Kogo i kiedy trzeba sprawdzić w Krajowym Rejestrze Karnym na potrzeby NIS2?

Dlaczego to pytanie w ogóle powstaje

Weryfikacja niekaralności łączy pracę działu bezpieczeństwa, kadr i inspektora ochrony danych.

Ustawa nie podaje listy stanowisk objętych weryfikacją. Bez wspólnej procedury jedna organizacja łatwo zawęzi krąg sprawdzanych osób, a inna zbierze dane, do których nie ma podstawy.

Co trzeba ustalić przed wdrożeniem weryfikacji

Kogo dotyczy weryfikacja niekaralności

Weryfikacji podlega osoba, która ma realizować zadania z art. 8 lub art. 11 (art. 8f ust. 1). Przy kryterium wdrażania, utrzymania i wykonywania środków systemu oraz obsługi incydentów krąg osób obejmuje zwykle następujące role.

• Osoba kierująca bezpieczeństwem informacji i zespół bezpieczeństwa.
• Administratorzy systemów i sieci, którzy wdrażają i utrzymują środki bezpieczeństwa w systemach wpływających na świadczenie usługi.
• Zespół zarządzania tożsamością i dostępem uprzywilejowanym.
• Zespół monitorowania i obsługi incydentów wraz z dyżurami.
• Osoby, które klasyfikują incydenty i przekazują zgłoszenia do CSIRT.
• Administratorzy i właściciele systemów z listy eskalacji, którzy usuwają skutki incydentów i podatności.
• Właściciel procesu szacowania ryzyka i koordynator planów ciągłości działania.

System z art. 8 dotyczy systemu informacyjnego wykorzystywanego w procesach wpływających na świadczenie usługi i obejmuje m.in. szacowanie ryzyka i środki techniczne oraz organizacyjne, a także zarządzanie incydentami (art. 8 ust. 1 pkt 1–5). Art. 11 obejmuje m.in. obsługę i klasyfikację incydentu, zgłoszenia do CSIRT, współdziałanie z nim oraz usuwanie podatności wskazanych przez organ (art. 11 ust. 1). Obsługą incydentu jest m.in. jego wykrywanie, rejestrowanie, analizowanie i ograniczanie skutków (art. 2 pkt 10).

W mojej ocenie rozstrzyga to, czy osoba wdraża, utrzymuje albo wykonuje środek systemu lub czynność obsługi incydentu. Samo przestrzeganie polityk i zasad cyberhigieny nie jest w tym ujęciu realizacją zadań z art. 8. Przeciw temu można wskazać, że art. 8 ust. 1 pkt 2 lit. j wymienia zasady cyberhigieny wśród środków systemu.

Najtrudniejsza jest strefa pośrednia. Kadry zwykle odpowiadają za bezpieczeństwo zasobów ludzkich, a dział zakupów za łańcuch dostaw (art. 8 ust. 1 pkt 2 lit. d i e). Podobnie wygląda sprawa programistów i testerów (lit. b), ochrony fizycznej (lit. c), osób prowadzących szkolenia (lit. i) i zarządzania aktywami (lit. m). Za objęciem tych ról przemawia to, że ustawa wymienia te obszary jako elementy systemu. Przeciw przemawia to, że art. 8f daje podstawę do przetwarzania danych o karalności tylko osób realizujących zadania. W strefie pośredniej rekomenduję objąć weryfikacją osobę, która projektuje, wdraża lub utrzymuje dany środek albo decyduje o nim poniżej poziomu zarządu. Dotyczy to też pierwszej linii wsparcia, jeżeli rejestruje zdarzenia jako incydenty albo nadaje im kategorię lub priorytet (art. 2 pkt 10). Pominąć można osobę, która tylko podlega danemu środkowi albo przekazuje zgłoszenie dalej bez jego oceny. Kryterium i listę pominiętych ról z uzasadnieniem warto zapisać w procedurze.

