Istotne nowości w systemie cyberbezpieczeństwa: samoidentyfikacja i samorejestracja w wykazie podmiotów kluczowych i podmiotów ważnych

Istotne nowości w systemie cyberbezpieczeństwa: samoidentyfikacja i samorejestracja w wykazie podmiotów kluczowych i podmiotów ważnych

utworzone przez | 8 września, 2026 | ! POLECANE !, COMPLIANCE, IT LAW

Czytaj: 11 min

​Dla wielu przedsiębiorców, zwłaszcza średnich i dużych, 3 października 2026 r. to dzień, do którego powinni oni samodzielnie ocenić, czy spełniają wymagania zobowiązujące do wpisu do wykazu podmiotów kluczowych i ważnych. Istotne jest, czy przedsiębiorca prowadzi działalność objętą ustawą i rozmiar tej działalności, a w konsekwencji jego status jako podmiotu kluczowego albo ważnego.

Współpraca redakcyjna: dr Marcin Balicki, Counsel oraz Jacek Budzik, Partner.

Co zatem przedsiębiorca powinien ustalić przed 3 października 2026 roku?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa („UKSC”), wdrażająca dyrektywę NIS 2, weszła w życie 3 kwietnia 2026 r. Nowe przepisy rozszerzyły katalog sektorów objętych obowiązkami wynikającymi z UKSC, wprowadziły kategorie podmiotów kluczowych i ważnych oraz zobowiązały część z tych podmiotów do złożenia wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych („Wykaz”).

Przed wejściem w życie znowelizowanych przepisów wpis do istniejącego wcześniej wykazu dokonywany był na podstawie decyzji administracyjnej. [1] W świetle obecnie obowiązujących, znowelizowanych przepisów, przedsiębiorca, który nie podlega wpisowi z urzędu, a spełnia przesłanki określone w UKSC, powinien do 3 października 2026 r. samodzielnie złożyć wniosek o wpis do Wykazu, wypełniając formularz dostępny w S46 – systemie teleinformatycznym przeznaczonym do zgłaszania i obsługi incydentów cyberbezpieczeństwa. [2]

Podmiot kluczowy czy ważny? Co do zasady przedsiębiorca ustala to sam

W pewnym uproszczeniu – podmiotami kluczowymi są przede wszystkim duże podmioty z sektorów wskazanych w załączniku nr 1 do UKSC, zaś podmiotami ważnymi – średnie podmioty z tych sektorów oraz średnie i duże podmioty z sektorów wskazanych w załączniku nr 2 do UKSC. Przepisy przewidują jednak liczne reguły szczególne. Niektóre rodzaje podmiotów są kluczowe niezależnie od wielkości, a w sektorze komunikacji elektronicznej i usług zaufania stosuje się odrębne progi i kategorie.

Rozróżnienie ma znaczenie przede wszystkim dla nadzoru i audytu. Podmioty kluczowe podlegają szerszemu nadzorowi oraz cyklicznemu audytowi bezpieczeństwa prowadzonemu przez akredytowaną jednostkę oceniającą zgodność lub co najmniej dwóch certyfikowanych audytorów spełniających wymagania określone w UKSC albo CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego). Wobec podmiotów ważnych nadzór ma co do zasady charakter następczy, a audyt może zostać nakazany przez organ właściwy do spraw cyberbezpieczeństwa. [3]

3 października 2026 roku – termin na samorejestrację

Termin 3 października 2026 r. dotyczy podmiotów, które w dniu wejścia w życie nowelizacji – 3 kwietnia 2026 r. – spełniały ustawowe przesłanki uznania za podmiot kluczowy lub ważny podlegający obowiązkowi samoidentyfikacji i samorejestracji. Podmiot, który zaczął spełniać te kryteria później, choćby wskutek zwiększenia zatrudnienia (np. zmiana statusu przedsiębiorcy z małego na średniego), albo rozpoczęcia działalności w sektorze objętym obowiązkami wynikającymi z UKSC, ma na dokonanie samorejestracji sześć miesięcy od dnia ich spełnienia. [4]

Przed samorejestracją – samoidentyfikacja

Wypełnienie formularza i złożenie wniosku (samorejestracja) powinno stanowić wynik wcześniej przeprowadzonej samoidentyfikacji, a nie jej początek. Przedsiębiorca powinien najpierw ustalić, czy odpowiada jednemu z rodzajów podmiotów wymienionych w art. 5 albo w załączniku nr 1 lub 2 do UKSC.

Przesłanki tej kwalifikacji nie są jednolite. W przypadku wielu przedsiębiorców znaczenie mają łącznie rodzaj faktycznie prowadzonej działalności oraz wielkość przedsiębiorstwa. W odniesieniu do niektórych podmiotów decydują jednak inne cechy, takie jak posiadanie określonego statusu prawnego – np. samorządowej jednostki budżetowej lub samorządowej instytucji kultury.

