Kara dla członka zarządu z KSC - kiedy grozi osobiście i jak się przed nią zabezpieczyć

NIS2 i KSC - Zarząd, odpowiedzialność i ludzie

Kara dla członka zarządu z KSC - kiedy grozi osobiście i jak się przed nią zabezpieczyć

W skrócie

Kara dla zarządu z KSC to kara pieniężna, którą organ może nałożyć osobiście na kierownika podmiotu, czyli w spółce na członka zarządu, niezależnie od kary dla samej spółki. Wyjaśniamy, za co grozi, do jakiej kwoty i od kiedy, czym różni się od zakazu pełnienia funkcji i jakie dowody zmniejszają ryzyko jej nałożenia.

Jak to wygląda w praktyce

Członek zarządu spółki logistycznej, która jest podmiotem ważnym, dostaje od działu prawnego notatkę, że za zaniedbania w cyberbezpieczeństwie może mu grozić kara do 300% wynagrodzenia. Pyta, czy odpowiada za każdy błąd działu IT, czy kara jest automatyczna, od jakiej kwoty zostanie policzona i co zrobić, żeby jej nie dostać.

Co mówią przepisy

Art. 73a ust. 1 pozwala ukarać kierownika podmiotu kluczowego lub podmiotu ważnego, który nie wykonuje obowiązków wymienionych w 14 punktach tego przepisu. Dotyczą one Wykazu podmiotów kluczowych i podmiotów ważnych, systemu zarządzania bezpieczeństwem informacji (SZBI), zadań kierownika, szkolenia, informacji z Krajowego Rejestru Karnego, osób do kontaktu, kanału zgłoszeń dla użytkowników, dokumentacji, incydentów, struktur z art. 14 i audytu. Warunek brzmi: „jeżeli przemawia za tym czas, zakres lub charakter naruszenia”, więc kara jest fakultatywna. Może dotyczyć także zaniechania jednorazowego (ust. 2). Ministerstwo Cyfryzacji (MC) wymienia te przesłanki w odpowiedzi 12.10. Ust. 3 pozwala też, niezależnie od kary dla podmiotu, ukarać kierownika „za niewykonanie obowiązków wskazanych w tym przepisie”, czyli w art. 73 ust. 1 (obowiązki podmiotu, np. korzystanie z systemu S46 przy incydentach). MC tego ustępu nie omawia, więc jego zasięg oceń z prawnikiem.

Górna granica to 300% otrzymywanego przez ukaranego wynagrodzenia, liczonego według zasad ustalania ekwiwalentu pieniężnego za urlop (art. 73a ust. 4). W podmiocie publicznym limit wynosi 100%, a 300%, gdy podmiot publiczny podlega ustawie także w innym sektorze z załącznika nr 1 lub 2 (ust. 5). Przepis nie mówi wprost, za jaki okres liczy się wynagrodzenie, dlatego nie podajemy przykładowych kwot. O nałożeniu kary i jej wysokości organ decyduje według kryteriów z art. 53 ust. 12, m.in. wagi i czasu trwania naruszenia, umyślności, środków ograniczających szkody i współpracy z organem, oraz możliwości finansowych kierownika (art. 76a ust. 1, MC 12.11). Organ może odstąpić od kary, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a kierownik zaprzestał naruszania prawa lub naprawił szkodę (art. 76a ust. 9, MC 12.12). Karę nakłada decyzją organ właściwy do spraw cyberbezpieczeństwa dla sektora (art. 74 ust. 1).

Kary z art. 73a „mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy” (art. 35 ustawy z 23 stycznia 2026 r.), czyli po 3 kwietnia 2028 r. (MC 12.1). Moratorium nie zwalnia z obowiązków: podmioty, które spełniały przesłanki 3 kwietnia 2026 r., wdrażają obowiązki z rozdziału 3 do 3 kwietnia 2027 r. (art. 33 ust. 1). Czy później organ może ukarać za zaniechanie z wcześniejszego okresu, ustawa wprost nie rozstrzyga. Terminy i sporne punkty moratorium rozpisujemy w poście czy kary z KSC grożą już teraz.

