Dyrektywa NIS2 a odpowiedzialność Zarządu - Technologia przyspiesza, prawo hamuje

Gwałtowny rozwój nowych technologii, w tym w szczególności systemów opartych na sztucznej inteligencji, w założeniu miał optymalizować procesy operacyjne i uelastyczniać zarządzanie przedsiębiorstwem. Zważywszy jednak na intensyfikację i coraz większe wyrafinowanie cyberzagrożeń, transformacja cyfrowa w równym stopniu zautomatyzowała metody działania cyberprzestępców. W odpowiedzi na to ryzyko prawodawca unijny dąży do zapewnienia wysokiego poziomu odpowiedzialności za środki zarządzania ryzykiem bezpośrednio na poziomie organów zarządzających podmiotów kluczowych i ważnych. W rezultacie dokonano przebudowy reżimu prawnego, instytucjonalizując obszar bezpieczeństwa informacji.

Implementacja wymogów dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającej rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającej dyrektywę (UE) 2016/1148 (Dz. Urz. UE L 333 z 27.12.2022, str. 80, dalej również jako: NIS2), do polskiego porządku prawnego za pośrednictwem ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20 ze zm., dalej również jako: ustawa o KSC) kreuje nowy model ładu korporacyjnego.

Zderzenie technologii z prawem skłania do postawienia pytania o to, czy postępująca cyfryzacja i sztuczna inteligencja faktycznie ułatwiają prowadzenie działalności gospodarczej, czy też stanowią obecnie źródło prawnych i operacyjnych obciążeń. Chociaż narzędzia cyfrowe usprawniają procesy rynkowe, to państwowa regulacja narzuca na uczestników obrotu wysoce sformalizowane obowiązki sprawozdawcze i organizacyjne.

Zakres podmiotowy 

Ustawa KSC kategoryzuje adresatów norm, nakładając na wybrane sektory gospodarki rygorystyczny reżim publicznoprawny. Na mocy art. 4 powołanej ustawy prawodawca dzieli adresatów nowych przepisów na podmioty kluczowe oraz podmioty ważne.

Kwalifikacja do wyżej wskazanego reżimu opiera się w głównej mierze na kryterium wielkości przedsiębiorstwa. Wynika to bezpośrednio z art. 2 ust. 1 dyrektywy NIS2 w związku z art. 5 ust. 1 i 2 KSC. Regulacja ma zastosowanie do podmiotów publicznych lub prywatnych, które kwalifikują się co najmniej jako średnie przedsiębiorstwa i które nie są mikroprzedsiębiorcami ani małymi przedsiębiorcami.

Powyższe oznacza, że przepisy ustawy obejmują z mocy prawa organizacje spełniające wskazane progi finansowo-kadrowe, pod warunkiem prowadzenia działalności w wyznaczonych sektorach gospodarki. Wymóg przynależności sektorowej wynika wprost z brzmienia art. 5 ustawy KSC, który odsyła do rodzajów podmiotów ujętych w załącznikach numer 1 i 2 tejże ustawy.

W załączniku numer 1 do ustawy KSC prawodawca wskazuje sektory kluczowe. Zalicza się do nich między innymi infrastrukturę rynków finansowych, ochronę zdrowia, zaopatrzenie w wodę pitną oraz odprowadzanie ścieków, ale także przestrzeń kosmiczną, zarządzanie usługami ICT czy podmioty publiczne.

Z kolei załącznik numer 2 do ustawy definiuje sektory ważne. W tym wykazie ujęto usługi pocztowe, gospodarowanie odpadami, a także produkcję, przetwarzanie i dystrybucję chemikaliów oraz żywności. Przepisami ustawy KSC objęto ponadto badania naukowe oraz szeroko pojętą produkcję. Wliczają się w to przedsiębiorstwa zajmujące się produkcją urządzeń elektrycznych, maszyn, komputerów, wyrobów elektronicznych, a nawet pojazdów samochodowych i naczep. Taki zabieg legislacyjny powoduje, że zakłady produkcyjne, laboratoria badawcze czy duże przedsiębiorstwa przetwórstwa spożywczego muszą sprostać formalnym procedurom bezpieczeństwa w stopniu zbliżonym do rygorów obowiązujących w tradycyjnie chronionych sektorach państwowych.

