Kary KSC i NIS2 dla zarządu nie ograniczają się do maksymalnej sankcji administracyjnej dla spółki. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa przewiduje również osobistą karę dla kierownika podmiotu, okresowe kary za niewykonanie decyzji oraz – wobec podmiotów kluczowych – możliwość czasowego zakazu pełnienia funkcji zarządczych lub wstrzymania działalności. Nie każda sankcja działa jednak automatycznie i nie każda może być stosowana już dziś. Poniżej wyjaśniamy, kiedy ryzyko staje się realne oraz jakie decyzje i działania powinien udokumentować zarząd.
Ustawa oddziela odpowiedzialność organizacji od odpowiedzialności jej kierownika. Kara dla podmiotu nie wyklucza kary dla członka zarządu, jeżeli przesłanki obu sankcji zostały spełnione. Jednocześnie podane w ustawie kwoty są limitami, a nie automatycznym rachunkiem wystawianym po każdym naruszeniu.
Maksimum dla podmiotu 10 mln EUR / 100 mln zł
Kara dla kierownika do 300% wynagrodzenia
Powierzenie zadań dyrektorowi IT, CISO albo zewnętrznemu dostawcy nie usuwa odpowiedzialności kierownika podmiotu. Zarząd powinien znać status organizacji, zatwierdzać SZBI, zapewniać adekwatny budżet, nadzorować realizację obowiązków i co roku odbywać wymagane szkolenie.
Kogo dotyczą sankcje KSC i NIS2 i od kiedy?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Nowe obowiązki i sankcje dotyczą przede wszystkim organizacji zakwalifikowanych jako podmioty kluczowe lub podmioty ważne. O statusie nie przesądza sama liczba pracowników. Znaczenie mają również sektor, rodzaj świadczonych usług, skala działalności, powiązania z innymi przedsiębiorstwami i szczególne przesłanki ustawowe.
Pierwszym zadaniem zarządu nie powinno być zatem liczenie potencjalnej kary, lecz prawidłowa kwalifikacja organizacji. Szczegółowe kryteria omawiamy w materiale Kogo dotyczy ustawa KSC/NIS2?.
Jej limit zależy od statusu podmiotu oraz przychodów osiągniętych z działalności gospodarczej.
Może zostać nałożona bezpośrednio na osobę odpowiedzialną za realizację ustawowych obowiązków.
Naliczana za każdy dzień opóźnienia w wykonaniu wskazanych decyzji organu nadzoru.
Najdalej idące środki mogą objąć podmiot kluczowy, który nie wykonuje wcześniejszych nakazów.
Ile wynoszą kary KSC i NIS2 dla podmiotu?
Wysokość maksymalnej sankcji zależy od tego, czy organizacja jest podmiotem kluczowym, czy ważnym. Ustawa przewiduje również dolny próg kary. W praktyce organ nie powinien ograniczać się do odczytania tabeli: musi ocenić charakter naruszenia, jego skutki i zachowanie organizacji.
| Rodzaj sankcji | Maksymalna wysokość | Minimum / zakres | Kiedy ma znaczenie? |
|---|---|---|---|
| Podmiot kluczowy | Do 10 mln EUR albo 2% przychodów osiągniętych z działalności gospodarczej w poprzednim roku obrotowym. | Co najmniej 20 000 zł. | Przy naruszeniu obowiązków wymienionych w ustawie, z uwzględnieniem zasad wymiaru kary. |
| Podmiot ważny | Do 7 mln EUR albo 1,4% przychodów osiągniętych z działalności gospodarczej w poprzednim roku obrotowym. | Co najmniej 15 000 zł. | Przy naruszeniu obowiązków właściwych dla podmiotów ważnych. |
| Kara nadzwyczajna | Do 100 mln zł. | Brak standardowego minimum. | Gdy naruszenie powoduje ustawowo określone, bezpośrednie i poważne zagrożenie, m.in. dla bezpieczeństwa państwa, życia, zdrowia albo mienia. |
| Kara okresowa | Do 100 000 zł za każdy dzień zwłoki. | Od 500 zł dziennie. | Przy opóźnieniu w wykonaniu wskazanych decyzji organu właściwego ds. cyberbezpieczeństwa. |
W odniesieniu do podmiotów działających krócej niż dwanaście miesięcy albo bez przychodu ustawa przewiduje odrębne podstawy obliczenia limitu. Dlatego ocena ekspozycji wymaga sprawdzenia nie tylko statusu podmiotu, lecz także jego sytuacji organizacyjnej i finansowej.
