Rozdział 12. Kary pieniężne

Nie, kary pieniężne będą nakładane dopiero po 2 latach od wejścia w życie ustawy, tj. po 3.04.2028. Wyjątkiem jest kara ekstraordynaryjna.

Kary pieniężne są nakładane na podmioty ważne i kluczowe przez organ właściwy do sprawy cyberbezpieczeństwa w danym sektorze. Dla przykładu kary pieniężne dla sektora usług pocztowych będzie nakładał Prezes Urzędu Komunikacji Elektronicznej.

W szczególnych przypadkach kary pieniężne będzie mógł również nakładać Minister właściwy do spraw informatyzacji. Karze takiej podlega:

• •
  podmiot świadczący usługi rejestracji nazw domen, który nie wykonuje obowiązków, o których mowa w art. 16b i art. 16c;
• •
  rejestr nazw domen najwyższego poziomu (TLD), który nie wykonuje obowiązków, o których mowa w art. 16b i art. 16c;
• •
  producent lub dostawca, który nie przekazał dokumentacji badanego produktu ICT lub usługi ICT na wezwanie CSIRT MON, CSIRT NASK lub CSIRT GOV;

Natomiast w przypadku podmiotu finansowego w rozumieniu rozporządzenia 2022/2554 kary nakłada organ w rozumieniu tego rozporządzenia.

Kary są jednym ze środków nadzorczych, niezależnym od pozostałych. Środki nadzorcze mają charakter prewencyjny oraz następczy. Decyzja o wydaniu kary pieniężnej poprzedzona jest ostrzeżeniem i informowaniem o wstępnych ustaleniach.

Kary pieniężne dzielą się na fakultatywne, obligatoryjne, okresowe oraz karę ekstraordynaryjną – karę do 100 mln zł.

W celu przymuszenia podmiotu do wykonania nałożonych na niego obowiązków, organ właściwy do spraw cyberbezpieczeństwa może nałożyć na ten podmiot, w drodze decyzji, okresową karę pieniężną.

Nakładana jest za każdy dzień opóźnienia wykonania decyzji, w wysokości od 500 zł do 100 000 zł.

Jest to specjalna kara stosowana tylko przy poważnych naruszeniach. Kara ta może wynosić maksymalnie 100 mln zł, a przesłankami do jej nałożenia są:

• ✓
  bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi,
• ✓
  oraz zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług .

Tak, w przypadku uzasadnionego podejrzenia, że działania lub zaniechania podmiotu kluczowego lub podmiotu ważnego mogą naruszać przepisy ustawy, organ właściwy do spraw cyberbezpieczeństwa kieruje do tego podmiotu pismo w formie elektronicznej z ostrzeżeniem, w którym wskazuje czynności, jakie należy podjąć w celu zapobieżenia lub zaprzestania naruszania przepisów ustawy wraz z terminem na ich wykonanie.

Tak, organ właściwy do spraw cyberbezpieczeństwa przed zastosowaniem środków oraz przed nałożeniem kary pieniężnej, informuje podmiot o wstępnych ustaleniach, które mogą prowadzić do wydania decyzji. Informacja zawiera szczegółowe uzasadnienie potwierdzające zasadność zamiaru zastosowania środków lub nałożenia kary pieniężnej.

Organ właściwy do spraw cyberbezpieczeństwa może odstąpić od poinformowania o wstępnych ustaleniach w przypadku, gdy utrudniłoby to natychmiastowe działanie w celu zapobieżenia incydentom, reakcji na nie lub mogłoby mieć niekorzystny wpływ na bezpieczeństwo państwa lub porządek publiczny.

Jednocześnie podmiot może w terminie 7 dni, przedstawić swoje stanowisko, do którego organ właściwy do spraw cyberbezpieczeństwa musi się ustosunkować, uwzględniając stanowisko lub odrzucając wraz ze stosownym uzasadnieniem.

Karze pieniężnej podlega podmiot kluczowy lub podmiot ważny, który:

• •
  Nie wpisał się do wykazu w terminie,
• •
  nie uzupełnił brakujących danych w wykazie,
• •
  nie dokonał korekty danych pomimo wezwania,
• •
  wprowadził niezgodne ze stanem faktycznym dane do wykazu,
• •
  nie przeprowadza systematycznego szacowania ryzyka wystąpienia incydentu i nie zarządza tym ryzykiem,
• •
  nie wdrożył SZBI,
• •
  nie wyznaczył osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami KSC,
• •
  nie przeprowadził audytu w terminie,
• •
  uniemożliwia wykonywanie kontroli,
• •
  uniemożliwia lub utrudnia pracę urzędnikowi monitorującemu,
• •
  nie przekazuje na żądanie organu właściwego ds. cyberbezpieczeństwa informacji i dokumentów niezbędnych do wykonywania obowiązków z zakresu nadzoru i kontroli,
• •
  nie wykonał w wyznaczonym terminie zaleceń pokontrolnych,
• •
  w przypadku decyzji (wydanej dostawcy wysokiego ryzyka) nie wycofał na sprzętu lub oprogramowania,
• •
  nie przekazał informacji pomimo wniosku o wycofanych typach produktów ICT, rodzajach usług ICT i konkretnych procesach ICT,
• •
  nie wdrożył w terminie określonym w poleceniu zabezpieczającym określonego zachowania,
• •
  uniemożliwia wykonywanie kontroli,
• •
  uniemożliwia lub utrudnia pracę urzędnikowi monitorującemu,
• •
  nie przekazuje na żądanie organu właściwego ds. cyberbezpieczeństwa informacji i dokumentów niezbędnych do wykonywania obowiązków z zakresu nadzoru i kontroli,
• •
  nie wykonał w wyznaczonym terminie zaleceń pokontrolnych,
• •
  w przypadku decyzji (wydanej dostawcy wysokiego ryzyka) nie wycofał na sprzętu lub oprogramowania,
• •
  nie przekazał informacji pomimo wniosku o wycofanych typach produktów ICT, rodzajach usług ICT i konkretnych procesach ICT,
• •
  nie wdrożył w terminie określonym w poleceniu zabezpieczającym określonego zachowania,
• •
  nie współpracuje podczas obsługi incydentu poważnego lub krytycznego z właściwym CSIRT,
• •
  nie usunął podatności po wezwaniu przez właściwy CSIRT,
• •
  nie powołał wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo lub nie zawarł umowy z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa,
• •
  nie korzysta z systemu teleinformatycznego na podstawie porozumienia zawartego z ministrem.

Karze pieniężnej może podlegać kierownik podmiotu kluczowego lub podmiotu ważnego, który:

• •
  nie wykonuje co najmniej jednego z obowiązków dotyczących wykazu,
• •
  nie wykonuje co najmniej jednego z obowiązków dotyczących SZBI,
• •
  nie przeszedł raz do roku obowiązkowego szkolenia z zakresu cyberbezpieczeństwa,
• •
  nie dopilnował, aby osoba realizująca zadania z zakresu cyberbezpieczeństwa przed rozpoczęciem ich wykonywania przedstawiła zaświadczenie o niekaralności za przestępstwa przeciwko ochronie informacji,
• •
  nie wyznaczył co najmniej dwóch osób do kontaktu z podmiotami KSC,
• •
  nie zapewnił użytkownikowi możliwości zgłoszenia cyberzagrożenia,
• •
  Nie wykonuje co najmniej jednego z obowiązków dotyczących postępowania z dokumentacją,
• •
  nie wykonuje co najmniej jednego z obowiązków dotyczących obsługi incydentów,
• •
  przekazał sprawozdanie końcowe, niezawierające określonych elementów,
• •
  nie wykonuje obowiązku dotyczącego sprawozdań,
• •
  nie wykonuje obowiązku dotyczącego wewnętrznych struktur,
• •
  nie wykonuje co najmniej jednego z obowiązków dotyczących audytu.

Głównymi kryteriami analizy przed nałożeniem kary pieniężnej jest waga naruszenia i znaczenie naruszonych przepisów ustawy, czas trwania naruszenia, wcześniejsze poważne naruszenia ze strony danego podmiotu

oraz

wysokość przychodu uzyskanego z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary pieniężnej , gdzie dla podmiotu prywatnego głównym kryterium jest wysokość przychodu, dla podmiotów publicznych możliwości finansowe oparte o m.in. środki budżetowe, a dla kierownika podmiotu jego możliwości finansowe.

Tak, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot albo kierownik podmiotu zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę organ może odstąpić od nałożenia kary.

Co do zasady tak, ale tylko na zasadach określonych w Kodeksie Postępowania Administracyjnego, w szczególności gdy postępowanie stało się bezprzedmiotowe.

Elementami poważnego naruszenia jest m.in.:

• •
  powtarzające się naruszenie,
• •
  niezgłoszenie lub nieobsłużenie incydentów poważnych,
• •
  nieusunięcie uchybień zgodnie z wiążącymi nakazami organów właściwych do spraw cyberbezpieczeństwa,
• •
  utrudnianie prowadzenia audytów lub działań monitorujących nakazanych przez organ właściwy do spraw cyberbezpieczeństwa po stwierdzeniu naruszenia,
• •
  dostarczanie nieprawdziwych lub rażąco niedokładnych informacji w odniesieniu do środków zarządzania ryzykiem w cyberbezpieczeństwie lub obowiązków zgłaszania incydentów poważnych.