W bardzo wielu firmach bezpieczeństwo IT było zmartwieniem działu IT. Zarząd akceptował budżet, dział IT kupował rozwiązania i temat załatwiony.
Nowelizacja ustawy o KSC, która obowiązuje od 3 kwietnia 2026 roku, kończy ten model i podnosi priorytet cyberbezpieczeństwa. Odpowiedzialność za wdrożenie środków zarządzania ryzykiem cyberbezpieczeństwa trafia teraz wprost na poziom kierownictwa - czyli na zarząd. Nie jest to odpowiedzialność abstrakcyjna: kierownik podmiotu podlega autonomicznym sankcjom, niezależnie od kar nałożonych na sam podmiot.
Konkretna sankcja (art. 73a ust. 4 ustawy o KSC): kara finansowa dla kierownika podmiotu prywatnego wynosi do 300% wynagrodzenia, obliczanego według zasad stosowanych przy ustalaniu ekwiwalentu za urlop. To odrębna kara nakładana osobiście na kierownika - niezależnie od ewentualnej kary nałożonej na sam podmiot. Jeżeli zarząd jest wieloosobowy i nie wskazano konkretnej osoby odpowiedzialnej za obowiązki cyberbezpieczeństwa, odpowiedzialność ponoszą wszyscy członkowie organu - samo przekazanie tych zadań np. do CISO lub działu IT nie zwalnia kierownika z odpowiedzialności. Dla większości kar przewidzianych w nowych przepisach ustawa przewiduje dwuletni okres przejściowy - mogą być one po raz pierwszy nałożone po 3 kwietnia 2028 r. Nie oznacza to jednak, że do tego czasu obowiązki można ignorować: dokumentacja i praktyki, które Cię przed nimi ochronią, buduje się miesiącami, nie dniami.
Co dokładnie musi zrobić zarząd i kiedy, żeby kary uniknąć
Ustawa nie wymaga od członków zarządu, żeby zostali ekspertami w kwestii cyberbezpieczeństwa, ale oczekuje konkretnych aktywności - i warto zacząć już teraz, choć ustawa daje pewien zapas czasowy na wdrożenie poszczególnych rozwiązań.
Pełne wdrożenie systemu zarządzania bezpieczeństwem informacji wymagane jest do 3 kwietnia 2027 roku. Ale zarząd powinien już teraz zatwierdzić plan osiągnięcia tego celu. Im wcześniej powstanie dokumentacja pokazująca, że proces ruszył, tym mocniejsza jest pozycja kierownictwa w razie kontroli.
- Uruchom w firmie ciągły proces szacowania ryzyka - zleć regularne badanie, gdzie system może zostać przełamany.
- Wskaż w strukturze organizacyjnej konkretne osoby odpowiedzialne za poszczególne obszary bezpieczeństwa IT.
- Wpisz cyberbezpieczeństwo jako stałą, zabezpieczoną finansowo pozycję w rocznym planie finansowym organizacji.
- Przynajmniej raz w roku weź udział w udokumentowanym szkoleniu z cyberbezpieczeństwa dla kadry zarządzającej, podczas którego dostaniesz wskazówki o wszystkich obowiązkach na Tobie ciążących. Zapewnij też regularne szkolenia z cyberhigieny dla wszystkich pracowników.
- Zapewnij ciągły, całodobowy monitoring systemów IT, aby wykryć anomalię, zanim przerodzi się w poważny paraliż.
- Jeśli dojdzie do poważnego ataku, dopilnuj zgłoszenia do CSIRT: wczesnego ostrzeżenia w ciągu 24 godzin i pełnego zgłoszenia incydentu w ciągu 72 godzin od wykrycia.
- Po każdym incydencie zleć wdrożenie natychmiastowych działań naprawczych, aby ta sama podatność nie została wykorzystana ponownie.
- Zleć stworzenie i regularne testowanie procedury ciągłości działania. Upewnij się, że kopie zapasowe działają, są bezpiecznie odizolowane i da się z nich sprawnie przywrócić system.
Dlaczego „IT ogarnie" nie wystarczy
Najczęstszy argument który słyszę od zarządów: „mamy zewnętrzną firmę IT która się tym zajmuje". To argument zrozumiały, ale niewystarczający z perspektywy ustawy.
Dział IT lub zewnętrzny dostawca odpowiada za warstwę technologiczną tj. konfigurację systemów, aktualizacje, monitoring itp. Ustawa KSC nakłada obowiązki nadzorcze. Zewnętrzny dostawca IT może wdrożyć system antywirusowy, ale nie może w imieniu Prezesa wyznaczyć osób odpowiedzialnych za jego obsługę. Wdrożone narzędzia techniczne nie zastąpią odpowiedzialności za ich systematyczne i uporządkowane użytkowanie celem monitorowania zdarzeń i podniesienia poziomu cyberbezpieczeństwa.
Co powinno znaleźć się w dokumentacji zarządu
Jeśli dojdzie do incydentu lub kontroli, pytanie nie będzie brzmiało „czy mieliście system bezpieczeństwa" - tylko „co zarząd wiedział i kiedy". Dokumentacja powinna odpowiadać na to pytanie zanim ktokolwiek je zada.
Przez ponad jedenaście lat byłam po drugiej stronie tego procesu - odpowiadałam za bezpieczeństwo informacji w dużej spółce sektora energetycznego. Wiem, jak wygląda rozmowa z zarządem, który musi podjąć decyzje w obszarze, który dobrze rozumie tylko dział IT. I wiem, jak te decyzje dokumentować, żeby były odporne na kontrolę. Co podpowiada mi moje doświadczenie w kwestii przydatnych dokumentów? Przykładowo:
- Uchwała zarządu zatwierdzająca plan wdrożenia lub politykę systemu zarządzania bezpieczeństwem informacji - z datą i podpisami wszystkich członków.
- Potwierdzenie odbycia szkolenia przez każdego członka zarządu - z datą, zakresem i certyfikatem.
- Protokoły lub notatki z posiedzeń zarządu, na których omawiano tematy cyberbezpieczeństwa - nawet krótkie, byle datowane i podpisane.
- Raport z oceny ryzyka lub diagnoza statusu firmy - jako twardy dowód, że zarząd aktywnie monitoruje sytuację, a nie tylko podpisuje dokumenty.
- Wyznaczenie osoby kontaktowej odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.
Moja wskazówka
Zacznij od jednej konkretnej rzeczy: zwołaj posiedzenie zarządu poświęcone wyłącznie tematowi KSC i zaprotokołuj je. Nie musisz na nim rozwiązać wszystkich problemów, ale je omów i przypisz odpowiedzialność za kolejne kroki konkretnej osobie. W razie kontroli to Twoja tarcza pokazująca, że dopełniłeś należytej staranności.