Jak wygląda nadzór organu nad podmiotem kluczowym lub ważnym?

Dlaczego to pytanie w ogóle powstaje

Według Ministra Cyfryzacji obowiązki merytoryczne podmiotu kluczowego i podmiotu ważnego są takie same. Różnica sprowadza się do zakresu czynności nadzorczych (pyt. 1.11 odpowiedzi ministra). Odpowiedzi ministra nie mają mocy prawnej, ale pomagają w wykładni ustawy. W tej samej odpowiedzi minister zaznacza, że audyt co 3 lata przeprowadza tylko podmiot kluczowy. Od kategorii zależy, czy nadzór organu działa także zapobiegawczo i jak daleko sięgają środki organu.

Co trzeba ustalić przed decyzją

Który organ sprawuje nadzór

Nadzór sprawuje organ właściwy do spraw cyberbezpieczeństwa wskazany dla sektora w art. 41 ustawy (art. 53 ust. 1). Dla podsektora komunikacji elektronicznej i sektora usług pocztowych jest nim Prezes Urzędu Komunikacji Elektronicznej. Dla bankowości i infrastruktury rynków finansowych jest nim Komisja Nadzoru Finansowego. W pozostałych sektorach nadzór sprawują właściwi ministrowie, a wobec części podmiotów Minister Obrony Narodowej. W sektorze podmiotów publicznych organem jest co do zasady minister właściwy do spraw informatyzacji (art. 41a ust. 1). Podmiot publiczny wymieniony w innym sektorze podlega organowi tego sektora. Nie dotyczy to samorządowych podmiotów publicznych (art. 41a ust. 4).

Organ może powierzyć część zadań jednostkom podległym lub nadzorowanym na podstawie porozumienia (art. 42 ust. 3–6). Minister właściwy do spraw informatyzacji może też powierzyć CSIRT NASK zadania nadzorcze nad podmiotami kluczowymi w sektorze podmiotów publicznych, z wyjątkiem wydawania decyzji (art. 41a ust. 5). Organy mogą sprawować nadzór wspólnie i wyznaczyć organ wiodący (art. 53f ust. 1 i 2).

Sektor bankowości i infrastruktury rynków finansowych ma odrębną regułę. Ustawa nie stosuje tam co do zasady przepisów o systemie zarządzania bezpieczeństwem informacji i o zgłaszaniu incydentów poważnych (art. 8i ust. 1). Przepisy o nadzorze i karach stosuje się tylko w zakresie przepisów wymienionych w art. 8i ust. 3, m.in. o wykazie, o osobach do kontaktu i o kierowniku podmiotu. Audytu z art. 15 na tej liście nie ma.

Czym nadzór organu nad podmiotem kluczowym różni się od nadzoru nad podmiotem ważnym

Ustawa nazywa nadzór nad podmiotami kluczowymi prewencyjnym i następczym, a nad podmiotami ważnymi następczym (art. 53 ust. 3). Nadzór następczy dotyczy w szczególności sytuacji uzasadnionego podejrzenia, że może dochodzić do naruszenia przepisów. Motyw 122 dyrektywy NIS2 nie jest przepisem, ale wskazuje kierunek wykładni. Opisuje nadzór nad podmiotami ważnymi jako reaktywny i zakłada, że organy nie powinny mieć ogólnego obowiązku jego prowadzenia. Według motywu nadzór mogą uruchomić dowody, wskazówki lub informacje. Wystarczy, że organ uzna na ich podstawie, że może dochodzić do naruszenia.

Art. 53 ust. 17 każe stosować wobec podmiotu ważnego cały katalog narzędzi z ust. 2. Wątpliwość budzi ocena bezpieczeństwa przez CSIRT na zlecenie organu. Art. 53 ust. 2 pkt 3 mówi o systemie podmiotu kluczowego, ale art. 36b ust. 3 wymienia przy zleceniu także podmiot ważny. Minister ogranicza zlecenie do podmiotów kluczowych (pyt. 10.5), a w pyt. 11.5 wymienia ocenę także przy podmiotach ważnych. CSIRT uzgadnia z podmiotem w porozumieniu m.in. harmonogram, zakres i rodzaj testów (art. 36b ust. 6). Ocena nie może się odbyć m.in. bez kopii bezpieczeństwa badanego systemu (art. 36b ust. 5). Różnice niesporne dotyczą audytu, urzędnika monitorującego i środków z art. 53 ust. 9. W sektorze bankowości i infrastruktury rynków finansowych narzędzia z tabeli służą tylko egzekwowaniu przepisów z art. 8i ust. 3.

Narzędzie organu	Podmiot kluczowy	Podmiot ważny	Wyjątki i ograniczenia
Kontrola, także doraźna i zdalna (art. 53 ust. 2 pkt 1)	tak	tak (art. 53 ust. 17)	wobec podmiotu ważnego w ramach nadzoru następczego
Żądanie informacji, dostępu do dokumentów i dowodów realizacji wymogów (art. 53 ust. 2 pkt 4–6, art. 53c)	tak	tak	termin co najmniej 7 dni (art. 53c ust. 2 pkt 5)
Ocena bezpieczeństwa systemu przez CSIRT na zlecenie organu (art. 53 ust. 2 pkt 3)	tak	sporne	art. 53 ust. 17 i art. 36b ust. 3 obejmują podmiot ważny; minister ogranicza zlecenie do kluczowych (pyt. 10.5), ale wymienia ocenę przy ważnych (pyt. 11.5)
Nakaz audytu zewnętrznego w drodze decyzji (art. 15 ust. 1b)	w każdym czasie	po incydencie poważnym lub innym naruszeniu ustawy	decyzja podlega natychmiastowemu wykonaniu (art. 15 ust. 1c); art. 53 ust. 13 nie wymaga przed nią wstępnych ustaleń
Ostrzeżenie i nakazy (art. 53 ust. 4 i ust. 5 pkt 1–5, 7 i 8)	tak	tak	co do zasady po wstępnych ustaleniach (art. 53 ust. 13)
Urzędnik monitorujący (art. 53 ust. 5 pkt 6)	tak	nie	decyzja, najwyżej miesiąc; co do zasady po wstępnych ustaleniach (art. 53 ust. 13)
Wstrzymanie koncesji lub działalności, zakaz pełnienia funkcji zarządczych (art. 53 ust. 9)	tak	nie	co do zasady po wstępnych ustaleniach (art. 53 ust. 13); nie wobec podmiotów publicznych (art. 53 ust. 10)

Jak organ zbiera informacje

Podstawowym narzędziem jest żądanie danych, informacji i dokumentów niezbędnych do nadzoru i kontroli (art. 53c ust. 1). Żądanie ma być proporcjonalne do celu. Określa m.in. cel, zakres i termin adekwatny do zakresu żądania, nie krótszy niż 7 dni. Zawiera też uzasadnienie i pouczenie o zagrożeniu karą (art. 53c ust. 2). Ma postać elektroniczną i jest doręczane według Kodeksu postępowania administracyjnego albo przez system teleinformatyczny ministra, czyli S46 (art. 53c ust. 3). Te same zasady dotyczą żądania dostępu do dokumentów i dowodów realizacji wymogów z art. 8 ust. 1 (art. 53c ust. 4).

Według ministra dowodem mogą być dokumenty takie jak procedury, polityki, upoważnienia i zakresy obowiązków. Mogą nim być też relacje personelu. Minister wskazuje, że wymagane jest udowodnienie stosowania przepisów, a nie przedstawienie formalnie poprawnych dokumentów (pyt. 11.6). Organ może też żądać informacji potrzebnych do oceny środków zarządzania ryzykiem i zgodności danych przekazanych do wykazu (art. 53 ust. 2 pkt 4). Niewykonanie żądania z art. 53c jest odrębną podstawą kary (art. 73 ust. 1 pkt 15).

