Kary za NIS2 w Polsce: do 10 mln euro dla firmy, kara dla zarządu i terminy

Ustawa rozróżnia dwie grupy firm objętych obowiązkami: podmioty kluczowe i podmioty ważne. Zwykle kluczowym jest duże przedsiębiorstwo z sektora wymienionego w załączniku 1 do ustawy, a ważnym – średnie przedsiębiorstwo z załącznika 1 albo średnie lub duże z załącznika 2. Obie grupy mają te same obowiązki w zakresie zarządzania ryzykiem, ale różnią się wysokością kar i sposobem nadzoru.

Kwotę w euro przelicza się na złote po średnim kursie NBP z 31 grudnia roku poprzedzającego decyzję. Procent liczy się od przychodów firmy z działalności gospodarczej w poprzednim roku obrotowym. Najważniejsze różnice zebraliśmy w tabeli poniżej.

Formuła „kwota stała lub procent przychodów” często wprowadza w błąd. Weźmy hipotetyczną firmę produkcyjną o przychodach 100 mln zł, która jest podmiotem kluczowym. 2% jej przychodów to 2 mln zł, a 10 mln euro to około 42 mln zł przy założonym kursie 4,20 zł. Górną granicą kary jest więc wyższa kwota, czyli 10 mln euro.

Procent przychodów zaczyna decydować dopiero przy przychodach powyżej 500 mln euro – zarówno dla podmiotów kluczowych, jak i ważnych. Dla typowej średniej firmy maksimum to zatem kwota stała, a nie procent przychodów.

Maksimum to jednak górna granica, a nie stawka. Organ ustala wysokość kary według kryteriów z art. 53 ust. 12 i bierze pod uwagę możliwości finansowe firmy. Najważniejsze kryteria wymieniamy poniżej.

Ustawa wprost przewiduje karę pieniężną dla kierownika podmiotu kluczowego lub ważnego. Kierownik to kierownik jednostki w rozumieniu ustawy o rachunkowości – w spółce kapitałowej jest nim zarząd. Kara może wynieść do 300% wynagrodzenia ukaranego, obliczanego tak jak ekwiwalent za niewykorzystany urlop. W podmiotach publicznych limit wynosi 100%.

Organ może ją nałożyć, gdy zarząd nie wykonuje obowiązków z ustawy, a przemawia za tym czas, zakres lub charakter naruszenia. Kara dla członka zarządu może zostać nałożona niezależnie od kary dla firmy.

Ważna jest zasada z art. 8c. Jeśli zarząd jest wieloosobowy i nie wskazał osoby odpowiedzialnej za cyberbezpieczeństwo, odpowiadają wszyscy jego członkowie. Powierzenie zadań dyrektorowi IT albo firmie zewnętrznej nie zwalnia zarządu z odpowiedzialności. Kara grozi m.in. za zaniechania wymienione poniżej.

Kara pieniężna to tylko jedno z narzędzi. Organ właściwy do spraw cyberbezpieczeństwa to zwykle minister odpowiedzialny za dany sektor. Dla produkcji jest nim minister właściwy do spraw gospodarki, dla żywności – do spraw rolnictwa, a dla komunikacji elektronicznej i usług pocztowych – Prezes Urzędu Komunikacji Elektronicznej (UKE).

Część poniższych środków może być dla firmy dotkliwsza niż sama kara, bo uderza w reputację albo bieżącą działalność. Ostatnie trzy dotyczą tylko podmiotów kluczowych.

Nowelizację ogłoszono 2 marca 2026 r. i obowiązuje od 3 kwietnia 2026 r. Okres przejściowy dotyczy wyłącznie kar pieniężnych. Ostrzeżenia, nakazy i kontrole organ może stosować na bieżąco, a obowiązki trzeba wykonać w terminach z tabeli poniżej.

Jeśli Twoja firma nie złożyła jeszcze wniosku o wpis do wykazu, zrób to niezwłocznie. Brak wniosku w terminie to naruszenie ustawy. Organ może już dziś wezwać do jego usunięcia, a od 3 kwietnia 2028 r. – także nałożyć za nie karę pieniężną.

Organ oceni nie deklaracje, tylko dowody: uchwały, plany, zapisy szkoleń i raporty. Dlatego poniższa lista rozróżnia wymogi wynikające wprost z ustawy i dobre praktyki, które ułatwiają ich wykazanie.

Weźmy hipotetyczną spółkę dystrybucyjną zatrudniającą 180 osób, która jest podmiotem ważnym. Jej zarząd przyjmuje uchwałę o wskazaniu członka zarządu odpowiedzialnego za cyberbezpieczeństwo i planuje budżet. Od tej chwili co kwartał dostaje krótki raport o stanie zabezpieczeń i incydentach. Przy kontroli po incydencie spółka może pokazać, że zarząd podejmował decyzje, a nie tylko podpisał politykę.