Kary za brak zgodności z NIS2 – kwoty, odpowiedzialność zarządu i co uruchamia kontrolę KSC

Zarząd pyta: „czy naprawdę musimy to robić teraz?”. Masz dwa wyjścia: albo odpiszesz ogólnie, że „dyrektywa zobowiązuje”, albo dajesz konkretne liczby. Ten artykuł daje Ci te liczby. Opisuje, ile wynoszą kary za brak zgodności z NIS2, kto odpowiada osobiście i na jakich warunkach, co uruchamia kontrolę KSC i jakie działania realnie zmniejszają ryzyko sankcji. Jeśli nie wiesz jeszcze, czy Twoja firma w ogóle podlega dyrektywie, przeczytaj najpierw artykuł o tym, kogo w Polsce dotyczy NIS2 – tutaj zakładamy, że masz już tę pewność i szukasz argumentów do działania.

NIS2 nie jest regulacją „na przyszłość”. Obowiązuje od października 2024 roku. Organy nadzorcze – w Polsce działające w ramach Krajowego Systemu Cyberbezpieczeństwa – mają narzędzia do wszczynania postępowań, nakładania kar i egzekwowania odpowiedzialności od kierownictwa firm. Im dłużej bez działań, tym większe ryzyko.

Kary za brak zgodności z NIS2, czyli konkretne kwoty dla podmiotów kluczowych i ważnych

Dyrektywa UE 2022/2555 wprowadza dwa poziomy sankcji finansowych, uzależnione od klasyfikacji organizacji. Rozróżnienie między podmiotem kluczowym a podmiotem ważnym ma bezpośrednie przełożenie na maksymalną wysokość kary.

Podmiot kluczowy

• Maksymalna kara administracyjna: 10 000 000 EUR lub 2% całkowitego globalnego obrotu rocznego – stosuje się kwotę wyższą.
• Do tej kategorii należą m.in. operatorzy energetyki, transportu, infrastruktury finansowej, ochrony zdrowia, infrastruktury cyfrowej oraz dostawcy usług zarządzanych (MSP) działający w sektorach krytycznych.

Podmiot ważny

• Maksymalna kara administracyjna: 7 000 000 EUR lub 1,4% całkowitego globalnego obrotu rocznego – stosuje się kwotę wyższą.
• Do tej kategorii należą firmy spoza listy kluczowych, ale działające w sektorach objętych NIS2 – m.in. część usług pocztowych, gospodarki odpadami, produkcji, chemii i żywności.

Kary nie są nakładane automatycznie za sam fakt niezarejestrowania się lub nieprzeprowadzenia audytu. Organ nadzorczy bada, czy organizacja wdrożyła wymagane środki techniczne i organizacyjne takie jak zarządzanie ryzykiem, procedury zgłaszania incydentów, kontrolę dostępu, ciągłość działania. Brak dokumentacji tych procesów jest bezpośrednią podstawą do wszczęcia postępowania.

Ważna zasada: „nie wiedziałem, że podlegamy NIS2″ nie zwalnia z odpowiedzialności. Obowiązek weryfikacji spoczywa na organizacji.

Odpowiedzialność zarządu za NIS2 – czy to realne ryzyko osobiste?

Tak, to jest element, który najskuteczniej zmienia podejście zarządów do tematu compliance.

Dyrektywa NIS2 (art. 20) wprost nakłada na organy zarządzające podmiotów kluczowych i ważnych obowiązek zatwierdzenia środków zarządzania ryzykiem cyberbezpieczeństwa oraz nadzoru nad ich realizacją. Polska nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa implementuje ten mechanizm, wprowadzając możliwość pociągnięcia do odpowiedzialności indywidualnych członków kierownictwa, nie tylko organizacji jako całości.

Co to oznacza w praktyce:

• Członkowie zarządu są zobowiązani do odbycia szkoleń z zakresu cyberbezpieczeństwa – obowiązek wynika wprost z art. 20 NIS2.
• W przypadku poważnego naruszenia organ nadzorczy może nałożyć czasowy zakaz pełnienia funkcji kierowniczych przez osoby odpowiedzialne za brak zgodności.
• Odpowiedzialność osobista jest możliwa niezależnie od sankcji nałożonych na podmiot, zarząd i firma mogą wtedy ponieść konsekwencje równolegle.

Argument dla zarządu jest prosty: kara dla firmy wpływa na wynik finansowy. Zakaz pełnienia funkcji kierowniczych lub osobista grzywna wpływa na konkretną osobę. To dwa różne poziomy ryzyka, które wymagają dwóch różnych rozmów wewnątrz organizacji.

Co uruchamia kontrolę KSC, czyli kiedy organ nadzorczy wchodzi do firmy

Postępowanie nadzorcze KSC może być wszczęte w kilku scenariuszach:

1. Incydent cyberbezpieczeństwa – szczególnie jeśli organizacja nie zgłosiła go w wymaganym terminie. NIS2 nakłada konkretne terminy: wstępne powiadomienie w ciągu 24 godzin od wykrycia, pełny raport w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca.
2. Skarga lub sygnał z zewnątrz – od kontrahenta, klienta lub innego podmiotu w łańcuchu dostaw.
3. Planowe kontrole sektorowe – organ nadzorczy może przeprowadzać przeglądy całych sektorów, nie tylko reagować na konkretne zdarzenia.
4. Brak rejestracji – podmioty zobowiązane muszą dokonać samoidentyfikacji i rejestracji. Brak wpisu w rejestrze to sygnał dla organu.
5. Doniesienie medialne – głośny wyciek danych lub atak ransomware niemal zawsze skutkuje zainteresowaniem organu nadzorczego.

