Kierownik podmiotu w KSC: za co odpowiada osobiście i jak spełnić obowiązek szkolenia

Kto jest kierownikiem?

W spółce to zarząd. Jeśli zarząd jest wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie. Kierownik może za zgodą innej osoby powierzyć jej swoje obowiązki, ale nadal za nie odpowiada (art. 8c). Obowiązek szkolenia obejmuje wtedy zarówno kierownika, jak i osobę, której powierzono obowiązki.

Osoby wykonujące zadania z zakresu cyberbezpieczeństwa muszą być niekarane za przestępstwa przeciwko ochronie informacji. Potwierdza to zaświadczenie z Krajowego Rejestru Karnego albo poświadczenie bezpieczeństwa co najmniej „poufne” (art. 8f).

Za co kierownik odpowiada?

Art. 8d wymienia pięć obowiązków:

1. decyzje o budowie, wdrożeniu, eksploatacji, przeglądzie i nadzorze systemu zarządzania bezpieczeństwem informacji,
2. zaplanowanie odpowiednich środków finansowych,
3. przydzielenie zadań z zakresu cyberbezpieczeństwa i nadzór nad ich wykonaniem,
4. zapewnienie, że personel zna swoje obowiązki i zasady wewnętrzne,
5. zapewnienie przestrzegania przepisów i zasad wewnętrznych.

To obowiązki decyzyjne, nie techniczne. Kierownik nie musi konfigurować zapory sieciowej, ale musi umieć zaakceptować albo odrzucić ryzyko i uzasadnić budżet.

Jak spełnić obowiązek szkolenia?

Szkolenie odbywa się raz w roku kalendarzowym, a nie co 12 miesięcy (art. 8e). Jego zakres wynika z obowiązków podmiotu: wpis do wykazu, system zarządzania bezpieczeństwem, zadania kierownika, obsługa i zgłaszanie incydentów, współpraca z dostawcami usług bezpieczeństwa i audyt. Udział trzeba udokumentować, ale ustawa nie określa formy. W praktyce dokumentację tworzą program powiązany z tym zakresem, lista obecności i imienne zaświadczenie.

Podmioty, które spełniały przesłanki 3 kwietnia 2026, mają czas na wdrożenie obowiązków do 3 kwietnia 2027. Pierwsze szkolenie warto przeprowadzić przed tą datą, bo to wtedy zarząd podejmuje decyzje o systemie zarządzania bezpieczeństwem.

Co odróżnia szkolenie od odhaczenia obowiązku?

Wykład o przepisach spełnia wymóg formalny, ale nie przygotowuje do decyzji. Najwięcej daje ćwiczenie: zarząd dostaje scenariusz incydentu i w ciągu godziny musi zdecydować, czy to incydent poważny, kto zgłasza go do CSIRT, czy wstrzymać działalność i jak poinformować klientów. Wtedy wychodzą na jaw luki w procedurach, uprawnieniach i budżecie, zanim ujawni je prawdziwy incydent.

Ile ryzykuje kierownik?

Organ może nałożyć na kierownika karę do 300% wynagrodzenia, liczonego jak ekwiwalent za urlop wypoczynkowy (art. 73a). W podmiocie publicznym limit wynosi 100%, chyba że podmiot podlega ustawie także z innego sektora. Karę można nałożyć także za jednorazowe zaniedbanie, niezależnie od kary dla podmiotu. Pierwsze kary mogą zostać nałożone po upływie dwóch lat od wejścia w życie nowelizacji, czyli po 3 kwietnia 2028. Obowiązki, w tym szkolenie, obowiązują jednak wcześniej.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 8c do 8f i 73a (ISAP)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 (INFOR)
• Ministerstwo Cyfryzacji, Q&A „Nowelizacja KSC”, aktualizacja z października 2026
• Dyrektywa (UE) 2022/2555 (NIS2), art. 20

Powiązane artykuły

• Szpital w KSC z małym działem IT: co zrobić do kwietnia 2027
• Audyt KSC: kto może go przeprowadzić i jak wybrać audytora
• Incydent poważny w KSC: jak go rozpoznać, zanim wejdą nowe progi