System S46 – logowanie, raportowanie i obowiązki w praktyce

W tym technicznym poradniku przechodzimy przez całą ścieżkę: czym prawnie jest s46 system i kto musi go używać, jak wygląda system S46 logowanie krok po kroku (profil zaufany, e-dowód, podpis kwalifikowany, a od września 2026 r. także zagraniczne eID), jakie problemy z logowaniem spotykamy najczęściej, jak przebiega raportowanie incydentów — co, kiedy i jak zgłaszać, co dołączyć do zgłoszenia oraz jak zintegrować S46 z wewnętrznym Systemem Zarządzania Bezpieczeństwem Informacji, żeby nie prowadzić podwójnej księgowości incydentów. Podstawowe informacje o samym systemie znajdziesz w tekście System S46 – co to jest i kogo dotyczy? — tu skupiamy się na praktyce.

Czym jest S46 i skąd ten obowiązek?

Formalnie rzecz biorąc, „S46″ to potoczna nazwa systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm.) — rozwijanego i utrzymywanego przez ministra właściwego do spraw informatyzacji. Ustawa przypisuje mu szeroki katalog funkcji (art. 46 ust. 1 pkt 1–8):

• współpracę podmiotów krajowego systemu cyberbezpieczeństwa oraz wymianę informacji o incydentach,
• generowanie i przekazywanie rekomendacji podnoszących poziom cyberbezpieczeństwa,
• zgłaszanie i obsługę incydentów,
• szacowanie ryzyka na poziomie krajowym i ostrzeganie o cyberzagrożeniach,
• czynności nadzorcze organów właściwych do spraw cyberbezpieczeństwa,
• dokonywanie zgłoszenia naruszenia ochrony danych osobowych z art. 33 RODO przez podmioty kluczowe lub ważne (pkt 7 — tak, zgłoszenie do Prezesa UODO też „idzie” przez ten system),
• wymianę informacji o aktach organów.

W systemie prowadzony jest także wykaz podmiotów kluczowych i ważnych (art. 46 ust. 1a), a dodatkowo system zapewnia wymianę informacji między organami do spraw podmiotów krytycznych, dyrektorem Rządowego Centrum Bezpieczeństwa a podmiotami krytycznymi z ustawy o zarządzaniu kryzysowym (art. 46 ust. 1b; por. art. 6zo ust. 3 u.z.k. — wykaz podmiotów krytycznych prowadzi się w tym samym systemie). Korzystają z niego CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT-y sektorowe, organy właściwe do spraw cyberbezpieczeństwa oraz Prezes Urzędu Ochrony Danych Osobowych (art. 46 ust. 2).

Stąd częste nieporozumienie widoczne w wyszukiwaniach typu „nask s46“: CSIRT NASK jest jednym z zespołów reagowania przyjmujących zgłoszenia w systemie (dla części sektorów właściwe są CSIRT-y sektorowe — art. 2 pkt 3a KSC), ale sam system jest rozwiązaniem ministra cyfryzacji, nie NASK. Z kolei obowiązek korzystania z S46 wynika wprost z art. 9 ust. 1 pkt 4 KSC: podmiot kluczowy lub ważny „po uzyskaniu wpisu do wykazu rozpoczyna korzystanie z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1″.

Logowanie w systemie S46 – instrukcja krok po kroku

(PLACEHOLDER: screenshot strony startowej S46 / ekranu wyboru metody logowania)

Proces w wariancie podstawowym:

