Jakie są przesłanki nałożenia kary pieniężnej?

Karze pieniężnej podlega podmiot kluczowy lub podmiot ważny, który:

• •
  Nie wpisał się do wykazu w terminie,
• •
  nie uzupełnił brakujących danych w wykazie,
• •
  nie dokonał korekty danych pomimo wezwania,
• •
  wprowadził niezgodne ze stanem faktycznym dane do wykazu,
• •
  nie przeprowadza systematycznego szacowania ryzyka wystąpienia incydentu i nie zarządza tym ryzykiem,
• •
  nie wdrożył SZBI,
• •
  nie wyznaczył osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami KSC,
• •
  nie przeprowadził audytu w terminie,
• •
  uniemożliwia wykonywanie kontroli,
• •
  uniemożliwia lub utrudnia pracę urzędnikowi monitorującemu,
• •
  nie przekazuje na żądanie organu właściwego ds. cyberbezpieczeństwa informacji i dokumentów niezbędnych do wykonywania obowiązków z zakresu nadzoru i kontroli,
• •
  nie wykonał w wyznaczonym terminie zaleceń pokontrolnych,
• •
  w przypadku decyzji (wydanej dostawcy wysokiego ryzyka) nie wycofał na sprzętu lub oprogramowania,
• •
  nie przekazał informacji pomimo wniosku o wycofanych typach produktów ICT, rodzajach usług ICT i konkretnych procesach ICT,
• •
  nie wdrożył w terminie określonym w poleceniu zabezpieczającym określonego zachowania,
• •
  uniemożliwia wykonywanie kontroli,
• •
  uniemożliwia lub utrudnia pracę urzędnikowi monitorującemu,
• •
  nie przekazuje na żądanie organu właściwego ds. cyberbezpieczeństwa informacji i dokumentów niezbędnych do wykonywania obowiązków z zakresu nadzoru i kontroli,
• •
  nie wykonał w wyznaczonym terminie zaleceń pokontrolnych,
• •
  w przypadku decyzji (wydanej dostawcy wysokiego ryzyka) nie wycofał na sprzętu lub oprogramowania,
• •
  nie przekazał informacji pomimo wniosku o wycofanych typach produktów ICT, rodzajach usług ICT i konkretnych procesach ICT,
• •
  nie wdrożył w terminie określonym w poleceniu zabezpieczającym określonego zachowania,
• •
  nie współpracuje podczas obsługi incydentu poważnego lub krytycznego z właściwym CSIRT,
• •
  nie usunął podatności po wezwaniu przez właściwy CSIRT,
• •
  nie powołał wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo lub nie zawarł umowy z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa,
• •
  nie korzysta z systemu teleinformatycznego na podstawie porozumienia zawartego z ministrem.