Cyberbezpieczeństwo staje się osobistą odpowiedzialnością członków zarządu

Nowe obowiązki zarządów spółek w zakresie cyberbezpieczeństwa

Nowa czeska ustawa o cyberbezpieczeństwie (ustawa nr 264/2025 Sb., dalej „ZKB”) kładzie znacznie większy nacisk na zaangażowanie najwyższego kierownictwa w zapewnienie cyberbezpieczeństwa. Członkowie zarządu (jednatelé) i członkowie zarządu spółek akcyjnych (představenstvo) poniosą bezpośrednią odpowiedzialność za to, aby ich firma spełniała nowe wymogi tej ustawy. W praktyce oznacza to, że jeżeli Twoja spółka podlega regulacji, musisz zapewnić wdrożenie wszystkich niezbędnych środków, nadzorować ich przestrzeganie i przeznaczyć na cyberbezpieczeństwo wystarczające zasoby ludzkie i finansowe.

Niezależnie od wiedzy technicznej – ustawa zakłada aktywny nadzór organu statutowego, a nie formalne delegowanie odpowiedzialności. W wyniku nowej regulacji cyberbezpieczeństwo staje się kolejnym elementem staranności dobrego gospodarza, której członkowie organów statutowych są zobowiązani przestrzegać przy wykonywaniu swojej funkcji.

Zanim firma zacznie wdrażać konkretne środki bezpieczeństwa, musi ocenić, czy ustawa w ogóle jej dotyczy. Służy do tego proces tzw. samoidentyfikacji, w ramach którego przedsiębiorstwo w skrócie ocenia swoją wielkość, branżę oraz inne kryteria określone w ustawie i towarzyszących jej rozporządzeniach. Jeżeli stwierdzi, że podlega regulacji, ma obowiązek zgłosić świadczenie usługi regulowanej do NÚKIB.

Następnie należy wdrożyć środki techniczne i organizacyjne, do których w reżimie niższych obowiązków należą w szczególności:

1. Bezpieczeństwo techniczne, zarządzanie dostępem i hasłami

Wdrożenie środków technicznych chroniących sieci, systemy i dane, w tym zarządzanie uprawnieniami dostępu i tożsamościami. Obejmuje to również zasady tworzenia i zarządzania silnymi hasłami, uwierzytelnianie wieloskładnikowe oraz kontrolę uprawnień dostępu zgodnie z zasadą minimalnych niezbędnych uprawnień.

2. Szkolenia i zarządzanie zasobami ludzkimi

Regularne szkolenia pracowników i kierownictwa w zakresie zagrożeń bezpieczeństwa i właściwych zachowań. Obejmuje to także weryfikację osób na kluczowych stanowiskach oraz konsekwentne informowanie o obowiązkach i odpowiedzialności poszczególnych osób.

3. Strategiczne zarządzanie bezpieczeństwem

Podstawą jest wyznaczenie osób odpowiedzialnych, opracowanie polityki bezpieczeństwa i prowadzenie wykazu przyjętych środków. Najwyższe kierownictwo odpowiada za zatwierdzenie i bieżącą kontrolę funkcjonowania całego systemu zarządzania bezpieczeństwem.

4. Wykrywanie ataków, zarządzanie incydentami i plan odtworzenia

Organizacja musi być w stanie w porę wykrywać incydenty cyberbezpieczeństwa, właściwie na nie reagować, zgłaszać je do NÚKIB, a następnie przywrócić bezpieczne działanie. Niezbędny jest plan reagowania na incydenty i odtwarzania systemów krytycznych.

5. Bezpieczeństwo w stosunkach umownych z dostawcami

Umowy z dostawcami muszą zawierać wymogi bezpieczeństwa – np. zobowiązania do zachowania poufności, poziom środków technicznych, czasy reakcji, ewentualnie prawo do audytu. Łańcuch dostaw jest często najsłabszym ogniwem.

Wszystkie przyjęte środki należy nie tylko wdrożyć, lecz także skutecznie udokumentować, regularnie aktualizować i audytować. Podczas kontroli przeprowadzanej przez organ nadzoru nie wystarczy wskazać na wewnętrzne regulaminy – kluczowe będzie wykazanie, że system cyberbezpieczeństwa rzeczywiście funkcjonuje w praktyce. Urzędy będą żądać dowodów, że ustalone zasady są znane, stosowane i na bieżąco weryfikowane.