Od czego zależy rzeczywista wysokość kary?
Organ powinien uwzględnić między innymi wagę i czas naruszenia, wcześniejsze uchybienia, rozmiar szkody, umyślność lub niedbalstwo, działania ograniczające skutki, stopień współpracy oraz możliwości finansowe organizacji. Jeżeli naruszenie jest znikome, ustało, a szkoda została naprawiona, ustawa dopuszcza odstąpienie od nałożenia kary.
- Skala i czas trwania: incydentalny błąd jest oceniany inaczej niż wielomiesięczne ignorowanie obowiązku.
- Skutki: znaczenie ma szkoda dla organizacji, klientów, użytkowników i ciągłości świadczonych usług.
- Reakcja: szybkie ograniczenie skutków, współpraca z organem i wykonanie zaleceń wpływają na ocenę sprawy.
- Historia naruszeń: powtarzalne problemy mogą świadczyć o braku skutecznego nadzoru i doskonalenia SZBI.
- Zdolność finansowa: kara ma być skuteczna, proporcjonalna i odstraszająca, ale jej wymiar nie jest automatyczny.
RODO i KSC mogą dotyczyć tego samego zdarzenia
Jeżeli za to samo zachowanie została już prawomocnie nałożona przez Prezesa UODO administracyjna kara pieniężna związana z naruszeniem ochrony danych osobowych, organ właściwy ds. cyberbezpieczeństwa nie nakłada kolejnej kary pieniężnej za ten sam czyn. Nadal może jednak stosować przewidziane ustawą środki nadzorcze.
Odpowiedzialność osobista członków zarządu
Ustawa wskazuje, że za wykonywanie obowiązków podmiotu kluczowego lub ważnego odpowiada jego kierownik. W spółce kapitałowej będzie to co do zasady organ zarządzający. Jeżeli organ jest wieloosobowy i nie wskazano osoby odpowiedzialnej za realizację obowiązków, odpowiedzialność ponoszą wszyscy jego członkowie.
Decyzja pozostaje na górze
Kierownik podejmuje decyzje dotyczące przygotowania, wdrożenia, stosowania, przeglądu i nadzoru nad SZBI.
Delegowanie nie zwalnia
Powierzenie obowiązków CISO, informatykowi lub dostawcy nie usuwa ustawowej odpowiedzialności kierownika.
Brak przypisania rozszerza ryzyko
Jeżeli w organie wieloosobowym nie wyznaczono osoby odpowiedzialnej, ryzyko osobiste obejmuje wszystkich członków.
Kierownik podmiotu prywatnego może zostać ukarany kwotą do 300% miesięcznego wynagrodzenia, obliczanego według zasad stosowanych do ekwiwalentu za urlop. W podmiotach publicznych zasadniczy limit wynosi do 100% wynagrodzenia, z ustawowymi wyjątkami dotyczącymi niektórych podmiotów prowadzących działalność sektorową.
Kara osobista może dotyczyć także jednorazowego zaniechania, zależnie od jego czasu, zakresu i charakteru. Spółka oraz członek zarządu mogą ponieść odpowiedzialność równolegle. Z tego powodu audyt techniczny powinien być uzupełniony oceną procesu zarządczego, o czym szerzej piszemy w artykule Audyt KSC/NIS2 dla zarządu w 2026 roku.
