Kary pieniężne dla kierownika podmiotu ważnego lub kluczowego
Kary pieniężne dla kierownika podmiotu ważnego lub kluczowego – tekst poświęcony tematyce odpowiedzialności kierownika podmiotu kluczowego lub podmiotu ważnego za wykonywanie obowiązków w zakresie cyberbezpieczeństwa, na gruncie znowelizowanych przepisów Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.
Obowiązki kierowników podmiotów ważnych oraz kluczowych
Zgodnie z art. 8c ust. 1 KSC kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa przez podmiot kluczowy lub podmiot ważny, o których mowa w: art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8e, art. 8f ust. 1 i 2, art. 9-12b, art. 14 i art. 15.
Zgodnie z art. 8c ust. 2 KSC w przypadku gdy kierownikiem podmiotu kluczowego lub podmiotu ważnego jest organ wieloosobowy i nie została wskazana osoba odpowiedzialna, odpowiedzialność ponoszą wszyscy członkowie tego organu.
Zgodnie z art. 8c ust. 3 KSC kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą.
Za co może zostać nałożona kara pieniężna na kierownika
W art. 73a ust. 1 KSC ustawodawca określił przypadki, w których to może zostać nałożona kara pieniężna na kierownika zarówno podmiotu kluczowego, jak i podmiotu ważnego. Warunkiem zatem koniecznym jest to, aby przesłanki uznania podmiotu za odpowiednio kluczowy lub ważny zostały spełnione. Z ostrożności procesowej wskazać należy, iż kierownik podmiotu ważnego, będącego podmiotem publicznym, jest kierownikiem podmiotu ważnego, a jako taki również podlegać może odpowiedzialności, o jakiej mowa w przepisie, fakt, iż jest kierownikiem podmiotu publicznego nie jest w tym zakresie istotny.
Jeżeli przemawia za tym czas, zakres lub charakter naruszenia kierownik, o jakim mowa w przepisie, może podlegać każe pieniężnej, jeśli:
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 7b ust. 4 – zgodnie, z którym podmioty kluczowe lub podmioty ważne, zaliczane do grupy przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmiotów publicznych, podmiotów krytycznych, uzupełniają dane w wykazie podmiotów kluczowych i podmiotów ważnych, składając wniosek o zmianę wpisu w tym wykazie, w tym również uzupełniają dane w wykazie w zakresie ich działalności, która nie została objęta wpisem z urzędu.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 7c ust. 1 – zgodnie, z którym podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych, w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 7c ust. 3 – zgodnie, z którym podmiot kluczowy lub podmiot ważny składają wniosek o zmianę wpisu w wykazie podmiotów kluczowych i podmiotów ważnych w zakresie danych, o których mowa w art. 7 ust. 2 pkt 1-18, w terminie 14 dni od dnia ich zmiany.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 7f ust. 3 – zgodnie, z którym podmiot kluczowy lub podmiot ważny składają za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, wniosek o wykreślenie z wykazu podmiotów kluczowych i podmiotów ważnych w zakresie sektora, podsektora lub rodzaju działalności, jeżeli przestały spełniać przesłanki uznania za podmiot kluczowy lub podmiot ważny w tym sektorze, podsektorze lub dla określonego rodzaju działalności. Wniosek o wykreślenie z wykazu zawiera uzasadnienie.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 8 – zgodnie z którym podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot zapewniający określone funkcjonalności, o jakich mowa w przepisie. W przypadku natomiast podmiotu ważnego, ale będącego podmiotem publicznym albo podmiotem, o którym mowa w art. 7 ust. 1 pkt 1-4 i 6-7 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce, (uczelnie; federacje podmiotów systemu szkolnictwa wyższego i nauki, zwane dalej, Polska Akademia Nauk; instytuty naukowe PAN; międzynarodowe instytuty naukowe utworzone na podstawie odrębnych ustaw działające na terytorium Rzeczypospolitej Polskiej; Polska Akademia Umiejętności, zwana dalej „PAU”) niebędącym organizacją badawczą w zakresie, w jakim realizuje zadania publiczne z wykorzystaniem systemów informacyjnych, nie stosuje przepisu art. 8 ust. 1 KSC – ale opracowuje, wdraża, realizuje, monitoruje i utrzymuje w systemach informacyjnych kontrolowanych przez ten podmiot system zarządzania bezpieczeństwem informacji spełniający wymogi określone w Załączniku nr 4 do KSC.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w art. 8d – zgodnie z którym, kierownik podmiotu kluczowego lub podmiotu ważnego:
- podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie;
- planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa;
- przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie;
- zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie;
- zapewnia zgodność działania tego podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu.
- nie wykonuje obowiązku, o którym mowa w 8e – zgodnie z którym, kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie, którego zakres obejmuje wykonywanie obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9-12b, art. 14 i art. 15 KSC i dodatkowo udział w którym jest udokumentowany.
- nie wykonał obowiązku, o którym mowa w 8f ust. 1 – zgodnie z którym, przed rozpoczęciem realizacji zadań, o których mowa w art. 8 lub art. 11 KSC, osoba, która ma te zadania realizować, przedstawia podmiotowi kluczowemu lub podmiotowi ważnemu informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik podmiotu kluczowego lub podmiotu ważnego dopuszcza osobę do realizacji zadań, o których mowa w art. 8 lub art. 11 KSC, po otrzymaniu informacji, o której mowa w zdaniu pierwszym. Wymagania, uznaje się za spełnione, jeżeli osoba realizująca te zadania, posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej.
- nie wykonał obowiązku, o którym mowa w 8f ust. 2 – zgodnie z którym, podmiot kluczowy lub podmiot ważny wzywa osobę realizującą zadania, o których mowa w art. 8 lub art. 11 KSC, do ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego, jeżeli poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji. Wymagania, uznaje się za spełnione, jeżeli osoba realizująca te zadania, posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej.
- nie wyznaczył co najmniej dwóch osób do kontaktu z podmiotami kluczowymi lub podmiotami ważnymi, albo w przypadku kierowania mikro- lub małym przedsiębiorcą, o którym mowa w 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE, co najmniej jednej osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa.
- nie zapewnił użytkownikowi możliwości zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 10 ust. 1 – zgodnie z którym, podmiot kluczowy lub podmiot ważny opracowuje, stosuje i aktualizuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 10 ust. 6 – zgodnie z którym, podmiot kluczowy lub podmiot ważny jest obowiązany do ustanowienia nadzoru nad dokumentacją dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, zapewniającego: dostępność dokumentów wyłącznie dla osób upoważnionych, zgodnie z realizowanymi przez nie zadaniami; ochronę dokumentów przed uszkodzeniem, zniszczeniem, utratą, nieuprawnionym dostępem, niewłaściwym użyciem lub utratą integralności; oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w tych dokumentach.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 10 ust. 7 – zgodnie z którym, podmiot kluczowy lub podmiot ważny przechowuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi przez okres co najmniej 2 lat od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi, liczony od dnia 1 stycznia roku następującego po roku, w którym wygasa okres jej przechowywania. Przepisu nie stosuje się do podmiotów podlegających ustawie z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164 oraz z 2025 r. poz. 1173).
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 10 ust. 8 – zgodnie z którym, zniszczenie wycofanej z użytkowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi potwierdza się protokołem brakowania zawierającym w szczególności: datę protokołu, oznaczenie niszczonej dokumentacji, opis sposobu zniszczenia, dane osoby zatwierdzającej protokół. Protokoły brakowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi są przechowywane w sposób trwały.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 11 – zgodnie z którym, podmiot kluczowy lub podmiot ważny:
- zapewnia obsługę incydentu;
- zapewnia dostęp do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu w zakresie niezbędnym do realizacji jego zadań;
- klasyfikuje incydent jako poważny na podstawie progów uznawania incydentu za poważny;
- zgłasza wczesne ostrzeżenie o incydencie poważnym niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego – za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1.;
- zgłasza incydent poważny niezwłocznie, niepóźniej niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego – za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1.;
- przekazuje, na wniosek właściwego CSIRT sektorowego, sprawozdanie okresowe z obsługi incydentu poważnego za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1.;
- przekazuje właściwemu CSIRT sektorowemu sprawozdanie końcowe z obsługi incydentu poważnego, niepóźniej niż w ciągu miesiąca od dnia zgłoszenia, o którym mowa w pkt 4a za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1.;
- współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowym, przekazując niezbędne dane, w tym dane osobowe;
- usuwa podatności, o których mowa w art. 32 ust. 2, oraz informuje o ich usunięciu organ właściwy do spraw cyberbezpieczeństwa.
- Dostawca usług zaufania zgłasza incydent poważny niezwłocznie, niepóźniej niż w ciągu 24 godzin od momentu jego wykrycia do właściwego CSIRT sektorowego.
- W przypadku zaistnienia poważnego cyberzagrożenia podmiot kluczowy lub podmiot ważny informuje użytkowników swoich usług, na których takie cyberzagrożenie może mieć wpływ, o możliwych środkach zapobiegawczych, które użytkownicy ci mogą podjąć. Podmiot kluczowy lub podmiot ważny informuje tych użytkowników o samym poważnym cyberzagrożeniu, jeżeli nie spowoduje to zwiększenia poziomu ryzyka dla bezpieczeństwa systemów informacyjnych.
- Podmiot kluczowy lub podmiot ważny informuje użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 12 ust. 5 – zgodnie z którym, podmiot kluczowy lub podmiot ważny przekazuje informacje znane mu w chwili dokonywania zgłoszenia incydentu poważnego, o którym mowa w art. 11 ust. 1 pkt 4a, które uzupełnia w trakcie obsługi incydentu poważnego.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 12 ust. 6 – zgodnie z którym, podmiot kluczowy lub podmiot ważny przekazuje, w niezbędnym zakresie, we wczesnym ostrzeżeniu, o którym mowa w art. 11 ust. 1 pkt 4, lub zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4a, informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa, gdy jest to konieczne do realizacji zadań właściwego CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 12 ust. 7 – zgodnie z którym, właściwy CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy może zwrócić się do podmiotu kluczowego lub podmiotu ważnego o uzupełnienie wczesnego ostrzeżenia, o którym mowa w art. 11 ust. 1 pkt 4, lub zgłoszenia, o którym mowa w art. 11 ust. 1 pkt 4a, o informacje, w tym informacje stanowiące tajemnice prawnie chronione, w zakresie niezbędnym do realizacji zadań, o których mowa w ustawie.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 12 ust. 8 – zgodnie z którym, we wczesnym ostrzeżeniu, o którym mowa w art. 11 ust. 1 pkt 4, lub w zgłoszeniu, o którym mowa w art. 11 ust. 1 pkt 4a, podmiot kluczowy lub podmiot ważny oznacza informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.
- przekazał sprawozdanie końcowe, o którym mowa w art. 11 ust. 1 pkt 4c, niezawierające elementów określonych w art. 12a KSC.
- nie wykonuje obowiązku, o którym mowa w 12b – zgodnie z którym, w przypadku gdy obsługa incydentu poważnego nie zakończyła się w terminie składania sprawozdania końcowego, o którym mowa w art. 11 ust. 1 pkt 4c, podmiot kluczowy lub podmiot ważny przekazuje właściwemu CSIRT sektorowemu sprawozdanie z postępu obsługi tego incydentu – za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1; w przypadku gdy obsługa incydentu poważnego nie zakończyła się w terminie składania sprawozdania końcowego, o którym mowa w art. 11 ust. 1 pkt 4c, podmiot kluczowy lub podmiot ważny przekazuje właściwemu CSIRT sektorowemu sprawozdanie końcowe nie później niż w ciągu miesiąca od zakończenia obsługi incydentu poważnego – za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 KSC.
- nie wykonuje obowiązku, o którym mowa w 14 – zgodnie z którym, podmiot kluczowy lub podmiot ważny w celu realizacji zadań, o których mowa w art. 8 oraz w art. 9-13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
- nie wykonuje co najmniej jednego z obowiązków, o których mowa w 15 – zgodnie z którym,
- Podmiot kluczowy przeprowadza, na własny koszt, co najmniej raz na 3 lata, na warunkach określonych w omawianych przepisach, audyt bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, zwany dalej „audytem”, licząc od dnia sporządzenia i podpisania przez audytorów przeprowadzających audyt raportu z ostatniego audytu.
- Podmiot kluczowy przedstawia w postaci elektronicznej kopię raportu z przeprowadzonego audytu organowi właściwemu do spraw cyberbezpieczeństwa, w terminie 3 dni roboczych od dnia jego otrzymania przez podmiot kluczowy lub podmiot ważny.
- Organ właściwy do spraw cyberbezpieczeństwa może nakazać podmiotowi kluczowemu w każdym czasie lub podmiotowi ważnemu w przypadku wystąpienia incydentu poważnego lub innego naruszenia przepisów ustawy przez ten podmiot, w drodze decyzji, przeprowadzenie zewnętrznego audytu bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, wraz z określeniem terminu przekazania kopii raportu z przeprowadzonego audytu i wskazaniem rodzaju podmiotów uprawnionych do przeprowadzenia audytu. Organ właściwy do spraw cyberbezpieczeństwa może również określić zakres audytu, o którym mowa w zdaniu pierwszym.