W sektorze bankowości i infrastruktury rynków finansowych art. 8f stosuje się odpowiednio (art. 8i ust. 2). Z art. 8 stosuje się tam tylko ust. 1 pkt 1 i pkt 2 lit. j, a z art. 11 ust. 1 tylko pkt 5 i 6 (art. 8i ust. 1). Krąg osób trzeba więc tam ustalić osobno. Podmiot publiczny stosuje art. 8f, jeżeli wykorzystuje system informacyjny do realizacji zadania publicznego (art. 16d).

Pracownik, zleceniobiorca, B2B czy personel dostawcy?

Ustawa nie uzależnia obowiązku od formy zatrudnienia. Według ministra intencją projektodawcy było objęcie nim osób w bezpośredniej relacji z podmiotem, czyli pracowników i osób z umów cywilnoprawnych zawartych bezpośrednio z podmiotem, jeżeli realizują zadania z art. 8 lub 11 (pyt. 3.48). Obowiązek nie obejmuje według ministra pracowników ani współpracowników usługodawców, w tym personelu wykonawców i podwykonawców. Stanowisko ministra nie jest wiążące, a brzmienie art. 8f nie zawiera warunku bezpośredniej relacji.

W mojej ocenie zakaz z art. 8f ust. 4 obejmuje także pracownika dostawcy, bo dotyczy każdej osoby realizującej zadania. Wobec stanowiska ministra żądanie informacji z rejestru o ludziach dostawcy łatwo jednak zakwestionować jako przetwarzanie danych z art. 10 RODO bez podstawy. Ryzyko, że zadania wykona skazany pracownik dostawcy, podmiot ogranicza więc środkami łańcucha dostaw i kontroli dostępu (art. 8 ust. 1 pkt 2 lit. e i n). Minister wskazuje tu też postanowienia umowne (pyt. 3.48). Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa będący co najmniej małym przedsiębiorcą sam jest podmiotem kluczowym (art. 5 ust. 1 pkt 3). Według ministra ustawie podlega także wtedy, gdy obsługuje tylko własną grupę (pyt. 1.21 i 3.34). Taki dostawca stosuje art. 8f do osób realizujących jego własne zadania z art. 8 lub 11. Samo udostępnianie personelu nie jest według ministra usługą zarządzaną w zakresie cyberbezpieczeństwa, jeżeli firma nie przetwarza danych związanych z systemem zarządzania bezpieczeństwem informacji klienta (pyt. 1.37).

Odpowiedź na pyt. 3.48 nie wymienia osobno osoby, która wykonuje zadania osobiście na podstawie umowy z własnej działalności gospodarczej. W mojej ocenie osoba ta jest stroną umowy cywilnoprawnej z podmiotem, a nie personelem dostawcy. Przeciw temu można wskazać, że minister w innej odpowiedzi wymienia umowę z przedsiębiorcą obok umowy cywilnoprawnej (pyt. 2.60).

W grupie kapitałowej art. 8f stosuje osobno każda spółka będąca podmiotem kluczowym lub ważnym do osób realizujących jej własne zadania (art. 8f ust. 1). Spółka z grupy świadcząca usługi innym spółkom jest wobec nich odrębnym podmiotem. Dlatego minister uznaje, że ustawie podlega spółka świadcząca grupie usługi zarządzane w zakresie cyberbezpieczeństwa (pyt. 3.34). Wobec personelu spółki z grupy świadczącej usługi rekomenduję środki, które minister wskazuje dla personelu dostawców (pyt. 3.48).

Czy członek zarządu też przedstawia informację z KRK?

Ustawa nie mówi, kto weryfikuje samego kierownika podmiotu. Członek zarządu może jednak osobiście wykonywać zadania operacyjne z art. 8 lub 11, np. kierować obsługą incydentów. W mojej ocenie powinien wtedy przedstawić informację jak każda inna osoba, a dopuszczenie mogą odnotować pozostali członkowie zarządu. Przeciw temu przemawia to, że ustawa nie przewiduje dopuszczenia kierownika.

Za jakie przestępstwa i co oznacza wynik

Informacja ma stwierdzać niekaralność za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). Taki tytuł nosi rozdział XXXIII Kodeksu karnego, a minister wymienia z niego osiem przestępstw (pyt. 3.10).

