Obwieszczenie Marszałka Sejmu Rzeczypospolitej Polskiejz dnia 22 lipca 2020 r.w sprawie ogłoszenia jednolitego tekstu ustawy o krajowym systemie cyberbezpieczeństwa Spis treści Treść obwieszczenia Załącznik - Tekst jednolity ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa Rozdział 1 - Przepisy ogólne Rozdział 2 - Identyfikacja i rejestracja operatorów usług kluczowych Rozdział 3 - Obowiązki operatorów usług kluczowych Rozdział 4 - Obowiązki dostawców usług cyfrowych Rozdział 5 - Obowiązki podmiotów publicznych Rozdział 6 - Zadania CSIRT MON, CSIRT NASK i CSIRT GOV Rozdział 7 - Zasady udostępniania informacji i przetwarzania danych osobowych Rozdział 8 - Organy właściwe do spraw cyberbezpieczeństwa Rozdział 9 - Zadania ministra właściwego do spraw informatyzacji Rozdział 10 - Zadania Ministra Obrony Narodowej Rozdział 11 - Nadzór i kontrola operatorów usług kluczowych, dostawców usług cyfrowych i podmiotów świadczących usługi w zakresie cyberbezpieczeństwa Rozdział 12 - Pełnomocnik i Kolegium Rozdział 13 - Strategia Rozdział 14 - Przepisy o karach pieniężnych Rozdział 15 - Zmiany w przepisach, przepisy przejściowe, dostosowujące i końcowe Załącznik nr 1 - Sektory i podsektory oraz rodzaje podmiotów Załącznik nr 2 - Usługi cyfrowe Treść obwieszczenia 1. Na podstawie art. 16 ust. 1 zdanie pierwsze ustawy z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych (Dz. U. z 2019 r. poz. 1461) ogłasza się w załączniku do niniejszego obwieszczenia jednolity tekst ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. poz. 1560), z uwzględnieniem zmian wprowadzonych: 1) ustawą z dnia 11 września 2019 r. - Przepisy wprowadzające ustawę - Prawo zamówień publicznych (Dz. U. poz. 2020), 2) ustawą z dnia 16 października 2019 r. o zmianie ustawy - Prawo oświatowe oraz niektórych innych ustaw (Dz. U. poz. 2248), 3) ustawą z dnia 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz. U. poz. 695), 4) ustawą z dnia 14 maja 2020 r. o zmianie niektórych ustaw w zakresie działań osłonowych w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz. U. poz. 875) oraz zmian wynikających z przepisów ogłoszonych przed dniem 22 lipca 2020 r. 2. Podany w załączniku do niniejszego obwieszczenia jednolity tekst ustawy nie obejmuje: 1) art. 77-82 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. poz. 1560), które stanowią: „ Art. 77. W ustawie z dnia 7 września 1991 r. o systemie oświaty (Dz. U. z 2018 r. poz. 1457) w art. 90u: 1) w ust. 1 pkt 6 otrzymuje brzmienie: „ 6) rozwijanie kompetencji, zainteresowań i uzdolnień dzieci i młodzieży oraz innych grup społecznych, w tym wspomaganie organów prowadzących szkoły lub placówki w realizacji przedsięwzięć w tym obszarze, w szczególności w zakresie bezpiecznego korzystania z technologii informacyjno-komunikacyjnych; ” ; 2) w ust. 4 pkt 6 otrzymuje brzmienie: „ 6) szczegółowe warunki, formy i tryb realizacji przedsięwzięć w zakresie rozwijania kompetencji, zainteresowań i uzdolnień dzieci i młodzieży oraz innych grup społecznych, a także warunki i tryb wspomagania organów prowadzących szkoły lub placówki w realizacji przedsięwzięć w tym obszarze, w szczególności w zakresie bezpiecznego korzystania z technologii informacyjno-komunikacyjnych, uwzględniając konieczność rozwijania umiejętności ułatwiających przystosowanie się do zmian zachodzących w życiu społecznym i gospodarczym, możliwość udzielenia wsparcia finansowego organów prowadzących szkoły lub placówki oraz wymóg skuteczności i efektywności wydatkowania środków budżetowych; ” . Art. 78. W ustawie z dnia 4 września 1997 r. o działach administracji rządowej (Dz. U. z 2018 r. poz. 762, 