Kary w NIS2/uKSC i osobista odpowiedzialność zarządu

Ogłoszona nowelizacja uKSC przewiduje dla podmiotów kluczowych karę administracyjną do 10 mln EUR albo 2% przychodów podmiotu — wyższa z kwot, nie mniej niż 20 000 zł. art. 73 ust. 3 uKSC Dla podmiotów ważnych górna granica jest niższa — do 7 mln EUR albo 1,4% przychodów podmiotu, nie mniej niż 15 000 zł. art. 73 ust. 4 uKSC

Do tego dochodzi kara dla kierownika podmiotu do 300% jego wynagrodzenia. art. 73a uKSC Wartości pochodzą z tekstu ogłoszonego w Dzienniku Ustaw, a nie z projektu nowelizacji.

Osobne pytanie brzmi „od kiedy”, bo ustawa odracza sankcje: kary z art. 73 ust. 1–4, art. 73a–73c i art. 76b mogą być nałożone po raz pierwszy po 3.04.2028. art. 35 KSC 2.0 Tego samego dnia mija termin pierwszego audytu podmiotów kluczowych, o czym niżej.

Jakie kary grożą podmiotom kluczowym i ważnym?

Dla podmiotu kluczowego górną granicę wyznacza wyższa z dwóch wartości: kwota w euro albo procent przychodów osiągniętych przez sam podmiot z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary. art. 73 ust. 3 uKSC Dla podmiotu ważnego ustawa wskazuje pułap kwotowy albo procentowy, nie powtarza jednak zasady zastosowania kwoty wyższej. art. 73 ust. 4 uKSC Ustawa określa także progi minimalne, a dla podmiotów działających krócej niż rok — zastępcze podstawy wymiaru.

Dyrektywa liczy inaczej, bo od łącznego rocznego światowego obrotu przedsiębiorstwa, do którego należy podmiot. art. 34 ust. 4 dyrektywy NIS2 (UE) 2022/2555 Polskie podmioty odpowiadają jednak według ustawy krajowej, więc to przychód podmiotu, a nie obrót grupy, jest punktem odniesienia.

Osobno stoi pułap dla naruszeń najgroźniejszych: do 100 mln zł. art. 73 ust. 5 uKSC W tej kategorii organ karę nakłada, a nie tylko może nałożyć. Wysokość konkretnej kary zależy m.in. od wagi i czasu trwania naruszenia, wyrządzonej szkody oraz współpracy z organem nadzoru.

Pełne podstawy prawne — kara dla podmiotów kluczowych: art. 73 ust. 3 i 3a ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) (KSC 2.0 (Dz.U. 2026 poz. 252)); kara dla podmiotów ważnych: art. 73 ust. 4 w zw. z ust. 3a ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) (KSC 2.0 (Dz.U. 2026 poz. 252)); kara przy poważnym zagrożeniu: art. 73 ust. 5 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) — gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, lub zagrożenie poważną szkodą majątkową albo poważnymi utrudnieniami w świadczeniu usług (KSC 2.0 (Dz.U. 2026 poz. 252)); odpowiedzialność kierownictwa: art. 73a ust. 1 i 4 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) — wynagrodzenie liczone według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop (KSC 2.0 (Dz.U. 2026 poz. 252)); odroczenie sankcji: art. 35 ustawy z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) — kary mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy; moratorium obejmuje także okresową karę pieniężną z art. 76b uKSC (od 500 zł do 100 000 zł za każdy dzień opóźnienia w wykonaniu decyzji organu) (KSC 2.0 (Dz.U. 2026 poz. 252)). Wszystkie wartości pochodzą z tekstu ogłoszonego w Dzienniku Ustaw. Pełne brzmienie: wysokość kary nie może przekroczyć 10 000 000 EUR (kurs średni NBP z 31 grudnia roku poprzedzającego rok wydania decyzji) albo 2% przychodów osiągniętych przez podmiot kluczowy z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary, przy czym zastosowanie ma kwota wyższa; kara nie może być niższa niż 20 000 zł, a gdy podmiot działa krócej niż 12 miesięcy albo nie osiągnął przychodu, podstawą jest równowartość 500 000 EUR; wysokość kary nie może przekroczyć 7 000 000 EUR albo 1,4% przychodów osiągniętych przez podmiot ważny z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary (ustęp 4 nie powtarza zastrzeżenia o kwocie wyższej, które stoi w ustępie 3); kara nie może być niższa niż 15 000 zł, a gdy podmiot działa krócej niż 12 miesięcy albo nie osiągnął przychodu, podstawą jest równowartość 250 000 EUR.

Na czym polega osobista odpowiedzialność kierownictwa?

Dyrektywa NIS2 wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem w cyberbezpieczeństwie, nadzorowały ich wdrażanie i same przechodziły szkolenia. art. 20 dyrektywy NIS2 (UE) 2022/2555 Ogłoszona nowelizacja uKSC przekłada to na sankcję osobistą: kara dla kierownika podmiotu do 300% jego wynagrodzenia. art. 73a uKSC Kara liczy się od wynagrodzenia ukaranego, a nie od przychodów podmiotu, i tak samo jak kary dla podmiotu jest objęta odroczeniem.

W podmiocie publicznym pułap tej kary jest niższy, ale nie bezwarunkowo: wraca do poziomu ogólnego, gdy ten sam podmiot podlega ustawie również z tytułu innego sektora z załącznika nr 1 lub nr 2. Kierownik jednostki samorządu, spółki komunalnej czy instytucji kultury sprawdza więc najpierw, z ilu tytułów jego podmiot jest objęty ustawą. art. 73a uKSC

Na liście obowiązków objętych tą karą stoi też szkolenie samego kierownictwa: kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie; udział jest udokumentowany. art. 8e uKSC Dyrektywa do szkoleń zachęca, ustawa je nakazuje — i wymaga udokumentowania udziału.

Tej odpowiedzialności nie da się scedować na CISO, dział IT ani zewnętrznego dostawcę. Zarząd może natomiast wykazać należytą staranność: udokumentowaną samoidentyfikację, działający SZBI i raport z niezależnego audytu. To dokumenty, które w razie kontroli pokazują, że kierownictwo wykonywało swoje obowiązki.

Za co konkretnie można dostać karę?

Katalog naruszeń zagrożonych administracyjną karą pieniężną odpowiada liście obowiązków podmiotu. W praktyce ryzyko koncentruje się wokół czterech obszarów:

• brak wniosku o wpis do wykazu w terminie — organ może nałożyć karę, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów: art. 73 ust. 1a pkt 1 w zw. z art. 7c ust. 1 uKSC (Dz.U. 2026 poz. 252);
• niewykonanie obowiązków rozdziału 3 uKSC, w tym brak działającego SZBI, po 3.04.2027; art. 33 ust. 1 KSC 2.0
• brak audytu podmiotu kluczowego w wymaganym cyklu — co najmniej raz na 3 lata; art. 15 ust. 1 uKSC
• niedopełnienie sekwencji zgłaszania incydentów poważnych: wczesne ostrzeżenie w 24 h → zgłoszenie incydentu poważnego w 72 h → sprawozdanie końcowe w miesiąc od zgłoszenia; adresat zależy od uruchomienia właściwego CSIRT sektorowego i wymaga sprawdzenia aktualnego komunikatu dla sektora. art. 11 ust. 1 pkt 4–4c uKSC + art. 44 KSC 2.0

Jak ograniczyć ryzyko kar?

Zamiast kalkulować sankcje, taniej jest domknąć zgodność w terminach. Kolejność działań: potwierdź status w drodze samoidentyfikacji, ułóż kalendarz terminów uKSC, a działanie SZBI potwierdź audytem NIS2 / KSC 2.0.

Odroczenie sankcji nie jest odroczeniem obowiązku. Pierwszy audyt podmiot kluczowy musi mieć przeprowadzony do 3.04.2028. art. 33 ust. 2 KSC 2.0 Od tego samego dnia mogą zostać nałożone kary objęte moratorium. Nie obejmuje ono kary z art. 73 ust. 5 za naruszenie powodujące bezpośrednie i poważne zagrożenie. Raport z audytu daje zarządowi udokumentowany obraz ustaleń i konkretną listę poprawek zamiast domysłów.