Kontrolę organ prowadzi w siedzibie podmiotu, w miejscu wykonywania działalności lub zdalnie (art. 53 ust. 2 pkt 1). Wobec przedsiębiorców stosuje się rozdział 5 ustawy Prawo przedsiębiorców (art. 54 pkt 1). Organ co do zasady zawiadamia przedsiębiorcę o zamiarze kontroli. Wszczyna ją co do zasady nie wcześniej niż po 7 dniach i nie później niż przed upływem 30 dni od doręczenia zawiadomienia (art. 48 ust. 1, 2 i 11 Prawa przedsiębiorców). Wszystkie kontrole jednego organu trwają w roku kalendarzowym co do zasady najwyżej od 6 dni roboczych u mikroprzedsiębiorcy do 48 u przedsiębiorcy większego niż średni (art. 55 ust. 1 i 2 Prawa przedsiębiorców). Na czynności podjęte z naruszeniem tych przepisów przedsiębiorca może wnieść sprzeciw w 3 dni robocze od wszczęcia kontroli lub naruszenia (art. 59 ust. 1 i 4 Prawa przedsiębiorców). Kontroler u przedsiębiorcy wchodzi na teren bez przepustki i żąda wyjaśnień. Może też m.in. przeglądać i zabezpieczać dokumenty oraz oglądać systemy (art. 55 ustawy o KSC). Przedsiębiorca zapewnia mu warunki sprawnej kontroli (art. 56 ust. 1). Na żądanie organu tłumaczy na własny koszt przedłożoną dokumentację w języku obcym (art. 56 ust. 3). Zastrzeżenia do protokołu może złożyć w 7 dni od jego przedstawienia do podpisu (art. 58 ust. 4).

Jednostki samorządu i inne podmioty niebędące przedsiębiorcami kontroluje się według ustawy o kontroli w administracji rządowej (art. 54 pkt 2 i 3). O planowanej kontroli zawiadamia się kierownika jednostki (art. 20 tej ustawy). Na zastrzeżenia do projektu wystąpienia pokontrolnego ma on 7 dni roboczych od otrzymania projektu (art. 40 ust. 1 tej ustawy).

Gdy po kontroli organ uzna, że mogło dojść do naruszenia, przekazuje podmiotowi kontrolowanemu zalecenia pokontrolne z terminem ich wykonania. Od zaleceń nie przysługują środki odwoławcze (art. 59 ust. 1 i 2 ustawy o KSC). O sposobie ich wykonania podmiot informuje organ w wyznaczonym terminie (art. 59 ust. 3).

Kontrolę doraźną organ może zarządzić m.in. z uwagi na bezpieczeństwo państwa albo dla sprawdzenia, czy podmiot kluczowy usunął uchybienia (art. 59c ust. 1 i 2). Może ją przeprowadzić także wtedy, gdy nie było możliwości wcześniejszego powiadomienia podmiotu (art. 59c ust. 4). Nie stosuje się do niej przepisów Prawa przedsiębiorców o kontroli planowej i o zakazie prowadzenia kilku kontroli naraz (art. 59c ust. 8). U podmiotu niebędącego przedsiębiorcą kończy się sprawozdaniem, bez wystąpienia pokontrolnego (art. 59c ust. 3 i 5). Stanowisko kierownika do protokołu albo sprawozdania nie wstrzymuje realizacji ustaleń (art. 59c ust. 6).

