„Cyberbezpieczeństwem zajmuje się u nas dział IT” – czy takie wyjaśnienie wystarczy, gdy organ zapyta o realizację obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa? Nowelizacja wdrażająca dyrektywę NIS2 przypisuje kierownikowi podmiotu kluczowego lub ważnego konkretne zadania oraz odpowiedzialność za ich wykonywanie. Dla zarządów oznacza to konieczność podejmowania decyzji, zapewnienia odpowiednich zasobów i sprawowania rzeczywistego nadzoru nad cyberbezpieczeństwem organizacji.
Kto odpowiada po stronie zarządu?
Ustawa posługuje się pojęciem „kierownika podmiotu kluczowego lub podmiotu ważnego”, odsyłając do definicji kierownika jednostki z ustawy o rachunkowości. W spółkach kapitałowych będzie to co do zasady zarząd. Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. Warto zatem zweryfikować, czy podział obowiązków w zarządzie uwzględnia cyberbezpieczeństwo oraz czy został odpowiednio udokumentowany. Sama praktyka, zgodnie z którą „sprawami IT zajmuje się jeden z członków zarządu”, może pozostawiać istotne wątpliwości dotyczące zakresu odpowiedzialności.
Za co konkretnie odpowiada kierownik podmiotu?
Art. 8d ustawy KSC określa zadania kierownika, obejmujące:
- podejmowanie decyzji dotyczących przygotowania, wdrażania, stosowania, przeglądu i nadzoru nad systemem zarządzania bezpieczeństwem informacji (SZBI);
- planowanie adekwatnych środków finansowych na realizację obowiązków z zakresu cyberbezpieczeństwa;
- przydzielanie zadań oraz nadzorowanie ich wykonania;
- zapewnienie, że personel zna swoje obowiązki i wewnętrzne regulacje;
- zapewnienie zgodności działania podmiotu z prawem oraz jego wewnętrznymi regulacjami.
Odpowiedzialność obejmuje jeszcze szerszy katalog obowiązków wskazanych w art. 8c KSC, dotyczących m.in. wpisu do wykazu i aktualizacji danych, zarządzania ryzykiem, dokumentacji, obsługi i zgłaszania incydentów oraz audytów – w zakresie, w jakim obowiązki te dotyczą danego podmiotu.
W praktyce zarząd powinien otrzymywać informacje pozwalające ocenić najważniejsze ryzyka, braki w zabezpieczeniach i postęp prac wdrożeniowych. Zatwierdzenie dokumentacji powinno wiązać się z ustaleniem, kto wdroży opisane rozwiązania, w jakim terminie i przy wykorzystaniu jakich zasobów.
Czy można powierzyć obowiązki działowi IT lub zewnętrznemu dostawcy?
Można powierzyć wykonywanie zadań odpowiednio przygotowanym osobom i korzystać ze wsparcia zewnętrznych specjalistów. Ustawa wprost jednak przewiduje, że kierownik ponosi odpowiedzialność również wtedy, gdy niektóre albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą. Zawarcie umowy z dostawcą usług cyberbezpieczeństwa nie zwalnia więc kierownika z odpowiedzialności przewidzianej w KSC. Potrzebne są także jasny zakres zleconych prac, zasady raportowania oraz weryfikacja ich wykonania.
Szkolenie kierownika jest obowiązkowe
Kierownik podmiotu oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, muszą przechodzić szkolenie raz w roku kalendarzowym. Udział w nim wymaga udokumentowania. Zakres szkolenia powinien obejmować wykonywanie obowiązków wskazanych w ustawie. Przy wyborze programu warto więc sprawdzić, czy przygotowuje on do podejmowania decyzji i sprawowania nadzoru wymaganego przez KSC. Samo ogólne szkolenie dotyczące bezpiecznego korzystania z poczty elektronicznej może okazać się niewystarczające.
Jakie konsekwencje mogą dotknąć członka zarządu?
Ustawa przewiduje możliwość nałożenia na kierownika osobistej kary pieniężnej za niewykonywanie wskazanych obowiązków. Może ona sięgnąć 300% otrzymywanego wynagrodzenia, obliczanego według zasad ustalania ekwiwalentu pieniężnego za urlop. Kara może dotyczyć również zaniechania jednorazowego i może zostać nałożona niezależnie od kary wymierzonej samemu podmiotowi. Dla kierowników podmiotów publicznych przewidziano odrębny limit, z ustawowym wyjątkiem.
W przypadku podmiotów kluczowych możliwy jest również czasowy zakaz pełnienia funkcji zarządczych przez kierownika. To środek stosowany na warunkach określonych w ustawie, gdy podmiot nie wykonuje wskazanych nakazów lub decyzji organu. Nie jest automatyczną konsekwencją każdego naruszenia.
Co zarząd powinien zrobić już teraz?
Dla podmiotów spełniających przesłanki kwalifikacji w dniu wejścia w życie nowelizacji zasadniczy termin wdrożenia obowiązków z rozdziału 3 KSC upływa 3 kwietnia 2027 r. Ustawa przewiduje odrębne terminy m.in. dla pierwszego audytu podmiotu kluczowego. Z kolei kary pieniężne z art. 73a KSC mogą być po raz pierwszy nakładane po upływie dwóch lat od wejścia nowelizacji w życie. Odroczenie nakładania kar nie przesuwa terminu wykonania obowiązków.
W ramach przygotowań zarząd powinien w szczególności:
- potwierdzić status organizacji na gruncie KSC i zakres dotyczących jej obowiązków;
- uporządkować podział odpowiedzialności i zasady współpracy z osobami realizującymi zadania;
- przyjąć harmonogram wdrożenia oraz zaplanować adekwatne środki;
- ustalić sposób raportowania ryzyk, incydentów i zaległości;
- zaplanować wymagane szkolenia oraz dokumentować decyzje i działania nadzorcze.
Jeżeli Twoja organizacja podlega KSC, warto już teraz sprawdzić, czy zarząd ma informacje i narzędzia potrzebne do wykonania swoich obowiązków. Pomożemy ustalić zakres odpowiedzialności, uporządkować dokumentację i przygotować prawne zasady współpracy zarządu, zespołu IT oraz zewnętrznych dostawców.
