Cyberbezpieczeństwo 2027. Dlaczego przedsiębiorcy muszą zająć się bezpieczeństwem danych już w 2026 r.

• Cyberatak przestaje być problemem wyłącznie działu IT
• Kogo to dotyczy
• Co musi zrobić zarząd
• Osobista kara dla członka zarządu
• Kalendarz, którego nie wolno przegapić
• Co zrobić jeszcze w 2026 r.

#

Cyberatak przestaje być problemem wyłącznie działu IT

Ransomware, wyciek danych klientów, paraliż systemów produkcyjnych – jeszcze niedawno były to problemy działów IT i niewiele osób z zarządu chciało się nimi zajmować. Od 3 kwietnia 2026 r. taki podział staje się ryzykowny. Tego dnia weszła w życie ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca do polskiego prawa unijną dyrektywę NIS2. Cyberbezpieczeństwo zostało w niej zrównane z innymi obszarami ładu korporacyjnego – podatkami, rachunkowością czy ochroną danych osobowych. Z tą jedną różnicą, że za uchybienia odpowiada nie tylko spółka, lecz także konkretna osoba w zarządzie.

Kogo to dotyczy

Nowelizacja znacząco rozszerza krąg podmiotów objętych regulacją. Z dotychczasowych kilkuset operatorów usług kluczowych liczba adresatów ustawy wzrasta do około 38 tys. Ministerstwo Cyfryzacji szacuje, że około 27 tys. z nich to instytucje publiczne – urzędy, szpitale, uczelnie – a pozostałe to przedsiębiorcy. Dla biznesu kluczowe jest sprawdzenie dwóch elementów: czy firma działa w sektorze wymienionym w załącznikach do ustawy oraz czy spełnia właściwe kryteria wielkościowe. W praktyce chodzi przede wszystkim o średnie i duże podmioty, ale część organizacji może zostać objęta obowiązkami niezależnie od skali działalności.

Lista sektorów objętych regulacją obejmuje m.in. energetykę, transport, bankowość, ochronę zdrowia, gospodarkę wodno-ściekową, infrastrukturę cyfrową, gospodarkę odpadami, produkcję żywności i chemikaliów oraz dostawców wybranych usług cyfrowych. Nie należy więc zakładać, że ustawa dotyczy wyłącznie wielkich koncernów technologicznych. Obowiązki mogą objąć także firmy produkcyjne, logistyczne, medyczne, komunalne, dostawców IT, podmioty z łańcuchów dostaw oraz organizacje świadczące usługi istotne dla funkcjonowania gospodarki lub państwa.

Co musi zrobić zarząd

Ustawa nakłada na kierownictwo podmiotu pakiet osobistych obowiązków. Zarząd musi formalnie zatwierdzić środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorować ich wdrażanie, zapewnić cykliczne szkolenia dla pracowników, a także sam uczestniczyć w szkoleniach – co najmniej raz w roku. Do tego dochodzi obowiązek nadzoru nad incydentami (z rygorystycznym terminem zgłoszenia poważnego incydentu – 24 godziny na zgłoszenie wstępne, 72 godziny na pełne) oraz zarządzanie bezpieczeństwem łańcucha dostaw, w tym weryfikacja umów z dostawcami IT, chmury i rozwiązań sztucznej inteligencji.

Co istotne, ustawa wprost wyklucza możliwość zasłonięcia się brakiem wiedzy technicznej. Zarząd nie musi znać kodu źródłowego stosowanych aplikacji, ale musi rozumieć ryzyka biznesowe związane z ich użytkowaniem oraz mechanizmy kontrolne, które te ryzyka ograniczają. W przypadku organów wieloosobowych dopuszczalne jest wskazanie jednej osoby odpowiedzialnej za cyberbezpieczeństwo (na przykład członka zarządu do spraw KSC) – w przeciwnym razie odpowiedzialność za naruszenie wymogów ustawy ma charakter zbiorowy.