Osobnym środkiem jest zakaz pełnienia funkcji zarządczych. Organ może go zastosować tylko wobec kierownika podmiotu kluczowego, który nie jest podmiotem publicznym, gdy podmiot nie wykonał nakazu albo decyzji z art. 53 ust. 5 (art. 53 ust. 9 pkt 6 i ust. 10). Zakaz trwa najwyżej 14 dni od doręczenia decyzji i może być ponawiany do usunięcia uchybień (art. 53e ust. 2 i 4), a informacja z imieniem i nazwiskiem trafia do Biuletynu Informacji Publicznej organu (art. 53e ust. 11). Art. 35 dotyczy tylko kar pieniężnych, więc tego środka nie obejmuje. Wobec podmiotu ważnego zakazu stosować nie można, bo art. 53 ust. 17 nie odsyła do ust. 9.

Co zrobić krok po kroku

1. Uchwała o osobie odpowiedzialnej. Zarząd wskazuje członka odpowiedzialnego za obowiązki z ustawy o KSC i zastępcę (art. 8c ust. 2). Bez takiej uchwały odpowiedzialność ponoszą wszyscy członkowie zarządu. Kogo ustawa uznaje za kierownika, opisujemy w poście kierownik podmiotu w KSC przy kilkuosobowym zarządzie.
2. Mapa obowiązków z art. 73a. Osoba prowadząca SZBI przygotowuje tabelę obowiązków z art. 73a ust. 1 i z art. 73 ust. 1 (odesłanie z art. 73a ust. 3): obowiązek, wykonawca, termin, dowód wykonania. Zarząd zatwierdza ją uchwałą i przegląda co najmniej raz w roku.
3. Decyzje z art. 8d w protokołach. Uchwały o zakresie SZBI, akceptacji ryzyka, budżecie i przydziale zadań zarząd podejmuje z datą i listą materiałów, na których się oparł. Taki protokół dokumentuje wykonanie zadań z art. 8d.
4. Szkolenie każdego członka zarządu. Sekretariat zarządu planuje szkolenie w każdym roku kalendarzowym i zbiera zaświadczenia albo listy obecności (art. 8e ust. 1 i 3). Brak szkolenia to samodzielna przesłanka kary (art. 73a ust. 1 pkt 4).
5. Raport i szybka naprawa. Osoba prowadząca SZBI raportuje zarządowi w stałym cyklu i od razu przy incydencie poważnym. Gdy wykryje naruszenie, zarząd uchwala plan jego usunięcia z terminem. Jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, zaprzestanie naruszania albo naprawienie szkody pozwala organowi odstąpić od kary (art. 76a ust. 9). Środki ograniczające szkody i współpraca z organem wpływają też na jej wymiar (art. 53 ust. 12 pkt 6 i 7).
6. Reakcja na pismo organu. Po piśmie z ostrzeżeniem (art. 53 ust. 4) zarząd zleca wskazane czynności i dokumentuje ich wykonanie w terminie, a na informację o wstępnych ustaleniach przedstawia stanowisko w 7 dni (art. 53 ust. 13 i 14). Przy nakazie albo decyzji z art. 53 ust. 5 zarząd od razu planuje wykonanie w terminie i decyduje o skardze do sądu administracyjnego (art. 53 ust. 7, 8 i 17). W podmiocie kluczowym skarga wstrzymuje do czasu rozstrzygnięcia środki z ust. 9, w tym zakaz pełnienia funkcji (art. 53 ust. 11), ale ten przepis nie mówi o wstrzymaniu samego nakazu.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest uporządkowana, gdy każdy obowiązek z art. 73a ust. 1 i z art. 73 ust. 1 ma wykonawcę, termin i dowód wykonania. Na kontrolę zachowaj uchwałę o osobie odpowiedzialnej, mapę obowiązków z datą przeglądu, protokoły z załącznikami, rejestr szkoleń, korespondencję z organem i plan usuwania uchybień z datami wykonania. Ustawa nie zwalnia z kary za samą dokumentację, ale te dowody pokazują czas, zakres i charakter ewentualnego naruszenia, od których art. 73a uzależnia karę.

Podstawa prawna i źródła

• art. 73 ust. 1, art. 73a, art. 74 ust. 1 oraz art. 76a ust. 1, 3 i 9 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 8c, art. 8d i art. 8e ustawy o KSC
• art. 53 ust. 4, 5, 7-14 i 17 oraz art. 53e ust. 2, 4 i 11 ustawy o KSC
• art. 33 ust. 1 i art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 4.4, 12.1, 12.9, 12.10, 12.11 i 12.12 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC