Nowa ustawa o KSC (NIS2) w praktyce. Kogo dotyczy i za co grożą osobiste kary

Od miesiąca w Polsce obowiązuje długo wyczekiwana nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (tzw. KSC2), która implementuje unijną dyrektywę NIS2. Nowe przepisy nakładają obowiązki na tysiące firm, a za ich niedopełnienie grożą surowe kary – nie tylko dla samej organizacji, ale również osobiście dla kadry kierowniczej. Co dokładnie się zmienia i jak się przygotować?

Kogo dotyczy nowelizacja i jakie są nowe obowiązki

Ustawa KSC2 rozszerza krąg podmiotów zobowiązanych w porównaniu do poprzedniego stanu prawnego. Obejmuje nie tylko operatorów usług kluczowych, ale także wiele średnich i dużych przedsiębiorstw z sektorów takich jak energetyka, transport, bankowość, ochrona zdrowia, administracja publiczna czy dostawcy usług cyfrowych. Jak wskazuje Niebezpiecznik w swoim omówieniu nowych przepisów, kluczowe znaczenie ma ustalenie, czy Twoja firma podlega pod nowe regulacje – to pierwszy krok, który trzeba wykonać niezwłocznie.

Obowiązki wynikające z KSC2 obejmują m.in. wdrożenie systemu zarządzania bezpieczeństwem informacji, regularne audyty, szkolenia pracowników, raportowanie incydentów oraz zarządzanie ryzykiem w łańcuchu dostaw. Nowością jest wyraźne wskazanie, że odpowiedzialność za te zadania spoczywa nie tylko na członkach zarządu, ale na szerzej rozumianej kadrze kierowniczej – w tym dyrektorach, kierownikach działów (nie tylko IT) czy osobach odpowiedzialnych za compliance.

Osobista odpowiedzialność i kary finansowe

Największą zmianą, która budzi zrozumiałe obawy wśród menedżerów, jest wprowadzenie osobistej odpowiedzialności finansowej za zaniedbania w zakresie cyberbezpieczeństwa. Jak czytamy w analizie Niebezpiecznika: „odpowiedzialność za błędne wdrożenie KSC/NIS2 w organizacji spoczywa nie tylko na Członkach Zarządu ale na szerzej rozumianej kadrze kierowniczej. Co gorsza, to również odpowiedzialność osobista, a oznacza, że i Ty możesz być narażony na sankcje i kary, które przyjdzie Ci zapłacić z własnej kieszeni”.

Kary dla firm mogą sięgać nawet kilku milionów złotych lub do 2% rocznego światowego obrotu. Jednak właśnie ryzyko osobistych sankcji – grzywien, a w skrajnych przypadkach nawet ograniczenia wolności – ma skłonić kadrę zarządzającą do traktowania cyberbezpieczeństwa priorytetowo. Przepisy nie precyzują jeszcze dokładnie, jakie zaniedbania będą najsurowiej karane, ale eksperci wskazują, że szczególną uwagę organy nadzoru zwrócą na brak podstawowych zabezpieczeń, ignorowanie incydentów oraz niewdrożenie systemu szkoleń.

Co zrobić już teraz – praktyczne kroki

Wdrożenie wymogów NIS2/KSC2 to proces, który warto rozpocząć od kilku konkretnych działań:

• Sprawdź, czy Twoja firma podlega pod nowe przepisy – przeanalizuj wielkość organizacji i sektor działalności. Jeśli masz wątpliwości, skonsultuj się z prawnikiem specjalizującym się w cyberbezpieczeństwie.
• Powołaj zespół wdrożeniowy – w skład powinni wejść przedstawiciele zarządu, działu IT, prawnego, HR oraz compliance. Ustawa wymaga zaangażowania wielu obszarów firmy.
• Przeprowadź audyt obecnego stanu bezpieczeństwa – oceń, jakie masz procedury, czy prowadzisz szkolenia, jak raportujesz incydenty. Pozwoli to zidentyfikować luki.
• Zaplanuj budżet i harmonogram – wdrożenie może trwać wiele miesięcy. Nie odkładaj go na ostatnią chwilę.
• Zadbaj o szkolenia – ustawa nakłada obowiązek regularnego podnoszenia świadomości pracowników. To jeden z tańszych, a zarazem najskuteczniejszych sposobów na podniesienie poziomu bezpieczeństwa.

Co dalej? Obserwuj rozwój sytuacji

Nowelizacja ustawy o KSC to dopiero początek zmian w polskim krajobrazie regulacyjnym. W najbliższych miesiącach możemy spodziewać się pierwszych kontroli i decyzji organów nadzoru, które pokażą, jak przepisy są interpretowane w praktyce. Warto śledzić komunikaty CERT Polska i ministerstwa cyfryzacji, a także rozważyć udział w specjalistycznych szkoleniach, które pomogą uniknąć kosztownych błędów. Najważniejsze – nie czekać, aż kontrola zapuka do drzwi.