Kierownik podmiotu ( w tym zarząd) a cyberbezpieczeństwo po wprowadzeniu nowelizacji tzw. KSC
Przez ostatnie dziesięć lat cyberbezpieczeństwo było w polskich firmach tematem, który zarząd delegował. Ktoś przynosił slajd raz na kwartał, zarząd przyjmował go do wiadomości i szło się dalej. Ten model przestał działać, bo weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2.
Zmiana jest prosta i nieprzyjemna: odpowiedzialność przestała być korporacyjna, a stała się osobista, imienna i niedelegowalna. Nie odpowiada „firma”. Odpowiadasz Ty, swoim wynagrodzeniem, prawem do zasiadania w zarządach i nazwiskiem, które zostanie w wynikach wyszukiwania na długo po tym, jak sprawa się zamknie.
Co się zmieniło? Artykuł. 8c ustawy o KSC nakłada na kierownika podmiotu kluczowego lub ważnego osobistą odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa. Odpowiedzialności nie da się przenieść na CISO ani na dostawcę. Kara osobista sięga 300% wynagrodzenia w podmiocie prywatnym i 100% w publicznym, niezależnie od kary nałożonej na spółkę.
Obowiązkowe szkolenie kierownictwa odbywa się raz w roku kalendarzowym i musi być udokumentowane.
Co konkretnie odpowiada kierownik podmiotu
Ustawa nie mówi o „zarządzie” w sposób ogólny. Buduje konstrukcję, którą warto przeczytać uważnie, bo każdy jej element ma konsekwencje osobiste.
Odpowiedzialność jest przypisana kierownikowi podmiotu. Art. 8c ust. 1 stanowi, że to kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa wynikających z ustawy. W organie wieloosobowym odpowiadają wszyscy. Jeżeli kierownikiem jest organ wieloosobowy –czyli typowy zarząd spółki – i nie wskazano konkretnej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. To jest zdanie, które powinno trafić do protokołu najbliższego posiedzenia. Dyrektor finansowy, który nigdy nie widział polityki bezpieczeństwa, jest w tej samej sytuacji, co prezes.
Powierzenie obowiązków nie zwalnia. Można wyznaczyć osobę do koordynacji, można podpisać umowę z zewnętrznym dostawcą usług bezpieczeństwa, można powołać CISO. Odpowiedzialność prawna zostaje przy kierowniku. Delegowanie zadań tak – delegowanie odpowiedzialności nie.
To ostatnie jest źródłem najczęstszego nieporozumienia, jakie słyszymy w salach zarządu: „mamy przecież dostawcę od bezpieczeństwa”. Posiadacie. To zmienia to, kto wykonuje pracę, a nie to, kto odpowie przed organem.
—-
Co to znaczy w praktyce? Twoje obowiązki jako kierownika nie kończą się na podpisaniu budżetu.
Obejmują:
- dokonanie aktualnego wpisu do wykazu podmiotów kluczowych lub podmiotów ważnych,
- wdrożenie systemu zarządzania bezpieczeństwem informacji w podmiocie,
- realizację swoich zadań,
- weryfikację personelu realizującego zadania z zakresu systemu zarządzania bezpieczeństwem informacji i zgłaszania incydentów,
- przeszkolenie siebie z realizacji obowiązków,
- wyznaczenie osób kontaktowych,
- zapewnienie użytkownikowi usługi dostępu do wiedzy z zakresu cyberbezpieczeństwa,
- zapewnienie użytkownikowi usługi możliwości zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą,
- korzystanie z Systemu S46,
- zgłaszanie incydentów,
- przeprowadzanie audytów.
Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą.
[Za cyber.gov.pl/ wrzesień 2026]
—-
Jeśli działasz w sektorze bankowym lub infrastrukturze rynków finansowych, część obowiązków technicznych zastępuje rozporządzenie DORA –ale obowiązki dotyczące kierownika, szkoleń i rejestracji zostają. Piszę o tym w tekście o wymaganiach informacyjnych rozporządzenia DORA.
Zobacz także: Art. 8d. UKSC [Zadania kierownika podmiotu kluczowego lub podmiotu ważnego] oraz Art. 8e. UKSC [Szkolenia w zakresie cyberbezpieczeństwa]
Czytaj więcej w https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/krajowy-system-cyberbezpieczenstwa-18746756
Obowiązkowe szkolenie zarządu
To jest jedyny obowiązek w całej ustawie, który wykonujesz osobiście i którego nikt za Ciebie nie odbębni.
Art. 8e ust. 1 stanowi, że kierownik podmiotu kluczowego lub ważnego –oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa – przechodzi szkolenie raz w roku kalendarzowym. Udział w szkoleniu musi być udokumentowany.
