W przypadku niepowołania administratora bezpieczeństwa informacji zadania określone w art. 36a utracił moc ust. 2 pkt 1, z wyłączeniem obowiązku sporządzania sprawozdania, o którym mowa w art. 36a utracił moc ust. 2 pkt 1 lit. a, wykonuje administrator danych.