Ryzyka i sankcje za niewypełnianie obowiązków

Nowa regulacja nadaje cyberbezpieczeństwu podobną wagę, jaką ma na przykład rachunkowość finansowa – i temu odpowiadają również sankcje. Niewypełnienie obowiązków może mieć bardzo dotkliwe skutki zarówno dla firmy, jak i dla jej zarządu. Spółki regulowane mogą zostać ukarane grzywną do 250 000 000 CZK (ok. 10,3 mln EUR) lub 2 % (reżim wyższych obowiązków), względnie do 175 000 000 CZK (ok. 7,2 mln EUR) lub 1,4 % (reżim niższych obowiązków) całkowitego światowego rocznego obrotu netto.

Dla dużych przedsiębiorstw może to oznaczać sankcje rzędu dziesiątek, a nawet setek milionów koron czeskich. Oprócz tych kar finansowych nowa ustawa wprowadza także sankcje niefinansowe – NÚKIB może na przykład w stosunku do dostawcy usługi regulowanej w reżimie wyższych obowiązków, który nie wykona nałożonego środkiem naprawczym obowiązku usunięcia stwierdzonych nieprawidłowości, zawiesić ważność wydanego przez NÚKIB europejskiego certyfikatu cyberbezpieczeństwa lub nakazać jednostce oceniającej zgodność zawieszenie ważności wydanego przez nią certyfikatu lub zaświadczenia związanego z cyberbezpieczeństwem usługi regulowanej, i to do czasu usunięcia nieprawidłowości, nie krócej niż na 6 miesięcy (§ 57 ZKB), co może powodować poważne trudności w wykonywaniu zobowiązań umownych.

Jeszcze ważniejszą nowością jest jednak bezpośrednia osobista odpowiedzialność organów statutowych. Jeżeli firma naruszy obowiązki w zakresie cyberbezpieczeństwa, konsekwencje mogą ponieść bezpośrednio jej członkowie zarządu. Grozi im osobista odpowiedzialność za wyrządzoną szkodę (w tym szkodę niemajątkową) – jeżeli na przykład z powodu zbagatelizowania bezpieczeństwa wyciekną wrażliwe dane partnerów handlowych, poszkodowani mogą dochodzić od nich odszkodowania.

Ponadto może dojść do odpowiedzialności wobec wierzycieli za długi spółki, jeżeli firma w wyniku incydentu bezpieczeństwa stanie się niewypłacalna. Karę do 20 mln CZK można nałożyć na osobę, która pełni funkcję pomimo decyzji o zakazie pełnienia funkcji (§ 60 ust. 1 lit. h) i ust. 7 lit. d) ZKB). Za wielokrotne lub poważne naruszenie obowiązków urząd może również orzec zakaz pełnienia funkcji na okres nie krótszy niż 6 miesięcy. W wyjątkowych sytuacjach, gdyby doszło do rażącego zaniedbania obowiązków, nie można wykluczyć nawet ewentualnej oceny odpowiedzialności na gruncie prawa karnego.

Sankcje te nie są jedynie teoretycznym zagrożeniem. Osobiste kary dla kadry kierowniczej oznaczałyby poważne skutki wizerunkowe zarówno dla samych menedżerów, jak i dla całej firmy – niewiele spółek może sobie pozwolić na to, by członek ich zarządu został publicznie ukarany lub czasowo odsunięty od kierowania spółką. Już samo dochodzenie lub postępowanie w sprawie sankcji może sparaliżować wewnętrzne funkcjonowanie firmy i nadszarpnąć zaufanie klientów.

Także dlatego celem nowej regulacji jest zmotywowanie zarządów firm, by nie lekceważyły cyberbezpieczeństwa. To nowoczesne podejście „accountability” ze strony UE ma wciągnąć firmy w aktywną ochronę: kiedy kierownictwo wie, że ryzykuje własną skórą, poświęci tej dziedzinie należytą uwagę.

