Co grozi za brak wdrożenia KSC?

Ustawa o Krajowym Systemie Cyberbezpieczeństwa nakłada na organizacje obowiązki, których zignorowanie niesie dotkliwe skutki finansowe oraz prawne. Odpowiedzialność za braki w zabezpieczeniach wykracza daleko poza dział IT, obejmując całą strukturę firmy oraz jej najwyższe kierownictwo. Nowe przepisy są surowo egzekwowane przez organy nadzorcze, co oznacza, że regulacji tych w żadnym wypadku nie można traktować jako martwego prawa. Kary za brak wdrożenia KSC sięgają 10 milionów euro lub 2% rocznego przychodu dla firm oraz do 300%  miesięcznego wynagrodzenia dla członków zarządu. Czas na obowiązkową samoidentyfikację mija 3 października 2026 roku.

Spis treści:

1. Wysokość kar finansowych i podział na podmioty
2. Osobista odpowiedzialność kadry zarządzającej
3. Koszty operacyjne, wizerunkowe i biznesowe naruszeń
4. Kontrole i najczęstsze błędy we wdrożeniu KSC
5. Wdrożenie KSC jako fundament ciągłości biznesu

Wysokość kar finansowych i podział na podmioty

Przepisy wyraźnie różnicują sankcje w zależności od klasyfikacji organizacji objętej ustawą. Podmioty kluczowe muszą liczyć się z karami administracyjnymi sięgającymi do 10 milionów euro lub 2% przychodów osiągniętych przez podmiot kluczowy z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary,, przy czym organ zawsze stosuje kwotę wyższą. Dla podmiotów ważnych maksymalny wymiar kary wynosi 7 milionów euro lub 1,4%przychodów osiągniętych przez podmiot ważny z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary.

Ustawa przewiduje również sankcje mające na celu wymuszenie natychmiastowego działania naprawczego. Pojawia się instytucja okresowej kary pieniężnej za każdy dzień opóźnienia w realizacji decyzji organu nadzorczego, wynoszącej od 500 złotych do 100 000 złotych dziennie. W przypadkach krytycznych, gdzie naruszenie przepisów ustawy powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi lub zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług, organ nakłada karę w wysokości do 100 milionów złotych ,. 

Osobista odpowiedzialność kadry zarządzającej

Wdrożenie KSC uświadamia, że najwyższe kierownictwo nie może przenieść pełnej odpowiedzialności prawnej wyłącznie na dyrektorów technicznych. Istnieje bezpośrednia odpowiedzialność finansowa osób zarządzających za brak nadzoru nad systemem oraz za niedopełnienie obowiązku corocznych szkoleń. Organ nadzorczy rygorystycznie rozlicza z tych obowiązków konkretne osoby fizyczne wchodzące w skład zarządu.

Kary nakładane na kierowników podmiotu kluczowego lub podmiotu ważnego są wyjątkowo surowe i zależą od charakteru prawno-biznesowego organizacji.. W przypadku kierowników podmiotów prywatnych kara może sięgnąć do 300% otrzymywanego przez ukaranego wynagrodzenia. Dla kierowników podmiotów publicznych kara może wynieść  do 100% otrzymywanego przez ukaranego wynagrodzenia. 

W przypadku podmiotów kluczowych sankcje personalne nie ograniczają się jednak wyłącznie do obciążeń finansowych. Ustawa przewiduje bowiem możliwość nałożenia  czasowego zakazu pełnienia w podmiocie kluczowym funkcji zarządczych przez kierownika podmiotu do czasu usunięcia uchybień lub zaprzestania naruszeń.

Co istotne, wyznaczenie osoby odpowiedzialnej za cyberbezpieczeństwo (np. CISO) nie zwalnia kierownika podmiotu z odpowiedzialności za to, aby podmiot spełniał wymagania ustawy.

Koszty operacyjne, wizerunkowe i biznesowe naruszeń

Paraliż operacyjny spowodowany udanym atakiem na niezabezpieczoną infrastrukturę pociąga za sobą gigantyczne straty. Przestoje w dostarczaniu usług kosztują nierzadko setki tysięcy złotych za każdą godzinę trwania awarii, co bezpośrednio uderza w rentowność przedsiębiorstwa. Koszty technicznego przywrócenia sprawności systemów często przewyższają wieloletnie nakłady na prewencję.

Poważny incydent i wyciek danych skutkują nagłą utratą zaufania wieloletnich kontrahentów oraz kluczowych inwestorów. Dodatkowo ustawa przewiduje, że wobec podmiotu kluczowego organ nadzorczy może nakazać poinformowanie odbiorców usług, których dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia oraz o możliwych środkach ochronnych lub naprawczych. Taka konieczność wiąże się ze znacznymi stratami wizerunkowymi, które potrafią trwale zrujnować wypracowaną pozycję na rynku.