• Ujawnienie informacji niejawnych (art. 265).
• Ujawnienie informacji służbowych (art. 266).
• Nielegalne uzyskanie informacji (art. 267).
• Niszczenie informacji (art. 268).
• Niszczenie danych w systemach (art. 268a).
• Sabotaż komputerowy (art. 269).
• Zakłócanie sieci i systemów (art. 269a).
• Bezprawne wykorzystanie programów i danych (art. 269b).

Skazanie za przestępstwo z innego rozdziału, np. za oszustwo komputerowe (art. 287), nie wpływa na wynik weryfikacji z art. 8f. Wpis o warunkowym umorzeniu postępowania albo tymczasowym aresztowaniu nie jest skazaniem (art. 1 ust. 2 pkt 2 i 9 ustawy o Krajowym Rejestrze Karnym). Skazaniem jest natomiast wyrok z warunkowym zawieszeniem wykonania kary. Takie skazanie ulega co do zasady zatarciu rok po zakończeniu okresu próby (art. 76 § 1 Kodeksu karnego).

Zakaz z art. 8f ust. 4 obowiązuje do zatarcia skazania, bo skazanie zatarte uważa się za niebyłe (art. 106 Kodeksu karnego). Kodeks karny uznaje za wyrok skazujący co do zasady także prawomocny wyrok sądu karnego innego państwa Unii, a o jego zatarciu rozstrzyga prawo państwa skazania (art. 114a § 1 i 2 Kodeksu karnego). Art. 8f ust. 4 nie wskazuje państwa sądu, dlatego ostrożniej jest stosować zakaz także do takiego wyroku. Rejestr gromadzi jednak skazania zagraniczne tylko obywateli polskich (art. 1 ust. 2 pkt 4 ustawy o Krajowym Rejestrze Karnym). Informacja wydana na wniosek obywatela innego państwa Unii obejmuje też dane z rejestru karnego państwa jego obywatelstwa (art. 20 ust. 1d ustawy o Krajowym Rejestrze Karnym). Osoba, która jest lub była obywatelem innego państwa Unii albo mieszka lub mieszkała na jego terytorium, może też wnieść o zapytanie do rejestru tego państwa (art. 7 ust. 1a). Poza tymi przypadkami zagranicznych skazań cudzoziemca informacja nie pokaże.

Co zrobić przy odmowie albo skazaniu

Bez informacji stwierdzającej niekaralność albo ważnego poświadczenia bezpieczeństwa kierownik nie dopuszcza osoby do zadań (art. 8f ust. 1 i 3). Odmowy przedstawienia informacji nie chroni art. 22¹ᵃ § 2 Kodeksu pracy, bo dotyczy on braku zgody, a zgoda nie może obejmować danych z art. 10 RODO (§ 1). Od kandydata warto odebrać informację przed zawarciem umowy, bo negatywny wynik nie rozwiązuje jej sam (art. 30 § 1 Kodeksu pracy).

Pracownik prawomocnie skazany za przestępstwo przeciwko ochronie informacji od razu przestaje realizować zadania z art. 8 lub 11 (art. 8f ust. 4). Pracodawca może mu powierzyć inną pracę na okres do 3 miesięcy w roku kalendarzowym bez wypowiedzenia warunków. Wymaga to uzasadnionej potrzeby pracodawcy, pracy odpowiadającej kwalifikacjom i zachowania wynagrodzenia (art. 42 § 4 Kodeksu pracy). Trwała zmiana wymaga wypowiedzenia zmieniającego (art. 42 § 1–3) albo porozumienia stron. Rozwiązanie umowy bez wypowiedzenia z art. 52 § 1 pkt 2 wymaga przestępstwa popełnionego w czasie trwania umowy, które uniemożliwia dalsze zatrudnianie na zajmowanym stanowisku. Przestępstwo musi być oczywiste lub stwierdzone prawomocnym wyrokiem. Pracodawca ma na to miesiąc od uzyskania wiadomości o tej okoliczności i zasięga opinii zakładowej organizacji związkowej reprezentującej pracownika (art. 52 § 2 i 3). Przy umowie cywilnoprawnej o skutkach decydują jej postanowienia.