To, że takie podejście działa, pokazuje przykład Słowacji – obowiązuje tam już podobna ustawa (również oparta na NIS2), a firmy wolą niczego nie pozostawiać przypadkowi. W ramach tzw. samoidentyfikacji na Słowacji do regulacji zgłosiło się o 60 % więcej spółek, niż oczekiwano (ponad 15 000 zamiast pierwotnie szacowanych 9 000). Ten trend wyraźnie pokazuje, że przedsiębiorstwa i ich zarządy zdają sobie sprawę z ryzyka niewypełnienia obowiązków – a czescy członkowie zarządu powinni postąpić tak samo, zanim nastąpią pierwsze kontrole lub incydenty.

Jak się przygotować i chronić (praktyczne zalecenia)

Dobra wiadomość jest taka, że w wypełnianiu nowych obowiązków nie jesteś sam, a dzięki odpowiednio wczesnemu przygotowaniu można uniknąć wielu ryzyk.

Poniżej przedstawiamy kilka praktycznych kroków, dzięki którym jako członek zarządu lub menedżer przygotujesz się na nową regulację i ochronisz siebie oraz swoją firmę:

• Sprawdź, czy regulacja Cię dotyczy: Przejdź proces samoidentyfikacji – oceń sektor swojej działalności i wielkość przedsiębiorstwa według kryteriów ustawy. Jeżeli nie wiesz, jak sobie poradzić z tym procesem, nasi wyspecjalizowani adwokaci chętnie Ci pomogą.

• Nie lekceważ planowania i zasobów: Włącz cyberbezpieczeństwo do strategii firmy i przeznacz na nie odpowiedni budżet oraz personel. Wyznacz lub zatrudnij wykwalifikowaną osobę odpowiedzialną za cyberbezpieczeństwo albo utwórz wyspecjalizowany zespół, który będzie zajmował się tą problematyką. Pamiętaj, że wdrożenie funkcjonującego systemu może trwać od miesięcy do lat – im wcześniej zaczniesz, tym lepiej. Jeżeli planujesz współpracę z zewnętrznymi specjalistami, licz się z tym, że ich możliwości bywają ograniczone – zarezerwuj je więc z wyprzedzeniem.

• Wdrażaj niezbędne środki krok po kroku: Opracuj plan wdrożenia środków bezpieczeństwa zgodnie z wymogami ustawy. Zidentyfikuj istniejące słabe punkty i stopniowo wprowadzaj wspomniane elementy: analizę ryzyka i zarządzanie nim, polityki bezpieczeństwa, systemy wykrywania incydentów, tworzenie kopii zapasowych danych, kontrolę dostępu (np. uwierzytelnianie wieloskładnikowe) itp. Każdy krok na bieżąco dokumentuj.

• Deleguj, ale zachowaj kontrolę: Podziel zadania z zakresu cyberbezpieczeństwa między kompetentne osoby – menedżerów IT, specjalistów ds. bezpieczeństwa, prawników i zewnętrznych konsultantów. Delegowanie zadań jest niezbędne, nie zwalnia Cię jednak z odpowiedzialności. Ustal zatem mechanizmy raportowania na poziom zarządu: regularne sprawozdania o stanie bezpieczeństwa, incydentach i realizacji środków. Członek zarządu powinien mieć stale aktualny obraz stanu cyberbezpieczeństwa w firmie.

• Kształć siebie i innych: Odbądź obowiązkowe szkolenie i dalej aktywnie poszerzaj wiedzę o cyberbezpieczeństwie – śledź trendy w zakresie zagrożeń, wyciągaj wnioski z incydentów w innych firmach. Jednocześnie wprowadź regularne szkolenia dla pracowników z zasad bezpieczeństwa (np. posługiwanie się hasłami, rozpoznawanie phishingu, reagowanie na incydent). Wspieraj kulturę bezpieczeństwa w firmie – gdy pracownicy rozumieją ryzyka, znacząco zmniejszasz prawdopodobieństwo błędu ludzkiego.

• Opracuj scenariusz kryzysowy: Mimo wszelkiej prewencji nie da się w 100% uniknąć incydentów. Przygotuj więc plan reagowania na incydent cyberbezpieczeństwa (Incident Response Plan) – kto co będzie robił w razie ataku na system, z kim się kontaktować (NÚKIB, policja, prawnicy, PR), jak przywrócić działanie. Regularnie testuj ten plan za pomocą symulacji. W ten sposób wykażesz, że wypełniasz swój obowiązek nie tylko w zakresie prewencji, lecz także reagowania na sytuacje kryzysowe.

• Konsultuj aspekty prawne: Nowa regulacja jest złożona i na bieżąco doprecyzowywana przepisami wykonawczymi. Współpracuj z prawnikami, którzy pomogą Ci prawidłowo zinterpretować konkretne obowiązki i ustawić wewnętrzne procesy zgodnie z ustawą. Prawny audyt gotowości może ujawnić luki, na które urząd zwróciłby uwagę podczas kontroli.

• Ubezpieczenie i inne środki ochronne: Rozważ zawarcie ubezpieczenia od ryzyk cybernetycznych, które może złagodzić finansowe skutki ewentualnego ataku lub wycieku danych. Choć ubezpieczenie nie zastąpi konieczności wdrażania środków cyberbezpieczeństwa, może zapewnić środki na szybkie opanowanie sytuacji kryzysowej (np. pokrycie kosztów ekspertów od odtworzenia systemu, komunikacji PR, kosztów prawnych lub okupu za odblokowanie danych).

Wszystkie powyższe kroki należy właściwie rejestrować i archiwizować – od analiz ryzyka, przez dokumentację szkoleń, aż po sprawozdania dla zarządu. Dokumentacja ta posłuży zarówno do wewnętrznego monitorowania postępów, jak i jako dowód podczas ewentualnej kontroli, że kierownictwo działało proaktywnie i z należytą starannością. Członkowi zarządu, który będzie w stanie wykazać, że nie zlekceważył bezpieczeństwa i podjął rozsądne środki, grozi znacznie mniejsze ryzyko sankcji osobistych. Natomiast ignorowanie obowiązków lub poleganie na myśli „nas to na pewno ominie” byłoby w obecnej sytuacji bardzo niebezpieczne.

Podsumowanie: zacznij już dziś

Dla zarządów firm w Republice Czeskiej nadchodzi nowa era odpowiedzialności za cyberbezpieczeństwo. Członkowie zarządu nie mogą już traktować cyberbezpieczeństwa jako marginalnej kwestii technicznej, którą wystarczy pozostawić specjalistom IT. Nowa ustawa o cyberbezpieczeństwie jasno stanowi, że jeżeli firma mieści się w jej zakresie, najwyższe kierownictwo musi aktywnie działać – i osobiście odpowiada za proces wdrożenia środków technicznych i organizacyjnych.

Opisane powyżej sankcje i ryzyka stanowią ważki powód, by podejść do tego tematu z najwyższą powagą. Jednocześnie jednak ten, kto przygotuje się na czas, może przejść przez to sito bez szwanku, a nawet zyskać przewagę konkurencyjną (firmy cieszące się opinią bezpiecznych partnerów będą bardziej atrakcyjne dla klientów).

Nie opłaca się czekać na pierwsze inspekcje czy incydenty. Przeciwnie, rozpoczęcie przygotowań już teraz to strategiczny krok, którym ochronisz zarówno swoją firmę, jak i siebie. Jeżeli nie wiesz, od czego zacząć, lub czy spełniasz wszystkie wymogi, nie wahaj się skorzystać z fachowej pomocy. Nasza kancelaria adwokacka ma bogate doświadczenie w zakresie regulacji cyberbezpieczeństwa i chętnie pomożemy – od wstępnej analizy skutków ustawy, przez ustawienie wewnętrznych procesów i dokumentacji, aż po szkolenia kadry zarządzającej czy rozwiązywanie incydentów bezpieczeństwa.

Cyberbezpieczeństwo jest nowym wyzwaniem dla członków zarządu – zmierz się z nim i upewnij się, że Twoja spółka spełnia wszystkie wymogi. W ten sposób ochronisz nie tylko dane firmy i jej dobre imię, ale także siebie przed osobistą odpowiedzialnością prawną.