Rodzaj podmiotu i działalność faktycznie prowadzona przez przedsiębiorcę

Załącznik nr 1 do UKSC obejmuje rodzaje podmiotów należące między innymi do sektorów energii, transportu, bankowości, ochrony zdrowia, zaopatrzenia w wodę, infrastruktury cyfrowej i zarządzania usługami ICT. W załączniku nr 2 do USKC wymieniono natomiast między innymi podmioty zajmujące się gospodarowaniem odpadami, chemikaliami, żywnością, określonymi rodzajami produkcji, usługami cyfrowymi oraz badaniami naukowymi. Nie wystarczy jednak stwierdzenie, że przedsiębiorca działa w szeroko rozumianej branży objętej przepisami. Należy ustalić, czy odpowiada konkretnemu rodzajowi podmiotu wskazanemu w danym załączniku UKSC.

Rodzaj podmiotu może być określony przez odwołanie do wykonywanej działalności, świadczonej usługi albo statusu wynikającego z przepisów sektorowych. Przykładowo, w załącznikach wymieniono przedsiębiorców prowadzących określone rodzaje działalności produkcyjnej, ale również operatorów pocztowych, podmioty lecznicze i dostawców ściśle określonych usług cyfrowych. Analizy nie należy więc sprowadzać wyłącznie do ustalenia, jaką usługę świadczy przedsiębiorca.

Jeżeli kwalifikacja zależy od prowadzonej działalności, decydujący jest jej rzeczywisty zakres. Ustalenia powinny opierać się na materiałach źródłowych określających sposób prowadzenia działalności, takich jak opis modelu działalności lub procesów produkcyjnych, kody PKD ujawnione we właściwych rejestrach, koncesje, zezwolenia, wpisy do rejestrów działalności regulowanej oraz zawarte umowy. Dokumenty te stanowią istotne źródła informacji, ale żaden z nich nie zastępuje oceny stanu faktycznego. Samo ujawnienie odpowiedniego kodu PKD nie przesądza o podleganiu ustawie, podobnie jak brak takiego kodu nie wyłącza jej stosowania, jeżeli określona działalność jest rzeczywiście prowadzona. [5]

Co do zasady działalność wskazana w załączniku nie musi być przeważającą działalnością przedsiębiorcy. Przykładowo, jeżeli spółka zajmująca się przede wszystkim sprzedażą materiałów budowlanych równolegle wytwarza z substancji lub mieszanin gotowe wyroby, powinna zbadać, czy odpowiada jednemu z rodzajów podmiotów wymienionych w sektorze produkcji, wytwarzania i dystrybucji chemikaliów. Analizy nie kończy okoliczność, że działalność produkcyjna nie została wskazana jako działalność przeważająca.

Niektóre pozycje załączników zawierają jednak szczególne ograniczenia. W sektorze gospodarowania odpadami objęte ustawą są przedsiębiorstwa, dla których wskazane w załączniku usługi stanowią podstawową działalność gospodarczą. W odniesieniu do zaopatrzenia w wodę oraz odprowadzania lub oczyszczania ścieków znaczenie ma natomiast to, czy działalność ta stanowi istotną część ogólnej działalności podmiotu. Zakład produkcyjny nie staje się zatem podmiotem sektora gospodarowania odpadami albo ścieków tylko dlatego, że pomocniczo gospodaruje odpadami lub oczyszcza ścieki powstające we własnym procesie technologicznym.

W przypadku rodzajów podmiotów zdefiniowanych przez świadczenie określonej usługi trzeba ponadto odróżnić jej dostawcę od odbiorcy. Przykładowo, samo korzystanie przez przedsiębiorcę z chmury obliczeniowej nie czyni go dostawcą usługi chmurowej. Taka kwalifikacja może dotyczyć podmiotu, który sam zapewnia użytkownikom bezpośredni dostęp na żądanie do skalowalnej i elastycznej puli zasobów obliczeniowych. [5]

Analiza powinna zatem odpowiedzieć co najmniej na następujące pytania:

  • czy badana osoba fizyczna, osoba prawna albo jednostka organizacyjna odpowiada jednemu z rodzajów podmiotów wskazanych w art. 5 albo w załączniku nr 1 lub 2 do ustawy o KSC;
  • do którego sektora, podsektora i rodzaju podmiotu należy ją przypisać oraz z jakich okoliczności faktycznych i dokumentów wynika ta kwalifikacja;
  • który podmiot w grupie przedsiębiorstw rzeczywiście prowadzi daną działalność, wykonuje określoną funkcję albo świadczy daną usługę;
  • czy spełnione są właściwe przesłanki terytorialne, a w przypadku niektórych dostawców usług cyfrowych – gdzie znajduje się ich główne miejsce prowadzenia działalności;
  • czy właściwa pozycja załącznika wymaga, aby działalność miała charakter podstawowy lub stanowiła istotną część działalności podmiotu, oraz czy dane rejestrowe odpowiadają stanowi faktycznemu.

