Kierownik jednostki a ustawa o KSC: odpowiedzialność, szkolenie i kary

Opublikowano 19.09.2026 · aktualizacja 20.09.2026 · czytanie ok. 3 min

Nowelizacja z 2026 r. przypisała odpowiedzialność za cyberbezpieczeństwo konkretnej osobie — tej, która kieruje jednostką. Dla dyrektora szkoły, wójta, burmistrza czy starosty oznacza to kilka obowiązków osobistych, a od kwietnia 2028 r. także możliwość nałożenia kary pieniężnej na niego samego.

Kto jest kierownikiem w rozumieniu ustawy

Ustawa odsyła do przepisów o finansach publicznych: w jednostce sektora finansów publicznych kierownikiem jest kierownik tej jednostki w rozumieniu art. 53 ust. 1 ustawy o finansach publicznych (art. 2 pkt 8a ustawy o KSC). W szkole to dyrektor, w urzędzie gminy — wójt, burmistrz albo prezydent miasta, w starostwie — starosta.

Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy członkowie tego organu (art. 8c ust. 2). W samorządzie dotyczy to np. spółek komunalnych z wieloosobowym zarządem.

Pięć zadań z art. 8d

decyduje o przygotowaniu, wdrożeniu, stosowaniu, przeglądzie i nadzorze systemu zarządzania bezpieczeństwem informacji,
planuje środki finansowe adekwatne do obowiązków z zakresu cyberbezpieczeństwa,
przydziela zadania z tego zakresu i nadzoruje ich wykonanie,
zapewnia, że personel zna swoje obowiązki i wewnętrzne regulacje jednostki,
zapewnia zgodność działania jednostki z przepisami prawa i regulacjami wewnętrznymi.

Każdy z tych punktów da się wykazać dokumentem: zarządzeniem o systemie, planem finansowym, zakresami czynności, potwierdzeniami zapoznania się z regulacjami, protokołem przeglądu.

Coroczne szkolenie kierownika

Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzył obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym (art. 8e ust. 1). Szkolenie obejmuje m.in. wpis do wykazu i aktualizację danych, system zarządzania bezpieczeństwem informacji, obsługę i zgłaszanie incydentów oraz audyt (art. 8e ust. 2). Udział trzeba udokumentować (art. 8e ust. 3).

Przepis mówi o roku kalendarzowym, a nie o 12 miesiącach — w każdym roku kalendarzowym musi odbyć się szkolenie, niezależnie od tego, w którym miesiącu.

Informacja z Krajowego Rejestru Karnego

Zanim osoba zacznie realizować zadania z art. 8 (system zarządzania bezpieczeństwem informacji) lub art. 11 (obsługa i zgłaszanie incydentów), przedstawia informację z KRK, która stwierdza niekaralność za przestępstwa przeciwko ochronie informacji. Kierownik dopuszcza ją do tych zadań dopiero po jej otrzymaniu (art. 8f ust. 1).

Gdy jednostka poweźmie uzasadnione podejrzenie, że taka osoba została skazana za przestępstwo przeciwko ochronie informacji, wzywa ją do ponownego przedstawienia informacji (art. 8f ust. 2). Przestępstwa przeciwko ochronie informacji to rozdział XXXIII Kodeksu karnego.

Kary dla kierownika

Organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę pieniężną na kierownika, który nie wykonuje m.in. obowiązków dotyczących wykazu, systemu zarządzania bezpieczeństwem informacji (art. 8), swoich zadań z art. 8d, corocznego szkolenia (art. 8e), sprawdzenia niekaralności (art. 8f) albo obsługi i zgłaszania incydentów (art. 11) — jeżeli przemawia za tym czas, zakres lub charakter naruszenia (art. 73a ust. 1). Karę można nałożyć także za zaniechanie jednorazowe (art. 73a ust. 2).

Górna granica kary dla kierownika podmiotu publicznego to 100% wynagrodzenia liczonego według zasad ustalania ekwiwalentu pieniężnego za urlop, dla pozostałych kierowników — 300% (art. 73a ust. 4 i 5). Jeżeli podmiot publiczny podlega ustawie także z tytułu innego sektora z załącznika nr 1 lub 2, stosuje się limit 300%.

Kary z art. 73 ust. 1–4 i z art. 73a mogą zostać nałożone po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji, czyli po 3 kwietnia 2028 r. (art. 35 nowelizacji). Odroczenie nie obejmuje kary z art. 73 ust. 5 — do 100 mln zł, nakładanej wtedy, gdy naruszenie poważnie i bezpośrednio zagraża państwu, porządkowi publicznemu, życiu lub zdrowiu ludzi albo grozi dużą szkodą majątkową. Obowiązki obowiązują wcześniej, a organ będzie oceniał stan faktyczny i dokumentację.

Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.

Sprawdź status w kalkulatorze Zobacz portal w wersji demo

Najczęstsze pytania

Czy dyrektor może przekazać odpowiedzialność informatykowi?

Może powierzyć mu obowiązki za jego zgodą, ale sam nadal ponosi odpowiedzialność (art. 8c ust. 3). Osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, także przechodzi coroczne szkolenie (art. 8e ust. 1).

Czy szkolenie musi prowadzić certyfikowana firma?

Ustawa nie określa, kto prowadzi szkolenie. Wymaga, żeby odbyło się w każdym roku kalendarzowym, obejmowało obowiązki wskazane w art. 8e ust. 2 i było udokumentowane.

Źródła

Pojęcia z tego artykułu

Kierownik podmiotu kluczowego lub ważnego