Cyberbezpieczeństwo warsztatu samochodowego w 2026 roku – jak chronić dane klientów, samochodów i systemy serwisowe?

Dlaczego cyberbezpieczeństwo warsztatu przestało być tematem tylko dużych firm?

Współczesny warsztat trzyma znacznie więcej informacji niż zeszyt z numerem telefonu i opisem „stuk z przodu”. Są w nim dane ludzi, aut, pieniędzy i dostępu do systemów, więc ich utrata zatrzymuje pracę także w firmie z dwoma stanowiskami.

Przy jednym zleceniu pojawiają się imię i nazwisko, telefon, e-mail, historia napraw, VIN, numer rejestracyjny, zdjęcia samochodu, kosztorys, faktura, raport diagnostyczny i dane pracownika, który auto przyjął. Do tego dochodzi poczta, program do warsztatu, portal producenta, konto KSeF i router, przez który przechodzi Wi-Fi na hali oraz w poczekalni.

Mały i średni serwis korzysta z tych narzędzi bez etatu informatyka. Cyberbezpieczeństwo warsztatu samochodowego polega wtedy na kilku decyzjach właściciela: kto ma login, co jest aktualizowane, gdzie leży kopia i co zespół robi z podejrzanym mailem. Reszta tego artykułu rozpisuje te decyzje na konkretne miejsca w firmie.

Jakie dane znajdują się dziś w warsztacie samochodowym?

W warsztacie są dane klientów, pojazdów, finansów, techniki, pracowników i dane dostępowe do systemów. Każda grupa wymaga innego powodu przechowywania i innego ograniczenia, kto może ją zobaczyć.

Dane klientów

Do przyjęcia auta i wystawienia dokumentu potrzebne są zwykle imię i nazwisko albo nazwa firmy, telefon, e-mail oraz dane do faktury. To dane osobowe, gdy dotyczą osoby fizycznej, w tym osoby prowadzącej działalność. Zgoda marketingowa jest osobnym tematem: naprawa nie wymaga newslettera.

Dane pojazdów

VIN, numer rejestracyjny, przebieg i zdjęcia identyfikują auto. Gdy stoją obok danych właściciela, historia pojazdu staje się historią konkretnej osoby. Dlatego kartoteka samochodu podlega tej samej dyscyplinie dostępu co kartoteka klienta, nawet jeśli sam VIN bez kontekstu bywa dyskutowany jako dana techniczna.

Dane finansowe

Kosztorys, faktura, paragon i informacja o płatności dokumentują uzgodnioną cenę oraz obowiązek podatkowy. Dostęp do nich może być węższy niż dostęp do opisu usterki. Osoba na stanowisku nie musi widzieć marży całego miesiąca, żeby wymienić klocki.

Dane techniczne

Kody błędów, raport PDF, pomiar i zalecenie są dowodem zakresu pracy. Giną najczęściej wtedy, gdy zostają w skrzynce mechanika albo na pendrivie testera. Przy reklamacji liczy się wersja przypięta do zlecenia. Szerszy sens takiej dokumentacji opisuje artykuł Historia serwisowa pojazdu – przewaga nowoczesnego warsztatu w 2026.

Dane pracowników

Imię, służbowy e-mail i rola wystarczają do prowadzenia konta. Warsztat nie potrzebuje trzymać w programie serwisowym prywatnych dokumentów kadrowych, jeśli i tak prowadzi je księgowość albo biuro rachunkowe.

Dane dostępowe

Hasła i kody do poczty, programu, Wi-Fi, banku oraz portali producentów chronią wszystkie poprzednie grupy. Ich miejsce jest w menedżerze haseł albo w usłudze z drugim składnikiem logowania, a nie na kartce przy monitorze.

Dlaczego warsztat samochodowy może być celem cyberataku?

Warsztat ma dane, które da się wykorzystać od razu: kontakty klientów, skrzynkę pocztową, faktury i dostęp do pieniędzy. Nie znaczy to, że każdy serwis zostanie wybrany indywidualnie. Wystarczy, że używa tych samych usług co tysiące innych małych firm.

CERT Polska w raporcie za 2025 rok podał, że odnotował 253 238 incydentów zakwalifikowanych jako oszustwa komputerowe. Stanowiły one 97% obsłużonych zdarzeń, a wobec roku poprzedniego ich liczba wzrosła o 158%. Najczęstszym rodzajem były próby wyłudzenia loginów i haseł do poczty, bankowości i innych usług online. W tym samym raporcie zespół odnotował 179 ataków ransomware, wobec 147 w 2024 roku i 161 w 2023 roku. Zgłoszenia ransomware pochodziły głównie od podmiotów prywatnych (129), dalej od instytucji publicznych (30) i osób fizycznych (20). Przestępcy opisani w raporcie chcą zaszyfrować dane potrzebne do działania firmy, a część grup najpierw kopiuje dane, a dopiero potem je szyfruje.

Te liczby dotyczą zdarzeń zarejestrowanych przez CERT Polska w 2025 roku w całej polskiej cyberprzestrzeni. Nie są statystyką warsztatów samochodowych i nie wolno z nich wyliczać „ryzyka serwisu w procentach”. Pokazują natomiast mechanizmy, które pasują do recepcji: fałszywa faktura, prośba o login, program szyfrujący dysk. Mała firma jest w tym mechanizmie ważna, bo jej baza klientów i poczta mają wartość także wtedy, gdy przychód warsztatu nie przypomina korporacji. NASK przy publikacji raportu podał szerszy mianownik: 658 320 zgłoszeń, o 10% więcej niż rok wcześniej, oraz 260 783 unikalne incydenty, o 152% więcej. W tym samym komunikacie wzrost liczby incydentów powiązano zarówno z większą świadomością zgłaszających i skuteczniejszym monitoringiem, jak i z rozwojem technologii. To wyjaśnienie dotyczy 152-procentowego wzrostu incydentów, a nie osobno 158-procentowego wzrostu kategorii oszustw komputerowych. Zgłoszenie i incydent nie są w raporcie tą samą liczbą.

Realne skutki, bez katalogu strachu, są operacyjne. Phishing odbiera pocztę. Kradzież hasła pozwala wejść do programu. Przejęcie konta pracownika wygląda jak zwykła praca. Złośliwe oprogramowanie zatrzymuje komputer na recepcji. Wyciek bazy ujawnia telefony klientów. Atak na pocztę psuje płatności, gdy ktoś podmieni numer konta na fakturze. Utrata danych kasuje historię potrzebną przy reklamacji. Nieautoryzowany dostęp swojego pracownika bywa zwykłym zbyt szerokim uprawnieniem, a nie włamaniem z zewnątrz.