Od opisanej zasady wielkościowej istnieją jednak wyjątki. Zgodnie z art. 5 ust. 1 pkt 4 ustawy KSC ustawodawca przewidział zamknięty katalog podmiotów, które wprost i niezależnie od swojej wielkości uznawane są za podmioty kluczowe. 

Dla wymienionych przedsiębiorstw zastosowanie przepisów ustawy oznacza zderzenie dotychczasowej elastyczności operacyjnej z rygorystycznymi, odgórnie narzuconymi ramami prawno-administracyjnymi, za których egzekwowanie odpowiedzialność ponosić będą konkretne osoby decyzyjne.

Ciężar odpowiedzialności na Zarządzie 

Zasadniczą konsekwencją wdrożenia dyrektywy NIS2 jest całkowita redefinicja modelu ładu korporacyjnego w obszarze bezpieczeństwa informacji. Ustawodawca unijny przesuwa ciężar odpowiedzialności z departamentów technicznych i informatycznych bezpośrednio na kadrę kierowniczą najwyższego szczebla. Jak wynika z motywu 137 dyrektywy NIS2, celem nowej regulacji jest zapewnienie wysokiego poziomu odpowiedzialności za środki zarządzania ryzykiem w cyberbezpieczeństwie wprost na poziomie organów zarządzających podmiotów kluczowych i ważnych.

Zgodnie z art. 20 ust. 1 dyrektywy NIS2 państwa członkowskie zapewniają, aby organy zarządzające podmiotów kluczowych i ważnych zatwierdzały środki cyberbezpieczeństwa, nadzorowały ich wdrażanie oraz ponosiły odpowiedzialność za ewentualne naruszenia, z zastrzeżeniem zachowania krajowych reguł dotyczących podmiotów publicznych.

Na gruncie prawa krajowego powyższa norma znajduje bezpośrednie odzwierciedlenie w ustawie KSC. Ustawodawca wprowadza w tym zakresie rygorystyczny mechanizm alokacji odpowiedzialności, co determinuje codzienne funkcjonowanie zarządów spółek prawa handlowego, zmuszając je do bezpośredniego nadzoru nad procesami technologicznymi.

Zgodnie z art. 8c ust. 2 i 3 ustawy KSC, w przypadku wieloosobowych organów odpowiedzialność ponoszą solidarnie wszyscy ich członkowie, a samo powierzenie tych obowiązków innej osobie nie zdejmuje z kierownictwa prawnego ciężaru odpowiedzialności.

Powyższe przepisy konstruują bezwzględną zasadę odpowiedzialności solidarnej w sytuacji, gdy podmiot nie wyznaczy konkretnej osoby odpowiedzialnej za obszar bezpieczeństwa informacji. Co więcej, ustawa zamyka organom zarządzającym drogę do ekskulpacji, wykluczając możliwość prawnego uwolnienia się od odpowiedzialności poprzez powierzenie zadań podmiotom trzecim. Delegowanie kompetencji na wyspecjalizowane struktury wewnętrzne, takie jak dyrektor do spraw IT, czy też na zewnętrznego dostawcę usług nie zdejmuje z kierownika podmiotu prawnego obowiązku czuwania nad systemem. Nadzór pozostaje nieprzenoszalnym zadaniem zarządu.

Tak ukształtowany rygoryzm zderza się z ogólnymi regułami odpowiedzialności menedżerskiej funkcjonującymi w obrocie gospodarczym. Analizując przepisy ustawy o krajowym systemie cyberbezpieczeństwa w odniesieniu do spółek kapitałowych, należy uwzględnić wyrażoną w Kodeksie spółek handlowych zasadę biznesowej oceny sytuacji.

