Albert Heijn: tydzień bez e-sklepu po wyłączeniu systemów

Albert Heijn i Ahold Delhaize: co wyłączono i co z tego wynikło

Ahold Delhaize poinformował 12 października w komunikacie zatytułowanym „precautionary measures following cybersecurity incident", że w jego sieci wystąpił „security issue" i że w ramach działań zaradczych wyłącza część systemów, aby je chronić. Sklepy pozostały otwarte. Dzień później spółka dodała, że pracuje z zewnętrznymi ekspertami, kontaktuje się z właściwymi organami i rozpoczyna „kontrolowane ponowne uruchamianie wybranych systemów". Przez tydzień spółka mówiła o „security issue", „cybersecurity issue" i „cybersecurity incident", a Albert Heijn początkowo o „incydencie IT" (NL Times); słowo „atak" nie padło; branżowy SecurityWeek pisał 13 października o cyberataku na własną odpowiedzialność. Dopiero 19 października Ahold Delhaize napisał, że śledztwo potwierdziło, iż podejrzana aktywność w infrastrukturze IT „była wynikiem złośliwych działań osób trzecich", że NCSC zawiadomiono w ciągu 24 godzin od wykrycia i że tego dnia złożono zawiadomienie na holenderską policję. Drogi wejścia ani sprawcy nie ujawniono: spółka nie udostępnia szczegółów, które mogłyby osłabić środki bezpieczeństwa lub przeszkodzić w reakcji.

Skutki w Holandii według komunikatów Albert Heijn (w tym archiwalnej wersji z 13 października) i NL Times:

• strona ah.nl i aplikacja Mijn AH wyłączone „z ostrożności" w niedzielę 11 października, przywrócone 18 października;
• zamówienia online i dostawy do domu wstrzymane; według stanu na 18 października dostawcy mają wrócić na trasy stopniowo od piątku 23 października, wszystkie zamówienia z dostawą do czwartku 22 października włącznie są anulowane, a nowych nie można jeszcze składać;
• według aktualizacji Albert Heijn z 13 października ogólna karta Bonus działała, ale klienci nie mogli korzystać z osobistych rabatów ani programów zbierania punktów (Koopzegels, Air Miles, 10% dla AH Premium); sieć prosiła o zachowanie paragonów, żeby później odebrać zaległe korzyści; NL Times pisał ogólniej o niedziałającym programie lojalnościowym i karcie BONUS;
• elektroniczne etykiety cenowe: według NL Times pokazywały błędne ceny, według Supermarket News mogły pokazywać ceny z poprzedniego tygodnia; według Albert Heijn 13 października przywrócono na nich ceny regularne, a aktualne ceny Bonus były jeszcze niewidoczne, choć rabaty naliczano przy kasie; 18 października sieć podała, że ceny na etykietach znów się zgadzają, łącznie z cenami Bonus;
• zaopatrzenie z centrów dystrybucyjnych zostało zakłócone; według NL Times półki były puste we wtorek i środę, sieć przywracała pracę centrów przez noc z wtorku na środę i przez środę, dostawy produktów trwałych ruszyły w środę, świeżych w czwartek;
• obsługa klienta według strony Albert Heijn w stanie z 18 października nadal była niedostępna.

Albert Heijn potwierdził, że incydent objął także marki Etos i Gall & Gall. Supermarket News podał, że wyłączono również strony amerykańskich marek grupy: Food Lion, Hannaford, Stop & Shop i obu marek Giant, a problem objął też europejskie serwisy Delhaize i bol.com. Sam holding mówi o sklepach „w Europie i Stanach Zjednoczonych" i o skutkach różnych w zależności od marki.

Dla praktyka istotne jest to, czego w tym opisie nie ma: nie wiadomo, na czym polegały „złośliwe działania", które systemy padły, a które wyłączono decyzją, ani dlaczego jedno zdarzenie w sieci grupy zatrzymało e-commerce w kilku krajach, a w Holandii także osobiste rabaty, etykiety i zaopatrzenie. W dostępnych komunikatach spółka nie podała wskaźników kompromitacji ani zaleceń dla innych firm. Jest za to udokumentowany dzień po dniu obraz tego, jak długo trwa powrót poszczególnych procesów handlowych po odcięciu systemów.

