Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?
Nie wymaga. Ustawa o KSC nakazuje kierownikowi przydzielić zadania i nadzorować ich wykonanie, a podmiotowi powołać struktury albo zawrzeć umowę.
- Autor
- Paweł Rosół
- Data
- Czytanie
- 6 min
- Kategoria
- Pełnomocnik ds. cyberbezpieczeństwa
Stan prawny sprawdzony:
Spis treści
Pytanie z tytułu dostaję co tydzień, zwykle w wersji: „a kiedy musimy powołać pełnomocnika?”. Odpowiedź jest krótka i trochę niewygodna dla kogoś, kto z tej roli żyje.
Ustawa o KSC nie nakazuje powołania pełnomocnika ds. cyberbezpieczeństwa. Nakazuje kierownikowi przydzielić zadania i nadzorować ich wykonanie, a podmiotowi powołać struktury albo zawrzeć umowę z kimś, kto te zadania wykona.
W październiku 2026 r. Ministerstwo Cyfryzacji napisało to samo w swoim FAQ (pytanie 3.44): ustawa nie nakłada obowiązku powołania pełnomocnika do spraw systemu zarządzania bezpieczeństwem informacjiSystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. i zostawia kierownikowi swobodę co do organizacji zadań. Poniżej pokazuję, co z tego wynika, i gdzie ta swoboda się kończy.
Co ustawa nakazuje zamiast pełnomocnika?
Trzy przepisy załatwiają całą sprawę.
Art. 8d pkt 3 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.: kierownik podmiotu kluczowego lub podmiotu ważnegoKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie. Komu przydziela, ustawa nie mówi.
Art. 14: podmiot w celu realizacji zadań z art. 8 oraz art. 9 do 13 powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwaDostawca usług zarządzanych w zakresie cyberbezpieczeństwa Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.. Ustawa daje więc dwie drogi, własny zespół albo umowa, i nie nazywa żadnej z nich pełnomocnikiem.
Art. 8c ust. 3: kierownik ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą.
Nazwa „pełnomocnik” przyszła z praktyki systemów zarządzania, gdzie od lat ktoś pełni rolę pełnomocnika ds. SZBI. W ustawie o KSC słowo to pojawia się w dwóch innych znaczeniach: jako Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa i jako pełnomocnik, który w imieniu podmiotu składa wniosek do wykazu (art. 7c ust. 7). Żadne z nich nie jest funkcją w podmiocie. Kiedy więc piszę o pełnomocniku, piszę o osobie, której kierownik powierzył zadania z art. 8 i art. 9 do 13, bez względu na nazwę na wizytówce.
Kiedy kierownik może się obejść bez pełnomocnika?
Wtedy, gdy ma komu przydzielić zadania i jest w stanie ten przydział nadzorować.
W małym podmiocie ważnymPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. z własnym informatykiem i kierownikiem, który rozumie, za co odpowiada, osobny pełnomocnik bywa zbędny. Zadania z art. 8 ktoś musi jednak wykonać, więc ten „ktoś” musi istnieć z imienia i nazwiska, a przed dopuszczeniem go do zadań z art. 8 lub art. 11 kierownik musi otrzymać od niego informację z Krajowego Rejestru Karnego (art. 8f ust. 1). Ministerstwo w pytaniu 4.7 dodaje, że samą weryfikację kierownik może powierzyć innej osobie, ale odpowiada za nią nadal.
Gorzej, gdy informatykiem jest firma zewnętrzna od serwerów i drukarek. Taka firma zwykle nie ma w umowie zadań z art. 8, a administrowanie systemami i zarządzanie ryzykiemZarządzanie ryzykiem To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie. to różne rzeczy. Wtedy kierownik ma do wyboru: dopisać te zadania komuś wewnątrz, zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14) albo przyjąć, że sam będzie je wykonywał. Ta ostatnia opcja jest legalna i w mojej praktyce najrzadziej działa, bo kierownik, który sam szacuje ryzyko, sam pisze procedury i sam obsługuje incydenty, przestaje mieć czas na to, co ustawa zostawia wyłącznie jemu.
