Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa przewiduje dla podmiotu kluczowego karę do 10 mln euro albo 2% przychodów (stosuje się kwotę wyższą, nie mniej niż 20 000 zł), a dla podmiotu ważnego do 7 mln euro albo 1,4% przychodów (nie mniej niż 15 000 zł). Osobno karać można kierownika podmiotu - do 300% wynagrodzenia, a w podmiocie publicznym do 100%. Większość tych kar można nałożyć po raz pierwszy dopiero po 3 kwietnia 2028 (art. 35 ustawy nowelizującej). Poniżej wyjaśniamy, za co grożą kary, kto je nakłada i jak wygląda to w gminie, szkole czy ośrodku pomocy społecznej.
Skąd się biorą kary
Ustawa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) wdrożyła dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026. Dyrektywa wymaga, by maksymalna kara wynosiła co najmniej 10 mln euro lub 2% całkowitego rocznego światowego obrotu dla podmiotów kluczowych i co najmniej 7 mln euro lub 1,4% dla ważnych (art. 34 ust. 4-5 NIS2). Polska ustawa przyjęła te kwoty, ale liczy procent od przychodów z działalności gospodarczej, i dodała kwoty minimalne. Dyrektywa pozwala też państwom zdecydować, czy karać podmioty administracji publicznej (art. 34 ust. 7 NIS2) - polski ustawodawca ich nie wyłączył.
Przepisy o karach to art. 73-76e ustawy o KSC.
Za co grożą kary
Art. 73 ust. 1 wymienia 22 przypadki. Dla większości podmiotów najważniejsze są:
- nieuzupełnienie w terminie danych w wykazie mimo wezwania (pkt 1) - więcej w artykule Wykaz KSC - wpis z urzędu i samorejestracja,
- brak systematycznego szacowania ryzyka i zarządzania nim (pkt 2),
- niewdrożenie SZBI albo SZBI, które nie spełnia wymogów art. 8 ust. 1 lub 3 (pkt 3),
- niewykonywanie obowiązków przy obsłudze i zgłaszaniu incydentów z art. 11 (pkt 5-10),
- nieprzeprowadzenie audytu w terminie (pkt 11),
- niekorzystanie z systemu S46 tam, gdzie jest wymagany (pkt 13),
- utrudnianie kontroli i niewykonanie zaleceń pokontrolnych (pkt 14 i 17).
Do tego, jeśli przemawia za tym waga naruszenia, organ może ukarać za niezłożenie wniosku o wpis do wykazu i za niewykonywanie obowiązków z art. 9, w tym wyznaczenia osób do kontaktu (art. 73 ust. 1a). W większości przypadków karze podlega także naruszenie jednorazowe (art. 73 ust. 1b). Podmiot ważny będący podmiotem publicznym podlega karze, jeśli nie wdraża SZBI według art. 8 ust. 3 (art. 73 ust. 1c).
Ile - kwoty w jednej tabeli
| Kto | Górna granica | Dolna granica | Przepis |
|---|---|---|---|
| Podmiot kluczowy | 10 mln euro albo 2% przychodów - stosuje się kwotę wyższą | 20 000 zł | art. 73 ust. 3 |
| Podmiot ważny | 7 mln euro albo 1,4% przychodów | 15 000 zł | art. 73 ust. 4 |
| Kierownik podmiotu | 300% wynagrodzenia | - | art. 73a ust. 4 |
| Kierownik podmiotu publicznego | 100% wynagrodzenia (300%, jeśli podmiot podlega ustawie także w innym sektorze) | - | art. 73a ust. 5 |
| Naruszenie powodujące bezpośrednie i poważne cyberzagrożenie | 100 mln zł | - | art. 73 ust. 5 |
| Okresowa kara za zwłokę w wykonaniu decyzji | 500-100 000 zł za każdy dzień | - | art. 76b ust. 1 |
Kwoty w euro przelicza się po średnim kursie NBP z 31 grudnia roku poprzedzającego decyzję. Procent liczy się od przychodów z działalności gospodarczej z roku obrotowego poprzedzającego karę. Gdy podmiot działa krócej niż 12 miesięcy albo nie osiągnął przychodu, za podstawę wymiaru kary przyjmuje się równowartość 500 000 euro dla podmiotu kluczowego i 250 000 euro dla ważnego (art. 73 ust. 3a i ust. 4). Wynagrodzenie kierownika liczy się jak przy ekwiwalencie za urlop.
Gmina, szkoła, OPS - czy kary dotyczą jednostek publicznych
Tak. Ustawa nie zwalnia podmiotów publicznych z kar, ale traktuje je łagodniej w kilku miejscach:
- organ, ustalając wysokość kary, uwzględnia możliwości finansowe podmiotu publicznego (art. 76a ust. 1),
- wobec podmiotów publicznych nie stosuje się środków z art. 53 ust. 9, takich jak wstrzymanie działalności czy zakaz pełnienia funkcji przez kierownika (art. 53 ust. 10),
- kara dla kierownika podmiotu publicznego to najwyżej 100% wynagrodzenia (art. 73a ust. 5).
W jednostce sektora finansów publicznych kierownikiem w rozumieniu ustawy o KSC jest kierownik tej jednostki (art. 2 pkt 8a ustawy o KSC odsyła do art. 53 ust. 1 ustawy o finansach publicznych) - w szkole jej dyrektor, w ośrodku pomocy społecznej jego kierownik. Minister Cyfryzacji co roku informuje Komisję Wspólną Rządu i Samorządu Terytorialnego o wpływach z kar nałożonych na samorządowe podmioty publiczne (art. 74 ust. 6).
Jeśli za ten sam czyn Prezes UODO prawomocnie nałożył już karę w związku z naruszeniem ochrony danych osobowych, organ nie wszczyna postępowania i poprzestaje na pouczeniu (art. 76c ust. 1). Jak liczyć 72 godziny przy naruszeniu danych, wyjaśniamy w artykule [Naruszenie ochrony danych
- 72 godziny](/artykuly/naruszenie-ochrony-danych-72-godziny).
Kierownik odpowiada osobiście
Kierownik podmiotu kluczowego lub ważnego odpowiada za wykonanie obowiązków z zakresu cyberbezpieczeństwa (art. 8c ust. 1), także wtedy, gdy powierzył je innej osobie za jej zgodą (art. 8c ust. 3). Jeśli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2).
Art. 73a ust. 1 wymienia czternaście sytuacji, w których kierownik może zostać ukarany, m.in. niewykonywanie obowiązków dotyczących wykazu, SZBI, corocznego szkolenia z art. 8e, weryfikacji osób z art. 8f, wyznaczenia osób do kontaktu, obsługi incydentów i audytu - jeśli przemawia za tym czas, zakres lub charakter naruszenia. Karę kierownikowi można nałożyć niezależnie od kary dla podmiotu (art. 73a ust. 3). O szkoleniu piszemy w artykule Szkolenie kierownika w KSC.
Od kiedy i kto nakłada
Obowiązki trzeba wdrożyć do 3 kwietnia 2027 (art. 33 ust. 1 ustawy nowelizującej). Kary z art. 73 ust. 1-4, art. 73a-73c i art. 76b można nałożyć po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji, czyli po 3 kwietnia 2028 (art. 35). To nie jest dodatkowy rok na wdrożenie: przez ten czas obowiązki działają, a organ może prowadzić nadzór i kontrole (art. 53). Art. 35 nie wymienia kary z art. 73 ust. 5 - jak organy odczytają tę różnicę, warto sprawdzić z prawnikiem.
Karę nakłada w drodze decyzji organ właściwy do spraw cyberbezpieczeństwa (art. 74 ust. 1). W sektorze podmiotów publicznych jest nim co do zasady Minister Cyfryzacji (art. 41a ust. 1), dla jednostek podległych Ministrowi Obrony Narodowej - ten minister, a dla jednostek podległych ministrowi finansów - minister finansów (art. 41a ust. 2-3). Podmiot publiczny wymieniony w innym sektorze nadzoruje organ tego sektora, ale ta reguła nie dotyczy samorządowych podmiotów publicznych (art. 41a ust. 4). Karę płaci się w 14 dni od dnia, w którym decyzja stała się ostateczna (art. 76a ust. 5), a wpływy trafiają do Funduszu Cyberbezpieczeństwa (art. 74 ust. 5).
Co zmniejsza ryzyko kary
Ustalając karę, organ bierze pod uwagę m.in. wagę i czas trwania naruszenia, wcześniejsze naruszenia, umyślność, środki podjęte, by ograniczyć szkody, i stopień współpracy (art. 53 ust. 12 w związku z art. 76a ust. 1). Może też odstąpić od kary, jeśli waga naruszenia jest znikoma, a podmiot zaprzestał naruszania lub naprawił szkodę (art. 76a ust. 9). Wynika z tego prosta lista:
- Uzupełnij dane w wykazie w terminie i aktualizuj je w 14 dni od zmiany (art. 7c ust. 3).
- Wdróż SZBI do 3 kwietnia 2027 i zapisuj decyzje kierownika - z datą i podstawą.
- Prowadź szacowanie ryzyka jako proces, nie jednorazowy dokument - zobacz analizę ryzyka w RODO i SZBI.
- Ćwicz zgłaszanie incydentów przez S46, zanim zdarzy się pierwszy prawdziwy.
- Dokumentuj coroczne szkolenie kierownika - udział w nim ma być udokumentowany (art. 8e ust. 3).
- Współpracuj z organem i odpowiadaj na wezwania w terminie.
Jak pomaga Cyberenu
Cyberenu buduje SZBI na danych wprowadzonych raz do dokumentacji RODO, ocenia każde wymaganie ustawy, prowadzi rejestry incydentów z datą zgłoszenia przez S46, szkoleń kierownika i audytów, a kalendarz SZBI przypomina o terminach na 30 dni przed nimi. Dzięki temu przy kontroli widać, co i kiedy zrobiono. Jeśli chcesz porozmawiać o wdrożeniu, napisz przez formularz kontaktowy.
