Kierownik podmiotu w KSC: za co prezes i zarząd odpowiadają osobiście

„Cyberbezpieczeństwem zajmuje się u nas dział IT” – to zdanie pada na większości zarządów. Po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC) przestało wystarczać. Ustawa wskazuje z nazwy, kto odpowiada za wykonanie obowiązków: kierownik podmiotu, czyli w spółce zarząd. I dodaje coś, czego wielu prezesów się nie spodziewa: odpowiedzialność zostaje przy nim także wtedy, gdy obowiązki powierzył komuś innemu.

Skala niewiedzy jest spora. W badaniu „Zarządy wobec NIS2” (Blackpartners i Bitdefender, sierpień 2026 r., 1356 członków organów zarządczych) 65% ankietowanych zadeklarowało, że zna NIS2 lub ustawę o KSC, ale na trzy pytania kontrolne poprawnie odpowiedziało tylko 11,5%. Aż 61% nie wiedziało o sankcjach osobistych, a 55% – o obowiązkowym corocznym szkoleniu. Poniżej wyjaśniamy, co dokładnie ustawa nakłada na kierownictwo i jak się do tego przygotować.

Najważniejsze w skrócie:

• Kierownik podmiotu to kierownik jednostki w rozumieniu ustawy o rachunkowości – w spółce z o.o. i akcyjnej zarząd, w jednostce publicznej jej kierownik.
• Przy zarządzie wieloosobowym można wskazać osobę odpowiedzialną. Jeśli nikt nie został wskazany, odpowiadają wszyscy członkowie.
• Obowiązki można powierzyć innej osobie, ale powierzenie nie zwalnia z odpowiedzialności.
• Kierownik podmiotu kluczowego i ważnego przechodzi szkolenie raz w roku kalendarzowym – udział musi być udokumentowany.
• Kara osobista sięga 300% wynagrodzenia (w podmiocie publicznym 100%) i jest niezależna od kary nałożonej na firmę.

Kto jest kierownikiem podmiotu w rozumieniu KSC?

Ustawa nie tworzy nowej funkcji, tylko odsyła do przepisów, które firmy już znają. Kierownikiem podmiotu jest kierownik jednostki w rozumieniu ustawy o rachunkowości, kierujący podmiotem kluczowym lub ważnym. W jednostkach sektora finansów publicznych jest nim kierownik jednostki w rozumieniu ustawy o finansach publicznych (art. 2 pkt 8a ustawy o KSC).

W praktyce oznacza to:

• spółka z o.o. i spółka akcyjna – członkowie zarządu,
• spółki osobowe – wspólnicy prowadzący sprawy spółki, a w spółce komandytowej komplementariusze,
• jednoosobowa działalność gospodarcza – sam przedsiębiorca,
• jednostka publiczna – jej kierownik, np. w urzędzie miasta burmistrz lub prezydent.

Najciekawszy jest przepis o organach wieloosobowych. Jeśli kierownikiem podmiotu jest organ wieloosobowy i nie została wskazana osoba odpowiedzialna, odpowiedzialność ponoszą wszyscy członkowie tego organu (art. 8c ust. 2). Prezes do spraw finansowych i wiceprezes do spraw sprzedaży odpowiadają więc za cyberbezpieczeństwo na równi z osobą, która nadzoruje IT – chyba że zarząd wyraźnie przypisze ten obszar jednej osobie.

Ustawa nie mówi, w jakiej formie to zrobić. W naszej ocenie najbezpieczniej jest udokumentować wskazanie tak, jak dokumentuje się podział kompetencji w zarządzie – na piśmie, z datą i jasnym zakresem. Jeśli nie masz pewności, czy firma w ogóle podlega ustawie, zacznij od poradnika o tym, jak sprawdzić status podmiotu kluczowego lub ważnego.

Pięć obowiązków, które ustawa przypisuje kierownikowi

Kierownik odpowiada za to, żeby firma wykonała obowiązki z ustawy – od systemu zarządzania bezpieczeństwem informacji, przez dokumentację i zgłaszanie incydentów, po audyt. Dodatkowo art. 8d wymienia zadania, które należą do niego osobiście. Kierownik podmiotu:

1. podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji,
2. planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa,
3. przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie,
4. zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje,
5. zapewnia zgodność działania podmiotu z przepisami i z wewnętrznymi regulacjami.

Zwróć uwagę na punkt drugi. Budżet na cyberbezpieczeństwo przestaje być wyłącznie sprawą negocjacji między działem IT a finansami. Jeśli analiza ryzyka pokaże lukę, a zarząd nie zaplanuje środków na jej usunięcie, trudno będzie potem wykazać, że środki były „adekwatne”.

