MDM w jednostkach samorządu terytorialnego: co mówi prawo

Od 3 kwietnia 2026 roku obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS2. Jednostki samorządu terytorialnego podlegały tej ustawie już wcześniej, bo jej pierwotna wersja z 2018 roku (Dz.U. 2018 poz. 1560) traktowała je jako podmioty publiczne. Art. 4 pkt 7 obejmował jednostki sektora finansów publicznych z art. 9 ustawy o finansach publicznych, do których należy też samorząd terytorialny, a obowiązki tych podmiotów wyznaczały art. 21-22 w pierwotnym brzmieniu.

Nowelizacja nadaje za to części JST wyższy status podmiotu kluczowego, a z nim pełne, znacznie surowsze obowiązki z rozdziału 3 ustawy. Ten status dostają starostwa powiatowe, urzędy gmin zatrudniające na umowę o pracę co najmniej 50 osób w przeliczeniu na etaty oraz, z wyłączeniami, jednostki budżetowe i zakłady budżetowe samorządu województwa. Do wykazu podmiotów jednostki samorządu trafiają z urzędu.

---

Czym jest MDM i dlaczego dotyczy urzędu, nie tylko firmy

MDM (Mobile Device Management, zarządzanie urządzeniami mobilnymi) to klasa oprogramowania, która pozwala administratorowi IT centralnie konfigurować, monitorować i w razie potrzeby zdalnie wyczyścić telefony i tablety używane do pracy. W urzędzie na takie urządzenia trafiają dane osobowe mieszkańców, numery PESEL i dostęp do systemów dziedzinowych. Smartfon inspektora terenowego czy pracownika ośrodka pomocy społecznej opuszcza przy tym budynek urzędu równie często jak jego prywatny telefon.

Cykl życia urządzenia w takim modelu ma cztery powtarzalne etapy: rejestrację w systemie (enrollment), konfigurację zgodną z polityką bezpieczeństwa, bieżące monitorowanie i egzekwowanie tej polityki, a na końcu wycofanie i zdalne wyczyszczenie danych. Ten ostatni etap przychodzi, gdy sprzęt trafia do wymiany, zostaje zgubiony albo pracownik odchodzi. Na każdym etapie urząd może stracić kontrolę nad danymi.

Według danych GUS za 2025 rok 90,0% jednostek administracji samorządowej wyposażało pracowników w urządzenia przenośne z mobilnym dostępem do internetu w celach służbowych. W taki sprzęt wyposażonych było 23,4% pracowników administracji samorządowej. To dwie różne miary. Pierwsza mówi, że niemal każdy urząd ma choć jedno takie urządzenie w obiegu, a druga, że korzysta z nich blisko co czwarty pracownik, także poza kierownictwem i działem IT.

Urząd korzysta z tych samych urządzeń i tego samego oprogramowania co firma, ale nie wybiera, czy chce podlegać przepisom o cyberbezpieczeństwie i ochronie danych. Podlega im z mocy prawa, niezależnie od wielkości działu IT.

Co zmieniła nowelizacja ustawy o KSC dla jednostek samorządu

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) została ogłoszona 2 marca 2026 roku. Jej art. 49 stanowi, że "ustawa wchodzi w życie po upływie miesiąca od dnia ogłoszenia", więc nowe przepisy obowiązują od 3 kwietnia 2026 roku.

Załącznik nr 1 do znowelizowanej ustawy, w sektorze "Podmioty publiczne", wprost wymienia jednostki samorządu terytorialnego jako podmioty kluczowe, czyli najwyższą kategorię podmiotów objętych ustawą. Poszczególne szczeble samorządu trafiają tam jednak na różnych zasadach:

• samorząd województwa - jednostki budżetowe i zakłady budżetowe, z sześcioma wyłączeniami: jednostek oświatowych, jednostek wspierania rodziny i pieczy zastępczej oraz jednostek pomocy społecznej poza regionalnymi ośrodkami polityki społecznej. Wyłączone są też wojewódzkie urzędy pracy, parki krajobrazowe oraz jednostki obsługujące wspólną obsługę powyższych;
• samorząd powiatu - starostwo powiatowe, bez żadnego progu ani wyłączenia;
• samorząd gminy - urząd gminy, ale tylko wtedy, gdy na dzień 1 stycznia danego roku zatrudnia w przeliczeniu na pełny wymiar czasu pracy, na podstawie umowy o pracę, co najmniej 50 osób.