Co musi mieć osoba, której kierownik powierza zadania?
Ministerstwo w pytaniu 3.44 stawia jeden warunek: osobę tę ma łączyć z podmiotem stosunek prawny, który umożliwia wydawanie jej poleceń i zapewnia odpowiedzialność za realizację zadań. Powołanie ma być zgodne z przepisami ustrojowymi i wewnętrznymi regulacjami jednostki; w jednostce sektora finansów publicznych ministerstwo podpowiada, żeby przed decyzją oszacować ryzyko w ramach kontroli zarządczej.
To warunek o umowie, nie o certyfikatach. Z ustawy dochodzą do niego trzy rzeczy:
- informacja z KRK o niekaralności za przestępstwa przeciwko ochronie informacji, przed rozpoczęciem zadań z art. 8 lub art. 11 (art. 8f ust. 1), i ponownie na wezwanie podmiotu (art. 8f ust. 2);
- jeśli zadania wykonuje zewnętrzny dostawca, umowa z nim z wymogami cyberbezpieczeństwa i podziałem odpowiedzialności, bo ten dostawca jest częścią łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem. podmiotu; co w takiej umowie zapisać, opisałem w tekście o łańcuchu dostaw w ustawie o KSC;
- zastrzeżenie, że ta sama osoba nie przeprowadzi w podmiocie audytu z art. 15, ani przez rok po zakończeniu zadań (art. 15 ust. 2a).
Jeśli pełnomocnikiem ma być inspektor ochrony danychInspektor ochrony danych Osoba wyznaczona przez administratora lub podmiot przetwarzający do zadań z RODO. Tutaj pojawia się przy incydentach z danymi osobowymi i przy łączeniu tej funkcji z rolą pełnomocnika., dochodzi ocena konfliktu interesów z art. 38 ust. 6 RODO, zatwierdzona przez kierownictwo. Samo połączenie nie jest zakazane; zakazane jest nadzorowanie własnych decyzji.
Czego pełnomocnik nie zdejmie z kierownika?
Niczego, co ustawa przypisuje kierownikowi z nazwy. Ministerstwo w pytaniu 4.4 wylicza, za co kierownik odpowiada, i lista jest długa: aktualny wpis do wykazu, wdrożenie systemu zarządzania bezpieczeństwem informacji, własne zadania z art. 8d, weryfikacja personelu, własne szkolenie, wyznaczenie osób kontaktowych, dostęp użytkowników usługi do wiedzy i do kanału zgłaszania zagrożeń, korzystanie z systemu S46, zgłaszanie incydentów i audyty. Zdanie zamykające tę listę to art. 8c ust. 3: odpowiedzialność zostaje także po powierzeniu obowiązków innej osobie.
Pełnomocnik może przygotować każdy z tych punktów. Wniosek do wykazu, projekt decyzji o SZBI, plan budżetu, listę osób do kontaktu, treść zgłoszenia incydentu. Podpis, decyzja i sankcja z art. 73a zostają przy kierowniku. Szczegółowo rozpisałem ten podział w tekście Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?.
Do tego art. 8e: kierownik oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą udokumentowane szkolenie. Pełnomocnik nie pójdzie na szkolenie za kierownika.
Czy personel dostawcy też musi przedstawić KRK?
To pytanie wraca przy każdej umowie z firmą zewnętrzną i ministerstwo odpowiedziało na nie w październiku (pytanie 3.48). Intencją art. 8f było objęcie osób w bezpośredniej relacji z podmiotem: pracowników i osób na umowach cywilnoprawnych zawartych bezpośrednio z podmiotem, jeżeli realizują zadania z art. 8 lub art. 11. Pracowników i współpracowników firm świadczących usługi dla podmiotu, w tym personelu wykonawców i podwykonawców, obowiązek nie obejmuje. Bezpieczeństwo ich personelu podmiot zapewnia w ramach zarządzania ryzykiem w łańcuchu dostaw i przez postanowienia umowne.
