Odpowiedzialność zarządu NIS2 nie kończy się na zatwierdzeniu budżetu IT ani wyznaczeniu specjalisty do spraw bezpieczeństwa. Polska ustawa o krajowym systemie cyberbezpieczeństwa przypisuje kierownikowi podmiotu kluczowego lub ważnego konkretne zadania związane z przygotowaniem, wdrażaniem, stosowaniem, przeglądem i nadzorem nad systemem zarządzania bezpieczeństwem informacji. Kierownictwo ma również planować środki finansowe, przydzielać zadania, nadzorować ich wykonanie i zapewniać świadomość personelu. Co szczególnie ważne, powierzenie obowiązków dyrektorowi IT, CISO albo zewnętrznemu dostawcy nie usuwa odpowiedzialności kierownika. Dlatego zarząd powinien nie tylko podejmować decyzje, ale także pozostawiać dowody świadomego nadzoru.
Najważniejsze informacje
- Odpowiedzialność zarządu NIS2 wynika w Polsce przede wszystkim z aktualnego brzmienia ustawy o KSC.
- Kierownik odpowiada także wtedy, gdy zadania powierzono pracownikowi, pełnomocnikowi lub dostawcy zewnętrznemu.
- Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność mogą ponosić wszyscy jego członkowie.
- Kierownictwo musi raz w roku przejść szkolenie, a udział w nim powinien zostać udokumentowany.
- Zarząd powinien podejmować decyzje dotyczące SZBI, budżetu, podziału zadań, ryzyka, incydentów, dostawców i ciągłości działania.
- Sama prezentacja przygotowana przez IT nie wykazuje jeszcze realnego nadzoru.
- Dowodami mogą być uchwały, protokoły, raporty, decyzje budżetowe, rejestry ryzyka i potwierdzenia wykonania działań.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Kogo obejmuje odpowiedzialność zarządu NIS2?
Określenie „zarząd” jest skrótem używanym w komunikacji biznesowej. Ustawa o KSC posługuje się pojęciem kierownika podmiotu kluczowego lub podmiotu ważnego. W zależności od formy organizacyjnej może nim być zarząd spółki, dyrektor jednostki, wójt, burmistrz, prezydent miasta, kierownik podmiotu leczniczego albo inna osoba lub organ kierujący działalnością organizacji.
Pierwszym krokiem jest więc prawidłowa identyfikacja:
- Czy organizacja jest podmiotem kluczowym lub ważnym?
- Kto w jej strukturze jest kierownikiem w rozumieniu KSC?
- Czy kierownikiem jest jedna osoba, czy organ wieloosobowy?
- Czy wskazano osobę odpowiedzialną za obowiązki w obszarze cyberbezpieczeństwa?
- Jak ten podział został formalnie udokumentowany?
Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, ustawa przewiduje odpowiedzialność wszystkich członków organu. Nie należy jednak traktować wskazania jednej osoby jako prostego sposobu na całkowite uwolnienie pozostałych członków zarządu od obowiązku zainteresowania się cyberbezpieczeństwem. Zakres odpowiedzialności musi wynikać z przepisów, zasad reprezentacji, wewnętrznego podziału kompetencji i faktycznego działania.
Przed zaprojektowaniem modelu nadzoru warto potwierdzić status organizacji. BPPZ wspiera przedsiębiorców w ramach wdrożenia NIS2 i KSC, obejmującego kwalifikację podmiotu, analizę obowiązków, ocenę luk i przygotowanie dokumentacji.
Za co odpowiada kierownik podmiotu?
Odpowiedzialność zarządu NIS2 obejmuje znacznie więcej niż techniczne zabezpieczenia. Zgodnie z art. 8d ustawy o KSC kierownik:
- podejmuje decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru nad SZBI;
- planuje adekwatne środki finansowe;
- przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie;
- zapewnia świadomość personelu oraz znajomość regulacji wewnętrznych;
- zapewnia zgodność działania organizacji z prawem i dokumentacją wewnętrzną.