Urząd gminy poniżej progu 50 etatów nie jest podmiotem kluczowym, ale ustawa obejmuje go jako podmiot ważny. Jest bowiem samorządową jednostką budżetową, która realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 i załącznik nr 2, sektor "Podmioty publiczne"). Jego system zarządzania bezpieczeństwem informacji ma spełniać wymogi załącznika nr 4 (art. 8 ust. 3), a obowiązują go też KRI i RODO.

Ustawa rozkłada obowiązki podmiotów kluczowych i ważnych w czasie. Pełną realizację obowiązków z rozdziału 3 trzeba zapewnić w terminie 12 miesięcy od wejścia w życie nowelizacji, czyli do 3 kwietnia 2027 roku (art. 33 ust. 1), a pierwszy audyt bezpieczeństwa podmiot kluczowy przeprowadza w terminie 24 miesięcy, czyli do 3 kwietnia 2028 roku (art. 33 ust. 2). Większość kar pieniężnych (art. 73 ust. 1-4, art. 73a-73c i art. 76b) może zostać nałożona najwcześniej po upływie dwóch lat od wejścia w życie ustawy (art. 35), ale to odroczenie nie obejmuje kary z art. 73 ust. 5.

Termin składania wniosków o wpis do wykazu, upływający 3 października 2026 roku, wyznaczył minister w osobnym harmonogramie, a sama ustawa tej daty nie zawiera. Art. 34 ust. 3 pkt 1 nowelizacji zobowiązuje ministra właściwego do spraw informatyzacji do ogłoszenia harmonogramu w jego dzienniku urzędowym, co Minister Cyfryzacji zrobił komunikatem z 8 kwietnia 2026 roku (Dz. Urz. MC 2026 poz. 7). Według komunikatu podmioty, które w dniu wejścia w życie ustawy spełniają przesłanki uznania za podmiot kluczowy lub ważny, składają wnioski o wpis do wykazu w terminie od 7 maja do 3 października 2026 roku.

Jednostki samorządu tego wniosku nie składają, bo podmioty publiczne minister wpisuje do wykazu z urzędu, na podstawie danych z rejestrów publicznych (art. 7a ust. 2 pkt 3 ustawy o KSC). Jednostka dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych, na co ma sześć miesięcy od doręczenia wezwania, pod rygorem kary pieniężnej (art. 7b ust. 1 i 2).

Najmniejsze gminy, które nie mają własnego działu cyberbezpieczeństwa, mogą skorzystać z art. 16e ust. 5-9. Przepis pozwala jednostce samorządu terytorialnego zapewnić wspólną obsługę tych obowiązków. Może ona też zawrzeć porozumienie o powierzeniu ich realizacji innej jednostce samorządu, na zasadach analogicznych do znanej już wspólnej obsługi administracyjnej między gminami i powiatami.

Gdzie w tych przepisach mieści się MDM

Żaden z przywołanych aktów nie każe urzędowi kupić oprogramowania klasy MDM. Art. 8 ust. 1 znowelizowanej ustawy o KSC nakłada na podmiot kluczowy obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji, proporcjonalnego do oszacowanego ryzyka. System ten obejmuje między innymi bezpieczeństwo fizyczne i środowiskowe z kontrolą dostępu oraz bezpieczeństwo zasobów ludzkich. Przepis określa więc efekt, jaki urząd ma osiągnąć, a wybór narzędzia zostawia urzędowi.

