Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 roku. Wielu przedsiębiorców słyszało, że ustawodawca dał im dwa lata „bez kar” i na tej podstawie odkłada temat na później. To błędne przekonanie może kosztować członka zarządu znacznie więcej niż sama kara administracyjna.
Czy dwuletnie moratorium na kary z UKSC oznacza, że zarząd nic nie ryzykuje do 2028 r.?
To nie jest takie proste. Dwuletni okres odroczenia dotyczy możliwości nakładania określonych kar pieniężnych przewidzianych w UKSC m.in. do 10 milionów euro lub 2 procent przychodu dla podmiotu kluczowego i do 7 milionów euro lub 1,4 procent przychodu dla podmiotu ważnego. Moratorium obejmuje też osobistą karę pieniężną dla kierownika podmiotu z art. 73a UKSC, w wysokości do 300% jego wynagrodzenia w podmiocie prywatnym lub do 100% w podmiocie publicznym.
Co nie podlega odroczeniu na gruncie UKSC?
Art. 35 ustawy nowelizującej odracza do 3 kwietnia 2028 r. możliwość ich nałożenia, ale nie odracza samych obowiązków, środków nadzorczych czy innych rodzajów odpowiedzialności.
W mocy pozostaje kara kwalifikowana z art. 73 ust. 5 UKSC do 100 milionów złotych za szczególnie poważne naruszenia. Także odroczeniu nie podlegają środki nadzorcze nakładane przez organ właściwy do spraw cyberbezpieczeństwa (np. wydanie ostrzeżenia, nakaz konkretnego działania, wstrzymanie koncesji czy czasowy zakaz pełnienia funkcji zarządczych przez kierownika podmiotu kluczowego z sektora prywatnego).
Odroczeniu nie podlegają także terminy wdrożenia większości obowiązków, w tym np. wdrożenia systemu zarządzania bezpieczeństwem informacji, które przypada co do zasady na 3 kwietnia 2027 r., ani złożenia wniosku o wpis do Wykazu KSC, który trzeba złożyć już do 3 października 2026 r.
W skrócie: do 3 kwietnia 2028 r. odroczono możliwość nałożenia określonych kar pieniężnych, ale nie odroczono obowiązków wynikających z UKSC ani odpowiedzialności za ich wykonywanie.
Za co osobiście odpowiada członek zarządu na podstawie UKSC?
Art. 8c UKSC wprost przypisuje odpowiedzialność za realizację obowiązków w zakresie cyberbezpieczeństwa kierownikowi podmiotu, a powierzenie tych zadań innej osobie, choćby za jej zgodą, nie zwalnia go z tej odpowiedzialności. Jeżeli zarząd jest wieloosobowy i nikt konkretny nie został wyznaczony jako odpowiedzialny, odpowiadają wszyscy jego członkowie. Niezależnie od sankcji przewidzianych w UKSC, w określonych okolicznościach mogą pojawić się również inne podstawy odpowiedzialności członka zarządu – m.in. wobec spółki lub na gruncie prawa karnego, albo problemy z realizacją polisy D&O. Ich zastosowanie zależy jednak od konkretnych okoliczności, rodzaju naruszenia i powstałej szkody.
Co zarząd powinien zrobić już teraz?
Kilka praktycznych podpowiedzi, o czym warto pomyśleć już dziś:
- Zweryfikować podleganie podmiotu pod ustawę i w razie potrzeby złożyć wniosek o wpis do Wykazu KSC przed 3 października 2026 r.
- Wyznaczyć osobę odpowiedzialną za wykonywanie obowiązków z zakresu cyberbezpieczeństwa oraz wskazać osobę odpowiedzialną za utrzymywanie wymaganych kontaktów z CSIRT, jednocześnie określając zasady raportowania do zarządu.
- Zabezpieczyć budżet na wdrożenie systemu zarządzania bezpieczeństwem informacji i uruchomić działania w tym obszarze oraz wymagane szkolenia.
- Dokumentować decyzje i działania nadzorcze, żeby w razie incydentu można było wykazać należytą staranność zarządu.
Moja wskazówka: jeśli zarząd jest wieloosobowy, pierwszym krokiem powinno być wskazanie osoby odpowiedzialnej za cyberbezpieczeństwo w formie uchwały zarządu lub w inny udokumentowany sposób, przyjęty w spółce dla tego typu decyzji. Taki dokument pomoże uporządkować odpowiedzialność w organie wieloosobowym i pozwoli jasno wykazać, komu powierzono wykonywanie określonych obowiązków. Nie zwalnia jednak pozostałych członków organu z obowiązków wynikających z ustawy.
Należy pamiętać że odroczenie kar nie oznacza automatycznie odroczenia obowiązków związanych z wdrożeniem NIS2.
Dwuletni okres odroczenia dotyczy jednego, wąskiego wycinka sankcji z UKSC. Pozostałe obowiązki i rodzaje odpowiedzialności, w tym osobista odpowiedzialność kierownika podmiotu, obowiązują od 3 kwietnia 2026 r. i nie czekają do 2028 r.
Powyższa porada ma charakter ogólny i wprowadzający. Ze względu na limitowaną długość nie omawia wszystkich wyjątków i nie zastępuje analizy Twojej konkretnej sytuacji
