Odpowiedzialność zarządu za NIS2. Co grozi Prezesowi osobiście i jak się zabezpieczyć?

Dyrektywa NIS2 (UE 2022/2555) wskazuje organ zarządzający jako podmiot odpowiedzialny za cyberbezpieczeństwo. Nie dział IT, nie CISO, nie prawnika. Jeśli Twoja firma podlega NIS2 i dojdzie do kontroli w ramach Krajowego Systemu Cyberbezpieczeństwa lub poważnego incydentu, organy nadzorcze będą pytać o decyzje, dokumenty i działania Ciebie, a nie Twojego IT Managera.

Ten artykuł jest dla Prezesów i Członków Zarządu firm objętych dyrektywą. Zakładamy, że wiesz już, czym jest NIS2 i że Twoja firma jej podlega. Jeśli nie, sprawdź najpierw jak NIS2 wpłynie na Twój biznes oraz czy Twoja firma jest gotowa na NIS2. Tutaj idziemy głębiej: co dyrektywa mówi wprost o zarządzie, których obowiązków prawnie nie możesz scedować na podwładnych, ile ryzykujesz osobiście i co konkretnie stanowi dowód należytej staranności wobec organu nadzorczego. Szczegółowe kwoty sankcji finansowych dla firmy znajdziesz w artykule o karach za brak zgodności z NIS2. Tu skupiamy się na tym, co grozi Tobie, bez tarczy spółki.

Artykuł 20 NIS2: zarząd odpowiada z funkcji, nie z nazwy firmy

Większość regulacji unijnych nakłada obowiązki na „podmiot” lub „organizację”. NIS2 robi coś innego. Artykuł 20 dyrektywy wprost wskazuje organy zarządzające jako odpowiedzialne za zatwierdzanie środków zarządzania ryzykiem w cyberbezpieczeństwie oraz nadzorowanie ich wdrażania. W Polsce te obowiązki są przenoszone do porządku krajowego poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa, czyli ustawy o KSC.

W praktyce oznacza to trzy konkretne konsekwencje dla zarządu:

• Zatwierdzenie środków bezpieczeństwa musi przejść przez zarząd. Nie wystarczy, że IT Manager podpisze procedury. Organ zarządzający musi je formalnie zaakceptować.
• Nadzór jest procesem, nie jednorazowym podpisem. Zarząd musi wiedzieć, czy wdrożone środki działają, i reagować, gdy przestają być skuteczne.
• Szkolenie zarządu z cyberbezpieczeństwa jest obowiązkowe. Artykuł 20 ust. 2 NIS2 nakłada obowiązek regularnego szkolenia kierownictwa w zakresie identyfikacji ryzyk i oceny praktyk zarządzania cyberbezpieczeństwem.

Warto pamiętać, że nadzór nad cyberbezpieczeństwem to element szerszego ładu korporacyjnego. Organ nadzorczy będzie sprawdzał nie tylko, czy dokumenty istnieją, ale też czy istnieje realny mechanizm decyzyjny łączący zarząd z osobami odpowiedzialnymi za bezpieczeństwo w organizacji.

Czego Prezes nie może oddelegować

Delegowanie zadań operacyjnych w IT jest normalne i pożądane. NIS2 wyznacza jednak obszary, w których decyzja lub akceptacja musi przejść przez organ zarządzający, inaczej sama dokumentacja nie wystarczy jako dowód zgodności przy kontroli.

Zatwierdzanie polityki zarządzania ryzykiem. Organizacja musi mieć udokumentowaną politykę zarządzania ryzykiem w systemach informacyjnych. IT może ją przygotować, ale zarząd musi ją zatwierdzić i przyjąć jako dokument obowiązujący w firmie. Akceptacja wyłącznie przez IT Managera lub CISO nie spełnia wymogu artykułu 20.

Nadzór nad wdrożeniem środków bezpieczeństwa. Zarząd nie musi konfigurować firewalli. Musi jednak wiedzieć, które środki techniczne i organizacyjne zostały wdrożone, jaki jest ich aktualny status i czy pokrywają obszary wymagane przez dyrektywę. Brak tej wiedzy to brak nadzoru, a więc gotowy argument dla organu nadzorczego, że zarząd zaniedbał swój obowiązek.