Jakie zagrożenia cyberbezpieczeństwa warsztatu warto zamknąć w pierwszej kolejności?

Poniższe piętnaście sytuacji to typowe słabe miejsca małego serwisu, a nie ranking z badania warsztatów. Wynikają z pośpiechu i wspólnych haseł. Przy każdej jest problem, przykład, skutek i działanie, które właściciel może zlecić od razu.

Jak zabezpieczyć konto pracownika warsztatu?

Konto pracownika jest bezpieczne wtedy, gdy należy do jednej osoby, ma silne hasło, ograniczone uprawnienia i da się je usunąć w dniu odejścia z pracy. Pracownik powinien mieć dostęp tylko do tego, czego potrzebuje do swojej pracy.

Indywidualne konto zaczyna się od służbowego e-maila, a nie od imienia wpisanego w cudzysłowie przy wspólnym loginie. Hasło ustala pracownik albo dostaje je jednorazowo i zmienia przy pierwszym wejściu. Właściciel nie musi znać na co dzień hasła mechanika. Musi umieć konto zamknąć.

MFA włącz wszędzie tam, gdzie usługa warsztatu je ma: poczta, bank, portal producenta, panel routera, program serwisowy. Drugi składnik jest szczególnie ważny na skrzynce, bo przez nią odzyskuje się pozostałe hasła.

Uprawnienia ustawia się według stanowiska. Doradca przyjmuje klienta i widzi zlecenie. Osoba od faktur widzi płatności. Mechanik nie musi mieć analiz całego miesiąca ani prawa do usuwania bazy. Raz na kwartał warto otworzyć listę kont i skreślić to, co zostało „na chwilę”.

Po odejściu pracownika konto usuń albo zablokuj tego samego dnia. Jeśli program zapisuje historię operacji, zostaw ją przypisaną do osoby, która wtedy pracowała. Nowe hasła ustaw na usługach współdzielonych, których nie da się rozdzielić na ludzi, przede wszystkim na Wi-Fi.

Dlaczego wspólne konto „mechanik” jest złym rozwiązaniem?

Wspólne konto „mechanik” dla pięciu osób uniemożliwia ustalenie, kto wykonał operację, i zmusza do zmiany hasła całej brygadzie, gdy odchodzi jedna osoba. Identyfikowalność jest częścią porządku w zleceniach, nie dodatkiem dla korporacji.

Pięciu pracowników korzysta z jednego loginu. W czwartek znika pozycja z kosztorysu, w piątek ktoś zmienia status zlecenia na „wydane”, choć auto stoi na podnośniku, a w poniedziałek z karty pojazdu znika skan protokołu. Każdy z zespołu może powiedzieć, że to nie on. Klient pamięta inną kwotę. Właściciel nie ma śladu poza wspólnym kontem, które było zalogowane „przez kogoś”.

Ten sam login psuje też odejście z pracy. Żeby zabrać dostęp jednej osobie, trzeba zmienić hasło wszystkim i liczyć, że nikt nie zapisze go z powrotem na tablicy. Jeśli ktoś skopiuje bazę na pendrive, wspólne konto nie wskaże stanowiska ani godziny w sposób, który da się przypisać człowiekowi.

Osobne konta nie wymagają pięciu różnych programów. Wymagają pięciu loginów i uprawnień dopasowanych do roli. Historia „Anna zmieniła kosztorys o 14:12” kończy dyskusję szybciej niż wspólne hasło na kartce.

Jak bezpiecznie przechowywać dane klientów i pojazdów?

Dane klientów i pojazdów przechowuj w jednym systemie z kontrolą dostępu, połączeniem szyfrowanym i kopią, a zakres zbierania ogranicz do celu naprawy, rozliczenia i roszczeń. Nie ma jednego układu technicznego obowiązkowego w każdym warsztacie.

Kontrola dostępu oznacza, że baza nie jest plikiem otwieranym hasłem „1234” na pulpicie. Szyfrowanie połączenia, czyli HTTPS w programie online albo szyfrowany kanał do własnego serwera, chroni dane w drodze między recepcją a systemem. Szyfrowanie dysku laptopa ma znaczenie wtedy, gdy komputer wynosi się z hali.

Kopia zapasowa dotyczy zarówno programu, jak i plików, które nadal leżą lokalnie: zdjęć z aparatu, raportów z testera, skanów. Polityka haseł w małej firmie może mieć pięć zdań: unikalne hasło, menedżer haseł, MFA na poczcie, brak kartek, zmiana po odejściu pracownika. Przegląd uprawnień raz na kwartał wyłapuje konto praktykanta sprzed sezonu.

VIN i numer rejestracyjny trzymaj przy pojeździe, a nie w tytule zdjęcia wysłanego na prywatny komunikator. Historia napraw zostaje w kartotece, bo jest potrzebna przy kolejnej wizycie i przy sporze. Gdy klient składa reklamację, komplet protokołu i zakresu prac rozstrzyga więcej niż pamięć recepcji. Temat dowodów opisuje poradnik Reklamacja naprawy samochodu – prawa klienta i obowiązki warsztatu.

Czy program do warsztatu w chmurze jest bezpieczny?

Program do warsztatu w chmurze jest bezpieczny wtedy, gdy architektura, logowanie, uprawnienia, kopie i procedura dostawcy są opisane, a warsztat pilnuje własnych urządzeń i haseł. Zdanie „chmura jest bezpieczna” albo „chmura jest niebezpieczna” pomija obie strony.

Dostawca odpowiada za to, jak aplikacja rozdziela warsztaty, jak przechowuje hasła, jak aktualizuje oprogramowanie, kto z jego zespołu może zobaczyć dane i jak odtwarza bazę po awarii. Warsztat odpowiada za to, kto dostał konto, czy poczta odzyskiwania hasła ma MFA, czy komputer na recepcji jest aktualny i czy były pracownik nadal nie wchodzi do systemu.

Przeniesienie bazy poza dysk przy bramie chroni przed pożarem, kradzieżą komputera i zalaniem stanowiska. Nie chroni przed mailem, w którym ktoś wyłudzi hasło właściciela. Dlatego pytanie „czy dane klientów warsztatu są bezpieczne w chmurze” rozbija się na listę pytań do dostawcy i na listę nawyków w serwisie. Szersze porównanie pracy online jest w artykule Program do warsztatu samochodowego online.