- Podmiot kluczowy lub podmiot ważny przekazuje kopię raportu z przeprowadzonego audytu na wniosek: dyrektora Rządowego Centrum Bezpieczeństwa – w przypadku gdy podmiot kluczowy lub podmiot ważny jest jednocześnie właścicielem, posiadaczem samoistnym albo posiadaczem zależnym obiektów, instalacji, urządzeń lub usług wchodzących w skład infrastruktury krytycznej, wymienionych w wykazie, o którym mowa w 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym; Szefa Agencji Bezpieczeństwa Wewnętrznego,
Kara za jednorazowe zaniechanie
Zgodnie z art. 73a ust. 2 KSC karze pieniężnej może podlegać także kierownik podmiotu kluczowego lub podmiotu ważnego, którego zaniechanie w realizacji obowiązków, o których mowa w ust. 1, miało charakter jednorazowy.
Kara nawet za jednorazowe zaniechanie
Zgodnie z art. 73a ust. 3 KSC niezależnie od kary pieniężnej, o której mowa w art. 73 ust. 1, czyli kary nakładanej na podmiot kluczowy lub na podmiot ważny, karę pieniężną można nałożyć również na kierownika podmiotu kluczowego lub podmiotu ważnego za niewykonanie obowiązków wskazanych w tym przepisie.
Zbieg kar dla podmiotu i dla kierownika jest możliwy
Zgodnie z art. 73a ust. 3 KSC niezależnie od kary pieniężnej, o której mowa w art. 73 ust. 1, czyli kary nakładanej na podmiot kluczowy lub na podmiot ważny, karę pieniężną można nałożyć również na kierownika podmiotu kluczowego lub podmiotu ważnego za niewykonanie obowiązków wskazanych w tym przepisie.
Maksymalna wysokość kary dla kierownika
Zgodnie z art. 73a ust. 4 KSC kara pieniężna, o której mowa w ust. 1-3, może być wymierzona w kwocie nie większej niż 300 % otrzymywanego przez ukaranego wynagrodzenia obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop.
Zgodnie z art. 73a ust. 5 KSC kara pieniężna, o której mowa w ust. 1-3, może być wymierzona kierownikowi podmiotu kluczowego lub podmiotu ważnego będącym podmiotem publicznym w kwocie nie większej niż 100 % otrzymywanego przez ukaranego wynagrodzenia obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop. W przypadku gdy podmiot kluczowy lub podmiot ważny będące podmiotem publicznym są zobowiązane do stosowania ustawy również na podstawie innego sektora wskazanego w załączniku nr 1 lub 2 do ustawy, do kar pieniężnych wymierzanych kierownikom tych podmiotów stosuje się przepis ust. 4.
Organ uprawniony do nałożenia kary na kierownika podmiotu
Zgodnie z art. 74 ust. 4 KSC karę pieniężną, o której mowa w art. 73, art. 73a i art. 73b ust. 1 pkt 4 i 5, nakłada, w drodze decyzji, organ właściwy do spraw cyberbezpieczeństwa.
Terminy realizacji obowiązków przez podmiot kluczowy lub podmiot ważny
Obowiązek realizacji przepisóę Rozdziału 3 Zgodnie z art. 16 pkt 1) KSC, podmiot kluczowy lub ważny realizuje obowiązki, o których mowa w Rozdziale 3 KSC, w terminie 12 miesięcy - od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.
Obowiązek przeprowadzenia pierwszego audytu Zgodnie z art. 16 pkt 2) KSC, podmiot kluczowy zapewnia przeprowadzenie audytu po raz pierwszy w terminie 24 miesięcy
- od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.
Odpowiedzialność kierownika podmiotu kluczowego oraz ważnego
Stanowisko IOD - streszczenie przepisów dotyczących odpowiedzialności kierowników Omówienie przepisów dotyczących odpowiedzialności pieniężnej dla kierowników podmiotów kluczowych oraz ważnych.
Dokumentacja RODO/ RCPD / DPIA / Ocena Ryzyka
Pakiet dokumentów RODO dla przedsiębiorców w związku z wejściem w życie KSeF Pakiet dokumentów dedykowanych dla przedsiębiorców oraz IOD przygotowujący do wdrożenia rozwiązań jakie niesie za sobą wejście w życie przepisów dotyczących Krajowego Systemu e-Faktur.
