Organ zarządzający bez tajemnic

Czym jest organ zarządzający?

Termin Organ zarządzający (ang. management body) oznacza szczebel kierowniczy podmiotu – zarząd, radę dyrektorów albo porównywalne gremium kierownicze. Zgodnie z art. 20 dyrektywy NIS2 to on zatwierdza środki zarządzania ryzykiem w cyberbezpieczeństwie, nadzoruje ich wdrożenie i odbywa szkolenia. Dyrektywa wskazuje tym samym konkretny adres: cyberbezpieczeństwo nie jest już wyłącznie sprawą działu IT, lecz zadaniem nadzorczym i kierowniczym. Organ zarządzający jest więc osobowym zakotwiczeniem obszaru, jakim jest Governance (ład organizacyjny) – to tutaj zbiegają się decyzje o ryzykach i środkach bezpieczeństwa.

Konkretne obowiązki

• Zatwierdzać środki zarządzania ryzykiem i dokumentować akceptację
• Nadzorować ich wdrożenie
• Odbywać obowiązkowe szkolenia

Odpowiedzialność kierownictwa

Nowością w porównaniu z NIS1 jest wyraźne zwrócenie się do szczebla kierowniczego: zgodnie z art. 20 ust. 1 dyrektywy NIS2 organy zarządzające muszą zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i mogą zostać pociągnięte do odpowiedzialności za naruszenia popełnione przez podmiot. To, czy w konkretnym przypadku wynika z tego osobista odpowiedzialność członków kierownictwa i w jakiej wysokości, określa prawo krajowe; ta strona nie rozstrzyga o żadnej konkretnej krajowej normie odpowiedzialności. Niezależnie od tego samemu podmiotowi grożą kary pieniężne do 10 mln EUR lub 2 % rocznego obrotu światowego przy podmiotach kluczowych i do 7 mln EUR lub 1,4 % przy podmiotach ważnych. Cyberbezpieczeństwa nie da się więc w całości przekazać działowi IT – wdrożenie operacyjne owszem, ale zatwierdzenie i nadzór pozostają na szczeblu kierownictwa.

⚠ Uwaga: to zadanie kierownictwaUchwała zarządu w duchu „IT się tym zajmie" nikogo nie zwalnia: zatwierdzanie i nadzór są wyraźnie zadaniami organu zarządzającego i nie da się ich oddelegować. Kto ani nie zatwierdza środków, ani w sposób wykazywalny ich nie nadzoruje, nie może w razie szkody powoływać się na niewiedzę. To, czy i w jakim zakresie powstaje z tego osobista odpowiedzialność, rozstrzyga krajowe prawo spółek i prawo nadzoru, w konkretnym przypadku. Ten materiał ma charakter ogólnej orientacji i nie zastępuje porady prawnej.

Obowiązki kierownictwa bez ogródek

Co kierownictwo musi robić – i czego powinno unikać:

• Rób: Aktywnie zatwierdzaj środki zarządzania ryzykiem i protokołuj akceptację.
• Rób: Sam bierz udział w obowiązkowych szkoleniach, nie wysyłaj wyłącznie pracowników.
• Rób: Zlecaj regularne przeglądy wdrożenia i skuteczności środków oraz żądaj raportów.
• Unikaj: Ryczałtowego „oddawania” odpowiedzialności działowi IT – delegować można wdrożenie, nie zatwierdzenie i nadzór.
• Unikaj: Zajmowania się cyberbezpieczeństwem tylko doraźnie, po incydencie.
• Unikaj: Udzielania akceptacji ustnie, bez możliwej do prześledzenia dokumentacji.

Co to znaczy w praktyce

Organ zarządzający musi bezpieczeństwo rozumieć, a nie wdrażać je samodzielnie. Kluczowe są zrozumiałe raporty, jasne materiały decyzyjne i możliwe do prześledzenia dowody. Zarząd usługodawcy IT może na przykład otrzymywać kwartalny raport o ryzykach, zatwierdzać w nim priorytetowe środki i dokumentować swój udział w szkoleniach. Takie udokumentowane zatwierdzenia są zarazem dowodem, że kierownictwo rzeczywiście wypełniło ustawowy obowiązek zatwierdzania i nadzoru. Gdy dojdzie do incydentu poważnego, uruchamia się dodatkowo ścieżka zgłoszeń z NIS2: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca do właściwego CSIRT – za sprawność tych procesów odpowiada kierownictwo.

Następne kroki

Cztery punkty na najbliższe posiedzenie kierownictwa:

• Sprawdzić, czy Państwa podmiot podlega obowiązkowi rejestracji – termin wpisu do wykazu KSC upływa 3 października 2026 r., a podmioty, które spełnią kryteria później, mają na to 6 miesięcy od chwili ich spełnienia.
• Wpisać cyberbezpieczeństwo jako stały punkt porządku obrad.
• Na piśmie rozgraniczyć odpowiedzialność między kierownictwem, bezpieczeństwem IT i działami merytorycznymi.
• Zaplanować i udokumentować własny udział w szkoleniach.

Cyberbezpieczeństwo powinno więc trafić na stałe do porządku obrad kierownictwa, zamiast być traktowane doraźnie. Powracające punkty o sytuacji ryzykowej, statusie środków i otwartych incydentach zapewniają ciągłość zajmowania się tematem i ułatwiają wykazanie należytej staranności. To działa, gdy naprawdę coś się wydarzy. Kto dodatkowo rozgraniczy na piśmie odpowiedzialność między zarządem, bezpieczeństwem IT i działami merytorycznymi, czysto oddzieli delegowane wdrożenie od zatwierdzania i nadzoru oraz zmieni abstrakcyjny obowiązek z NIS2 w możliwy do prześledzenia proces kierowniczy, który wyraźnie wspiera bezpieczeństwo podmiotu i pozostaje udokumentowany na wypadek kontroli.

Źródło uzupełniające: Ministerstwo Cyfryzacji – cyberbezpieczeństwo