Kontekst: drugi znany incydent grupy w dwa lata, tym razem bez deklaracji kradzieży danych

Według SecurityWeek w listopadzie 2024 r. Ahold Delhaize padł ofiarą cyberataku na amerykańskie marki grupy (m.in. apteki Giant Food, Hannaford, Food Lion, Stop & Shop). W kwietniu 2025 r. grupa INC Ransom przypisała sobie to zdarzenie, a spółka potwierdziła kradzież danych; w czerwcu 2025 r. Ahold Delhaize zgłosił amerykańskim regulatorom naruszenie danych ponad 2,2 mln osób. Tym razem spółka od 13 października deklaruje, że „na ten moment" nie ma dowodów na zabranie danych klientów, pracowników i partnerów; Albert Heijn 18 października powtórzył, że nie ma wskazań, by incydent objął dane osobowe.

Zdarzenie zbiegło się w czasie z innymi incydentami w europejskim handlu spożywczym, w tym z atakiem na chłodnie w setkach supermarketów z tego samego weekendu, z którym zestawiają je SecurityWeek i Supermarket News. Holenderskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) napisało 13 października, że w europejskim sektorze spożywczym trwa kilka incydentów i że nie widzi obecnie powodu, by zakładać, że są ze sobą powiązane. NCSC nie wypowiada się o pojedynczych organizacjach; zgłoszenie potwierdziła sama spółka: najpierw rzecznik Albert Heijn w wypowiedzi dla agencji ANP, 19 października Ahold Delhaize w komunikacie.

Wpływ na biznes: rachunek za decyzję „wyłączamy"

Koszt reakcji obronnej jest realny, nawet bez potwierdzonego wycieku danych

Spółka nie ma dowodów na wyciek danych i nie podała drogi wejścia, a mimo to przez tydzień nie sprzedawała online, przez kilka dni nie zaopatrywała sklepów w normalnym rytmie i zapowiedziała zwroty za anulowane zamówienia w ciągu kilku dni. NL Times podał szacunek strat Albert Heijn na ponad 10 mln euro, powołując się na niewymienionych z nazwy ekspertów. Konkurenci (Jumbo, Lidl, Picnic, ALDI, PLUS) informowali agencję ANP o większym ruchu i większej liczbie zamówień online. W ocenie redakcji wniosek dla zarządu jest taki, że plan ciągłości działania musi zawierać scenariusz „własne IT wyłącza systemy na kilka dni", a nie tylko scenariusz „ransomware szyfruje serwery": skutki dla sprzedaży są w obu przypadkach podobne, choć różnią się ryzyka towarzyszące i to, kto podejmuje decyzję.

Incydent od pierwszego komunikatu był sprawą giełdową

Pierwszy komunikat Ahold Delhaize, z 12 października, został oznaczony jako informacja poufna w rozumieniu art. 7 ust. 1 rozporządzenia MAR; aktualizacje z 13 i 19 października takiego oznaczenia nie mają. Dla spółek notowanych to przypomnienie, że decyzja o wyłączeniu systemów jest jednocześnie decyzją komunikacyjną wobec rynku, więc w ćwiczeniu ciągłości działania obok logistyki i sprzedaży powinna siedzieć osoba odpowiedzialna za relacje inwestorskie.

Komunikacja: trzy decyzje spółki

Pierwsza: zgłoszenie do organów. Ahold Delhaize podał 19 października, że zawiadomił NCSC w ciągu 24 godzin od wykrycia złośliwej aktywności i na bieżąco informował NCSC, organy ścigania i regulatorów. Według NCSC od 15 sierpnia 2026 r. obowiązuje w Holandii Cyberbeveiligingswet, ustawa wdrażająca dyrektywę NIS2, która nakłada na ponad 8 000 organizacji obowiązek zgłaszania znaczących incydentów w ustawowych terminach.