Kiedy możliwy jest zakaz pełnienia funkcji lub wstrzymanie działalności?
Najdalej idące środki nadzorcze nie są automatyczną konsekwencją każdego naruszenia. Dotyczą podmiotu kluczowego i pojawiają się na dalszym etapie postępowania, gdy podmiot nie wykona wcześniejszego nakazu lub decyzji. Organ może wówczas zastosować środki wpływające bezpośrednio na możliwość dalszego prowadzenia działalności.
Stwierdzenie naruszenia
Organ ustala brak zgodności w ramach kontroli lub innych czynności nadzorczych.
Nakaz naprawczy
Podmiot otrzymuje decyzję określającą wymagane działanie i termin jego wykonania.
Brak wykonania
Podmiot kluczowy nie usuwa uchybienia lub nie realizuje obowiązku zgodnie z decyzją.
Środek nadzorczy
Możliwe staje się m.in. czasowe ograniczenie działalności albo zakaz zarządzania podmiotem.
W zależności od formy działalności i posiadanych uprawnień organ może wystąpić o zawieszenie lub ograniczenie koncesji, zezwolenia albo działalności regulowanej, a także zawiesić działalność gospodarczą wpisaną do CEIDG lub KRS. Może również czasowo zakazać kierownikowi pełnienia funkcji zarządczych w danym podmiocie kluczowym – do chwili usunięcia naruszenia.
Jak zarząd może ograniczyć ryzyko sankcji?
Nie istnieje pojedynczy dokument, który automatycznie zabezpieczy członków zarządu. Największe znaczenie ma spójny i możliwy do wykazania proces: właściwa kwalifikacja podmiotu, analiza ryzyka, decyzje dotyczące zabezpieczeń, zapewnienie zasobów, nadzór nad wykonaniem oraz regularne sprawdzanie skuteczności.
Status i zakres obowiązków
Udokumentowana analiza, czy organizacja jest podmiotem kluczowym lub ważnym, jakie usługi obejmuje ustawa i które jednostki oraz systemy mieszczą się w zakresie.
Decyzje dotyczące SZBI
Uchwały, protokoły i zatwierdzenia potwierdzające, że kierownictwo aktywnie uczestniczyło w przygotowaniu, wdrożeniu i przeglądzie systemu.
Budżet wynikający z ryzyka
Powiązanie wydatków z analizą ryzyka, planem postępowania z ryzykiem oraz terminami usuwania najpoważniejszych luk.
Nadzór, szkolenia i testy
Coroczne szkolenia osób kierujących, audyty, testy reagowania na incydenty, próby odtworzenia oraz raportowanie wyników do zarządu.
Łańcuch dostaw
Ocena dostawców, wymagania bezpieczeństwa w umowach, zasady zgłaszania incydentów oraz prawo do kontroli kluczowych podwykonawców.
Gotowość operacyjna
Aktualne kontakty, dostęp do S46, przydzielone role, procedura eskalacji i możliwość zebrania danych potrzebnych do zgłoszenia incydentu.
Osoby wykonujące zadania określone w art. 8 lub art. 11 ustawy powinny przed rozpoczęciem pracy przedstawić informację z Krajowego Rejestru Karnego potwierdzającą brak skazania za wskazane przestępstwa przeciwko ochronie informacji. Obowiązku tego nie należy jednak automatycznie rozszerzać na każdą osobę zatrudnioną w IT.
Dokumentacja ma znaczenie dowodowe, ale nie może zastępować wdrożenia. Protokół zarządu nie pomoże, jeżeli organizacja nie wykonała zaplanowanych zabezpieczeń, nie testowała kopii zapasowych albo ignorowała znane podatności. Punktem wyjścia może być audyt zerowy KSC/NIS2 i analiza luk, które przekładają wymagania na priorytety, odpowiedzialności i budżet.
Plan działań zarządu na pierwsze 90 dni
Status i rzeczywiste luki
Ustal status podmiotu, zakres systemów i usług, właścicieli procesów oraz wykonaj analizę luk względem UoKSC. Zweryfikuj terminy rejestracji i dostęp do S46.
Decyzje i finansowanie
Zatwierdź strukturę odpowiedzialności, plan postępowania z ryzykiem, budżet, harmonogram oraz zasady raportowania realizacji do zarządu.
Wdrożenie i dowody
Usuń najpilniejsze luki, przeprowadź szkolenie i ćwiczenie incydentowe, przetestuj odtworzenie oraz uruchom cykliczny nadzór nad dostawcami i SZBI.
Plan 90 dni nie oznacza automatycznej pełnej zgodności. Pozwala jednak usunąć brak decyzyjności, ustalić priorytety i zbudować pierwsze dowody rzeczywistego działania. Jeżeli organizacja nie posiada wewnętrznych zasobów do utrzymania procesu, rozwiązaniem może być abonamentowe pełnienie funkcji Pełnomocnika ds. Cyberbezpieczeństwa.
Checklista gotowości zarządu
Zaznacz tylko te elementy, które zostały formalnie ustalone i mają aktualny dowód wykonania.
FAQ: kary KSC i NIS2 dla zarządu
Czy firma i członek zarządu mogą zostać ukarani jednocześnie?
Tak. Ustawa pozwala na nałożenie kary na podmiot oraz odrębnej kary na kierownika, jeżeli spełnione zostały przesłanki właściwe dla obu rodzajów odpowiedzialności.
Czy powołanie CISO albo zewnętrznego pełnomocnika zwalnia zarząd?
Nie. Powierzenie obowiązków innej osobie nie usuwa odpowiedzialności kierownika podmiotu. Ekspert może przygotować analizy, koordynować wdrożenie i nadzorować działania, ale zarząd nadal podejmuje decyzje, zapewnia zasoby i kontroluje realizację.
Czy do 2028 roku nie trzeba wdrażać obowiązków KSC?
Nie. Dwuletni okres dotyczy możliwości nakładania wskazanych kar, a nie wejścia w życie obowiązków. Podmioty objęte ustawą muszą przestrzegać odrębnych terminów dotyczących rejestracji, S46 i wdrożenia środków zarządzania ryzykiem.
Czy kara 10 mln EUR jest nakładana automatycznie?
Nie. Jest to ustawowy limit kary dla podmiotu kluczowego. Organ ustala wysokość z uwzględnieniem okoliczności sprawy, w tym wagi, czasu, skutków, wcześniejszych naruszeń, współpracy i działań naprawczych.
Czy zakaz pełnienia funkcji dotyczy każdego naruszenia?
Nie. Jest to środek dotyczący kierownika podmiotu kluczowego, stosowany po niewykonaniu wcześniejszego nakazu lub decyzji. Zakaz odnosi się do zarządzania tym podmiotem i trwa do usunięcia naruszenia.
Czy za ten sam incydent mogą zostać nałożone kary KSC i RODO?
To zależy od podstawy obu postępowań. Jeżeli za to samo zachowanie istnieje już prawomocna kara Prezesa UODO związana z naruszeniem ochrony danych, ustawa wyłącza kolejną karę pieniężną KSC za ten sam czyn. Nie wyłącza to innych środków nadzorczych ani odpowiedzialności za odrębne naruszenia.
Sprawdź ryzyko zarządu, zanim zrobi to organ
Podczas bezpłatnej konsultacji możesz omówić status organizacji na gruncie UoKSC/NIS2, odpowiedzialność członków zarządu oraz najpilniejsze braki w dokumentacji i zabezpieczeniach. Kolejnym krokiem może być audyt zerowy, mapa odpowiedzialności i plan wdrożenia oparty na rzeczywistym ryzyku.