10 pytań, które należy zadać dostawcy programu warsztatowego przed zakupem

1. Gdzie fizycznie przetwarzane są dane i kto jest administratorem, a kto podmiotem przetwarzającym?
2. Czy połączenie użytkownika z aplikacją jest szyfrowane (HTTPS) przez cały czas pracy?
3. Czy każdy pracownik ma własne konto, czy dostawca zakłada jedno konto na firmę?
4. Czy można ograniczyć podgląd klientów, pojazdów, zleceń, płatności i ustawień?
5. Czy widać, kto utworzył, zmienił albo usunął rekord, i jak długo ta historia jest przechowywana?
6. Jak wygląda kopia zapasowa po stronie dostawcy i jak często jest testowane odtwarzanie?
7. Czy dostępne jest MFA albo czy jest w planie produktu? Jeśli nie, jakie inne zabezpieczenie logowania działa dziś?
8. Kto u dostawcy ma dostęp do bazy i w jakiej sytuacji ten dostęp jest używany?
9. Jak zgłosić incydent i w jakim czasie dostawca informuje warsztat o naruszeniu po swojej stronie?
10. Co dzieje się z danymi po zakończeniu abonamentu: eksport, termin usunięcia, potwierdzenie?

Brak publicznej dokumentacji każdego serwera nie jest automatycznie sygnałem ostrzegawczym. Dostawca może chronić szczegóły infrastruktury. Sygnałem ostrzegawczym jest brak odpowiedzi na pytanie, jak odzyskasz własne zlecenia i kto w jego firmie ma do nich wgląd.

Jak wybrać bezpieczny program do warsztatu samochodowego?

Bezpieczny program do warsztatu samochodowego poznasz po kontach, uprawnieniach, śladzie zmian, kopii i zrozumiałej polityce prywatności. Wybór da się oprzeć na sprawdzeniu procesu od przyjęcia auta do faktury, a nie na haśle z ulotki.

• Połączenie HTTPS i aktualna przeglądarka jako warunek codziennej pracy.
• Indywidualne konta pracowników oraz możliwość usunięcia konta osoby, która odeszła.
• Role albo uprawnienia do modułów, a nie jeden poziom „pełny dostęp”.
• Historia operacji wystarczająca, żeby wyjaśnić sporną zmianę w zleceniu.
• Opis kopii i odtwarzania. Dostawca nie musi ujawniać każdego szczegółu infrastruktury, ale powinien umieć powiedzieć, jak odzyskać dane warsztatu.
• Aktualizacje bezpieczeństwa wykonywane przez dostawcę, bez ręcznej instalacji na każdym stanowisku.
• Jasna polityka prywatności: cel przetwarzania, kategorie danych, podwykonawcy, kontakt.
• Osobne uprawnienie do danych finansowych i do certyfikatu KSeF, jeśli program z niego korzysta.
• Możliwość przypięcia zdjęć, raportów i protokołów do pojazdu, zamiast trzymania ich w prywatnej poczcie.
• Wsparcie, które odbiera zgłoszenie awarii w godzinach pracy warsztatu.

Podczas prezentacji załóż konto pracownika i spróbuj wejść w płatności oraz ustawienia. Jeśli się da, program nie rozdziela ról albo nikt nie pokazał, gdzie to się wyłącza. Poproś też o usunięcie tego konta na koniec spotkania. To jest test odejścia pracownika, nie formalność.

Jak w Warsztatniku uporządkować dostęp do danych warsztatu?

Warsztatnik porządkuje klientów, pojazdy, zlecenia i dokumenty w kontach przypisanych do warsztatu oraz pozwala ograniczyć uprawnienia pracownika. Nie jest tarczą przed każdym cyberatakiem i nie zastępuje MFA na poczcie, aktualnego komputera ani kopii, którą warsztat sam sprawdzi.

W aktualnej wersji każda osoba loguje się własnym adresem e-mail i hasłem. Hasła są przechowywane jako skrót kryptograficzny, a nie jako tekst jawny. Połączenie z aplikacją odbywa się przez HTTPS. Nowe konto pracownika wymaga aktywacji linkiem z wiadomości e-mail. Dane są przypisane do NIP warsztatu, więc inna firma korzystająca z tego samego programu nie widzi tej bazy. Pobranie informacji z aplikacji wymaga zalogowania.

Uprawnienia ustawia się na modułach: zlecenia, kosztorysy, protokoły przyjęcia, terminarz, samochody, klienci, pracownicy, płatności, analizy i ustawienia. Da się rozdzielić podgląd, dodawanie i usuwanie, a osobno druk paragonu, wysyłkę do KSeF, edycję danych firmy, zarządzanie certyfikatem KSeF, zarządzanie uprawnieniami i podgląd logu czynności. Pracownik nie dostaje domyślnie modułu pracowników, analiz, edycji danych firmy, certyfikatu KSeF, wysyłki KSeF ani logu. To jest poziom modułu, nie ukrywanie pojedynczego zlecenia przed resztą zespołu: osoba z podglądem zleceń widzi zlecenia warsztatu.

Log czynności zapisuje utworzenie, zmianę i usunięcie wraz z osobą i czasem. W aplikacji widać wpisy z ostatnich 30 dni. Taki ślad wystarcza, żeby wyjaśnić świeżą zmianę w kosztorysie. Nie jest wieloletnim archiwum audytowym, więc dokumentów potrzebnych przy reklamacji nie zastępuje sam log: zostają protokół, zlecenie i załączniki.

Przy aucie da się prowadzić kartotekę z VIN, historię zleceń, kosztorys, zdjęcia i protokół przyjęcia. Protokół ma podpisy oraz treść zgody dotyczącej danych osobowych, którą warsztat może dopasować. Raport diagnostyczny i zdjęcie powinny trafić do zlecenia, a nie zostać tylko w telefonie mechanika. Konto osoby, która odchodzi, usuwa się z listy pracowników. Zmiana hasła właściciela unieważnia jego tokeny odświeżania sesji. MFA w samym Warsztatniku nie jest funkcją tej wersji, dlatego drugi składnik trzeba włączyć na poczcie, z której odzyskuje się dostęp, oraz w banku i portalach producentów.

