Kto odpowiada za niezgodność z NIS2, czyli o zarządzie i karach finansowych za złe wdrożenie
Jeszcze do niedawna cyberbezpieczeństwo było postrzegane głównie jako problem techniczny, którym zajmował się dział IT lub zewnętrzny dostawca usług. Ale to się zmienia i jednym z czynników, który tę zmianę powoduje, są regulacje prawne.
Dyrektywa NIS2, przyjęta przez Unię Europejską, zmienia podejście do kwestii cyberbezpieczeństwa. Jej istotą jest nie tylko podniesienie standardów technicznych, ale również przesunięcie odpowiedzialności za cyberbezpieczeństwo z poziomu specjalistów od IT na poziom zarządczy. Oznacza to, że kierownictwo danej organizacji (np. zarząd w spółce kapitałowej) jest bezpośrednio odpowiedzialne za prawidłowe stosowanie obowiązków wynikających z przepisów NIS2.
To zaś oznacza, że zignorowanie wymogów wynikających z dyrektywy NIS 2 może:
skutkować zwiększonym ryzykiem pojawienia się incydentów w zakresie cyberbezpieczeństwa w organizacji (co jest jasne - skoro nie wdrożyliśmy zabezpieczeń, to ryzyko, że ucierpimy w wyniku incydentu jest wyższe),
rodzić realne konsekwencje po stronie osób nią zarządzających, oczywiście o ile wymogi wynikające z dyrektywy nie zostały uprzednio spełnione. I to jest nowość - dotąd bowiem za lekkomyślność w zakresie bezpieczeństwa IT odpowiadała z reguły sama organizacja, a nie bezpośrednio osoby, które nią zarządzają.
Dodam jeszcze, że przepisy dyrektywy NIS2 zostały zaimplementowane do naszego porządku prawnego w ramach ustawy o krajowym systemie cyberbezpieczeństwa i obowiązują w Polsce od 3 kwietnia 2026 r.
Czym jest kierownictwo organizacji w rozumieniu dyrektywy NIS2?
Ustawa o krajowym systemie cyberbezpieczeństwa posługują się pojęciem "kierownika podmiotu kluczowego lub podmiotu ważnego". To właśnie taka osoba jest osobiście odpowiedzialna za zapewnienie zgodności danej organizacji z przepisami dot. cyberbezpieczeństwa.
Ale kto to dokładnie jest?
Zgodnie z przepisami jest to jedna z następujących osób:
członek zarządu lub innego organu zarządzającego (np. rady dyrektorów). Jeśli członków zarządu jest kilku, za kierownika uznajemy wszystkich członków zarządu,
wspólnik prowadzący sprawy spółki - w przypadku spółki cywilnej, jawnej lub partnerskiej (chyba, że powołany jest zarząd),
komplementariusz prowadzący sprawy spółki - w przypadku spółki komandytowej i komandytowo-akcyjnej,
likwidator - jeśli spółka jest w likwidacji
w przypadku przedsiębiorców prowadzących jednoosobową działalność gospodarczą jest to właśnie ta osoba.
W przypadku podmiotów publicznych kierownikiem podmiotu jest "kierownik jednostki" ustalony zgodnie z przepisami ustawy o finansach publicznych.
Na czym polega odpowiedzialność takiego kierownika?
Dyrektywa NIS2 wprowadza prostą zasadę - z krajowych przepisów prawa (przyjętych w każdym kraju UE) ma wynikać, że organy zarządzające podmiotów kluczowych i ważnych (czyli właśnie nasi kierownicy) mają
zatwierdzać środki zarządzania ryzykiem w cyberbezpieczeństwie przyjęte przez te podmioty w celu zapewnienia zgodności z wymogami dot. cyberbezpieczeństwa oraz
nadzorować ich wdrażanie.
I za to organy te mogą być pociągnięte do odpowiedzialności. W ten właśnie sposób NIS2 wprowadza osobistą odpowiedzialność członków zarządu i wspólników spółek za przestrzeganie dyrektywy NIS2.
W polskiej ustawie o krajowym systemie cyberbezpieczeństwa zasady dot. ponoszenia takiej odpowiedzialności zostały uszczegółowione. W dużym skrócie, polega ona na tym, że:
przepisy ustawy o krajowym systemie cyberbezpieczeństwa nakładają szereg obowiązków na podmioty ważne i kluczowe - są one opisane w poszczególnych przepisach ustawy,
za niespełnianie tych obowiązków przez podmiot ważny i kluczowy można ukarać osobę, która jest członkiem kierownictwa takiego podmiotu - np. członka zarządu spółki, będącej podmiotem ważnym/kluczowym.
Za co dokładnie można ukarać kierownika podmiotu?
