Podmiotem publicznym w rozumieniu ustawy o krajowym systemie bezpieczeństwa są:

• Organy władzy publicznej w tym organy administracji samorządowej, jednostki samorządu terytorialnego, organy kontroli państwowej i ochrony prawa oraz sądy i trybunały,
• Jednostki budżetowe, samorządowe zakłady budżetowe, agencje wykonawcze, instytucje gospodarki budżetowej,
• Uczelnie publiczne i Polska Akademia Nauk,
• Zakład Ubezpieczeń Społecznych, Kasa Rolniczych Ubezpieczeń Społecznych, Narodowy Fundusz Zdrowia, Narodowy Bank Polski, Bank Gospodarstwa Krajowego,
• Urząd Dozoru Technicznego, Polska Agencja Żeglugi Powietrznej, Polskie Centrum Akredytacji, Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej.

Obowiązki podmiotu publicznego

Podstawowe obowiązki dla podmiotów publicznych to:

• wyznaczenie osoby kontaktowej do spraw cyberbezpieczeństwa, która będzie kontaktować się z organami właściwymi do spraw cyberbezpieczeństwa (CSIRT),
• obsługa incydentów,
• zapewnianie dostępu do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i sposobów zabezpieczania się przed tymi zagrożeniami,
• zgłaszanie incydentów do właściwego CSIRT.

Podmioty publiczne są zobligowane do zgłaszania incydentów, które powodują lub mogą spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego realizowanego przez dany podmiot publiczny. Ustawa nie wprowadza progów na zgłoszenie incydentu w podmiocie publicznym, tak jak jest to w przypadku operatorów usług kluczowych czy dostawców usług cyfrowych. Oznacza to, że podmiot publiczny musi zgłaszać wszystkie incydenty, które powodują (lub mogą spowodować) obniżenie jakości lub przerwanie realizacji.