Pełnomocnik ds. SZBI i osoba do kontaktu w KSC - czy trzeba ich powołać i kto może nimi być

NIS2 i KSC - Zarząd, odpowiedzialność i ludzie

Pełnomocnik ds. SZBI i osoba do kontaktu w KSC - czy trzeba ich powołać i kto może nimi być

W skrócie

Pełnomocnik KSC do spraw SZBI i osoba do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa to dwie role, które łatwo pomylić albo połączyć w jednej osobie bez sprawdzenia skutków. Wyjaśniamy, która z nich jest obowiązkowa, kto może je pełnić, jakie dane trafiają do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykazu KSC) i jakie decyzje podjąć.

Jak to wygląda w praktyce

Spółka usługowa zatrudniająca 120 osób, podmiot ważny, porządkuje dane w Wykazie KSC, bo jedna z wpisanych osób do kontaktu odchodzi z firmy. Dyrektor IT proponuje wpisać w jej miejsce prezesa, a konsultant przysyła wzór zarządzenia o powołaniu pełnomocnika do spraw SZBI jako dokumentu obowiązkowego. Zarząd pyta, czy pełnomocnik jest wymagany, czy osobą do kontaktu może być prezes albo pracownik spółki dominującej z grupy i w jakim terminie zgłosić zmianę.

Co mówią przepisy

Ustawa o KSC nie posługuje się pojęciem pełnomocnika do spraw SZBI. Słowem „Pełnomocnik” określa Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa (art. 4 pkt 19). Ministerstwo Cyfryzacji (MC) wyjaśnia, że ustawa nie nakłada obowiązku powołania pełnomocnika do spraw SZBI i zostawia kierownikowi swobodę organizacji zadań, bo to kierownik przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie (odpowiedź 3.44, art. 8d pkt 3). Jeśli kierownik go powoła, powinna to być osoba, którą łączy z podmiotem stosunek prawny umożliwiający wydawanie jej poleceń i zapewniający odpowiedzialność za zadania. Zadania z art. 8 i 9-13 może też wykonywać, w całości albo w części, dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14, MC 3.19). Nie jest nim firma, która tylko instaluje, utrzymuje albo administruje systemami (art. 2 pkt 4i i 4j). Umowa z takim dostawcą powinna obejmować wymogi bezpieczeństwa i odpowiedzialność za zadania (MC 3.44).

Ustawa zna natomiast osobę, „której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa”. Jeżeli pełnomocnik dostaje takie obowiązki, przechodzi szkolenie raz w roku kalendarzowym (art. 8e ust. 1), a kierownik nadal odpowiada (art. 8c ust. 3). Pełnomocnik nie staje się kierownikiem podmiotu, bo kierownikiem są członkowie organu zarządzającego, a pełnomocników ustanowionych przez jednostkę definicja wprost wyłącza (art. 2 pkt 8a ustawy o KSC, art. 3 ust. 1 pkt 6 ustawy o rachunkowości). Jeśli realizuje zadania z art. 8, przed ich rozpoczęciem przedstawia informację z Krajowego Rejestru Karnego (KRK) o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1).

Osoby do kontaktu są obowiązkowe. Podmiot wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1), a mikro- i mały przedsiębiorca oraz podmiot ważny będący podmiotem publicznym co najmniej jedną (art. 9 ust. 2 i 3). Wykaz KSC zawiera ich imię i nazwisko, numer telefonu służbowego i adres służbowej poczty elektronicznej, a dla administratora konta podmiotu w systemie S46 także numer PESEL albo identyfikator środka identyfikacji elektronicznej (art. 7 ust. 2 pkt 11).

Według MC osobą do kontaktu może być każda osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia, bez wymogu wykształcenia (3.18). Może to być też pracownik innej spółki z grupy, jeżeli umowa między spółkami i jego stosunek prawny pozwalają nałożyć na niego ten obowiązek z zachowaniem rozliczalności i poufności. Jedna osoba może pełnić tę rolę w kilku spółkach, jeżeli z każdą łączy ją stosunek prawny, np. umowa o pracę, umowa cywilnoprawna albo umowa z osobą prowadzącą działalność gospodarczą (2.60). Administrator konta w systemie S46 musi być związany z podmiotem stosunkiem prawnym, który pozwala nałożyć na niego obowiązki, w tym poufności (2.61). Osobą do kontaktu może być też kierownik, np. prezes, przy czym MC każe wziąć pod uwagę efektywność i dostępność tej osoby (3.43). Za niewyznaczenie osób do kontaktu grozi kara kierownikowi (art. 73a ust. 1 pkt 6), możliwa po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej).

Co zrobić krok po kroku

1. Decyzja o pełnomocniku. Zarząd decyduje uchwałą, czy powołuje pełnomocnika do spraw SZBI. Jeśli tak, uchwała określa zakres zadań, podległość i stosunek prawny tej osoby z podmiotem (MC 3.44). Jeśli nie, uchwała przydziela zadania SZBI konkretnym osobom albo komórce (art. 8d pkt 3).
2. Zakres a obowiązki kierownika. Gdy uchwała przekazuje pełnomocnikowi obowiązki kierownika w zakresie cyberbezpieczeństwa, pełnomocnik potwierdza zgodę podpisem (art. 8c ust. 3) i trafia do planu szkoleń z art. 8e. Przed zadaniami z art. 8 przedstawia informację z KRK (art. 8f ust. 1), co opisujemy w poście weryfikacja niekaralności pracowników w KSC.
3. Wyznaczenie osób do kontaktu. Zarząd wyznacza osoby do kontaktu w liczbie z art. 9, a u mikro- i małego przedsiębiorcy rozważa drugą osobę na czas urlopu lub choroby pierwszej. Przy każdej osobie odnotowuje podstawę współpracy: umowę o pracę, umowę cywilnoprawną albo umowę między spółkami z grupy (MC 3.18, 2.60).
4. Administrator konta w S46. Zarząd wskazuje, kto będzie administratorem konta podmiotu w systemie S46, i sprawdza, czy umowa z tą osobą obejmuje obowiązek poufności (MC 2.61).
5. Wpis i aktualizacja w Wykazie KSC. Osoba upoważniona do składania wniosków wpisuje dane osób do kontaktu, a przy każdej zmianie, np. odejściu jednej z nich, składa wniosek o zmianę wpisu w 14 dni (art. 7c ust. 3, MC 2.19). Co robić po wpisie i jak działa konto w systemie, opisuje artykuł firma w Wykazie KSC i system S46.
6. Procedura kontaktu. Osoba prowadząca SZBI zapisuje w procedurze, jak osoby do kontaktu przekazują zarządowi i zespołowi informacje od zespołów reagowania na incydenty (CSIRT) i od organu właściwego do spraw cyberbezpieczeństwa, wraz z zastępstwami i numerami dyżurnymi.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy zarząd ma uchwałę o pełnomocniku albo o przydziale zadań SZBI bez pełnomocnika, a osoby do kontaktu są wyznaczone w liczbie wymaganej przez art. 9 i każda ma udokumentowaną podstawę współpracy. Dane w Wykazie KSC muszą się przy tym zgadzać ze stanem faktycznym. Na kontrolę zachowaj uchwały, zgody osób z powierzonymi obowiązkami kierownika, umowę z klauzulą poufności dla administratora konta w S46, potwierdzenia wniosków o zmianę wpisu z datami oraz procedurę kontaktu. Raz na kwartał porównaj dane w Wykazie z listą osób i umów, bo nieaktualne dane bez wniosku w 14 dni oznaczają niewykonanie art. 7c ust. 3.

Podstawa prawna i źródła

• art. 7 ust. 2 pkt 11, art. 7c ust. 3, art. 9 ust. 1-3 i art. 14 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 2 pkt 4i i 4j, art. 2 pkt 8a, art. 4 pkt 19, art. 8c ust. 3, art. 8d pkt 3, art. 8e ust. 1, art. 8f ust. 1 i art. 73a ust. 1 pkt 6 ustawy o KSC
• art. 3 ust. 1 pkt 6 ustawy z dnia 29 września 1994 r. o rachunkowości (tekst ujednolicony, Kancelaria Sejmu) (źródło)
• art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 2.19, 2.60, 2.61, 3.17, 3.18, 3.19, 3.43 i 3.44 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC