Zmiany w przepisach dotyczących krajowego systemu cyberbezpieczeństwa - nowe obowiązki związane z nazwami domeny .pl

17 cze 2026, 13:21:52

W dniu 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa („UKSC”), wdrażająca przepisy unijnej Dyrektywy NIS2. Regulacje te mają na celu zwiększenie poziomu cyberbezpieczeństwa, przeciwdziałanie nadużyciom w sieci Internet oraz zapewnienie bezpieczeństwa państwa i użytkowników usług cyfrowych. Przepisy nakładają na podmioty, które działają w strategicznych sektorach gospodarki, obowiązek stosowania odpowiednich środków technicznych i organizacyjnych. Obejmuje to także ekosystem nazw domen internetowych, w tym dokładność i kompletność danych dotyczących Abonentów.

W odniesieniu do nazw w domenie .pl nowe wymagania obejmują przede wszystkim:

• obowiązkową weryfikację danych dotyczących Abonentów,
• uzupełnienie kontaktowego numeru telefonu, jeżeli nie był dotychczas podawany,
• obligatoryjne publikowanie w bazie Whois/RDAP danych kontaktowych tych Abonentów, którzy nie korzystają z ochrony danych osobowych przewidzianej zgodnie z RODO.

1. Nazwy domeny .pl utrzymywane są dla oznaczonych podmiotów, a podstawą działań weryfikacyjnych było dotychczas uprawnienie do identyfikowania Abonenta, jako strony kontraktu. Istniejąca praktyka w istocie odpowiada wprowadzanym wymaganiom, dlatego nowe przepisy nie wpływają na aktualny status Abonenta. Konieczny będzie jednak udział Abonentów w działaniach weryfikacyjnych prowadzonych przez Rejestratorów nazw domeny .pl, ponieważ UKSC ustanawia ich obowiązkowy charakter. Brak zapewnienia udziału w takich procedurach może uniemożliwić wypełnienie obowiązków nałożonych przepisami i powodować dalsze konsekwencje.

2. W odniesieniu do Abonentów nazw domeny .pl wymagane jest gromadzenie danych, takich jak: nazwa lub imię i nazwisko Abonenta, adres kontaktowy wraz z podaniem kraju, numer telefonu oraz kontaktowy adres poczty elektronicznej (e-mail). Numery telefoniczne stanowiły informację podawaną fakultatywnie, co aktualnie ulega zmianie, wobec czego Rejestratorzy będą zwracać się do Abonentów o uzupełnienie brakujących danych w tym zakresie.

3. Zgodnie z nowymi przepisami publikowaniu w bazie Whois/RDAP będą podlegały także dane kontaktowe w zakresie adresu poczty elektronicznej (e-mail) i numeru telefonu. Jednocześnie dane Abonentów ze statusem „osoba fizyczna” będą nadal korzystać z ochrony danych osobowych przewidzianej zgodnie z RODO i nie będą publikowane.

Ustawodawca przewidział okres przejściowy, który potrwa do 2 kwietnia 2027 r. W jego trakcie Rejestr opublikuje wymaganą przepisami Politykę i Procedurę dotyczącą weryfikacji danych, a każdy Rejestrator zobligowany będzie do opracowania analogicznej dokumentacji własnej w tym zakresie. W tym czasie Rejestratorzy będą także kontaktować się z Abonentami w celu weryfikacji danych, ich uzupełnienia lub aktualizacji, według stosowanych przez siebie procedur.

Nowe przepisy stanowią wyzwanie dla wszystkich zaangażowanych podmiotów, w związku z czym prosimy o zrozumienie i responsywność, w szczególności we wskazanym okresie przejściowym. Rejestr będzie na bieżąco komunikować nowe, istotne dla Abonentów informacje. Zapraszamy także do śledzenia witryny internetowej Ministerstwa Cyfryzacji.