Tak ułożona praca wspiera ochronę danych klientów warsztatu, ale odpowiedzialność za podstawę przetwarzania, treść klauzuli i czas przechowywania zostaje przy warsztacie. Zakres programu można zobaczyć na stronach program do warsztatu samochodowego, funkcje i dlaczego właściciele warsztatów wybierają Warsztatnika.

Jak zabezpieczyć komputer w warsztacie?

Komputer w warsztacie jest zabezpieczony, gdy system i przeglądarka same się aktualizują, ekran się blokuje, a codzienna praca odbywa się bez uprawnień administratora. Reszta listy domyka pocztę i lokalne pliki.

• Automatyczne aktualizacje systemu operacyjnego.
• Włączona ochrona przed złośliwym oprogramowaniem, bez „wyłącz na zawsze”.
• Blokada ekranu po krótkiej nieobecności.
• Konto codzienne bez uprawnień administratora. Hasło administratora zna właściciel.
• Aktualna przeglądarka i jedna, firmowa metoda otwierania poczty.
• Zakaz instalowania programów przez osoby, które nie prowadzą stanowiska.
• Kopia dokumentów lokalnych, jeśli część pracy nadal zostaje na dysku.
• Osobny profil albo osobny laptop do diagnostyki, jeśli da się go oddzielić od przeglądania stron.

Wbudowana ochrona systemu, jeśli jest włączona i aktualna, jest rozsądnym minimum małego serwisu. Płatny pakiet nie naprawi wyłączonych aktualizacji ani hasła przyklejonego do obudowy. Komputer diagnostyczny warto traktować surowiej: mniej przeglądania, mniej instalacji, aktualizacje według dostawcy testera.

Jak zabezpieczyć Wi-Fi w warsztacie?

Wi-Fi w warsztacie zabezpieczysz, rozdzielając sieć zespołu i sieć gości, ustawiając długie hasło WPA2 albo WPA3 i aktualizując router. Klient w poczekalni nie powinien być w tej samej sieci co komputer z fakturami i tester.

Sieć pracowników obejmuje recepcję, drukarkę i urządzenia diagnostyczne, które naprawdę potrzebują internetu. Sieć gości obejmuje poczekalnię. Hasło sieci warsztatu zmieniasz, gdy zna je osoba spoza zespołu. Nazwa sieci nie musi zawierać nazwy firmy i miasta, choć ukrywanie nazwy samo w sobie prawie nic nie daje.

Router z aktualnym firmware i wyłączonym zdalnym panelem, którego nikt nie używa, zamyka drogę znaną od lat: stare hasło administratora „admin”. Jeśli router obsługuje WPA3, użyj go. Jeśli część starszych urządzeń diagnostycznych wymaga WPA2, zostaw WPA2 na sieci warsztatu i nie schodź do starszych standardów. Dostęp do panelu routera ma właściciel, nie cała zmiana.

Jak diagnostyka samochodowa łączy się z cyberbezpieczeństwem?

Diagnostyka łączy komputer warsztatu z pojazdem, kontem producenta i plikiem, który potem trafia do historii naprawy. Chronić trzeba konto, stanowisko i zapis wyniku, a nie tylko „wtyczkę pod kierownicą”.

Współczesna diagnostyka obejmuje połączenie z pojazdem, odczyt danych, procedury online, logowanie do producenta, a w części aut programowanie, kodowanie i operacje przy elementach zabezpieczających. Każde z tych działań zostawia ślad: kto był zalogowany, jaki VIN obsłużono, jaki raport powstał. Ten raport jest daną warsztatu. Powinien wrócić do zlecenia.

SERMI dotyczy dostępu do informacji związanych z zabezpieczeniami pojazdu i potwierdzenia, że operację wykonuje sprawdzona firma oraz konkretna osoba. To element porządku tożsamości, obok haseł do testera. Nie rozszerza się automatycznie na każdą wymianę oleju. Szczegóły, kogo certyfikat dotyczy w latach 2026–2027, są w artykule SERMI w warsztacie samochodowym 2026/2027 – kto potrzebuje certyfikatu i co zmieniają nowe przepisy UE?.

Praktyka na stanowisku: osobiste dane logowania, brak wspólnego konta „warsztat” do portalu producenta, aktualizacje interfejsu, brak obcych pendrive’ów i sieć warsztatowa zamiast otwartego Wi-Fi gości. Nie obchodzi się zabezpieczeń pojazdu na skróty. Taka próba psuje legalny dostęp i zostawia auto w stanie, którego warsztat nie potrafi potem uczciwie opisać.

Dlaczego oprogramowanie samochodu i aktualizacje OTA wymagają ochrony?

Oprogramowanie pojazdu decyduje o działaniu układów, więc zmienia je tylko uprawniona procedura, z uwierzytelnieniem i z zapisem, co zrobiono. Aktualizacja OTA nie zdejmuje z warsztatu obowiązku pilnowania własnych kont do diagnostyki.

Producent chroni software auta, bo nieautoryzowana zmiana może naruszyć bezpieczeństwo jazdy i utrudnić późniejszą naprawę. Dla serwisu znaczenie mają trzy rzeczy: konto osoby wykonującej operację, integralność pliku od producenta albo legalnego narzędzia oraz informacja w zleceniu, jaka wersja albo jaka czynność została wykonana. Aktualizacje zamykają znane błędy także po stronie pojazdu, podobnie jak łaty zamykają błędy komputera na recepcji.

OTA, czyli aktualizacja zdalna, przenosi część zmian poza halę. Warsztat nadal programuje i koduje tam, gdzie procedura wymaga stanowiska, zasilania i narzędzia. Ten podział oraz skutki dla niezależnego serwisu opisuje artykuł Aktualizacje OTA w samochodach – co oznaczają dla warsztatów i mechaników?. Materiał nie jest instrukcją omijania zabezpieczeń auta. Takiej instrukcji nie należy szukać ani stosować.

Co zrobić, gdy warsztat padnie ofiarą ransomware?

Przy ransomware najpierw ograniczasz zasięg, zachowujesz ślady i sięgasz po kopię, a dopiero potem oceniasz, czy ucierpiały dane osobowe i komu to zgłosić. Płatność okupu nie jest krokiem tej procedury.

1. Odłącz zainfekowane komputery od Wi-Fi i kabla sieciowego. Wyłącz także inne stanowiska, które widzą te same dyski sieciowe, jeśli szyfrowanie trwa.
2. Nie formatuj dysku i nie kasuj plików „żeby zniknęło”. Ślady przydadzą się osobie, która oceni, co zostało skopiowane.
3. Spisz, które urządzenia pokazują komunikat, od kiedy i jakie dane na nich leżały: poczta, program, zdjęcia, raporty, faktury.
4. Zadzwoń do osoby, która administruje wami komputerami, albo do firmy zewnętrznej. Jeśli nie macie takiej osoby, nie kontynuuj pracy na zaszyfrowanym systemie.
5. Zabezpiecz kopie, które są offline albo w innym systemie. Nie podłączaj dysku z kopią do zainfekowanego komputera.
6. Z bezpiecznego telefonu albo innego komputera sprawdź, czy da się wejść do poczty i programu warsztatowego oraz czy nie doszły nowe przekierowania.
7. Zmień hasła z urządzenia, które nie było zainfekowane. Zacznij od poczty, potem program, bank, router i portale producentów.
8. Oceń, czy doszło do naruszenia ochrony danych osobowych: utrata dostępności, poufności albo integralności danych klientów i pracowników.
9. Jeśli ryzyko dla osób nie jest mało prawdopodobne, zgłoś naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny od stwierdzenia. Incydent można też zgłosić do CERT Polska przez incydent.cert.pl. Przy podejrzeniu przestępstwa rozważ zawiadomienie policji.
10. Odtwarzaj systemy z czystego nośnika i ze sprawdzonej kopii. Dopiero potem wpuszczaj je z powrotem do sieci warsztatu.

Artykuł 33 RODO każe administratorowi zgłosić naruszenie organowi nadzorczemu, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób. Prezesem organu w Polsce jest Prezes UODO. Termin liczy się od stwierdzenia naruszenia, czyli od momentu, w którym administrator ma dostateczną pewność, że incydent dotknął danych osobowych. Gdy brakuje pełnego obrazu, zgłoszenie można uzupełniać. Artykuł 34 wymaga poinformowania osób, jeśli występuje wysokie ryzyko. Zaszyfrowanie bazy klientów bywa naruszeniem dostępności. To, czy trzeba je zgłosić, zależy od tej oceny, a nie od samej nazwy programu. Wytyczne EROD 9/2022, które przywołuje też UODO, opisują ten próg dokładniej niż skrót „zawsze w 72 godziny”.

Decyzję o zapłacie zostaw poza procedurą operacyjną. CERT Polska opisuje ransomware jako działanie grup, które chcą okupu i często grożą publikacją skopiowanych danych. Zapłata nie przywraca zaufania do dysku i nie zamyka obowiązku wobec klientów. Najpierw kopia, izolacja i ocena naruszenia.

Jak robić kopie zapasowe danych warsztatu?

Kopia zapasowa danych warsztatu jest wiarygodna dopiero wtedy, gdy ktoś ją odtworzył i otworzył plik. Backup, którego nigdy nie testowano, nie jest pewnym backupem.

Częstotliwość wynika z tego, ile pracy boli utrata. Warsztat, który zamyka kilkanaście zleceń dziennie, źle zniesie kopię sprzed miesiąca. Rytm codzienny albo automatyczny po stronie programu jest praktyczniejszy niż „jak sobie przypomnę”. Osobno skopiuj to, czego program nie obejmuje: pocztę, jeśli jest lokalna, oraz raporty zostawione na laptopie diagnostycznym.

Zasada 3-2-1 jest regułą organizacyjną, nie przepisem: trzy kopie danych, na dwóch różnych rodzajach nośnika, z jedną kopią poza siedzibą. Przykład małego serwisu: dane w programie, osobny eksport albo kopia, którą da się otworzyć bez tego programu, oraz dysk trzymany poza halą i podłączany tylko na czas kopiowania. Dwa foldery na tym samym dysku recepcji nie spełniają tej reguły. Kopia u dostawcy liczy się jako osobny egzemplarz dopiero wtedy, gdy warsztat wie, że nie jest to ten sam dysk co bieżąca baza i że da się z niej odtworzyć zlecenie.

Kopię zaszyfruj, jeśli leży na dysku, który można wynieść. Ustal, jak długo trzymasz kolejne wersje. Faktury mogą mieć dłuższy obowiązek przechowywania niż robocze zdjęcia z placu, więc retencja kopii nie powinna być krótsza niż retencja dokumentów, które z niej odtwarzasz. Test: raz na kwartał odtwórz jedno zlecenie albo jeden raport na czystym koncie i sprawdź, czy VIN, zdjęcie i kwota się zgadzają.

Co powinien zrobić warsztat po odejściu pracownika?

W dniu odejścia warsztat odbiera dostęp do programu, poczty i urządzeń oraz zmienia hasła, które ta osoba znała wspólnie z zespołem. Zostawienie konta „na wszelki wypadek” jest zaproszeniem do pracy na cudzych uprawnieniach.

• Usuń konto pracownika w programie warsztatowym. Sama zmiana hasła może nie wystarczyć, jeśli stara sesja nadal działa.
• Wyloguj jego skrzynkę pocztową i odbierz dostęp do poczty współdzielonej.
• Zmień hasła, które znał: Wi-Fi warsztatu, router, wspólne portale, jeśli takie zostały.
• Odbierz służbowy telefon, laptop i pendrive. Zablokuj urządzenie, którego nie oddał.
• Sprawdź aktywne sesje poczty i konta producenta.
• Przejrzyj uprawnienia pozostałych osób, jeśli odchodzący był jedyną osobą znającą hasło administratora.

Jeśli odchodzący prowadził jedyne konto u producenta testera albo w hurtowni, przenieś je na inną, z imienia i nazwiska wskazaną osobę, zanim zniknie telefon do kodów MFA. Inaczej warsztat zostanie bez diagnostyki w środku tygodnia i zacznie pożyczać login.

Czy RODO wymaga konkretnego programu do warsztatu?

RODO nie wymaga konkretnego programu do warsztatu ani pracy wyłącznie w chmurze albo wyłącznie na własnym serwerze. Wymaga środków technicznych i organizacyjnych odpowiednich do ryzyka oraz do charakteru przetwarzania.

Artykuł 32 rozporządzenia 2016/679 mówi o poufności, integralności, dostępności i odporności systemów, o zdolności szybkiego przywrócenia dostępu do danych oraz o regularnym sprawdzaniu, czy środki działają. Szyfrowanie i pseudonimizacja są przykładami, nie listą obowiązkową dla każdego serwisu. O tym, co jest „odpowiednie”, decydują cel, zakres danych i skutek wycieku albo utraty.

Przy naprawie podstawą bywa zwykle wykonanie umowy, a przy fakturze obowiązek prawny. Zgoda jest potrzebna tam, gdzie warsztat chce robić coś więcej, na przykład wysyłać oferty marketingowe. Klauzula w protokole pomaga poinformować klienta. Nie zamienia każdego pola w bazie w przetwarzanie „bo klient podpisał”. Zasada minimalizacji każe pytać, czy numer PESEL albo skan dowodu jest naprawdę potrzebny do wymiany oleju. Zasada ograniczenia przechowywania każe ustalić, kiedy dokument ma zniknąć. Terminy podatkowe, rękojmia i przedawnienie roszczeń mogą wymagać dłuższego archiwum niż bieżący kontakt telefoniczny. Jedna data dla wszystkich papierów byłaby błędem.

Program może ułatwić uprawnienia, protokół i przypięcie VIN do historii. Zgodność z RODO w warsztacie samochodowym i tak zależy od tego, czy właściciel używa tych funkcji zgodnie z celem, czy baza żyje też w prywatnych komunikatorach i czy ktoś w ogóle wie, jak zgłosić naruszenie.

Czy warsztat samochodowy podlega NIS2 i polskiej ustawie KSC?

Prowadzenie warsztatu samochodowego nie oznacza automatycznie, że firma podlega NIS2 albo ustawie o krajowym systemie cyberbezpieczeństwa. Trzeba zestawić rzeczywistą działalność, kod PKD i wielkość przedsiębiorstwa z sektorami oraz progami ustawy. Dopiero ten test daje odpowiedź dla konkretnej firmy.

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. Dyrektywa nie nakłada obowiązków na polski warsztat wprost, tak jak robi to rozporządzenie. W Polsce wdrożyła ją zmiana ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Nowelizację uchwalono 23 stycznia 2026 r. i ogłoszono 2 marca 2026 r. w Dz.U. z 2026 r. poz. 252. Ministerstwo Cyfryzacji podaje, że nowelizacja weszła w życie 3 kwietnia 2026 r. Tekst jednolity ogłoszony wcześniej pod poz. 20 (obwieszczenie Marszałka Sejmu z 29 grudnia 2025 r.) opisuje jeszcze dawny podział na operatorów usług kluczowych i dostawców usług cyfrowych. Załączniki i art. 5, o których mowa niżej, pochodzą z ustawy w brzmieniu nadanym przez poz. 252. Późniejsza ustawa z 29 maja 2026 r. (Dz.U. poz. 815) zmienia w KSC odesłania dotyczące infrastruktury krytycznej w art. 15 i 26. Nie przebudowuje listy sektorów. Ministerstwo Cyfryzacji opisuje nowy podział na podmioty kluczowe i podmioty ważne oraz okres dostosowawczy. Od 13 kwietnia 2026 r. minister rozpoczął wpisy z urzędu wobec części podmiotów, które już wcześniej były w systemie, w tym operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych i podmiotów publicznych.

Ustawa obejmuje podmioty z sektorów wymienionych w załącznikach, po uwzględnieniu wielkości. W uproszczeniu, zgodnym z informacją Ministerstwa Cyfryzacji i z progami rozporządzenia Komisji (UE) nr 651/2014: mikro to mniej niż 10 zatrudnionych oraz roczny obrót lub suma bilansowa do 2 mln euro; małe to mniej niż 50 zatrudnionych oraz obrót lub suma bilansowa do 10 mln euro; średnie to mniej niż 250 zatrudnionych oraz obrót do 50 mln euro lub suma bilansowa do 43 mln euro. Duże przedsiębiorstwo te progi przekracza. Przy liczeniu wielkości uwzględnia się też przedsiębiorstwa powiązane i partnerskie. Podmiot z załącznika nr 2 staje się co do zasady podmiotem ważnym, gdy jest co najmniej średni. Duży podmiot z załącznika nr 1 jest co do zasady podmiotem kluczowym, a średni z tego załącznika – podmiotem ważnym. Są wyjątki niezależne od progu małej firmy. Ministerstwo Cyfryzacji podaje, że wszyscy przedsiębiorcy telekomunikacyjni podlegają ustawie: duzi i średni jako podmioty kluczowe, mali i mikro jako podmioty ważne. To przykład wyjątku, nie opis warsztatu. Artykuł 5 ustawy przewiduje też możliwość uznania podmiotu przez organ.

Załączniki nie zawierają pozycji „warsztat samochodowy”. Transport drogowy w sektorach kluczowych dotyczy zarządcy drogi i podmiotów świadczących usługę ITS, a nie naprawy aut. Produkcja pojazdów samochodowych, przyczep i naczep w sektorach ważnych dotyczy przedsiębiorców z sekcji C, dział 29 klasyfikacji NACE Rev. 2, czyli produkcji. Naprawa pojazdów nie jest tym działem. W PKD 2025 mechanika, blacharnia i detailing mają kody 95.31.A, 95.31.B i 95.31.C. W PKD 2007 ta sama naprawa miała kod 45.20.Z. Żaden z tych kodów nie jest produkcją z działu 29. Kod w rejestrze jest tylko wskazówką: Ministerstwo Cyfryzacji każe oceniać rzeczywisty charakter działalności. Sam wpis nie jest urzędowym zaświadczeniem o wyłączeniu, ale pokazuje, dlaczego typowy serwis nie wpada do ustawy tylko dlatego, że stoi w nim samochód.

Osobno trzeba spojrzeć na odpady. Załącznik obejmuje zbieranie, transport i przetwarzanie odpadów, z wyłączeniem firm, dla których nie jest to podstawowa działalność. Wpis warsztatu do BDO z powodu filtrów, oleju czy opon powstających przy naprawie nie jest więc automatycznie wejściem w sektor odpadów. Inaczej wygląda firma, której podstawą jest gospodarka odpadami, oraz warsztat będący częścią dużej grupy produkcyjnej: wielkość liczy się wtedy szerzej, a profil grupy może być w załączniku.

Ministerstwo Cyfryzacji publikuje kolejność samoidentyfikacji: profil działalności, PKD, wielkość, potem art. 5 ustawy. Na gov.pl jest opis, kogo ustawa obejmuje i jak tę ocenę wykonać. Terminy wpisu do wykazu i wdrożenia obowiązków dotyczą podmiotów, które już przeszły ten test. Nie są terminem dla każdego serwisu w Polsce. Ten artykuł nie zastępuje analizy konkretnej firmy. Jeśli PKD, grupa kapitałowa albo dodatkowa działalność budzą wątpliwość, rozstrzyga je doradca na dokumentach tej firmy, a nie ogólny tekst o mechanice pojazdowej.