Wielkość przedsiębiorstwa – sama liczba pracowników nie jest decydująca

Sama wielkość przedsiębiorstwa nie przesądza o podleganiu obowiązkom wynikającym z przepisów ustawy o KSC. Może ona natomiast zdecydować, że podmiot np. należący do sektora wskazanego w ustawie o KSC jest podmiotem kluczowym albo ważnym. Przykładowo, przedsiębiorca prowadzący działalność polegającą na produkcji urządzeń elektrycznych zostanie objęty obowiązkami z ustawy o KSC, jeżeli jest przedsiębiorstwem co najmniej średnim – wówczas co do zasady będzie podmiotem ważnym. Dlatego wielkość przedsiębiorcy bada się dopiero po ustaleniu, że podmiot odpowiada rodzajowi wskazanemu w ustawie o KSC. [6]

Liczba pracowników nie ogranicza się wyłącznie do pracowników etatowych. Zgodnie z FAQ Ministerstwa Cyfryzacji uwzględnia się także między innymi osoby współpracujące na podstawie umów cywilnoprawnych, właścicieli-kierowników oraz aktywnych wspólników czerpiących korzyści finansowe z przedsiębiorstwa. Dane finansowe powinny wynikać z właściwego sprawozdania finansowego. [6]

Szczególnej uwagi wymagają grupy kapitałowe. Co do zasady przy badaniu statusu mikro, małych i średnich przedsiębiorstw, do oceny statusu danego podmiotu bierze się pod uwagę dane finansowe i liczbę pracowników przedsiębiorstw partnerskich i powiązanych. Ministerstwo wskazało jednak w FAQ, że w określonych sytuacjach – gdy systemy informacyjne są niezależne albo podmioty nie świadczą tej samej usługi objętej UKSC – ich dane nie powinny być uwzględniane przy kwalifikacji. Wniosek ten trzeba należycie udokumentować. [6]

Grupa przedsiębiorstw nie składa jednego zbiorczego wniosku. Każda spółka odrębnie bada swoją działalność i – jeżeli sama spełnia przesłanki – podlega odrębnemu wpisowi do Wykazu. Centralizacja IT, cyberbezpieczeństwa lub finansów może ułatwić zebranie danych, lecz nie zmienia tej zasady.

Formularz wymaga podania danych, które z reguły nie są zgromadzone w jednym miejscu

Po zakończeniu samoidentyfikacji trzeba zebrać dane wymagane we wniosku. Część pochodzi z publicznie dostępnych rejestrów, lecz pozostałe wymagają współpracy działu prawnego, finansowego, IT i bezpieczeństwa.

Formularz obejmuje między innymi:

  • firmę, sektor, podsektor i rodzaj podmiotu, adresy, NIP, REGON oraz numery właściwych rejestrów działalności regulowanej;
  • zakresy publicznych adresów IP i domeny internetowe używane w sposób ciągły;
  • dane osób do kontaktu z krajowym systemem cyberbezpieczeństwa oraz dane administratora konta podmiotu w S46;
  • kategorię wielkości przedsiębiorstwa oraz – w przypadkach wskazanych w UKSC – informacje o działalności w innych państwach UE, głównym miejscu prowadzenia działalności oraz przedstawicielu i dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa. [7]

Szczególnej uwagi wymagają domeny i adresy IP. Ministerstwo Cyfryzacji wyjaśniło, że należy wskazać wszystkie domeny główne aktywnie i stale wykorzystywane przez podmiot, lecz nie każdą subdomenę lub adres techniczny. Ustalenie zakresów publicznych adresów IP może wymagać sprawdzenia umów z dostawcami hostingu, chmury lub usług telekomunikacyjnych. [7]

Jeżeli wniosek składa pełnomocnik, dołącza pełnomocnictwo w postaci elektronicznej. Warto wcześniej zweryfikować reprezentację, ponieważ wniosek zawiera oświadczenie kierownika podmiotu składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie. [7]

KONTROLA PRZED WYSŁANIEM Wypełnienie poszczególnych elementów formularza nie potwierdza prawidłowości kwalifikacji prawnej. Przed wysłaniem warto odrębnie sprawdzić podstawę wpisu, kategorię podmiotu, obliczenie wielkości, domeny i adresy IP, osoby kontaktowe, umocowanie składającego oraz zgodność danych z pakietem samoidentyfikacyjnym.

Wpis z urzędu nie uwalnia od obowiązków po stronie podmiotu

UKSC przewiduje odrębny tryb wpisu z urzędu. Obejmuje on przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i podmioty krytyczne, jak i dotychczasowych operatorów usług kluczowych.

Minister Cyfryzacji dokonuje wpisu na podstawie informacji pochodzących z rejestrów publicznych, bazy adresów elektronicznych oraz informacji otrzymanych od właściwych organów. Źródła te pozwalają ustalić przede wszystkim podstawowe dane identyfikacyjne i rejestrowe podmiotu, nie zawierają jednak wszystkich informacji wymaganych w Wykazie. Zazwyczaj nie wynikają z nich między innymi zakresy publicznych adresów IP, wykorzystywane domeny, dane osób do kontaktu i dane administratora konta w systemie S46, jak również kategoria wielkości przedsiębiorstwa.

Podmiot otrzymuje zawiadomienie o wpisie wraz z wezwaniem wskazującym dane już ujawnione w Wykazie, źródła ich pochodzenia oraz informacje wymagające uzupełnienia. Brakujące dane należy przekazać w ciągu sześciu miesięcy od doręczenia wezwania – nie od dnia dokonania wpisu ani wejścia nowelizacji w życie. Uzupełnienie następuje przez złożenie wniosku o zmianę istniejącego wpisu, a nie kolejnego wniosku o wpis. Podmiot powinien przy tej okazji zweryfikować prawidłowość ujawnionych informacji i wskazać również każdą działalność objętą UKSC, która została pominięta przy wpisie z urzędu. [8]

Wysłanie wniosku nie kończy wdrażania ustawowych obowiązków

Dane w Wykazie muszą pozostawać aktualne. Zmianę informacji objętych wnioskiem należy zgłosić w ciągu 14 dni od jej zaistnienia. Przedsiębiorca powinien więc wdrożyć mechanizmy stałego monitorowania i identyfikacji zmian (w szczególności w obszarze domen, publicznych adresów IP, osób kontaktowych, struktury grupy oraz profilu działalności), a także wyznaczyć osoby odpowiedzialne za dokonanie aktualizacji wpisu w Wykazie w przewidzianym ku temu terminie. [9]

Dla podmiotów spełniających przesłanki do uznania za podmiot kluczowy lub ważny kolejną ważną datą jest 3 kwietnia 2027 roku. Do tego dnia powinny one zakończyć wdrażanie obowiązków określonych w rozdziale 3 UKSC – w szczególności ustanowić i stosować system zarządzania bezpieczeństwem informacji, zapewnić obsługę i terminowe zgłaszanie incydentów w systemie S46 oraz odpowiednio zorganizować wykonywanie zadań z zakresu cyberbezpieczeństwa. Podmioty kluczowe mają następnie, co do zasady, czas do 3 kwietnia 2028 roku na przeprowadzenie pierwszego audytu bezpieczeństwa. Audyt służy ocenie zgodności systemu informacyjnego z wymaganiami UKSC. Zgodnie z wyjaśnieniami Ministerstwa audyt powinien obejmować cały system informacyjny wykorzystywany przez dany podmiot. Kopię raportu z audytu podmiot kluczowy przekazuje organowi właściwemu do spraw cyberbezpieczeństwa w terminie 3 dni roboczych od jego otrzymania, a kolejne audyty przeprowadza co najmniej raz na trzy lata. [9]

Dlatego po złożeniu wniosku powinny równolegle trwać co najmniej następujące prace:

  • szacowanie ryzyka oraz określenie zakresu systemu zarządzania bezpieczeństwem informacji;
  • weryfikacja aktywów i dostawców wpływających na świadczenie usługi;
  • przygotowanie zarządzania incydentami bezpieczeństwa, zgłaszania ich w systemie S46 i ciągłości działania;
  • przegląd bezpieczeństwa łańcucha dostaw, polityk i zabezpieczeń oraz szkolenia kierownictwa i personelu.

Oczekiwanie z wpisem do października 2026 r. nie przesuwa terminów realizacji pozostałych obowiązków. Są one liczone od spełnienia ustawowych przesłanek, a nie od dnia złożenia wniosku ani ujawnienia podmiotu w wykazie. Wpis ma charakter ewidencyjny – nie nadaje statusu podmiotu kluczowego lub ważnego. [10]

Październik ’26 jest także terminem dla kierownictwa podmiotu

Nowelizacja UKSC nakłada na kierownika podmiotu odpowiedzialność za wykonywanie ustawowych obowiązków, w tym za wpis i aktualizację danych w Wykazie. Gdy kierownikiem jest organ wieloosobowy i nie wskazano konkretnej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. Powierzenie zadań pracownikowi, dostawcy IT albo doradcy nie zwalnia kierownictwa z odpowiedzialności. [11]

Nie oznacza to, że zarząd powinien samodzielnie dokonywać obliczeń i wpisywać zakresy publicznych adresów IP do formularza. Powinien jednak wskazać osoby odpowiedzialne, zapoznać się z wnioskami z analizy, zapewnić finansowanie i nadzór oraz udokumentować udział w wymaganych szkoleniach. Pakiet samoidentyfikacyjny staje się w ten sposób także podstawą decyzji zarządczych.

UKSC przewiduje wysokie administracyjne kary pieniężne za naruszenie przepisów: dla podmiotu kluczowego do 10 mln euro albo 2% przychodów z działalności gospodarczej (stosuje się kwotę wyższą), a dla podmiotu ważnego do 7 mln euro albo 1,4% takich przychodów. Niezależnie od kary nałożonej na podmiot, odpowiedzialność może ponieść także jego kierownik. Kara dla kierownika może sięgać 300% jego wynagrodzenia, a w podmiocie publicznym – 100%. Niezłożenie wniosku o wpis do Wykazu w terminie również może stanowić podstawę do nałożenia kary. [11]

Warto podkreślić, że kary pieniężne będzie można co do zasady nałożyć dopiero po dwóch latach od wejścia nowelizacji w życie, czyli po 3 kwietnia 2028 r. Nie oznacza to jednak przesunięcia terminu samorejestracji do 3 października 2028 r. W przypadku podmiotów, które spełniały przesłanki uznania za podmiot kluczowy lub ważny już w dniu wejścia nowelizacji w życie, termin na złożenie wniosku nadal upływa 3 października 2026 r., a jego niedochowanie stanowi naruszenie przepisów. Po 3 kwietnia 2028 r. organ będzie mógł nałożyć karę za niezłożenie wniosku w ustawowym terminie. Późniejsze dokonanie wpisu nie usuwa samego uchybienia ani nie gwarantuje uniknięcia kary, chociaż może zostać uwzględnione przy ocenie wagi i czasu trwania naruszenia oraz ewentualnym odstąpieniu od jej nałożenia. [12]

Pakiet samoidentyfikacyjny

Przebieg samoidentyfikacji może mieć zasadnicze znaczenie podczas kontroli organu do spraw cyberbezpieczeństwa, reorganizacji przedsiębiorcy albo ponownej oceny statusu. Dlatego warto przygotować wewnętrzny „pakiet samoidentyfikacyjny”, czyli zestaw dokumentów potwierdzających należytą staranność w przeprowadzeniu samoidentyfikacji.

Pakiet samoidentyfikacyjny może obejmować:

  • ustalenie zakresu podmiotowego analizy – na przykład opis struktury organizacyjnej lub grupowej i wskazanie osoby fizycznej, osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej, która faktycznie prowadzi działalność objętą przepisami UKSC;
  • ustalenie zakresu przedmiotowego analizy – przyporządkowanie faktycznej działalności gospodarczej prowadzonej przez przedsiębiorcę do odpowiedniej pozycji załącznika nr 1 lub 2 UKSC z wykorzystaniem materiałów służących ustaleniu rzeczywistego zakresu i sposobu prowadzenia działalności, w szczególności kodów PKD ujawnionych we właściwych rejestrach, koncesji, zezwoleń, wpisów do rejestrów działalności regulowanej, a także zawartych umów;
  • analizę kryterium wielkości podmiotu – obejmującą w szczególności obliczenie liczby pracowników, obrotu i sumy bilansowej według stanu na dzień sporządzenia właściwego sprawozdania finansowego, ustalenie przedsiębiorstw partnerskich i powiązanych i – jeżeli może to wpływać na kwalifikację – ocenę wspólnego świadczenia usług i niezależności systemów informacyjnych;
  • wynik analizy – uzasadnienie kwalifikacji jako podmiotu kluczowego albo ważnego oraz listę danych zgłaszanych w Wykazie.

Pakiet nie powinien być jednorazowym opracowaniem odłożonym do archiwum. Status przedsiębiorstwa może zmienić się wskutek np. przekroczenia progów dotyczących liczby pracowników lub osiąganych przychodów, przejęcia spółki, rozpoczęcia nowej usługi albo zmiany współpracy w grupie. Warto go przeglądać co najmniej raz w roku oraz po każdej istotnej zmianie organizacyjnej lub biznesowej.

Jak przygotować się na termin 3 października 2026 roku?

Jeżeli samoidentyfikacja nie została jeszcze zakończona, przygotowania warto podzielić na kilka etapów.

  1. Rodzaj podmiotu i faktycznie wykonywana działalność. Analiza powinna objąć wszystkie spółki i jednostki faktycznie prowadzące działalność w sektorach mogących odpowiadać pozycjom w załącznikach nr 1 i 2, a nie tylko podmiot lub działalność wskazane w głównym kodzie PKD.
  2. Wielkość przedsiębiorstwa. Kolejny etap obejmuje zebranie aktualnych danych o personelu, obrocie i sumie bilansowej oraz o przedsiębiorstwach partnerskich i powiązanych. Ewentualna niezależność systemów lub odmienność usług wymaga odrębnego uzasadnienia.
  3. Kwalifikacja i jej uzasadnienie. Na podstawie zgromadzonych informacji można określić sektor, podsektor, rodzaj podmiotu i kategorię kluczową albo ważną. Wnioski wraz z krótkim uzasadnieniem powinny zostać przedstawione kierownictwu.
  4. Dane i umocowanie. Przed wysłaniem wniosku działy IT i bezpieczeństwa powinny potwierdzić domeny oraz zakresy publicznych adresów IP. Trzeba też sprawdzić dane rejestrowe, osoby kontaktowe, administratora konta podmiotu w systemie S46 i reprezentację, jeśli wniosek składa pełnomocnik.
  5. Wniosek, dokumentacja i aktualizacja. Po wysłaniu Wniosku należy zachować potwierdzenie, kopię wniosku i ew. pełnomocnictwo. Przedsiębiorca powinien także wskazać osobę odpowiedzialną za dochowywanie 14-dniowego terminu aktualizacji.

Jak my (kancelaria SPCG) możemy pomóc w omawianym zakresie?

  • Przeprowadzimy analizę czy Państwa organizacja jest podmiotem kluczowym lub ważnym w rozumieniu UKSC.
  • Przygotujemy pakiet samoidentyfikacyjny i pomożemy zweryfikować dane do wykazu oraz złożyć wniosek.
  • Ocenimy zgodność obecnych rozwiązań z wymaganiami UKSC, opracujemy harmonogram dalszych prac oraz przygotujemy umowy z dostawcami ICT.
  • Przeszkolimy kierownictwo i osoby odpowiedzialne za cyberbezpieczeństwo oraz pomożemy udokumentować nadzór nad wykonywaniem obowiązków wynikających z UKSC.

Przypisy:

[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r., Dz. Urz. UE L 333 z 27.12.2022 („dyrektywa NIS2”), Ustawa dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa Dz.U.2026.20 t.j. z 2026.01.09 („Ustawa”), Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U.2026.252 z dnia 2026.03.02 poz. 252 („Nowelizacja”).

[2] Ministerstwo Cyfryzacji, „Nowelizacja ustawy o KSC – najważniejsze terminy”, https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc–najwazniejsze-terminy [dostęp: 13.08.2026 r.].

[3] Art. 5, art. 7l–7m, art. 15 oraz art. 53 ust. 3 UKSC; Ministerstwo Cyfryzacji, „Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa po nowelizacji, PYTANIA I ODPOWIEDZI”, aktualizacja czerwiec 2026 r. („Q&A”), pyt. 2.32, dokument dostępny na stronie: https://cyber.gov.pl/faq [dostęp: 25.08.2026 r.].

[4] Art. 7c ust. 1 UKSC; art. 33 ust. 3 i art. 34 ust. 3 Nowelizacji, Ministerstwo Cyfryzacji, Q&A, pyt. 2.17, 2.31 i 2.32.

[5] Art. 2 pkt 4e, art. 5, art. 5a oraz załączniki nr 1 i 2 do UKSC; Ministerstwo Cyfryzacji, Q&A, pyt. 1.22, 2.7–2.8.

[6] Załącznik I do rozporządzenia Komisji (UE) nr 651/2014 z 17 czerwca 2014 r., Dz. Urz. UE L 187 z 26.06.2014, s. 1, z późn. zm.; art. 2 Ustawy; Ministerstwo Cyfryzacji, Q&A pyt. 1.5–1.6; Kwalifikator MŚP PARP: https://kwalifikator.parp.gov.pl/ [dostęp: 25.08.2026 r.].

[7] Ministerstwo Cyfryzacji, Q&A, pyt. 1.11–1.12; art. 15 i art. 7j–7m Ustawy.

[8] Art. 7 ust. 2, art. 7c ust. 2 i 5 Ustawy; Ministerstwo Cyfryzacji, Q&, pyt. 2.10, 2.18 i 2.30.

[9] Art. 7c ust. 3 i art. 16 Ustawy oraz art. 33 ust. 1–2 Ustawy; Ministerstwo Cyfryzacji, Q&A, pyt. 2.19 i 3.1.

[10] Art. 16 UKSC; Ministerstwo Cyfryzacji, Q&A, pyt. 2.31.

[11] Art. 8c–8e, art. 73 ust. 1a i 3–4 oraz art. 73a Ustawy.

[12] Art. 35 Nowelizacji; zob. także art. 53 ust. 12 oraz art. 76a ust. 1 i 9 UKSC. Art. 35 Nowelizacji obejmuje kary określone w art. 73 ust. 1–4, art. 73a–73c i art. 76b UKSC.

W razie pytań, skontaktuj się z autorami tekstu:

Łukasz Płachta SPCG

Łukasz Płachta

radca prawny
Associate

dr Marcin Balicki SPCG

dr Marcin Balicki

adwokat
Counsel

Kilka uwag w sprawie naruszenia reguł ostrożności jako warunek odpowiedzialności za nieumyślne przestępstwo gospodarcze

Kilka uwag w sprawie naruszenia reguł ostrożności jako warunek odpowiedzialności za nieumyślne przestępstwo gospodarcze

utworzone przez | 7 kwietnia, 2026 | ! POLECANE !, COMPLIANCE, WHITE COLLAR

Czytaj: 3 min

Prowadzenie działalności gospodarczej nieodłącznie wiąże się z podejmowaniem decyzji biznesowych, które potencjalnie mogą stać się przedmiotem oceny rozmaitych osób i organów, w tym również organów postępowania karnego. Związane jest to w szczególności ze stale poszerzającym się zakresem przepisów karnych w polskim systemie prawnym, w tym rozsianych po innych niż Kodeks karny ustawach, a także ze wzrostem wyzwań w zakresie compliance.

W zakresie przestępstw o charakterze gospodarczym przepisy zasadniczo przewidują karalność zachowań popełnianych umyślnie. Jest to zgodne z zasadą ultima ratio prawa karnego, a więc jego stosowaniem tam gdzie jest to konieczne, jako ostatecznego środka reakcji prawnej. Nie oznacza to jednak, że prawo karne zawsze pozostaje obojętne wobec zachowań nieumyślnych. To zaś ma bardzo istotne znaczenie. Po pierwsze, w dynamicznej i wymagającej rzeczywistości gospodarczej błąd zawsze może wystąpić. Po drugie, jego ryzyko rośnie wraz ze wzrostem wielkości organizacji, złożoności i skali biznesu, wielości obowiązków prawnych związanych z jego prowadzeniem.

W kontekście tzw. white-collar crime, istotne znaczenie ma przepis art. 296 § 4 k.k. Przepis ten przewiduje karalność nieumyślnego wyrządzenia znacznej szkody osobie fizycznej, prawnej, albo jednostce organizacyjnej niemającej osobowości prawnej. Sprawcą może być osoba, która na podstawie przepisu ustawy, decyzji właściwego organu lub umowy obowiązana jest do zajmowania się sprawami majątkowymi lub działalnością gospodarczą ww. podmiotów. Wyrządzenie zaś szkody musi nastąpić przez nadużycie udzielonych sprawcy uprawnień lub niedopełnienie ciążącego na nim obowiązku. „Znaczna szkoda” to szkoda, której wysokość w czasie popełnienia czynu zabronionego przekracza 200 000 złotych (surowsza odpowiedzialność dotyczy szkody przekraczającej 1 000 000 złotych).

Typowym podmiotem, który może popełnić wspomniane przestępstwo jest członek zarządu spółki kapitałowej, który podejmuje określoną decyzję biznesową. Dotyczy to np. decyzji o przeprowadzeniu określonej transakcji, czy też warunków takiej transakcji. Co do zasady członek zarządu, z racji pełnienia swojej funkcji i choćby z uwagi na przepisy Kodeksu spółek handlowych, zobowiązany jest do zajmowania się jej sprawami majątkowymi i dbania o jej interesy.

Zgodnie z Kodeksem karnym, przestępstwo popełnione jest nieumyślnie, jeżeli sprawca nie mając zamiaru popełnienia czynu zabronionego, popełnia go jednak na skutek niezachowania ostrożności wymaganej w danych okolicznościach, mimo że możliwość popełnienia tego czynu przewidywał albo mógł przewidzieć (art. 9 § 2 k.k.).

Dla osoby, która zarządza działalnością gospodarczą i odpowiada za decyzje biznesowe, szczególnie ważne jest zwrócenie uwag na: (i) ostrożność wymaganą w danych okolicznościach; (ii) przewidywalność popełnienia czynu. Nie jest bowiem tak, że odpowiedzialność karna za przestępstwo nieumyślne ma charakter absolutny. Jeśli ktoś zachował wymaganą w danej sprawie ostrożność lub wystąpienie czynu było nieprzewidywalne, odpowiedzialność karna powinna zostać wykluczona nawet za czyn nieumyślny.

Podkreślić należy, że w ewentualnym procesie karnym niezachowanie przez sprawcę wymaganej ostrożności oraz przewidywalność popełnienia czynu, podlegają takiemu samemu procesowi dowodzenia, jak wszystkie inne znamiona (elementy) przestępstwa. Zasadniczo więc to organy ścigania muszą wykazać, że danej osobie można przypisać nieumyślność w działaniu lub zaniechaniu. Niemniej, w interesie takiej osoby, będzie leżało przedstawienie wyjaśnień lub materiałów, które potwierdzą, że zachowała należytą ostrożność, ewentualnie że zaistniała sytuacja nie była przewidywalna.

W tym kontekście jej sytuację można porównać do sytuacji podmiotu zobowiązanego do stosowania znanej z dziedziny compliance zasady rozliczalności. Wprawdzie w postępowaniu karnym sprawca nie ma obowiązku dowodzić swojej niewinności, ale może doprowadzić do szybszego zakończenia sprawy, jeżeli będzie w stanie wykazać, że dochował należytej staranności.

Co może służyć osiągnięciu takiego celu w warunkach biznesowych?

Na etapie poprzedzającym dane działanie, właściwe przygotowanie decyzji. Za punkt wyjścia należy uznać identyfikację potencjalnych punktów, które mogą łączyć się z odpowiedzialnością karną. Następnie zasadne będzie przeprowadzenie analizy zgodności planowanego działania z przepisami prawa, jak i z wewnętrznymi uregulowaniami danego podmiotu, jego procedurami. Kolejno zaś, zebranie materiałów uzasadniających daną decyzję. Kluczowa jest bowiem możliwość wykazania, że została ona poprzedzona odpowiednią analizą, rozważeniem ryzyk oraz oparta była na merytorycznych podstawach. Bardzo istotne może się okazać uzyskanie opinii specjalistycznej, ekspertyzy, wyceny. Prawidłowo udokumentowany proces decyzyjny i jego uzasadnienie, stanowić mogą bardzo cenny oręż w walce z ewentualnymi zarzutami.