Punkt czwarty z kolei oznacza, że szkolenia pracowników to nie dobra wola. Ustawa nie narzuca ich częstotliwości, ale edukacja personelu i zasady cyberhigieny są elementem systemu zarządzania bezpieczeństwem. Jak je zorganizować, opisujemy w artykule jak szkolić pracowników, by stali się pierwszą linią obrony.

Czy obowiązki można przekazać dyrektorowi IT albo firmie zewnętrznej?

Można – i w większości firm trzeba, bo zarząd nie będzie sam konfigurował zabezpieczeń. Ustawa jest tu jednak jednoznaczna: kierownik podmiotu ponosi odpowiedzialność także wtedy, gdy niektóre albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą (art. 8c ust. 3).

Powierzenie zmienia więc to, kto wykonuje zadania, a nie to, kto odpowiada. Z naszej praktyki wynika, że to rozróżnienie decyduje o tym, jak powinien wyglądać nadzór. Zarząd, który powierzył obowiązki i przez rok nie zapytał o ich wykonanie, jest w zupełnie innej sytuacji niż zarząd, który ma:

• pisemne powierzenie z zakresem zadań i zgodą osoby, która je przyjmuje,
• cykliczny raport o stanie bezpieczeństwa – najlepiej raz na kwartał, w stałym formacie,
• udokumentowane decyzje: co zgłoszono, co zarząd postanowił, jaki budżet przyznał,
• niezależne sprawdzenie raz na jakiś czas, np. testy penetracyjne lub audyt.

Ustawa wymaga też, żeby podmiot powołał wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawarł umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Outsourcing jest więc w pełni dopuszczalny – pod warunkiem, że zarząd wie, co zlecił i jak to sprawdza. O tym, jak oceniać dostawców, piszemy w artykule NIS2 a dostawcy.

Jeszcze jeden szczegół, który łatwo przeoczyć: osoba realizująca zadania związane z systemem bezpieczeństwa lub obsługą incydentów przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f).

Szkolenie raz w roku – kogo dotyczy i jak je udokumentować

Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, przechodzi szkolenie raz w roku kalendarzowym (art. 8e). Wbrew temu, co można czasem przeczytać, obowiązek nie ogranicza się do podmiotów kluczowych.

• Zakres – obowiązki podmiotu wynikające z ustawy: system zarządzania bezpieczeństwem, zadania kierownika, dokumentacja, incydenty, audyt.
• Dokumentowanie – ustawa wymaga, by udział był udokumentowany, ale nie określa formy. W praktyce wystarcza zaświadczenie z programem szkolenia i datą.
• Kto szkoli – ustawa nie wskazuje podmiotu ani wymaganej akredytacji. Liczy się to, czy zakres odpowiada przepisom.
• Termin – obowiązki z rozdziału 3 ustawy, w tym szkolenie, firmy objęte ustawą od początku realizują najpóźniej od 3 kwietnia 2027 r.

Dobre szkolenie dla zarządu nie jest wykładem o hasłach. Powinno odpowiadać na pytania, które zarząd faktycznie musi rozstrzygać: jakie ryzyka są w firmie największe, ile kosztuje ich ograniczenie, co się dzieje w pierwszej dobie po incydencie i kto wtedy podejmuje decyzje. Terminy z tej pierwszej doby opisujemy w tekście o zgłaszaniu incydentu poważnego w 24 godziny.

Kary osobiste: do 300% wynagrodzenia i nie tylko

Ustawa przewiduje karę pieniężną nakładaną bezpośrednio na kierownika podmiotu – do 300% wynagrodzenia, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop. W podmiocie publicznym limit wynosi 100%. Karę nakłada w drodze decyzji organ właściwy do spraw cyberbezpieczeństwa.

Kara grozi m.in. za brak wpisu do wykazu lub aktualizacji danych, niewdrożenie systemu zarządzania bezpieczeństwem informacji, niewykonanie zadań z art. 8d, brak szkolenia, uchybienia przy zgłaszaniu incydentów czy brak audytu. Jest niezależna od kary nałożonej na sam podmiot, która może sięgnąć 10 mln euro lub 2% przychodów (podmiot kluczowy) albo 7 mln euro lub 1,4% przychodów (podmiot ważny).

Wobec podmiotów kluczowych organ ma jeszcze jeden środek: może czasowo zakazać kierownikowi pełnienia funkcji zarządczych do czasu usunięcia uchybień. Ten środek nie dotyczy podmiotów publicznych.

