Kary za brak zgodności z KSC — co naprawdę grozi firmie

O karach z ustawy o KSC krąży dużo straszenia i mało konkretów. W tym artykule zbieramy fakty: ile wynoszą maksymalne kary, kogo dotyczą osobiście i za co realnie można je dostać — oraz co zrobić, żeby ten temat przestał spędzać sen z powiek.

Kary finansowe dla firmy

Wysokość maksymalnych kar administracyjnych zależy od kategorii podmiotu (o podziale piszemy w artykule o podleganiu ustawie):

To pułapy maksymalne — w praktyce wysokość kary zależy od wagi naruszenia, jego skutków i postawy firmy. Ale konstrukcja „procent obrotu" oznacza, że kara jest dotkliwa niezależnie od skali biznesu.

Osobista odpowiedzialność kierownictwa

W skrajnych przypadkach organ nadzoru dysponuje też środkami idącymi dalej niż kara finansowa — łącznie z możliwością nakazania wstrzymania działalności do czasu usunięcia naruszeń.

Za co można dostać karę?

Najczęstsze obszary naruszeń, które ustawa sankcjonuje:

• Brak rejestracji — niezgłoszenie się do wykazu podmiotów kluczowych i ważnych w terminie.
• Brak systemu zarządzania bezpieczeństwem — brak analizy ryzyka, polityk, zabezpieczeń adekwatnych do zagrożeń.
• Niezgłaszanie incydentów — poważny incydent trzeba zgłosić do właściwego CSIRT: wczesne ostrzeżenie w 24 godziny, raport w 72 godziny. Spóźnienie lub przemilczenie to samodzielne naruszenie — nawet jeśli sam incydent został opanowany.
• Ignorowanie zaleceń pokontrolnych — niewykonanie nakazów organu nadzoru w wyznaczonym terminie.
• Brak audytu — podmioty kluczowe mają obowiązek okresowego audytu bezpieczeństwa systemu informacyjnego.

Czego kary NIE dotyczą

Warto odczarować jeden mit: kara nie grozi za sam fakt wystąpienia incydentu. Ataki zdarzają się także dobrze zabezpieczonym organizacjom. Sankcje dotyczą zaniedbań: braku przygotowania, braku reakcji i braku zgłoszenia. Firma, która ma wdrożone procedury, zgłasza incydent w terminie i współpracuje z CSIRT, jest w zupełnie innej pozycji niż ta, która problem ukrywa.

Jak ograniczyć ryzyko — praktycznie

1. Ustal status firmy — bezpłatnie i w 60 sekund na sprawdzksc.pl. Jeśli nie podlegasz, masz temat z głowy (i dokument na potwierdzenie warto zachować).
2. Zrób audyt zerowy — zanim zrobi go za Ciebie organ nadzoru. Raport luk z priorytetami pokazuje, co naprawdę wymaga inwestycji.
3. Domknij podstawy — backup, kontrola dostępów, aktualizacje, monitoring. Większość wymagań ustawy to solidna higiena IT, nie kosmiczne technologie.
4. Przygotuj procedurę incydentów — kto ocenia zdarzenie, kto zgłasza do CSIRT, w jakim czasie. W stresie po ataku nie ma czasu na improwizację, a 24 godziny mijają szybko.
5. Przeszkol kierownictwo — skoro zarząd odpowiada osobiście, musi rozumieć, za co odpowiada.

Cały proces — od audytu po utrzymanie — opisujemy w przewodniku Wdrożenie KSC krok po kroku.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan na lipiec 2026 r. — wysokości kar i szczegółowe przesłanki ich nakładania wynikają z przepisów, które mogą ulec zmianie; w indywidualnych sprawach warto skonsultować się z prawnikiem.