Jak przebiega nadzór organu od podejrzenia do decyzji

1. Wstępne ustalenia. Przed ostrzeżeniem, środkiem z art. 53 ust. 5 albo 9 oraz przed karą organ informuje podmiot o wstępnych ustaleniach. Informacja zawiera szczegółowe uzasadnienie zamiaru (art. 53 ust. 13). Podmiot może przedstawić stanowisko niezwłocznie, nie później niż w 7 dni (art. 53 ust. 14). Organ uwzględnia je i odstępuje od zamiaru albo odrzuca je ze szczegółowym uzasadnieniem (art. 53 ust. 15). Etap ten organ może pominąć, gdy utrudniłby natychmiastowe zapobieżenie incydentom lub reakcję na nie albo mógłby zaszkodzić bezpieczeństwu państwa lub porządkowi publicznemu (art. 53 ust. 16).
2. Ostrzeżenie. Przy uzasadnionym podejrzeniu naruszenia organ kieruje do podmiotu pismo elektroniczne z ostrzeżeniem (art. 53 ust. 4). Wskazuje w nim czynności potrzebne do zapobieżenia naruszeniu albo jego zaprzestania oraz termin ich wykonania. Art. 53 ust. 5 pozwala wydać nakaz „także wtedy”, gdy podmiot nie zastosował się do ostrzeżenia. Ostrzeżenie nie jest więc warunkiem nakazu.
3. Nakazy. Wobec obu kategorii organ może nakazać m.in. czynności w obsłudze incydentu, zaniechanie naruszeń i zapewnienie zgodności systemu zarządzania bezpieczeństwem informacji. Może też nakazać realizację obowiązku zgłaszania incydentu poważnego albo wdrożenie zaleceń z audytu. Może wreszcie nakazać poinformowanie odbiorców usług o poważnym cyberzagrożeniu i publikację informacji o naruszeniach albo o incydencie poważnym (art. 53 ust. 5). Wyznacza przy tym termin (art. 53 ust. 6). Nakaz w obsłudze incydentu jest inną czynnością z zakresu administracji publicznej, która wymaga uzasadnienia i podlega skardze do sądu administracyjnego (art. 53 ust. 7). Pozostałe nakazy organ wydaje w drodze decyzji w postępowaniu jednoinstancyjnym, a na decyzję przysługuje skarga do sądu administracyjnego (art. 53 ust. 8). Skarga sama nie wstrzymuje wykonania nakazu ani decyzji. Organ może je wstrzymać, a decyzję pod warunkiem braku przesłanek rygoru natychmiastowej wykonalności. Po przekazaniu skargi może to zrobić także sąd na wniosek skarżącego przy ryzyku znacznej szkody lub trudnych do odwrócenia skutków (art. 61 § 1–3 Prawa o postępowaniu przed sądami administracyjnymi).
4. Urzędnik monitorujący — środek z ust. 5, tylko podmiot kluczowy. Organ wyznacza go w drodze decyzji, na czas nie dłuższy niż miesiąc, spośród osób zatrudnionych w swoim urzędzie (art. 53 ust. 5 pkt 6). Urzędnik nadzoruje wykonywanie obowiązków z rozdziału 3 ustawy i realizuje ściśle określone zadania. Wchodzi na teren podmiotu na przepustkę wydaną bezzwłocznie, której wydania nie można odmówić. Ma wgląd do dokumentów i może żądać wyjaśnień (art. 53d ust. 1). Oględziny urządzeń, nośników i systemów zapowiada na 1 dzień przed nimi, na adres do doręczeń elektronicznych albo przez S46 (art. 53d ust. 4).
5. Środki z art. 53 ust. 9 — tylko podmiot kluczowy niebędący podmiotem publicznym. Gdy podmiot nie zastosował się do nakazu albo decyzji, organ może wstrzymać lub ograniczyć koncesję albo zezwolenie. Minister opisuje ten środek jako wniosek o zawieszenie, ograniczenie lub cofnięcie zezwolenia czy koncesji (pyt. 11.4). Art. 53 ust. 9 nie mówi o wniosku ani o cofnięciu. Organ może też wstrzymać działalność w całości albo w części albo zakazać kierownikowi pełnienia funkcji zarządczych. Zakaz nie może uniemożliwić funkcjonowania podmiotu w zakresie niezbędnym do usunięcia uchybień lub zaprzestania naruszeń (art. 53 ust. 9). Środek stosuje się najwyżej 14 dni od doręczenia decyzji (art. 53e ust. 2). Gdy uchybienia trwają, organ wydaje decyzję ponownie na kolejny okres do 14 dni, już bez wstępnych ustaleń (art. 53e ust. 4). Po wniesieniu skargi na nakaz albo decyzję środków z ust. 9 nie stosuje się do rozstrzygnięcia sprawy przez sąd, który ma na to miesiąc (art. 53 ust. 11). Decyzja o środku jest wykonalna z dniem doręczenia (art. 53e ust. 9). Po usunięciu uchybień podmiot może wnieść o jej uchylenie z dowodami, a organ rozpatruje wniosek w 7 dni (art. 53e ust. 5–7). Informację o zastosowaniu środka organ publikuje w Biuletynie Informacji Publicznej (art. 53e ust. 11).

Dobierając nakaz albo środek z ust. 9, organ uwzględnia m.in. wagę naruszenia, czas jego trwania i stopień współpracy podmiotu z organem (art. 53 ust. 12). Za poważne naruszenie ustawa uznaje m.in. powtarzające się naruszenie oraz niezgłoszenie lub nieobsłużenie incydentów poważnych. Poważne jest też dostarczanie nieprawdziwych lub rażąco niedokładnych informacji o środkach zarządzania ryzykiem albo o zgłaszaniu incydentów poważnych.

