Odpowiedzialność zarządu za cyberbezpieczeństwo w KSC — co mówi ustawa, a co jest mitem

Kto odpowiada: kierownik podmiotu

Ustawa nakłada obowiązki z zakresu cyberbezpieczeństwa na kierownika podmiotu (art. 8c). W spółce kapitałowej to zarząd. Jeśli organ zarządzający nie wskaże osoby odpowiedzialnej za te obowiązki, odpowiadają wszyscy jego członkowie (art. 8c ust. 2).

W praktyce to pierwsza decyzja do podjęcia na posiedzeniu zarządu: kto z zarządu odpowiada za cyberbezpieczeństwo — i zapisanie tego w uchwale albo regulaminie, a nie tylko w rozmowie.

Za co grozi osobista kara

Art. 73a pozwala organowi nadzoru nałożyć karę pieniężną na kierownika podmiotu, który nie wykonuje wskazanych w ustawie obowiązków — m.in. z art. 8, 8d–8f, 10–12 i 15. Kara jest fakultatywna: nakłada się ją, „jeżeli przemawia za tym czas, zakres lub charakter naruszenia”.

	Podmiot niepubliczny	Podmiot publiczny
Kara dla kierownika do	300% wynagrodzenia	100% wynagrodzenia
Podstawa wymiaru	wynagrodzenie obliczane według zasad ustalania ekwiwalentu pieniężnego za urlop	jak obok
Przepis	art. 73a ust. 4	art. 73a ust. 5

Kara dla kierownika jest niezależna od kary dla organizacji (art. 73): dla podmiotu kluczowego do 10 mln € albo 2% przychodów z poprzedniego roku obrotowego (kwota wyższa, nie mniej niż 20 000 zł), dla ważnego do 7 mln € albo 1,4% przychodów (nie mniej niż 15 000 zł).

W podmiocie kluczowym organ nadzoru może też czasowo zakazać pełnienia funkcji zarządczych (art. 53 ust. 9 pkt 6) — to środek dla podmiotów kluczowych, nie dla ważnych.

Co mówi ustawa, a co jest mitem

W internecie krąży kilka wersji tej samej informacji. Sprawdziliśmy je w tekście ustawy (Dz.U. 2026 poz. 252):

Często powtarzane	Co mówi ustawa
„Do 300% rocznego wynagrodzenia”	Ustawa nie mówi „rocznego”. Podstawą jest wynagrodzenie liczone jak ekwiwalent pieniężny za urlop (art. 73a ust. 4). Jak to przełożyć na kwotę — warto ustalić z prawnikiem.
„Każdy członek zarządu zapłaci za brak nadzoru”	Kara dotyczy kierownika podmiotu, jest fakultatywna i dotyczy niewykonania konkretnych obowiązków. Wszyscy członkowie organu odpowiadają wtedy, gdy nie wskazano osoby odpowiedzialnej (art. 8c ust. 2).
„Polisa D&O tego nie obejmie”	Ustawa nic o tym nie mówi. Czy polisa obejmuje karę, zależy od jej warunków.
„2% globalnego obrotu”	Ustawa mówi o przychodach z działalności gospodarczej w poprzednim roku obrotowym (art. 73 ust. 3 i 4).
„Kary od razu po wejściu ustawy w życie”	Kary z art. 73 ust. 1–4 i 73a–73c nakłada się po raz pierwszy po dwóch latach, czyli po 3 kwietnia 2028 roku (art. 35). Wyjątek do omówienia z prawnikiem: art. 35 nie wymienia kary z art. 73 ust. 5 (do 100 mln zł).

Od kiedy

Osobistą karę z art. 73a można nałożyć po raz pierwszy po 3 kwietnia 2028 roku (art. 35). To nie powód, żeby czekać: obowiązki trzeba wdrożyć do 3 kwietnia 2027 roku, a kara po 2028 roku będzie oceniana na podstawie tego, co organizacja robiła wcześniej. Pełny kalendarz — we wpisie Harmonogram KSC 2026–2028.

Co zarząd może zrobić już teraz

To nasza praktyka, nie wyliczenie z ustawy:

1. Wskazać osobę odpowiedzialną w zarządzie i zapisać to formalnie (art. 8c ust. 2).
2. Wyznaczyć koordynatora po stronie organizacji (CISO albo pełnomocnika) z czasem i budżetem na to zadanie.
3. Ustalić rytm raportowania — na przykład raz w miesiącu: gotowość, ryzyka bardzo wysokie i wysokie, incydenty, działania po terminie.
4. Podejmować decyzje na piśmie — akceptacja ryzyka, budżet, priorytety. Zapisana decyzja to dowód nadzoru.
5. Sprawdzić polisę D&O z brokerem, zamiast zakładać, że obejmuje albo nie obejmuje kar.

Raport zarządczy w KSC Manager zbiera to na jednej stronie: wskaźniki gotowości i zgodności, ryzyka, działania po terminie i kluczowy wniosek. Raport można zapisać i zatwierdzić — zarząd ma wtedy ślad, że regularnie dostawał informację i ją przyjął. Zobacz moduł Raporty.

Najczęstsze pytania

Czy członek zarządu odpowiada osobiście za cyberbezpieczeństwo?

Tak, w tym sensie, że ustawa nakłada obowiązki na kierownika podmiotu (w spółce — zarząd), a za ich niewykonanie organ nadzoru może nałożyć na niego karę do 300% wynagrodzenia liczonego jak ekwiwalent za urlop (w podmiocie publicznym do 100%). Kara jest fakultatywna i dotyczy konkretnych obowiązków (art. 8c, art. 73a).

Czy odpowiadają wszyscy członkowie zarządu?

Wszyscy członkowie organu odpowiadają, jeśli nie wskazano osoby odpowiedzialnej za obowiązki z zakresu cyberbezpieczeństwa (art. 8c ust. 2). Dlatego warto taką osobę wskazać formalnie.

Od kiedy można nałożyć karę na kierownika podmiotu?

Po raz pierwszy po upływie dwóch lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 roku (art. 35).

Czy kara dla kierownika zastępuje karę dla organizacji?

Nie. To dwie niezależne kary: dla organizacji z art. 73 i dla kierownika podmiotu z art. 73a.