Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Wielu przedsiębiorców słyszało, że ustawodawca dał im dwa lata „bez kar” i na tej podstawie odkłada temat na później. To błędne przekonanie może kosztować członka zarządu znacznie więcej niż sama kara administracyjna.
Czy dwuletnie moratorium na kary z UKSC oznacza, że zarząd nic nie ryzykuje do 2028 r.?
Nie. To nie jest takie proste. Dwuletni okres odroczenia dotyczy możliwości nakładania określonych kar pieniężnych przewidzianych w UKSC m.in. do 10 milionów euro lub 2 procent przychodu dla podmiotu kluczowego i do 7 milionów euro lub 1,4 procent przychodu dla podmiotu ważnego. Moratorium obejmuje też osobistą karę pieniężną dla kierownika podmiotu z art. 73a UKSC, w wysokości do 300% jego wynagrodzenia w podmiocie prywatnym lub do 100% w podmiocie publicznym.
Co nie podlega odroczeniu na gruncie UKSC?
Art. 35 ustawy nowelizującej odracza do 3 kwietnia 2028 r. możliwość nałożenia określonych kar finansowych, ale nie odracza samych obowiązków wynikających z UKSC, środków nadzorczych czy innych rodzajów odpowiedzialności.
W mocy pozostaje kara kwalifikowana z art. 73 ust. 5 UKSC do 100 milionów złotych za szczególnie poważne naruszenia.
Także odroczeniu nie podlegają środki nadzorcze nakładane przez organ właściwy do spraw cyberbezpieczeństwa (np. ostrzeżenie, nakaz podjęcia określonych działań, a w przypadku niewykonania nakazu – także wstrzymanie koncesji lub określonych rodzajów działalności czy czasowy zakaz pełnienia funkcji zarządczych przez kierownika podmiotu kluczowego z sektora prywatnego).
Odroczeniu nie podlegają również terminy wdrożenia większości obowiązków, w tym np. wdrożenia systemu zarządzania bezpieczeństwem informacji, które przypada co do zasady na 3 kwietnia 2027 r., ani złożenia wniosku o wpis do Wykazu KSC, który trzeba złożyć już do 3 października 2026 r.
W skrócie: do 3 kwietnia 2028 r. odroczono możliwość nałożenia określonych kar pieniężnych, ale nie odroczono obowiązków wynikających z UKSC ani odpowiedzialności za ich wykonywanie.
Za co osobiście odpowiada członek zarządu na podstawie UKSC?
Art. 8c UKSC wprost przypisuje odpowiedzialność za realizację obowiązków w zakresie cyberbezpieczeństwa kierownikowi podmiotu, a powierzenie tych zadań innej osobie, choćby za jej zgodą, nie zwalnia go z tej odpowiedzialności. Jeżeli zarząd jest wieloosobowy i nikt konkretny nie został wyznaczony jako odpowiedzialny, odpowiadają wszyscy jego członkowie.
Niezależnie od sankcji przewidzianych w UKSC, w określonych okolicznościach mogą pojawić się również inne podstawy odpowiedzialności członka zarządu. Warto przeanalizować przykładowo ryzyko związane z brakiem należytej staranności w dzialaniu w przypadku nie wdrożenia wymogów cyberbezpieczeństwa tj. gdy w czasie obowiązywania moratorium dojdzie do incydentu, członek zarządu może ryzykować osobistą odpowiedzialnością odszkodowawczą wobec samej spółki za powstałą szkodę. Dodatkowo może się pojawić odpowiedzialność na gruncie prawa karnego albo problemy z realizacją polisy D&O. Te kwestie zależą jednak od konkretnych okoliczności, rodzaju naruszenia i powstałej szkody.
Co zarząd powinien zrobić już teraz?
Kilka praktycznych podpowiedzi, o czym warto pomyśleć już dziś:
- Zweryfikować podleganie podmiotu pod ustawę (podmiot kluczowy lub ważny) i w razie potrzeby złożyć wniosek o wpis do Wykazu KSC przed 3 października 2026 r.
- Wyznaczyć osobę odpowiedzialną za wykonywanie obowiązków z zakresu cyberbezpieczeństwa oraz wskazać osobę odpowiedzialną za utrzymywanie wymaganych kontaktów z CSIRT, jednocześnie określając zasady raportowania do zarządu.
- Zabezpieczyć budżet na wdrożenie systemu zarządzania bezpieczeństwem informacji i uruchomić działania w tym obszarze oraz wymagane szkolenia.
- Dokumentować decyzje i działania nadzorcze, żeby w razie incydentu można było wykazać należytą staranność zarządu.
Moja wskazówka: jeśli zarząd jest wieloosobowy, pierwszym krokiem powinno być wskazanie osoby odpowiedzialnej za wykonywanie obowiązków kierownika w zakresie cyberbezpieczeństwa w formie uchwały zarządu lub w inny udokumentowany sposób, przyjęty w spółce dla tego typu decyzji. Taki dokument pomoże uporządkować odpowiedzialność w organie wieloosobowym i pozwoli jasno wykazać, komu powierzono wykonywanie określonych obowiązków. Nie zwalnia jednak pozostałych członków organu z obowiązków wynikających z ustawy.
Należy pamiętać że odroczenie kar nie oznacza automatycznie odroczenia obowiązków związanych z wdrożeniem NIS2.
Dwuletni okres odroczenia dotyczy jednego, wąskiego wycinka sankcji z UKSC. Pozostałe obowiązki i rodzaje odpowiedzialności, w tym osobista odpowiedzialność kierownika podmiotu, obowiązują od 3 kwietnia 2026 r. i nie czekają do 2028 r.
Powyższa porada ma charakter ogólny i wprowadzający. Ze względu na limitowaną długość nie omawia wszystkich wyjątków i nie zastępuje analizy Twojej konkretnej sytuacji