Kontrole mogą mieć charakter zdalny (przegląd dokumentacji) lub inspekcyjny (wizyta w organizacji). Brak dokumentacji procesów takich jak polityk bezpieczeństwa, procedur zarządzania ryzykiem, rejestrów incydentów oznacza brak możliwości obrony przed zarzutem naruszenia. Czekanie na kontrolę z pustymi rękami jest droższe niż proaktywny audyt.

Sankcje NIS2 w Polsce: jak działa system egzekwowania

Dyrektywa NIS2 musiała zostać wdrożona do prawa krajowego. W Polsce instrumentem implementacyjnym jest nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa. Na jej mocy:

• Organem nadzorczym dla większości sektorów jest minister właściwy ds. informatyzacji, CSIRT NASK oraz organy sektorowe – m.in. KNF dla sektora finansowego, UKE dla telekomunikacji.
• Kary administracyjne są nakładane przez właściwy organ nadzorczy w drodze decyzji administracyjnej.
• Decyzja podlega zaskarżeniu, ale jej wykonanie może być egzekwowane przed uprawomocnieniem.
• Organy nadzorcze mają prawo żądać dostępu do dokumentacji, przeprowadzania testów bezpieczeństwa, a nawet nakazania zewnętrznego audytu bezpieczeństwa na koszt kontrolowanego podmiotu.

Jak audyt NIS2 zmniejsza ryzyko kary – logika zgodności

Audyt nie jest gwarancją uniknięcia kary, ale jest dowodem działania w dobrej wierze. Organ nadzorczy ocenia nie tylko stan faktyczny bezpieczeństwa, ale też to, czy organizacja podejmowała systematyczne kroki w kierunku zgodności.

Co udokumentowany audyt NIS2 daje organizacji w przypadku kontroli KSC:

• Dowód należytej staranności – potwierdzenie, że firma identyfikowała luki i planowała ich eliminację.
• Podstawę do miarkowania kary – organy nadzorcze mogą uwzględniać proaktywne działania przy ustalaniu wysokości sankcji.
• Dokumentację procesów – polityki, procedury, rejestry ryzyk i incydentów, które są pierwszym żądaniem organu podczas kontroli.
• Plan naprawczy – raport z rekomendacjami pozwala pokazać, że organizacja wie, co poprawić, i ma harmonogram działań.

Logika jest prosta: firma z audytem i planem naprawczym jest w diametralnie innej pozycji niż firma, która nie podjęła żadnych działań. Nawet jeśli obie mają luki, to tylko jedna może je wykazać i udowodnić, że nad nimi pracuje.

Jeśli chcesz wiedzieć, co dokładnie weryfikuje audyt NIS2 i jak wygląda jego przebieg krok po kroku, przeczytaj artykuł co obejmuje audyt NIS2 – zakres, przebieg i wyniki dla firm. Jeśli Twój zespół będzie zaangażowany w proces i chcesz wiedzieć, jak przygotować się od strony operacyjnej, przejdź do artykułu audyt NIS2 – co sprawdza, jak przebiega i jak się przygotować.

Czego NIE zwalnia Cię z odpowiedzialności za NIS2

Kilka przekonań, które okazują się błędne w momencie kontroli:

• „Nie wiedzieliśmy, że podlegamy” – obowiązek samoidentyfikacji spoczywa na podmiocie. Nieświadomość nie jest okolicznością łagodzącą.
• „Jesteśmy za mali” – próg wielkości dotyczy większości sektorów, ale istnieją wyjątki. Dostawcy infrastruktury cyfrowej czy usług zarządzanych mogą podlegać NIS2 niezależnie od rozmiaru firmy.
• „Mamy wewnętrzny dział IT” – wewnętrzny przegląd może być punktem wyjścia, ale ma ograniczoną wartość dowodową przy kontroli. Organ nadzorczy może kwestionować obiektywizm oceny przeprowadzonej przez własny zespół. Audyt zewnętrzny daje niezależne potwierdzenie stanu zgodności – i to właśnie ta niezależność ma wartość prawną i negocjacyjną.
• „Zajmiemy się tym po kontroli” – brak działań przed kontrolą eliminuje możliwość powołania się na dobrą wiarę i aktywne dążenie do zgodności. Reaktywna postawa osłabia pozycję negocjacyjną wobec organu.
• „Nasza branża nie jest priorytetem dla KSC” – organy nadzorcze nie ogłaszają z wyprzedzeniem, który sektor kontrolują. Planowe przeglądy sektorowe mogą objąć każdą branżę.

Następny krok,  zanim przyjdzie kontrola

Jeśli Twoja firma podlega NIS2 i nie przeprowadziła jeszcze audytu zgodności, każdy miesiąc bez działań zwiększa ryzyko – finansowe i osobiste. DreamITeam przeprowadza audyty NIS2 dla firm z sektorów kluczowych i ważnych: weryfikujemy klasyfikację podmiotu, analizujemy luki względem wymogów dyrektywy i polskiej ustawy o KSC, a raport końcowy zawiera konkretny plan naprawczy z priorytetami i harmonogramem.

Umów bezpłatną konsultację i sprawdź, jak wygląda audyt NIS2 w DreamITeam →