Konkretniej ten sam kierunek widać w załączniku nr 4, który formalnie wiąże podmiot ważny będący podmiotem publicznym (art. 8 ust. 3), ale dobrze pokazuje, jak te ogólne wymogi wyglądają po przełożeniu na język kontroli. Pkt 2 wymaga korzystania z mechanizmów kontroli instalacji produktów ICT "na urządzeniach, w tym na urządzeniach mobilnych", a pkt 3 ochrony przed kradzieżą i nieuprawnionym dostępem. Pkt 4-7 dopuszczają do informacji wyłącznie osoby z odpowiednimi uprawnieniami i każą bezzwłocznie te uprawnienia cofać, a pkt 8 każe ustanowić zasady bezpiecznej pracy mobilnej i zdalnej.

Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773) idzie w tym samym kierunku. Dotyczy wszystkich podmiotów realizujących zadania publiczne, niezależnie od tego, czy są podmiotem kluczowym w rozumieniu KSC. Jego § 19 ust. 2 pkt 2 wymaga inwentaryzacji sprzętu wraz z jego konfiguracją, a punkt 8 tego samego ustępu nakazuje "ustanowienie podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość". Również to rozporządzenie wskazuje efekt i nie przesądza o narzędziu.

Ustawa z dnia 25 lipca 2025 r. o zmianie ustawy o informatyzacji (Dz.U. 2025 poz. 1158) nie uchyla rozporządzenia o Krajowych Ramach Interoperacyjności wprost, ale zmienia upoważnienie z art. 18 ustawy o informatyzacji, na którym KRI zostało wydane (art. 1 pkt 19). Ta zmiana wchodzi w życie po 18 miesiącach od ogłoszenia ustawy, które nastąpiło 22 sierpnia 2025 roku (art. 17). Do tego czasu art. 15 utrzymuje dotychczasowe przepisy wykonawcze, a baza ELI Sejmu oznacza rozporządzenie KRI jako uchylone z dniem 23 lutego 2027 roku. Dokumentację przygotowywaną na dalszy okres trzeba więc porównać z nowym rozporządzeniem.

Urząd, który wdroży MDM, ma gotowy i sprawdzalny sposób udokumentowania przy audycie tych wymogów, które dotyczą urządzeń mobilnych. Urząd, który tego nie zrobi, wciąż może je spełnić ręcznymi procedurami, rejestrami przekazania sprzętu i regularnymi przeglądami. Przy niewielkim zespole IT i rosnącej liczbie urządzeń w terenie trudniej mu jednak będzie to udowodnić.

BYOD, CYOD, COPE, COBO: który model pasuje do urzędu

Zanim urząd zacznie porównywać konkretne produkty, musi rozstrzygnąć bardziej podstawowe pytanie: czyje jest urządzenie i czy wolno go używać prywatnie. Modele, między którymi wybiera, opisuje amerykański NIST w wytycznych SP 800-124 wydanie 2 (maj 2023), w rozdziale 5.1.3.

Wśród urządzeń należących do pracownika NIST wymienia dwa modele. W modelu BYOD (Bring Your Own Device, przynieś własne urządzenie) pracownik sam kupuje i wybiera dowolny sprzęt. Skrót CYOD (Choose Your Own Device, wybierz własne urządzenie) bywa używany niejednolicie. Według NIST oznacza urządzenie, które nadal jest własnością pracownika, choć jego model musi pochodzić z listy zatwierdzonej przez urząd.

Wśród urządzeń należących do urzędu NIST rozróżnia dwa kolejne modele. W modelu COPE (Corporate-Owned, Personally Enabled) urząd jest właścicielem sprzętu i w pełni go konfiguruje, ale dopuszcza ograniczone użycie prywatne. Drugi wariant NIST opisuje jako "Strict Enterprise Usage" (ścisłe użycie służbowe), czyli urządzenie należące do urzędu i używane wyłącznie do celów służbowych, bez wyjątków. W polskiej i branżowej praktyce nazywa się go zwykle COBO (Corporate-Owned, Business Only), choć NIST tego skrótu nie używa.

Dla wąskiej kategorii stanowisk, takich jak terminale do samoobsługi mieszkańców czy tablety z jedną dedykowaną aplikacją w terenie, stosuje się wariant jeszcze bardziej restrykcyjny: COSU (Corporate-Owned, Single-Use). Urządzenie jest w nim zablokowane do jednej funkcji i nie pozwala na nic poza nią.

Model BYOD ma dla urzędu konsekwencje także poza bezpieczeństwem danych, bo wiąże się z obowiązkami z Kodeksu pracy. Jeśli pracownik używa prywatnego sprzętu w ramach pracy zdalnej, może to wynikać z porozumienia stron (art. 67²⁴ § 2 Kodeksu pracy). Pracownikowi przysługuje wtedy ekwiwalent pieniężny albo ryczałt (art. 67²⁴ § 3).

Sytuacja odwraca się, gdy urząd powierza pracownikowi sprzęt w modelu COPE albo w modelu wyłącznie służbowym. Wtedy art. 67²⁰ § 6 pkt 8 Kodeksu pracy wymaga określenia zasad instalacji, inwentaryzacji, konserwacji i aktualizacji oprogramowania oraz serwisu tego sprzętu, a art. 67²⁶ § 1 dokłada obowiązek opisania procedur ochrony danych na urządzeniu. Te przepisy opisują w praktyce dokładnie te same czynności, które realizuje MDM, tyle że z perspektywy prawa pracy (tekst jednolity Kodeksu pracy: Dz.U. 2025 poz. 277, z uwzględnieniem zmian ogłoszonych po tej dacie).

Zamówienie na MDM a Prawo zamówień publicznych

Jednostka samorządu terytorialnego jest zamawiającym publicznym, więc zakup licencji MDM podlega Prawu zamówień publicznych, gdy wartość zamówienia jest równa progowi krajowemu lub go przekracza. Od 1 stycznia 2026 roku ten próg wynosi 170 000 złotych (art. 2 ust. 1 pkt 1 ustawy - Prawo zamówień publicznych). Poniżej progu ustawa formalnie nie wiąże, ale wewnętrzny regulamin udzielania zamówień w urzędzie zwykle i tak narzuca podobną dyscyplinę opisu przedmiotu zamówienia.

Wyżej leży drugi próg, unijny. JST jest zamawiającym sektora publicznego niebędącym zamawiającym centralnym, więc przy dostawach i usługach obowiązuje ją na lata 2026-2027 próg 216 000 euro, czyli 930 960 złotych. Powyżej tej kwoty zamówienie trzeba dodatkowo opublikować zgodnie z procedurami unijnymi. Dla pojedynczego wdrożenia MDM w jednej gminie czy powiecie to wciąż wysoki pułap, ale przy wspólnym zamówieniu kilku jednostek samorządu, na przykład w ramach porozumienia z art. 16e ustawy o KSC, łatwiej go przekroczyć.

Art. 99 tej ustawy wpływa bezpośrednio na sposób pisania specyfikacji. Ustęp 1 wymaga opisu jednoznacznego i wyczerpującego, za pomocą dostatecznie dokładnych określeń, a ustęp 4 zakazuje opisywania przedmiotu zamówienia przez wskazanie znaków towarowych, patentów lub pochodzenia, jeśli mogłoby to uprzywilejować albo wyeliminować część wykonawców. Specyfikacja z wymogiem "musi obsługiwać [nazwa konkretnego produktu]" jest więc co do zasady wadliwa z mocy prawa. Wyjątek z ustępu 5 pozwala wskazać markę tylko wtedy, gdy zamawiający nie potrafi opisać przedmiotu wystarczająco precyzyjnie inaczej, a i wtedy musi dopisać zastrzeżenie "lub równoważny" oraz kryteria równoważności z ustępu 6.

Dlatego specyfikacja zamówienia na MDM powinna opisywać rozwiązanie kryteriami. Należą do nich obsługa programów rejestracji urządzeń dla organizacji, które oferują twórcy systemów operacyjnych, oraz zgodność z wymogami systemu zarządzania bezpieczeństwem informacji z art. 8 ustawy o KSC. Liczą się też model licencjonowania, lokalizacja przetwarzania danych i integracja z katalogiem tożsamości, który urząd już ma. Taki opis jest jednocześnie zgodny z prawem i łatwiejszy do porównania między ofertami niż lista nazw produktów.

RODO a dane na urządzeniu mobilnym urzędnika

RODO nakłada na administratora danych obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, zapewniających poziom bezpieczeństwa odpowiadający ryzyku (art. 24 i art. 32). Urząd gminy, starostwo powiatowe czy urząd marszałkowski jest administratorem danych mieszkańców, więc ten obowiązek dotyczy go wprost. Art. 5 ust. 1 lit. f formułuje to jako zasadę integralności i poufności: dane muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem.

Telefon czy tablet z dostępem do systemu dziedzinowego z numerami PESEL jest z punktu widzenia RODO takim samym elementem infrastruktury przetwarzania jak serwer w urzędzie. Łatwiej go jednak zgubić albo ukraść. RODO, podobnie jak ustawa o KSC, nie wskazuje narzędzia, którym to ryzyko ograniczyć. Wynika z niego natomiast, że brak środka adekwatnego do ryzyka jest naruszeniem obowiązku administratora, niezależnie od tego, czy do incydentu w ogóle doszło.

Podstawy rozporządzenia opisaliśmy przy okazji jego wdrożenia w artykule o zmianach w ochronie danych osobowych. Część opisanych tam obowiązków opiera się na dokładnie tej samej logice oceny ryzyka, którą dziś stosuje się też do floty urządzeń mobilnych.

Od czego zacząć wdrożenie

Wdrożenie zaczyna się od inwentaryzacji, zanim urząd cokolwiek kupi. Urząd musi wiedzieć, ile ma urządzeń mobilnych w użyciu, kto ma na nich dostęp do jakich systemów i które są własnością pracownika, a które urzędu. Bez tego nie da się ani wybrać modelu własności, ani opisać przedmiotu zamówienia zgodnie z art. 99 Pzp.

Drugim krokiem jest polityka, a dopiero trzecim narzędzie. Wybór między BYOD, CYOD, COPE i COBO powinien zapaść przed rozpoczęciem postępowania zakupowego, bo od niego zależy, jakich funkcji specyfikacja w ogóle będzie wymagać. Urząd, który zdecyduje się na COBO dla stanowisk z dostępem do PESEL, potrzebuje innych funkcji niż urząd, który dopuszcza CYOD dla większości pracowników biurowych.

Pilotaż w jednej jednostce organizacyjnej, przed wdrożeniem w całym urzędzie, pozwala wychwycić problemy z konkretnymi aplikacjami dziedzinowymi, zanim dotkną stu użytkowników naraz. Mniejszym gminom, którym własny etat administratora MDM się nie opłaca, art. 16e ust. 5-9 ustawy o KSC daje dwa rozwiązania. To wspólna obsługa tych obowiązków albo porozumienie z inną jednostką samorządu, która przejmie techniczną stronę sprawy.

Funkcje MDM, które śledzą lokalizację urządzenia czy historię instalacji aplikacji, są w rozumieniu Kodeksu pracy "inną formą monitoringu" (art. 22³ § 4). Zanim taki monitoring ruszy, trzeba go opisać w układzie zbiorowym, w regulaminie pracy albo w obwieszczeniu, a pracowników poinformować o nim z dwutygodniowym wyprzedzeniem (art. 22² § 6-7 w związku z art. 22³ § 3 i 4). Ten krok bywa pomijany, a potrafi zatrzymać wdrożenie w połowie: monitoring uruchomiony bez tego trybu narusza prawo pracy, nawet jeśli dobrze uzasadniają go względy bezpieczeństwa.

