Czy kary z KSC grożą już teraz - okres dostosowawczy i ostrzeżenie przed karą

NIS2 i KSC - Nadzór, kary i inne przepisy

Czy kary z KSC grożą już teraz - okres dostosowawczy i ostrzeżenie przed karą

W skrócie

Czy kary z KSC grożą już teraz? Ustawa nowelizująca z 23 stycznia 2026 r. odracza większość kar pieniężnych do 3 kwietnia 2028 r., ale nie wszystkie. Wyjaśniamy, od kiedy grożą poszczególne kary, ile wynoszą, co poprzedza decyzję o karze i co pozostaje sporne.

Jak to wygląda w praktyce

Spółka handlowa, która jest podmiotem ważnym, nie złożyła wniosku o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykazu KSC) do 3 października 2026 r. Konsultant mówi o karze do 7 mln euro „od zaraz”, a dział prawny, że do 2028 r. nic nie grozi. Zarząd chce wiedzieć, kto ma rację i czy pismo od organu właściwego do spraw cyberbezpieczeństwa oznacza już karę.

Co mówią przepisy

Według art. 35 ustawy nowelizującej kary z art. 73 ust. 1-4, art. 73a-73c i art. 76b „mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy”. Nowelizacja weszła w życie 3 kwietnia 2026 r., więc chodzi o kary po 3 kwietnia 2028 r., co potwierdza Ministerstwo Cyfryzacji (MC) w odpowiedzi 12.1. Wniosek Prezydenta do Trybunału Konstytucyjnego (sprawa K 19/26) nie kwestionuje przepisów o karach.

Art. 35 nie wymienia kary do 100 000 000 zł z art. 73 ust. 5. Organ nakłada ją, gdy naruszenie przepisów powoduje bezpośrednie i poważne cyberzagrożenie m.in. dla obronności, bezpieczeństwa państwa lub życia i zdrowia ludzi albo zagrożenie poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług. MC wskazuje tę karę ekstraordynaryjną jako wyjątek od moratorium (12.1, 12.6). Art. 35 nie obejmuje też środków nadzoru z art. 53: kontroli, pisma z ostrzeżeniem, nakazów, a w podmiocie kluczowym zakazu pełnienia funkcji przez kierownika. Nie przesuwa również obowiązków podmiotów, które spełniały przesłanki 3 kwietnia 2026 r. (art. 33 i 34 ustawy nowelizującej, MC 3.1):

• wniosek o wpis do Wykazu KSC: do 3 października 2026 r.,
• obowiązki z rozdziału 3: do 3 kwietnia 2027 r.,
• pierwszy audyt podmiotu kluczowego: do 3 kwietnia 2028 r., a dawny operator usług kluczowych, który wykonał audyt, według MC zachowuje swój cykl (art. 25 noweli, MC 9.5).

Dwie kwestie przepisy zostawiają otwarte. Pierwsza to pytanie, czy przedział „art. 73 ust. 1-4” obejmuje dodane jednostki 1a-1c, w tym fakultatywną karę za spóźniony wniosek o wpis do Wykazu KSC i za niewykonanie art. 9 (art. 73 ust. 1a). Ogólne zdanie MC o karach po 3 kwietnia 2028 r. przemawia za tym, ale przepis tego nie przesądza, więc pewności nie ma tu ani konsultant, ani dział prawny z przykładu. Druga: art. 35 mówi o chwili nałożenia kary, a nie o czasie naruszenia, i nie rozstrzyga wprost, czy po tej dacie organ może ukarać za wcześniejsze zaniechanie.

Karę nakłada w drodze decyzji organ właściwy do spraw cyberbezpieczeństwa dla sektora (art. 74 ust. 1, MC 12.2). Podmiotowi kluczowemu grozi do 10 000 000 euro albo 2% przychodów z działalności gospodarczej z roku obrotowego poprzedzającego wymierzenie kary, przy czym stosuje się kwotę wyższą, i nie mniej niż 20 000 zł (art. 73 ust. 3). Podmiotowi ważnemu grozi do 7 000 000 euro albo 1,4% takich przychodów i nie mniej niż 15 000 zł, a zwrotu o kwocie wyższej ustawa tu nie powtarza (art. 73 ust. 4). Kierownikowi grozi do 300% wynagrodzenia liczonego jak ekwiwalent za urlop, w podmiocie publicznym do 100%, chyba że ten podmiot podlega ustawie także w innym sektorze (art. 73a ust. 4 i 5). Okresowa kara wynosi od 500 zł do 100 000 zł za każdy dzień opóźnienia w wykonaniu decyzji z art. 53 ust. 5 pkt 2-8 (art. 76b ust. 1).

Przy uzasadnionym podejrzeniu naruszenia organ wysyła pismo z ostrzeżeniem, w którym wskazuje czynności do wykonania i termin (art. 53 ust. 4 i 17, MC 12.7). Przed nałożeniem kary informuje o wstępnych ustaleniach, a podmiot ma 7 dni na stanowisko (art. 53 ust. 13 i 14, MC 12.8), chyba że zachodzi wyjątek z ust. 16. MC pisze, że karę poprzedza ostrzeżenie (12.3), ale ustawa nie robi z niego warunku kary. Organ może odstąpić od kary, gdy waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot zaprzestał naruszeń lub naprawił szkodę (art. 76a ust. 9), a postępowanie może zostać umorzone na zasadach Kodeksu postępowania administracyjnego (MC 12.13).

Co zrobić krok po kroku

1. Harmonogram terminów. Osoba odpowiedzialna za zgodność z KSC zestawia terminy z art. 33 ustawy nowelizującej, które dotyczą podmiotu, a zarząd zatwierdza harmonogram uchwałą z wykonawcami i budżetem.
2. Zaległy wniosek o wpis. Jeśli podmiot nie złożył wniosku do Wykazu KSC, zarząd zleca jego złożenie od razu, bez czekania na rozstrzygnięcie sporu o moratorium. Kroki po przekroczeniu terminu opisujemy w poście firma nie złożyła wniosku o wpis do Wykazu KSC w terminie.
3. Procedura na pismo organu. Wyznaczona osoba niezwłocznie przekazuje zarządowi korespondencję organu, także z systemu S46, w którym nieodebrane pismo uważa się za doręczone po 14 dniach od wysłania (art. 46b ust. 4). Po ostrzeżeniu zarząd zleca wskazane czynności i dokumentuje ich wykonanie w terminie, a na wstępne ustalenia przygotowuje stanowisko w 7 dni.
4. Usługi narażone na karę z art. 73 ust. 5. Osoba odpowiedzialna za zgodność wskazuje w notatce usługi, których zakłócenie mogłoby wywołać skutki opisane w art. 73 ust. 5, a zarząd nadaje ich zabezpieczeniom pierwszeństwo, bo tej kary moratorium nie obejmuje.
5. Opinia prawna. Prawnik spółki ocenia na piśmie zakres art. 35 wobec art. 73 ust. 1a, możliwość kary po 3 kwietnia 2028 r. za wcześniejsze zaniechania i pułap kary dla podmiotu ważnego, a zarząd uwzględnia opinię w harmonogramie.
6. Ślad decyzji. Zarząd dokumentuje decyzje, raporty i działania naprawcze od pierwszego dnia obowiązku, bo czas trwania naruszenia i środki zaradcze wpływają na wymiar kary (art. 53 ust. 12 pkt 2 i 6). Kary osobiste opisujemy w poście kara dla członka zarządu z KSC.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest uporządkowana, gdy zarząd ma uchwalony harmonogram terminów z wykonawcami, wniosek o wpis do Wykazu KSC jest złożony, procedura obsługi pism organu działa, a prawnik ocenił sporne punkty moratorium. Na kontrolę zachowaj uchwałę z harmonogramem, potwierdzenie złożenia wniosku, korespondencję z organem z datami odbioru i odpowiedzi oraz protokoły decyzji.

Podstawa prawna i źródła

• art. 46b, art. 53 ust. 4, 12-14, 16 i 17, art. 73, art. 73a, art. 74 ust. 1, art. 76a ust. 1 i 9 oraz art. 76b ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 25, art. 33 ust. 1-3, art. 34 ust. 3 i art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne (Dz. Urz. MC 2026 poz. 7) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 3.1, 9.5, 12.1-12.8 i 12.13 (źródło)
• Trybunał Konstytucyjny, sprawa K 19/26 „Zmiana ustawy o krajowym systemie cyberbezpieczeństwa” (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC