S46 jako jedno okienko dla cyberincydentu i naruszenia danych: co to zmienia w praktyce

Gdy dochodzi do ataku hakerskiego na bazę klientów, administrator danych staje przed podwójnym obowiązkiem: zgłosić incydent cyberbezpieczeństwa i, niezależnie od tego, poinformować Prezesa UODO o naruszeniu ochrony danych osobowych. System S46 pozwala teraz zrealizować oba obowiązki w jednym miejscu. To nie zmiana prawa, ale realna zmiana procedury dla podmiotów objętych Krajowym Systemem Cyberbezpieczeństwa.

Najważniejsze:

• Administratorzy danych objęci KSC mogą zgłaszać naruszenia ochrony danych osobowych Prezesowi UODO bezpośrednio przez system S46, tę samą platformę, której używają do raportowania cyberincydentów.
• Obowiązek zgłoszenia naruszenia danych do UODO wynika z RODO i nie znika, S46 upraszcza procedurę, ale nie zwalnia z obowiązku ani nie przesuwa terminów.
• Podstawą integracji jest porozumienie między Prezesem UODO a Ministrem Cyfryzacji zawarte w listopadzie 2025 r.
• Podmioty nieobjęte KSC zgłaszają naruszenia danych bezpośrednio do UODO.

Podwójny obowiązek, jedno okienko

Cyberincydent, np. atak ransomware szyfrujący bazę danych klientów, niemal zawsze jest jednocześnie naruszeniem ochrony danych osobowych. Do tej pory administrator musiał zgłosić to samo zdarzenie dwukrotnie: raz jako incydent cyberbezpieczeństwa w systemie S46, a odrębnie jako naruszenie danych do UODO. Każde zgłoszenie wymagało podania zbliżonych lub tych samych informacji o zdarzeniu, lecz przez inne kanały i do innych instytucji.

Czytaj także: Pacjenci onkologiczni a sektor finansowy: UODO domaga się systemowej ochrony danych

Połączenie obu ścieżek w jednym systemie upraszcza tę procedurę: administrator, zgłaszając incydent cyberbezpieczeństwa w S46, wypełnia równocześnie oddzielny formularz naruszenia ochrony danych osobowych, który trafia bezpośrednio do Prezesa UODO. Dane o zdarzeniu nie muszą wędrować osobnymi kanałami, obie instytucje otrzymują je z jednego źródła.

S46: czym jest ta platforma i kogo obejmuje

Nazwa systemu pochodzi wprost od art. 46 ustawy o Krajowym Systemie Cyberbezpieczeństwa, który określa jego zadania. Platforma łączy uczestników Krajowego Systemu Cyberbezpieczeństwa z organami właściwymi do spraw cyberbezpieczeństwa oraz z zespołami CSIRT reagującymi na incydenty.

Zgodnie z ustawą o KSC S46 służy m.in. do szacowania ryzyka, ostrzegania o cyberzagrożeniach, prowadzenia czynności nadzorczych oraz utrzymywania wykazu podmiotów kluczowych i ważnych. Możliwość zgłaszania naruszeń ochrony danych osobowych to rozszerzenie funkcji platformy, które wynika z porozumienia między Prezesem UODO a Ministrem Cyfryzacji zawartego w listopadzie 2025 r. Nie z nowego przepisu ustawowego.

Czego S46 nie zmienia: 72 godziny to nadal twardy obowiązek

Rzecz, której komunikat UODO wprost nie akcentuje: integracja z S46 nie modyfikuje obowiązków wynikających z RODO. Art. 33 RODO nakłada na administratora obowiązek zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu co do zasady bez zbędnej zwłoki. To termin ustawowy, a nie zalecenie, jego przekroczenie może skutkować postępowaniem nadzorczym.

S46 upraszcza techniczną stronę zgłoszenia, eliminując konieczność logowania się do osobnego systemu i ponownego wprowadzania tych samych danych. W kryzysowej sytuacji, gdy liczy się każda godzina, a zespół IT równolegle walczy ze skutkami incydentu, ograniczenie liczby systemów i formularzy ma realne znaczenie operacyjne. Skrócenie czasu samej procedury zgłoszenia daje więcej czasu na zebranie pełnych informacji o zdarzeniu i ocenę jego zakresu.

Porównanie: stara i nowa ścieżka zgłoszenia

Najczęściej zadawane pytania

Czy zgłoszenie przez S46 zastępuje obowiązek powiadomienia osób, których dane dotyczą?

Nie. Zgłoszenie naruszenia do Prezesa UODO (niezależnie od kanału, przez który następuje) to osobny obowiązek od ewentualnego powiadomienia samych poszkodowanych. RODO przewiduje w określonych przypadkach obowiązek poinformowania osób fizycznych o naruszeniu, S46 tego nie zmienia ani nie zastępuje.

Czy wypełnienie formularza naruszenia danych w S46 trzeba robić jednocześnie ze zgłoszeniem incydentu?

Z komunikatu UODO wynika, że formularz naruszenia ochrony danych osobowych wypełnia się przy okazji zgłaszania incydentu cyberbezpieczeństwa w S46. Platformę rekomenduje się jako narzędzie do równoczesnego wykonania obu czynności, co przyspiesza wymianę informacji między instytucjami.

Co jeśli mój podmiot nie należy do KSC?

Administratorzy danych nieobjęci Krajowym Systemem Cyberbezpieczeństwa nie mają dostępu do S46 w tym celu i zgłaszają naruszenia ochrony danych osobowych dotychczasowym kanałem, bezpośrednio do UODO, poza systemem S46.

Od kiedy funkcjonalność jest dostępna?

Porozumienie między Prezesem UODO a Ministrem Cyfryzacji zostało zawarte w listopadzie 2025 r. UODO opublikował rekomendację korzystania z tej ścieżki na początku listopada 2026 r. Źródło nie podaje precyzyjnej daty uruchomienia funkcjonalności zgłoszeń w systemie S46.

Fot. panumas nikhomkhai / Pexels