Zgodnie z art. 293 § 3 oraz tożsamym art. 483 § 3 Kodeksu spółek handlowych, członkowie władz spółki nie naruszają staranności zawodowej jedynie wówczas, gdy działają lojalnie, w granicach uzasadnionego ryzyka i opierają swoje decyzje na rzetelnych informacjach, analizach i opiniach.

Zestawienie wymienionych regulacji oznacza, że członkowie organów zarządzających, podejmując decyzje o zatwierdzaniu procedur bezpieczeństwa lub odrzucaniu inwestycji w systemy ochronne, muszą każdorazowo opierać się na udokumentowanych analizach i audytach. Prawo zmusza zarządy do aktywnego uczestnictwa w procesach, które dotychczas pozostawały poza ich zaangażowaniem. Techniczne zarządzanie infrastrukturą staje się obligatoryjnym wymogiem ładu korporacyjnego, a zasłanianie się brakiem specjalistycznej wiedzy przez członków zarządu przestaje stanowić skuteczną linię obrony przed odpowiedzialnością.

Konstrukcję odpowiedzialności na gruncie polskiego prawa precyzuje definicja przyjęta przez ustawodawcę. Ustawa KSC nie tworzy własnego pojęcia kierownika podmiotu, lecz odsyła bezpośrednio do ustawy o rachunkowości.

Zgodnie z art. 2 pkt 8a ustawy KSC w związku z art. 3 ust. 1 pkt 6 ustawy o rachunkowości, kierownikiem podmiotu jest członek zarządu lub innego organu zarządzającego, a w przypadku gremiów wieloosobowych wszyscy jego członkowie, przy czym przepisy wprost wykluczają z tego grona ustanowionych pełnomocników.

Taka konstrukcja prawna ostatecznie potwierdza, że obowiązki z zakresu cyberbezpieczeństwa spoczywają bezpośrednio na członkach organów zarządzających. W świetle wskazanych przepisów odpowiedzialności za system zarządzania bezpieczeństwem informacji nie można przypisać osobom kierującym wyłącznie działami technicznymi, ponieważ nie posiadają one statusu kierownika jednostki w rozumieniu powyższych ustaw.

Katalog obowiązków 

Katalog obciążeń nakładanych na rynek wynika bezpośrednio z polityki prawodawcy unijnego, który dąży do pełnej harmonizacji ochrony infrastruktury cyfrowej we wspólnocie. Zgodnie z art. 21 ust. 1 dyrektywy NIS2 państwa członkowskie zapewniają, aby podmioty kluczowe i ważne wprowadzały proporcjonalne środki techniczne, operacyjne i organizacyjne służące zarządzaniu ryzykiem dla bezpieczeństwa systemów informatycznych oraz zapobieganiu skutkom incydentów dla świadczonych usług.

Na gruncie krajowym implementacja tego wymogu przybrała postać szerokiego katalogu sformalizowanych obowiązków ujętych w rozdziale 3 ustawy KSC. Ustawa zobowiązuje podmioty kluczowe i ważne do sformalizowania procesów technologicznych poprzez wdrożenie i utrzymywanie systemu zarządzania bezpieczeństwem informacji. Zgodnie z art. 8 ust. 1 pkt 1 i 2 ustawy KSC organizacje te muszą wdrożyć system, który zapewnia systematyczne szacowanie ryzyka oraz wdrożenie adekwatnych środków ochronnych, w tym polityk bezpieczeństwa i kontroli łańcucha dostaw.

Wdrożenie systemu zarządzania bezpieczeństwem informacji oznacza wymóg opracowania planów ciągłości działania, procedur stosowania kryptografii, zasad bezpieczeństwa fizycznego, polityk kontroli dostępu oraz zarządzania aktywami. Na podmioty nałożono również obowiązek weryfikacji bezpieczeństwa w łańcuchu dostaw, co wymusza audytowanie i prawne kontrolowanie bezpośrednich dostawców sprzętu lub oprogramowania. Ponadto na podstawie art. 8b KSC wybrane grupy dostawców cyfrowych zostały zobligowane do bezpośredniego stosowania unijnych rozporządzeń wykonawczych doprecyzowujących środki zarządzania ryzykiem.

