1.
Karze pieniężnej podlega podmiot krytyczny, który:
1)
nie przeprowadza oceny ryzyka, o której mowa w art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 1;
2)
nie wdraża rozwiązań organizacyjno-technicznych, o których mowa w art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 2;
3)
nie opracowuje lub nie aktualizuje dokumentacji, o której mowa w art. 6zu opracowanie i aktualizacja dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1;
4)
nie wykonuje obowiązku, o którym mowa w art. 6zv obowiązki podmiotu krytycznego w zakresie zarządzania incydentem ust. 1 pkt 1, w zakresie obsługi incydentu istotnego;
5)
nie wykonuje obowiązku, o którym mowa w art. 6zv obowiązki podmiotu krytycznego w zakresie zarządzania incydentem ust. 1 pkt 4;
6)
nie przeprowadza audytu;
7)
nie wyznacza pełnomocnika bezpieczeństwa usługi kluczowej lub zastępcy pełnomocnika bezpieczeństwa usługi kluczowej, o których mowa w art. 6zzd pełnomocnik bezpieczeństwa usługi kluczowej i zastępcę pełnomocnika ust. 1;
8)
uniemożliwia lub utrudnia przeprowadzanie kontroli, o której mowa w art. 6zzi nadzór nad podmiotami krytycznymi ust. 2 pkt 1;
9)
nie wykonuje w wyznaczonym terminie zaleceń pokontrolnych, o których mowa w art. 6zzn zalecenia pokontrolne ust. 1;
10)
nie wdraża rozwiązań dotyczących ochrony infrastruktury krytycznej, o których mowa w art. 6ze wymiana informacji dotyczących realizacji czynności w zakresie potencjalnej infrastruktury krytycznej ust. 1 pkt 2, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej;
11)
nie opracowuje dokumentacji ochrony infrastruktury krytycznej, o której mowa w art. 6zf dokumentacja ochrony infrastruktury krytycznej ust. 1, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej.
2.
Wysokość kary pieniężnej, o której mowa w ust. 1:
1)
pkt 1, wynosi do 100 000 zł;
2)
pkt 2, wynosi do 150 000 zł;
3)
pkt 3, wynosi do 50 000 zł;
4)
pkt 4, wynosi do 20 000 zł za każdy stwierdzony przypadek zaniechania obsługi incydentu istotnego;
5)
pkt 5, wynosi do 25 000 zł za każdy stwierdzony przypadek niezgłoszenia incydentu istotnego;
6)
pkt 6, wynosi do 200 000 zł;
7)
pkt 7, wynosi do 15 000 zł;
8)
pkt 8, wynosi do 50 000 zł;
9)
pkt 9, wynosi do 200 000 zł;
10)
pkt 10, wynosi do 150 000 zł;
11)
pkt 11, wynosi do 50 000 zł.
3.
Wysokość kary pieniężnej, o której mowa w ust. 1:
1)
pkt 4, 5 i 7, nie może być mniejsza niż 2 000 zł;
2)
pkt 3, 8 i 11, nie może być mniejsza niż 5 000 zł;
3)
pkt 1, 2, 6, 9 i 10, nie może być mniejsza niż 15 000 zł.
