# Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?

Ustawa o KSC pozwala powierzyć zadania z cyberbezpieczeństwa innej osobie, ale nie odpowiedzialność. Co kierownik robi sam, co można zlecić i jak to zapisać.

- Adres: <https://pelnomocnikcyber.pl/artykuly/co-kierownik-podmiotu-moze-powierzyc-pelnomocnikowi/>
- Autor: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Data publikacji: 23.09.2026
- Kategoria: [Pełnomocnik ds. cyberbezpieczeństwa](https://pelnomocnikcyber.pl/kategorie/pelnomocnik/)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

**Ustawa o KSC pozwala zlecić wykonanie zadań z zakresu cyberbezpieczeństwa innej osobie albo firmie, ale odpowiedzialność za ich wykonanie zostaje przy kierowniku podmiotu.**

To zdanie wystarcza, żeby zrozumieć, dlaczego pełnomocnik ds. cyberbezpieczeństwa nie jest
sposobem na „załatwienie tematu”, i dlaczego umowa z nim musi wyglądać inaczej niż umowa z
firmą informatyczną. Poniżej rozkładam to na przepisy.

## Kto jest kierownikiem podmiotu?

Ustawa nie mówi o zarządzie ani o dyrektorze, tylko o kierowniku podmiotu kluczowego lub
podmiotu ważnego. Art. 2 pkt 8a ustawy o KSC definiuje go jako kierownika jednostki w
rozumieniu ustawy o rachunkowości, a w jednostce sektora finansów publicznych jako
kierownika tej jednostki w rozumieniu ustawy o finansach publicznych. W spółce komunalnej
jest to zarząd, w gminie wójt lub burmistrz, w szkole dyrektor.

Gdy kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej,
odpowiedzialność ponoszą wszyscy jego członkowie (art. 8c ust. 2).

**Wskazanie jednego członka zarządu jako odpowiedzialnego za cyberbezpieczeństwo jest więc pierwszą decyzją, którą warto podjąć i zaprotokołować.**

## Co ustawa nakazuje kierownikowi robić osobiście?

Art. 8d ustawy o KSC wymienia pięć obowiązków kierownika. Kierownik:

1. podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru
   systemu zarządzania bezpieczeństwem informacji;
2. planuje adekwatne środki finansowe na realizację obowiązków z zakresu
   cyberbezpieczeństwa;
3. przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie;
4. zapewnia, że personel jest świadomy obowiązków i zna wewnętrzne regulacje;
5. zapewnia zgodność działania podmiotu z przepisami prawa i regulacjami wewnętrznymi.

Do tego dochodzi art. 8e: kierownik oraz osoba, której powierzono obowiązki kierownika w
zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi udokumentowane szkolenie.

Żadnego z tych obowiązków nie da się wykonać za kierownika. Pełnomocnik może przygotować
warianty decyzji, policzyć koszty i napisać projekt przydziału zadań, ale decyzję podejmuje,
budżet planuje i zadania przydziela kierownik.

**Podczas kontroli organ zapyta o dokument z podpisem kierownika, nie o notatkę doradcy.**

## Co można powierzyć?

Wszystko, co jest **wykonaniem, a nie decyzją**.

Art. 14 ustawy o KSC mówi wprost: podmiot w
celu realizacji zadań z art. 8 oraz art. 9 do 13 powołuje wewnętrzne struktury
odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w
zakresie cyberbezpieczeństwa. W praktyce chodzi o:

- prowadzenie szacowania ryzyka i przygotowanie planu postępowania z ryzykiem (art. 8
  ust. 1 pkt 1),
- opracowanie i utrzymanie polityk i procedur z art. 8 ust. 1 pkt 2,
- zbieranie informacji o cyberzagrożeniach i podatnościach (art. 8 ust. 1 pkt 3),
- obsługę incydentów, w tym klasyfikację i zgłoszenia do CSIRT sektorowego w terminach z
  art. 11 ust. 1,
- przygotowanie danych do wykazu (art. 7) i utrzymanie kontaktu z podmiotami krajowego
  systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1),
- szkolenia z cyberhigieny dla personelu (art. 8 ust. 1 pkt 2 lit. i oraz j).