Kary pieniężne mogą być nakładane po raz pierwszy po 3 kwietnia 2028 r. To odroczenie dotyczy jednak kar, a nie obowiązków – a organ, który w 2028 r. zapyta, co zarząd zrobił przez dwa lata, będzie oceniał właśnie ten okres. Dokumenty z lat 2026–2027 są więc najlepszą obroną.

Częste pytanie dotyczy ubezpieczenia. To, czy polisa D&O albo cyberpolisa pokryje karę administracyjną nałożoną na członka zarządu, zależy od warunków i wyłączeń konkretnej umowy. Warto to sprawdzić u brokera przed odnowieniem polisy, a nie po decyzji organu.

Co zarząd powinien zrobić w najbliższych miesiącach

Nie trzeba zaczynać od wielkiego projektu. Wystarczy sześć decyzji, które porządkują odpowiedzialność i zostawiają ślad w dokumentach:

1. Potwierdź status firmy i sprawdź, czy został złożony wniosek o wpis do wykazu KSC.
2. Wskaż osobę odpowiedzialną w zarządzie – albo świadomie zdecyduj, że odpowiadają wszyscy.
3. Powierz zadania na piśmie – wewnętrznej strukturze lub dostawcy usług zarządzanych.
4. Zamów analizę luk i na jej podstawie zaplanuj budżet na 2027 r.
5. Ustal stały raport o stanie bezpieczeństwa i wpisz go do kalendarza posiedzeń zarządu.
6. Zaplanuj szkolenie dla kierownictwa i zachowaj potwierdzenie udziału.

Co dokładnie musi być wdrożone po stronie technicznej i organizacyjnej, rozpisaliśmy w artykule co firma musi wdrożyć do 3 kwietnia 2027 r.

Jak pomagamy zarządom przygotować się do KSC

W mIT security pracujemy z zarządami tak, żeby cyberbezpieczeństwo dało się nadzorować bez wiedzy technicznej:

• analiza luk i plan wdrożenia z priorytetami i szacunkiem nakładów – podstawa do decyzji budżetowej,
• szkolenie dla kierownictwa z zakresu obowiązków ustawy, zakończone potwierdzeniem udziału,
• testy socjotechniczne i testy penetracyjne, które pokazują realny stan zabezpieczeń,
• cykliczny raport dla zarządu oparty na danych z monitoringu SOC 24/7,
• wdrożenie wymagań NIS2 i KSC – od polityk po procedury.

Chcesz wiedzieć, jak wygląda sytuacja Twojej firmy i co zarząd powinien mieć na piśmie? Umów bezpłatną konsultację – powiemy konkretnie, od czego zacząć.

FAQ – kierownik podmiotu w KSC

Czy każdy członek zarządu odpowiada za cyberbezpieczeństwo?

Tak, jeśli zarząd jest wieloosobowy i nie wskazano osoby odpowiedzialnej. Gdy taka osoba została wskazana, odpowiedzialność z ustawy o KSC spoczywa na niej.

Czy powierzenie obowiązków dyrektorowi IT zwalnia zarząd z odpowiedzialności?

Nie. Kierownik podmiotu odpowiada także wtedy, gdy powierzył obowiązki innej osobie za jej zgodą.

Czy coroczne szkolenie dotyczy też podmiotów ważnych?

Tak. Obowiązek obejmuje kierownika podmiotu kluczowego lub ważnego oraz osobę, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa.

Kto może przeprowadzić szkolenie dla kierownika podmiotu?

Ustawa nie wskazuje konkretnego podmiotu ani akredytacji. Wymaga, by szkolenie dotyczyło obowiązków z ustawy, a udział był udokumentowany.

Od kiedy mogą być nakładane kary na kierownika podmiotu?

Kary pieniężne mogą zostać nałożone po raz pierwszy po 3 kwietnia 2028 r. Same obowiązki trzeba jednak wykonać wcześniej.

Kto jest kierownikiem podmiotu w jednoosobowej działalności?

Sam przedsiębiorca – wynika to z odesłania do ustawy o rachunkowości.

Źródła

• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
• Ministerstwo Cyfryzacji – Sejm uchwalił nowelizację ustawy o KSC (23.01.2026)
• Wolters Kluwer – NIS2: analiza nowelizacji UKSC 2026
• Prawo.pl – burmistrz i prezydent miasta mogą zapłacić karę osobiście (4.08.2026)
• KPMG – nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (5.02.2026)
• Blackpartners i Bitdefender – raport „Zarządy wobec NIS2” (27.08.2026)
• Dyrektywa (UE) 2022/2555 (NIS2), art. 20 i 32 – EUR-Lex

Stan prawny na 2 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.