W praktyce oznacza to dwa różne reżimy. Zewnętrzny pełnomocnik na umowie bezpośrednio z podmiotem przedstawia informację z KRK jak pracownik. Zespół firmy, która świadczy usługę zarządzaną w zakresie cyberbezpieczeństwa, podlega temu, co podmiot zapisał w umowie, więc klauzula o weryfikacji personelu dostawcy musi się w niej znaleźć, bo ustawa jej za podmiot nie napisze.
Kiedy pełnomocnik ma sens?
Moim zdaniem wtedy, gdy spełnione są dwa warunki naraz: kierownik nie ma w organizacji osoby, która zna ustawę o KSC i ma czas na jej wykonanie, i jednocześnie chce zachować kontrolę nad decyzjami, zamiast oddać całość firmie informatycznej. Pełnomocnik, wewnętrzny czy zewnętrzny, jest wtedy osobą, która przygotowuje decyzje w formie gotowej do podpisu i pilnuje terminów, a kierownik podejmuje decyzje i nadzoruje.
Jeśli taka osoba już w organizacji jest, powołanie pełnomocnika sprowadza się do pisma, w którym kierownik przydziela jej zadania z art. 8 i art. 9 do 13, zgodnie z art. 8d pkt 3. To pismo, informacja z KRK i protokół z decyzją, kto w zarządzie odpowiada za cyberbezpieczeństwo (art. 8c ust. 2), to cała formalna strona sprawy. Reszta jest pracą.
Pojęcia w tym tekście (13)
- Ustawa o KSC
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
- Pełnomocnik ds. cyberbezpieczeństwa
- Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.
- System zarządzania bezpieczeństwem informacji
- Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
- Kierownik podmiotu
- Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
- Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa
- Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.
- Podmiot ważny
- Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
- Zarządzanie ryzykiem
- To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie.
- Incydent
- Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
- Łańcuch dostaw
- Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
- Inspektor ochrony danych
- Osoba wyznaczona przez administratora lub podmiot przetwarzający do zadań z RODO. Tutaj pojawia się przy incydentach z danymi osobowymi i przy łączeniu tej funkcji z rolą pełnomocnika.
- RODO
- Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.
- Osoba do kontaktu
- Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.
- System S46
- System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.
Najczęściej zadawane pytania
Czy ustawa o KSC nakazuje powołać pełnomocnika ds. cyberbezpieczeństwa?
Nie. Ustawa nie zna takiej funkcji. Art. 8d pkt 3 nakazuje kierownikowi podmiotu przydzielić zadania z zakresu cyberbezpieczeństwa i nadzorować ich wykonanie, a art. 14 nakazuje podmiotowi powołać wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Ministerstwo Cyfryzacji potwierdza to w pytaniu 3.44 swojego FAQ.
Czy powołanie pełnomocnika zdejmuje odpowiedzialność z kierownika podmiotu?
Nie. Art. 8c ust. 3 ustawy o KSC stanowi, że kierownik ponosi odpowiedzialność także wtedy, gdy niektóre albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą. Pełnomocnik wykonuje zadania; decyzje z art. 8d, coroczne szkolenie z art. 8e i odpowiedzialność zostają przy kierowniku.
Czy pracownicy zewnętrznej firmy muszą przedstawić informację z KRK?
Według pytania 3.48 w FAQ Ministerstwa Cyfryzacji art. 8f obejmuje pracowników podmiotu i osoby na umowach cywilnoprawnych zawartych bezpośrednio z podmiotem, jeżeli realizują zadania z art. 8 lub art. 11. Personelu wykonawców i podwykonawców nie obejmuje; jego weryfikację podmiot załatwia w ramach zarządzania ryzykiem w łańcuchu dostaw i w umowie.
Źródła
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252
- Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja z października 2026 r. (pkt 3.44, 3.48, 4.4 i 4.7)
- Rozporządzenie (UE) 2016/679 (RODO)