Osoba, która ma realizować zadania z art. 8 lub art. 11, przed ich rozpoczęciem przedstawia
podmiotowi informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa
przeciwko ochronie informacji, a kierownik dopuszcza ją do zadań dopiero po otrzymaniu tej
informacji (art. 8f ust. 1). Dotyczy to zarówno pracownika, jak i wykonawcy zewnętrznego.

Tak wygląda podział, który wynika z tych przepisów:

```mermaid alt="Schemat: kierownik podmiotu decyduje, planuje budżet i nadzoruje; pełnomocnik lub struktura wewnętrzna wykonuje zadania z art. 8 i art. 9 do 13; odpowiedzialność zostaje przy kierowniku"
flowchart TD
  K[Kierownik podmiotu<br/>decyduje, planuje środki,<br/>nadzoruje<br/>art. 8d] -->|powierza wykonanie<br/>art. 14| P[Pełnomocnik<br/>albo struktura wewnętrzna<br/>zadania z art. 8<br/>i art. 9 do 13]
  P -->|przygotowuje decyzje<br/>i raporty| R([wracają do kierownika,<br/>przy nim zostaje<br/>odpowiedzialność<br/>art. 8c ust. 3])
```

## Dlaczego odpowiedzialność nie przechodzi?

Art. 8c ust. 1 ustawy o KSC przypisuje kierownikowi odpowiedzialność za wykonywanie przez
podmiot obowiązków z art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8e, art. 8f
ust. 1 i 2, art. 9 do 12b, art. 14 i art. 15. Ust. 3 dodaje, że kierownik ponosi tę
odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały
powierzone innej osobie za jej zgodą.

Sankcja też jest osobista. Art. 73a ust. 1 pozwala nałożyć na kierownika karę pieniężną
między innymi za niewykonanie obowiązków z art. 8, 8d, 8e, 8f, 11 i 15, jeżeli przemawia za
tym czas, zakres lub charakter naruszenia; ust. 2 obejmuje nawet zaniechanie jednorazowe.

Kara może wynieść do 300 % wynagrodzenia kierownika, a w podmiocie publicznym do 100 %
(art. 73a ust. 4 i 5). Zgodnie z art. 35 ustawy nowelizującej kary te mogą być po raz
pierwszy nałożone po upływie 2 lat od jej wejścia w życie, czyli od 3 kwietnia 2028 r.

**Ustawa nie przewiduje więc sytuacji, w której kierownik podpisuje umowę z pełnomocnikiem i przestaje się interesować tematem.**

Przewiduje sytuację, w której kierownik nadzoruje
wykonanie zadań przez pełnomocnika (art. 8d pkt 3) i za ten nadzór odpowiada.

## Co to zmienia w umowie z pełnomocnikiem?

Umowa, którą widuję najczęściej, brzmi: „wykonawca zapewni zgodność z ustawą o KSC”. Taka
umowa jest pusta.

**Zgodności nie da się kupić; da się kupić wykonanie zadań i przygotowanie decyzji.**

Umowa, która działa, zawiera:

- listę zadań z art. 8 i art. 9 do 13, które wykonawca realizuje, i listę tych, które zostają
  w podmiocie, z imieniem i nazwiskiem osoby po stronie podmiotu;
- tryb przygotowywania decyzji dla kierownika: kto, w jakim terminie i w jakiej formie
  przedstawia warianty, i kto je zatwierdza;
- zasady dostępu wykonawcy do systemów i informacji, z zastrzeżeniem, że wykonawca nie
  administruje systemami i nie zatwierdza dostępów;
- czas reakcji na incydent, spójny z terminami 24 i 72 godzin z art. 11 ust. 1;
- obowiązek z art. 8f i jego powtórzenie na wezwanie podmiotu (art. 8f ust. 2);
- zastrzeżenie, że wykonawca nie przeprowadzi audytu z art. 15 w tym podmiocie, bo zakazuje
  tego art. 15 ust. 2a, i wskazanie, kto ten audyt wykona;
- jeśli ta sama osoba ma być IOD, ocenę konfliktu interesów z art. 38 ust. 6 RODO
  zatwierdzoną przez kierownictwo.

## Od czego zacząć?

Od trzech decyzji, które kierownik podejmuje sam i które wystarczy zaprotokołować:

1. kto w organie wieloosobowym odpowiada za cyberbezpieczeństwo (art. 8c ust. 2);
2. które zadania zostają w podmiocie, a które trafiają do wykonawcy (art. 14);
3. jaki budżet jest na to przeznaczony w tym roku (art. 8d pkt 2).