Druga: zawiadomienie policji. Według NL Times Stan Duijf z holenderskiej policji powiedział w czwartek 15 października w programie telewizyjnym, że Albert Heijn jeszcze nie złożył zawiadomienia o przestępstwie, choć policja do tego zachęcała, i dlatego nie wszczęto śledztwa. Formalne zawiadomienie Ahold Delhaize złożył 19 października, osiem dni po wykryciu incydentu i dzień po przywróceniu strony Albert Heijn. Zgłoszenie do CSIRT i zawiadomienie policji okazały się więc w praktyce dwiema różnymi decyzjami, podjętymi w różnym czasie (więcej o tym w części o polskiej ustawie).

Trzecia: komunikacja z klientami. Albert Heijn prowadził aktualizowaną stronę z informacjami o stanie usług i ostrzegł, że w takich sytuacjach przestępcy próbują podszywać się pod pracowników firmy w kampaniach phishingowych.

Ocena pilności

Operacyjnie: niska, bo nie opublikowano ani luki do załatania, ani wskaźników do wyszukania. Organizacyjnie: wysoka dla każdej firmy, której sprzedaż, ceny lub zaopatrzenie zależą od centralnych systemów. Pilne, jeśli firma nie potrafi dziś odpowiedzieć, które systemy sklepu i magazynu można wyłączyć na dobę bez zatrzymania sprzedaży. Można odłożyć, jeśli taki scenariusz był ćwiczony i ma właściciela.

Polska ustawa o KSC: kto podlega, co zgłasza, od kiedy

Kto podlega. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obejmuje sektor spożywczy w załączniku nr 2 wąsko: jako przedsiębiorstwa spożywcze „zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem". Sieć sklepów detalicznych jako taka nie jest w załącznikach wymieniona. Podmiotem ważnym jest osoba lub jednostka wskazana w załączniku nr 2, „która spełnia wymogi dla średniego przedsiębiorcy (...) lub przewyższa te wymogi oraz która nie jest podmiotem kluczowym" (art. 5 ust. 2 pkt 2) - obejmuje to już firmy średnie, a w ocenie redakcji próg wielkości dotyczy całego przedsiębiorcy, nie samej działalności hurtowej. Decyzją organu (art. 7l ust. 1) można objąć ustawą wyłącznie podmiot „określony w załączniku nr 1 lub 2", który nie spełnia przesłanek z art. 5 (w praktyce: progu wielkości), a spełnia jedną z przesłanek z tego przepisu: hurtownika poniżej progu tak, sieć detaliczną spoza załączników nie. Dla firmy handlowej, która nie spełnia żadnej z tych przesłanek, obowiązki z ustawy z tytułu sektora spożywczego, w tym zgłaszanie incydentów z art. 11, nie powstają; inne tytuły (np. apteki, transport, usługi cyfrowe) ten tekst pomija.

Platforma handlowa to osobny przypadek. W załączniku nr 2 jest też dostawca internetowej platformy handlowej w rozumieniu art. 2 pkt 8 ustawy o prawach konsumenta. Taki dostawca podlega polskiej ustawie, gdy Polska jest głównym miejscem prowadzenia jego działalności (art. 5a ust. 3); dostawca bez jednostki organizacyjnej w UE, który oferuje usługi w Polsce, wyznacza przedstawiciela i podlega polskiemu organowi, jeśli przedstawiciel ma jednostkę w Polsce (art. 5a ust. 7-9). Progi incydentu poważnego dla tej grupy wynikają z aktu wykonawczego Komisji Europejskiej, nie z polskiego rozporządzenia (art. 11 ust. 4; Q&A Ministerstwa Cyfryzacji wskazuje rozporządzenie wykonawcze 2024/2690). Czy własny sklep internetowy sieci jest taką platformą, rozstrzyga definicja z ustawy o prawach konsumenta, nie ustawa o KSC - ten tekst tego nie rozstrzyga.