Poświadczenie bezpieczeństwa zamiast informacji z rejestru

Wymagania z art. 8f ust. 1 i 2 uznaje się za spełnione, jeżeli osoba ma ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej (art. 8f ust. 3). Przed wygaśnięciem poświadczenia warto więc odebrać od osoby informację z rejestru.

Kiedy przedstawić informację z KRK i jaki jest termin

Weryfikacja niekaralności poprzedza rozpoczęcie zadań, także gdy osoba przechodzi do nich z innej roli (art. 8f ust. 1). Praktycznym punktem kontrolnym jest przypisanie osoby do zadań z art. 8 lub 11 albo faktyczne powierzenie jej tych zadań. Nadanie dostępu warto poprzedzić weryfikacją, jeżeli posłuży on do wdrażania, utrzymania lub wykonywania środków albo obsługi incydentów. Uprawnienia do tych zadań warto oznaczyć w systemie zarządzania tożsamością i nadawać dopiero po dopuszczeniu.

Podmioty, które z dniem wejścia nowelizacji w życie spełniały przesłanki uznania za podmiot kluczowy albo ważny, realizują obowiązki z rozdziału 3 ustawy w terminie 12 miesięcy (art. 33 ust. 1 ustawy nowelizującej). Rozdział ten obejmuje art. 8f. Nowelizacja weszła w życie 3 kwietnia 2026 r. (art. 49), czyli termin upływa 3 kwietnia 2027 r. Podmiot, który spełni przesłanki później, ma 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1). Podmiot uznany decyzją liczy ten termin od jej doręczenia (art. 7l ust. 7 i art. 7m ust. 6).

Ustawa wiąże obowiązek przedstawienia informacji z rozpoczęciem zadań i nie ma przepisu przejściowego dla osób, które realizowały je już wcześniej. W mojej ocenie po upływie terminu na dostosowanie podmiot powinien mieć informację z rejestru albo dane ważnego poświadczenia także dla tych osób. Przemawia za tym zakaz z art. 8f ust. 4, który dotyczy każdej osoby realizującej zadania. Bez informacji podmiot nie sprawdzi, czy osoba podlega zakazowi. Minister również obejmuje weryfikacją obecny personel (pyt. 3.29). Przeciw temu można wskazać brzmienie ust. 1, które mówi o chwili rozpoczęcia zadań.

Minister uznaje za uprawnione zbieranie danych o niekaralności w okresie dostosowawczym od osób, które będą realizować zadania także po jego zakończeniu, w tym w trwających rekrutacjach (pyt. 3.28). W rekrutacji wystarczy informacja od kandydata wybranego do zadań, bo dane od pozostałych nie są potrzebne do celu weryfikacji (art. 5 ust. 1 lit. c RODO). Ustawa nie określa, jak dawno przed dopuszczeniem może być wydana informacja, więc maksymalny odstęp warto ustalić w procedurze.

Sytuacja	Co zrobić	Podstawa	Wyjątki i ograniczenia
Osoba ma rozpocząć zadania z art. 8 lub 11, także po przejściu z innej roli	odebrać informację stwierdzającą niekaralność przed rozpoczęciem zadań i po jej otrzymaniu dopuścić osobę; dopuszczenie warto odnotować	art. 8f ust. 1	wystarcza ważne poświadczenie bezpieczeństwa (art. 8f ust. 3); termin na dostosowanie — art. 33 ust. 1 ustawy nowelizującej, art. 16 pkt 1, art. 7l ust. 7 i art. 7m ust. 6
Osoba już realizuje zadania z art. 8 lub 11	odebrać informację przed upływem terminu na dostosowanie	art. 8f ust. 1 i 4; pyt. 3.29; ocena	wystarcza ważne poświadczenie bezpieczeństwa (art. 8f ust. 3); ustawa nie ma przepisu przejściowego dla tych osób
Uzasadnione podejrzenie skazania za przestępstwo przeciwko ochronie informacji	wezwać do ponownego przedstawienia informacji	art. 8f ust. 2	wystarcza ważne poświadczenie bezpieczeństwa (art. 8f ust. 3); według ministra nie cyklicznie, a sam anonim może nie wystarczyć (pyt. 3.10)

Czy weryfikację trzeba powtarzać?

