Rozdział 15. Przepisy o karach pieniężnych dla podmiotów krytycznych - Ustawa o zarządzaniu kryzysowym

Art. 6zzr. Kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy

1.

Karze pieniężnej podlega podmiot krytyczny, który:

1)

nie przeprowadza oceny ryzyka, o której mowa w art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 1;

2)

nie wdraża rozwiązań organizacyjno-technicznych, o których mowa w art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 2;

3)

nie opracowuje lub nie aktualizuje dokumentacji, o której mowa w art. 6zu opracowanie i aktualizacja dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1;

4)

nie wykonuje obowiązku, o którym mowa w art. 6zv obowiązki podmiotu krytycznego w zakresie zarządzania incydentem ust. 1 pkt 1, w zakresie obsługi incydentu istotnego;

5)

nie wykonuje obowiązku, o którym mowa w art. 6zv obowiązki podmiotu krytycznego w zakresie zarządzania incydentem ust. 1 pkt 4;

6)

nie przeprowadza audytu;

7)

nie wyznacza pełnomocnika bezpieczeństwa usługi kluczowej lub zastępcy pełnomocnika bezpieczeństwa usługi kluczowej, o których mowa w art. 6zzd pełnomocnik bezpieczeństwa usługi kluczowej i zastępcę pełnomocnika ust. 1;

8)

uniemożliwia lub utrudnia przeprowadzanie kontroli, o której mowa w art. 6zzi nadzór nad podmiotami krytycznymi ust. 2 pkt 1;

9)

nie wykonuje w wyznaczonym terminie zaleceń pokontrolnych, o których mowa w art. 6zzn zalecenia pokontrolne ust. 1;

10)

nie wdraża rozwiązań dotyczących ochrony infrastruktury krytycznej, o których mowa w art. 6ze wymiana informacji dotyczących realizacji czynności w zakresie potencjalnej infrastruktury krytycznej ust. 1 pkt 2, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej;

11)

nie opracowuje dokumentacji ochrony infrastruktury krytycznej, o której mowa w art. 6zf dokumentacja ochrony infrastruktury krytycznej ust. 1, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej.

2.

Wysokość kary pieniężnej, o której mowa w ust. 1:

1)

pkt 1, wynosi do 100 000 zł;

2)

pkt 2, wynosi do 150 000 zł;

3)

pkt 3, wynosi do 50 000 zł;

4)

pkt 4, wynosi do 20 000 zł za każdy stwierdzony przypadek zaniechania obsługi incydentu istotnego;

5)

pkt 5, wynosi do 25 000 zł za każdy stwierdzony przypadek niezgłoszenia incydentu istotnego;

6)

pkt 6, wynosi do 200 000 zł;

7)

pkt 7, wynosi do 15 000 zł;

8)

pkt 8, wynosi do 50 000 zł;

9)

pkt 9, wynosi do 200 000 zł;

10)

pkt 10, wynosi do 150 000 zł;

11)

pkt 11, wynosi do 50 000 zł.

3.

Wysokość kary pieniężnej, o której mowa w ust. 1:

1)

pkt 4, 5 i 7, nie może być mniejsza niż 2 000 zł;

2)

pkt 3, 8 i 11, nie może być mniejsza niż 5 000 zł;

3)

pkt 1, 2, 6, 9 i 10, nie może być mniejsza niż 15 000 zł.

Art. 6zzs. Tryb nakładania kar pieniężnych na podmiot krytyczny i przeznaczenie wpływów z tych kar

1.

Karę pieniężną, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, nakłada, w drodze decyzji, organ do spraw podmiotów krytycznych.

2.

Organ do spraw podmiotów krytycznych może decyzji, o której mowa w ust. 1, nadać rygor natychmiastowej wykonalności w całości albo w części, jeżeli wymaga tego ochrona bezpieczeństwa lub porządku publicznego oraz zagrożenie wywołaniem poważnych utrudnień w świadczeniu usług kluczowych.

3.

Wpływy z tytułu kar pieniężnych, o których mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, stanowią:

1)

w 70 % dochód budżetu państwa;

2)

w 30 % przychód Funduszu Cyberbezpieczeństwa, o którym mowa w art. 2 ustawy z dnia 2 grudnia 2021 r. o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa (Dz. U. z 2024 r. poz. 1662, z 2025 r. poz. 1017 oraz z 2026 r. poz. 252 i 815).

Art. 6zzt. Kara pieniężna za naruszenie przepisów ustawy o krajowym systemie cyberbez[pieczeństwa

1.

W przypadku naruszenia przepisów ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa przez podmiot krytyczny będący jednocześnie podmiotem kluczowym w rozumieniu przepisów tej ustawy karę pieniężną na ten podmiot nakłada organ właściwy do spraw cyberbezpieczeństwa, o którym mowa w art. 41 tej ustawy.

2.

Do ustalenia wysokości kary pieniężnej w przypadku, o którym mowa w ust. 1, stosuje się przepisy ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

3.

