Zarząd a cyberbezpieczeństwo. Odpowiedzialność po nowelizacji ustawy o KSC

W wielu spółkach cyberbezpieczeństwo przez lata było sprawą działu IT albo zewnętrznego dostawcy. Zarząd podpisywał fakturę i wracał do swoich spraw. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która obowiązuje od 3 kwietnia 2026 r., ten układ zmienia. W firmach objętych ustawą odpowiedzialność trafia tam, gdzie zapadają decyzje o budżecie i priorytetach, czyli do zarządu.

Co mówi ustawa

Dyrektywa NIS2, którą wdraża nowelizacja, wymaga, żeby organ zarządzający zatwierdzał środki zarządzania ryzykiem w cyberbezpieczeństwie, nadzorował ich wdrożenie i odpowiadał za naruszenia. Członkowie zarządu mają też przechodzić szkolenia. Zlecenie obsługi IT firmie zewnętrznej nie zwalnia zarządu z tej odpowiedzialności. Można przekazać wykonanie zadań, ale nie decyzję o tym, czy są wykonane dobrze.

Ustawa przewiduje kary dla samej firmy: do 10 mln euro albo 2% obrotu dla podmiotów kluczowych i do 7 mln euro albo 1,4% obrotu dla ważnych. Osobno przewiduje karę dla kierownika podmiotu, która może sięgnąć 300% jego wynagrodzenia.

Druga strona: odpowiedzialność wobec spółki

O karach administracyjnych mówi się najwięcej, ale członek zarządu ma też odpowiedzialność wobec samej spółki. Zgodnie z art. 293 § 1 Kodeksu spółek handlowych (szerzej o obsłudze spółek w obszarze prawo handlowe) członek zarządu spółki z o.o. odpowiada wobec spółki za szkodę wyrządzoną działaniem lub zaniechaniem sprzecznym z prawem lub umową spółki, chyba że nie ponosi winy. Jeśli spółka zapłaci karę albo poniesie koszty incydentu, którego dało się uniknąć przy minimalnej staranności, pytanie o odpowiedzialność zarządu jest naturalne.

Od 13 października 2022 r. obowiązuje jednak art. 293 § 3 KSH, czyli polska wersja zasady business judgment rule. Członek zarządu nie narusza obowiązku staranności, jeśli działając lojalnie wobec spółki, mieści się w granicach uzasadnionego ryzyka gospodarczego, m.in. na podstawie informacji, analiz i opinii, które w danych okolicznościach powinny być uwzględnione.

W praktyce oznacza to jedno: liczy się nie tylko decyzja, ale też to, na jakiej podstawie ją podjęto. Zarząd, który zlecił analizę ryzyka, wysłuchał IT, rozważył koszty i świadomie wybrał wariant, jest w znacznie lepszej pozycji niż zarząd, który „nie zajmował się tematem”.

Sześć rzeczy, które zarząd może zrobić w tym kwartale

1. Ustalić status spółki. Podmiot kluczowy, ważny czy poza ustawą. Pomoże w tym nasz test w czterech pytaniach. Z uzasadnieniem na piśmie.
2. Wskazać osobę w zarządzie. Jeden członek zarządu, który nadzoruje cyberbezpieczeństwo i zna terminy. Nie zastąpi to odpowiedzialności całego organu, ale porządkuje pracę.
3. Przejść szkolenie. Krótkie, dla całego zarządu, z udokumentowaną listą obecności.
4. Ustalić rytm raportowania. Na przykład kwartalna informacja od IT lub dostawcy: stan wdrożenia, incydenty, ryzyka. Każdy taki raport wpisany do protokołu to późniejszy dowód staranności.
5. Przejrzeć umowy z dostawcami IT. Czy dostawca ma obowiązek informować spółkę o incydentach i pomagać w ich wyjaśnieniu. Bez tego trudno dotrzymać terminów zgłoszeń: 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie.
6. Przećwiczyć incydent. Godzinne ćwiczenie przy stole: dzwoni dostawca, systemy nie działają, kto decyduje i kto zgłasza. Lepiej odkryć luki w procedurze na sucho niż w piątek wieczorem.

Najbliższy twardy termin to 3 kwietnia 2027 r. Do tego dnia powinien już działać system zarządzania bezpieczeństwem informacji razem z procedurami reagowania na incydenty. Kilka miesięcy to niewiele, jeśli zarząd zacznie się tym zajmować dopiero na wiosnę.

Stan prawny: 31 października 2026 r.