Aby sprostać tym wymogom, podmioty muszą dokonać zmian w strukturze organizacyjnej przedsiębiorstwa. Zgodnie z art. 14 ustawy KSC podmiot kluczowy lub ważny w celu realizacji zadań powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawiera umowę z zewnętrznym dostawcą usług zarządzanych w tym zakresie.

Przepis ten stawia kadrę zarządzającą przed koniecznością sfinansowania i utworzenia wyspecjalizowanych działów bezpieczeństwa wewnątrz firmy albo podpisania kosztownych umów z zewnętrznymi centrami operacyjnymi. Funkcjonowanie tych struktur wiąże się z kolejnym, wysoce sformalizowanym rygorem dotyczącym gromadzenia śladów z działalności operacyjnej. Zgodnie z art. 10 ust. 1 i 2 ustawy KSC podmioty te są zobligowane do opracowywania, stosowania i aktualizowania dokumentacji bezpieczeństwa, która dzieli się na dokumentację normatywną i operacyjną.

Opierając się na przepisach art. 10 ust. 3 i 4 ustawy KSC, należy wskazać, że prawodawca nałożył wymóg prowadzenia rozbudowanej dokumentacji normatywnej, w skład której wchodzi nie tylko dokumentacja samego systemu zarządzania bezpieczeństwem informacji, ale również dokumentacja ochrony infrastruktury (w tym szacowanie ryzyka i plan postępowania z nim, opis zabezpieczeń technicznych, czy zasady ochrony fizycznej) oraz zarządzania ciągłością działania. Z kolei dokumentacja operacyjna musi stanowić udokumentowany zbiór zapisów poświadczających wykonywanie procedur, w tym automatycznie generowane zapisy w dziennikach (logach) systemów informacyjnych. Przedsiębiorstwa zmuszone są zatem do ciągłego logowania ruchu i utrzymywania procedur archiwizacji dokumentacji, aby w razie kontroli wykazać zgodność z prawem.

Oprócz warstwy technicznej i dokumentacyjnej, ustawa ingeruje bezpośrednio w relacje z odbiorcami usług oraz politykę informacyjną. Zgodnie z art. 9 ust. 1 pkt 1, 2 i 3 ustawy KSC podmiot kluczowy lub ważny musi wyznaczyć co najmniej dwie osoby do kontaktów z organami krajowymi, a także zapewnić użytkownikom wiedzę o zagrożeniach oraz możliwość ich zgłaszania. Powyższe nakłada na przedsiębiorców bezwzględny obowiązek wdrożenia i utrzymywania dedykowanych, zewnętrznych kanałów komunikacyjnych przeznaczonych wyłącznie do odbierania zgłoszeń o lukach w bezpieczeństwie od swoich klientów i kontrahentów.

Do obowiązków operacyjnych dochodzi obowiązek regularnego weryfikowania stanu bezpieczeństwa przez podmioty zewnętrzne. Zgodnie z art. 15 ust. 1 ustawy KSC podmiot kluczowy ma obowiązek przeprowadzać na własny koszt audyt bezpieczeństwa wykorzystywanego systemu informacyjnego co najmniej raz na 3 lata. Wskazany wymóg przenosi na podmioty kluczowe ciężar finansowy obligatoryjnych kontroli prowadzonych przez akredytowane jednostki, zamykając organizacjom drogę do samodzielnego deklarowania zgodności z ustawą. 

Dopełnieniem ram organizacyjnych są twarde obowiązki edukacyjne i weryfikacyjne nałożone na organy zarządzające i personel techniczny. Zgodnie z art. 8e ust. 1 i 3 ustawy KSC kierownik podmiotu oraz osoba odpowiedzialna za cyberbezpieczeństwo muszą raz w roku kalendarzowym przechodzić udokumentowane szkolenie.

Z kolei w odniesieniu do personelu ustawa wprowadza wymóg formalnej weryfikacji karalności. Zgodnie z art. 8f ust. 1 ustawy KSC osoby realizujące zadania związane z cyberbezpieczeństwem muszą przed ich rozpoczęciem przedłożyć zaświadczenie z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji.

