Cyberatak w szkole — obowiązki dyrektora

Zawiadomienia nie wysyła się po każdym incydencie informatycznym. Obowiązek powstaje, gdy naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych.

Dwa doprecyzowania, które w praktyce mają znaczenie. Osobą, której dane dotyczą, jest uczeń — rodzic otrzymuje zawiadomienie jako jego przedstawiciel ustawowy, chyba że naruszenie objęło również dane samego rodzica. Ucznia pełnoletniego zawiadamia się co do zasady bezpośrednio.

Przepis określa minimum, nie maksimum: zawiadomienie ma jasnym i prostym językiem opisać charakter naruszenia oraz zawierać co najmniej dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, możliwe konsekwencje naruszenia oraz środki podjęte lub proponowane, w tym środki mające zminimalizować ewentualne negatywne skutki. Można napisać więcej. Nie można napisać mniej.

Czego bym unikał: zapewnień, że „sytuacja jest w pełni opanowana”, dopóki nie jest.

Po każdym takim zdarzeniu wraca też inne pytanie: które dane w ogóle mogą opuścić placówkę. Opisałem to w poradniku o danych, których nie wolno wpisywać do narzędzi AI.

Dla typowej szkoły publicznej prowadzonej przez samorząd odpowiedź brzmi: co do zasady tak. 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2. W internecie znajdziesz na przemian „szkół to nie dotyczy” i „dotyczy wszystkich” — część tych pierwszych opiera się na analizach samej dyrektywy sprzed jej wdrożenia i jest dziś nieaktualna.

Test jest kumulatywny: kolejność warunków nie ma znaczenia, znaczenie ma spełnienie wszystkich naraz.

Przy trzech spełnionych warunkach szkoła jest podmiotem ważnym.

Nie składasz wniosku o początkowy wpis

Podmioty publiczne wpisuje do wykazu Minister Cyfryzacji z urzędu. Data 3 października 2026 r., którą znajdziesz w wielu materiałach, dotyczy harmonogramu samorejestracji podmiotów, których ten tryb nie obejmuje. Po otrzymaniu wezwania do uzupełnienia danych masz sześć miesięcy od jego doręczenia.

Ale nie czekaj na pismo z ministerstwa

To najczęstsze nieporozumienie i kosztowne. Wpis do wykazu i wezwanie do uzupełnienia danych nie wyznaczają ogólnego terminu wdrożenia obowiązków rozdziału trzeciego. Mają natomiast własne skutki prawne — doręczenie wezwania uruchamia termin na uzupełnienie danych.

Sam termin wdrożenia biegnie inaczej: dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie ustawa przewiduje dwunastomiesięczny okres na dostosowanie się do obowiązków rozdziału trzeciego. Ten okres służy wdrażaniu, a nie czekaniu — Ministerstwo Cyfryzacji zaleca rozpoczęcie działań od razu. Odrębny przepis o pierwszym audycie dotyczy podmiotów kluczowych, a więc nie typowej szkoły.

Organ prowadzący nie kwalifikuje Twojej szkoły uznaniowo

O wyniku decydują kryteria ustawowe. Samorząd może natomiast zorganizować wspólną obsługę obowiązków dla swoich jednostek — i to jest realne pytanie do zadania. Zamiast pytać „czy nas to dotyczy”, zapytaj: czy szkoła została wpisana z urzędu do wykazu i czy otrzymała wezwanie do uzupełnienia danych; czy gmina albo powiat zapewnia wspólną obsługę obowiązków i przez którą jednostkę; kto organizacyjnie realizuje zgłoszenia i kontakt z właściwym CSIRT.

Szkolenie kierownika raz w roku kalendarzowym

Kierownik podmiotu ważnego lub kluczowego przechodzi szkolenie z cyberbezpieczeństwa raz w roku, a udział ma być udokumentowany. W szkole kierownikiem jednostki sektora finansów publicznych jest dyrektor. Ustawa określa zakres takiego szkolenia przez odesłanie do konkretnych obowiązków — nie jest to więc dowolne „szkolenie z cyberbezpieczeństwa” — ale nie narzuca formy, czasu trwania ani akredytowanego dostawcy.

Za niewykonanie tego obowiązku ustawa przewiduje możliwość nałożenia kary pieniężnej na kierownika. Kary mogą być po raz pierwszy nałożone po upływie dwóch lat od wejścia nowelizacji w życie. Nie przesuwa to terminu wykonania samego obowiązku.

Kiedy odbyć pierwsze? Przepis nie wskazuje odrębnej daty pierwszego szkolenia. Dla podmiotów objętych przepisem przejściowym okres dostosowania kończy się wraz z upływem dwunastu miesięcy; ustawa nie reguluje natomiast osobno pierwszego cyklu w formule „raz w roku kalendarzowym”.

Dla szkoły prowadzonej przez osobę fizyczną albo prywatną osobę prawną powyższe rozumowanie nie działa automatycznie i status trzeba ustalić osobno.

Pytanie o okup przestało być teoretyczne. Berlin podał 3 września 2026 r., że grupa Rhysida przyznała się do kradzieży 5,7 terabajta danych z sieci miasta i wystawiła je na sprzedaż — w formie aukcji, z ceną minimalną 30 bitcoinów, czyli około dwóch milionów euro. To istotna różnica wobec potocznego wyobrażenia: nie było to żądanie okupu skierowane do miasta, tylko oferta dla dowolnego kupującego. Miasto zapowiedziało, że nie wyklucza publikacji danych w piątek 4 września 2026 r., i w kolejnym komunikacie potwierdziło, że do niej doszło.

Przytaczam ten przypadek jako fakt, nie jako wskazówkę dla polskiej szkoły. Przesłanki oceny wydatku i ryzyko po stronie odbiorcy opisałem wyżej, przy pytaniu o okup. Dokłada on do nich jedno spostrzeżenie: kiedy dane idą pod młotek, kupującym może zostać ktokolwiek.

Komunikaty Kancelarii Senatu Berlina: o wystawieniu danych na aukcję ↗ (otwiera się w nowej karcie) oraz o sytuacji po publikacji ↗ (otwiera się w nowej karcie).

Dwie rzeczy do obserwacji. Progi incydentu poważnego dla sektora podmiotów publicznych ma określić rozporządzenie, które pozostaje projektem — dlatego ta strona nie podaje liczbowych progów. Krajowe Ramy Interoperacyjności tracą moc 23 lutego 2027 r., a ich następca też jest na razie projektem.

Ten tekst nie zastępuje porady radcy prawnego organu prowadzącego — jest uporządkowaniem stanu prawnego i praktyki, a nie opinią w indywidualnej sprawie.