Odpowiedzialność zarządu NIS2 – od 3 kwietnia 2026 roku w Polsce obowiązuje nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC), która implementuje dyrektywę NIS2 do polskiego porządku prawnego. Dla tysięcy organizacji oznacza to konieczność wdrożenia formalnych procesów zarządzania cyberbezpieczeństwem – ale najważniejsza zmiana, której wiele firm jeszcze nie przyswoi, dotyczy nie technologii, lecz odpowiedzialności. Odpowiedzialność za NIS2 przestała spoczywać wyłącznie na organizacji jako całości. Ustawa przenosi ją bezpośrednio na kierownictwo – i robi to w sposób, który nie zostawia miejsca na interpretację.
Dlaczego odpowiedzialność zarządu za NIS2 jest inaczej skonstruowana niż dotychczasowe przepisy?
Dotychczas – zarówno na gruncie starej UKSC, jak i RODO – kary były nakładane na organizację jako podmiot. Zarząd odpowiadał wobec akcjonariuszy lub rady nadzorczej, ale nie bezpośrednio wobec organu regulacyjnego.
Odpowiedzialność zarządu za NIS2 działa inaczej. Ustawa wprowadza mechanizm osobistej odpowiedzialności administracyjnej: kierownik podmiotu staje się samodzielnym adresatem sankcji – równolegle i niezależnie od kar nakładanych na organizację. Organ może wydać dwie odrębne decyzje: jedną wobec spółki, drugą wobec jej kierownika. Zapłata kary przez spółkę nie zwalnia prezesa z osobistej sankcji. Ukaranie prezesa nie zmniejsza kary nałożonej na spółkę.
Co więcej, podstawą odpowiedzialności zarządu za NIS2 nie jest wyłącznie bezpośrednie naruszenie przepisu. Wystarczy, że kierownik nie zapewnił realizacji obowiązków przez organizację – nawet bez incydentu bezpieczeństwa, nawet przy jednorazowym zaniechaniu. Organ ocenia, czy obowiązki nadzorcze były wykonywane, a nie czy ktoś inny wykonał pracę operacyjną.
Kto konkretnie ponosi odpowiedzialność zarządu za NIS2?
Ustawa posługuje się pojęciem „kierownika podmiotu kluczowego lub ważnego”. W zależności od formy prawnej organizacji obejmuje to różne osoby.
W spółkach kapitałowych odpowiedzialność zarządu za NIS2 spoczywa co do zasady na wszystkich członkach zarządu – chyba że organ ten wyznaczył konkretną osobę odpowiedzialną za cyberbezpieczeństwo. Jeśli takiej osoby nie wskazano, ustawa przyjmuje odpowiedzialność solidarną: każdy członek zarządu jest potencjalnym adresatem sankcji, niezależnie od wewnętrznego podziału obowiązków. W spółkach osobowych odpowiedzialność spoczywa na wspólnikach prowadzących sprawy spółki.
W sektorze publicznym kierownikiem podmiotu są wójtowie, burmistrzowie, prezydenci miast, starostowie, marszałkowie województw oraz dyrektorzy i kierownicy jednostek organizacyjnych. Odpowiedzialności tej nie można skutecznie przenieść na podwładnych zwykłym podziałem obowiązków służbowych.
Delegowanie zadań do CISO, dyrektora IT, zewnętrznej firmy doradczej lub kancelarii prawnej nie zmienia sytuacji prawnej kierownika. Ustawa stanowi wprost: kierownik odpowiada także wtedy, gdy obowiązki zostały powierzone innej osobie za jej zgodą. Odpowiedzialności zarządu za NIS2 nie da się outsourcować.
Sprawdź, czy podlegasz pod UKSC (NIS2)
Sprawdz w minutę, czy Twoja firma podlega pod UKSC / NIS2. Masz pytanie? Skontaktuj się z nami!
Jakie obowiązki nakłada UKSC na kierownictwo?
Odpowiedzialność zarządu za NIS2 przekłada się na pięć konkretnych obowiązków wymienionych wprost w ustawie jako zadania kierownika podmiotu, oraz odrębny obowiązek szkoleniowy uregulowany w osobnym przepisie.
Kierownik podmiotu kluczowego lub ważnego:
- Podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI – ustawa nie pozwala ograniczyć roli zarządu do akceptowania dokumentów przygotowanych przez innych.
- Planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa – brak budżetu nie jest okolicznością łagodzącą.
- Przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie – nie wystarczy zlecić zadanie, trzeba też nadzorować jego realizację.
- Zapewnia, że personel zna obowiązki i wewnętrzne regulacje podmiotu w zakresie cyberbezpieczeństwa.
- Zapewnia zgodność działania podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami.
Odrębnie, coroczne, udokumentowane szkolenie z cyberbezpieczeństwa jest obowiązkiem osobistym kierownika oraz osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa. Jeśli takiej osoby nie wyznaczono, w praktyce – zgodnie z zasadą odpowiedzialności solidarnej całego organu – dotyczy to wszystkich członków zarządu. Zakres szkolenia obejmuje realizację pozostałych obowiązków ustawowych: zarządzanie bezpieczeństwem informacji, reagowanie na incydenty, nadzór i audyty.
Poza tymi sześcioma obowiązkami, odpowiedzialność kierownika za cyberbezpieczeństwo obejmuje szerzej całość funkcjonowania SZBI w organizacji – w tym nadzór nad terminowym zgłaszaniem incydentów (24 godziny na wczesne ostrzeżenie, 72 godziny na pełne zgłoszenie) i utrzymaniem aktualności danych w Wykazie KSC (14 dni na zgłoszenie zmiany). Te obowiązki spoczywają formalnie na podmiocie, ale to kierownik odpowiada za to, że są wykonywane.
Samoidentyfikacja – obowiązek, który poprzedza wdrożenie
Kluczową zmianą względem starego UKSC jest odejście od indywidualnych decyzji administracyjnych na rzecz samoidentyfikacji. Jeśli organizacja działa w sektorze wymienionym w załącznikach do ustawy i spełnia progi wielkości, automatycznie staje się podmiotem podlegającym regulacji – bez konieczności otrzymania decyzji organu. Obowiązek oceny własnego statusu spoczywa na samym podmiocie i jego kierownictwie.
Błąd na etapie samoidentyfikacji – zarówno pominięcie obowiązku rejestracji, jak i błędna kwalifikacja kategorii – stanowi samodzielną podstawę odpowiedzialności zarządu za NIS2. Warto też pamiętać, że organ właściwy może wpisać podmiot do wykazu z urzędu, jeżeli spełnia on przesłanki, a sam nie złożył wniosku.
Jakie obowiązki UKSC nakłada bezpośrednio na kierownictwo?
Odpowiedzialność zarządu za NIS2 przekłada się na pięć konkretnych obowiązków wymienionych wprost w ustawie jako zadania kierownika podmiotu, oraz odrębny obowiązek szkoleniowy uregulowany w osobnym przepisie.
Kierownik podmiotu kluczowego lub ważnego:
- Podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI – ustawa nie pozwala ograniczyć roli zarządu do akceptowania dokumentów przygotowanych przez innych.
- Planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa – brak budżetu nie jest okolicznością łagodzącą.
- Przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie – nie wystarczy zlecić zadanie, trzeba też nadzorować jego realizację.
- Zapewnia, że personel zna obowiązki i wewnętrzne regulacje podmiotu w zakresie cyberbezpieczeństwa.
- Zapewnia zgodność działania podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami.
Odrębnie, coroczne, udokumentowane szkolenie z cyberbezpieczeństwa jest obowiązkiem osobistym kierownika oraz osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa. Jeśli takiej osoby nie wyznaczono, w praktyce – zgodnie z zasadą odpowiedzialności solidarnej całego organu – dotyczy to wszystkich członków zarządu. Zakres szkolenia obejmuje realizację pozostałych obowiązków ustawowych: zarządzanie bezpieczeństwem informacji, reagowanie na incydenty, nadzór i audyty.
Poza tymi obowiązkami, odpowiedzialność kierownika za cyberbezpieczeństwo obejmuje szerzej całość funkcjonowania SZBI w organizacji – w tym nadzór nad terminowym zgłaszaniem incydentów i utrzymaniem aktualności danych w Wykazie KSC. Te obowiązki spoczywają formalnie na podmiocie, ale to kierownik odpowiada za to, że są wykonywane.
Czy podlegam pod UKSC (NIS2)?
Ankieta powyżej pozwala w kilku krokach wstępnie ocenić, czy Twój sektor wchodzi w zakres UKSC. Ostateczna kwalifikacja wymaga analizy konkretnego modelu działalności — rodzaju usług, skali, roli w łańcuchu dostaw. Dlatego zapraszamy na bezpłatną rozmowę z naszym zespołem i prawnikami z kancelarii KRWLEGAL, podczas której odpowiemy na pytania dotyczące Twojej sytuacji.
