Pełnomocnik ds. cyberbezpieczeństwa

Ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nakłada obowiązki na podmiot i na jego kierownika, nie na pełnomocnika. Kierownik przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie (art. 8d pkt 3 ustawy o KSC), a podmiot realizuje je przez wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo na podstawie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwaDostawca usług zarządzanych w zakresie cyberbezpieczeństwa Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół. (art. 14 ustawy o KSC). Pełnomocnik to osoba, której kierownik te zadania powierzył: pracownik takiej struktury albo osoba wskazana przez dostawcę.

W praktyce tę samą rolę nazywa się też pełnomocnikiem ds. bezpieczeństwa informacji, a jej zlecenie osobie spoza organizacji outsourcingiem pełnomocnika albo zewnętrznym pełnomocnikiem. Żadna z tych nazw nie pochodzi z ustawy o KSC.

Wprost ustawa stawia tej osobie wymóg niekaralności: zanim zacznie realizować zadania z art. 8 lub art. 11 ustawy o KSC, przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1 ustawy o KSC). Powierzenie zadań nie przenosi odpowiedzialności: kierownik odpowiada także wtedy, gdy obowiązki powierzył innej osobie za jej zgodą (art. 8c ust. 3 ustawy o KSC).

Co można powierzyć pełnomocnikowi, a co zostaje przy kierowniku, opisuję w artykule Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?.