Podmiot wzywa osobę do ponownego przedstawienia informacji, jeżeli poweźmie uzasadnione podejrzenie, że została skazana za przestępstwo przeciwko ochronie informacji (art. 8f ust. 2). Według ministra podejrzenie ma być w jakiejś mierze uprawdopodobnione, a sam anonim albo zgłoszenie sygnalisty może nie wystarczyć. Cyklicznego wzywania minister nie uznaje za uzasadnione (pyt. 3.10).

Jak uzyskać zaświadczenie o niekaralności z KRK

W praktyce mówi się o zaświadczeniu o niekaralności. Ustawa o Krajowym Rejestrze Karnym nazywa ten dokument informacją o osobie i uznaje ją za zaświadczenie w rozumieniu Kodeksu postępowania administracyjnego (art. 23). Dla podmiotu kluczowego lub ważnego praktyczne są dwie drogi.

Pierwsza to wniosek osoby o informację o sobie (art. 7 ust. 1). Informacja zawiera dane w zakresie objętym wnioskiem (art. 20 ust. 1 pkt 2). Bez określenia zakresu obejmuje wszystkie zapisy o osobie (art. 19 ust. 3), czyli także skazania, których art. 8f nie dotyczy. Warto więc poprosić osobę, by we wniosku określiła zakres jako skazania za przestępstwa z art. 265–269b Kodeksu karnego.

Druga droga to zapytanie samego podmiotu. Od 3 kwietnia 2026 r. rejestr udziela mu informacji w zakresie niezbędnym do weryfikacji niekaralności osoby realizującej zadania z art. 8 i art. 11 ustawy o KSC (art. 6 ust. 1 pkt 10c). Zapytanie może więc dotyczyć tylko takiej osoby. Za wydanie informacji pobiera się opłatę, także od podmiotu pytającego na podstawie pkt 10c (art. 24 ust. 1). Zapytania podmiotu biuro informacyjne rejestru do rejestrów innych państw Unii nie kieruje (art. 4 ust. 1 pkt 5).

W mojej ocenie informacja uzyskana na zapytanie podmiotu także pozwala kierownikowi dopuścić osobę, bo pkt 10c dodała nowelizacja wprowadzająca art. 8f właśnie do weryfikacji osób realizujących zadania z art. 8 i 11 (art. 1 pkt 17 i art. 10 ustawy nowelizującej). Przeciw temu przemawia brzmienie art. 8f ust. 1, który mówi o informacji przedstawianej przez osobę. Minister pisze też, że osoba musi przedstawić zaświadczenie o niekaralności (pyt. 3.10). Bezpieczniej jest więc traktować zapytanie podmiotu jako uzupełnienie, np. gdy osoba wezwana na podstawie art. 8f ust. 2 nie przedstawi informacji.

Kto dopuszcza osobę i kto za to odpowiada

Osobę do zadań dopuszcza kierownik podmiotu (art. 8f ust. 1). Kierownikiem podmiotu jest kierownik jednostki w rozumieniu ustawy o rachunkowości, a w jednostce sektora finansów publicznych jej kierownik w rozumieniu ustawy o finansach publicznych (art. 2 pkt 8a). Według ministra kierownik może powierzyć sprawdzanie niekaralności innej osobie, a ta osoba nie staje się przez to kierownikiem (pyt. 4.7). Kierownik ponosi odpowiedzialność także wtedy, gdy obowiązki powierzył innej osobie za jej zgodą (art. 8c ust. 3).