Zatwierdzanie planu ciągłości działania i procedur reagowania na incydenty. Plany ciągłości działania oraz procedury reagowania na incydenty muszą być zatwierdzone na poziomie zarządu. To dokumenty o charakterze strategicznym, które decydują o tym, jak firma zachowa się w sytuacji kryzysowej. Nie mogą istnieć wyłącznie w folderze IT Managera.

Nadzór nad bezpieczeństwem łańcucha dostaw. NIS2 wprowadza obowiązek oceny bezpieczeństwa dostawców i partnerów ICT. Decyzja o tym, którym dostawcom firma powierza krytyczne systemy lub dane, ma charakter strategiczny i musi być podejmowana lub nadzorowana na poziomie zarządczym, a nie pozostawiana wyłącznie działowi zakupów czy IT.

Uczestnictwo w szkoleniach z cyberbezpieczeństwa. Szkolenie zarządu nie jest opcją, lecz obowiązkiem wynikającym wprost z dyrektywy. Brak udokumentowanego szkolenia to luka, którą organ nadzorczy zidentyfikuje w pierwszych minutach kontroli i której nie przykryje żaden raport przygotowany przez IT.

Co grozi Prezesowi osobiście

Kary finansowe dla firm podlegających NIS2 są znaczące, sięgają do 10 mln EUR lub 2% globalnego rocznego obrotu dla podmiotów kluczowych oraz do 7 mln EUR lub 1,4% obrotu dla podmiotów ważnych. Dyrektywa idzie jednak dalej i wprowadza sankcje skierowane bezpośrednio do osób pełniących funkcje kierownicze.

• Tymczasowy zakaz pełnienia funkcji zarządczych. Organy nadzorcze mogą nałożyć na osoby odpowiedzialne za naruszenie NIS2 czasowy zakaz pełnienia funkcji kierowniczych. To sankcja personalna, wymierzona w konkretną osobę, a nie w spółkę, i jej skutki mogą objąć wszystkie podmioty, w których dana osoba zasiada w organach.
• Odpowiedzialność cywilna kierownictwa. Przepisy wdrażające NIS2 w ramach nowelizacji ustawy o KSC mogą przewidywać bezpośrednią odpowiedzialność odszkodowawczą kierownictwa wobec firmy lub poszkodowanych stron trzecich, jeśli wykaże się zaniedbanie obowiązków nadzorczych.
• Jawność naruszenia. Organy nadzorcze mogą publicznie ogłaszać informacje o stwierdzonych naruszeniach, łącznie z nazwą podmiotu i wskazaniem osób odpowiedzialnych. Dla Prezesa oznacza to ryzyko reputacyjne o skutkach trudnych do odwrócenia, zwłaszcza w relacjach z kontrahentami, inwestorami i klientami instytucjonalnymi.

Powtarzające się naruszenia mogą też prowadzić do kar wielokrotnie przewyższających jednorazową sankcję, dlatego z perspektywy zarządu kluczowa jest nie tylko zgodność w jednym momencie, ale zdolność jej utrzymania w czasie.

Kluczowe terminy, o których zarząd musi wiedzieć

Harmonogram wdrożenia ustawy o KSC wyznacza konkretne momenty, w których zarząd powinien podjąć lub zatwierdzić określone działania. To także naturalne punkty kontrolne, wokół których warto zaplanować posiedzenia i decyzje.

Kiedy kontrola KSC jest najbardziej prawdopodobna

Kontrole nie są losowe. Organy nadzorcze w ramach Krajowego Systemu Cyberbezpieczeństwa uruchamiają postępowania najczęściej w trzech scenariuszach:

1. Incydent zgłoszony do CSIRT. Każda firma objęta NIS2 ma obowiązek zgłaszania poważnych incydentów. Zgłoszenie automatycznie uruchamia weryfikację, czy firma spełniała wymagania przed incydentem i czy zarząd nadzorował środki bezpieczeństwa.
2. Skarga lub sygnalizacja. Zgłoszenie od kontrahenta, pracownika lub innego podmiotu z łańcucha dostaw, który poinformuje organ o podejrzeniu niezgodności.
3. Rutynowa kontrola sektorowa. Organy mogą planowo audytować podmioty z określonych sektorów, zwłaszcza tam, gdzie poziom wdrożenia NIS2 jest najniższy.

Pytanie, które organ nadzorczy zadaje przy każdym z tych scenariuszy, brzmi tak samo: czy zarząd wiedział, zatwierdził i nadzorował? Jeśli odpowiedź brzmi „nie wiem” albo „to pytanie do IT”, Prezes ma poważny problem.

Co stanowi dowód należytej staranności zarządu

Najczęstszy scenariusz, z którym spotykają się doradcy, wygląda podobnie. IT Manager robi, co może, ale bez formalnego mandatu zarządu. Wdrożone procedury nie mają podpisu organu zarządzającego, szkolenia odbyły się dla pracowników, ale nie dla kierownictwa, a raport z analizy ryzyka leży w folderze IT, a nie w dokumentacji zatwierdzonej przez zarząd. Przy kontroli taka sytuacja czyta się jednoznacznie jako niewypełnienie obowiązku nadzoru. Firma może mieć technicznie przyzwoite zabezpieczenia i mimo to mieć problem, bo brakuje ścieżki decyzyjnej widocznej dla organu nadzorczego.

Dokumenty, które organ nadzorczy może zweryfikować jako dowód należytej staranności:

1. Protokoły posiedzeń zarządu zawierające punkt o zatwierdzeniu polityki bezpieczeństwa i środków zarządzania ryzykiem.
2. Zatwierdzony przez zarząd raport z oceny zgodności NIS2, czyli analiza luk z datą, zakresem i podpisem organu zarządzającego.
3. Dokumentacja szkoleń z cyberbezpieczeństwa dla członków zarządu, obejmująca daty, zakres tematyczny i potwierdzenie uczestnictwa.
4. Zatwierdzony plan ciągłości działania i procedury reagowania na incydenty z podpisem zarządu i datą przyjęcia.
5. Rejestr dostawców z oceną ich bezpieczeństwa jako dokument firmowy, a nie wewnętrzna notatka IT.

Każdy z tych dokumentów musi istnieć przed kontrolą, ponieważ nie da się ich tworzyć wstecznie w sposób wiarygodny. Każdy powinien też być wytworzony w oparciu o metodykę, którą można obronić przed organem nadzorczym.

Praktyczna ścieżka dla Prezesa

Najczęstszy błąd polega na tym, że Prezes wysyła IT Managera, żeby „ogarnął NIS2″. Bez formalnych decyzji zarządczych wynik pozostaje niezgodny z artykułem 20, a IT Manager traci czas, który powinien poświęcać na bieżącą operację. Skuteczna ścieżka wygląda inaczej i porządkuje odpowiedzialność między zarząd, zespół wewnętrzny i partnera zewnętrznego.

1. Ocena zgodności realizowana przez zewnętrznego dostawcę. Strukturalna analiza luk pokrywająca wszystkie obszary wymagane przez dyrektywę, zakończona raportem gotowym do zatwierdzenia przez zarząd. Zakres i przebieg tego procesu opisujemy w artykule co obejmuje audyt NIS2 oraz w tekście jak przygotować się do audytu NIS2.
2. Formalne zatwierdzenie wyników przez zarząd. Posiedzenie, protokół i podpis to dokładnie ten element, który tworzy dowód należytej staranności widoczny dla organu nadzorczego.
3. Plan działań z priorytetami. Nie wszystkie luki trzeba zamknąć natychmiast. Kluczowe jest, aby zarząd znał luki, zatwierdził roadmapę ich usunięcia i ją monitorował.
4. Szkolenie zarządu z cyberbezpieczeństwa. Obowiązkowe na mocy artykułu 20 ust. 2, powinno być udokumentowane i regularnie powtarzane.
5. Zewnętrzne wsparcie operacyjne. Jeśli wewnętrzny zespół IT nie ma zasobów, by równolegle prowadzić bieżące operacje i wdrażać NIS2, warto rozważyć outsourcing IT wspierający zgodność z NIS2, w tym utrzymanie zgodności w modelu abonamentowym. Pomocny może być też artykuł o tym, kto wdraża NIS2 w firmie i jak podzielić role.

Warto pamiętać o jednej zasadzie. Nawet przy szerokim wsparciu zewnętrznym odpowiedzialność za zgodność z NIS2 pozostaje po stronie organizacji i jej organów zarządzających. Partner zewnętrzny pomaga tę zgodność osiągnąć, udokumentować i utrzymać, ale nie przejmuje ustawowej odpowiedzialności zarządu.