Kiedy nadzór kończy się karą

Według ministra kara jest środkiem niezależnym od pozostałych, a decyzję o niej poprzedza ostrzeżenie i informacja o wstępnych ustaleniach (pyt. 12.3). Ustawa wymaga przed karą wstępnych ustaleń (art. 53 ust. 13), a ostrzeżenie wiąże z uzasadnionym podejrzeniem naruszenia (art. 53 ust. 4). Wśród warunków nałożenia kary ostrzeżenia nie wymienia.

Z samym nadzorem łączą się cztery podstawy kary. To uniemożliwianie lub utrudnianie kontroli, niewykonanie żądania z art. 53c i uniemożliwianie lub utrudnianie pracy urzędnika monitorującego. Czwartą jest niewykonanie w terminie zaleceń pokontrolnych (art. 73 ust. 1 pkt 14–17). Za zwłokę w wykonaniu decyzji z art. 53 ust. 5 pkt 2–8 organ może nałożyć okresową karę pieniężną za każdy dzień opóźnienia (art. 76b ust. 1). Ustalając karę, organ uwzględnia kryteria z art. 53 ust. 12 i przychód podmiotu, a u podmiotu publicznego jego możliwości finansowe (art. 76a ust. 1). Może od niej odstąpić, gdy waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot zaprzestał naruszenia lub naprawił szkodę (art. 76a ust. 9).

Kary z art. 73 ust. 1–4, art. 73a–73c i okresowe z art. 76b można nałożyć po raz pierwszy po upływie 2 lat od wejścia nowelizacji w życie, czyli po 3 kwietnia 2028 r. (art. 35 nowelizacji). Art. 35 nie obejmuje środków z art. 53 ust. 9 ani kary z art. 73 ust. 5. Tę karę, do 100 mln zł, organ nakłada za naruszenie powodujące skutki wymienione w przepisie. Pierwszy to bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi. Drugi to zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług. Przepis wymienia je bez spójnika, a minister w pyt. 12.6 łączy je słowem „oraz”. W mojej ocenie art. 35 nie wyklucza ukarania po 3 kwietnia 2028 r. za naruszenie popełnione wcześniej, bo wiąże odroczenie z chwilą nałożenia kary. Można bronić odczytu, że przepis tworzy okres ochronny, ale jego brzmienie tego nie wspiera. Wysokość kar opisuje materiał Czy każda organizacja podlega NIS2?.

Jak nadzór łączy się z ochroną danych osobowych

Gdy w toku nadzoru organ stwierdzi podejrzenie naruszenia ochrony danych osobowych, informuje Prezesa UODO w 7 dni (art. 59a ust. 1). Jeżeli Prezes UODO prawomocnie nałożył karę za ten sam czyn w związku z naruszeniem ochrony danych, organ KSC nie wszczyna postępowania w sprawie kary i poprzestaje na pouczeniu. Gdy postępowanie już wszczęto, ustawa odsyła do reguły odstąpienia od kary. Organ odstępuje od niej, jeżeli wcześniejsza kara spełnia jej cele (art. 76c ust. 1). Środki z art. 53 ust. 4, 5 i 9 organ może jednak stosować dalej (art. 76c ust. 2). Art. 35 nowelizacji nie dotyczy kar nakładanych przez Prezesa UODO. Materiały dla organu KSC warto więc przed wysyłką przejrzeć z inspektorem ochrony danych.

Od kiedy działa nadzór organu

Nowelizację ogłoszono 2 marca 2026 r., a weszła w życie po miesiącu, 3 kwietnia 2026 r. (art. 49 nowelizacji). Przepisy przejściowe nie odraczają uprawnień nadzorczych. Do kontroli operatorów usług kluczowych i dostawców usług cyfrowych wszczętych i niezakończonych przed 3 kwietnia 2026 r. stosuje się przepisy dotychczasowe (art. 28 nowelizacji). Odroczone są natomiast obowiązki z rozdziału 3 i większość kar.

