RODO a sklep internetowy - czym różni się regulamin zgodny z RODO od RODO w firmie
czytaj więcej
Stan prawny: sierpień 2026
Pierwsza rozmowa o nowych przepisach o cyberbezpieczeństwie zwykle kończy się ustaleniem, że firma jednak podlega. Druga zaczyna się od pytania, które jest już całkiem konkretne: to co my mamy teraz zrobić i ile mamy na to czasu? Ten tekst jest odpowiedzią na to drugie pytanie.
Zakładam więc, że kwalifikacja jest już za Tobą: firma prowadzi własne serwery nazw, rejestruje albo odsprzedaje domeny, prowadzi centrum danych powyżej progu wielkości albo trafiła do systemu z innego tytułu. Jeśli ten punkt jest jeszcze niepewny, zacznij od tekstu o tym, co dyrektywa NIS2 oznacza dla organizacji - tam rozkładamy na czynniki pierwsze samo pytanie „czy nas to obejmuje".
Pięć rzeczy, które składają się na wdrożenie
Kolejność nie jest przypadkowa. Każdy kolejny krok opiera się na ustaleniach poprzedniego i próba zaczęcia od dokumentów zwykle kończy się przepisywaniem ich po dwóch miesiącach.
1
Ustalenie, z którego tytułu podlegasz
To nie jest formalność, bo dwie różne podstawy dają dwa różne zestawy obowiązków. Firma objęta jako dostawca usług DNS ma inne progi zgłaszania incydentów niż firma objęta wyłącznie z tytułu rejestracji domen. Branża hostingowa zwykle mieści się w obu naraz i wtedy obowiązki się sumują. Rozpisujemy tę różnicę niżej.
2
Wniosek o wpis do wykazu podmiotów kluczowych
Składany elektronicznie, przez system teleinformatyczny prowadzony przez ministerstwo. Zawiera dane firmy, wskazanie osoby do kontaktu z organami oraz oświadczenie kierownika firmy składane pod rygorem odpowiedzialności karnej za podanie nieprawdy. Okno składania wniosków otworzyło się 7 maja 2026 roku.
W firmie mikro i małej do tej roli wystarczy jedna osoba, choćby sam właściciel.
3
System zarządzania bezpieczeństwem informacji
Spisana i realnie stosowana ocena ryzyka, zasady postępowania z incydentami, zasady dostępu do systemów, kopie zapasowe i ciągłość działania.
W małej firmie to kilkanaście stron dokumentacji i kilka nawyków, które muszą działać, a nie wdrożenie za setki tysięcy złotych. Dużą część wymagań dobrze prowadzona firma spełnia od lat: robi kopie, rozdziela dostępy, reaguje na awarie. Nowa jest wyłącznie konieczność zapisania ich i wykazania na żądanie.
4
Procedura zgłaszania poważnych incydentów
Trzy terminy, które trzeba znać na pamięć, zanim wydarzy się coś, co je uruchomi: wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc.
Procedura ma sens tylko wtedy, gdy wiadomo, kto ją uruchamia w sobotę o drugiej w nocy i skąd bierze dane do zgłoszenia. To jest ta część, którą warto przećwiczyć raz na sucho.
5
Obowiązki wokół danych o domenach
Dotyczy firm rejestrujących albo odsprzedających domeny. Składają się na nie: dokładna baza danych abonentów, procedura weryfikacji tych danych, opublikowanie polityk na stronie oraz procedura udostępniania danych uprawnionym organom w ciągu 72 godzin.
To jedyny z pięciu punktów, który jest widoczny publicznie - polityki muszą znaleźć się na stronie, tak samo jak polityka prywatności.
Kalendarz: co, kiedy i co się stanie po terminie
| Termin | Obowiązek | Zakres |
|---|---|---|
| 3 października 2026 | Wniosek o wpis do wykazu podmiotów kluczowych | Dane firmy, osoba do kontaktu, oświadczenie kierownika pod rygorem odpowiedzialności karnej |
| 3 kwietnia 2027 | System zarządzania bezpieczeństwem informacji | Ocena ryzyka, postępowanie z incydentami, kontrola dostępu, kopie zapasowe, ciągłość działania |
| 3 kwietnia 2027 | Zgłaszanie poważnych incydentów | 24 godziny - wczesne ostrzeżenie, 72 godziny - pełne zgłoszenie, miesiąc - sprawozdanie końcowe |
| 3 kwietnia 2027 | Dane o domenach (przy rejestracji domen) | Baza abonentów, weryfikacja danych, polityki na stronie, udostępnianie organom w 72 godziny |
| 3 kwietnia 2028 | Pierwszy audyt bezpieczeństwa | Kolejne co trzy lata |
Moratorium na kary do 3 kwietnia 2028 roku. Kary dla podmiotu kluczowego sięgają 10 mln euro albo 2% rocznego obrotu, a dla kierownika firmy przewidziano karę osobistą do 300% wynagrodzenia, między innymi za niezłożenie wniosku o wpis. Ale ustawa wprowadza moratorium: do 3 kwietnia 2028 roku organ nie może ukarać, choć obowiązki już obowiązują. Sama kara za brak wniosku jest przy tym uznaniowa: organ waży wagę naruszenia i decyduje, czy w ogóle ją nałożyć.
Praktyczny wniosek jest taki, że jest czas na spokojne wdrożenie, a nie że jest powód do odkładania. Terminy wdrożeniowe biegną niezależnie od moratorium na kary - moratorium zdejmuje sankcję, nie obowiązek.
Dwa tytuły objęcia, dwa różne zestawy obowiązków
To rozróżnienie decyduje o tym, co konkretnie firma musi mierzyć i zgłaszać, więc warto je ustalić na początku, a nie w trakcie incydentu.
Objęcie jako dostawca usług DNS
Obok obowiązków ogólnych stosuje się dodatkowo unijne rozporządzenie wykonawcze z 2024 roku, które podaje konkretne, mierzalne progi. Usługa rozpoznawania nazw niedostępna w całości dłużej niż 30 minut? To już poważny incydent do zgłoszenia. Średni czas odpowiedzi powyżej 10 sekund utrzymujący się ponad godzinę? Tak samo.
Uwaga na jedną konsekwencję, którą łatwo przeoczyć przy zleceniu obsługi na zewnątrz: te progi liczą się dla całej Twojej usługi, także tej części, którą prowadzi podwykonawca. Awaria u niego jest Twoim incydentem i to Ty go zgłaszasz. Dyrektywa mówi wprost, że obowiązki stosuje się bez względu na to, czy podmiot utrzymuje swoje systemy sam, czy zleca ich utrzymanie na zewnątrz.
Objęcie wyłącznie z tytułu domen
Wtedy rozporządzenie o progach Cię nie obejmuje. W zamian dochodzi cały blok obowiązków wokół danych abonentów, opisany w kroku piątym: baza, weryfikacja, opublikowane polityki i 72 godziny na udostępnienie danych organom według opublikowanej procedury.
Firma hostingowa, która prowadzi własne serwery nazw i rejestruje domeny, ma zwykle oba zestawy naraz.
Gdzie to się spina z RODO, a gdzie nie
Klienci pytają o to niemal zawsze, zwykle w formie: „przecież mamy już dokumentację RODO, to czy to nie wystarczy?". Nie wystarczy, ale też nie trzeba robić wszystkiego drugi raz.
| RODO | Przepisy o cyberbezpieczeństwie | |
|---|---|---|
| Co chroni | Dane osobowe konkretnych ludzi | Ciągłość i bezpieczeństwo usług cyfrowych, także tam, gdzie danych osobowych nie ma |
| Kluczowe pytanie | Czy wolno przetwarzać te dane i czy są bezpieczne | Czy usługa działa, czy potrafisz wykryć incydent i czy go zgłosisz |
| Zgłoszenie incydentu | Do Prezesa UODO w 72 godziny | Do właściwego zespołu reagowania: wstępnie w 24 godziny, pełne w 72 |
| Dokumentacja | Rejestr czynności, polityka ochrony danych, umowy powierzenia, upoważnienia | Ocena ryzyka, zasady dostępu, kopie zapasowe, ciągłość działania, procedura incydentów |
| Co można prowadzić wspólnie | Ocenę ryzyka, zasady dostępu, kopie zapasowe i procedurę reagowania na incydenty - to jeden zestaw dokumentów obsługujący oba reżimy | |
Trzy praktyczne wnioski z tej tabeli. Po pierwsze, dokumentacja się nakłada i nie ma powodu prowadzić dwóch równoległych segregatorów. Po drugie, jedno zdarzenie może wymagać dwóch osobnych zgłoszeń, do dwóch różnych organów i w dwóch różnych terminach - to jest ta rzecz, która najczęściej zaskakuje w praktyce. Po trzecie, obowiązek prowadzenia bazy danych o domenach zmienia podstawę prawną w RODO: skoro prowadzenie tej bazy nakazuje ustawa, przetwarzanie danych abonentów opiera się także na obowiązku prawnym, a nie wyłącznie na umowie z klientem. To trzeba odzwierciedlić w rejestrze czynności i w klauzuli informacyjnej.
Co jest pewne, a co pozostaje interpretacją
Uczciwość wobec klienta wymaga rozdzielenia tych dwóch rzeczy, bo mają różny ciężar przy podejmowaniu decyzji.
Rozstrzygnięte tekstem przepisu są cztery kwestie: własne serwery nazw obejmują firmę, odsprzedaż domen obejmuje firmę, w obu przypadkach bez progu wielkości, a partner afiliacyjny i firma korzystająca z cudzych serwerów nazw zostają poza zakresem.
Nierozstrzygnięte pozostają trzy: usługa sprzedawana pod własną marką, ale prowadzona w całości cudzą infrastrukturą, dokładne miejsce granicy między odsprzedawcą a polecającym oraz firma, która rejestruje domeny na siebie i refakturuje je klientom. Tu mamy argumenty, nie pewność, i mówimy o tym klientom wprost.
W obszernym zestawie odpowiedzi Ministerstwa Cyfryzacji na pytania o nowe przepisy nie pada ani jedno pytanie o domeny, serwery nazw czy odsprzedawców. Rynek nie czeka na urząd: dostawcy hostingu już informują swoich odsprzedawców, że mają status podmiotu kluczowego bez względu na skalę działalności.
Do czasu wypowiedzi urzędu ostrożniejsze podejście jest bezpieczniejsze, zwłaszcza że przy moratorium na kary koszt „przygotowania się na wszelki wypadek" jest niski, a koszt spóźnienia rośnie z każdym miesiącem.
Od czego zacząć w tym miesiącu
- Ustal tytuł objęcia - DNS, domeny, czy oba naraz. Od tego zależy zakres reszty.
- Złóż wniosek o wpis. To formalność, ale z twardym terminem 3 października 2026 i oświadczeniem pod rygorem odpowiedzialności karnej, więc nie jest to zadanie do odhaczenia w pośpiechu ostatniego dnia.
- Zrób inwentaryzację tego, co już masz. Kopie zapasowe, kontrola dostępów, lista podwykonawców, procedura reagowania na awarie. W większości firm połowa wymagań jest spełniona faktycznie, tylko nigdzie nie zapisana.
- Sprawdź, czy dokumentacja RODO da się rozbudować zamiast pisać drugi komplet od zera. Zwykle się da.
Nie wiesz, od którego końca zacząć, albo chcesz mieć pewność, że wniosek o wpis został wypełniony poprawnie?
Porozmawiajmy o wdrożeniu NIS2Prowadzimy wdrożenia obowiązków z dyrektywy NIS2 i audyty bezpieczeństwa IT, a dokumentację RODO układamy tak, żeby jeden komplet dokumentów obsłużył oba reżimy zamiast dwóch równoległych. Stawki znajdziesz w cenniku, a firmom, które wolą oddać temat na stałe, proponujemy funkcję inspektora ochrony danych.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej dla konkretnej sprawy. Zakres obowiązków zależy od modelu działalności. Podstawa: ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z dnia 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), wdrażającą dyrektywę (UE) 2022/2555 (NIS2).