Niezależnie od wyniku testu KSC warsztat stosuje RODO, gdy przetwarza dane osobowe. Dotyczy to klientów indywidualnych, osób kontaktowych firm i własnych pracowników. Ochrona kont, poczty i kopii wynika z codziennego ryzyka utraty zleceń, a nie z tego, czy firma jest podmiotem ważnym.

Czy mały warsztat potrzebuje specjalisty ds. cyberbezpieczeństwa?

Jednoosobowy warsztat większość podstaw wdroży sam, mały zespół wyznacza właściciela jako osobę od kont i kopii, a średni serwis z wieloma komputerami i testerami korzysta ze specjalisty do sieci, kopii i porządku przy odejściu pracowników. Etat specjalisty nie jest warunkiem startu.

Właściciel bez informatyka może: włączyć MFA na poczcie, rozdzielić konta, zaktualizować system, założyć sieć gości, spisać jedną stronę procedury i sprawdzić, czy kopia się otwiera. To jest większość listy z kolejnego rozdziału.

Specjalista jest potrzebny, gdy w firmie jest serwer plików, kilka podsieci, stały dostęp zdalny, mieszanka starych testerów i nowych laptopów albo gdy nikt nie potrafi powiedzieć, czy da się odtworzyć bazę. Kupuje się wtedy konkretne godziny: segmentacja sieci, przegląd kont, test odtworzenia, ustawienie kopii offline. Nie kupuje się „dokumentu ISO”, którego zespół nie będzie używał.

Jakie 20 działań właściciel może wdrożyć jeszcze dziś?

Dziś da się zamknąć najczęstsze luki: pocztę, konta, aktualizacje, Wi-Fi i jedną sprawdzoną kopię. Lista jest operacyjna. Punkty, których nie da się kliknąć samodzielnie, oznaczają telefon do dostawcy usługi, a nie nowy projekt.

• Włącz MFA w poczcie firmowej i w banku.
• Sprawdź, czy każdy pracownik loguje się własnym kontem do programu.
• Usuń konta osób, które już nie pracują.
• Zmień hasła używane w więcej niż jednej usłudze. Zacznij od poczty.
• Włącz automatyczne aktualizacje Windows albo innego systemu na recepcji.
• Zaktualizuj przeglądarkę.
• Włącz blokadę ekranu po kilku minutach.
• Załóż na komputerze recepcji konto bez uprawnień administratora.
• Sprawdź, czy ochrona przed złośliwym oprogramowaniem jest włączona.
• Zmień hasło Wi-Fi, jeśli zna je ktoś spoza zespołu albo wisi na tablicy.
• Wydziel sieć dla gości, nawet prostym drugiego SSID na routerze.
• Sprawdź datę ostatniej aktualizacji firmware routera.
• Wypisz, gdzie leży jedyna kopia bazy: komputer, program, pendrive, zeszyt.
• Jeśli kopia jest tylko w jednym miejscu, zaplanuj drugą lokalizację w tym tygodniu.
• Odtwórz jeden plik z kopii i sprawdź, czy się otwiera.
• Przejrzyj uprawnienia w programie: kto widzi płatności, ustawienia i pracowników.
• Zabierz z biurka kartki z hasłami. Przenieś je do menedżera haseł.
• Ustal, kto odbiera telefon, gdy na ekranie pojawi się komunikat o okupie.
• Dopisz do procedury adres zgłoszenia incydentu: incydent.cert.pl oraz kontakt do Prezesa UODO.
• Powiedz zespołowi w dziesięciu zdaniach, czego nie klikać i komu zgłaszać podejrzany mail.

Jak stworzyć politykę cyberbezpieczeństwa dla małego warsztatu?

Polityka małego warsztatu mieści się na dwóch stronach i mówi, kto zakłada konta, jakie są hasła, jak traktuje się urządzenia, gdzie jest kopia i co robić po incydencie. Ma być zrozumiała dla osoby na recepcji.

Można przepisać poniższy szkielet i uzupełnić go nazwiskami oraz nazwami usług, których naprawdę używacie.

1. Konta. Każda osoba ma własny login do programu i poczty. Konta zakłada właściciel. Konto znika w dniu zakończenia współpracy.
2. Hasła. Hasła są unikalne i trzymane w menedżerze. Na poczcie i w banku działa MFA. Haseł nie wysyła się mailem i nie zapisuje przy monitorze.
3. Urządzenia. Komputery same pobierają aktualizacje. Ekran blokuje się po kilku minutach. Programy instaluje właściciel albo wskazana osoba. Pendrive klienta nie jest narzędziem diagnostycznym.
4. Backup. Właściciel wskazuje, gdzie jest kopia programu i plików lokalnych oraz kto raz na kwartał odtwarza próbkę.
5. Aktualizacje. Raz w miesiącu ktoś sprawdza system, przeglądarkę, router i oprogramowanie testera.
6. Dostęp pracowników. Nowe konto dostaje uprawnienia stanowiska, nie kopię uprawnień właściciela. Lista jest przeglądana raz na kwartał.
7. Incydenty. Podejrzany mail, zgubiony telefon i komunikat o okupie zgłasza się właścicielowi od razu. Dalej obowiązuje procedura: odłączenie, brak kasowania, ocena danych osobowych, kontakt do CERT Polska i w razie potrzeby do Prezesa UODO.
8. Dokumentacja. Protokoły, zdjęcia i raporty trafiają do zlecenia. Papier z danymi klienta nie leży na ladzie. Terminy przechowywania ustala właściciel z księgową, osobno dla faktur i dla danych kontaktowych.

Dokument podpisuje właściciel, a nowa osoba czyta go pierwszego dnia. Aktualizacja raz w roku wystarczy, jeśli nie zmienił się program ani poczta. To nie jest system zarządzania bezpieczeństwem wymagany od podmiotów kluczowych i ważnych. To porządek małej firmy.

Jakie jest praktyczne minimum cyberbezpieczeństwa warsztatu?

Minimum to osobne konta, kopia poza jednym komputerem, aktualne urządzenia, sieć z hasłem, uprawnienia w programie i krótka procedura incydentu. Tabela poniżej jest rekomendacją organizacyjną, nie standardem prawnym i nie progiem z ustawy o KSC.