810, 1090, 1467 i 1544) wprowadza się następujące zmiany: 1) w art. 12a w ust. 1 pkt 10 otrzymuje brzmienie: „ 10) bezpieczeństwa cyberprzestrzeni w wymiarze cywilnym; ” ; 2) w art. 19 w ust. 1 po pkt 1 dodaje się pkt 1a w brzmieniu: „ 1a) bezpieczeństwa cyberprzestrzeni w wymiarze militarnym, ” . Art. 79. W ustawie z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2017 r. poz. 1920, z późn. zm.a)Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2017 r. poz. 2405 oraz z 2018 r. poz. 138, 650, 723, 730 i 1544.) po art. 32a dodaje się art. 32aa w brzmieniu: „ Art. 32aa. 1. W celu zapobiegania i przeciwdziałania oraz zwalczania zdarzeń o charakterze terrorystycznym dotyczących istotnych z punktu widzenia ciągłości funkcjonowania państwa systemów teleinformatycznych organów administracji publicznej lub sieci teleinformatycznych objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, a także systemów teleinformatycznych właścicieli, posiadaczy samoistnych i posiadaczy zależnych obiektów, instalacji lub urządzeń infrastruktury krytycznej, o których mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, lub danych przetwarzanych w tych systemach oraz zapobiegania i wykrywania przestępstw o charakterze terrorystycznym w tym obszarze oraz ścigania ich sprawców, ABW wdraża w tych podmiotach system wczesnego ostrzegania o zagrożeniach występujących w sieci Internet, zwany dalej „systemem ostrzegania”, prowadzi go i koordynuje jego funkcjonowanie. 2. Wdrożenie elementów systemu ostrzegania w podmiotach, o których mowa w ust. 1, następuje zgodnie z rocznym planem wdrożenia, opracowywanym przez Szefa ABW w terminie do dnia 30 września roku poprzedzającego. W uzasadnionych przypadkach, na wniosek podmiotu, wdrożenie elementów systemu ostrzegania może zostać przeprowadzone z pominięciem planu. 3. ABW niezwłocznie informuje podmiot, o którym mowa w ust. 1, o jego włączeniu do rocznego planu wdrożenia systemu ostrzegania. 4. Podmiot, o którym mowa w ust. 1, ma obowiązek przystąpić do systemu ostrzegania oraz przekazać ABW niezbędne informacje umożliwiające wdrożenie systemu ostrzegania w tym podmiocie. 5. W podmiotach, o których mowa w ust. 1, podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych, wdrożenie systemu ostrzegania może nastąpić za zgodą Ministra Obrony Narodowej. 6. Koszty wdrożenia i utrzymania systemu ostrzegania w podmiotach, o których mowa w ust. 1, pokrywa ABW. 7. ABW, w drodze porozumienia, uzgadnia z podmiotem, o którym mowa w ust. 1, techniczne aspekty uczestnictwa w systemie ostrzegania oraz model konfiguracji systemu. 8. W sytuacji braku możliwości zawarcia porozumienia, o którym mowa w ust. 7, z przyczyn leżących po stronie podmiotu, o którym mowa w ust. 1, ABW informuje podmiot go nadzorujący lub ministra właściwego do spraw informatyzacji. 9. Prezes Rady Ministrów określi, w drodze rozporządzenia, warunki i tryb prowadzenia, koordynacji i wdrażania systemu ostrzegania, w szczególności określi czynności niezbędne do jego uruchomienia i utrzymania oraz wzór porozumienia, o którym mowa w ust. 7, kierując się potrzebą zapewnienia bezpieczeństwa systemów teleinformatycznych istotnych z punktu widzenia ciągłości funkcjonowania państwa. ” . Art. 80. W ustawie z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (Dz. U. z 2017 r. poz. 1579 i 2018) w art. 89 w ust. 1 pkt 7d otrzymuje brzmienie: „ 7d) jej przyjęcie naruszałoby bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa, w tym bezpieczeństwo podmiotów objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o której mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2018 r. poz. 1401), a tego bezpieczeństwa lub interesu nie można zagwarantować w inny sposób; ” . Art. 81. W ustawie z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. z 2017 r. poz. 1907 i 2201 oraz z 2018 r. poz. 106, 138, 650 i 1118) wprowadza się następujące zmiany: 1) w art. 175a: a) po ust. 1 dodaje się ust. 1a i 1b w brzmieniu: „ 1a. Prezes UKE przekazuje informacje, o których mowa w ust. 1, jeżeli dotyczą one zdarzeń będących incydentami w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. poz. 1560), CSIRT właściwemu dla zgłaszającego przedsiębiorcy telekomunikacyjnego, zgodnie z art. 26 ust. 5-7 tej ustawy, z wyłączeniem informacji stanowiących tajemnicę przedsiębiorstwa, zastrzeżonych na podstawie art. 9. 1b. Przekazanie, o którym mowa w ust. 1a, następuje w postaci elektronicznej, a w przypadku braku możliwości przekazania w postaci elektronicznej - przy użyciu innych dostępnych środków komunikacji. ” , b) po ust. 2 dodaje się ust. 2a w brzmieniu: „ 2a. Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, kryteria uznania naruszenia bezpieczeństwa lub integralności sieci lub usług telekomunikacyjnych za naruszenie o istotnym wpływie na funkcjonowanie sieci lub usług, biorąc pod uwagę w szczególności wartość procentową użytkowników, na których naruszenie bezpieczeństwa lub integralności sieci lub usług telekomunikacyjnych miało wpływ, czas trwania naruszenia bezpieczeństwa lub integralności sieci lub usług telekomunikacyjnych powodującego niedostępność lub ograniczenie dostępności sieci lub usług telekomunikacyjnych oraz rekomendacje i wytyczne Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA). ” ; 2) w art. 176a: a) w ust. 1 pkt 3 otrzymuje brzmienie: „ 3) bezpośrednich zagrożeń dla bezpieczeństwa lub integralności infrastruktury telekomunikacyjnej przedsiębiorcy lub świadczonych przez niego usług ” , b) w ust. 2 pkt 4 otrzymuje brzmienie: „ 4) technicznych i organizacyjnych środków zapewnienia bezpieczeństwa i integralności infrastruktury telekomunikacyjnej i świadczonych usług, w tym ochrony przed wystąpieniem incydentów w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa; ” ; 3) w art. 209 w ust. 1 po pkt 27 dodaje się pkt 27¹ w brzmieniu: „ 27¹) nie wypełnia obowiązku, o którym mowa w art. 175a ust. 1, ” . Art. 82. W ustawie z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2018 r. poz. 1401) wprowadza się następujące zmiany: 1) w art. 5a ust. 2 otrzymuje brzmienie: „ 2. Koordynację przygotowania Raportu zapewnia dyrektor Rządowego Centrum Bezpieczeństwa, natomiast w części dotyczącej zagrożeń o charakterze terrorystycznym, mogących doprowadzić do sytuacji kryzysowej, Szef Agencji Bezpieczeństwa Wewnętrznego, a w części dotyczącej zagrożeń cyberbezpieczeństwa mogących doprowadzić do sytuacji kryzysowej - Pełnomocnik Rządu do spraw Cyberbezpieczeństwa. ” ; 2) w art. 6 po ust. 5a dodaje się ust. 5b w brzmieniu: „ 5b. Właściciele, posiadacze samoistni i zależni, o których mowa w ust. 5, będący jednocześnie operatorami usług kluczowych w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. poz. 1560), uwzględniają w planach ochrony infrastruktury krytycznej dokumentację dotyczącą cyberbezpieczeństwa systemów informacyjnych wykorzystywanych do świadczenia usług kluczowych zgodnie z zakresem informacji określonym w przepisach wydanych na podstawie art. 10 ust. 5 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. ” ; 3) w art. 8 w ust. 3 w pkt 14 kropkę zastępuje się średnikiem i dodaje się pkt 15 w brzmieniu: „ 15) Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa. ” ; 4) w art. 11 po ust. 1 dodaje się ust. 1a w brzmieniu: „ 1a. Centrum zapewnia obsługę Zespołu do spraw Incydentów Krytycznych, o którym mowa w art. 36 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.”