Podmiot, który 3 kwietnia 2026 r. spełniał przesłanki, ma 12 miesięcy na realizację obowiązków z rozdziału 3. Termin upływa 3 kwietnia 2027 r. (art. 33 ust. 1 nowelizacji). Rozdział 3 obejmuje m.in. system zarządzania bezpieczeństwem informacji, zgłaszanie incydentów i dokumentację. Odrębne reguły mają dawni operatorzy usług kluczowych. Nowe zasady zgłaszania incydentów poważnych stosują już teraz, bo termin 6 miesięcy od wejścia nowelizacji w życie upłynął 3 października 2026 r. (art. 33 ust. 4 nowelizacji). Do wdrożenia nowego systemu zarządzania bezpieczeństwem informacji stosują dotychczasowy (art. 33 ust. 6 nowelizacji). Już teraz organ może kontrolować podmioty, żądać informacji i sprawdzać zgodność danych w wykazie. Do 3 kwietnia 2027 r. ostrzeżenie i nakaz mogą więc dotyczyć przede wszystkim obowiązków, które już obowiązują, np. wykazu i odpowiedzi na żądania.

Etap — od kiedy	Podstawa	Wyjątki i ograniczenia
Uprawnienia nadzorcze z art. 53–59c — od 3 kwietnia 2026 r.	art. 49 nowelizacji	kontrole wszczęte wcześniej wobec operatorów usług kluczowych i dostawców usług cyfrowych — przepisy dotychczasowe (art. 28 nowelizacji)
Obowiązki z rozdziału 3 — do 3 kwietnia 2027 r.	art. 33 ust. 1 nowelizacji	dawni operatorzy usług kluczowych (art. 33 ust. 4 i 6 nowelizacji); podmiot spełniający przesłanki później — 12 miesięcy od ich spełnienia (art. 16 pkt 1)
Pierwszy audyt podmiotu kluczowego — do 3 kwietnia 2028 r.	art. 33 ust. 2 nowelizacji	podmiot spełniający przesłanki później — 24 miesiące (art. 16 pkt 2); audyt operatora usług kluczowych niezakończony przed 3 kwietnia 2026 r. — przepisy dotychczasowe (art. 24 ust. 1 nowelizacji)
Kary pieniężne — po 3 kwietnia 2028 r.	art. 35 nowelizacji	nie dotyczy kary z art. 73 ust. 5

Jak przygotować organizację na nadzór organu

Terminy w nadzorze biegną od różnych zdarzeń.

• 7 dni na stanowisko po wstępnych ustaleniach (art. 53 ust. 14).
• Co najmniej 7 dni na odpowiedź na żądanie, według terminu wskazanego przez organ (art. 53c ust. 2 pkt 5).
• 7 dni na zastrzeżenia do protokołu kontroli u przedsiębiorcy (art. 58 ust. 4), a u podmiotu niebędącego przedsiębiorcą 7 dni roboczych na zastrzeżenia od otrzymania projektu wystąpienia pokontrolnego (art. 40 ust. 1 ustawy o kontroli w administracji rządowej).
• 3 dni robocze na stanowisko po kontroli doraźnej (art. 59c ust. 6).
• 1 dzień między zawiadomieniem a oględzinami urzędnika monitorującego (art. 53d ust. 4).

Przy kontroli u przedsiębiorcy kontroler może oglądać m.in. systemy (art. 55 pkt 6 ustawy o KSC). Dostęp techniczny i osobę, która go zapewni, warto mieć gotowe od ręki. Pisma trafiają na adres do doręczeń elektronicznych albo do S46. Funkcje S46 dla czynności nadzorczych minister ma uruchomić do 3 kwietnia 2027 r. (art. 36 nowelizacji). Jakie dokumenty warto mieć gotowe, opisuje materiał Jaką dokumentację NIS2 musi prowadzić podmiot kluczowy lub ważny?.

Żądanie wskazuje konkretny podmiot (art. 53c ust. 2 pkt 1), a nakaz jest kierowany do podmiotu (art. 53 ust. 5 i 6). W grupie każda spółka będąca podmiotem kluczowym lub ważnym odpowiada więc na własne żądania i nakazy. Kary, które grożą osobiście kierownikowi podmiotu, opisuje materiał Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego?.

