Weryfikacja niekaralności pracowników w KSC - kogo sprawdzić i jak to zrobić zgodnie z RODO

NIS2 i KSC - Zarząd, odpowiedzialność i ludzie

Weryfikacja niekaralności pracowników w KSC - kogo sprawdzić i jak to zrobić zgodnie z RODO

W skrócie

Niekaralność pracowników w KSC to obowiązek z art. 8f ustawy o krajowym systemie cyberbezpieczeństwa, który obejmuje tylko część personelu, ale wymaga przetwarzania danych o wyrokach skazujących. Wyjaśniamy, kogo sprawdzić i kiedy, kto przyjmuje informację z Krajowego Rejestru Karnego (KRK), co z ludźmi dostawców i jak pogodzić ten obowiązek z RODO.

Jak to wygląda w praktyce

Kierowniczka kadr w spółce wodociągowej, która jest podmiotem kluczowym, dostaje polecenie „zebrać zaświadczenia o niekaralności od wszystkich w IT”. Nie wie, czy chodzi też o helpdesk, o administratora na umowie zlecenia i o pracowników firmy zewnętrznej, która prowadzi monitoring. Inspektor ochrony danych pyta o podstawę przetwarzania, a zarząd o to, czy rekrutacje otwarte przed 3 kwietnia 2027 r. mają już obejmować ten wymóg.

Co mówią przepisy

Przed rozpoczęciem realizacji zadań z art. 8 (system zarządzania bezpieczeństwem informacji, SZBI) lub art. 11 (obsługa i zgłaszanie incydentów) osoba, która ma je realizować, przedstawia podmiotowi informację z KRK „stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji”. Kierownik podmiotu dopuszcza ją do zadań po otrzymaniu tej informacji (art. 8f ust. 1), a osoba prawomocnie skazana za takie przestępstwo nie może ich wykonywać (ust. 4). Ministerstwo Cyfryzacji (MC) wskazuje przestępstwa z rozdziału XXXIII Kodeksu karnego, art. 265-269b, m.in. ujawnienie informacji niejawnych, nielegalne uzyskanie informacji i sabotaż komputerowy (odpowiedź 3.10).

Według MC weryfikacja dotyczy obecnego i przyszłego personelu (3.29), pracowników i osób na umowach cywilnoprawnych zawartych bezpośrednio z podmiotem, jeżeli realizują zadania z art. 8 lub 11, także w jednostkach samorządowych (3.10, 3.12, 3.48). Nie obejmuje pracowników ani współpracowników dostawców i podwykonawców, wobec których bezpieczeństwo personelu zapewnia się przez zarządzanie ryzykiem łańcucha dostaw i postanowienia umowne (3.48). Ustawa określa krąg osób przez zadania, a nie stanowiska, więc listę ról ustala sam podmiot.

Wymóg uznaje się za spełniony, gdy osoba ma ważne poświadczenie bezpieczeństwa do informacji niejawnych o klauzuli „poufne” lub wyższej (ust. 3, MC 3.11). Do ponownego przedstawienia informacji podmiot wzywa wtedy, gdy poweźmie uzasadnione podejrzenie skazania za takie przestępstwo (ust. 2). MC dodaje, że anonim albo zgłoszenie sygnalisty może nie wystarczyć, a cykliczne wzywanie nie jest uzasadnione (3.10). Za weryfikację odpowiada kierownik, ale może ją powierzyć innej osobie, która nie staje się przez to kierownikiem (MC 4.7). Podmioty, które spełniały przesłanki 3 kwietnia 2026 r., wdrażają obowiązki z rozdziału 3, w tym art. 8f, do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). MC dopuszcza zbieranie tych danych już w okresie dostosowawczym, także w otwartych rekrutacjach (3.28).

Informacja z KRK to dane dotyczące wyroków skazujących. Art. 10 RODO pozwala je przetwarzać tylko pod nadzorem władz publicznych albo gdy zezwala na to prawo Unii lub państwa członkowskiego przewidujące odpowiednie zabezpieczenia. W naszej ocenie takim przepisem jest art. 8f ustawy o KSC, a podstawą przetwarzania jest obowiązek prawny administratora (art. 6 ust. 1 lit. c RODO). MC wskazuje, że informacje trafiają do dokumentacji pracowniczej albo do dokumentacji umowy i muszą być należycie chronione (3.10). Zasady ograniczenia celu, minimalizacji danych i ograniczenia przechowywania (art. 5 ust. 1 lit. b, c i e RODO) oznaczają, że informację pobierasz tylko od osób z listy ról, używasz jej do decyzji o dopuszczeniu i nie trzymasz jej dłużej, niż to niezbędne. Ustawa o KSC okresu przechowywania nie określa.

Co zrobić krok po kroku

1. Lista ról. Osoba prowadząca SZBI przygotowuje, a zarząd zatwierdza listę ról, które realizują zadania z art. 8 lub 11, np. osoba odpowiedzialna za SZBI, osoby szacujące ryzyko, administratorzy wdrażający zabezpieczenia oraz osoby obsługujące i zgłaszające incydenty. Dobór ról to decyzja podmiotu, a lista jest załącznikiem do dokumentacji SZBI.
2. Upoważnienie do weryfikacji. Kierownik powierza przyjmowanie informacji z KRK konkretnej osobie, np. z kadr (MC 4.7), a dostęp do tych danych ogranicza do niej i do osoby, która decyduje o dopuszczeniu.
3. Obecny personel. Kadry wzywają osoby z listy do przedstawienia informacji z KRK do 3 kwietnia 2027 r., a w podmiocie, który spełnił przesłanki później, przed upływem 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1). Od osób z ważnym poświadczeniem bezpieczeństwa „poufne” lub wyższym przyjmują potwierdzenie jego ważności zamiast informacji z KRK (art. 8f ust. 3).
4. Rekrutacja i zmiana roli. Ogłoszenie i umowa na rolę z listy wskazują wymóg z art. 8f, a dopuszczenie do zadań następuje po przedstawieniu informacji. To samo dotyczy osoby przechodzącej do takiej roli z innego stanowiska i współpracownika na umowie cywilnoprawnej zawartej bezpośrednio z podmiotem (MC 3.10, 3.48).
5. Rejestr dopuszczeń. Upoważniona osoba zapisuje imię i nazwisko, rolę, datę informacji z KRK, wynik w zakresie art. 8f i datę dopuszczenia. Pozostała treść informacji z KRK nie jest do tej decyzji potrzebna.
6. Umowy z dostawcami. Dział zakupów wpisuje do umów z dostawcami usług IT i bezpieczeństwa wymagania wobec ich personelu z dostępem do systemów jako element zarządzania ryzykiem łańcucha dostaw (art. 8 ust. 1 pkt 2 lit. e, MC 3.48). Pytania do dostawców zebraliśmy w artykule KSC a dostawcy: o co zapytać firmę IT.
7. RODO i ponowne wezwanie. Osoba odpowiedzialna za ochronę danych ujmuje ten proces w rejestrze czynności przetwarzania, bo zwolnienie firm poniżej 250 osób nie obejmuje danych z art. 10 RODO (art. 30 ust. 5 RODO), i ustala okres przechowywania. Procedura opisuje, co jest uzasadnionym podejrzeniem skazania (art. 8f ust. 2), i wyklucza wezwania cykliczne.

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest załatwiona, gdy każda osoba z zatwierdzonej listy ról ma w rejestrze dopuszczeń datę informacji z KRK albo potwierdzenie poświadczenia bezpieczeństwa sprzed rozpoczęcia zadań. Umowy z dostawcami muszą zawierać wymagania wobec ich personelu, a proces musi być w rejestrze czynności przetwarzania z okresem przechowywania. Na kontrolę zachowaj uchwałę z listą ról, upoważnienie osoby przyjmującej informacje, rejestr dopuszczeń i procedurę ponownego wezwania. Przy każdej zmianie listy ról albo składu zespołu bezpieczeństwa sprawdź, czy nikt nie zaczął zadań przed dopuszczeniem. Kierownikowi, który nie wykonał art. 8f ust. 1 lub 2, grozi kara z art. 73a ust. 1 pkt 5, możliwa po 3 kwietnia 2028 r.

Podstawa prawna i źródła

• art. 8f ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 8 ust. 1 pkt 2 lit. e, art. 11, art. 16 pkt 1 i art. 73a ust. 1 pkt 5 ustawy o KSC
• art. 33 ust. 1 i art. 35 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
• art. 5 ust. 1 lit. b, c i e, art. 6 ust. 1 lit. c, art. 10 i art. 30 ust. 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 3.10, 3.11, 3.12, 3.28, 3.29, 3.48 i 4.7 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC