Analiza regulacyjna
NIS2 wprowadza jeden z najwyższych systemów kar w polskim prawie regulacyjnym oraz osobistą odpowiedzialność członków zarządu za brak wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa. Ten artykuł opisuje sankcje, procedurę ich nakładania i konsekwencje dla zarządu.
Podmioty kluczowe mogą zostać ukarane do 10 mln EUR lub 2% rocznego globalnego obrotu – w zależności co wyższe. Dla firmy o globalnym obrocie 1 mld EUR maksymalna kara to 20 mln EUR (2% > 10 mln EUR).
Podmioty ważne mogą zostać ukarane do 7 mln EUR lub 1,4% rocznego globalnego obrotu – w zależności co wyższe. Niższa kara odzwierciedla węższy zakres obowiązków podmiotów ważnych.
Polska ustawa UoKSC precyzuje, że kary nakładane są przez organy nadzoru właściwe dla sektora (KNF, UKE, ministrowie właściwi). Wysokość kary w konkretnym przypadku zależy od wagi naruszenia, jego skutków, postawy podmiotu.
W pierwszych miesiącach obowiązywania NIS2 organy nadzoru będą prawdopodobnie koncentrować się na obszarach najbardziej zaniedbanych. Firmy, które rozpoczęły wdrożenie zgodności w odpowiednim czasie, mogą liczyć na łagodniejsze podejście.
NIS2 wprowadziła obowiązek odpowiedzialności osobistej członków zarządu za wdrożenie środków zarządzania ryzykiem cyberbezpieczeństwa. To kluczowa zmiana – wcześniej odpowiedzialność za bezpieczeństwo była rozproszona w organizacji.
Konkretne obowiązki członków zarządu: zatwierdzanie polityki cyberbezpieczeństwa, regularny przegląd raportów stanu bezpieczeństwa, obowiązkowe szkolenia z zarządzania ryzykiem cyberbezpieczeństwa, decyzje o alokacji zasobów na bezpieczeństwo.
Konsekwencja braku wdrożenia: oprócz kary nakładanej na organizację, organ nadzoru może wystąpić o tymczasowy zakaz pełnienia funkcji kierowniczych przez konkretną osobę. To bezprecedensowa sankcja w polskim prawie cyberbezpieczeństwa.
Obowiązek publicznego ujawnienia incydentu lub niedostosowania: organ nadzoru może nakazać podmiotowi publiczne ogłoszenie informacji o incydencie istotnym lub o naruszeniu obowiązków regulacyjnych. Wpływ na reputację marki jest realny i długotrwały.
Nakaz wdrożenia konkretnych środków technicznych i organizacyjnych: organ nadzoru może nakazać wdrożenie konkretnych zabezpieczeń w określonym terminie. Niedotrzymanie terminu skutkuje kolejnymi karami.
Tymczasowy zakaz świadczenia usług: w skrajnych przypadkach organ nadzoru może zażądać tymczasowego zaprzestania świadczenia usług. To rzadka, ale możliwa sankcja.
Krok pierwszy: oficjalne zatwierdzenie polityki bezpieczeństwa przez zarząd. Polityka musi być pisemna, datowana, opatrzona uchwałą zarządu. Bez tego dokumentu organ nadzoru zakwestionuje wdrożenie.
Krok drugi: udokumentowane szkolenia członków zarządu z zarządzania ryzykiem cyberbezpieczeństwa. Szkolenia są obowiązkowe i powtarzane regularnie (typowo raz w roku).
Krok trzeci: regularne raporty stanu bezpieczeństwa dla zarządu. Co najmniej kwartalnie, w formie pisemnej, z konkretnymi metrykami.
Krok czwarty: procedura notyfikacji incydentu wdrożona i przetestowana. Jasna ścieżka decyzyjna: kto ocenia istotność, kto kontaktuje CSIRT NASK, kto powiadamia zarząd.
Krok piąty: gotowa dokumentacja na kontrolę. Komplet polityk, procedur, ewidencji szkoleń, raportów stanu bezpieczeństwa. Praktyczne wsparcie zapewnia audyt zgodności z NIS2.
NIS2 zmieniła sposób, w jaki zarządy myślą o cyberbezpieczeństwie. Wcześniej była to kwestia kosztu operacyjnego. Dziś jest to kwestia osobistej odpowiedzialności prezesa.
FAQ
Pytania, które najczęściej zadają zarządy oceniające ryzyko sankcyjne z tytułu NIS2.
O tej stronie
O autorze
Kacper Włodarczyk
Założyciel ALGORCOMP
Założyciel ALGORCOMP. Specjalizuje się we wdrożeniach Microsoft 365 Copilot, Copilot Studio, Power Platform (Power Automate, Power Apps, SharePoint) oraz agentów AI dla średnich firm B2B w Polsce. Prowadzi dziesiątki projektów z zakresu strategii AI, governance Power Platform, automatyzacji obiegu dokumentów i procesów sprzedażowych. W publikacjach koncentruje się na praktycznych aspektach wdrożeń AI w organizacjach — od pierwszego POC do skalowania na całą firmę, ze szczególnym uwzględnieniem bezpieczeństwa danych, zgodności (RODO, NIS2, AI Act) i zwrotu z inwestycji.
Poznaj zespółBezpłatna 30-minutowa konsultacja: omówimy status firmy w świetle NIS2, ocenimy obecną dokumentację i wskażemy obszary największego ryzyka sankcyjnego.
Wyróżnione
Definicja vCISO, zakres odpowiedzialności, sygnały że firma potrzebuje wirtualnego CISO oraz typowe sytuacje (NIS2, klienci enterprise, due diligence, brak strategicznego nadzoru). Praktyczny przewodnik dla zarządu.
Porównanie kompetencji, zakresu odpowiedzialności i struktury pracy między vCISO a etatowym CISO. Dla jakiej skali firmy który model ma sens. Wpływ regulacji NIS2 i DORA na wybór modelu.
18 sektorów objętych NIS2, kryteria klasyfikacji podmiotu kluczowego vs ważnego, próg 50 pracowników / 10 mln EUR, ścieżka decyzyjna dla średniej firmy. Praktyczny przewodnik dla zarządu.
