Czy powierzenie obowiązków KSC pełnomocnikowi albo pracownikowi zwalnia kierownika podmiotu z odpowiedzialności? Nie. Aktualne FAQ dotyczące Krajowego Systemu Cyberbezpieczeństwa wyraźnie rozdziela wykonywanie zadań od odpowiedzialności za ich realizację.
Co wynika z FAQ KSC?
Kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie obowiązków wynikających z ustawy także wtedy, gdy część albo wszystkie zadania powierzono innej osobie za zgodą tej osoby.
FAQ wymienia w tym kontekście poniższe obszary. Zakres konkretnych obowiązków należy odnieść do danego podmiotu — nie każdy obowiązek dotyczy wszystkich podmiotów w jednakowy sposób:
- zapewnienie aktualnego wpisu podmiotu do Wykazu KSC,
- wdrożenie i utrzymywanie systemu zarządzania bezpieczeństwem informacji (SZBI),
- realizację zadań przypisanych kierownikowi podmiotu,
- weryfikację personelu oraz odbywanie wymaganych szkoleń,
- wyznaczenie osób kontaktowych i korzystanie z systemu S46,
- zgłaszanie incydentów oraz przeprowadzanie audytów.
Organ wieloosobowy — kto odpowiada?
Jeżeli organ zarządzający jest wieloosobowy i nie wskazano konkretnej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu. FAQ dopuszcza również wskazanie więcej niż jednej osoby odpowiedzialnej.
Powierzenie zadań nie przenosi odpowiedzialności
Upoważnienie może uporządkować wykonanie konkretnych czynności, dostęp do systemów oraz przepływ informacji. Nie powinno jednak prowadzić do błędnego założenia, że po podpisaniu dokumentu kierownik przestał odpowiadać za realizację obowiązków KSC.
Praktyczna checklista dla kierownika
Poniższe punkty są rekomendacją praktyczną, a nie dodatkowym obowiązkiem ustawowym:
- opisz powierzane zadania oraz zakres decyzyjności każdej osoby,
- w organie wieloosobowym wskaż osobę lub osoby odpowiedzialne,
- ustal częstotliwość i formę raportowania do kierownictwa,
- dokumentuj nadzór, istotne decyzje i wykonanie zadań,
- okresowo sprawdzaj, czy formalny podział ról odpowiada praktyce.
Co warto sprawdzić teraz?
Zweryfikuj, czy obowiązujące upoważnienia, regulaminy i zakresy obowiązków wskazują nie tylko wykonawców, lecz także sposób nadzoru oraz raportowania. To prosty krok, który ogranicza ryzyko luk organizacyjnych.
Źródło: FAQ — Krajowy System Cyberbezpieczeństwa, dział 4 „Obowiązki kierownika podmiotu”, pytanie 4.4. Źródło sprawdzono 15 października 2026 r.; pytanie oznaczono jako aktualizację z października 2026 r.
Rejestr podziału zadań — wzór roboczy
Rekomendacja praktyczna, nie urzędowy formularz: dla każdego zadania uzupełnij pięć pól: zadanie, wykonawca, osoba nadzorująca, dowód wykonania, termin przeglądu. Odnotuj także zgodę osoby przyjmującej zadanie oraz zastępstwo na czas nieobecności.
Przykład organizacyjny: aktualizacja danych w Wykazie — wyznaczony pracownik przygotowuje dane, osoba uprawniona zatwierdza i składa wniosek, potwierdzenie trafia do rejestru. Wewnętrzny termin przeglądu nie zastępuje terminu ustawowego.
Oddzielnym zadaniem jest organizacja weryfikacji personelu. Zobacz także upoważnienie do złożenia wniosku w Wykazie KSC.