W praktyce odpowiedzialność zarządu NIS2 można uporządkować w pięciu obszarach.
| Obszar | Decyzja kierownictwa | Przykładowy dowód |
|---|---|---|
| Zakres | Ustalenie procesów, usług i systemów objętych KSC | mapa procesów i zatwierdzony zakres SZBI |
| Ryzyko | Akceptacja metodyki, progów i planu postępowania | rejestr ryzyka, protokół posiedzenia |
| Zasoby | Przyznanie budżetu, personelu i narzędzi | decyzja budżetowa, plan zatrudnienia |
| Nadzór | Ustalenie raportowania i wskaźników | cykliczny raport dla zarządu |
| Reakcja | Zatwierdzenie procesu eskalacji i ciągłości działania | procedura incydentowa, protokół ćwiczenia |
Zarząd nie musi sam konfigurować zapory sieciowej ani analizować logów. Powinien jednak rozumieć, jakie ryzyka są istotne, kto nimi zarządza, jaki jest stan działań i które decyzje wymagają jego udziału.
Czy można przekazać odpowiedzialność dyrektorowi IT?
Zadania można powierzyć dyrektorowi IT, CISO, pełnomocnikowi, pracownikowi bezpieczeństwa albo zewnętrznemu usługodawcy. Ustawa wskazuje jednak, że kierownik ponosi odpowiedzialność także wtedy, gdy niektóre lub wszystkie obowiązki powierzono innej osobie za jej zgodą.
Oznacza to, że delegowanie powinno porządkować wykonanie zadań, a nie tworzyć pozoru przeniesienia całej odpowiedzialności. Dokument powierzający zadania powinien określać:
- zakres obowiązków;
- uprawnienia do podejmowania decyzji;
- dostęp do informacji i zasobów;
- sposób raportowania;
- zasady eskalacji ryzyka;
- zastępstwo i ciągłość funkcji;
- częstotliwość przeglądów;
- relację z zarządem, IT, prawnikiem, IOD i dostawcami.
Jeżeli osoba odpowiedzialna sygnalizuje krytyczne ryzyko, a zarząd ignoruje informację, samo formalne powierzenie zadań nie będzie przekonującym dowodem staranności. Z drugiej strony, jeżeli specjalista nie otrzyma budżetu, danych lub uprawnień, nie można oczekiwać od niego skutecznej realizacji powierzonych obowiązków.
Coroczne szkolenie kierownictwa
Odpowiedzialność zarządu NIS2 jest powiązana z obowiązkiem szkoleniowym. Kierownik podmiotu oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą szkolenie. Udział w szkoleniu musi zostać udokumentowany.
Szkolenie zarządu nie powinno ograniczać się do ogólnej prezentacji o phishingu. Zakres powinien odpowiadać zadaniom kierownictwa i obejmować między innymi:
- status oraz obowiązki podmiotu;
- zasady funkcjonowania SZBI;
- odpowiedzialność za decyzje i finansowanie;
- wymagania dotyczące ryzyka i łańcucha dostaw;
- terminy oraz eskalację incydentów;
- ciągłość działania i odtwarzanie systemów;
- zasady raportowania do zarządu;
- środki nadzorcze i kary;
- dokumentowanie decyzji;
- aktualne zagrożenia właściwe dla sektora.
Dowodem wykonania obowiązku może być program, lista obecności, potwierdzenie ukończenia, materiały, data szkolenia i informacja o prowadzącym. Najważniejsze jest jednak to, aby szkolenie przygotowało kierownictwo do podejmowania decyzji, a nie tylko pozwoliło zebrać certyfikaty.
BPPZ może przygotować szkolenie dla kierownictwa dostosowane do zakresu KSC, modelu organizacji i rzeczywistych ryzyk.
Jak zarząd powinien nadzorować SZBI?
System zarządzania bezpieczeństwem informacji powinien obejmować procesy wpływające na świadczenie usługi objętej KSC. Zarząd powinien zatwierdzić jego zakres i regularnie otrzymywać informacje o skuteczności.
