Jakie są konsekwencje niedostosowania się do przepisów UKSC, czyli jakie sankcje finansowe przewiduje ustawa o krajowym systemie cyberbezpieczeństwa?

Ustawodawca, chcąc zapewnić skuteczne egzekwowanie nowych przepisów oraz odpowiedni poziom cyberbezpieczeństwa i reagowania na incydenty, przewidział w ustawie katalog sankcji administracyjnych, w tym również sankcji pieniężnych za określone uchybienia.

W ustawie wyróżniono kilka rodzajów sankcji w zależności od rodzaju naruszenia, kategorii podmiotu czy osoby odpowiedzialnej za naruszenie.

W pewnym uproszczeniu można wskazać następujące kategorie kar pienieżnych:

1. „podstawowa” kara pieniężna dla podmiotów kluczowych i ważnych,
2. kara kwalifikowana do 100 mln zł,
3. okresowa „przymuszająca” kara pieniężna,
4. personalna, nakładana kierownika podmiotu,
5. przewidziane dla innych adresatów obowiązków,

Kara za niespełnienie obowiązków wynikających z UKSC przez podmioty najważniejsze lub ważne

„Podstawowa” kara pieniężna za niewykonanie lub nienależyte wykonanie obowiązków ustawowych została uregulowana w art. 73 UKSC. Przepis enumeratywnie wymienia aż 22 przypadki naruszeń ze strony podmiotów ważnych i kluczowych. Są to m.in.:

1. niewdrożenie odpowiedniego systemu zarządzania bezpieczeństwem informacji (SZBI),
2. niedopełnienie obowiązku systematycznego szacowania ryzyka wystąpienia incydentu oraz niedokumentowanie tego procesu,
3. niezgłoszenie incydentu poważnego w określonym terminie,
4. brak wyznaczenia osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa,
5. nieprzeprowadzenie w wymaganym terminie audytu bezpieczeństwa systemów informacyjnych lub utrudnianie jego przeprowadzenia,
6. niewykonanie zaleceń pokontrolnych wydanych przez organ adekwatny ds. cyberbezpieczeństwa.

Co istotne, sankcja finansowa może zostać nałożona również za jednostkowe przypadki naruszeń. W art. 73b wskazano natomiast kary za niedochowanie określonych obowiązków w tym przez podmioty, które nie są ani podmiotami kluczowymi, ani ważnymi.

Wysokość „podstawowej” kary zależy od rodzaju podmiotu:

• w przypadku podmiotu kluczowego maksymalny wymiar administracyjnej kary pieniężnej wynosi 10 000 000 euro lub równowartość 2% przychodów osiągniętych w roku obrotowym poprzedzającym rok wymierzenia kary, przy czym kara nie może być niższa niż 20 000 zł;
• w przypadku podmiotu ważnego wartości te są niższe – maksymalny wymiar kary pieniężnej wynosi 7 000 000 euro albo równowartość 1,4% przychodów osiągniętych w roku obrotowym poprzedzającym rok wymierzenia kary, jednak nie mniej niż 15 000 zł.

– w obu przypadkach zastosowanie ma wyższa wartość.

Warto wskazać, iż ustawodawca przewidział też mechanizmy ustalania wymiaru kar dla podmiotów, które działają na rynku krócej niż 12 miesięcy i takich, które w poprzednim roku poprzedzającym nie osiągnęły przychodów. Wówczas stosuje się jednakowy, bezwzględny wymiar kary, tj. 500 000 euro dla podmiotu kluczowego oraz 250 000 euro dla podmiotu ważnego. Z kolei, jeżeli ukarany podmiot powstał w wyniku połączenia lub przekształcenia innych spółek, to przy obliczaniu przychodu uwzględnia się przychody osiągnięte przez podmioty-poprzedników.

Co istotne, ustawa przyznaje organowi nadzoru uprawnienie do ustalania wymiaru kary w sposób szacunkowy. Może to nastąpić w sytuacji, gdy wezwany podmiot uchyla się od dostarczenia danych księgowych lub przekaże dane wprowadzające w błąd. Wówczas kara jest ustalana przede wszystkim na podstawie wielkości podmiotu, specyfiki jego działalności oraz danych rynkowych.

