Przez lata cyberbezpieczeństwo było traktowane jako problem działu IT — temat techniczny, „gdzieś na dole” struktury. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2 i obowiązująca od 3 kwietnia 2026 roku, kończy ten stan rzeczy. Wprowadza odpowiedzialność kierowników podmiotów za realizację zadań z zakresu cyberbezpieczeństwa.
Dla zarządów to zmiana fundamentalna: bezpieczeństwo cyfrowe staje się obowiązkiem nadzorowanym na najwyższym szczeblu. W tym artykule wyjaśniamy, co to praktycznie oznacza.
Co dokładnie mówi ustawa o odpowiedzialności zarządu?
Nowe przepisy nakładają na podmioty obowiązek stosowania odpowiednich środków technicznych i organizacyjnych, a jednocześnie wprowadzają odpowiedzialność kierownictwa za realizację tych zadań. Innymi słowy: to nie anonimowy „dział” odpowiada za bezpieczeństwo, lecz konkretne osoby zarządzające organizacją.
Za co konkretnie odpowiada kierownictwo?
Odpowiedzialność zarządu ma charakter nadzorczy i decyzyjny, a nie wykonawczy. W praktyce obejmuje:
- zatwierdzanie środków zarządzania ryzykiem i polityk bezpieczeństwa,
- zapewnienie zasobów (budżet, ludzie, kompetencje) na realizację programu,
- nadzór nad obsługą i zgłaszaniem incydentów,
- dopilnowanie własnych szkoleń z zakresu cyberbezpieczeństwa,
- rozliczanie organizacji z realizacji obowiązków.
Zarząd nie musi konfigurować firewalli — musi zapewnić, że ktoś kompetentny to robi, że istnieją polityki, i że całość działa.
Dlaczego to przełom dla sposobu zarządzania?
Dotąd CISO często walczył o budżet i uwagę zarządu. Teraz role się odwracają: to zarząd ma interes, by program bezpieczeństwa działał, bo odpowiedzialność spoczywa na nim. Ta zmiana realnie ułatwia finansowanie inicjatyw bezpieczeństwa — pod warunkiem, że kierownictwo rozumie swoją rolę.
Od kiedy grożą realne kary?
W ustawie o KSC administracyjne kary pieniężne za większość obowiązków będą mogły być nakładane po 3 kwietnia 2028 roku (dwa lata od wejścia nowelizacji w życie). To jednak nie powód do zwłoki — terminy na wdrożenie obowiązków biegną wcześniej (m.in. wpis do wykazu do 3 października 2026, wdrożenie obowiązków do 3 kwietnia 2027). Pełny harmonogram opisaliśmy w artykule o terminach nowelizacji KSC/NIS2.
Czy zarząd musi się szkolić?
Tak. Regulacje oczekują, że członkowie kierownictwa odbędą szkolenia pozwalające rozumieć ryzyka i nadzorować środki zarządzania ryzykiem. Nie chodzi o to, by zarząd stał się zespołem techników — chodzi o zdolność zadania właściwych pytań i oceny, czy program bezpieczeństwa jest adekwatny do ryzyka.
Jak zarząd może rozsądnie ograniczyć swoją odpowiedzialność?
Najlepszą linią obrony jest udokumentowana należyta staranność:
- Zatwierdzone polityki i strategia bezpieczeństwa.
- Audyt gotowości (gap analysis) z mapą drogową — dowód, że znasz swój stan.
- Jasny podział ról — np. wyznaczenie CISO lub skorzystanie z vCISO.
- Proces obsługi incydentów z gotowością do raportowania.
- Dowody nadzoru — protokoły, decyzje, przeglądy.
Zarząd, który potrafi wykazać, że świadomie zarządzał ryzykiem, jest w nieporównanie lepszej pozycji niż taki, który temat zignorował.
Od czego zacząć?
Jeśli jesteś w zarządzie organizacji, która może podlegać NIS2/KSC, zacznij od dwóch pytań: „czy podlegamy?” i „jaki jest nasz status?”. Odpowiedź da audyt gotowości KSC/NIS2, a kategorię podmiotu pomoże ustalić artykuł o różnicach między podmiotem kluczowym a ważnym.
Powiązane pojęcia
Sprawdź nasze usługi
- vCISO — strategiczny nadzór nad bezpieczeństwem i wsparcie dla zarządu
- Audyt i doradztwo KSC/NIS2 — diagnoza i mapa drogowa zgodności
- SOC 24/7 — operacyjna gotowość do obsługi incydentów
Odpowiedzialność zarządu w NIS2 to nie zagrożenie, lecz dźwignia — pierwszy raz cyberbezpieczeństwo ma na najwyższym szczeblu realnego właściciela.