Praktyczny raport zarządczy może obejmować:
- najważniejsze ryzyka i zmiany ich poziomu;
- stan wykonania planu postępowania z ryzykiem;
- krytyczne podatności i czas ich usunięcia;
- incydenty oraz zdarzenia potencjalnie niebezpieczne;
- wyniki testów kopii zapasowych i ciągłości działania;
- stan przeglądu dostawców;
- odstępstwa od polityk;
- wyniki audytów i kontroli;
- szkolenia oraz testy świadomości personelu;
- potrzeby budżetowe;
- decyzje wymagane od kierownictwa.
Odpowiedzialność zarządu NIS2 wymaga ustalenia właściwej częstotliwości raportowania. Raport kwartalny może wystarczyć w stabilnym środowisku, jednak poważny incydent, krytyczna podatność lub ryzyko przerwania usługi wymagają natychmiastowej eskalacji.
Jak udokumentować realny nadzór?
Dokumentacja nie zastąpi działania, ale bez dokumentacji trudno wykazać, że działanie rzeczywiście nastąpiło. Zarząd powinien zachować spójny zestaw dowodów.
1. Uchwała lub decyzja otwierająca projekt
Powinna wskazywać cel, zakres, osobę odpowiedzialną, zespół, budżet i sposób raportowania.
2. Zatwierdzony zakres SZBI
Dokument powinien wskazywać usługi, procesy, systemy, lokalizacje i zależności objęte systemem.
3. Rejestr decyzji
Warto zapisywać decyzje dotyczące akceptacji ryzyka, odstępstw, budżetu, terminów i priorytetów.
4. Raporty cykliczne
Raport powinien zawierać nie tylko opis wykonanych zadań, ale również problemy, opóźnienia i wymagane decyzje.
5. Protokoły ćwiczeń i testów
Test odtworzenia kopii, ćwiczenie ransomware albo symulacja niedostępności dostawcy pokazują, czy procedury działają.
6. Potwierdzenia szkoleń
Dokumentacja powinna obejmować kierownictwo, osoby wykonujące zadania oraz personel korzystający z systemów.
7. Plan działań naprawczych
Każda luka powinna mieć właściciela, termin, priorytet i status.
Tak zbudowana teczka nadzorcza pomaga wykazać odpowiedzialność zarządu NIS2 podczas audytu, kontroli, postępowania po incydencie lub rozmów z kontrahentem. Jej przygotowanie można połączyć z projektowym doradztwem prawnym BPPZ, obejmującym dokumentację, podział odpowiedzialności i umowy z dostawcami.
Budżet cyberbezpieczeństwa jako decyzja zarządcza
Ustawa wymaga planowania adekwatnych środków finansowych. Nie oznacza to jednej ustawowej kwoty ani procentu przychodów. Budżet powinien wynikać z ryzyka, skali systemów, znaczenia usług, zależności od dostawców oraz stanu istniejących zabezpieczeń.
Zarząd powinien znać przynajmniej:
- koszt usunięcia krytycznych luk;
- koszt zapewnienia monitorowania i reakcji;
- koszt ciągłości działania i testów odtworzeniowych;
- koszt audytów i szkoleń;
- koszt zastąpienia niewspieranego systemu;
- ryzyko biznesowe wynikające z odłożenia inwestycji.
Jeżeli wszystkie rekomendacje bezpieczeństwa są automatycznie odrzucane jako zbyt kosztowne, organizacja powinna umieć wykazać analizę alternatyw i świadomą akceptację ryzyka. Odpowiedzialność zarządu NIS2 oznacza bowiem konieczność podejmowania decyzji na podstawie informacji, nie na podstawie założenia, że incydent się nie wydarzy.
Odpowiedzialność za dostawców i łańcuch dostaw
Zarząd nie może ograniczyć analizy do systemów utrzymywanych własnymi siłami. SZBI ma obejmować bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi.