Najczęstsze błędy

• Utożsamienie odroczenia kar z brakiem nadzoru. Art. 35 nowelizacji odracza większość kar pieniężnych. Nie odracza ostrzeżeń, nakazów, kontroli ani środków z art. 53 ust. 9.
• Przekonanie, że podmiotu ważnego nie można skontrolować. Art. 53 ust. 17 każe stosować wobec niego ust. 2, w tym kontrolę (pkt 1).
• Traktowanie wstępnych ustaleń jak zwykłej korespondencji. Stanowisko złożone w 7 dni może doprowadzić do odstąpienia od środka albo od kary (art. 53 ust. 15 pkt 1).

Wnioski i dalsze kroki

Organizacja, która ma zebrane dowody i wyznaczone osoby do kontaktu z organem, łatwiej dotrzyma terminów na każdym etapie.

1. Ustal organ właściwy i kanały korespondencji, a w grupie zrób to dla każdej spółki.
2. Sprawdź, czy podmiot ma aktywny adres do doręczeń elektronicznych i dostęp do S46. Wyznacz osobę odbierającą pisma i jej zastępcę, najlepiej spośród osób do kontaktu z art. 9 ust. 1 pkt 1.
3. Zapisz w procedurze, kto przygotowuje stanowisko po wstępnych ustaleniach, kto je zatwierdza i kto reprezentuje podmiot w postępowaniu.
4. Zbierz dowody działania systemu zarządzania bezpieczeństwem informacji z art. 8 ust. 1, a w podmiocie ważnym objętym art. 8 ust. 3 (m.in. publicznym) z załącznika nr 4. Przedsiębiorca przedstawia żądane dowody przy kontroli niezwłocznie (art. 56 ust. 1 ustawy o KSC), a każdy podmiot na żądanie w terminie organu (art. 53c).
5. Przygotuj plan obsługi kontroli i oględzin systemów, w tym tłumaczenia dokumentacji w języku obcym.

Materiały powiązane

• Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego? — kary kierownika i zakaz pełnienia funkcji zarządczych.
• Jaką dokumentację NIS2 musi prowadzić podmiot kluczowy lub ważny? — dokumenty, których organ może zażądać.
• Co zawiera zgłoszenie incydentu poważnego do CSIRT? — obowiązek, którego niewykonanie ustawa uznaje za poważne naruszenie.
• Czy każda organizacja podlega NIS2? — kategoria podmiotu i wysokość kar.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 8 ust. 1 i 3, art. 8i ust. 1 i 3, art. 9 ust. 1 pkt 1, art. 15 ust. 1b i 1c, art. 16, art. 36b ust. 3, 5 i 6, art. 41, art. 41a ust. 1, 4 i 5, art. 42 ust. 3–6, art. 53, art. 53c–53f (w tym art. 53e ust. 5–7, 9 i 11), art. 54–59, art. 59a, art. 59c ust. 1–6 i 8, art. 73 ust. 1–5, art. 73a–73c, art. 76a ust. 1 i 9, art. 76b ust. 1, art. 76c oraz załącznik nr 4 — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 — art. 24 ust. 1, art. 28, art. 33 ust. 1, 2, 4 i 6, art. 35, art. 36 i art. 49 — isap.sejm.gov.pl.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) — motyw 122 — eur-lex.europa.eu.
• Minister Cyfryzacji, Krajowy system cyberbezpieczeństwa — pytania i odpowiedzi do nowelizacji ustawy o KSC, aktualizacja z października 2026 r. — pyt. 1.11, 10.5, 11.4, 11.5, 11.6, 12.3 i 12.6 — cyber.gov.pl.
• Ustawa z dnia 6 marca 2018 r. — Prawo przedsiębiorców, tekst ujednolicony — art. 47 ust. 1, art. 48 ust. 1, 2 i 11, art. 54 ust. 1, art. 55 ust. 1 i 2, art. 59 ust. 1 i 4 — isap.sejm.gov.pl.
• Ustawa z dnia 15 lipca 2011 r. o kontroli w administracji rządowej, tekst ujednolicony — art. 20 i art. 40 ust. 1 — isap.sejm.gov.pl.
• Ustawa z dnia 30 sierpnia 2002 r. — Prawo o postępowaniu przed sądami administracyjnymi, tekst ujednolicony — art. 61 § 1–3 — isap.sejm.gov.pl.