawie o KSC i nie jesteś podmiotem finansowym, RODO jest Twoim głównym obowiązkiem przy naruszeniu danych. Ale warto to sprawdzić — lista sektorów NIS2 jest szersza niż większość firm podejrzewa. Obejmuje m.in. część firm produkcyjnych, dostawców usług cyfrowych i firmy z sektora żywności powyżej progu wielkości. Jeśli nie masz pewności, to właśnie jest pytanie do prawnika, nie do działu IT.

Od kiedy liczymy 72 godziny w RODO — od ataku czy od wykrycia?

Od chwili, w której administrator stwierdził naruszenie — czyli uzyskał informację umożliwiającą wstępną ocenę sytuacji. Nie od chwili ataku i nie od momentu, gdy masz pełną analizę forensyczną. W praktyce oznacza to, że gdy dział IT potwierdza Ci, że doszło do wycieku danych osobowych, zegar zaczyna biec dla kadry zarządzającej. Dlatego wewnętrzne procedury eskalacji — kto informuje kogo i kiedy — są kluczowe. Rola IOD zaczyna się właśnie w tym momencie.

Czy jedno zgłoszenie do UODO wystarczy, żeby spełnić też obowiązek z NIS2?

Nie. To dwa odrębne obowiązki z dwóch odrębnych aktów prawnych, z różnymi adresatami i różnym zakresem informacji. UODO (RODO) pyta o dane osobowe i ryzyko dla osób fizycznych. CSIRT (NIS2/KSC) pyta o usługi, sieci i infrastrukturę. Samo zgłoszenie do jednego organu nie zwalnia z obowiązku wobec drugiego. Dyrektywa NIS2 wprost przewiduje, że jej przepisy stosuje się równolegle z RODO — oba obowiązki działają niezależnie od siebie.

Mam IOD — czy on powinien koordynować zgłoszenia ze wszystkich trzech regulacji?

IOD jest formalnie odpowiedzialny za obowiązki z RODO — to on koordynuje ocenę naruszenia i przygotowanie zgłoszenia do UODO. Ale nie ma formalnych uprawnień nadzorczych nad KSC ani DORA. W praktyce najlepiej działa model, w którym IOD koordynuje zgłoszenie RODO, a jednocześnie jest włączony w ogólną procedurę zarządzania incydentami — bo informacja o naruszeniu danych osobowych i tak musi do niego trafić. Warto zbudować jeden wewnętrzny „punkt zbiorczy" dla wszystkich zgłoszeń, niezależnie od regulacji. Jeśli outsourcing IOD jest dla Ciebie lepszym modelem, dowiedz się więcej o naszych szkoleniach RODO — obejmują m.in. zarządzanie incydentami.

Jak się przygotować, zanim dojdzie do incydentu?

Trzy rzeczy mają największe znaczenie. Po pierwsze: inwentaryzacja — jakie dane osobowe i jakie systemy ICT przetwarzasz, bo bez tego nie możesz ocenić powagi incydentu. Po drugie: procedura wewnętrzna — kto komu zgłasza i w jakim czasie, jakie formularze, jakie kontakty do CSIRT i UODO. Po trzecie: ćwiczenie — przynajmniej raz w roku, symulacja incydentu i sprawdzenie, czy procedura rzeczywiście działa w stresie i o 20:00 w piątek. Jeśli chcesz zacząć od przeglądu swojego stanu przygotowania, audyt RODO to dobry punkt wyjścia — i obejmuje też warstwę gotowości na incydenty.

Artykuł oparty na: rozporządzeniu (UE) 2016/679 (RODO), rozporządzeniu (UE) 2022/2554 (DORA), dyrektywie (UE) 2022/2555 (NIS2), ustawie z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (wejście w życie 3 kwietnia 2026 r.). Stan prawny aktualny na dzień publikacji.