Kierownictwo powinno wiedzieć:
- którzy dostawcy są krytyczni;
- jakie systemy i dane obsługują;
- czy istnieje możliwość zastąpienia usługi;
- jak dostawca zgłasza incydenty;
- jakie podmioty dalsze uczestniczą w świadczeniu usługi;
- czy umowa przewiduje audyt, logi, kopie, aktualizacje i plan wyjścia;
- czy dostawca jest objęty rekomendacją albo decyzją dotyczącą ryzyka.
Szczegółowy przegląd dostawców może być elementem audytu i wdrożenia NIS2. Pozwala on połączyć wymagania prawne, umowy, architekturę systemów i ciągłość działania.
Jakie kary mogą dotyczyć kierownika?
Ustawa przewiduje możliwość nałożenia kary również na kierownika podmiotu. Może ona zostać wymierzona za niewykonanie wskazanych obowiązków, a w określonych przypadkach także wtedy, gdy zaniechanie miało charakter jednorazowy.
Kara dla kierownika może sięgać 300 procent wynagrodzenia obliczanego według zasad stosowanych przy ekwiwalencie za urlop. W przypadku kierownika podmiotu publicznego limit wynosi 100 procent tak obliczonego wynagrodzenia. Niezależnie od tego sankcja może zostać nałożona także na sam podmiot.
Odpowiedzialność zarządu NIS2 nie powinna być jednak przedstawiana wyłącznie przez pryzmat kary. Poważny incydent może spowodować przerwę w działalności, utratę klientów, roszczenia, koszty odtworzenia systemów i zainteresowanie kilku organów jednocześnie. Dlatego najważniejszą funkcją nadzoru jest ograniczenie skutków biznesowych. Dobrze zaprojektowana odpowiedzialność zarządu NIS2 wzmacnia odporność organizacji, zamiast ograniczać się do formalnej zgodności.
Checklista zarządu
- Potwierdź, czy organizacja jest podmiotem kluczowym lub ważnym.
- Ustal, kto jest kierownikiem podmiotu w rozumieniu KSC.
- Udokumentuj podział obowiązków w organie wieloosobowym.
- Wyznacz osobę odpowiedzialną za koordynację cyberbezpieczeństwa.
- Przyjmij zakres SZBI i mapę usług krytycznych.
- Zatwierdź metodykę oraz rejestr ryzyka.
- Zaplanuj adekwatny budżet.
- Ustal raportowanie cykliczne i natychmiastową eskalację.
- Zatwierdź procedurę incydentową oraz ciągłość działania.
- Sprawdź dostawców krytycznych i umowy.
- Przeprowadź i udokumentuj coroczne szkolenie.
- Zaplanuj audyty, testy i przeglądy.
- Monitoruj działania naprawcze.
- Zachowuj protokoły i dowody decyzji.
- Aktualizuj system po zmianie usług, technologii albo ryzyka.
Praktyczny scenariusz
Zarząd spółki produkcyjnej otrzymuje informację, że system planowania produkcji działa na niewspieranej wersji oprogramowania. Dyrektor IT przedstawia trzy opcje: modernizację, czasowe zabezpieczenia kompensujące albo dalsze używanie systemu bez zmian.
Prawidłowy nadzór nie polega na przesłaniu maila „proszę się tym zająć”. Zarząd powinien otrzymać ocenę ryzyka, wpływ potencjalnej awarii, koszt wariantów, termin i rekomendację. Następnie podejmuje decyzję, wskazuje właściciela, zapewnia finansowanie i ustala termin raportu kontrolnego.
Jeżeli wybrano rozwiązanie przejściowe, decyzja powinna wskazywać zabezpieczenia, okres obowiązywania i warunek ponownego przeglądu. Właśnie takie postępowanie pokazuje, że odpowiedzialność zarządu NIS2 została przełożona na realny proces decyzyjny.