1. Samoidentyfikacja i rejestracja. Zanim zalogujesz się „na firmę”, podmiot musi znaleźć się w wykazie. Od 2026 r. działa samorejestracja: podmiot, który spełnia przesłanki z załącznika nr 1 (kluczowy) lub nr 2 (ważny) do ustawy, składa wniosek o wpis — ma na to 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1 KSC), a dane we wniosku odpowiadają katalogowi z art. 7 ust. 2 pkt 1–18 (m.in. nazwa, sektor i podsektor, adres siedziby, adres do doręczeń elektronicznych, dane osób odpowiedzialnych za kontakty). Zmianę danych zgłaszasz w 14 dni (art. 7c ust. 3).
2. Wyznaczenie osób do kontaktu. Art. 9 ust. 1 pkt 1 KSC wymaga wyznaczenia co najmniej dwóch osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami krajowego systemu (mikro- i mali przedsiębiorcy oraz ważni będący podmiotami publicznymi — co najmniej jednej, art. 9 ust. 2–3). Te osoby uzyskują dostęp do konta podmiotu.
3. Wybór metody uwierzytelnienia. Logowanie odbywa się przez krajowy węzeł identyfikacji elektronicznej (login.gov.pl): profil zaufany, e-dowód (dowód osobisty z warstwą elektroniczną + czytnik NFC), kwalifikowany podpis elektroniczny lub — dla bankowości kilku dostawców — podpis elektroniczny banku. Od września 2026 r. system obsługuje również zagraniczne środki identyfikacji elektronicznej (eID) notyfikowane w UE — to ukłon w stronę członków zarządu i specjalistów bez numeru PESEL.
4. Logowanie i praca na koncie podmiotu. Po uwierzytelnieniu osoba fizyczna wybiera podmiot, który reprezentuje, i przechodzi do modułów: wykaz/dane podmiotu, zgłaszanie incydentów, komunikacja z CSIRT/organem, rekomendacje i ostrzeżenia.
5. Wylogowanie i higiena sesji. Systemy klasy rządowej wygaszają sesję po bezczynności — przy zgłoszeniu incydentu w środku nocy przygotuj treść wcześniej (np. w wewnętrznym szablonie), żeby nie stracić draftu.

Wymagania techniczne: przeglądarka, certyfikat, profil zaufany

• Przeglądarka: aktualna wersja jednej z głównych przeglądarek (Chrome, Edge, Firefox) z włączoną obsługą JavaScript i cookies; unikaj trybów prywatnych przy logowaniu przez czytniki kart.
• Profil zaufany: ważny standardowo 3 lata — sprawdź termin przed sezonem urlopowym i przed dyżurami incydentalnymi; przedłużysz go online przez bankowość elektroniczną lub w punkcie potwierdzającym.
• Kwalifikowany podpis elektroniczny: ważny certyfikat + aktualne oprogramowanie dostawcy (cardmanager/aplikacja podpisująca); dla podpisu w chmurze — dostęp do aplikacji autoryzującej.
• E-dowód: telefon z NFC lub czytnik PC/SC + zainstalowane sterowniki i aplikacja eDO App; PIN-y do warstwy elektronicznej ustawione przy odbiorze dokumentu.
• Reprezentacja: osoba logująca się „na firmę” musi być umocowana — system weryfikuje powiązanie z KRS/CEIDG lub pełnomocnictwo; osoby do kontaktu z art. 9 ust. 1 KSC dopina się do konta podmiotu.
• Adres do doręczeń elektronicznych (e-Doręczenia): wpis do wykazu obejmuje adres do doręczeń elektronicznych (art. 2 pkt 3c i art. 7 ust. 2 KSC) — brak skrzynki e-Doręczenia blokuje kompletne zgłoszenie.

(PLACEHOLDER: screenshot ekranu logowania login.gov.pl z zaznaczonymi metodami)

Najczęstsze problemy z logowaniem i jak je rozwiązać?

Jeśli problem dotyczy samego systemu (awaria, błąd walidacji), kieruj się do punktu kontaktowego administratora systemu (Ministerstwo Cyfryzacji) — kanał i SLA znajdziesz na stronie systemu oraz w komunikatach organu; przy incydencie poważnym w czasie awarii systemu dokumentuj próbę zgłoszenia (zrzut z timestampem) i korzystaj z kanałów awaryjnych wskazanych przez właściwy CSIRT.

Proces raportowania incydentów w S46 – co, kiedy i jak zgłaszać?

Raportowanie incydentów to najważniejszy operacyjnie moduł S46. Ramy prawne wyznacza art. 11 ust. 1 pkt 4–4c KSC — i warto je znać na pamięć, bo terminy liczą się od wykrycia, nie od „ustalenia wszystkich szczegółów”:

Zgłoszenia przekazuje się za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 (art. 11 ust. 2 KSC). „Incydent poważny” to kategoria ustawowa (art. 2 pkt 7 KSC) — incydent, który powoduje lub może spowodować poważne zakłócenie świadczenia usługi lub straty; progi i szczegóły doprecyzowują przepisy wykonawcze oraz wytyczne organów. Uwaga na równoległe reżimy: podmiot krytyczny zgłasza incydent istotny w 24 h także na gruncie ustawy o zarządzaniu kryzysowym (art. 6zv ust. 1 pkt 4), a naruszenie danych osobowych — w 72 h do Prezesa UODO (art. 33 RODO; dla podmiotów kluczowych/ważnych — przez S46, art. 46 ust. 1 pkt 7 KSC). Szerzej o logice NIS2 piszemy w przewodniku Jak zgłaszać incydenty cyberbezpieczeństwa zgodnie z NIS2.

Formularz zgłoszenia – pola obowiązkowe i opcjonalne

Formularze w S46 odzwierciedlają logikę NIS2 i aktów wykonawczych; dokładny układ pól określa bieżąca wersja systemu i wytyczne właściwego CSIRT, ale spodziewaj się następujących bloków (przygotuj je w wewnętrznym szablonie — skrócisz zgłoszenie nocne o kilkadziesiąt minut):

Dane obowiązkowe (rdzeń zgłoszenia):

• identyfikacja podmiotu (nazwa, sektor/podsektor, dane z wykazu) i osoby zgłaszającej z kontaktu roboczego (telefon 24/7!),
• czas wystąpienia i czas wykrycia incydentu (to od wykrycia liczą się terminy),
• opis zdarzenia: co się stało, wektor ataku (jeśli znany), zaangażowane systemy/usługi,
• wpływ na usługi: zakłócenie/przerwanie, skala (liczba użytkowników, transakcji, lokalizacji), czas trwania,
• kategorie naruszenia: poufność / integralność / dostępność; czy doszło do wycieku danych osobowych (→ ścieżka RODO!),
• podjęte działania doraźne (izolacja, blokady, wyłączenie usługi, odtworzenie z kopii),
• wczesne ostrzeżenie: dodatkowo — podejrzenie przyczyny (np. skompromitowane poświadczenia, podatność, błąd konfiguracji) i czy trwa dalszy atak.

Pola uzupełniające/opcjonalne (w miarę postępów analizy):

• wskaźniki IoC (adresy IP, domeny, hashe plików),
• liczby: rekordy danych, konta, hosty; szacunek strat,
• czy powiadomiono klientów/użytkowników (obowiązek informacyjny wobec użytkowników usługi — art. 11 ust. 1 pkt 5 KSC dotyczy informowania o incydencie poważnym mogącym mieć niekorzystny wpływ na usługę),
• dane dostawcy/dostawców zaangażowanych w obsługę incydentu,
• w sprawozdaniu końcowym: pełna chronologia, przyczyna źródłowa, działania naprawcze, wnioski na przyszłość.

Zasada praktyczna: wczesne ostrzeżenie wysyłaj nawet z niepełnymi danymi — termin 24 h jest bezwzględny, a „doniesienie” szczegółów następuje w zgłoszeniu 72 h i sprawozdaniu końcowym. Nie czekaj na pełny obraz ataku.

Załączniki do zgłoszenia: logi, raporty, dowody incydentu

Do zgłoszeń (zwłaszcza końcowego) dołącza się materiał dowodowy:

• Logi: wycinki z SIEM/syslog (z zachowaniem łańcucha custodianship — kto, kiedy pobrał), logi uwierzytelnień, logi firewall/WAF dla wektora wejścia,
• Raporty techniczne: z analizy forensic, skanów podatności wykonanych po zdarzeniu, raportu z pentestu (jeśli dotyczył obszaru),
• Materiały oszustwa (przy phishingu/smishingu): treść wiadomości z nagłówkami, zrzuty fałszywych stron, numery nadawcze — pamiętaj, że samo podszywanie się w SMS-ie jest dziś przestępstwem (art. 30 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej), a wzorce takich wiadomości obsługuje CSIRT NASK (art. 4 tej ustawy);
• Chronologia i decyzje: timeline zdarzeń, podjęte działania z timestampami, komunikacja wewnętrzna,
• Wnioski i plan naprawczy (sprawozdanie końcowe).

Trzy zasady bezpieczeństwa załączników: minimalizacja danych osobowych (art. 5 ust. 1 lit. c RODO — maskuj dane osób, których nie potrzebujesz do opisu incydentu), ochrona informacji wrażliwych (raport z lukami to mapa słabych punktów — udostępniaj wyłącznie w przeznaczonym do tego kanale; dokumentacja podlega nadzorowi — por. art. 10 KSC i dla podmiotów krytycznych art. 6zu ust. 5 u.z.k.), oraz informacje niejawne — jeśli sprawa ich dotyczy, nie przesyłaj ich przez zwykły system teleinformatyczny (reżim ustawy o ochronie informacji niejawnych, t.j. Dz. U. z 2025 r. poz. 1209).

Integracja z wewnętrznym Systemem Zarządzania Bezpieczeństwem Informacji

S46 nie zastępuje Twojego procesu incydentowego — jest oknem podawczym na styku z państwem. Fundament pozostaje po Twojej stronie: SZBI z art. 8 ust. 1 KSC (systematyczne szacowanie ryzyka i zarządzanie nim, środki proporcjonalne do ryzyka), dokumentacja z art. 10 KSC oraz — jeśli masz ISO 27001 — kontrole A.5.24–A.5.28 (planowanie i obsługa incydentów, klasyfikacja, eskalacja). Jak to poskładać, opisujemy w tekście Incident management w ISO 27001; o całościowym wdrożeniu i nadzorze przeczytasz w System S46 – wdrożenie i nadzór nad cyberbezpieczeństwem.

Automatyzacja zgłoszeń – API, webhooks, integracje z SIEM

Realny obraz automatyzacji (wrzesień 2026):

1. Wewnątrz organizacji — automatyzuj wszystko, co się da: SIEM/SOC wykrywa i klasyfikuje zdarzenia wg progów „poważności” (mapa: kryteria z art. 2 pkt 7 KSC + progi z przepisów wykonawczych + kryteria naruszenia RODO), ticketing (Jira/ServiceNow/GLPI) prowadzi chronologię i zadania, rejestr incydentów w narzędziu GRC agreguje status i pilnuje terminów 24 h / 72 h / 1 miesiąc alertami do wyznaczonych osób (art. 9 ust. 1 pkt 1 KSC — minimum dwie osoby, z zastępstwami!).
2. Na styku z S46 — półautomatycznie: przygotowane szablony treści zgłoszeń generowane z danych wewnętrznego rejestru (podmiot, usługa, chronologia, IoC), eksport załączników w wymaganym formacie, checklista pól obowiązkowych. Samo wysłanie następuje przez interfejs systemowy przez osobę upoważnioną.
3. Pełna automatyzacja (API/webhooks): publiczny zakres integracyjny systemu określa jego administrator — zanim zaprojektujesz proces „zero-touch”, zweryfikuj aktualne możliwości udostępniane przez Ministerstwo Cyfryzacji/właściwe CSIRT-y. Nawet gdy API istnieje, zostaw czynnik ludzki przed wysyłką: kwalifikacja prawna incydentu (poważny? naruszenie danych? incydent istotny u.z.k.?) to decyzja, za którą odpowiadasz przed organem — automat może ją co najwyżej zasugerować.

Rejestr incydentów wewnętrznych a raportowanie do S46 – jak uniknąć dublowania?

Najczęstszy błąd: dwa niezależne rejestry — „techniczny” w SOC i „urzędowy” do zgłoszeń — rozjeżdżające się w szczegółach, co przy kontroli wygląda fatalnie. Model docelowy:

• Jeden rejestr = jedno źródło prawdy (klauzula: każdy incydent ma jeden numer ID w całym łańcuchu: wykrycie → klasyfikacja → zgłoszenia zewnętrzne → wnioski).
• Flagi zewnętrzne przy rekordzie: [ ] incydent poważny KSC → wczesne ostrzeżenie (data/godz. wysyłki, nr sprawy w S46), [ ] zgłoszenie 72 h, [ ] sprawozdanie końcowe, [ ] naruszenie RODO → zgłoszenie do UODO (przez S46 — art. 46 ust. 1 pkt 7), [ ] podmiot krytyczny → incydent istotny 24 h (u.z.k.), [ ] sektor finansowy → DORA (art. 19 — wstępne/śródokresowe/końcowe).
• Drzewo decyzyjne klasyfikacji w procedurze incydentalnej: jedna strona, która prowadzi dyżurnego od „zdarzenie” do decyzji o każdym wymaganym zgłoszeniu — z czasami (24 h/72 h/1 mies. KSC; 72 h UODO; 24 h/30 dni u.z.k.).
• Retencja i dowody: przechowuj treść wysłanych zgłoszeń i potwierdzeń (UPO/numery spraw) razem z logami — to Twój dowód terminowości w sporze z organem (kara z art. 73 ust. 1 pkt 13 KSC dotyczy niekorzystania z systemu; spóźnione lub wadliwe zgłoszenia też bywają karane — por. art. 73 ust. 1 pkt 5–9).

Tak zaprojektowany obieg sprawia, że „podwójna praca” znika: analityk SOC uzupełnia jedno zgłoszenie wewnętrzne, z którego system/procedura generuje treść raportów zewnętrznych — a zarząd widzi spójne KPI (liczba incydentów, MTTR, terminowość zgłoszeń) zarówno w przeglądzie zarządzania ISO 27001 (klauzula 9.3), jak i w dowodach zgodności z KSC.

Podsumowanie: S46 to obowiązek, który warto mieć „przećwiczony”

System S46 nie jest ciekawostką dla największych — po nowelizacji KSC dotyczy tysięcy podmiotów kluczowych i ważnych, a jego użycie jest prawnie obowiązkowe od dnia wpisu do wykazu (art. 9 ust. 1 pkt 4 KSC). Minimum przygotowania to: aktualne dane w wykazie (zmiany w 14 dni — art. 7c ust. 3), wyznaczone i przeszkolone co najmniej dwie osoby do kontaktu (art. 9 ust. 1 pkt 1), działające metody logowania u wszystkich upoważnionych (profil zaufany/e-dowód/podpis — przetestowane przed pierwszym incydentem), szablon zgłoszenia z polami obowiązkowymi oraz jeden wewnętrzny rejestr incydentów z flagami zgłoszeń zewnętrznych. Reszta to praktyka — najlepiej zdobyta na ćwiczeniu, nie na produkcji.

---

Pomoc z rejestracją i konfiguracją S46 — kontakt do eksperta
Przeprowadzimy Cię przez samoidentyfikację i wniosek o wpis do wykazu (termin 6 miesięcy!), skonfigurujemy konto podmiotu i osoby kontaktowe, przygotujemy szablony zgłoszeń 24h/72h/1miesiąc oraz procedurę integracji S46 z Twoim wewnętrznym rejestrem incydentów.

Skontaktuj się z nami

Name

Email

Phone

Wiadomość

Wyślij wiadomość

---

Źródła prawne i normatywne

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm.) — art. 2 pkt 3a, 3c, 7; art. 7 ust. 2; art. 7c; art. 8 ust. 1; art. 9 ust. 1–3; art. 10; art. 11 ust. 1 pkt 4–4c i ust. 2; art. 46 ust. 1, 1a, 1b i 2; art. 73 ust. 1 pkt 13.
2. Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (t.j. Dz. U. z 2026 r. poz. 574 i 815) — art. 6zo ust. 3; art. 6zv ust. 1 pkt 4; art. 6zu ust. 5.
3. Rozporządzenie (UE) 2016/679 (RODO) — art. 5 ust. 1 lit. c; art. 33.
4. Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (t.j. Dz. U. z 2024 r. poz. 1803, z późn. zm.) — art. 4; art. 30.
5. Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (t.j. Dz. U. z 2025 r. poz. 1209).
6. Norma ISO/IEC 27001:2022 — Załącznik A: A.5.24–A.5.28 (zarządzanie incydentami); klauzula 9.3.
7. Komunikaty dotyczące logowania eID i samorejestracji — gov.pl / Ministerstwo Cyfryzacji (wrzesień 2026).

Układ interfejsu S46 i zakres funkcjonalności mogą się zmieniać — przed wykonaniem czynności sprawdź aktualne komunikaty administratora systemu. Zdjęcia (placeholdery) uzupełnij zrzutami z własnego konta. Stan prawny na dzień 20 września 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.