Cyberatak w szkole — obowiązki dyrektora

Trzeba odróżnić dwa obowiązki. Zgłoszenie naruszenia Prezesowi UODO ocenia się na podstawie art. 33 RODO — zasadniczo należy go dokonać, chyba że ryzyko naruszenia praw lub wolności osób jest mało prawdopodobne.

Zawiadomienie samych osób, których dane dotyczą, wynika z art. 34 RODO i jest wymagane, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób. Przepis przewiduje wyjątki: zawiadomienie nie jest wymagane, gdy dane były chronione na przykład szyfrowaniem uniemożliwiającym ich odczyt osobom nieuprawnionym, gdy administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka albo gdy wymagałoby to niewspółmiernie dużego wysiłku — wtedy zamiast zawiadomień wydaje się publiczny komunikat lub stosuje podobny, równie skuteczny środek. Obowiązki te ocenia się niezależnie.

Dwa doprecyzowania, które w praktyce mają znaczenie. Osobą, której dane dotyczą, jest uczeń. Za ucznia niepełnoletniego zawiadomienie odbiera rodzic jako jego przedstawiciel ustawowy; jeżeli naruszenie objęło również dane samego rodzica, rodzic jest ponadto adresatem zawiadomienia we własnej sprawie. Ucznia pełnoletniego zawiadamia się bezpośrednio, chyba że jest ubezwłasnowolniony całkowicie — wtedy zawiadomienie odbiera jego opiekun jako przedstawiciel ustawowy.

Przepis określa minimum, nie maksimum: zawiadomienie ma jasnym i prostym językiem opisać charakter naruszenia oraz zawierać co najmniej imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, opis możliwych konsekwencji naruszenia oraz opis środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu, w tym w stosownych przypadkach środków mających zminimalizować jego ewentualne negatywne skutki. Można napisać więcej. Nie można napisać mniej.

Czego bym unikał: zapewnień, że „sytuacja jest w pełni opanowana”, dopóki nie jest.

Po każdym takim zdarzeniu wraca też inne pytanie: które dane w ogóle mogą opuścić placówkę. Opisałem to w poradniku o danych, których nie wolno wpisywać do narzędzi AI.

Dla typowej szkoły publicznej prowadzonej przez samorząd odpowiedź brzmi: tak — jeżeli spełnia trzy warunki opisane niżej. 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2. W internecie znajdziesz na przemian „szkół to nie dotyczy” i „dotyczy wszystkich” — część tych pierwszych opiera się na analizach samej dyrektywy sprzed jej wdrożenia i jest dziś nieaktualna.

Test jest kumulatywny: kolejność warunków nie ma znaczenia, znaczenie ma spełnienie wszystkich naraz.

Przy trzech spełnionych warunkach szkoła jest podmiotem ważnym.

Wpis do wykazu: z urzędu, ale sprawdź, czy nastąpił

Podmioty publiczne wpisuje do wykazu z urzędu minister właściwy do spraw informatyzacji, czyli Minister Cyfryzacji, na podstawie danych z rejestrów publicznych, i doręcza im zawiadomienie o wpisie. Harmonogram samorejestracji z terminem od 7 maja do 3 października 2026 r. — tę datę znajdziesz w wielu materiałach — wyłączał podmioty ważne wpisane z urzędu. Sam przepis przejściowy nie wyłącza jednak podmiotów publicznych wprost, dlatego jeżeli szkoła nie dostała zawiadomienia o wpisie, ustal z organem prowadzącym, czy figuruje w wykazie. Jeżeli w wykazie jej nie ma, a spełnia przesłanki podmiotu ważnego, przepis przejściowy zobowiązuje ją do złożenia wniosku o wpis według harmonogramu, którego termin upłynął 3 października 2026 r., więc sprawę trzeba wyjaśnić od razu. Po otrzymaniu wezwania do uzupełnienia danych masz sześć miesięcy od jego doręczenia. Dane uzupełnia się wnioskiem o zmianę wpisu, a wezwanie jest wystosowane pod rygorem kary pieniężnej, którą można po raz pierwszy nałożyć po 3 kwietnia 2028 r.

Ale nie czekaj na pismo z ministerstwa

To najczęstsze nieporozumienie i kosztowne. Wpis do wykazu i wezwanie do uzupełnienia danych nie wyznaczają ogólnego terminu wdrożenia obowiązków rozdziału trzeciego. Mają natomiast własne skutki prawne — doręczenie wezwania uruchamia termin na uzupełnienie danych.

Sam termin wdrożenia biegnie inaczej: dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie ustawa przewiduje dwunastomiesięczny okres na dostosowanie się do obowiązków rozdziału trzeciego. Ten okres służy wdrażaniu, a nie czekaniu. Odrębny przepis o pierwszym audycie dotyczy podmiotów kluczowych, a więc nie typowej szkoły. Podmiotowi ważnemu organ właściwy do spraw cyberbezpieczeństwa może jednak nakazać, w drodze decyzji, zewnętrzny audyt bezpieczeństwa, jeżeli wystąpi incydent poważny albo inne naruszenie przepisów ustawy.

Organ prowadzący nie kwalifikuje Twojej szkoły uznaniowo

O wyniku decydują kryteria ustawowe. Samorząd może natomiast zorganizować wspólną obsługę obowiązków dla swoich jednostek — i to jest realne pytanie do zadania. Zamiast pytać „czy nas to dotyczy”, zapytaj: czy szkoła została wpisana z urzędu do wykazu i czy otrzymała wezwanie do uzupełnienia danych; czy gmina albo powiat zapewnia wspólną obsługę obowiązków i przez którą jednostkę; kto organizacyjnie realizuje zgłoszenia i kontakt z właściwym CSIRT.

Szkolenie kierownika raz w roku kalendarzowym

Kierownik podmiotu ważnego lub kluczowego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą szkolenie, a udział ma być udokumentowany. W szkole kierownikiem jednostki sektora finansów publicznych jest dyrektor. Ustawa określa zakres takiego szkolenia przez odesłanie do konkretnych obowiązków — nie jest to więc dowolne „szkolenie z cyberbezpieczeństwa” — ale nie narzuca formy, czasu trwania ani akredytowanego dostawcy.

Za niewykonanie tego obowiązku ustawa przewiduje możliwość nałożenia kary pieniężnej na kierownika. Tę karę można po raz pierwszy nałożyć po upływie dwóch lat od wejścia nowelizacji w życie. Nie przesuwa to terminu wykonania samego obowiązku.

Kiedy odbyć pierwsze? Przepis nie wskazuje odrębnej daty pierwszego szkolenia. Dla podmiotów objętych przepisem przejściowym okres dostosowania kończy się wraz z upływem dwunastu miesięcy; ustawa nie reguluje natomiast osobno pierwszego cyklu w formule „raz w roku kalendarzowym”.

Dla szkoły prowadzonej przez osobę fizyczną albo prywatną osobę prawną powyższe rozumowanie nie działa automatycznie i status trzeba ustalić osobno. Osobno trzeba też ustalić status szkoły publicznej prowadzonej przez ministra, na przykład publicznej szkoły artystycznej prowadzonej przez ministra właściwego do spraw kultury. Taka szkoła jest jednostką budżetową, a załącznik nr 1 do ustawy o KSC obejmuje jednostki budżetowe i zawęża ten krąg tylko w odniesieniu do samorządu. Podmiot publiczny wskazany w tym załączniku jest podmiotem kluczowym niezależnie od wielkości, dlatego taka szkoła — jeżeli nie podlega Ministrowi Obrony Narodowej ani nie jest przez niego nadzorowana — jest podmiotem kluczowym, z obowiązkami tej kategorii, w tym audytem.

Pytanie o okup przestało być teoretyczne. Berlin podał 3 września 2026 r., że grupa Rhysida przyznała się do kradzieży 5,7 terabajta danych z sieci miasta i wystawiła je na sprzedaż — w formie aukcji, z ceną minimalną 30 bitcoinów, czyli około dwóch milionów euro. Komunikat mówi zarazem o szantażu wobec Berlina i o wystawieniu danych na aukcję: oferta trafiła do dowolnego kupującego, nie tylko do miasta. Miasto zapowiedziało, że nie wyklucza publikacji danych w piątek 4 września 2026 r., i w kolejnym komunikacie potwierdziło, że do niej doszło.

Przytaczam ten przypadek jako fakt, nie jako wskazówkę dla polskiej szkoły. Przesłanki oceny wydatku i ryzyko po stronie odbiorcy opisałem wyżej, przy pytaniu o okup. Dokłada on do nich jedno spostrzeżenie: kiedy dane idą pod młotek, kupującym może zostać ktokolwiek.

Komunikaty Kancelarii Senatu Berlina: o wystawieniu danych na aukcję ↗ (otwiera się w nowej karcie) oraz o sytuacji po publikacji ↗ (otwiera się w nowej karcie).

Dwie rzeczy do obserwacji. Progi uznania incydentu za poważny ma określić rozporządzenie Rady Ministrów, dlatego ta strona nie podaje liczbowych progów; przed oceną incydentu sprawdź, czy zostało ogłoszone w Dzienniku Ustaw. Krajowe Ramy Interoperacyjności tracą moc 23 lutego 2027 r.; rozporządzenie, które ma je zastąpić, trzeba sprawdzić w Dzienniku Ustaw.

Ten tekst nie zastępuje porady radcy prawnego organu prowadzącego — jest uporządkowaniem stanu prawnego i praktyki, a nie opinią w indywidualnej sprawie.