Dzielimy się wiedzą
W BPPZ łączymy wymagania prawne z praktycznym zarządzaniem ryzykiem. Pomagamy ustalić status organizacji, zaprojektować SZBI, przygotować raportowanie i przeprowadzić szkolenie kierownictwa. Celem nie jest stworzenie zestawu dokumentów, lecz modelu, w którym zarząd otrzymuje informacje potrzebne do podejmowania bezpiecznych decyzji.
Podsumowanie
Odpowiedzialność zarządu NIS2 wymaga aktywnego nadzoru. Kierownictwo powinno podejmować decyzje dotyczące SZBI, finansowania, podziału zadań, świadomości personelu, dostawców i zgodności z prawem. Nie może przy tym uznać, że zatrudnienie CISO albo podpisanie umowy z dostawcą przenosi całą odpowiedzialność.
Najlepszym zabezpieczeniem zarządu jest uporządkowany proces: właściwa informacja, jasny podział zadań, cykliczne raportowanie, decyzje podejmowane na podstawie ryzyka oraz dowody wykonania. Odpowiedzialność zarządu NIS2 staje się wtedy elementem profesjonalnego zarządzania, a nie reakcją podejmowaną dopiero po kontroli lub incydencie.
Zapraszamy do współpracy
Jeżeli organizacja potrzebuje kwalifikacji pod KSC, analizy luk, szkolenia kierownictwa lub wdrożenia SZBI, BPPZ może przygotować zakres wsparcia odpowiadający jej sektorowi, wielkości i ryzyku. Szczegóły znajdują się w ofercie NIS2 i KSC dla organizacji.
FAQ
KSC przewiduje odpowiedzialność kierownika podmiotu kluczowego lub ważnego. W spółce może to oznaczać członków zarządu, zależnie od struktury, podziału kompetencji i faktycznego kierowania organizacją.
Nie. Zadania można delegować, ale ustawa wskazuje, że kierownik odpowiada również wtedy, gdy obowiązki powierzono innej osobie. Delegowanie musi być połączone z zasobami, raportowaniem i nadzorem.
Kierownik oraz osoba wykonująca jego obowiązki w zakresie cyberbezpieczeństwa przechodzą szkolenie raz w roku kalendarzowym. Udział powinien być udokumentowany.
Nie musi administrować systemami. Powinien jednak rozumieć najważniejsze ryzyka, wpływ na działalność, obowiązki organizacji oraz decyzje wymagające zatwierdzenia i finansowania.
Dowodami mogą być uchwały, protokoły, raporty, rejestry ryzyka, decyzje budżetowe, plany działań, wyniki ćwiczeń i potwierdzenia szkoleń. Dokumentacja powinna odpowiadać faktycznym działaniom.
Może podejmować decyzje o postępowaniu z ryzykiem, ale nie powinien akceptować naruszenia obowiązku prawnego. Decyzja musi opierać się na analizie, alternatywach, zabezpieczeniach i terminie przeglądu.
Nie wskazuje jednej kwoty. Kierownik ma planować środki adekwatne do ryzyka, znaczenia usług, skali systemów, zależności od dostawców i potrzeb organizacji.
Tak. Ustawa obejmuje kierowników podmiotów publicznych uznanych za kluczowe lub ważne. Dla osobistej kary kierownika podmiotu publicznego przewidziano odrębny limit.
Nie. Wpis jest obowiązkiem rejestrowym. Osobno trzeba wdrożyć SZBI, zarządzanie ryzykiem, obsługę incydentów, ciągłość działania, nadzór nad dostawcami, szkolenia i dokumentację.
Od potwierdzenia statusu podmiotu, wskazania kierownika, oceny luk i ustalenia raportowania. Następnie należy zaplanować SZBI, budżet, szkolenie, przegląd dostawców i harmonogram działań.
Źródła
- ELI – Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.
- Ministerstwo Cyfryzacji – Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa.
- Ministerstwo Cyfryzacji – Obowiązki podmiotów kluczowych i ważnych.
- EUR-Lex – Dyrektywa NIS2, czyli dyrektywa (UE) 2022/2555.
- EUR-Lex – Rozporządzenie wykonawcze (UE) 2024/2690.
