Art. 8c UoKSC nakłada na kierownika podmiotu kluczowego lub ważnego osobistą odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa - od zarządzania ryzykiem, przez zgłaszanie incydentów, po wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI). Art. 8c ust. 3 stanowi przy tym, że powierzenie zadań innej osobie nie zwalnia kierownika z odpowiedzialności.
Kto jest podmiotem kluczowym, a kto ważnym
Status zależy od rodzaju i wielkości podmiotu. Podmiotem kluczowym jest urząd gminy zatrudniający na 1 stycznia co najmniej 50 osób w przeliczeniu na pełne etaty (umowy o pracę); mniejszy urząd to podmiot ważny. Starostwa i urzędy marszałkowskie są podmiotami kluczowymi niezależnie od zatrudnienia. Spółki komunalne to co do zasady podmioty ważne; wodociągi mogą być podmiotami kluczowymi sektorowo (woda pitna), a szpitale - w sektorze zdrowia. Szkoły, biblioteki, DPS czy GOPS to co do zasady podmioty ważne (art. 5 ust. 2 pkt 8 UoKSC): minister wpisuje je do Wykazu z urzędu, a ich obowiązki (m.in. uproszczony SZBI z załącznika nr 4) może przejąć LCC.
Wysokość sankcji (kary nakładane po 3.04.2028)
| Sankcja | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Maksymalna kara | 10 mln euro lub 2% przychodów | 7 mln euro lub 1,4% przychodów |
| Kara minimalna | 20 tys. zł | 15 tys. zł |
| Kara dla kierownika (art. 73a) | do 100% wynagrodzenia (jak ekwiwalent za urlop); do 300%, gdy podmiot publiczny podlega ustawie także w innym sektorze (art. 73a ust. 5) | do 100% wynagrodzenia (jak ekwiwalent za urlop); do 300%, gdy podmiot publiczny podlega ustawie także w innym sektorze (art. 73a ust. 5) |
| Kara nadzwyczajna (zagrożenie bezpieczeństwa państwa) | do 100 mln zł | do 100 mln zł |
Kary pieniężne mogą być nakładane po raz pierwszy po upływie dwóch lat od wejścia ustawy w życie, czyli po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Do tego czasu trzeba zdążyć z wpisem do wykazu KSC (do 3.10.2026) i wdrożeniem obowiązków SZBI (do 3.04.2027). Uwaga: JST są wpisywane do Wykazu z urzędu - okno 7.05-3.10.2026 dotyczy samorejestracji podmiotów, których organ nie wpisał. Wyjątkiem jest kara nadzwyczajna do 100 mln zł za stworzenie bezpośredniego zagrożenia bezpieczeństwa państwa - art. 73 ust. 5 stosuje się od wejścia ustawy w życie, bez okresu ochronnego.
Jak LCC rozkłada i ogranicza ryzyko
- Zmniejsza ekspozycję operacyjną - większość obowiązków technicznych przejmuje operator centrum.
- Dystrybuuje ryzyko - kierownik LCC przejmuje formalną odpowiedzialność operacyjną; wójt odpowiada nadal, ale w wymiarze nadzorczym.
- Buduje dowód „należytej staranności” - przekazanie zadań profesjonalnemu operatorowi to formalny argument w razie kontroli.
- Przesuwa ciężar odpowiedzialności wójta z prowadzenia SZBI na wybór jednostki obsługującej i nadzór nad nią.
Wójt obsługiwanej JST nadal odpowiada za wybór właściwej jednostki obsługującej, poprawne skonstruowanie porozumienia (jasne SLA, mechanizm nadzoru), bieżącą kontrolę realizacji oraz obszary nieprzekazane do LCC - np. świadomość pracowników urzędu czy decyzje kryzysowe wobec mieszkańców.