Nadzór ex ante vs. ex post
Ustawa o KSC wprowadza dwupoziomowy system nadzoru, różnicujący intensywność kontroli w zależności od statusu podmiotu. Podmioty kluczowe podlegają nadzorowi proaktywnemu (ex ante) — organy właściwe mogą prowadzić kontrole planowe i doraźne bez konieczności uprzedniego wystąpienia incydentu. Podmioty ważne podlegają nadzorowi reaktywnemu (ex post) — kontrola jest podejmowana dopiero po uzyskaniu informacji o możliwym naruszeniu.
| Aspekt | Podmiot kluczowy (ex ante) | Podmiot ważny (ex post) |
|---|---|---|
| Inicjatywa kontroli | Z urzędu — nadzór prewencyjny i następczy (art. 53 ust. 3 pkt 1, art. 53b) | Po uzyskaniu informacji o naruszeniu (art. 53 ust. 17) |
| Audyty na żądanie | Tak — w każdym czasie (art. 15 ust. 1b) | Tak — w przypadku incydentu poważnego lub innego naruszenia (art. 15 ust. 1b) |
| Urzędnik monitorujący | Tak — wyznaczany decyzją na czas określony, nie dłuższy niż 1 miesiąc (art. 53 ust. 5 pkt 6) | Nie przewidziano (art. 53 ust. 17 nie odsyła do ust. 5 pkt 6) |
| Kontrole planowe | Tak — w ramach metodyki nadzoru i priorytetów (art. 53b) | Nie |
| Tymczasowe wstrzymanie działalności / zakaz funkcji | Tak — ale NIE wobec podmiotów publicznych (art. 53 ust. 9 pkt 1–6, ust. 10) | Nie (art. 53 ust. 17 nie odsyła do ust. 9) |
Zakres i przebieg kontroli
Kontrola może obejmować weryfikację dokumentacji SZBI, ocenę skuteczności wdrożonych środków bezpieczeństwa, sprawdzenie procedur raportowania incydentów oraz zgodności z wymaganiami ustawy. Wyniki kontroli mogą prowadzić do nakazania audytu bezpieczeństwa. Organ właściwy może żądać udostępnienia dokumentów, systemów informatycznych, a także przeprowadzić wizytację w siedzibie podmiotu.
- Weryfikacja dokumentacji SZBI i polityk bezpieczeństwa
- Ocena wyników szacowania ryzyka i adekwatności środków zaradczych
- Kontrola procedur zgłaszania incydentów i terminowości zgłoszeń
- Sprawdzenie wyników audytów bezpieczeństwa i realizacji zaleceń poaudytowych
- Weryfikacja bezpieczeństwa łańcucha dostaw i umów z dostawcami ICT
- Ocena szkoleń personelu i świadomości cyberbezpieczeństwa
Środki nadzorcze
W przypadku stwierdzenia naruszeń organ właściwy dysponuje szerokim katalogiem środków nadzorczych — od ostrzeżeń i zaleceń pokontrolnych, przez wiążące nakazy, aż po tymczasowe wstrzymanie certyfikacji lub działalności. Pełny przegląd kar finansowych w ustawie o KSC opisujemy w osobnym artykule. Uwaga: środki z art. 53 ust. 9 (wstrzymanie działalności, zakaz pełnienia funkcji) stosuje się wyłącznie wobec podmiotów kluczowych niebędących podmiotami publicznymi (art. 53 ust. 10).
- Ostrzeżenie o naruszeniu obowiązków ustawowych
- Wiążące polecenia dotyczące usunięcia stwierdzonych naruszeń z wyznaczonym terminem
- Nakaz poinformowania użytkowników usług o zagrożeniu
- Nakaz wdrożenia zaleceń z audytu bezpieczeństwa w określonym terminie
- Nałożenie kary pieniężnej
- Tymczasowe wstrzymanie lub ograniczenie koncesji albo zezwolenia, wstrzymanie działalności wpisanej do rejestru działalności regulowanej, do CEIDG lub do KRS (tylko PK niebędące podmiotami publicznymi — art. 53 ust. 9 pkt 1–5, ust. 10)
- Tymczasowy zakaz pełnienia funkcji zarządczych przez kierownika (tylko PK niebędące podmiotami publicznymi — art. 53 ust. 9 pkt 6, ust. 10)
Prawa kontrolowanego podmiotu
Podmiot objęty kontrolą ma prawo do przedstawienia swojego stanowiska przed wydaniem decyzji, odwołania się od decyzji organu oraz do udziału w czynnościach kontrolnych. Organ ma obowiązek doręczenia protokołu kontroli i umożliwienia zgłoszenia zastrzeżeń. Warto pamiętać, że kierownik podmiotu ponosi osobistą odpowiedzialność za stwierdzone naruszenia.
- Prawo do informacji o zakresie i przedmiocie kontroli
- Prawo do obecności podczas czynności kontrolnych
- Prawo do zgłoszenia zastrzeżeń do protokołu kontroli w terminie 7 dni od dnia jego doręczenia (art. 58 ust. 4 KSC)
- Prawo do przedstawienia stanowiska przed wydaniem decyzji
- Prawo do skargi na decyzję wprost do wojewódzkiego sądu administracyjnego — postępowanie z art. 53 ust. 5 pkt 2–8 jest jednoinstancyjne, bez odwołania do organu wyższego stopnia (art. 53 ust. 8 KSC)
- W sprawach decyzji uznającej dostawcę za HRV — skarga rozpoznawana na posiedzeniu niejawnym w składzie 3 sędziów (art. 67e ust. 1 KSC)