Podmioty kluczowe, które nie wykonują decyzji lub nakazów wydanych przez organ nadzorczy, narażają się również na daleko idące środki nadzorcze wpływające bezpośrednio na możliwość prowadzenia działalności. Organ może m.in. wstrzymać udzieloną temu podmiotowi koncesję lub ograniczyć jej zakres, wstrzymać wydane zezwolenie na prowadzenie działalności gospodarczej albo nawet wstrzymać w całości lub w części działalność podmiotu do czasu usunięcia stwierdzonych uchybień lub zaprzestania naruszeń.

Dodatkowymi utrudnieniami mogą być również obowiązki wynikające z wydania decyzji uznającej określony podmiot za tzw.  dostawcę wysokiego ryzyka.

Kontrole i najczęstsze błędy we wdrożeniu KSC

Organy właściwe do spraw cyberbezpieczeństwa sprawują nadzór nad wykonywaniem obowiązków wynikających z ustawy przez podmioty kluczowe i podmioty ważne. Zakres tego nadzoru różni się w zależności od kategorii podmiotu. Wobec podmiotów kluczowych nadzór ma charakter zarówno prewencyjny, jak i następczy, natomiast wobec podmiotów ważnych ma co do zasady charakter następczy i jest podejmowany w szczególności w przypadku uzasadnionego podejrzenia naruszenia przepisów ustawy. 

Jednym z największych zagrożeń prawnych dla firm jest zignorowanie ustawowych ram czasowych. W związku z tym należy mieć na względzie kluczowy obowiązek dokonania samoidentyfikacji i wpisu do wykazu podmiotów kluczowych i ważnych do dnia 3 października 2026 roku.  Częstym naruszeniem jest również niewywiązywanie się z obowiązków związanych ze zgłaszaniem incydentów.  Należy pamiętać, że ustawa zobowiązuje podmioty kluczowe i podmioty ważne do przekazania wczesnego ostrzeżenia o poważnym incydencie nie później niż w ciągu 24 godzin od momentu jego wykrycia.

Błędem wielu organizacji jest przekonanie, że zakup nowoczesnych rozwiązań technologicznych sam w sobie zapewnia zgodność z ustawą o krajowym systemie cyberbezpieczeństwa. W praktyce obowiązki podmiotów kluczowych i ważnych obejmują przede wszystkim wdrożenie odpowiednich środków zarządzania ryzykiem w cyberbezpieczeństwie, przyjęcie i stosowanie procedur bezpieczeństwa oraz zapewnienie zdolności do zapobiegania incydentom, ich wykrywania i reagowania na nie. W toku czynności nadzorczych organ właściwy do spraw cyberbezpieczeństwa może żądać przedstawienia dokumentów i informacji potwierdzających realizację tych obowiązków.

Najczęstsze naruszenia obowiązków wynikających z ustawy:

• niedokonanie samoidentyfikacji i wpisu do wykazu podmiotów kluczowych i ważnych;
• niewdrożenie środków zarządzania ryzykiem w cyberbezpieczeństwie oraz brak ich okresowej oceny;
• brak udokumentowanej analizy ryzyka i dokumentacji potwierdzającej realizację obowiązków ustawowych;
• niewdrożenie procedur obsługi i zgłaszania incydentów;
• niewykonywanie obowiązków związanych ze szkoleniem osób zarządzających oraz pracowników wykonujących zadania z zakresu cyberbezpieczeństwa;
• nieprzekazywanie właściwemu organowi danych, informacji lub dokumentów potwierdzających zgodność z ustawą.

Wdrożenie KSC jako fundament ciągłości biznesu

Kary wynikające z przepisów o krajowym systemie cyberbezpieczeństwa są niezwykle surowe. Konsekwencje osobiste dla kadry zarządzającej tworzą z kolei bezprecedensowe ryzyko prawne dla całych zarządów spółek. Ignorowanie tych regulacji to niezwykle prosta droga do utraty nie tylko firmowych funduszy, ale i prywatnego majątku kierownictwa.

Dostosowanie się do nowych regulacji należy bezwzględnie traktować jako strategiczną inwestycję w długofalowe bezpieczeństwo. Poprawne wdrożenie procedur KSC drastycznie minimalizuje ryzyko paraliżu operacyjnego oraz potężnych strat finansowych wynikających z potencjalnych ataków hakerskich. Skuteczna ochrona infrastruktury pozwala utrzymać ciągłość dostarczanych usług nawet w obliczu wysoce zaawansowanych zagrożeń z zewnątrz.

Pierwszym krokiem powinno być przeprowadzenie kompleksowej analizy prawnej pozwalającej ustalić, czy organizacja posiada status podmiotu kluczowego lub ważnego. Następnie należy przeprowadzić audyt zgodności, ocenę ryzyka oraz wdrożyć wymagane procedury, dokumentację i środki organizacyjne, zanim organizacja zostanie objęta kontrolą organu właściwego do spraw cyberbezpieczeństwa.