Regulacja ta nakłada na kierowników podmiotów obowiązek każdorazowego pozyskiwania i archiwizowania państwowych zaświadczeń wobec osób obsługujących incydenty. Ciężar nakładanych wymogów sprawia, że podmioty gospodarcze funkcjonują w stanie ciągłej gotowości audytowej, zmuszone do alokowania kapitału nie tylko w same technologie bezpieczeństwa, lecz w potężny aparat biurokratyczny dowodzący ich legalności.

Procedura notyfikacyjnas

Ustawa KSC nakłada na podmioty kluczowe i ważne zinstytucjonalizowany obowiązek obsługi oraz raportowania zdarzeń. Procedura ta została przez prawodawcę podzielona na wyraźne etapy, począwszy od wewnętrznej klasyfikacji zagrożenia, przez kaskadowe przekazywanie informacji w sztywnych ramach czasowych, aż po formalne zamknięcie procesu sprawozdawczością.

W pierwszej kolejności regulacja wymaga od organizacji podjęcia działań analitycznych i poddania się nadzorowi organów państwowych. Zgodnie z art. 11 ust. 1 pkt 1, 3 i 5 ustawy KSC podmiot kluczowy lub ważny ma obowiązek samodzielnie zapewnić obsługę incydentu, sklasyfikować go jako poważny w oparciu o ustawowe progi, a następnie ściśle współdziałać z właściwymi zespołami reagowania CSIRT, udostępniając im niezbędne dane. Wskazane przepisy wymuszają na przedsiębiorstwach podjęcie sformalizowanych czynności z zakresu obsługi zdarzenia, dokonanie jego oceny z uwzględnieniem ustawowych progów oraz bezwzględny obowiązek współpracy z organami państwa. W przypadku zakwalifikowania incydentu jako poważny, uruchamiany jest właściwy proces notyfikacyjny. Pierwszym etapem procedury jest przekazanie wstępnych informacji. Zgodnie z art. 11 ust. 1 pkt 4 ustawy KSC podmiot zgłasza wczesne ostrzeżenie o incydencie poważnym do właściwego CSIRT sektorowego niezwłocznie, maksymalnie w ciągu 24 godzin od jego wykrycia. Zgodnie z art. 12 ust. 1 ustawy KSC wczesne ostrzeżenie wymaga wskazania momentu wystąpienia i wykrycia incydentu poważnego, dokonania oceny, czy został on wywołany działaniem bezprawnym, a także określenia, czy zdarzenie to dotyczy innych państw członkowskich Unii Europejskiej.

Drugim etapem procedury jest obowiązek przekazania szczegółowej dokumentacji z obsługi zdarzenia. Zgodnie z art. 11 ust. 1 pkt 4a ustawy KSC pełne zgłoszenie incydentu poważnego musi nastąpić nie później niż w ciągu 72 godzin od momentu detekcji. Zgodnie z art. 12 ust. 3 ustawy KSC dokument ten musi obligatoryjnie obejmować opis wpływu incydentu na świadczenie usług, określać liczbę użytkowników dotkniętych zakłóceniem oraz zasięg geograficzny obszaru, którego dotyczy incydent. Zgłoszenie to wymaga również przedstawienia opisu przyczyn incydentu, sposobu jego przebiegu oraz informacji o podjętych działaniach zapobiegawczych i naprawczych.

Trzeci etap procedury obejmuje raportowanie w toku trwającego i niezakończonego jeszcze ataku lub awarii. Zgodnie z art. 11 ust. 1 pkt 4b ustawy KSC organizacja przekazuje, na wniosek właściwego CSIRT sektorowego, sprawozdanie okresowe z obsługi incydentu poważnego. Ponadto, jak stanowi art. 12b ust. 1 ustawy KSC, w sytuacji, gdy obsługa incydentu poważnego nie zakończyła się w wymaganym prawem terminie, podmiot kluczowy lub podmiot ważny musi regularnie przekazywać sprawozdanie z postępu obsługi tego incydentu.

