Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego?

Dlaczego to pytanie w ogóle powstaje

Dyrektywa NIS2 wymaga, żeby organy zarządzające podmiotów kluczowych i ważnych zatwierdzały środki zarządzania ryzykiem, nadzorowały ich wdrażanie i mogły być pociągnięte do odpowiedzialności za naruszanie przez te podmioty art. 21 (art. 20 ust. 1 dyrektywy 2022/2555). Polska ustawa przenosi do cyberbezpieczeństwa konstrukcję z ustawy o rachunkowości, w tym definicję kierownika i regułę dla organu wieloosobowego (art. 3 ust. 1 pkt 6 i art. 4 ust. 5 tej ustawy).

Drugi powód jest praktyczny. Obowiązki objęte odpowiedzialnością kierownika są rozproszone w kilkunastu artykułach ustawy, a ich adresatem jest zwykle podmiot. W wielu organizacjach temat trafia więc do działu IT albo do dyrektora bezpieczeństwa i zarząd uznaje sprawę za przekazaną. Art. 8c ust. 3 tego skutku nie przewiduje.

Co trzeba ustalić, zanim zarząd przyjmie podział odpowiedzialności

Kto jest kierownikiem podmiotu

Ustawa o KSC odsyła do definicji kierownika jednostki z ustawy o rachunkowości, a w jednostce sektora finansów publicznych do kierownika tej jednostki (art. 2 pkt 8a). Kierownikiem jednostki jest członek zarządu lub innego organu zarządzającego. Jeżeli organ jest wieloosobowy, kierownikiem są członkowie tego organu z wyłączeniem pełnomocników ustanowionych przez jednostkę (art. 3 ust. 1 pkt 6 ustawy o rachunkowości). Ten sam przepis wskazuje kierownika także w spółkach osobowych, w spółce cywilnej i w jednoosobowej działalności gospodarczej. Za kierownika uważa też m.in. likwidatora, syndyka, zarządcę ustanowionego w postępowaniu restrukturyzacyjnym i zarządcę sukcesyjnego.

Minister Cyfryzacji czyta definicję tak samo (pyt. 4.2). Jego zestaw pytań i odpowiedzi nie ma mocy prawnej, ale według ministra jest przydatny przy wykładni przepisów.

Z definicji wynikają trzy wnioski praktyczne. Pełnomocnik, nawet z szerokim umocowaniem, kierownikiem nie jest. Nie są nim też członkowie rady nadzorczej, bo definicja obejmuje organ zarządzający, a ustawa o rachunkowości wymienia organ nadzorujący osobno (art. 4a ust. 1). W grupie kapitałowej kierownika ustala się osobno dla każdej spółki, która jest podmiotem kluczowym lub ważnym. Wspólny dyrektor bezpieczeństwa grupy, który ma wykonywać obowiązki kierownika, potrzebuje więc powierzenia w każdej spółce. Jeżeli realizuje zadania z art. 8 lub 11, przed ich rozpoczęciem przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji albo ma ważne poświadczenie bezpieczeństwa o klauzuli „poufne” lub wyższej (art. 8f ust. 1 i 3). Według ministra obowiązek z art. 8f obejmuje pracowników spółki i osoby z umów cywilnoprawnych zawartych bezpośrednio z nią, a nie personel podmiotów świadczących usługi na jej rzecz (pyt. 3.48).

W sektorze bankowości i infrastruktury rynków finansowych przepisy art. 8c–8f stosuje się odpowiednio (art. 8i ust. 2). W administracji organ wymieniony w art. 16e może wyznaczyć jednostkę odpowiedzialną za obowiązki jednostek podległych lub nadzorowanych, w tym obowiązki z art. 8c–8f. Takim organem jest np. minister albo wojewoda. Według Ministra Cyfryzacji, jeżeli wyznaczenie obejmuje zadania kierownika podmiotu, odpowiada kierownik jednostki wyznaczonej (pyt. 3.30).

Odpowiedzialność zarządu NIS2 w zarządzie wieloosobowym

Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu (art. 8c ust. 2). W spółce z pięcioosobowym zarządem bez takiego wskazania odpowiedzialność zarządu NIS2 dotyczy więc pięciu osób. Ustawa nie określa, kto wskazuje osobę odpowiedzialną ani w jakiej formie. Najprostszym dowodem jest uchwała zarządu albo postanowienie regulaminu zarządu z imieniem i nazwiskiem, zakresem i datą. Według ministra podmiot może wskazać w organie wieloosobowym więcej niż jedną osobę odpowiedzialną (pyt. 4.4).

Ustawa nie mówi wprost, jaki skutek ma wskazanie dla pozostałych członków. W mojej ocenie z art. 8c ust. 2 czytanego odwrotnie wynika, że odpowiedzialność skupia się wtedy na osobie wskazanej. Przy takim odczycie dotyczy to też ryzyka kary z art. 73a. Przeciw przemawia to, że art. 73a ust. 1 wskazuje kierownika, a kierownikiem z definicji pozostaje każdy członek zarządu. Przeciw przemawia też art. 32 ust. 6 dyrektywy. Państwa członkowskie zapewniają według niego, by w podmiocie kluczowym do odpowiedzialności za niezapewnienie przestrzegania dyrektywy można było pociągnąć każdą osobę fizyczną odpowiedzialną za podmiot albo działającą jako jego przedstawiciel prawny. Praktyki organów w tej sprawie jeszcze nie ma. Do czasu jej powstania bezpieczniej jest zakładać, że wskazanie nie zdejmuje ryzyka kary z pozostałych członków zarządu.

Przy odczycie odwrotnym osobą wskazaną powinien być członek organu. Art. 8c ust. 2 dotyczy sytuacji, w której kierownikiem jest organ wieloosobowy, a karze z art. 73a podlega wyłącznie kierownik. Gdyby wskazanie osoby spoza zarządu zwalniało członków zarządu, nikt nie podlegałby tej karze. Wskazanie dyrektora bezpieczeństwa albo pełnomocnika byłoby więc najwyżej powierzeniem obowiązków za zgodą tej osoby (art. 8c ust. 3), które nie zmienia odpowiedzialności zarządu. Minister pisze o wyznaczeniu osób odpowiedzialnych „w ramach organu wieloosobowego” (pyt. 4.4), co można odczytać jako wskazanie spośród członków organu. Przepis mówi jednak o „osobie”, a nie o członku organu, więc i ta kwestia pozostaje otwarta.

Ze szkoleniem jest w mojej ocenie inaczej. Kierownik przechodzi szkolenie raz w roku kalendarzowym (art. 8e ust. 1), a kierownikiem w rozumieniu definicji są wszyscy członkowie organu. Obowiązek obejmuje więc cały zarząd także po wskazaniu osoby odpowiedzialnej. Art. 8c ust. 2 rozstrzyga o odpowiedzialności, a nie o tym, kto jest kierownikiem. Przepis o szkoleniu nie odsyła do wskazania. Osobę z powierzonymi obowiązkami dodaje do kierownika, a nie zastępuje nią kierownika. Art. 20 ust. 2 dyrektywy wymaga, by członkowie organu zarządzającego mieli obowiązek regularnych szkoleń. W odpowiedzi o szkoleniu minister nie odnosi się do wskazania i pisze ogólnie, że „osoby kierujące podmiotami kluczowymi lub podmiotami ważnymi muszą również raz na rok przejść szkolenie” (pyt. 4.3). Za odczytem węższym, według którego szkoli się tylko osoba wskazana, przemawia art. 8c ust. 1. Wymienia on art. 8e wśród obowiązków objętych odpowiedzialnością, więc wskazanie z ust. 2 obejmowałoby też szkolenie. Argument ten dotyczy jednak odpowiedzialności, a nie adresata obowiązku. Wskazanie może więc najwyżej zmienić to, kto odpowiada za brak szkolenia, a i to zależy od rozstrzygnięcia sporu o skutek wskazania.

Gdy osoba wskazana przestaje pełnić tę rolę i nie wskazano nowej, odpowiadają wszyscy członkowie (art. 8c ust. 2). Nowy członek zarządu jest kierownikiem jako członek organu (art. 3 ust. 1 pkt 6 ustawy o rachunkowości). W mojej ocenie w podmiocie spełniającym przesłanki 3 kwietnia 2026 r. obowiązek szkoleniowy obejmuje go od 2027 r. już w roku powołania. Członek powołany w 2026 r. przechodzi pierwsze szkolenie jak reszta zarządu, czyli według ministra najpóźniej w 2027 r. (pyt. 3.46).

Powierzenie zadań nie przenosi odpowiedzialności

Kierownik ponosi odpowiedzialność także wtedy, gdy niektóre albo wszystkie obowiązki powierzono innej osobie za jej zgodą (art. 8c ust. 3).

Dotyczy to dyrektora bezpieczeństwa i kierownika działu IT. Podmiot powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14), a oba warianty należą do katalogu obowiązków, za które odpowiada kierownik. Ocenę i nadzór nad takim dostawcą opisuje materiał Jak zarządzać ryzykiem dostawców w NIS2?.

Ustawa o KSC mówi o powierzeniu za zgodą osoby, której powierza się obowiązki, ale nie określa formy. Ustawa o rachunkowości przy podobnej konstrukcji przewiduje stwierdzenie przyjęcia odpowiedzialności na piśmie (art. 4 ust. 5). Warto przyjąć tę samą praktykę. Pisemne powierzenie powinno opisywać zakres obowiązków, zgodę osoby, sposób raportowania do zarządu i dostęp do budżetu.

Ustawa o KSC nie przewiduje kary pieniężnej dla osoby, której powierzono obowiązki. Jej odpowiedzialność może wynikać z umowy albo ze stosunku pracy. Gdy powierzenie obejmuje obowiązki kierownika, osoba ta również przechodzi coroczne szkolenie (art. 8e ust. 1).

Katalog obowiązków, za które odpowiada kierownik

Katalog z art. 8c ust. 1 to lista przepisów, a nie czynności. Nad całym katalogiem stoją wspólne ograniczenia. Kara dla kierownika jest fakultatywna i można ją nałożyć najwcześniej po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). W sektorze bankowości i infrastruktury rynków finansowych przepisy o systemie zarządzania i zgłaszaniu incydentów stosuje się tylko w zakresie z art. 8i ust. 1, a przepisy o nadzorze i karach w zakresie z art. 8i ust. 3. Podmiot publiczny wykonuje wymienione w art. 16d obowiązki z katalogu tylko wtedy, gdy wykorzystuje system informacyjny do realizacji zadania publicznego.

Obowiązek	Przepis i kara dla kierownika	Wyjątki i ograniczenia	Termin
Uzupełnienie danych po wpisie z urzędu, wniosek o wpis i o zmianę wpisu, wniosek o wykreślenie	art. 7b ust. 4, art. 7c, art. 7f ust. 3 — kara z art. 73a ust. 1 pkt 1, który obejmuje art. 7b ust. 4, art. 7c ust. 1 i 3 oraz art. 7f ust. 3	odpowiedzialność za fałszywe oświadczenie kierownika nie obejmuje zakresów adresów IP i nazw domenowych (art. 7c ust. 5)	przepisy stosowane od 3 kwietnia 2026 r.; podmioty spełniające przesłanki tego dnia składały wniosek według harmonogramu ministra (art. 33 ust. 3 ustawy nowelizującej), inne w 6 miesięcy od spełnienia przesłanek; uzupełnienie danych w 6 miesięcy od doręczenia wezwania (art. 7b ust. 2); zmiana wpisu w 14 dni od zmiany danych
System zarządzania bezpieczeństwem informacji	art. 8 — kara z art. 73a ust. 1 pkt 2	podmiot ważny publiczny i wskazane w art. 8 ust. 3 podmioty ważne systemu szkolnictwa wyższego i nauki, z wyłączeniem organizacji badawczych, stosują w zakresie zadań publicznych wymogi z załącznika nr 4	3 kwietnia 2027 r. dla podmiotów spełniających przesłanki 3 kwietnia 2026 r.
Zadania własne kierownika	art. 8d — kara z art. 73a ust. 1 pkt 3	—	3 kwietnia 2027 r.
Coroczne szkolenie kierownika i osoby, której powierzono jego obowiązki, z udokumentowanym udziałem	art. 8e — kara z art. 73a ust. 1 pkt 4	—	według ministra pierwsze szkolenie najpóźniej w 2027 r., a możliwe jest też szkolenie w 2026 r. i kolejne w 2027 r. (pyt. 3.46), potem raz w roku kalendarzowym
Informacja z Krajowego Rejestru Karnego przed dopuszczeniem do zadań z art. 8 lub 11 i ponowne wezwanie przy uzasadnionym podejrzeniu skazania za przestępstwo przeciwko ochronie informacji	art. 8f ust. 1 i 2 — kara z art. 73a ust. 1 pkt 5	wymóg spełnia ważne poświadczenie bezpieczeństwa o klauzuli „poufne” lub wyższej (art. 8f ust. 3)	3 kwietnia 2027 r.
Osoby do kontaktu, wiedza i kanał zgłoszeń dla użytkowników, korzystanie z systemu S46	art. 9 — kara z art. 73a ust. 1 pkt 6 i 7, które obejmują osoby do kontaktu i możliwość zgłoszenia	mikro- lub mały przedsiębiorca i podmiot ważny publiczny wyznaczają co najmniej jedną osobę (art. 9 ust. 2 i 3); dane osób do kontaktu podaje się już we wniosku o wpis (art. 7 ust. 2 pkt 11)	3 kwietnia 2027 r.
Dokumentacja bezpieczeństwa systemu	art. 10 — kara z art. 73a ust. 1 pkt 8, który obejmuje art. 10 ust. 1 i 6–8	reguła przechowywania z art. 10 ust. 7 ma wyjątek dla podmiotów objętych przepisami o zasobie archiwalnym	3 kwietnia 2027 r.
Obsługa incydentu, zgłoszenia i sprawozdania	art. 11–12b — kara z art. 73a ust. 1 pkt 9–12 (art. 11, art. 12 ust. 5–8, art. 12a i art. 12b)	podmiot ważny publiczny nie przekazuje wczesnego ostrzeżenia ani sprawozdań (art. 12c)	3 kwietnia 2027 r.; byli operatorzy usług kluczowych zgłaszają incydenty poważne według nowych przepisów, a termin 6 miesięcy na przejście upłynął 3 października 2026 r. (art. 33 ust. 4 ustawy nowelizującej)
Wewnętrzne struktury lub umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa	art. 14 — kara z art. 73a ust. 1 pkt 13	—	3 kwietnia 2027 r.
Audyt bezpieczeństwa systemu co najmniej raz na 3 lata	art. 15 — kara z art. 73a ust. 1 pkt 14	obowiązek cykliczny ma podmiot kluczowy; podmiot ważny przeprowadza audyt po incydencie poważnym lub innym naruszeniu, na podstawie decyzji organu (art. 15 ust. 1b)	pierwszy audyt do 3 kwietnia 2028 r. dla podmiotów kluczowych spełniających przesłanki 3 kwietnia 2026 r., a byli operatorzy usług kluczowych po audycie nie stosują terminu z art. 16 pkt 2 (art. 25 ustawy nowelizującej) i według ministra zachowują dotychczasowy cykl (pyt. 9.5)

Terminy w tabeli dotyczą co do zasady podmiotów, które spełniały przesłanki w dniu wejścia w życie nowelizacji (art. 33 ust. 1 i 2 ustawy nowelizującej). Nowelizacja ogłoszona 2 marca 2026 r. weszła w życie po upływie miesiąca od ogłoszenia (art. 49), czyli 3 kwietnia 2026 r. Podmiot, który spełni przesłanki później, ma 12 miesięcy od ich spełnienia na obowiązki z rozdziału 3. Podmiot kluczowy ma wtedy 24 miesiące na pierwszy audyt (art. 16). Przy uznaniu decyzją te same terminy liczy się od jej doręczenia (art. 7l ust. 7, art. 7m ust. 6). Byli operatorzy usług kluczowych do czasu wdrożenia nowego systemu stosują system dotychczasowy (art. 33 ust. 6 ustawy nowelizującej). Jeżeli wykonali audyt z art. 15 ust. 1, nie stosuje się do nich terminu z art. 16 pkt 2 (art. 25 ustawy nowelizującej). Według ministra zachowują wtedy cykl audytu co najmniej raz na 3 lata od raportu z ostatniego audytu, więc po audycie z maja 2024 r. kolejny przypada najpóźniej w maju 2027 r. (pyt. 9.5).

Obowiązki dotyczące wykazu należą do rozdziału 2 i według ministra już obowiązują (pyt. 2.39). Termin wniosku o wpis dla podmiotów spełniających przesłanki 3 kwietnia 2026 r. upłynął według ministra 3 października 2026 r. (pyt. 3.1). Co robić po tej dacie, opisuje materiał Co zrobić po 3 października 2026 r., gdy termin na wpis do wykazu minął?.

Zadania, które ustawa przypisuje samemu kierownikowi

Większość obowiązków z katalogu ma za adresata podmiot. Do samego kierownika ustawa kieruje coroczne szkolenie (art. 8e ust. 1) i dopuszczanie osób do zadań z art. 8 lub 11 po otrzymaniu informacji z Krajowego Rejestru Karnego (art. 8f ust. 1). Według ministra weryfikację niekaralności kierownik może powierzyć innej osobie i nadal za nią odpowiada, a osoba ta nie staje się kierownikiem (pyt. 4.7). Art. 8d wymienia ponadto pięć zadań samego kierownika podmiotu kluczowego lub ważnego.

1. Podejmuje decyzje o przygotowaniu i wdrażaniu systemu zarządzania bezpieczeństwem informacji w podmiocie oraz o jego stosowaniu, przeglądzie i nadzorze.
2. Planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa.
3. Przydziela zadania z zakresu cyberbezpieczeństwa w podmiocie i nadzoruje ich wykonanie.
4. Zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie.
5. Zapewnia zgodność działania podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu.

Według ministra adekwatne środki są też dostosowane do możliwości podmiotu, a przydział zadań może nastąpić przez przyjęcie polityk, przydział obowiązków i wydanie upoważnień (pyt. 4.1). Ustawa nie określa formy żadnej z tych czynności, więc warto, żeby każda zostawiała ślad z datą.

Warto, żeby zarząd miał pod ręką uchwałę o systemie zarządzania i uchwałę o wskazaniu osoby odpowiedzialnej, jeżeli ją wskazano. Przydadzą się też pisemne powierzenia ze zgodą i pozycja w budżecie. Do tego dochodzą okresowe raporty dla zarządu, potwierdzenia szkoleń (art. 8e ust. 3) i ślad dopuszczenia osób do zadań z art. 8 lub 11. Dokumenty nie wystarczą same w sobie. Minister podkreśla, że wymagane jest udowodnienie stosowania przepisów, a nie przedstawienie formalnie poprawnych dokumentów (pyt. 11.6).

Odpowiedzialność zarządu NIS2 a kara pieniężna

Odpowiedzialność zarządu NIS2 ma kilka skutków osobistych. Już dziś działa odpowiedzialność karna. Wniosek o wpis, zmianę wpisu albo wykreślenie z wykazu zawiera oświadczenie kierownika o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej z art. 233 § 6 Kodeksu karnego (art. 7c ust. 5). Za fałszywe oświadczenie grozi kara pozbawienia wolności od 6 miesięcy do lat 8, a odpowiada osoba, która je składa (art. 233 § 1 i 6 Kodeksu karnego). Według ministra wniosek z oświadczeniem może złożyć pełnomocnik, a kierownik nadal odpowiada za prawidłowe złożenie wniosku (pyt. 2.66). Minister nie wyjaśnia, kto wtedy odpowiada karnie za treść oświadczenia.

Sam art. 8c nie przewiduje sankcji, a skutek finansowy dla kierownika opisuje art. 73a. Kierownik może podlegać karze pieniężnej, jeżeli nie wykonuje obowiązków wymienionych w art. 73a ust. 1 i przemawia za tym czas, zakres lub charakter naruszenia. Podstawą kary jest niewykonanie obowiązku, a nie samo wystąpienie incydentu (art. 73a ust. 1). Kierownik może podlegać karze także przy zaniechaniu jednorazowym (art. 73a ust. 2). Kara może być nałożona niezależnie od kary dla podmiotu z art. 73 ust. 1 (art. 73a ust. 3).

Sporne jest, czy art. 73a ust. 3 pozwala ukarać kierownika także za obowiązki z art. 73 ust. 1 spoza katalogu z art. 73a ust. 1, np. za utrudnianie kontroli albo niewykonanie zaleceń pokontrolnych (art. 73 ust. 1 pkt 14 i 17). Za takim odczytem przemawiają słowa „za niewykonanie obowiązków wskazanych w tym przepisie” oraz to, że ust. 4 i 5 mówią o karze z ust. 1–3. Przeciw przemawia zamknięty katalog z art. 8c ust. 1. Minister wśród przesłanek kary dla kierownika wymienia tylko obowiązki z art. 73a ust. 1 (pyt. 12.10).

Kara wynosi nie więcej niż 300 % wynagrodzenia otrzymywanego przez ukaranego, obliczanego według zasad ustalania ekwiwalentu pieniężnego za urlop (art. 73a ust. 4). Kierownikowi podmiotu publicznego można wymierzyć najwyżej 100 % takiego wynagrodzenia. Jeżeli jednak podmiot publiczny stosuje ustawę również na podstawie innego sektora z załącznika nr 1 lub 2, obowiązuje górna granica 300 % (art. 73a ust. 5). Przepis nie przewiduje kwoty minimalnej. Art. 73a nie rozstrzyga też, jak wymierzyć karę kierownikowi, który nie otrzymuje wynagrodzenia.

Ustalając wysokość kary, organ uwzględnia m.in. wagę naruszenia i możliwości finansowe kierownika (art. 76a ust. 1). Może odstąpić od kary, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a kierownik zaprzestał naruszania prawa lub naprawił szkodę (art. 76a ust. 9). Przed nałożeniem kary organ co do zasady informuje podmiot o wstępnych ustaleniach, a podmiot ma 7 dni na stanowisko. Organ może pominąć ten etap, gdy utrudniłby on natychmiastowe zapobieżenie incydentom lub reakcję na nie albo mógłby mieć niekorzystny wpływ na bezpieczeństwo państwa lub porządek publiczny (art. 53 ust. 13, 14 i 16 oraz ust. 17 dla podmiotu ważnego).

Kary z art. 73a mogą być po raz pierwszy nałożone po upływie 2 lat od wejścia w życie nowelizacji, czyli po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej, obliczenie od 3 kwietnia 2026 r.). Art. 35 dotyczy chwili nałożenia kary, a nie chwili naruszenia. Zaniechanie z 2027 r. może więc zostać ukarane po 3 kwietnia 2028 r.

Kara kierownika nie zastępuje kary podmiotu. Podmiotowi kluczowemu grozi do 10 000 000 euro lub do 2 % przychodów z działalności gospodarczej z roku obrotowego poprzedzającego wymierzenie kary, przy czym stosuje się kwotę wyższą, a kara nie może być niższa niż 20 000 zł (art. 73 ust. 3). Podmiotowi ważnemu grozi do 7 000 000 euro lub do 1,4 % przychodów i nie mniej niż 15 000 zł, a przepis nie zawiera tu reguły kwoty wyższej (art. 73 ust. 4). Te kary są odroczone tak samo, ale art. 35 ustawy nowelizującej nie wymienia kary do 100 000 000 zł z art. 73 ust. 5, którą minister nazywa wyjątkiem od odroczenia (pyt. 12.1 i 12.6).

Zakaz pełnienia funkcji zarządczych w podmiocie kluczowym

Osobistym skutkiem może być też środek nadzoru. Organ może zakazać kierownikowi pełnienia funkcji zarządczych w podmiocie kluczowym do czasu usunięcia uchybień lub zaprzestania naruszeń (art. 53 ust. 9 pkt 6). Warunkiem jest niezastosowanie się podmiotu do wcześniejszego nakazu albo decyzji z art. 53 ust. 5. Zakaz nie może uniemożliwić funkcjonowania podmiotu w zakresie niezbędnym do usunięcia uchybień lub zaprzestania naruszeń.

Zakazu nie stosuje się do podmiotów publicznych (art. 53 ust. 10) ani do czasu rozstrzygnięcia skargi na nakaz albo decyzję (art. 53 ust. 11). Przed pierwszą decyzją o zakazie organ co do zasady przedstawia wstępne ustalenia (art. 53 ust. 13 i 16). Środek stosuje się najdłużej przez 14 dni od doręczenia decyzji. Gdy uchybienia trwają, organ wydaje decyzję ponownie na kolejny okres do 14 dni, już bez etapu wstępnych ustaleń (art. 53e ust. 2 i 4). Informację o środku wraz z imieniem i nazwiskiem kierownika organ publikuje w Biuletynie Informacji Publicznej (art. 53e ust. 11).

Przepis o zakazie wymienia wyłącznie podmiot kluczowy, a przepis o nadzorze nad podmiotem ważnym nie odsyła do art. 53 ust. 9 (art. 53 ust. 17). Kierownika podmiotu ważnego ten środek więc nie dotyczy. Odroczenie z art. 35 ustawy nowelizującej obejmuje wymienione w nim kary pieniężne, a nie środki nadzoru z art. 53.

Wnioski i dalsze kroki

Odpowiedzialność zarządu NIS2 da się uporządkować i udokumentować, choć powierzenie zadań jej nie przenosi. Zarząd powinien wiedzieć, kto z jego składu odpowiada i komu co powierzono, i umieć to wykazać przed organem.

1. Ustal imiennie kierownika podmiotu w każdej spółce, która jest podmiotem kluczowym lub ważnym.
2. Sprawdź wpis do wykazu i wyznacz osobę, która przygotowuje wniosek o zmianę wpisu do złożenia w 14 dni od zmiany danych (art. 7c ust. 3, a po wpisie z urzędu art. 7b ust. 4).
3. Zdecyduj, czy zarząd wskazuje członka odpowiedzialnego za cyberbezpieczeństwo. Jeżeli tak, zrób to uchwałą z zakresem i sprawdź, czy regulamin zarządu tego nie ogranicza.
4. Przyjmij uchwałą decyzje o systemie, pozycję w budżecie, rytm raportów dla zarządu i termin przeglądu systemu.
5. Przed dopuszczeniem osoby do zadań z art. 8 lub 11 odbierz od niej informację z Krajowego Rejestru Karnego albo sprawdź poświadczenie bezpieczeństwa i odnotuj dopuszczenie. Według ministra dotyczy to także obecnego personelu i osób z umów cywilnoprawnych zawartych bezpośrednio z podmiotem (pyt. 3.29 i 3.48), a nie dotyczy personelu dostawców (pyt. 3.48). Od obecnego personelu zbierz informacje do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej).
6. Spisz powierzenia obowiązków osobom razem ze zgodą, zakresem i sposobem raportowania oraz umowy z dostawcami.
7. Zaplanuj i udokumentuj coroczne szkolenie całego zarządu, każdego nowego członka zarządu i osoby, której powierzono obowiązki kierownika.

Materiały powiązane

• Co powinno obejmować szkolenie NIS2 dla zarządu? — program corocznego szkolenia kierownika podmiotu.
• Jaką dokumentację NIS2 musi prowadzić podmiot kluczowy lub ważny? — dokumentacja, za którą odpowiada kierownik.
• Jak zarządzać ryzykiem dostawców w NIS2? — umowa z dostawcą a odpowiedzialność kierownika.
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejność decyzji zarządu.
• Czy inspektor ochrony danych odpowiada za naruszenie? — kto odpowiada za naruszenie w RODO.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 2 pkt 8a, art. 7–7f, art. 7l ust. 7, art. 7m ust. 6, art. 8–8f, art. 8i, art. 9–12c, art. 14–16, art. 16d, art. 16e, art. 53, art. 53e, art. 73, art. 73a i art. 76a — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — art. 25, art. 33 ust. 1–4 i 6, art. 35 i art. 49 — isap.sejm.gov.pl.
• Ustawa z dnia 29 września 1994 r. o rachunkowości, tekst ujednolicony (Dz.U. 2026 poz. 522, 640 i 644) — art. 3 ust. 1 pkt 6, art. 4 ust. 5 i art. 4a ust. 1 — isap.sejm.gov.pl.
• Ustawa z dnia 6 czerwca 1997 r. — Kodeks karny, tekst ujednolicony (Dz.U. 2025 poz. 383 ze zm.) — art. 233 § 1 i 6 — isap.sejm.gov.pl.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2) — art. 20 ust. 1 i 2 oraz art. 32 ust. 6 — eur-lex.europa.eu.
• Minister Cyfryzacji, Krajowy system cyberbezpieczeństwa — pytania i odpowiedzi do nowelizacji ustawy o KSC, aktualizacja z października 2026 r. — pyt. 2.39, 2.66, 3.1, 3.29, 3.30, 3.46, 3.48, 4.1, 4.2, 4.3, 4.4, 4.7, 9.5, 11.6, 12.1, 12.6 i 12.10 — cyber.gov.pl.