Jakie kary grożą zarządowi osobiście za NIS2?
Kierownik prywatnego podmiotu może zostać ukarany kwotą do 300% miesięcznego wynagrodzenia, obliczanego według zasad ekwiwalentu za urlop wypoczynkowy. Dla prezesa dużej spółki 300% miesięcznego wynagrodzenia może w praktyce oznaczać karę liczoną w dziesiątkach lub setkach tysięcy złotych – zależnie od wysokości wynagrodzenia.
Kierownik publicznego podmiotu podlega co do zasady łagodniejszemu reżimowi – maksymalna kara wynosi 100% wynagrodzenia. Wyjątek: jeśli podmiot publiczny podlega UKSC również na podstawie innego sektora z załączników do ustawy (np. gminna spółka wodociągowa klasyfikowana jako podmiot kluczowy), stosuje się pełne 300%.
Niezależnie od kary finansowej organ może zastosować tymczasowy zakaz pełnienia funkcji kierowniczych – do czasu usunięcia uchybień. Informacja o zakazie jest publikowana w BIP organu, wraz z imieniem i nazwiskiem ukaranej osoby. Zakaz ma charakter szeroki – nie ogranicza się wyłącznie do czynności dotyczących cyberbezpieczeństwa.
Obie kary – na organizację i na kierownika – nakładane są niezależnie od siebie. Zapłata kary przez spółkę nie zwalnia kierownika, kara kierownika nie zastępuje kary dla spółki.
Kiedy kary zaczną być egzekwowane?
Nowelizacja przewiduje dwuletnie moratorium: kary pieniężne mogą być po raz pierwszy nałożone najwcześniej 3 kwietnia 2028 roku. Moratorium nie zakazuje jednak wszczynania postępowań – organ może zbierać materiał dowodowy już od 2026 roku i nałożyć karę po upływie okresu ochronnego. Środki nadzorcze – nakazy, ostrzeżenia, zakaz pełnienia funkcji – mogą być stosowane bez ograniczeń czasowych.
Kara ekstraordynaryjna do 100 mln zł nie jest objęta moratorium i może być nakładana od 3 kwietnia 2026 roku.
Szczegółowe omówienie wszystkich terminów znajdziesz w artykule Terminy NIS2 i UKSC – kluczowe daty dla firm w Polsce.
| Termin | Obowiązek |
|---|---|
| 3 października 2026 | Rejestracja do Wykazu KSC |
| 3 kwietnia 2027 | Pełne wdrożenie obowiązków UKSC, podłączenie do systemu S46 |
| 3 kwietnia 2028 | Pierwszy audyt podmiotów kluczowych; upływ moratorium na kary pieniężne |
Uwaga: podmioty które uzyskają status kluczowego po 3 kwietnia 2026 mają 24 miesiące od dnia uzyskania statusu na przeprowadzenie pierwszego audytu.
Jak SEDIVIO podchodzi do odpowiedzialności zarządu za NIS2?
Wdrożenie UKSC i NIS2 to projekt, który z natury przekracza kompetencje jednego dostawcy – wymaga zarówno wiedzy technicznej, jak i znajomości prawa administracyjnego, regulacyjnego i kontraktowego. Rozdzielanie tych obszarów na oddzielne zlecenia generuje ryzyko, że między dostawcami powstają luki.
SEDIVIO przeprowadza organizacje przez cały proces wspólnie z kancelarią prawną – łącząc stronę techniczną i prawną w jednym projekcie, z jednym zespołem i jednym harmonogramem.
Jeśli chcesz sprawdzić, jak wygląda sytuacja Twojej organizacji – skontaktuj się z nami.
Dowiedz się więcej o programie wdrożeniowym NIS2/UKSC | Skontaktuj się z nami
Niniejszy wpis ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani opinii prawnej. Przed podjęciem decyzji biznesowych lub prawnych rekomendujemy konsultację z radcą prawnym lub adwokatem specjalizującym się w cyberprawie. SEDIVIO SA realizuje wdrożenia NIS2/UKSC we współpracy z Kancelarią Prawną Krzysztof Rożko i Wspólnicy (KRWLEGAL). Od blisko dwóch dekad tworzymy systemy IT dla sektora finansowego i ochrony zdrowia.