Co i kiedy zgłasza podmiot objęty ustawą. Podmiot kluczowy lub ważny zgłasza wczesne ostrzeżenie o incydencie poważnym do właściwego CSIRT sektorowego „niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia", samo zgłoszenie „niezwłocznie, niepóźniej niż w ciągu 72 godzin", a sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4, 4a i 4c); gdy obsługa incydentu trwa dłużej, przekazuje sprawozdanie z postępu, a końcowe w ciągu miesiąca od zakończenia obsługi (art. 12b). Incydent poważny definiuje art. 2 pkt 7 (m.in. incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości usługi podmiotu albo straty finansowe dla niego); progi liczbowe określi rozporządzenie Rady Ministrów (art. 11 ust. 4), do którego redakcja nie dotarła i którego nie ocenia. W ocenie redakcji tydzień bez sprzedaży online i kilka dni bez zaopatrzenia mieszczą się w jakościowym opisie tej definicji; czy przekroczyłyby progi liczbowe, nie da się dziś powiedzieć. Podmiot objęty ustawą ma też obowiązek poinformować użytkowników swoich usług o incydencie poważnym, „jeżeli ma on niekorzystny wpływ na świadczenie tych usług" (art. 11 ust. 2b); formy przepis nie przesądza, a strona statusowa w rodzaju tej, którą prowadził Albert Heijn, jest jedną z nich. Ustawa rozdziela też zgłoszenie do CSIRT od zawiadomienia policji: jeśli incydent poważny wyczerpuje znamiona przestępstwa, CSIRT sektorowy w odpowiedzi na wczesne ostrzeżenie przekazuje podmiotowi również „informacje o sposobie zgłoszenia organom ścigania" (art. 12 ust. 2) - w ocenie redakcji oznacza to, że zawiadomienie składa podmiot, a zgłoszenie do CSIRT go nie zastępuje.

Terminy: wpis do wykazu i start obowiązków. Podmioty, które spełniały przesłanki 3 kwietnia 2026 r., w dniu wejścia w życie nowelizacji, miały złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych do 3 października 2026 r. (art. 7c ust. 1 i art. 33 ust. 3 w związku z art. 34 ust. 3 pkt 1 nowelizacji; datę podaje Q&A Ministerstwa Cyfryzacji) - ten termin już minął, a za brak wniosku kierownik podmiotu może podlegać karze z art. 73a, objętej odroczeniem opisanym niżej. Podmiot, który spełni przesłanki później, ma 6 miesięcy na złożenie wniosku o wpis, a na obowiązki z rozdziału 3 - 12 miesięcy od ich spełnienia (art. 7c ust. 1 i art. 16). Podmioty objęte od dnia wejścia w życie realizują obowiązki z rozdziału 3, w tym zgłaszanie incydentów, w terminie 12 miesięcy, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 nowelizacji); dotychczasowi operatorzy usług kluczowych zgłaszają incydenty poważne według nowych zasad „w terminie 6 miesięcy" od wejścia w życie, czyli najpóźniej od 3 października 2026 r. (art. 33 ust. 4).

Kary. Kary pieniężne z art. 73 ust. 1-4, art. 73a-73c i art. 76b mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia w życie, czyli po 3 kwietnia 2028 r. (art. 35). Odroczenie nie obejmuje kary z art. 73 ust. 5, do 100 mln zł, nakładanej, gdy podmiot narusza przepisy ustawy, powodując: 1) „bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi", 2) „zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług"; przepis wylicza te przesłanki w dwóch punktach bez spójnika, a Q&A Ministerstwa Cyfryzacji opisuje je łącznie („oraz"). Kara wymaga naruszenia przepisów ustawy, którego skutkiem jest takie zagrożenie - sam przestój po własnej decyzji o wyłączeniu systemów nim nie jest.

Scenariusze: co w sklepie przetrwa dobę bez systemów

To ćwiczenie na kanwie opisanego przypadku, nie opis infrastruktury Albert Heijn, której spółka nie ujawniła. Kolejność według krytyczności dla sprzedaży.

