Rozdział 4. Obowiązki kierownika podmiotu

Wskazano zadania kierownika podmiotu kluczowego lub podmiotu ważnego:

• 1)
  podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie – co oznacza, że kierownik odpowiada za system zarządzania bezpieczeństwem informacji i jego rozwój zgodnie z cyklem Deminga;
• 2)
  planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa – mając na uwadze, że cyberbezpieczeństwo wymaga nakładów i nie powinny one być pomijane w budżetach podmiotów kluczowych i podmiotów ważnych; z drugiej strony muszą być to adekwatne środki, czyli takie, które są też dostosowane do możliwości podmiotu;
• 3)
  przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie – na przykład poprzez przyjęcie odpowiednich polityk, przydział obowiązków, wydanie upoważnień;
• 4)
  zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie. System zarządzania bezpieczeństwem informacji wymaga, aby każdy pracownik organizacji miał przypisaną role i zadania do wykonania celem zachowania bezpieczeństwa informacji;
• 5)
  zapewnia zgodność działania tego podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu – tu chodzi o zapewnienie stosowalności w podmiocie nie tylko przepisów prawa powszechnie obowiązującego, ale również własnych regulacji, aby nie były pomijane w codziennej pracy.

Jest to członek zarządu lub innego organu zarządzającego, a jeżeli organ jest wieloosobowy – członków tego organu, z wyłączeniem pełnomocników ustanowionych przez jednostkę.

W przypadku spółki jawnej i spółki cywilnej za kierownika jednostki uważa się wspólników prowadzących sprawy spółki.

W przypadku spółki partnerskiej – wspólnicy prowadzący sprawy spółki albo zarząd.

W przypadku spółki komandytowej i spółki komandytowo-akcyjnej – komplementariusze prowadzący sprawy spółki.

W przypadku osoby fizycznej prowadzącej działalność gospodarczą za kierownika jednostki uważa się tę osobę.

Kierownikiem jest również likwidator, syndyk, zarządca ustanowiony w postępowaniu restrukturyzacyjnym oraz zarządca sukcesyjny oraz osoba, która dokonała zgłoszenia do naczelnika urzędu skarbowego o kontynuowaniu prowadzenia przedsiębiorstwa.

W przypadku podmiotu publicznego kierownikiem podmiotu jest kierownik jednostki sektora finansów publicznych.

Osoby kierujące podmiotami kluczowymi lub podmiotami ważnymi muszą również raz na rok przejść szkolenie z zakresu wykonywania zadań z zakresu cyberbezpieczeństwa. Dotyczy to zadań związanych z opracowaniem systemu zarządzania bezpieczeństwem informacji, zgłaszania incydentów, dokumentowania SZBI. Gwarantuje to, że będą posiadać aktualną wiedzę merytoryczną potrzebną do podejmowania decyzji w tym obszarze.

Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność za:

• •
  dokonanie aktualnego wpisu do wykazu podmiotów kluczowych lub podmiotów ważnych,
• •
  wdrożenie systemu zarządzania bezpieczeństwem informacji w podmiocie,
• •
  realizację swoich zadań,
• •
  weryfikację personelu realizującego zadania z zakresu systemu zarządzania bezpieczeństwem informacji i zgłaszania incydentów,
• •
  przeszkolenie siebie z realizacji obowiązków,
• •
  wyznaczenie osób kontaktowych,
• •
  zapewnienie użytkownikowi usługi dostępu do wiedzy z zakresu cyberbezpieczeństwa,
• •
  zapewnienie użytkownikowi usługi możliwości zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą,
• •
  korzystanie z systemu S46,
• •
  zgłaszanie incydentów,
• •
  przeprowadzanie audytów.

Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą.

Jeżeli kierownikiem podmiotu kluczowego lub podmiotu ważnego jest organ wieloosobowy i nie została wskazana osoba odpowiedzialna to odpowiedzialność ponoszą wszyscy członkowie tego organu. Podmiot może, w ramach organu wieloosobowego wyznaczyć więcej niż jedną osobę ponoszącą odpowiedzialność za realizację zadań wynikających z ustawy.

Kierownik jednostki budżetowej jest kierownikiem podmiotu kluczowego lub podmiotu ważnego i odpowiada za realizację obowiązków z zakresu cyberbezpieczeństwa.

Ustawa o KSC w art. 16e wskazuje, że podmiot publiczny wskazany w tym przepisie może wyznaczyć jednostkę odpowiedzialną za realizację obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8c-8f, art. 9-12b lub art. 15. W takim zakresie jednostka wyznaczona przejmuje realizacje tych zadań. Jest to więc jej zakres odpowiedzialności.

Jednocześnie ustawa o KSC wskazuje wyraźnie zakres obowiązków podmiotów publicznych w relacjach z ww. jednostką. Należy do nich obowiązek współpracy, np. w zakresie informacji o incydentach, udziału w szkoleniach, itp.

Brak realizacji tych obowiązków przez jednostki będzie podlegał ocenie w trakcie działań kontrolnych przez organy właściwe do spraw cyberbezpieczeństwa. Brak ich realizacji może być przedmiotem wystąpienia także do innych instytucji odpowiedzialnych za działanie tej jednostki.

Kierownik podmiotu odpowiada za realizację zadań w zakresie weryfikacji personelu, natomiast może to zadanie powierzyć innej osobie. Osoba, której powierzono te zadanie nie staje się kierownikiem podmiotu.