W związku z wprowadzeniem przez ustawodawcę moratorium na kary finansowe, omawiana kara pieniężna dla podmiotów kluczowych i ważnych może być po raz pierwszy nałożona po upływie 2 lat od wejścia w życie ustawy.

Kwalifikowana kara do 100 mln zł

Kara kwalifikowana została uregulowana w art. 73 ust. 5 UKSC. Jest to specjalny mechanizm sankcyjny, o wyjątkowej dotkliwości – organ adekwatny do spraw cyberbezpieczeństwa może ją wymierzyć w wysokości choćby 100 mln zł.

Sankcja ta może zostać nałożona na podmiot najważniejszy lub ważny, w przypadku gdy naruszenie lub zaniechanie powoduje:

1. bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi, albo
2. zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług.

Oznacza to, iż organ może ukarać podmiot już za samo spowodowanie poważnego i bezpośredniego zagrożenia.

Co jest jednak istotne – wspomniane moratorium nie obejmuje kary kwalifikowanej i zgodnie z przepisami organ nadzorczy może już teraz po nią sięgnąć, odpowiednio do okoliczności i terminów przewidzianych w UKSC na spełnienie określonych obowiązków.

Okresowa „przymuszająca” kara pieniężna

Ustawodawca wprowadził również specjalny rodzaj sankcji, który ma na celu zmuszenie podmiotów kluczowych i ważnych do wykonania decyzji organu i szybkiego usunięcia nieprawidłowości. Kara ta może być nałożona m.in. w sytuacji, gdy podmiot nie wykonał nakazu: zaniechania naruszania przepisów, dostosowania SZBI, wdrożenia zaleceń audytowych czy podania do publicznej wiadomości informacji o poważnym incydencie lub naruszeniach.

Kara jest naliczana jest od daty wyznaczonej w decyzji administracyjnej aż do momentu faktycznego usunięcia niezgodności. Jej wysokość może wynosić od 500 zł do 100 000 zł za każdy dzień opóźnienia.

Okresowa kara pieniężna może być po raz pierwszy nałożona po upływie 2 lat od wejścia w życie ustawy.

Odpowiedzialność finansowa kierownika podmiotu kluczowego lub ważnego

W UKSC wprowadzono odrębne kary pieniężne nakładane bezpośrednio na osoby zarządzające podmiotem kluczowym lub ważnym, jeżeli wskutek ich zaniechań podmiot nie realizuje podstawowych obowiązków ustawowych. W ustawie wskazano m.in. następujące przypadki zaniechań kierowników:

1. niezapewnienie wdrożenia odpowiedniego SZBI,
2. zaniedbania w zakresie zgłaszania incydentów poważnych,
3. nieuzupełnienie danych w wykazie podmiotów kluczowych lub ważnych czy
4. uchylanie się od corocznego obowiązku odbycia szkolenia z zakresu swoich obowiązków w obszarze cyberbezpieczeństwa.

Na gruncie UKSC kierownikiem są osoby, o których mowa w definicji z ustawy o rachunkowości (art. 3 ust. 1 pkt 6), m.in. członkowie zarządów spółek, wspólnicy, komplementariusze, a w przypadku podmiotów publicznych – kierownicy jednostek w rozumieniu art. 53 ust. 1 ustawy o finansach publicznych.

Maksymalna kara nakładana na kierownika nie może przekroczyć 300% jego wynagrodzenia, a w przypadku kierownika podmiotu publicznego – 100% wynagrodzenia.

Kierownik może zostać ukarany także wtedy, gdy realizacja niektórych obowiązków z zakresu cyberbezpieczeństwa została formalnie powierzona innej osobie. Natomiast w sytuacji, gdy w organie kolektywnym (np. zarządzie) nie wyznaczono jednej osoby odpowiedzialnej za obszar cyberbezpieczeństwa, odpowiedzialność ponoszą solidarnie wszyscy członkowie tego organu.

Sankcja ta jest niezależna od kary nakładanej na podmiot najważniejszy lub ważny. Po raz pierwszy może być nałożona po upływie 2 lat od wejścia w życie ustawy.

Kary pieniężne dla innych adresatów obowiązków

Ustawodawca przewidział również sankcje za niewykonanie określonych obowiązków przez określone rodzaje podmiotów kluczowych i ważnych, ale także podmioty niebędące podmiotami kluczowymi lub ważnymi.

Dotyczy to przede wszystkim podmiotów pełniących określone funkcje w ekosystemie usług cyfrowych oraz łańcuchu dostaw ICT, tj.:

1. podmiotów świadczących usługi rejestracji nazw domen oraz rejestry nazw domen najwyższego poziomu (TLD),
2. producentów lub dostawców produktów/usług ICT,
3. podmiotów zobowiązanych przez organ nadzorczy do udzielenia określonych informacji,
4. podmioty finansowe niebędące podmiotem kluczowym lub ważnym (z wyłączeniem podmiotów, o których mowa w art. 16 rozporządzenia DORA), które nie dostosowały się do wymagań związanych z wydaniem polecenia zabezpieczającego lub decyzji o uznanie dostawcę za dostawcę wysokiego ryzyka.

Sankcje te są przewidziane w stałej wysokości, określonej dla danego rodzaju podmiotu oraz uchybienia.

Również w ich przypadku obowiązuje moratorium i ich nałożenie po raz pierwszy może nastąpić po 3 kwietnia 2028 r.

Jak organ ustali wysokość kary i w jakim trybie ją nałoży?

Kara nie jest nakładana automatycznie w maksymalnej wysokości. Organ adekwatny do spraw cyberbezpieczeństwa ocenia okoliczności konkretnego przypadku, w tym:

1. wagę i czas trwania naruszenia, w tym jego powtarzalność oraz to, czy dotyczyło ono niezgłoszenia incydentu, niewykonania nakazu lub utrudniania audytu,
2. wcześniejsze poważne naruszenia oraz umyślny albo nieumyślny charakter działania,
3. rozmiar szkód, wpływ naruszenia na inne usługi oraz liczbę użytkowników, których dotknęło,
4. działania podjęte w celu zapobieżenia szkodom lub ograniczenia ich skutków oraz stopień współpracy z organem,
5. przychody i możliwości finansowe ukaranego podmiotu albo kierownika.

Kara jest nakładana w drodze decyzji administracyjnej. Co do zasady przed jej wydaniem organ przedstawia podmiotowi wstępne ustalenia wraz z uzasadnieniem, a podmiot ma 7 dni na zajęcie stanowiska. Organ może następnie odstąpić od nałożenia kary albo ją wymierzyć, przedstawiając szczegółowe uzasadnienie. Może również odstąpić od ukarania, o ile naruszenie ma znikomą wagę, a podmiot zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę. W sprawach nieuregulowanych w UKSC stosuje się przepisy dotyczące administracyjnych kar pieniężnych zawarte w Kodeksie postępowania administracyjnego.

Niefinansowe środki nadzorcze wobec podmiotów kluczowych

Poza karami finansowymi organ adekwatny ds. cyberbezpieczeństwa dysponuje również szeregiem niefinansowych środków nadzorczych.

Mają one charakter stopniowalny – od ostrzeżeń, przez wydawanie nakazów i zakazów, aż po środki ingerujące w możliwość prowadzenia działalności. Tak jak sankcje finansowe, środki te mogą być stosowane wobec kadry kierowniczej. W takim przypadku organ może wydać decyzję zakazującą pełnienia przez kierownika funkcji zarządczych w podmiocie kluczowym do czasu faktycznego usunięcia stanu niezgodności.

Co istotne, niefinansowe środki nadzorcze mogą być stosowane wyłącznie wobec podmiotów kluczowych i niezależnie od potencjalnych sankcji finansowych.