• Kasy i płatności. Sklepy Albert Heijn pozostały otwarte. To minimum, które musi działać niezależnie od reszty: tryb awaryjny kas i płatności powinien być przetestowany, a nie tylko opisany.
• Ceny i promocje. Elektroniczne etykiety bez połączenia z centralą pokazują ostatni znany stan. Potrzebny jest tryb ręczny: kto zmienia ceny, gdy system centralny milczy, i jak sklep rozlicza różnicę między półką a kasą.
• Program lojalnościowy. Rozliczenie po fakcie na podstawie paragonów działa tylko wtedy, gdy firma potrafi później odtworzyć transakcje z kas - warto sprawdzić, czy ten proces istnieje.
• Zaopatrzenie i magazyn. Kilka dni bez regularnych dostaw oznaczało puste półki. Pytanie dla logistyki: czy system magazynowy da się odciąć od e-commerce i centrali tak, aby dostawy do sklepów szły dalej - o ile te systemy są u danej firmy współzależne, czego w przypadku Ahold Delhaize spółka nie ujawniła.
• E-commerce i dostawy do domu. W Holandii usługi przywracano etapami: 18 października uruchomiono stronę i konto klienta. Przyjmowanie nowych zamówień pozostawało niedostępne, a stopniowe wznowienie dostaw zapowiedziano od 23 października. To kolejność jednej firmy, nie reguła: plan ciągłości powinien sam ustalać kolejność odtwarzania według skutków biznesowych, zależności między systemami i bezpieczeństwa ponownego uruchomienia - dla firmy żyjącej ze sprzedaży online e-commerce może stać wysoko na tej liście. Plan powinien też odpowiadać na pytanie, czy masowe anulowanie zamówień i zwroty da się uruchomić przy wyłączonym sklepie internetowym.
• Obsługa klienta. Kanał informacyjny dla klientów (strona statusowa, komunikaty w sklepach, media społecznościowe) powinien być od tych systemów niezależny.

Firma z własnym zespołem bezpieczeństwa może przełożyć tę listę na ćwiczenie stolikowe z udziałem logistyki, sprzedaży, komunikacji i, w spółce notowanej, relacji inwestorskich. Właściciel kilku sklepów bez działu bezpieczeństwa powinien zadać te same pytania dostawcy systemu kasowego i firmie obsługującej IT, zaczynając od cen i kas.

Rekomendacje: dziś, w tym tygodniu, do zaplanowania

DZIŚ (sprawdzenia bez zmian w systemach)

• Ustalić, kto w firmie ma prawo podjąć decyzję o wyłączeniu systemów; według NL Times w Ahold Delhaize decyzję podjęła spółka matka, a według komunikatu grupy skutki objęły marki w Europie i USA.
• Sprawdzić dwa pierwsze punkty z listy scenariuszy: tryb awaryjny kas i płatności oraz procedurę ręcznej zmiany cen i promocji - czy istnieją i były testowane.
• Tylko dotychczasowi operatorzy usług kluczowych: sprawdzić, czy proces zgłaszania incydentów poważnych do CSIRT sektorowego według art. 11-12b działa, bo termin 6 miesięcy z art. 33 ust. 4 upłynął 3 października 2026 r.

W TYM TYGODNIU

• Przeprowadzić ćwiczenie stolikowe według listy ze scenariuszy: dla każdego procesu sklepowego i magazynowego ustalić, ile godzin wytrzyma bez systemu centralnego i co dzieje się potem.
• Zinwentaryzować systemy współdzielone w grupie kapitałowej lub z dostawcami (tożsamość, sieć, ERP, lojalność, e-commerce) i ustalić, które z nich są pojedynczym punktem awarii dla wielu spółek lub krajów.
• Ustalić, czy firma spełnia przesłanki podmiotu ważnego z ustawy o KSC: działalność z załącznika nr 2 (w sektorze żywności: dystrybucja hurtowa, przemysłowa produkcja lub przetwarzanie; osobno: internetowa platforma handlowa, z uwzględnieniem zasad właściwości z art. 5a ust. 3-9) i co najmniej wielkość średniego przedsiębiorcy; podmiot z załącznika poniżej progu może zostać objęty decyzją organu (art. 7l).
• Jeśli tak, a wniosku o wpis do wykazu nie złożono: złożyć go bez zwłoki; termin dla podmiotów spełniających przesłanki 3 kwietnia 2026 r. upłynął 3 października 2026 r., dla pozostałych wynosi 6 miesięcy od spełnienia przesłanek.
• Jeśli firma podlega ustawie: wyznaczyć osobę odpowiedzialną za wczesne ostrzeżenie i zgłoszenie do CSIRT sektorowego; sam proces trzeba mieć działający w terminie z bloku poniżej.
• Niezależnie od ustawy: wyznaczyć osobę decydującą o zawiadomieniu policji.
• Ustalić listę systemów do wyłączenia w scenariuszu izolacji i jej kolejność - na podstawie ćwiczenia stolikowego, nie przed nim.
• Przygotować komunikat ostrzegający klientów i pracowników przed phishingiem podszywającym się pod firmę w czasie incydentu - Albert Heijn taki komunikat publikował.
• Jeśli inwentaryzacja pokaże, że system magazynowy, e-commerce i systemy centralne są współzależne: zaplanować ich separację (zakres, koszt, termin).

DO ZAPLANOWANIA

• Przetestować odbudowę centrum dystrybucyjnego po odcięciu od systemów centralnych.
• Ustalić i przetestować kolejność odtwarzania procesów według skutków biznesowych i zależności; dla porównania u Albert Heijn 18 października wróciły razem strona, aplikacja, konto klienta i oferty promocyjne, zamówień jeszcze nie przyjmowano, a dostawy zapowiedziano od piątku.

TERMINY USTAWOWE (tylko podmioty objęte ustawą o KSC)

• Do 3 kwietnia 2027 r. (podmioty, które spełniały przesłanki 3 kwietnia 2026 r., poza dotychczasowymi operatorami usług kluczowych - patrz DZIŚ): uruchomienie działającego procesu zgłaszania incydentów poważnych z art. 11-12b (wczesne ostrzeżenie, zgłoszenie, sprawozdania).
• W terminie 12 miesięcy od spełnienia przesłanek (podmioty, które spełnią je po 3 kwietnia 2026 r.): to samo.

Podsumowanie

Albert Heijn pokazał, ile kosztuje reakcja, którą spółka opisuje jako prewencyjne wyłączenie systemów: tydzień bez strony i aplikacji, dostawy do domu anulowane do 22 października włącznie i zapowiedziane stopniowo od 23 października, kilka dni pustych półek, zwroty. Ahold Delhaize potwierdził 19 października, że za incydentem stały złośliwe działania osób trzecich, ale nie podał, jakie. Dla firm handlowych i logistycznych wniosek nie dotyczy więc tego, kto i jak wszedł do sieci grupy, lecz tego, czy własny plan ciągłości działania przewiduje taką decyzję i kolejność jej odwracania.

Pytania, na które zarząd powinien znać odpowiedź:

1. Które systemy sklepu i magazynu można wyłączyć na 24 godziny bez zatrzymania sprzedaży, a których nie wolno, i czy wyłączenie e-commerce zatrzymuje też dostawy do sklepów?
2. Czy ceny, promocje, osobiste rabaty i programy zbierania punktów mają tryb ręczny i procedurę rozliczenia po fakcie?
3. Czy firma spełnia przesłanki ustawy o KSC, a jeśli tak, czy jest w wykazie i kto wysyła wczesne ostrzeżenie do CSIRT niezwłocznie, nie później niż w 24 godziny, a zgłoszenie w 72?

Zapraszamy do dyskusji na LinkedIn: jak w polskich sieciach wygląda tryb ręczny dla cen i promocji?

Źródła

• Ahold Delhaize: Ahold Delhaize takes precautionary measures following cybersecurity incident, 12.10.2026
• Ahold Delhaize: Update on Ahold Delhaize's cybersecurity incident, 13.10.2026 (akt. 14.10)
• Ahold Delhaize: Ahold Delhaize update on status of cybersecurity incident, 19.10.2026
• Albert Heijn: Mediastatement inzake cybersecurity incident, stan na 19.10.2026, 17:10 (wcześniej 18.10, 13:20)
• Albert Heijn: Mediastatement, wersja z 13.10.2026, 11:30 (archiwum Wayback Machine)
• ISAP: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252
• Ministerstwo Cyfryzacji: Q&A „Nowelizacja KSC" (pkt 2.1, 2.31, 2.32, 3.1, 6.18, 6.19, 12.1; PDF)