. ” ; ” ; 2) art. 109 ustawy z dnia 11 września 2019 r. - Przepisy wprowadzające ustawę - Prawo zamówień publicznych (Dz. U. poz. 2020), który stanowi: „ Art. 109. Ustawa wchodzi w życie z dniem 1 stycznia 2021 r., z wyjątkiem: 1) art. 85 pkt 5, który wchodzi w życie po upływie 14 dni od dnia ogłoszenia; 2) art. 88, który wchodzi w życie z dniem 1 marca 2020 r. ” ; 3) art. 7 ustawy z dnia 16 października 2019 r. o zmianie ustawy - Prawo oświatowe oraz niektórych innych ustaw (Dz. U. poz. 2248), który stanowi: „ Art. 7. Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia, z wyjątkiem: 1) art. 2, który wchodzi w życie z dniem następującym po dniu ogłoszenia; 2) art. 4, który wchodzi w życie z dniem 1 stycznia 2020 r. ” ; 4) art. 118 ustawy z dnia 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz. U. poz. 695), który stanowi: „ Art. 118. Ustawa wchodzi w życie z dniem następującym po dniu ogłoszenia, z wyjątkiem: 1) art. 22, który wchodzi w życie z mocą od dnia 13 marca 2020 r.; 2) art. 28, który wchodzi w życie z dniem 1 lipca 2020 r.; 3) art. 53 pkt 8 w zakresie dodawanego art. 67c - który wchodzi w życie z mocą od dnia 31 marca 2020 r.; 4) art. 73 pkt 45, który wchodzi w życie z mocą od dnia 13 kwietnia 2020 r.; 5) art. 73 pkt 57 w zakresie dodawanego art. 15zzzzm - który wchodzi w życie z mocą od dnia 12 marca 2020 r.; 6) art. 73 pkt 20, 38, 39 i 41, które wchodzą w życie z mocą od dnia 1 kwietnia 2020 r.; 7) art. 73 pkt 68 w zakresie dodawanego art. 31zy6 - który wchodzi w życie z mocą od dnia 14 marca 2020 r. ” ; 5) art. 71 i art. 76 ustawy z dnia 14 maja 2020 r. o zmianie niektórych ustaw w zakresie działań osłonowych w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz. U. poz. 875), które stanowią: „ Art. 71. 1. Przepisy art. 14 pkt 8 i 9 oraz art. 36 stosuje się do ogłoszonych przed dniem wejścia w życie niniejszej ustawy przetargów, konkursów i aukcji. 2. W przypadku gdy w ogłoszonym przetargu, konkursie lub aukcji przed dniem wejścia w życie niniejszej ustawy zostały złożone oferty Prezes Urzędu Komunikacji Elektronicznej: 1) zwraca niezwłocznie złożone oferty uczestnikom; 2) wpłacone przez uczestników przetargu albo aukcji wadium zwraca w terminie 21 dni od dnia unieważnienia przetargu albo aukcji z przyczyny, o której mowa w art. 118d ust. 1a ustawy zmienianej w art. 14 w brzmieniu nadanym niniejszą ustawą. ” „ Art. 76. Ustawa wchodzi w życie z dniem następującym po dniu ogłoszenia, z wyjątkiem: 1) art. 1, art. 2, art. 8, art. 46 pkt 47 w zakresie dodawanego art. 31zzg, oraz art. 63-65, które wchodzą w życie po upływie 14 dni od dnia ogłoszenia; 2) art. 7 w zakresie art. 12a ust. 4, art. 27 w zakresie art. 72a ust. 1, oraz art. 30 w zakresie 139b ust. 1, które wchodzą w życie z dniem ogłoszenia z mocą od dnia 30 kwietnia 2020 r.; 3) art. 10: a) pkt 1 i 2, które wchodzą w życie po upływie 12 miesięcy od dnia ogłoszenia, b) pkt 3, który wchodzi w życie z dniem 1 stycznia 2021 r.; 4) art. 14 pkt 1-7 i 12, które wchodzą w życie z dniem 21 grudnia 2020 r.; 5) art. 9, art. 16, art. 18 oraz art. 72, które wchodzą w życie z dniem 1 lipca 2020 r.; 6) art. 29 pkt 7, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 13 marca 2020 r.; 7) art. 33, który wchodzi w życie po upływie 30 dni od dnia ogłoszenia, z wyjątkiem pkt 1 w zakresie art. 4b ust. 5, który wchodzi w życie z dniem 1 stycznia 2021 r.; 8) art. 46: a) pkt 1 i 2, które wchodzą w życie z dniem 25 maja 2020 r., b) pkt 3: - w zakresie art. 4d, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 1 kwietnia 2020 r., - w zakresie art. 4e, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 8 marca 2020 r., c) pkt 19, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 1 maja 2020 r., d) pkt 31, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 1 kwietnia 2020 r., e) pkt 36, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 7 marca 2020 r.; 9) art. 58, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 1 kwietnia 2020 r.; 10) art. 59, który wchodzi w życie z dniem ogłoszenia z mocą od dnia 18 kwietnia 2020 r. ” . a) Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2017 r. poz. 2405 oraz z 2018 r. poz. 138, 650, 723, 730 i 1544. Załącznik - Tekst jednolity ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa1)Niniejsza ustawa w zakresie swojej regulacji wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1). Rozdział 1 Przepisy ogólne Art. 1. 1. Ustawa określa: 1) organizację krajowego systemu cyberbezpieczeństwa oraz zadania i obowiązki podmiotów wchodzących w skład tego systemu; 2) sposób sprawowania nadzoru i kontroli w zakresie stosowania przepisów ustawy; 3) zakres Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej. 2. Ustawy nie stosuje się do: 1) przedsiębiorców telekomunikacyjnych, o których mowa w ustawie z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. z 2019 r. poz. 2460 oraz z 2020 r. poz. 374, 695 i 875), w zakresie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów; 2) dostawców usług zaufania, którzy podlegają wymogom art. 19 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73); 3) podmiotów wykonujących działalność leczniczą, tworzonych przez Szefa Agencji Bezpieczeństwa Wewnętrznego lub Szefa Agencji Wywiadu. Art. 2. Użyte w ustawie określenia oznaczają: 1) CSIRT GOV - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego; 2) CSIRT MON - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Ministra Obrony Narodowej; 3) CSIRT NASK - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Naukową i Akademicką Sieć Komputerową - Państwowy Instytut Badawczy; 4) cyberbezpieczeństwo - odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez te systemy; 5) incydent - zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo; 6) incydent krytyczny - incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV; 7) incydent poważny - incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej; 8) incydent istotny - incydent, który ma istotny wpływ na świadczenie usługi cyfrowej w rozumieniu art. 4 rozporządzenia wykonawczego Komisji (UE) 2018/151 z dnia 30 stycznia 2018 r. ustanawiającego zasady stosowania dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w odniesieniu do dalszego doprecyzowania elementów, jakie mają być uwzględnione przez dostawców usług cyfrowych w zakresie zarządzania istniejącymi ryzykami dla bezpieczeństwa sieci i systemów informatycznych, oraz parametrów służących do określenia, czy incydent ma istotny wpływ (Dz. Urz. UE L 26 z 31.01.2018, str. 48), zwanego dalej „rozporządzeniem wykonawczym 2018/151”; 9) incydent w podmiocie publicznym - incydent, który powoduje lub może spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego realizowanego przez podmiot publiczny, o którym mowa w art. 4 pkt 7-15; 10) obsługa incydentu - czynności umożliwiające wykrywanie, rejestrowanie, analizowanie, klasyfikowanie, priorytetyzację, podejmowanie działań naprawczych i ograniczenie skutków incydentu; 11) podatność - właściwość systemu informacyjnego, która może być wykorzystana przez zagrożenie cyberbezpieczeństwa; 12) ryzyko - kombinację prawdopodobieństwa wystąpienia zdarzenia niepożądanego i