Kary w ustawie o KSC Ile, za co i od kiedy.
Znowelizowana ustawa o KSC przewiduje kary pieniężne dla podmiotów kluczowych i ważnych oraz osobistą odpowiedzialność kierownika podmiotu. Zestawiamy wysokość kar, naruszenia, za które grożą, i termin, od którego organy mogą je nakładać.
Damian Waszczak, CBO, Senior Security AnalystZaktualizowano
Wysokość kar
| Kogo dotyczy | Wysokość kary |
|---|---|
| Podmiot kluczowy | Od 20 000 zł do 10 mln euro albo 2% przychodu z poprzedniego roku, w zależności od tego, która kwota jest wyższa |
| Podmiot ważny | Od 15 000 zł do 7 mln euro albo 1,4% przychodu z poprzedniego roku, w zależności od tego, która kwota jest wyższa |
| Naruszenie zagrażające państwu lub życiu | Do 100 mln zł, gdy naruszenie stwarza bezpośrednie i poważne zagrożenie dla obronności, bezpieczeństwa państwa albo życia lub powoduje poważne szkody |
| Kierownik podmiotu | Do 300% wynagrodzenia, a w podmiotach publicznych do 100% |
| Kara okresowa | Od 500 zł do 100 000 zł za każdy dzień zwłoki w wykonaniu decyzji organu |
Kwoty w euro przelicza się na złote po średnim kursie NBP z 31 grudnia roku poprzedzającego nałożenie kary.
Od kiedy organy mogą nakładać kary
Nowelizacja daje dwuletni okres przejściowy. Kary pieniężne za naruszenia obowiązków, w tym kary dla kierownika podmiotu i kary okresowe, można nakładać dopiero po dwóch latach od wejścia ustawy w życie, czyli od kwietnia 2028.
Okres przejściowy dotyczy kar, a nie obowiązków. Termin wpisu do wykazu minął 3 października 2026, a do 3 kwietnia 2027 trzeba wdrożyć SZBI i obsługę incydentów. W kwietniu 2028 organ będzie oceniał stan, który powinien istnieć od dawna.
Za co grożą kary
Brak SZBI i szacowania ryzyka
Niewdrożenie systemu zarządzania bezpieczeństwem informacji albo brak systematycznego szacowania ryzyka.
Niezgłoszenie incydentu
Każdy obowiązek zgłoszeniowy jest osobny: wczesne ostrzeżenie, zgłoszenie i sprawozdanie końcowe.
Brak audytu w terminie
Dotyczy podmiotów kluczowych, które nie przeprowadziły audytu w ustawowym terminie.
Zgłoszenia poza S46
Przekazywanie zgłoszeń z pominięciem systemu S46, gdy ustawa wymaga korzystania z niego.
Utrudnianie kontroli
Odmowa dostępu, informacji albo dokumentów podczas kontroli.
Brak wpisu do wykazu
Za niezłożenie wniosku o wpis albo nieuzupełnienie danych organ może nałożyć karę.
Karę można nałożyć także za jednorazowe naruszenie. Przy naruszeniu znikomym, które zostało usunięte, organ może od kary odstąpić.
Odpowiedzialność kierownika podmiotu
Za wykonanie obowiązków z ustawy odpowiada kierownik podmiotu. Odpowiedzialność zostaje przy nim także wtedy, gdy zadania przekazał innym osobom albo zewnętrznemu dostawcy usług zarządzanych.
Kierownik musi też co najmniej raz w roku kalendarzowym przejść szkolenie z cyberbezpieczeństwa i je udokumentować. Wobec podmiotów kluczowych organ może sięgnąć po dodatkowe środki, w tym czasowy zakaz pełnienia funkcji kierowniczych.
Najczęstsze pytania o kary
Kto nakłada kary?
Organ właściwy dla danego sektora, w drodze decyzji administracyjnej. Lista organów właściwych jest w ustawie, na przykład dla energetyki jest to minister właściwy do spraw energii.
Czy można dostać karę z KSC i z RODO za ten sam incydent?
Ustawa ogranicza podwójne karanie. Jeśli Prezes UODO prawomocnie ukarał za to samo działanie, organ właściwy na gruncie KSC poprzestaje na pouczeniu. Oba zgłoszenia trzeba jednak złożyć osobno.
Czy zewnętrzny SOC przejmuje odpowiedzialność za kary?
Nie. Umowa z dostawcą usług zarządzanych pomaga wykonać obowiązki, ale odpowiedzialność wobec organu zostaje przy podmiocie i jego kierowniku.
Czy kary dotyczą firm, które nie złożyły wniosku o wpis?
Tak. Obowiązki wynikają z ustawy, a nie z wpisu do wykazu. Za samo niezłożenie wniosku organ również może nałożyć karę.
Ogranicz ryzyko kary, zanim zacznie się kontrola
Sprawdzimy, które obowiązki z ustawy masz już pokryte po stronie technicznej, a gdzie są luki: monitoring, obsługa incydentów, testy i dokumentacja.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com