Dopiero z tymi trzema decyzjami ma sens rozmowa o umowie z pełnomocnikiem. O tym, czy pełnomocnik jest w ogóle potrzebny i jak go wybrać,
pisałem na pawel.rosol.pl:
[Czy moja organizacja potrzebuje pełnomocnika ds. cyberbezpieczeństwa?](https://pawel.rosol.pl/posts/czy-organizacja-potrzebuje-pelnomocnika-ds-cyberbezpieczenstwa/)
i [Jakie kompetencje powinien mieć pełnomocnik?](https://pawel.rosol.pl/posts/kompetencje-pelnomocnika-ds-cyberbezpieczenstwa/).

## Pojęcia w tym tekście

- [Ustawa o KSC](https://pelnomocnikcyber.pl/slownik/ustawa-o-ksc/): Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
- [Kierownik podmiotu](https://pelnomocnikcyber.pl/slownik/kierownik-podmiotu/): Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
- [Pełnomocnik ds. cyberbezpieczeństwa](https://pelnomocnikcyber.pl/slownik/pelnomocnik-ds-cyberbezpieczenstwa/): Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.
- [Podmiot ważny](https://pelnomocnikcyber.pl/slownik/podmiot-wazny/): Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
- [System zarządzania bezpieczeństwem informacji](https://pelnomocnikcyber.pl/slownik/szbi/): Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
- [Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa](https://pelnomocnikcyber.pl/slownik/dostawca-uslug-zarzadzanych-w-zakresie-cyberbezpieczenstwa/): Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.
- [Szacowanie ryzyka](https://pelnomocnikcyber.pl/slownik/szacowanie-ryzyka/): Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.
- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [Incydent](https://pelnomocnikcyber.pl/slownik/incydent/): Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
- [CSIRT sektorowy](https://pelnomocnikcyber.pl/slownik/csirt-sektorowy/): Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.
- [Podmiot publiczny](https://pelnomocnikcyber.pl/slownik/podmiot-publiczny/): Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.
- [Inspektor ochrony danych](https://pelnomocnikcyber.pl/slownik/iod/): Osoba wyznaczona przez administratora lub podmiot przetwarzający do zadań z RODO. Tutaj pojawia się przy incydentach z danymi osobowymi i przy łączeniu tej funkcji z rolą pełnomocnika.
- [RODO](https://pelnomocnikcyber.pl/slownik/rodo/): Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.

## Najczęściej zadawane pytania

### Czy kierownik podmiotu może przenieść odpowiedzialność na pełnomocnika?

Nie. Art. 8c ust. 3 ustawy o KSC stanowi, że kierownik ponosi odpowiedzialność także wtedy, gdy niektóre albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą. Powierzyć można wykonanie zadań, nie odpowiedzialność za nie.

### Które obowiązki kierownik podmiotu wykonuje osobiście?

Te z art. 8d ustawy o KSC, decyzje o systemie zarządzania bezpieczeństwem informacji, planowanie środków finansowych, przydzielanie zadań i nadzór nad nimi, zapewnienie świadomości personelu i zgodności z prawem, oraz coroczne szkolenie z art. 8e. Pełnomocnik może je przygotować, ale decyzja i podpis należą do kierownika.

### Co powinna zawierać umowa z zewnętrznym pełnomocnikiem?

Wskazanie, które zadania z art. 8 i art. 9 do 13 wykonawca realizuje, a które zostają w podmiocie, tryb przygotowywania decyzji dla kierownika, zasady dostępu do systemów i informacji, czas reakcji na incydent, obowiązek z art. 8f (informacja z KRK) oraz zastrzeżenie, że wykonawca nie przeprowadzi audytu z art. 15 w tym podmiocie.

## Źródła

1. [Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami](https://eli.gov.pl/eli/DU/2026/20/ogl)
2. [Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252](https://eli.gov.pl/eli/DU/2026/252/ogl)
3. [Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
4. [Rozporządzenie (UE) 2016/679 (RODO)](https://eur-lex.europa.eu/eli/reg/2016/679/oj)

Stan prawny na dzień publikacji: 23.09.2026. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną ([zasady publikacji](https://pelnomocnikcyber.pl/zasady-publikacji/)).