Osobista kara dla członka zarządu

Najważniejszą zmianą jest wprowadzenie bezpośredniej odpowiedzialności finansowej osób zarządzających. Organ nadzorczy może nałożyć karę pieniężną na kierownika podmiotu kluczowego lub ważnego. W przypadku podmiotów prywatnych maksymalna kara wynosi 300 proc. otrzymywanego przez ukaranego wynagrodzenia. W przypadku podmiotów publicznych limit jest niższy i wynosi 100 proc. wynagrodzenia. To kara osobista, niezależna od sankcji nałożonej na samą spółkę albo instytucję.

Kara osobista nie jest jednak nakładana za sam fakt cyberataku – tych nie da się wyeliminować w stu procentach. Sankcja uderza w brak należytej staranności: w niezatwierdzenie polityk, brak analizy ryzyka, nieprzeznaczenie odpowiednich środków na bezpieczeństwo czy zignorowanie obowiązku szkolenia.

Na poziomie organizacji sankcje są jeszcze poważniejsze. Podmiot kluczowy może zostać ukarany kwotą do 10 mln euro albo do 2 proc. przychodów osiągniętych z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary – zastosowanie ma kwota wyższa. Kara nie może być niższa niż 20 tys. zł. Dla podmiotów ważnych górne pułapy to 7 mln euro albo 1,4 proc. takich przychodów; kara minimalna wynosi 15 tys. zł. W skrajnych sytuacjach, gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, a także grozi poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług, ustawa przewiduje karę ekstraordynaryjną do 100 mln zł. Niezależnie od tych limitów organ nadzoru może nakładać okresową karę pieniężną za każdy dzień opóźnienia w wykonaniu decyzji – od 500 zł do 100 tys. zł za dobę zwłoki.

Kalendarz, którego nie wolno przegapić

Najbliższe miesiące są kluczowe dla każdej organizacji potencjalnie objętej ustawą. Wykaz podmiotów kluczowych i ważnych uruchomiono 13 kwietnia 2026 r. Do 6 maja 2026 r. trwa wpisywanie podmiotów z urzędu – przede wszystkim dotychczasowych operatorów usług kluczowych i wybranych podmiotów publicznych. Od 7 maja do 3 października 2026 r. trwa samorejestracja pozostałych podmiotów. Każda firma, która sama ocenia, że spełnia kryteria, musi w tym oknie złożyć wniosek o wpis do wykazu prowadzonego w systemie S46.

Termin wdrożenia pełnego Systemu Zarządzania Bezpieczeństwem Informacji upływa 3 kwietnia 2027 r. – dwanaście miesięcy od dnia wejścia w życie ustawy. Pierwszy obowiązkowy audyt dla podmiotów kluczowych musi być przeprowadzony do 3 kwietnia 2028 r., a następne – co trzy lata.

Co zrobić jeszcze w 2026 r.

Najpilniejszym zadaniem jest samoidentyfikacja: sprawdzenie, czy firma podlega nowej regulacji oraz w jakim statusie – podmiotu kluczowego czy ważnego. Po pierwsze, należy zweryfikować klasyfikację sektorową i wielkościową. Po drugie, wyznaczyć w zarządzie osobę odpowiedzialną za cyberbezpieczeństwo. Po trzecie, przeprowadzić analizę ryzyka oraz audyt umów z dostawcami IT, chmury i narzędzi AI. Po czwarte, rozpocząć budowę Systemu Zarządzania Bezpieczeństwem Informacji zgodnie ze standardami ISO/IEC 27001 lub NIST. Po piąte, zaplanować obowiązkowe szkolenia dla zarządu i kluczowych pracowników oraz udokumentować ich przebieg. Po szóste, opracować procedury reagowania na incydenty wraz z mechanizmem zgłaszania do właściwego CSIRT w terminach 24/72 godziny. Warto pamiętać, że nowelizacja została skierowana przez prezydenta do Trybunału Konstytucyjnego w trybie kontroli następczej, w odniesieniu do przepisów o dostawcach wysokiego ryzyka. Postępowanie to nie wstrzymuje stosowania ustawy ani nie zwalnia z obowiązków, ale może w przyszłości doprowadzić do korekty części regulacji.