NIS2 i KSC dla zarządu: obowiązki kierownika, kara do 300% wynagrodzenia i protokół nadzoru

NIS2 to unijna dyrektywa o cyberbezpieczeństwie, a KSC 2.0 to jej polskie wdrożenie, czyli ustawa z dnia 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 roku. Tyle definicji, bo definicję i tak poda Wam każda wyszukiwarka. Ten tekst jest o czymś, o czym większość materiałów milczy: nowelizacja nałożyła obowiązki nie tylko na organizację, ale wprost na kierownika podmiotu, czyli na konkretną osobę z imieniem, nazwiskiem i wynagrodzeniem. Jeśli słyszycie o tym pierwszy raz, to nie z zaniedbania. Przepis wszedł w kwietniu, między budżet, rekrutacje i audyt finansowy, a teksty branżowe opisywały obowiązki firm, nie osób. Dlatego zamiast kolejnego streszczenia dostajecie tu gotowy protokół nadzoru do skopiowania, checklistę dziesięciu dowodów na kontrolę i kalendarz na najbliższe tygodnie. Krótko: NIS2 i KSC dla zarządu to dziś punkt na posiedzeniu, nie zgłoszenie do działu IT.

NIS2 i KSC dla zarządu: kto u Was jest kierownikiem podmiotu

Według przewodnika NASK PIB „Od wymagań do działania” z września 2026 roku znowelizowana ustawa obejmuje 19 sektorów i obszarów działalności: 10 kluczowych i 9 ważnych, od energii i transportu, przez zdrowie i finanse, po podmioty publiczne. Jeżeli Wasza organizacja mieści się w którymkolwiek z nich, pierwsze pytanie na posiedzenie zarządu brzmi: kto u Was jest kierownikiem podmiotu. Ten sam przewodnik NASK PIB definiuje to tak: osoba lub osoby formalnie zarządzające organizacją i odpowiadające za najważniejsze decyzje dotyczące jej działalności. Może to być członek zarządu lub cały zarząd, wspólnicy prowadzący sprawy spółki, właściciel firmy, a także likwidator, syndyk lub zarządca. W jednostkach sektora publicznego jest to osoba kierująca daną jednostką, czyli wójt, starosta, naczelnik urzędu, dyrektor. Wyraźnie nie jest to pełnomocnik ani doradca.

To rozróżnienie ma zęby, bo zgodnie z art. 8c ust. 1 ustawy o KSC odpowiedzialność za realizację obowiązków spoczywa właśnie na kierowniku. NASK PIB pisze wprost: powierzenie zadań CISO, pełnomocnikowi ds. bezpieczeństwa, działowi IT czy zewnętrznemu dostawcy nie zwalnia kierownictwa z odpowiedzialności. I druga teza z tego samego przewodnika, którą warto zapamiętać lepiej niż numer artykułu: odpowiedzialności za cyberbezpieczeństwo nie można delegować, można natomiast delegować zadania. Odpowiedzialności nie da się też przelać mailem z tematem pilne do działu IT, choć trzeba uczciwie przyznać, że to najszybciej dostępna metoda i niejeden zarząd rzetelnie ją przetestował.

Co zatem kierownik ma robić osobiście? Pięć rzeczy z art. 8d, o których za chwilę, plus coroczne szkolenie z art. 8e. Jeśli wolicie przejść przez całość w jeden dzień i z trenerem, jest do tego szkolenie z cyberbezpieczeństwa dla kadry kierowniczej. Od razu uczciwie: szkolenie pomaga wypełnić obowiązek szkoleniowy i udokumentować udział, nie jest potwierdzeniem zgodności całego systemu.

Szablon protokołu nadzoru kierownika: pięć punktów z art. 8d do skopiowania

Art. 8d ustawy o KSC po nowelizacji z 2026 roku (Dz.U. 2026 poz. 252) nakłada na kierownika dokładnie pięć obowiązków: decyzje o systemie zarządzania bezpieczeństwem informacji, planowanie adekwatnych środków finansowych, przydział zadań i nadzór nad ich wykonaniem, zapewnienie świadomości personelu oraz zapewnienie zgodności działania podmiotu z przepisami i regulacjami wewnętrznymi. Problem w tym, że żaden z tych pięciu punktów nie zostawia po sobie śladu, jeśli go nie zapiszecie. Dlatego zamiast streszczać przepis, dajemy Wam protokół do skopiowania. Wypełniacie go raz na przegląd, kierownik podpisuje, dokument idzie do segregatora i do repozytorium. Przykładowe wartości w trzeciej kolumnie pokazują, jak to wygląda wypełnione.

Dlaczego ten jeden dokument jest wart godziny Waszej pracy? Bo organ nadzoru nie pyta, czy zarząd się interesował cyberbezpieczeństwem. Pyta o dokument z datą i podpisem, który pokazuje, że kierownik podjął decyzje, zaplanował pieniądze, przydzielił zadania, sprawdził personel i zweryfikował zgodność. Protokół z przeglądu to najtańszy dowód wykonania art. 8d, jaki znamy, a pełny tekst ustawy możecie mieć pod ręką na tym samym posiedzeniu. Jedno zastrzeżenie: ten wzór to materiał pomocniczy, nie wzór urzędowy i nie potwierdzenie zgodności. Dopasujcie pola do swojej organizacji, zanim go podpiszecie.

Checklista przed kontrolą: dziesięć dowodów, które kierownik ma mieć pod ręką

Przewodnik NASK PIB z września 2026 roku stawia sprawę jasno: nie wystarczy posiadać wymagane polityki i procedury, organizacja powinna być w stanie wykazać, że przyjęte rozwiązania są rzeczywiście stosowane. Dokumentować należy analizy ryzyka, polityki, szkolenia personelu, obsługę incydentów, wyniki audytów i działania naprawcze. Oto dziesięć dokumentów, które warto mieć zebrane w jednym miejscu, zanim ktokolwiek o nie zapyta.

• Wniosek o wpis do wykazu podmiotów kluczowych i ważnych (art. 7c ust. 1): trzyma biuro zarządu, ma zawierać potwierdzenie złożenia z datą. Termin rejestracji minął 3 października 2026 roku, więc warto sprawdzić, czy wniosek faktycznie poszedł.
• Protokół nadzoru kierownika z ostatniego przeglądu: trzyma biuro zarządu, ma zawierać pięć punktów art. 8d, luki z terminami i podpis kierownika (wzór wyżej).
• Polityka bezpieczeństwa informacji: trzyma CISO lub kierownik IT, ma zawierać datę zatwierdzenia i numer wersji.
• Analiza ryzyka: trzyma CISO, ma zawierać datę wykonania i nazwisko autora.
• Imienny rejestr szkoleń personelu: trzymają kadry, ma zawierać daty, nazwiska i wyniki testu wiedzy.
• Zaświadczenie ze szkolenia kierownika za bieżący rok kalendarzowy: trzyma sam kierownik, ma zawierać datę i zakres, bo art. 8e ust. 3 wymaga, żeby udział był udokumentowany.
• Procedura zgłaszania incydentów poważnych: trzyma kierownik IT, ma zawierać nazwiska dwóch osób do kontaktu.
• Rejestr incydentów: trzyma kierownik IT, ma zawierać daty zgłoszenia każdego incydentu.
• Raporty z testów bezpieczeństwa i retestów: trzyma CISO, mają zawierać zakres i datę każdego testu.
• Rejestr dostawców ICT: trzyma CISO lub dział zakupów, ma zawierać ocenę ryzyka i zapisy umowne dla każdego dostawcy.

Dwa punkty z tej listy wymagają zwykle kompetencji spoza organizacji. Raporty z punktu dziewiątego dostarczają testy bezpieczeństwa systemów informatycznych, a punkt dziesiąty domykają testy bezpieczeństwa dostawców pod NIS2. Jeżeli regulator lub klient wymaga od Was niezależności testów od producenta systemu, dobre tło daje tekst o tym, kiedy testy niezależne od producenta są wymogiem prawnym.

Coroczne szkolenie z art. 8e: co znaczy raz w roku kalendarzowym

Art. 8e ust. 1 ustawy o KSC (Dz.U. 2026 poz. 252) mówi, że kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie. Rok kalendarzowy, nie rok od ostatniego szkolenia. To znaczy, że rok 2026 i rok 2027 to dwa osobne obowiązki do udokumentowania, a do końca 2026 zostały tygodnie. Zakres szkolenia określa art. 8e ust. 2 i obejmuje on obowiązki z art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9 do 12b, art. 14 i art. 15. Art. 8e ust. 3 dodaje krótko: udział w szkoleniu jest udokumentowany. Bez zaświadczenia szkolenie formalnie nie istnieje. I uwaga, która zmienia rangę tematu: w art. 73a ust. 1 lista czternastu podstaw kary dla kierownika zawiera w punkcie 4 wprost niewykonanie obowiązku z art. 8e, czyli samo nieodbycie szkolenia, a według art. 73a ust. 2 karze może podlegać także kierownik, którego zaniechanie miało charakter jednorazowy.

Jak na tym tle wygląda praktyka? Według raportu NIS360 od ENISA z maja 2026 roku około połowa podmiotów administracji publicznej nie prowadzi szkoleń z cyberbezpieczeństwa dla kierownictwa, co sama ENISA nazywa „concerning gap”. Ten sam raport ENISA podaje, że około jedna trzecia podmiotów administracji publicznej nie ma uporządkowanego podejścia do kompetencji z cyberbezpieczeństwa na poziomie kierownictwa. Dla kontrastu ENISA w NIS360 z maja 2026 roku pokazuje sektor finansowy: 80% banków i 70% podmiotów infrastruktury rynku finansowego prowadzi dedykowane szkolenia z cyberbezpieczeństwa dla kierownictwa i ról specjalistycznych. Wniosek z tej różnicy wyciągnijcie sami.

Jeśli chcecie domknąć ten obowiązek bez wyjmowania zarządu z kalendarza na cały dzień, od 1 listopada 2026 roku rusza dostęp do naszego szkolenia online z KSC i NIS2: trzy ścieżki (zarząd i kierownictwo za 639 zł netto, zespoły IT za 509 zł, pracownicy za 199 zł od osoby), pakiety dla całej organizacji do 50 osób za 6 390 zł i do 250 osób za 12 900 zł, dostęp przez 12 miesięcy. Kurs nagrał w całości Tomasz Stelmach, a każdy uczestnik dostaje imienne zaświadczenie z numerem, nazwą ścieżki, zakresem, datą i wynikiem testu, ze zdaniem „dokumentuje udział w szkoleniu z zakresu obowiązków z ustawy o krajowym systemie cyberbezpieczeństwa”. Dokładnie taki dokument wpisujecie potem do protokołu nadzoru. Dla zespołów robimy też wersje zamknięte: w czerwcu 2026 roku przeszkoliliśmy tak online 14 osób z AgroApp (Agro Aplikacje) na dwudniowym szkoleniu z testów bezpieczeństwa dla początkujących.

Kara do 300% wynagrodzenia: jak liczy się ta kwota i od kiedy grozi

Zgodnie z art. 73a ust. 4 ustawy o KSC kara dla kierownika może być wymierzona w kwocie nie większej niż 300% otrzymywanego wynagrodzenia, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop. To ta sama podstawa, którą Wasze kadry liczą przy rozliczaniu niewykorzystanego urlopu, więc wyliczenie górnej granicy dla konkretnej osoby zajmuje działowi kadr kwadrans. Dla kierownika podmiotu publicznego art. 73a ust. 5 przewiduje limit 100%, ale jeśli ten sam podmiot publiczny podlega ustawie także z tytułu innego sektora z załącznika nr 1 lub 2, wraca limit 300%. I najważniejsze: według art. 73a ust. 3 kara dla kierownika jest niezależna od kary dla podmiotu, więc obie mogą spotkać się w jednej sprawie.

