Art. 8c UoKSC nakłada na kierownika podmiotu kluczowego lub ważnego osobistą odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa - od zarządzania ryzykiem, przez zgłaszanie incydentów, po wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI). Co istotne, art. 8c ust. 3 wprost stanowi, że powierzenie zadań innej osobie nie zwalnia kierownika z odpowiedzialności.
Kto jest podmiotem kluczowym, a kto ważnym
Status zależy od rodzaju i wielkości podmiotu. Podmiotem kluczowym jest urząd gminy zatrudniający na 1 stycznia co najmniej 50 osób w przeliczeniu na pełne etaty (umowy o pracę); mniejszy urząd to podmiot ważny. Starostwa i urzędy marszałkowskie są podmiotami kluczowymi niezależnie od zatrudnienia. Spółki komunalne to co do zasady podmioty ważne; wodociągi mogą być podmiotami kluczowymi sektorowo (woda pitna), a szpitale - w sektorze zdrowia. Szkoły, biblioteki, DPS czy GOPS zwykle pozostają poza wykazem KSC, ale realnie są chronione przez LCC „przy okazji” macierzystej JST.
Wysokość sankcji (od 3.04.2028, po dwuletnim okresie ochronnym)
| Sankcja | Podmiot kluczowy | Podmiot ważny |
|---|---|---|
| Maksymalna kara | 10 mln euro lub 2% przychodów | 7 mln euro lub 1,4% przychodów |
| Kara minimalna | 20 tys. zł | 15 tys. zł |
| Kara dla kierownika (art. 73a) | do 100% wynagrodzenia (jak ekwiwalent za urlop) | do 100% wynagrodzenia (jak ekwiwalent za urlop) |
| Kara nadzwyczajna (zagrożenie bezpieczeństwa państwa) | do 100 mln zł | do 100 mln zł |
Kary zaczną obowiązywać po dwuletnim okresie ochronnym, czyli od 3 kwietnia 2028 r. Do tego czasu trzeba zdążyć z wpisem do wykazu KSC (do 3.10.2026) i wdrożeniem obowiązków SZBI (do 3.04.2027). Uwaga: JST są wpisywane do Wykazu z urzędu - okno 7.05-3.10.2026 dotyczy samorejestracji podmiotów, których organ nie wpisał. Wyjątkiem jest kara nadzwyczajna do 100 mln zł za stworzenie bezpośredniego zagrożenia bezpieczeństwa państwa - art. 73 ust. 5 stosuje się od wejścia ustawy w życie, bez okresu ochronnego.
Jak LCC rozkłada i ogranicza ryzyko
- Zmniejsza ekspozycję operacyjną - większość obowiązków technicznych przejmuje operator centrum.
- Dystrybuuje ryzyko - kierownik LCC przejmuje formalną odpowiedzialność operacyjną; wójt odpowiada nadal, ale w wymiarze nadzorczym.
- Buduje dowód „należytej staranności” - przekazanie zadań profesjonalnemu operatorowi to formalny argument w razie kontroli.
- Zmienia naturę odpowiedzialności z operacyjnej („dlaczego nie ma SZBI”) na nadzorczą („czy racjonalnie wybrałem operatora i czy go nadzoruję”).
Wójt obsługiwanej JST nadal odpowiada za wybór właściwej jednostki obsługującej, poprawne skonstruowanie porozumienia (jasne SLA, mechanizm nadzoru), bieżącą kontrolę realizacji oraz obszary nieprzekazane do LCC - np. świadomość pracowników urzędu czy decyzje kryzysowe wobec mieszkańców.