Ustawa wylicza konkretne przepisy, które szkolenie ma obejmować: zarządzanie ryzykiem, obowiązki informacyjne, zgłaszanie incydentów, audyt, odpowiedzialność prawna.
Kara finansowa to nie jedyna sankcja. Organ nadzorczy dysponuje katalogiem twardych środków, wśród nich tymczasowym nadzorcą i możliwością wstrzymania działalności podmiotu kluczowego. Możliwy jest też czasowy zakaz pełnienia funkcji kierowniczych – do dwóch lat, z natychmiastową wykonalnością i doręczeniem przez ogłoszenie w dzienniku urzędowym ministra.
Nie ma podwójnego karania. Podmiot nie zostanie ukarany przez organ cyberbezpieczeństwa, jeśli za ten sam czyn otrzymał już prawomocną karę od Prezesa UODO.
Dowody należytej staranności
W postępowaniu nadzorczym, w sporze ze spółką i w rozmowie z dziennikarzem obowiązuje ta sama zasada: liczy się nie to, co robiłeś, tylko to, co potrafisz udokumentować.
Warto tu przypomnieć konstrukcję, którą polski ustawodawca wprowadził do KSH w 2022 roku. Członek zarządu nie narusza obowiązku dołożenia staranności, jeżeli – postępując lojalnie wobec spółki – działa w granicach uzasadnionego ryzyka, w tym na podstawie informacji, analiz i opinii, które powinny być w danych okolicznościach uwzględnione.
Ochrona jest realna, ale warunkowa: żeby się na nią powołać, musisz mieć te informacje, analizy i opinie na piśmie.Ustne zapewnienie dyrektora IT sprzed półtora roku nie jest podstawą decyzji, tylko wspomnieniem.
Poniżej minimalny zestaw, który powinien istnieć w Twojej organizacji. Nazywam go teczką kierownika – bo w praktyce to jest teczka jednej osoby, nie działu.
- Protokoły zarządu z decyzjami dotyczącymi bezpieczeństwa. Nie „zarząd zapoznał się z prezentacją”. Konkretnie: co zostało przedstawione, jakie ryzyka zidentyfikowano, jaką decyzję podjęto, kto głosował, jaki budżet przyznano –a jeśli nie przyznano, to z jakim uzasadnieniem. Wniosek odrzucony i uzasadniony jest dowodem świadomej decyzji. Wniosek, którego nie ma w protokole, jest dowodem, że tematu nie było.
- Formalnie zatwierdzona polityka bezpieczeństwa informacji i plan postępowania z ryzykiem. Z datą, podpisem i wersją. Dokument, który nigdy nie został przyjęty uchwałą, w postępowaniu nie istnieje.
- Dokumentacja szkolenia kierownictwa. Data, zakres, prowadzący, lista uczestników, potwierdzenie udziału. Za bieżący rok kalendarzowy i za poprzednie.
- Dziennik zdarzeń z incydentów. Sygnatury czasowe, kto podjął jaką decyzję, na jakiej podstawie, o której godzinie. Ten dokument pełni potem trzy funkcje naraz: jest źródłem zgłoszenia do organu, źródłem komunikatu do klientów i dowodem w postępowaniu. Opisuję ten mechanizm szczegółowo w case study o ransomware w długi weekend.
- Protokoły z ćwiczeń kryzysowych. Data, scenariusz, uczestnicy, wnioski i – to jest część, którą prawie wszyscy pomijają – potwierdzenie realizacji wniosków z poprzedniego ćwiczenia. Ćwiczenie bez wdrożonych wniosków dowodzi, że wiedzieliście o problemie i nic z nim nie zrobiliście. To bywa gorsze niż brak ćwiczenia.
- Zatwierdzona polityka komunikacji kryzysowej. Kto mówi, w jakim czasie, jakim kanałem, na jakiej podstawie. Wraz z gotowymi szablonami – wzorami komunikatu dla klientów, mediów i pracowników. W dokumentacji nadzorczej jest to dowód gotowości organizacyjnej. W dniu incydentu jest to jedyna rzecz, która działa.
- Rejestr decyzji o niewdrożeniu. Dokument, którego prawie nikt nie prowadzi, a który chroni najskuteczniej. Jeśli zarząd świadomie odłożył jakieś zabezpieczenie –bo kosztowało za dużo, bo priorytety były inne, bo termin był nierealny –to musi być zapisane wraz z uzasadnieniem i terminem powrotu do tematu. Świadoma decyzja w granicach uzasadnionego ryzyka to zupełnie inna sytuacja prawna niż zaniechanie.
Stan prawny: wrzesień 2026 r., Ustawa o Krajowym Systemie Cyberbezpieczeństwa w brzmieniu po nowelizacji obowiązującej od 3 kwietnia 2026 r.
Tekst ma charakter praktyczny i nie stanowi porady prawnej. Kwalifikację podmiotu i ocenę konkretnych obowiązków skonsultuj z prawnikiem specjalizującym się w prawie ITC, compliance i cyber.
5 pytań, które zarząd musi zadać dziś – UKSC
Zadaj je na najbliższym posiedzeniu i poproś o odpowiedzi na piśmie. Sam fakt zadania pytań, wpisany do protokołu, jest już elementem dowodu staranności.
- Czy jesteśmy podmiotem kluczowym albo ważnym – i czy jesteśmy zarejestrowani w wykazie? Termin rejestracji upłynął 3 października 2026 r. Obowiązek samoidentyfikacji leży po stronie podmiotu; nikt nie przyśle pisma z przypomnieniem. Jeśli odpowiedź brzmi „chyba nie dotyczy nas to”, żądaj analizy na piśmie, z podpisem osoby, która ją sporządziła.
- Kto imiennie odpowiada za cyberbezpieczeństwo w naszym organie zarządzającym? Jeśli nie wskazaliście nikogo, odpowiadacie wszyscy. Wskazanie osoby nie zdejmuje odpowiedzialności z pozostałych w pełni, ale porządkuje kompetencje i jest widoczne w dokumentacji.
- Kiedy każdy z nas odbył szkolenie z art. 8e i gdzie leży potwierdzenie? Pytanie o rok kalendarzowy i o konkretny dokument. „Był kiedyś taki webinar” to nie jest odpowiedź.
- Kto zgłasza incydent poważny o drugiej w nocy w sobotę –i czy ta osoba ma dostęp do systemu zgłoszeń?Terminy wynoszą 24 godziny na wczesne ostrzeżenie, 72 godziny na pełne zgłoszenie i miesiąc na sprawozdanie końcowe. Biegną od wykrycia, nie od poniedziałku. Poproś o nazwisko, numer telefonu i potwierdzenie, że ta osoba ma aktywny dostęp – nie o opis procedury.
- Kiedy ostatnio ćwiczyliśmy –i co zrobiliśmy z wnioskami? Jeśli odpowiedź na pierwszą część brzmi „nigdy”, macie pilniejszy problem niż kary. Jeśli na drugą – „nic”, macie problem większy.
Bonus, o którym mówię na każdym spotkaniu z zarządem: poproś o jednostronicowe zestawienie statusu wszystkich siedmiu dokumentów z teczki kierownika, z datami i osobami odpowiedzialnymi. Jeśli nikt nie potrafi go przygotować w tydzień, to jest Wasza odpowiedź na pytanie o stan gotowości.
Najczęstsze pytania (FAQ)
Czy mogę przenieść odpowiedzialność na CISO albo firmę zewnętrzną? Nie. Można powierzyć wykonywanie zadań, wyznaczyć osoby kontaktowe i podpisać umowę z dostawcą usług bezpieczeństwa, ale odpowiedzialność prawna kierownika podmiotu pozostaje przy nim. Ustawa wprost przewiduje, że kierownik odpowiada również wtedy, gdy powierzył obowiązki innej osobie.
Odpowiada cały zarząd czy tylko prezes? Jeśli kierownikiem podmiotu jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu.
Ile wynosi maksymalna kara osobista dla członka zarządu? Do 300% wynagrodzenia w podmiocie prywatnym i do 100% w publicznym, liczonego według zasad ustalania ekwiwalentu pieniężnego za urlop. Kara jest nakładana niezależnie od kary wymierzonej samej spółce.
Skoro kary są odroczone do 2028 roku, mogę poczekać? Odroczone są wyłącznie kary pieniężne. Obowiązki, terminy zgłoszeń i środki nadzorcze działają od 3 kwietnia 2026 r. Niezmienna pozostaje też odpowiedzialność cywilna wobec spółki, odpowiedzialność kontraktowa wobec klientów oraz ryzyko reputacyjne.
Czy jedno szkolenie wystarcza na kilka lat? Nie. Obowiązek jest coroczny i liczony w latach kalendarzowych. Udział musi być udokumentowany.
—–
Kiedy muszę poinformować swoich użytkowników o incydencie poważnym?
Podmiot kluczowy lub podmiot ważny ma obowiązek poinformować użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie usługę.
Niekorzystny wpływ to taki, który przynosi straty dla użytkowników, np. tracą czas, pieniądze, czy w niektórych przypadkach zdrowie. Stąd też w takich sytuacjach należy ich informować o incydencie poważnym.
[Za www.cyber.gov.pl / wrzesień 2026]
—–
Zobacz też cykl Alfabet PR oraz podcast Nieoczywiste Rozmowy o PR.