Kolumna „zaawansowane” jest dla warsztatu, który ma więcej stanowisk, dostęp zdalny albo osobę od komputerów. SSO, czyli jedno logowanie firmowe do wielu usług, ma sens dopiero przy liczbie systemów, przy której osobne hasła zaczynają żyć na kartkach. Poniżej tej skali lepiej dobrze ustawić pocztę i program niż wdrażać narzędzie, którego nikt nie będzie pilnował.

Dlaczego bezpieczeństwo jest elementem profesjonalnego warsztatu cyfrowego?

Cyfrowy warsztat to nie tylko zastąpienie papieru aplikacją. To kontrola dostępu, trwałość historii napraw, ciągłość pracy po awarii i odpowiedzialność za informacje, które serwis zebrał przy aucie.

Diagnostyka, SERMI, aktualizacje OTA, dane aut elektrycznych i obowiązki takie jak Euro 7 zwiększają liczbę plików przy jednym VIN: raport baterii, pomiar, kalibracja, wersja oprogramowania, zgoda klienta. Każdy z tych plików jest bezużyteczny, jeśli leży w skrzynce osoby na urlopie, i groźny, jeśli widać go z konta, którego nikt nie kontroluje. Kontekst techniczny tych zmian jest w materiałach Samochody elektryczne w warsztacie, Euro 7 od listopada 2026 oraz Jak wykorzystać AI w warsztacie samochodowym?. Przy AI obowiązuje prosta zasada: do publicznego czatu nie wkleja się bazy klientów, haseł ani pełnych protokołów.

Profesjonalne zarządzanie warsztatem samochodowym widać po tym, że klient dostaje spójną historię, a warsztat potrafi ją odtworzyć rok później. Bezpieczeństwo danych warsztatu jest warunkiem tej obietnicy. Program jest miejscem, w którym ta historia ma jednego właściciela i czytelne uprawnienia. Urządzenia, poczta i ludzie są resztą układu.

Podsumowanie

Bezpieczny warsztat cyfrowy to nie tylko dobry program. To połączenie bezpiecznego oprogramowania, właściwych uprawnień, aktualnych urządzeń, kopii zapasowych i świadomych pracowników.

Właściciel może zacząć od poczty z MFA, osobnych kont, przeglądu uprawnień, sieci gości i jednej kopii, którą osobiście otworzy. Dopiero na tym tle widać, czego oczekiwać od programu: szyfrowanego połączenia, ról, śladu zmian i jasnej informacji, jak dane wracają po awarii. Warsztatnik może być tym miejscem dla klientów, pojazdów, VIN, zleceń, dokumentów i kont pracowników, jeśli warsztat używa uprawnień zgodnie ze stanowiskiem i nie zostawia dawnych loginów. Sam program nie aktualizuje routera, nie rozpozna phishingu i nie zgłosi naruszenia za administratora danych.

Jeśli chcesz zobaczyć, jak te elementy układają się w codziennej pracy serwisu, zacznij od strony oprogramowanie do warsztatu samochodowego i od zasad opisanych wyżej. Ocena, czy Twoje konta i kopie są wystarczające, należy do Ciebie. Da się ją zrobić w jeden wieczór, bez działu IT.

FAQ – cyberbezpieczeństwo warsztatu samochodowego

Krótkie odpowiedzi na pytania właścicieli i pracowników. Stan przepisów i raport CERT Polska sprawdzono we wrześniu 2026 r.

Źródła i materiały

Przepisy i liczby podano według stanu na wrzesień 2026 r. Statystyki CERT Polska dotyczą zdarzeń zarejestrowanych przez ten zespół w 2025 roku. Nie opisują one częstości ataków na polskie warsztaty samochodowe.

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), w szczególności art. 4 pkt 12, art. 5, art. 6, art. 32, art. 33 i art. 34.
2. UODO – obowiązki administratorów związane z naruszeniami ochrony danych osobowych (poradnik, czerwiec 2019 r.; opisuje art. 33 i 34 RODO, a aktualny sposób złożenia zgłoszenia trzeba sprawdzić na uodo.gov.pl) oraz Wytyczne EROD 9/2022 dotyczące zgłaszania naruszeń.
3. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity ogłoszony obwieszczeniem z 29 grudnia 2025 r., Dz.U. z 2026 r. poz. 20. To brzmienie sprzed wdrożenia NIS2: operatorzy usług kluczowych i dostawcy usług cyfrowych, nie obecne załączniki podmiotów kluczowych i ważnych.
4. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. z 2026 r. poz. 252, ogłoszona 2 marca 2026 r. Ministerstwo Cyfryzacji podaje wejście w życie na 3 kwietnia 2026 r. Z tej zmiany pochodzą podmioty kluczowe i ważne, art. 5 oraz załączniki nr 1 i 2 opisane w artykule. Późniejsza zmiana odesłań o infrastrukturze krytycznej: ustawa z 29 maja 2026 r., Dz.U. poz. 815, art. 20. Wejście w życie i okres dostosowawczy: gov.pl, baza wiedzy o nowelizacji KSC.
5. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2).
6. Rozporządzenie Komisji (UE) nr 651/2014, załącznik I, progi mikro, małych i średnich przedsiębiorstw, do których odsyła ustawa o KSC.
7. Ministerstwo Cyfryzacji – kogo obejmuje nowelizacja KSC oraz jak dokonać samoidentyfikacji.
8. CERT Polska, raport roczny 2025 (NASK-PIB, Warszawa 2026; PDF: Raport_CP_2025.pdf). Okres: rok 2025. Zakres: incydenty zarejestrowane przez CERT Polska. Przywołane liczby z raportu: 253 238 oszustw komputerowych (97% obsłużonych zdarzeń, wzrost o 158% wobec roku poprzedniego) oraz 179 ataków ransomware (147 w 2024 r., 161 w 2023 r.; 129 zgłoszeń od podmiotów prywatnych, 30 od publicznych, 20 od osób fizycznych). Komunikat NASK z 8 kwietnia 2026 r. podaje 658 320 zgłoszeń (+10%) i 260 783 unikalne incydenty (+152%) oraz komentarz o świadomości zgłaszających i monitoringu: nask.pl. Zgłoszenie incydentu: incydent.cert.pl.
9. ENISA, agencja Unii Europejskiej ds. cyberbezpieczeństwa, materiały o podstawowej higienie cyfrowej dla firm.