Odpowiedzialność kierownika podmiotu — co musisz wiedzieć

Zakres odpowiedzialności kierownika

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa jednoznacznie wskazuje kierownika podmiotu kluczowego lub ważnego jako osobę ponoszącą ostateczną odpowiedzialność za zapewnienie zgodności z wymaganiami cyberbezpieczeństwa. Przez kierownika podmiotu rozumie się osobę lub organ zarządzający — członka zarządu, dyrektora generalnego, wójta, burmistrza, prezydenta miasta lub inną osobę pełniącą funkcję kierowniczą.

Kluczowe obowiązki kierownika

Ustawa nakłada na kierownika podmiotu szereg konkretnych obowiązków związanych z cyberbezpieczeństwem. Ich niedopełnienie stanowi samodzielną podstawę nałożenia kary pieniężnej na osobę kierownika.

• Zatwierdzanie środków zarządzania ryzykiem w cyberbezpieczeństwie wdrażanych przez podmiot
• Nadzorowanie wdrażania obowiązków ustawowych w zakresie cyberbezpieczeństwa
• Zapewnienie odpowiednich zasobów finansowych i kadrowych na realizację zadań cyberbezpieczeństwa
• Odbycie szkolenia z zakresu cyberbezpieczeństwa raz w roku (art. 8e ustawy)
• Zapewnienie, że pracownicy podmiotu odbywają regularne szkolenia z bezpieczeństwa informacji
• Osobiste ponoszenie odpowiedzialności za naruszenia obowiązków ustawowych przez podmiot

Sankcje za zaniedbania

Zgodnie z art. 73a ustawy o KSC, w przypadku stwierdzenia naruszenia obowiązków organ właściwy może nałożyć na kierownika podmiotu karę pieniężną w wysokości do 300% otrzymywanego przez niego wynagrodzenia (a w przypadku kierownika podmiotu publicznego — do 100%). Kara nakładana jest niezależnie od ewentualnej kary pieniężnej nałożonej na sam podmiot.

Jak minimalizować ryzyko osobiste

Kierownik podmiotu może istotnie ograniczyć ryzyko osobistej odpowiedzialności poprzez aktywne zaangażowanie w proces zarządzania cyberbezpieczeństwem i dokumentowanie podejmowanych decyzji.

1. Odbądź i udokumentuj szkolenie z cyberbezpieczeństwa na poziomie zarządczym.
2. Formalnie zatwierdź politykę bezpieczeństwa informacji i plan postępowania z ryzykiem.
3. Wyznacz pełnomocnika ds. cyberbezpieczeństwa i określ zakres jego kompetencji na piśmie.
4. Zapewnij w budżecie dedykowaną pozycję na cyberbezpieczeństwo i dokumentuj decyzje alokacyjne.
5. Wymagaj regularnych raportów o stanie bezpieczeństwa i dokumentuj ich przegląd.
6. Zlecaj okresowe audyty bezpieczeństwa i monitoruj realizację zaleceń poaudytowych.

Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.