W Polsce organizację krajowego systemu cyberbezpieczeństwa oraz zadania i obowiązki tworzących go podmiotów określa ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Celem systemu jest zapewnienie cyberbezpieczeństwa na poziomie krajowym, w tym niezakłóconego świadczenia usług przez podmioty kluczowe i podmioty ważne. System tworzą m.in. te podmioty, trzy zespoły reagowania na incydenty bezpieczeństwa komputerowego działające na poziomie krajowym – prowadzone przez Ministra Obrony Narodowej (CSIRT MON), Naukową i Akademicką Sieć Komputerową (CSIRT NASK) oraz Szefa Agencji Bezpieczeństwa Wewnętrznego (CSIRT GOV) – a także organy właściwe do spraw cyberbezpieczeństwa i Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa.
Ustawę znowelizowano 23 stycznia 2026 r. w celu wdrożenia dyrektywy NIS 2, a zmiany weszły w życie 3 kwietnia 2026 r.Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (). Nowelizacja wprowadziła podział na podmioty kluczowe i podmioty ważne, objęła ustawą nowe sektory gospodarki, m.in.