Przewodnik NASK PIB z września 2026 roku dodaje do tego katalog środków nadzorczych z art. 53 ust. 9, wśród nich czasowy zakaz pełnienia funkcji zarządczych przez kierownika, przy czym według art. 53 ust. 10 środków tych nie stosuje się do podmiotów publicznych. Ten sam przewodnik NASK PIB wylicza, co organ bierze pod uwagę przy wysokości kary: wagę i czas trwania naruszenia, skutki, wcześniejsze naruszenia oraz działania podjęte w celu ograniczenia szkód. Każdy wiersz Waszego protokołu nadzoru pracuje właśnie na ten ostatni punkt. A jeśli ktoś na posiedzeniu policzy, że taniej zaryzykować, podsuńcie mu tekst o tym, ile kosztuje luka bezpieczeństwa, której nikt nie szukał.

Czego ustawa od Was nie wymaga, a co organ sprawdzi już dziś

Rozwiejmy mit, który blokuje wiele zarządów: ustawa nie wymaga, żeby kierownik osobiście rozumiał konfigurację zapory, czytał logi albo znał na pamięć czternaście punktów art. 73a. Art. 8d wymaga decyzji, pieniędzy, przydziału zadań, świadomego personelu i zgodności, czyli rzeczy, którymi zarząd zajmuje się zawodowo w każdym innym obszarze firmy. Tomasz Stelmach, CEO Quality Island, mówi o tym krótko: „Zarząd nie musi umieć skonfigurować zapory. Musi umieć pokazać, kto za co odpowiada, kiedy to sprawdzał i co z tego wyszło. Organ nadzoru nie czyta intencji, czyta dokumenty z datą.”

W firmach, które szkolimy, widzimy wciąż ten sam wzorzec: polityki są, protokołu z przeglądu nie ma, a jedyną osobą, która zna temat od podszewki, jest jeden administrator, który akurat planuje urlop. Dane ENISA pokazują, że to nie jest polska specyfika: według raportu NIS360 od ENISA z maja 2026 roku łatanie podatności w administracji publicznej często zajmuje ponad trzy miesiące, a tylko około jedna trzecia podmiotów prowadzi pełne, regularne oceny bezpieczeństwa. ENISA, powołując się w NIS360 na badanie NIS Investments, wskazuje też trzy najtrudniejsze obszary według samych organizacji: zarządzanie podatnościami i łatanie 50%, ciągłość działania i odtwarzanie po awarii 49%, zarządzanie ryzykiem łańcucha dostaw 37%. Administracja publiczna pozostaje przy tym w strefie ryzyka raportu NIS360 i jest najczęściej atakowanym sektorem.

Co z tym zrobić na poziomie zarządu? Trzy decyzje zamiast stu zadań. Po pierwsze, zlecić przegląd stanu faktycznego: dobrze robi to audyt procesów jakości, a jak taki przegląd wygląda w dużej, regulowanej organizacji, pokazuje case PKO BP, gdzie opracowaliśmy i wdrożyliśmy strategię jakości oprogramowania dla całej organizacji, z audytem procesów QA oraz szkoleniami zespołów. Po drugie, zaplanować testy, które dadzą raporty do punktu dziewiątego checklisty; czym różnią się od siebie poszczególne rodzaje, tłumaczy nasz przewodnik po testach bezpieczeństwa i testach penetracyjnych. Po trzecie, uporządkować dostawców: jeśli Wasi dostawcy oprogramowania dopiero usłyszą od Was o KSC, podeślijcie im artykuł o tym, jakich testów zażąda od nich klient objęty KSC. Dyscyplina w testach zwraca się zresztą nie tylko przy kontroli: w projekcie dla Argos (e-commerce) regresja przed wydaniem skróciła się z 5 dni do 10 godzin, liczba błędów krytycznych na produkcji spadła o 46%, a awarie w okresach szczytowych o 72%.

Plan na listopad i grudzień: od uchwały do budżetu na 2027

Kalendarz gra na Waszą korzyść, o ile zaczniecie teraz. Według art. 33 ust. 1 ustawy nowelizującej podmioty, które spełniały przesłanki w dniu wejścia w życie, realizują obowiązki z rozdziału 3 w terminie 12 miesięcy, czyli do 3 kwietnia 2027 roku. Art. 33 ust. 2 tej samej ustawy daje 24 miesiące na pierwszy audyt z art. 15 ust. 1, czyli do 3 kwietnia 2028 roku. Oto plan, który mieści się w dwóch posiedzeniach zarządu.

Terminy otwartych szkoleń na najbliższe tygodnie znajdziecie w kalendarzu szkoleń, a pełną ofertę w tym obszarze zbierają szkolenia z cyberbezpieczeństwa. Przeszkoliliśmy dotąd ponad 2 500 osób, mamy ocenę 5,0 z ponad 80 opinii Google i ponad 130 szkoleń w katalogu, więc materiał na poziomie zarządu to dla nas codzienność, nie wyjątek.

Na koniec trzy pytania na najbliższe posiedzenie, zamiast stu slajdów. Kto u Was formalnie jest kierownikiem podmiotu i czy ta osoba wie, że art. 8d wymienia ją, a nie dział IT? Gdyby jutro ktoś poprosił o dokument potwierdzający nadzór nad cyberbezpieczeństwem, co dokładnie byście pokazali i z jaką datą? I czy szkolenie kierownika za rok 2026 jest już zaplanowane, skoro rok kalendarzowy kończy się 31 grudnia, a nie wtedy, kiedy zrobi się luźniej?

Powiązane na blogu Quality Island

• NIS2 a dostawcy oprogramowania: jakich testów zażąda od Was klient objęty KSC
• Testy bezpieczeństwa i testy penetracyjne: co sprawdzają, rodzaje, etapy i jak je zlecić
• Rozporządzenie DORA a testy: kto musi, jak często i dlaczego niezależnie
• Cyber Resilience Act: nowy obowiązek testowania podatności przez cały cykl życia produktu
• OWASP Top 10:2025 okiem testera

Pełna lista źródeł

• Sejm RP, Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, 2026, sejm.gov.pl. Stąd brzmienie art. 8c, 8d i 8e, kary z art. 73 i 73a oraz terminy z art. 33 i 35.
• NASK PIB, „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0)”, 2026, nask.pl. Stąd definicja kierownika podmiotu, tezy o delegowaniu zadań, liczba 19 sektorów, termin rejestracji 3 października 2026, tabela kar i środki nadzorcze z art. 53 ust. 9.
• ENISA, „NIS360. Latest insights in the cybersecurity maturity and criticality of NIS sectors of high criticality”, 2026, enisa.europa.eu. Stąd dane o szkoleniach kierownictwa w administracji publicznej i w sektorze finansowym, czasie łatania podatności oraz trzech najtrudniejszych obszarach z badania NIS Investments.
• Dane własne Quality Island, 2026. Stąd liczby o ponad 2 500 przeszkolonych osobach, ocenie 5,0 z ponad 80 opinii Google i ponad 130 szkoleniach w katalogu, szkolenie zamknięte dla AgroApp (14 osób, czerwiec 2026), wyniki projektu Argos, zakres prac dla PKO BP oraz parametry i ceny szkolenia online „Cyberbezpieczeństwo KSC i NIS2”.