Organ właściwy do spraw cyberbezpieczeństwa, o którym mowa w art. 41 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, niezwłocznie informuje organ do spraw podmiotów krytycznych sprawujący nadzór nad podmiotem, o którym mowa w ust. 1, o:

1)

wszczęciu wobec tego podmiotu postępowania w sprawie nałożenia kary pieniężnej;

2)

naruszeniu dokonanym przez ten podmiot wraz z kwalifikacją prawną;

3)

wysokości nałożonej na ten podmiot kary pieniężnej lub odstąpieniu od jej nałożenia.

4.

Organ do spraw podmiotów krytycznych nie wszczyna postępowania w sprawie nałożenia kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, w przypadku, o którym mowa w ust. 1, jeżeli postępowanie w przedmiocie naruszenia prowadzi organ właściwy do spraw cyberbezpieczeństwa, o którym mowa w art. 41 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

Art. 6zzu. Okoliczności uwzględniane przy nakładaniu kary pieniężnej na podmiot krytyczny

1.

Organ do spraw podmiotów krytycznych, podejmując decyzję o nałożeniu kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, i ustalając jej wysokość, bierze pod uwagę:

1)

wagę naruszenia i znaczenie naruszonych przepisów ustawy;

2)

czas trwania naruszenia;

3)

wcześniejsze naruszenia ze strony danego podmiotu krytycznego;

4)

spowodowane szkody majątkowe i niemajątkowe, w tym wpływ na użytkowników usługi kluczowej oraz na inne usługi kluczowe;

5)

środki zastosowane przez podmiot krytyczny w celu ograniczenia szkód, o których mowa w pkt 4;

6)

umyślny lub nieumyślny charakter czynu ze strony podmiotu krytycznego;

7)

stopień współpracy podmiotu krytycznego z organem do spraw podmiotów krytycznych.

2.

Podejmując decyzję, o której mowa w ust. 1, organ do spraw podmiotów krytycznych uwzględnia również wysokość przychodu uzyskanego z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, lub możliwości finansowe podmiotu krytycznego będącego podmiotem publicznym.

3.

W związku z toczącym się postępowaniem w sprawie nałożenia kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, organ do spraw podmiotów krytycznych może żądać od podmiotu krytycznego przekazania we wskazanym terminie, niedłuższym niż 14 dni od dnia otrzymania żądania, informacji niezbędnych do określenia wymiaru kary pieniężnej.

4.

W przypadku nieprzekazania informacji, o których mowa w ust. 3, lub przekazania informacji uniemożliwiających ustalenie podstawy wymiaru kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, organ do spraw podmiotów krytycznych ustala podstawę wymiaru kary pieniężnej w sposób szacunkowy, uwzględniając wielkość podmiotu krytycznego, specyfikę działalności tego podmiotu oraz ogólnodostępne dane finansowe.

5.

Karę pieniężną, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, uiszcza się w terminie 14 dni od dnia, w którym decyzja o jej wymierzeniu stała się ostateczna, lub od dnia doręczenia decyzji z rygorem natychmiastowej wykonalności, na odrębny rachunek bankowy wskazany przez organ do spraw podmiotów krytycznych w decyzji o wymierzeniu kary pieniężnej.

6.

Kara pieniężna, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, nieuiszczona w terminie wraz z odsetkami podlega ściągnięciu w trybie określonym w przepisach o postępowaniu egzekucyjnym w administracji.

7.

Organ do spraw podmiotów krytycznych może odstąpić od nałożenia kary pieniężnej, o której mowa w art. 6zzr kary pieniężne nakładane na podmiot krytyczny za naruszenie przepisów ustawy ust. 1, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot krytyczny zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę.

Art. 6zzv. Odesłanie do przepisów ustawy – Kodeks postępowania administracyjnego

W zakresie nieuregulowanym w niniejszym rozdziale stosuje się odpowiednio przepisy działu IVa ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691).

Art. 6zzw. Wyłączenie stosowania niektórych doprzepisów ustawy podmiotów krytycznych z sektora bankowości i infrastruktury rynków finansowych

Do podmiotów krytycznych z sektora bankowości i infrastruktury rynków finansowych nie stosuje się przepisów rozdziałów 11–15, z wyjątkiem art. 6zt zintegrowany system zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1 pkt 1, pkt 2 lit. b–d, f, h oraz i, pkt 3 oraz ust. 2–11, art. 6zu opracowanie i aktualizacja dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej ust. 1, ust. 2 pkt 3, 4 i 6 oraz ust. 3–6, art. 6zx obowiązki informacyjne podmiotu krytycznego, art. 6zy obowiązek informowania użytkowników świadczonej usługi kluczowej o zagrożeniach dla świadczenia tej usługi, art. 6zzb obowiązek zapewnienia niezakłóconego świadczenia usługi kluczowej oraz art. 6zzd pełnomocnik bezpieczeństwa usługi kluczowej i zastępcę pełnomocnika.

Art. 6zzx. Wyłączenie stosowania niektórych przepisów ustawy do podmiotów krytycznych z sektora infrastruktury cyfrowej

Do podmiotów krytycznych z sektora infrastruktury cyfrowej nie stosuje się przepisów rozdziałów 11–15.

Dz.U.2026.0.574 t.j. - Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym