Organ zarządzający bez tajemnic

Czym jest organ zarządzający?

Termin Organ zarządzający (ang. management body) oznacza szczebel kierowniczy podmiotu – zarząd, radę dyrektorów albo porównywalne gremium kierownicze. Zgodnie z art. 20 dyrektywy NIS2 to on zatwierdza środki zarządzania ryzykiem w cyberbezpieczeństwie, nadzoruje ich wdrożenie i odbywa szkolenia. Dyrektywa wskazuje tym samym konkretny adres: cyberbezpieczeństwo nie jest już wyłącznie sprawą działu IT, lecz zadaniem nadzorczym i kierowniczym. Organ zarządzający jest więc osobowym zakotwiczeniem obszaru, jakim jest Governance (ład organizacyjny) – to tutaj zbiegają się decyzje o ryzykach i środkach bezpieczeństwa.

Konkretne obowiązki

• Zatwierdzać środki zarządzania ryzykiem i dokumentować akceptację
• Nadzorować ich wdrożenie
• Odbywać obowiązkowe szkolenia

Odpowiedzialność kierownictwa

Nowość o dużym znaczeniu: to organ zarządzający ma zatwierdzić środki zarządzania ryzykiem i nadzorować ich wdrożenie; za naruszenia podmiotowi grożą ponadto kary pieniężne do 10 mln EUR lub 2 % rocznego obrotu światowego przy podmiotach kluczowych i do 7 mln EUR lub 1,4 % przy podmiotach ważnych. Cyberbezpieczeństwa nie da się więc w całości przekazać działowi IT – wdrożenie operacyjne owszem, ale zatwierdzenie i nadzór pozostają na szczeblu kierownictwa.

⚠ Uwaga: to zadanie kierownictwaZwykła uchwała zarządu w duchu „IT się tym zajmie” nie wystarcza. Art. 20 dyrektywy NIS2 przypisuje zatwierdzenie środków i nadzór nad ich wdrożeniem wprost organowi zarządzającemu, a nie samemu podmiotowi. Kto środków ani nie zatwierdza, ani w sposób możliwy do wykazania nie nadzoruje, tego obowiązku nie wypełnia – od czasu NIS2 cyberbezpieczeństwo jest wyraźnie sprawą kierownictwa i elementem należytej staranności.

Obowiązki kierownictwa bez ogródek

Co kierownictwo musi robić – i czego powinno unikać:

• Rób: Aktywnie zatwierdzaj środki zarządzania ryzykiem i protokołuj akceptację.
• Rób: Sam bierz udział w obowiązkowych szkoleniach, nie wysyłaj wyłącznie pracowników.
• Rób: Zlecaj regularne przeglądy wdrożenia i skuteczności środków oraz żądaj raportów.
• Unikaj: Ryczałtowego „oddawania” odpowiedzialności działowi IT – delegować można wdrożenie, nie zatwierdzenie i nadzór.
• Unikaj: Zajmowania się cyberbezpieczeństwem tylko doraźnie, po incydencie.
• Unikaj: Udzielania akceptacji ustnie, bez możliwej do prześledzenia dokumentacji.

Co to znaczy w praktyce

Organ zarządzający musi bezpieczeństwo rozumieć, a nie wdrażać je samodzielnie. Kluczowe są zrozumiałe raporty, jasne materiały decyzyjne i możliwe do prześledzenia dowody. Zarząd usługodawcy IT może na przykład otrzymywać kwartalny raport o ryzykach, zatwierdzać w nim priorytetowe środki i dokumentować swój udział w szkoleniach. Takie udokumentowane zatwierdzenia są zarazem dowodem, że kierownictwo rzeczywiście wypełniło ustawowy obowiązek zatwierdzania i nadzoru. Gdy dojdzie do incydentu poważnego, uruchamia się dodatkowo ścieżka zgłoszeń z NIS2: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca do właściwego CSIRT – za sprawność tych procesów odpowiada kierownictwo.

Następne kroki

Cztery punkty na najbliższe posiedzenie kierownictwa:

• Sprawdzić, czy Państwa podmiot podlega obowiązkowi rejestracji – termin wpisu do wykazu KSC upływa 3 października 2026 r., a podmioty, które spełnią kryteria później, mają na to 6 miesięcy od chwili ich spełnienia.
• Wpisać cyberbezpieczeństwo jako stały punkt porządku obrad.
• Na piśmie rozgraniczyć odpowiedzialność między kierownictwem, bezpieczeństwem IT i działami merytorycznymi.
• Zaplanować i udokumentować własny udział w szkoleniach.

Cyberbezpieczeństwo powinno więc trafić na stałe do porządku obrad kierownictwa, zamiast być traktowane doraźnie. Powracające punkty o sytuacji ryzykowej, statusie środków i otwartych incydentach zapewniają ciągłość zajmowania się tematem i ułatwiają wykazanie należytej staranności. To działa, gdy naprawdę coś się wydarzy. Kto dodatkowo rozgraniczy na piśmie odpowiedzialność między zarządem, bezpieczeństwem IT i działami merytorycznymi, czysto oddzieli delegowane wdrożenie od zatwierdzania i nadzoru oraz zmieni abstrakcyjny obowiązek z NIS2 w możliwy do prześledzenia proces kierowniczy, który wyraźnie wspiera bezpieczeństwo podmiotu i pozostaje udokumentowany na wypadek kontroli.

Źródło uzupełniające: Ministerstwo Cyfryzacji – cyberbezpieczeństwo