Na tym samym mechanizmie, czyli zamianie wymogu prawnego w sprawdzalną i powtarzalną praktykę, opiera się przegląd bezpieczeństwa i zgodności. Jego przedmiotem są jednak kod, architektura i CI/CD zespołów wydających oprogramowanie, a nie flota urządzeń mobilnych urzędu.

Szerzej temat omawia poradnik o systemie MDM w jednostkach samorządu terytorialnego opublikowany na cyberkatalog.pl.

Źródła

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 4 pkt 7 i art. 21-22 w pierwotnym brzmieniu, czyli zakres podmiotowy wobec podmiotów publicznych przed nowelizacją z 2026 r. (odczyt 19.09.2026)
2. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, art. 33 ust. 1-2, art. 34 ust. 1 i 3, art. 35 oraz art. 49, a także nadane przez nią brzmienie art. 7a ust. 2 pkt 3, art. 7b ust. 1-2, art. 8 ust. 1 i 3, art. 16e ust. 5-9, załącznika nr 1 pkt 2-4 i załącznika nr 4 pkt 2-8 ustawy o krajowym systemie cyberbezpieczeństwa (odczyt 19.09.2026)
3. Ministerstwo Cyfryzacji, "Komunikat Ministra Cyfryzacji z dnia 08 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych", Dz. Urz. MC 2026 poz. 7, 08.04.2026 - termin składania wniosków od 7 maja do 3 października 2026 roku (odczyt 19.09.2026)
4. Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych, § 19 ust. 2 pkt 2 i 8, oraz metryka rozporządzenia w bazie ELI Sejmu z datą uznania za uchylone 23.02.2027 (odczyt 19.09.2026)
5. Ustawa z dnia 25 lipca 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw, art. 1 pkt 19, art. 15 i art. 17 (odczyt 19.09.2026)
6. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5 ust. 1 lit. f, art. 24 i art. 32 (odczyt 19.09.2026)
7. Ustawa z dnia 11 września 2019 r. - Prawo zamówień publicznych (tekst jednolity), art. 2 ust. 1 pkt 1 oraz art. 99 ust. 1 i 4-6 (odczyt 19.09.2026)
8. Prezes Urzędu Zamówień Publicznych, Obwieszczenie z dnia 8 grudnia 2025 r. w sprawie aktualnych progów unijnych na lata 2026-2027, M.P. 2025 poz. 1247 - równowartość progu unijnego dla zamawiających sektora publicznego niebędących zamawiającymi centralnymi w dostawach i usługach: 216 000 euro, tj. 930 960 złotych (odczyt 19.09.2026)
9. Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (tekst jednolity), art. 22² § 6-7, art. 22³ § 3-4, art. 67²⁰ § 6 pkt 8, art. 67²⁴ § 2-3 i art. 67²⁶ § 1 - stan na dzień odczytu, z uwzględnieniem zmian ogłoszonych po dacie tekstu jednolitego (odczyt 19.09.2026)
10. NIST, "SP 800-124 Rev. 2, Guidelines for Managing the Security of Mobile Devices in the Enterprise", maj 2023 - klasyfikacja modeli własności urządzeń w rozdziale 5.1.3 (odczyt 19.09.2026)
11. Główny Urząd Statystyczny, "Wykorzystanie technologii informacyjno-komunikacyjnych w jednostkach administracji publicznej w 2025 r.", 18.05.2026 - odsetek jednostek i pracowników administracji samorządowej wyposażonych w urządzenia mobilne (odczyt 19.09.2026)
12. CyberKatalog.pl, "System MDM w jednostkach samorządu terytorialnego - Obowiązki prawne, model wdrożenia i kryteria zakupu" - poradnik PDF omawiający obowiązki z ustawy o KSC, KRI, RODO, Kodeksu pracy i Prawa zamówień publicznych przy wdrożeniu MDM w JST (odczyt 07.10.2026)