Dowodem wykonania obowiązku może być zapis dopuszczenia sporządzony dla każdej osoby. Zapis wskazuje osobę i jej zadania z art. 8 lub 11 oraz datę wydania informacji z rejestru albo dane poświadczenia bezpieczeństwa. Zawiera też wynik w zakresie rozdziału XXXIII i datę dopuszczenia. Zapis podpisuje kierownik albo osoba, której za jej zgodą powierzył dopuszczanie (art. 8c ust. 3).

Kierownik może podlegać karze pieniężnej za niewykonanie obowiązku z art. 8f ust. 1 lub 2, jeżeli przemawia za tym czas, zakres lub charakter naruszenia (art. 73a ust. 1 pkt 5). Kara grozi także za zaniechanie jednorazowe (art. 73a ust. 2). Karę tę można nałożyć po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej).

Weryfikacja niekaralności a RODO

Dane o wyrokach skazujących i czynach zabronionych wolno przetwarzać na podstawie art. 6 ust. 1 RODO wyłącznie pod nadzorem władz publicznych albo gdy pozwala na to prawo Unii lub państwa członkowskiego przewidujące odpowiednie zabezpieczenia (art. 10 RODO). Podstawą jest tu obowiązek prawny z art. 8f (art. 6 ust. 1 lit. c RODO), a art. 8f jest zarazem przepisem krajowym dozwalającym to przetwarzanie (art. 10 RODO). Dotyczy to pracownika, wybranego kandydata i osoby z umowy cywilnoprawnej. Pracodawca żąda tych danych na podstawie art. 22¹ § 4 Kodeksu pracy, bo są niezbędne do spełnienia obowiązku z przepisu prawa. Przy zapytaniu podmiotu przepisem w rozumieniu art. 10 RODO jest też art. 6 ust. 1 pkt 10c ustawy o Krajowym Rejestrze Karnym.

Zgoda kandydata albo pracownika nie może być podstawą przetwarzania danych z art. 10 RODO (art. 22¹ᵃ § 1 Kodeksu pracy). Minister w opisie bezpieczeństwa zasobów ludzkich pisze o zgodzie kandydatów na weryfikację (pyt. 3.3), ale przy danych o karalności zgoda nie zastępuje przepisu.

Minister wskazuje, że informacje o niekaralności przechowuje się w dokumentacji pracowniczej albo w dokumentacji związanej z umową i trzeba je należycie chronić (pyt. 3.10). W dokumentacji pracowniczej informację przechowuje się co do zasady przez okres zatrudnienia i 10 lat od końca roku kalendarzowego, w którym stosunek pracy ustał (art. 94 pkt 9b Kodeksu pracy). Okres przechowywania informacji osoby z umowy cywilnoprawnej i niezatrudnionego kandydata podmiot ustala sam, nie dłuższy niż niezbędny do celów przetwarzania (art. 5 ust. 1 lit. e RODO). Jeżeli informacja wykazuje inne skazania lub inne zapisy, ich przechowywanie nie jest potrzebne do celu art. 8f (art. 5 ust. 1 lit. c RODO). Wtedy wystarczy zapis daty wydania informacji, wyniku w zakresie rozdziału XXXIII i daty dopuszczenia.

Dostęp do informacji z rejestru warto ograniczyć do wąskiego grona upoważnionych osób, które przetwarzają ją wyłącznie na polecenie administratora (art. 29 RODO). Klauzula informacyjna z art. 13 RODO mówi m.in., że przedstawienie informacji jest wymogiem ustawowym i jakie są skutki jej nieprzedstawienia (art. 13 ust. 2 lit. e RODO). Jeżeli klauzula zawiera też informacje z art. 14 o zapytaniu podmiotu do rejestru, w tym źródło danych, osobna informacja nie jest potrzebna (art. 14 ust. 5 lit. a RODO).

Wnioski i dalsze kroki

1. Bezpieczeństwo i IT. Spisz zadania z art. 8 i 11 razem ze strefą pośrednią i listą eskalacji incydentów. Przypisz do nich imiennie osoby z zastępcami i dyżurnymi.
2. Zarząd. Jeżeli kierownik nie dopuszcza osób sam, wskaż na piśmie osobę, której za jej zgodą powierza weryfikację i dopuszczanie.
3. Kadry. Ustal drogę uzyskania informacji, jej zakres (art. 265–269b Kodeksu karnego) i to, kto pokrywa opłatę.
4. Kadry z inspektorem ochrony danych. Ustal, kto widzi informację, co trafia do dokumentacji i jak długo. Dopisz weryfikację do rejestru czynności przetwarzania (art. 30 RODO) i uzupełnij klauzulę informacyjną.
5. Kadry. Opisz postępowanie przy odmowie, przy prawomocnym i niezatartym skazaniu za przestępstwo z rozdziału XXXIII oraz przy uzasadnionym podejrzeniu skazania.
6. Kadry i IT. Włącz weryfikację do przyjęcia i zmiany roli.
7. Kadry. Zbierz informacje albo dane ważnych poświadczeń od osób, które już realizują te zadania, z zapasem przed upływem terminu na dostosowanie.
8. Zakupy i dział prawny. W umowach z dostawcami i spółkami z grupy określ wymagania wobec personelu, który realizuje zadania z art. 8 lub 11 (art. 8 ust. 1 pkt 2 lit. e). Ogranicz dostęp uprzywilejowany tego personelu i rejestruj jego użycie (lit. g i n). Rekomenduję nie żądać informacji z rejestru o ludziach dostawcy, bo według ministra obowiązek przedstawienia informacji ich nie obejmuje (pyt. 3.48), a podstawę do przetwarzania tych danych łatwo zakwestionować.

Materiały powiązane

• Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego? — katalog obowiązków kierownika i powierzenie zadań.
• Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem? — krąg osób realizujących zadania z art. 8 i 11 jako podstawa planu szkoleń.
• Jak zarządzać ryzykiem dostawców w NIS2? — wymagania wobec personelu dostawców w umowach.
• Jakie środki zarządzania ryzykiem musi wdrożyć podmiot kluczowy? — elementy systemu z art. 8, które wyznaczają krąg osób.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 2 pkt 8a i 10, art. 5 ust. 1 pkt 3, art. 7l ust. 7, art. 7m ust. 6, art. 8, art. 8c ust. 3, art. 8f, art. 8i ust. 1 i 2, art. 11, art. 16, art. 16d i art. 73a ust. 1 i 2 — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 — art. 1 pkt 17, art. 10, art. 33 ust. 1, art. 35 i art. 49 — isap.sejm.gov.pl.
• Ustawa z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym, tekst ujednolicony (t.j. Dz.U. 2024 poz. 276 ze zm.) — art. 1 ust. 2, art. 4 ust. 1 pkt 5, art. 6 ust. 1 pkt 10c, art. 7 ust. 1 i 1a, art. 19, art. 20 ust. 1 i 1d, art. 23 i art. 24 ust. 1 — isap.sejm.gov.pl.
• Ustawa z dnia 6 czerwca 1997 r. — Kodeks karny, tekst ujednolicony ze stanem na 28 lipca 2026 r. (t.j. Dz.U. 2025 poz. 383 ze zm.) — art. 76 § 1, art. 106, art. 114a, art. 265–269b z rozdziału XXXIII i art. 287 — isap.sejm.gov.pl.
• Ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy, tekst jednolity Dz.U. 2026 poz. 1245 — art. 22¹ § 4, art. 22¹ᵃ § 1 i 2, art. 30 § 1, art. 42, art. 52 § 1 pkt 2, § 2 i 3 oraz art. 94 pkt 9b — isap.sejm.gov.pl.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — art. 5 ust. 1 lit. c i e, art. 6 ust. 1 lit. c, art. 10, art. 13, art. 14, art. 29 i art. 30 — eur-lex.europa.eu.
• Minister Cyfryzacji, Krajowy system cyberbezpieczeństwa — pytania i odpowiedzi do nowelizacji ustawy o KSC, aktualizacja z października 2026 r. — pyt. 1.21, 1.37, 2.60, 3.3, 3.10, 3.28, 3.29, 3.34, 3.48 i 4.7 — cyber.gov.pl.