Wraz z wejściem w życie dyrektywy NIS 2, polskie firmy z sektorów kluczowych i ważnych muszą zmierzyć się z nową rzeczywistością prawną. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wprowadza nie tylko szereg dodatkowych obowiązków, ale także dotkliwe sankcje finansowe sięgające 100 milionów złotych oraz osobistą odpowiedzialność zarządu za ewentualne zaniedbania.
Unijna dyrektywa NIS 2, która obowiązuje od 3 kwietnia 2026 roku, doprecyzowała i znacząco rozszerzyła przepisy mające na celu zwiększenie poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej. Jej implementacja w polskim prawie, poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, nakłada na podmioty kluczowe i ważne liczne nowe obowiązki. Niedostosowanie się do nich wiąże się z ryzykiem poważnych konsekwencji.
Właściwe organy państwowe otrzymały szeroki wachlarz środków pozwalających na egzekwowanie przestrzegania nowych regulacji. Najbardziej dotkliwą z sankcji jest odpowiedzialność finansowa. Polskie przepisy przewidują możliwość nałożenia kar pieniężnych, które mogą wstrząsnąć budżetem niejednej organizacji.
Ustawodawca w nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa przewidział kary sięgające, w skrajnych przypadkach, nawet stu milionów złotych.
Wysokość kary będzie ustalana indywidualnie, a organ nadzorczy weźmie pod uwagę szereg czynników, w tym charakter, wagę i czas trwania naruszenia, a także ewentualne wcześniejsze uchybienia danego podmiotu.
Jedną z fundamentalnych zmian, jakie wprowadza nowelizacja, jest pociągnięcie do odpowiedzialności nie tylko samej firmy jako osoby prawnej, ale również osób fizycznych nią zarządzających. Wprowadzona została odpowiedzialność osobista kierownictwa podmiotów kluczowych i ważnych.
Oznacza to, że menedżerowie nie mogą dłużej traktować cyberbezpieczeństwa jako zagadnienia czysto technicznego, delegowanego do działów IT. Teraz staje się ono integralną częścią zarządzania ryzykiem na poziomie strategicznym, za które bezpośrednio odpowiada zarząd. Zaniedbania w tym obszarze mogą prowadzić do konsekwencji osobistych dla osób decyzyjnych.
Nowe regulacje wywierają presję nie tylko na podmioty bezpośrednio zdefiniowane jako kluczowe lub ważne. Ich skutki odczują również firmy będące częścią ich łańcucha dostaw technologii informacyjno-komunikacyjnych (ICT). Dzieje się tak, ponieważ podmioty kluczowe i ważne są zobowiązane do zapewnienia bezpieczeństwa w całym ekosystemie, z którego korzystają.
W praktyce oznacza to, że mniejsi dostawcy oprogramowania czy usług IT, którzy współpracują z sektorem energetycznym, zdrowotnym czy finansowym, będą musieli spełniać określone standardy bezpieczeństwa. W przypadku braku ich zapewnienia, główną konsekwencją będzie ryzyko biznesowe – utrata potencjalnego kontrahenta, który, będąc zobligowanym przez prawo, zerwie współpracę z niezabezpieczonym partnerem.
Cyberbezpieczeństwo w nowym wydaniu – konsekwencje braku zgodności, rp.pl, 2026. https://pro.rp.pl/biznes/art44593051-cyberbezpieczenstwo-w-nowym-wydaniu-konsekwencje-braku-zgodnosci
Zadania i odpowiedzialność kierownictwa podmiotów kluczowych i ważnych – uKSC, Wolters Kluwer. https://www.wolterskluwer.com/pl-pl/solutions/lex/cyberbezpieczenstwo/wiedza/zadania-i-odpowiedzialnosc-kierownictwa-podmiotow-kluczowych-i-waznych-uksc
Nowe ramy prawne w zakresie cyberbezpieczeństwa, Sadkowski i Wspólnicy. https://sadkowskiiwspolnicy.pl/nowe-ramy-prawne-w-zakresie-cyberbezpieczenstwa/
NIS2 w Polsce – obowiązki firm w Krajowym Systemie Cyberbezpieczeństwa, podatki.biz. https://www.podatki.biz/artykuly/nis2-w-polsce-obowiazki-firm-w-krajowym-systemie-cyberbezpieczenstwa_51_61806.htm
Nowe obowiązki i nawet 100 mln zł kary. Potężna zmiana dla firm, wnp.pl. https://www.wnp.pl/tech/nowe-obowiazki-i-nawet-100-mln-zl-kary-potezna-zmiana-dla-firm,1040812.html
