Kto jest kierownikiem podmiotu w KSC, gdy spółka ma kilkuosobowy zarząd

NIS2 i KSC - Zarząd, odpowiedzialność i ludzie

Kto jest kierownikiem podmiotu w KSC, gdy spółka ma kilkuosobowy zarząd

W skrócie

Kierownik podmiotu w KSC to pojęcie, od którego zależy, kto w spółce odpowiada za obowiązki z ustawy o krajowym systemie cyberbezpieczeństwa, kto przechodzi coroczne szkolenie i komu grozi kara osobista. Przy kilkuosobowym zarządzie odpowiedź nie jest oczywista. Wyjaśniamy, co mówią art. 2 pkt 8a i art. 8c ustawy o KSC oraz Ministerstwo Cyfryzacji (MC), i rozpisujemy uchwały, które porządkują ten podział.

Jak to wygląda w praktyce

Trzyosobowy zarząd spółki dystrybucyjnej, która jest podmiotem ważnym, dostaje do zatwierdzenia projekt polityki systemu zarządzania bezpieczeństwem informacji (SZBI). Prezes pyta, czy obowiązki z ustawy o KSC spoczywają na nim, na całym zarządzie, czy na członku zarządu, który nadzoruje IT. Członek zarządu do spraw finansów chce wiedzieć, czy odpowiada za decyzje, przy których go nie było, a prokurent, czy ma się zapisać na szkolenie z art. 8e. Takie pytania wracają przy pierwszej uchwale o SZBI, przy planowaniu szkolenia zarządu i przy każdej zmianie składu zarządu.

Co mówią przepisy

Ustawa o KSC nie definiuje kierownika samodzielnie, tylko odsyła do innej ustawy. Kierownikiem podmiotu kluczowego lub podmiotu ważnego jest kierownik jednostki w rozumieniu art. 3 ust. 1 pkt 6 ustawy o rachunkowości kierujący tym podmiotem, a w jednostce sektora finansów publicznych kierownik tej jednostki (art. 2 pkt 8a ustawy o KSC). Ustawa o rachunkowości wskazuje członka zarządu lub innego organu zarządzającego, „a jeżeli organ jest wieloosobowy - członków tego organu, z wyłączeniem pełnomocników ustanowionych przez jednostkę”. W spółce jawnej i cywilnej są to wspólnicy prowadzący sprawy spółki, w partnerskiej wspólnicy prowadzący sprawy albo zarząd, w komandytowej i komandytowo-akcyjnej komplementariusze prowadzący sprawy, w jednoosobowej działalności przedsiębiorca. Kierownikiem jest też likwidator, syndyk, zarządca w postępowaniu restrukturyzacyjnym i zarządca sukcesyjny. Rady nadzorczej ani prokurenta definicja nie wymienia.

W spółce z kilkuosobowym zarządem kierownikiem są więc wszyscy członkowie zarządu. Art. 8c ust. 2 dodaje, że gdy kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu. MC wyjaśnia, że w ramach organu wieloosobowego można wyznaczyć więcej niż jedną taką osobę (odpowiedź 4.4). Ustawa nie określa formy wskazania ani tego, jak dokładnie rozkłada się odpowiedzialność po nim. Kierownik odpowiada także za obowiązki powierzone innej osobie za jej zgodą (art. 8c ust. 3).

Wskazanie nie skraca listy osób do szkolenia. Art. 8e ust. 1 obejmuje kierownika oraz osobę, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, więc przy wieloosobowym zarządzie szkolenie przechodzi każdy jego członek. To wniosek z połączenia art. 8e, art. 2 pkt 8a i ustawy o rachunkowości, bo ustawa nie mówi tego jednym zdaniem. Karę z art. 73a ustawa kieruje do kierownika, a jej górną granicę liczy od wynagrodzenia ukaranego (ust. 4), czyli indywidualnie. Którego członka zarządu organ ukarze, gdy osobę odpowiedzialną wskazano, przepis wprost nie rozstrzyga. Przesłanki i wysokość tej kary opisujemy w poście kara dla członka zarządu z KSC.

W samorządowej jednostce budżetowej kierownikiem podmiotu jest kierownik tej jednostki, np. jej dyrektor (MC 4.5). Jeżeli obowiązki podmiotu publicznego realizuje jednostka wyznaczona na podstawie art. 16e, podmiot obsługiwany z nią współpracuje, m.in. przez udział kierownika w szkoleniach, które prowadzi (art. 16f). Według MC jednostka wyznaczona odpowiada za przejęte zadania (4.6), a odpowiedzialność kierownika podmiotu przechodzi na kierownika jednostki wyznaczonej, gdy przy wyznaczeniu przeniesiono na nią także zadania kierownika podmiotu (3.30, 14.15). Ustawa tego wprost nie rozstrzyga, a art. 8c ust. 3 utrzymuje odpowiedzialność kierownika także za obowiązki powierzone innej osobie, dlatego zakres przeniesienia warto zapisać wprost w dokumencie wyznaczenia.

Co zrobić krok po kroku

1. Lista kierowników. Prawnik spółki albo sekretariat zarządu spisuje wszystkich członków zarządu według aktualnego składu organu jako kierowników podmiotu w rozumieniu art. 2 pkt 8a. Pełnomocników, prokurentów i członków rady nadzorczej na liście nie ma. Lista trafia do dokumentacji SZBI.
2. Uchwała o osobie odpowiedzialnej. Zarząd podejmuje uchwałę, w której wskazuje członka zarządu odpowiedzialnego za obowiązki z ustawy o KSC (art. 8c ust. 2) i zastępcę na czas jego nieobecności. W uchwale wymienia zakres: przygotowanie decyzji z art. 8d, odbiór raportów, kontakt z osobą prowadzącą SZBI. Treść dostosuj do regulaminu zarządu i uzgodnij z prawnikiem, bo ustawa nie określa formy wskazania.
3. Decyzje z art. 8d na posiedzeniu. Uchwały o zakresie SZBI, akceptacji ryzyka i środkach finansowych (art. 8d pkt 1-2) zarząd podejmuje na podstawie materiału przygotowanego przez wskazanego członka. Protokół zapisuje decyzję, datę i dokumenty, na których się oparto.
4. Powierzenie zadań na piśmie. Jeśli obowiązki kierownika w zakresie cyberbezpieczeństwa przejmuje osoba spoza zarządu, np. dyrektor IT, zarząd powierza je dokumentem z jej podpisem, bo art. 8c ust. 3 mówi o powierzeniu „za jej zgodą”. Ta osoba także przechodzi szkolenie z art. 8e ust. 1, a zarząd nadal odpowiada. Granice takiego powierzenia przy zewnętrznym wykonawcy opisuje artykuł outsourcing IT a odpowiedzialność zarządu.
5. Plan szkoleń dla całego zarządu. Zarząd przyjmuje plan, w którym każdy członek zarządu i każda osoba z powierzonymi obowiązkami przechodzi szkolenie w każdym roku kalendarzowym, z udokumentowanym udziałem (art. 8e ust. 1 i 3). Termin pierwszego szkolenia rozpisujemy w poście pierwsze szkolenie zarządu z KSC.
6. Raport w stałym cyklu. Wskazany członek zarządu przedstawia zarządowi raport o stanie SZBI, incydentach i opóźnionych zadaniach, np. co kwartał. Decyzje podjęte po raporcie trafiają do protokołu jako ślad nadzoru z art. 8d pkt 1 i 3.
7. Zmiana składu zarządu. Przy powołaniu albo odwołaniu członka zarządu sekretariat od razu aktualizuje listę kierowników, uchwałę o osobie odpowiedzialnej i plan szkoleń.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy w dokumentacji SZBI są:

• aktualna lista członków zarządu jako kierowników podmiotu,
• uchwała wskazująca osobę odpowiedzialną i zastępcę wraz z zakresem zadań,
• dokumenty powierzenia obowiązków osobom spoza zarządu z ich podpisem,
• plan szkoleń obejmujący wszystkich członków zarządu,
• protokoły posiedzeń z raportami i decyzjami z art. 8d.

Organ właściwy do spraw cyberbezpieczeństwa może wystąpić o dowody realizacji wymogów SZBI (art. 53 ust. 2 pkt 6, wobec podmiotu ważnego w związku z ust. 17), a ten zestaw pokazuje, kto decydował i kto nadzorował. Po każdej zmianie składu zarządu sprawdź, czy uchwała i plan szkoleń wymieniają właściwe osoby.

Podstawa prawna i źródła

• art. 2 pkt 8a, art. 8c, art. 8d i art. 8e ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 3 ust. 1 pkt 6 ustawy z dnia 29 września 1994 r. o rachunkowości (tekst ujednolicony, Kancelaria Sejmu) (źródło)
• art. 16e, art. 16f, art. 53 ust. 2 pkt 6 i ust. 17 oraz art. 73a ustawy o KSC
• art. 33 ust. 1 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 3.30, 4.1, 4.2, 4.4, 4.5, 4.6 i 14.15 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC