Nowelizacja ustawy o KSC wprowadza osobistą karę pieniężną dla kierownika, także w jednostkach drogowych
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Ustawa o KSC
- Redakcja
- Paweł Rosół
- Źródło
- CyberDefence24 ()
CyberDefence24 opisuje, że nowelizacja ustawy o KSC przenosi odpowiedzialność za systemy i dane na kierowników jednostek, w tym dyrektorów zarządów dróg. Kara dla kierownika jest niezależna od kary dla jednostki, a pierwsze kary będą możliwe po 3 kwietnia 2028 r.
Nowelizacja ustawy o KSCNowelizacja ustawy o KSC z 2026 r. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Wdraża NIS2, obowiązuje od 3 kwietnia 2026 r., czyli ustawa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), obowiązuje od 3 kwietnia 2026 r. CyberDefence24 opisuje jej skutki dla jednostek zarządzających drogami: odpowiedzialność za ochronę systemów i danych spoczywa bezpośrednio na kierowniku, czyli dyrektorze zarządu dróg, dyrektorze oddziału albo innej osobie kierującej jednostką. Powierzenie zadań informatykowi, inspektorowi lub firmie zewnętrznej nie zdejmuje z kierownika tej odpowiedzialności.
Według art. 8d kierownik decyduje o systemie zarządzania bezpieczeństwem informacjiSystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. (SZBI), zapewnia na niego środki finansowe, przydziela zadania i nadzoruje ich wykonanie. Co roku musi odbyć udokumentowane szkolenie z zakresu swoich obowiązków (art. 8e). Ocenie podlega proces decyzyjny: kontrolujący zapyta, czy ryzyko oszacowano, kompetencje przypisano, środki zabezpieczono, wykonanie monitorowano, a odstępstwa eskalowano.
Ustawa przewiduje administracyjną karę pieniężną nakładaną bezpośrednio na kierownika (art. 73a). Może dotyczyć także jednorazowego zaniechania (art. 73a ust. 2) i jest niezależna od kary dla jednostki (art. 73a ust. 3). Dla kierownika podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. publicznego górna granica wynosi 100 proc. wynagrodzenia, a limit 300 proc. dotyczy kierowników innych podmiotów, na przykład spółek komunalnych. Podmiot kluczowyPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. ryzykuje karę do 10 mln euro albo 2 proc. przychodu, podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. do 7 mln euro albo 1,4 proc. (art. 73).
Podmioty spełniające przesłanki na 3 kwietnia 2026 r. mają 12 miesięcy na wykonanie obowiązków z rozdziału 3 i 24 miesiące na pierwszy audyt (art. 33). Kary z art. 73 i 73a można nałożyć po raz pierwszy po 3 kwietnia 2028 r. (art. 35). Jeśli kierujesz taką jednostką, w tym okresie buduj dokumentację decyzji, szkoleń i nadzoru. W jednostkach drogowych dochodzi rozproszona struktura oddziałów oraz duży udział wykonawców zewnętrznych: według źródła umowy powinny zawierać klauzule bezpieczeństwa i prawo do audytu, a kierownik musi umieć wykazać, że ryzyko dostawcy oceniono.
Pojęcia w tym tekście (5)
- Nowelizacja ustawy o KSC z 2026 r.
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Wdraża NIS2, obowiązuje od 3 kwietnia 2026 r.
- System zarządzania bezpieczeństwem informacji
- Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
- Kierownik podmiotu
- Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
- Podmiot kluczowy
- Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
- Podmiot ważny
- Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.