Zgodnie z ustawą, kara może być nałożona za:
niezgłoszenie podmiotu ważnego/kluczowego do wykazu prowadzonego przez Ministra Cyfryzacji (chodzi o tzw. wykaz KSC, prowadzony w systemie S46),
niezgłaszanie zmian danych w wyżej wymienionym wykazie lub brak wykreślenia podmiotu z wykazu gdyby dana organizacja przestała być podmiotem ważnym lub kluczowym,
niewdrożenie systemu zarządzania bezpieczeństwem informacji w organizacji - to kluczowy obowiązek wynikający z dyrektywy NIS2, na który składa się np. systematyczne szacowanie ryzyka związanego z cyberbezpieczeństwe, wdrożenie odpowiednich technicznych i organizacyjnych środków bezpieczeństwa, prowadzenie szkoleń dla personelu czy też zarządzanie incydentami - innymi słowy, kierownik podmiotu odpowiada właściwie za całokształt bezpieczeństwa IT w organizacji,
niezapewnienie przez kierownika podmiotu odpowiedniego budżetu na cyberbezpieczeństwo, niepodejmowanie przez niego decyzji w tym zakresie czy też nieprzydzielanie konkretnych zadań z zakresu cyberbezpieczeństwa poszczególnym członkom zespołu - oznacza to, że brak bezpośredniego zaangażowania kierownika podmiotu w kwestie związane z cyberbepieczeństwem również może skończyć się karą,
brak przejścia przez kierownika podmiotu szkolenia z zakresu cyberbezpieczeństwa - obowiązek taki powinien być zrealizowany co najmniej raz w roku,
niesprawdzenie czy osoby odpowiedzialne w organizacji za cyberbezpieczeństwo są niekarane,
niewyznaczenie osób do kontaktu z innymi podmiotami krajowego systemu cyberbezpieczeństwa,
brak zapewnienia możliwości zgłaszania zagrożeń IT przez użytkowników (np. pracowników organizacji) odpowiednim osobom,
brak opracowania, stosowania lub aktualizowania dokumentacji dotyczącej bezpieczeństwa IT,
niezapewnienie prawidłowej obsługi incydentów w zakresie cyberbezpieczeństwa,
niezgłoszenie incydentu poważnego do właściwego CSIRT,
brak stworzenia w organizacji wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub brak zawarcia umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
brak przejścia (w przypadku podmiotu kluczowego) obowiązkowego audytu w zakresie cyberbezpieczeństwa co najmniej raz na 3 lata.
Przepisy ustawy o krajowym systemie cyberbezpieczeństwa wskazują, że karę nakłada się w sytuacji gdy "przemawia za tym czas, zakres lub charakter naruszenia". Co to w praktyce oznacza? To, że kary nie są nakładane automatycznie, w przypadku każdego naruszenia powyższych obowiązków. Założenie jest takie, że kara powinna być nakładana w sytuacji gdy faktycznie dane naruszenie ma istotny charakter - przykładowo, gdy opóźnienie w realizacji jakiegoś obowiązku jest znaczne, organizacja nie podjęła żadnych istotnych działań aby zapewnić zgodność z przepisami (w skrócie: zignorowała wymogi wynikające z ustawy) albo gdy jej zaniedbania skutkowały wystąpieniem istotnego incydentu dotyczącego cyberbezpieczeństwa.
Z drugiej strony, ustawa wyrażnie wskazuje, że również jednorazowe naruszenia mog skutkować nałożeniem kary. Nie przesądza to bowiem automatycznie o tym, że są one nieistotne.
Natomiast ostateczną decyzję o tym czy karę należy nałożyć czy nie, podejmuje odpowiedni organ właściwy do spraw cyberbezpieczeństwa. Innymi słowy, decyzja ta ma charakter uznaniowy:
organ bada okoliczności naruszenia,
ustala czy są one na tyle istotne, że uzasadnia to nałożenie kary na kierownika jednostki,
ocenia jaka wysokość kary będzie odpowiednia, biorąc pod uwagę charakter naruszenia.
Ile może wynieść kara nałożona na kierownika podmiotu?
Zgodnie z przepisami ustawy o krajowym systemie cyberbezpieczeństwa, kara nałożona na kierownika podmiotu kluczowego lub ważnego może wynieść maksymalnie:
300 % otrzymywanego przez ukaranego wynagrodzenia obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop - w przypadku podmiotów prywatnych,
100 % otrzymywanego przez ukaranego wynagrodzenia obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop - w przypadku podmiotów publicznych.
W mojej ocenie przepisy wiążą wysokość wynagrodzenia z wynagrodzeniem za pracę - ekwiwalent za urlop oblicza się bowiem właśnie w odniesieniu do wynagrodzenia za pracę.
Problem jest taki, że wielu kierowników podmiotów kluczowych lub ważnych nie otrzymuje wynagrodzenia za pracę, zwłaszcza w przypadku podmiotów prywatnych. W przypadku członków zarządu spółek kapitałowych (np. z o.o. albo spółek akcyjnych) istnieje cały szereg innych mechanizmów, które umożliwiają wypłacanie takiej osobie wynagrodzenia, które nie są umową o pracę. To np.:
kontrakty menedżerskie
wypłacanie wynagrodzenia na podstawie powołania (uchwały zgromadzenia wspólników),
umowy b2b, w ramach których osoba świadczy jakieś usługi na rzecz spółki.
Co więcej, często zdarza się tak, że osoby kierujące danym podmiotem są jednocześnie jej wspólnikami i otrzymują np. dywidendy albo po prostu prawo do udziału w zysku spółki (w przypadku spółek osobowych). W takim wypadku trudno jest nawet powiązać to wynagrodzenie z bieżącym zarządzaniem podmiotem - ono się po prostu należy w związku z posiadaniem statusu wspólnika w spółce.
Jakie są tego konsekwencje?
Obliczenie maksymalnej wysokości kary dla kierownika jednostki, który nie otrzymuje wynagrodzenia za pracę, ale dostaje pieniądze z jakiegoś innego tytułu, staje się problemem, który potencjalnie może zaważyć na możliwości nałożenia samej kary (abstrahując od jej wysokości).
W przypadku kontraktów menedżerskich albo powołania możemy mówić, że to jest wynagrodzenie, które dana osoba otrzymuje w związku z pełnieniem danej funkcji, a więc jakoś, w drodze analogii, możemy je wykorzystać do obliczenia maksymalnej wysokości kary. Natomast zastrzegam tu, że formalnie taka osoba nie ma prawa do urlopu, a więc żadnego ekwiwalentu się nie oblicza - stąd też potrzebna jest analogia i trochę kreatywnej wykładni przepisu.
Ale w przypadku dywidend czy podziału zysku w spółce nie możemy nawet powiązać wypłaconych kwot z pełnieniem funkcji kierownika jednostki. W mojej ocenie uniemożliwia to wykorzystanie ich do obliczenia maksymalnej wysokości kary.
Jeżeli więc dany kierownik nie pobiera wynagrodzenia jakoś związanego z pełnieniem funkcji kierownika (a jedynie np. dywidendę) to musimy założyć, że wynosi ono 0. A 300% z 0 to nadal 0. Innymi słowy, nie ma od czego obliczyć wysokości kary i nie można jej nałożyć. Zakładam, że organy, które te kary będą nakładały mogą mieć inne zdanie i będą jakoś próbowały ją obliczyć - ale pewnie ukarani w ten sposób będą próbować kwestionować to w sądzie, powołując się właśnie na nieprawidłowy sposób obliczenia maksymalnej kary. Co ważne, przepis o karach ma charakter sankcyjny - co oznacza, że generalnie trzeba go wykładać sciśle i "rozszerzająca" interpretacja zawsze może być kwestionowana.
Co jeszcze warto wiedzieć o karach?
Kara nałożona na kierownika jednostki jest niezależna od kary nałożonej na samą organizację - innymi słowy, ukaranie organizacji nie uniemożliwia ukarania kierownika. Co więcej, może być też tak, że ukarany zostanie kierownik a organizacja nie (choć to pewnie będą rzadsze przypadki).
Od kiedy można nałożyć karę?
Przepisy znowelizowanej wersji ustawy o krajowym systemie cyberbezpieczeństwa już obowiązują. Przewidują jednak kilka terminów przejściowych dotyczących niektórych obowiązków, nałożonych na podmioty ważne i kluczowe.
3 października 2026 r. minął termin na wpisanie się przez podmioty ważne i kluczowe do wykazu KSC. Na realizację obowiązków związanych z wdrożeniem systemu zarządzania bezpieczeństwem informacji mamy natomiast czas do 3 kwietnia 2026 r.
A kary za ewentualne niedopełnienie obowiązków przez kierowników podmiotów ważnych i kluczowych będą mogły być nakładane dopiero od 3 kwietnia 2028 r.
W praktyce mamy więc trochę czasu na przeprowadzenie rzetelnych działań dostosowawczych - warto go dobrze wykorzystać.
Jeżeli masz dodatkowe pytania lub wątpliwości dot. obowiązków kierowników jednostek, wynikających z ustawy o krajowego systemu cyberbezpieczeństwa, zachęcamy do kontaktu. Możesz to zrobić, wysyłając maila na adres kontakt@bytelaw.pl albo korzystając z formularza kontaktowego na www.bytelaw.pl.