Czwartym etapem jest formalne zamknięcie procedury. Zgodnie z art. 11 ust. 1 pkt 4c ustawy KSC organizacja jest zobowiązana przekazać właściwemu CSIRT sektorowemu sprawozdanie końcowe w terminie nie dłuższym niż miesiąc od dnia dokonania pełnego zgłoszenia. Na podstawie art. 12a ustawy KSC dokument kończący proces musi zawierać ostateczny, szczegółowy opis incydentu, w tym spowodowane zakłócenia i szkody, rodzaj zagrożenia lub przyczynę stanowiącą źródło zdarzenia, a także zestawienie zastosowanych i wdrażanych środków ograniczających ryzyko.

Od wyżej opisanego, standardowego modelu raportowania, prawodawca przewidział imperatywne odstępstwo dla wybranej grupy adresatów. Zgodnie z art. 11 ust. 1a ustawy KSC wprowadzono szczególny rygor dla dostawców usług zaufania, którzy muszą dokonać pełnego zgłoszenia incydentu poważnego w czasie nie dłuższym niż 24 godziny od jego wykrycia. 

Zastosowanie tego przepisu oznacza, że dostawcy usług zaufania zostali wyłączeni z obowiązku przekazywania wczesnego ostrzeżenia (etap pierwszy), a w zamian narzucono na nich obowiązek przekazania pełnego, szczegółowego zgłoszenia incydentu (odpowiadającego drugiemu etapowi) w drastycznie skróconym czasie 24 godzin.

Rygoryzm całej procedury potęguje narzucona przez prawodawcę bezwzględna forma komunikacji. Ustawa wyklucza swobodę podmiotów w doborze kanału przekazywania informacji. Zgodnie z art. 11 ust. 2 ustawy KSC wszystkie wymienione w procedurze ostrzeżenia i sprawozdania przesyła się obligatoryjnie przy użyciu wskazanego w przepisach systemu teleinformatycznego. Powołany przepis oznacza, że dokumenty wytworzone na poszczególnych etapach procedury notyfikacyjnej muszą zostać przesłane za pośrednictwem dedykowanego, państwowego systemu teleinformatycznego.

Opisany, wysoce sformalizowany reżim rzutuje na procesy operacyjne i kadrowe. W czasie trwania incydentu bezpieczeństwa i zakłócenia świadczonych usług organizacje zmuszone są do jednoczesnego delegowania zasobów na rzecz realizowania kaskadowych obowiązków administracyjnych, polegających na logowaniu się do systemu państwowego i przesyłaniu kolejnych dokumentów w sztywnych reżimach godzinowych, pod rygorem odpowiedzialności finansowej.

Terminy realizacji obowiązków

Zestawienie wymogów prawa unijnego z przepisami implementującymi ukazuje dysonans w zakresie terminów nałożonych na uczestników rynku. Ustawodawca unijny dążył do bezwzględnej i szybkiej implementacji reżimu cyberbezpieczeństwa na terytorium całej Wspólnoty. Zgodnie z art. 41 ust. 1 dyrektywy NIS2 państwa członkowskie zostały zobligowane do przyjęcia i opublikowania przepisów niezbędnych do wykonania dyrektywy oraz do ich stosowania od dnia 18 października 2024 roku.

Polski prawodawca, wprowadzając powyższe wymogi do ustawy KSC, zastosował jednak mechanizm odroczenia w czasie, uzależniając początek biegu terminów od trybu, w jakim podmiot wchodzi do krajowego systemu cyberbezpieczeństwa. Zasadą generalną, obejmującą zdecydowaną większość rynku, jest nabycie statusu podmiotu kluczowego lub ważnego z mocy samego prawa, co wymaga od organów zarządzających przeprowadzenia procesu samoidentyfikacji. Zgodnie z art. 16 ustawy KSC organizacje otrzymują 12 miesięcy na realizację nałożonych obowiązków, a w przypadku podmiotów kluczowych 24 miesiące na przeprowadzenie pierwszego audytu, licząc od dnia obiektywnego spełnienia ustawowych przesłanek.

Powołany przepis stanowi generalną oś czasu. Oznacza to, że od momentu obiektywnego spełnienia wymogów wielkościowych i sektorowych organizacja otrzymuje 12 miesięcy na uregulowanie procesów, w tym na wdrożenie systemu zarządzania bezpieczeństwem informacji oraz powołanie struktur wewnętrznych. W przypadku podmiotów już funkcjonujących na rynku dzień spełnienia przesłanek następuje w dniu wejścia w życie ustawy. Z kolei wymóg poddania się pierwszej weryfikacji przez audytora zewnętrznego został odroczony o 24 miesiące.

Od powyższego rygoru samoidentyfikacji ustawa przewiduje wyjątek, w którym państwo zachowuje władztwo decyzyjne wobec podmiotów niespełniających kryteriów wielkościowych, lecz mających szczególne znaczenie dla funkcjonowania państwa. Zgodnie z art. 7l ustawy KSC właściwy organ może w drodze decyzji administracyjnej narzucić status podmiotu kluczowego lub ważnego organizacji z wyznaczonych sektorów, jeśli świadczy ona usługi krytyczne lub jej zakłócenie stanowi zagrożenie dla bezpieczeństwa państwa, przy czym organizacja ta również zyskuje 12 i 24 miesiące na dostosowanie się do rygorów, biegnące od dnia doręczenia decyzji.

Wskazana konstrukcja potwierdza, że bez względu na tryb objęcia regulacją – czy następuje to z mocy prawa, czy na skutek władczej ingerencji organu państwowego – polski ustawodawca konsekwentnie rozkłada ciężar egzekucyjny w czasie. Przepisy te kreują twardy, dwunastomiesięczny oraz dwudziestoczteromiesięczny kalendarz wdrożeniowy. Daje to organom zarządzającym bufor niezbędny na alokację kapitału i formalną przebudowę struktur przedsiębiorstwa przed upływem okresu dostosowawczego.

Instrumenty nadzoru oraz sankcje

Naruszenie nałożonych przez prawodawcę obowiązków w zakresie cyberbezpieczeństwa uruchamia system nadzoru państwowego oraz wysoce represyjny reżim sankcyjny. Ustawa KSC wprowadza podział rynku, precyzyjnie różnicując narzucone na organizacje kary finansowe oraz narzędzia kontrolne organów państwowych w zależności od przypisanego statusu podmiotu.

W pierwszej kolejności ustawodawca zdefiniował surowe sankcje administracyjne uderzające bezpośrednio w kapitał samych przedsiębiorstw. Zgodnie z art. 73 ust. 3 i 4 ustawy KSC wymiar kary pieniężnej dla podmiotu kluczowego nie może przekroczyć równowartości 10 milionów euro lub 2 procent jego rocznych przychodów, podczas gdy górna granica dla podmiotu ważnego wynosi 7 milionów euro lub 1,4 procent przychodów, przy czym w obu przypadkach zastosowanie ma zawsze kwota wyższa.

Niezależnie od wymiaru finansowego ustawa statuuje kaskadową procedurę eskalacji środków przymusu i nadzoru. Zgodnie z art. 53 ust. 3 ustawy KSC organy państwowe sprawują nadzór prewencyjny i następczy nad podmiotami kluczowymi, ograniczając się do nadzoru wyłącznie następczego w stosunku do podmiotów ważnych.

Powołany przepis oznacza, że podmioty kluczowe podlegają stałej weryfikacji, podczas gdy wobec podmiotów ważnych aparat państwowy uruchamia działania kontrolne wyłącznie w trybie reaktywnym. Zgodnie z art. 53 ust. 4 ustawy KSC organ kieruje w pierwszej kolejności do podmiotu ostrzeżenie z wyznaczeniem terminu na usunięcie naruszeń. Dopiero w przypadku braku realizacji zaleceń organ zyskuje prawo do wydania władczych decyzji nakazujących, do których zalicza się instytucję zewnętrznego nadzoru.

Na podstawie art. 53 ust. 5 pkt 6 ustawy KSC właściwy organ może w drodze decyzji wyznaczyć urzędnika monitorującego do nadzorowania podmiotu kluczowego na okres nie dłuższy niż miesiąc.

W przypadku zignorowania powyższych nakazów organ nadzorczy dysponuje środkami ostatecznymi, ingerującymi bezpośrednio w strukturę zarządzania. Zgodnie z art. 53 ust. 9 pkt 6 ustawy KSC w razie niewykonania nakazów organ może zakazać kierownikowi podmiotu kluczowego pełnienia funkcji zarządczych do czasu usunięcia stwierdzonych uchybień.

Wskazane instrumenty prawne w postaci wyznaczenia urzędnika monitorującego oraz administracyjnego zakazu pełnienia funkcji zarządczych zostały jednak bezwzględnie ograniczone wyłącznie do podmiotów kluczowych. Zgodnie z art. 53 ust. 17 ustawy KSC w stosunku do podmiotów ważnych wprost wyłączono możliwość zastosowania tych najbardziej restrykcyjnych rygorów.

Wyłączenie stosowania rygorów z ust. 5 pkt 6 oraz ust. 9 w stosunku do podmiotów ważnych prawnie chroni organy zarządzające tymi jednostkami przed najdalej idącą ingerencją państwa. Niezależnie od uwarunkowań statusowych ustawodawca ustanowił gwarancje proceduralne chroniące podmioty przed arbitralnością sankcji. Jak stanowią art. 53 ust. 13 i 14 ustawy KSC, przed nałożeniem kary lub zastosowaniem najsurowszych środków organ ma obowiązek przedstawić podmiotowi szczegółowo uzasadnione wstępne ustalenia, a organizacja dysponuje terminem 7 dni na zajęcie stanowiska i podjęcie obrony. Wskazany mechanizm daje kadrze kierowniczej twarde prawo do obrony przed formalnym nałożeniem administracyjnych środków nadzorczych lub wielomilionowych kar finansowych. Jednocześnie na mocy art. 53 ust. 12 ustawy KSC organ zobowiązany jest do miarkowania wymiaru sankcji w oparciu o zamknięty katalog przesłanek. 

Ostatecznym dopełnieniem tego systemu pozostaje osobista, zryczałtowana odpowiedzialność majątkowa kierownika jednostki, wymierzana w wysokości do 300 % otrzymywanego przez niego wynagrodzenia, która bezwzględnie materializuje ciężar zarządzania bezpieczeństwem informacji uregulowany w przepisach ustawy.

Wnioski końcowe

Odpowiadając na postawione we wstępie pytanie o to, czy postęp technologiczny ostatecznie ułatwia, czy utrudnia prowadzenie działalności gospodarczej, należy wyraźnie oddzielić warstwę operacyjną od zarządczej. O ile sztuczna inteligencja i narzędzia cyfrowe faktycznie optymalizują rynkowe procesy, o tyle państwowy reżim prawny, będący strukturalną odpowiedzią na cyberzagrożenia, utrudnia całościowe zarządzanie przedsiębiorstwem. Zderzenie technologicznej elastyczności z surową rzeczywistością prawną prowadzi do paradoksu, który ostatecznie redefiniuje ład korporacyjny.

Nowe regulacje zakorzeniają odpowiedzialność za cyberbezpieczeństwo na samym Zarządzie. Obowiązek osobistego zatwierdzania środków zarządzania ryzykiem, wymóg raportowania incydentów, weryfikacja niekaralności personelu oraz groźba osobistych kar administracyjnych uderzających bezpośrednio w majątek członków zarządu wskazują, że sztuczna inteligencja, zamiast trwale uelastycznić zarządzanie, doprowadziła do ukształtowania systemu prawnego, który nałożył na kadrę kierowniczą dodatkowy ciężar obarczony daleko idącymi sankcjami.

Radca prawny Mateusz Romowicz

Prawnik Antoni Pochmara

prawo-korporacyjne.pl

Legal Marine

Facebook 

Linkedin