W sytuacji, w której stosowny materiał nie został zgromadzony na etapie przygotowawczym, dochodzi zaś do zakwestionowania decyzji, również należy działać niezwłocznie. Celowe będzie prześledzenie procesu decyzyjnego i zweryfikowanie, czy dana decyzja istotnie była niekorzystna, w szczególności, czy doprowadziła do wyrządzenia szkody. Konieczne będzie również przeprowadzenie prawnej analizy następczej, w tym oceny – przez pryzmat judykatury i doktryny – czy istotnie w danej sytuacji ryzyko odpowiedzialności karnej jest istnieje. Działania takie umożliwią nie tylko odpowiednie przygotowanie do przedstawienia swojego stanowiska i obrony przed ewentualnym zarzutem, ale również należytą ocenę sytuacji (w kontekście ww. przepisu warto mieć na uwadze, że zgodnie z art. 299 § 5 k.k., nie podlega karze, kto przed wszczęciem postępowania karnego dobrowolnie naprawił w całości wyrządzoną szkodę).

W świetle powyższego należy uznać, że systematyczne identyfikowanie, ocena i monitorowanie ryzyk karnoprawnych powinno być integralną częścią procedur zarządczych, analogicznie jak ma to miejsce przy analizie ryzyk finansowych, operacyjnych czy reputacyjnych.

Napisz do autora:

Jacek Błachut SPCG

dr Jacek Błachut

adwokat
Partner

System Informacji Finansowej

System Informacji Finansowej

utworzone przez | 31 października, 2022 | COMPLIANCE, REGULATORY

Czytaj: 5 min

Przepisy V Dyrektywy AML 2018/843 („V Dyrektywa”) przewidują wdrożenie przez każde z państw członkowskich systemu centralnej rejestracji danych osób lub podmiotów posiadających lub kontrolujących rachunki bankowe, płatnicze oraz skrytki depozytowe w instytucjach kredytowych, w celu zwiększenia efektywności nadzoru w obszarze AML/CFT.

Projekt ustawy o Systemie Informacji Finansowej („Projekt SInF”), która ma implementować przepisy V Dyrektywy we wskazanym zakresie jest procedowany od 2020 r. (Projekt – rcl.gov.pl [1]) Zakończenie prac nad Projektem SInF wstępnie planowane było na III kwartał bieżącego roku, termin ten jednak został przesunięty i obecnie przyjmowane jest, że raportowanie informacji w opisanym powyżej zakresie rozpocznie się nie wcześniej niż w I kwartale 2023 r.

SInF – zakres przedmiotowy

Zgodnie z obecnym brzmieniem Projektu SInF, centralna rejestracja objąć ma dane nie tylko o posiadaczach i kontrolujących (zgodnie z V Dyrektywą) rachunki bankowe, rachunki w spółdzielczych kasach oszczędnościowo-kredytowych, rachunki płatnicze czy skrytki sejfowe (również, jeśli usługa ta jest oferowana przez podmiot inny niż bank krajowy czy instytucja kredytowa), ale również:

  • rachunki papierów wartościowych, rachunki derywatów, rachunki zbiorcze oraz
  •  rachunki pieniężne prowadzone przez firmy inwestycyjne.

Co więcej, obowiązki dotyczące zgłaszania danych o posiadaczach i kontrolujących rachunki mają mieć odpowiednie zastosowanie do przechowywania przedmiotów i papierów wartościowych, co w zamyśle projektodawcy oznacza objęcie centralną rejestracją danych również danych klientów podmiotu świadczącego usługę depozytową w zakresie materialnych papierów wartościowych (posiadających formę dokumentu).

Zgodnie z uzasadnieniem dla tak szerokiego ujęcia (wykraczającego poza V Dyrektywę) było założenie, że rachunki papierów wartościowych, rachunki zbiorcze oraz służące do ich obsługi rachunki pieniężne, a także fundusze inwestycyjne, mogą służyć ukrywaniu mienia pochodzącego z czynów zabronionych w analogicznym stopniu jak rachunki płatnicze, czy skrytki depozytowe.

Poza regulacją Projektu SInF natomiast pozostawiono rejestrację instrumentów finansowych, która dokonywana jest lub miałaby być w formie innej niż poprzez dematerializację na zasadach określonych w ustawie o obrocie instrumentami finansowymi (na rachunkach papierów wartościowych, rachunkach derywatów i rachunkach zbiorczych), co zwłaszcza w kontekście coraz bardziej powszechnie wykorzystywanej na rynkach finansowych technologii DLT, wydaje się podważać racjonalność tego rozwiązania.

Przesyłanie danych do SInF

Pomysł na działanie SInF polega na wykorzystaniu używanego już przez KAS systemu STIR (system teleinformatyczny izby rozliczeniowej), który służy do przekazywania danych, informacji i żądań pomiędzy Szefem KAS a bankami i spółdzielczymi kasami oszczędnościowo-kredytowymi.

W oparciu o Projekt SInF przekazywanie danych ma się odbywać w ten sposób, że instytucje obowiązane mają przekazywać dane do STIR (i te, których przekazanie jest już obecnie obowiązkowe na postawie Ordynacji podatkowej i te wymagane na postawie Projektu SInF), a pracownicy wyznaczeni przez Szefa KAS, będą wyodrębniać odpowiednie dane i przesyłać je do SInF. Ten schemat działania ma zapobiegać sytuacjom, w których instytucje zobowiązane musiałyby przekazywać te same dane do dwóch systemów – STIR i SInF.

Zakres danych przekazywanych do SInF

Zgodnie z art. 11 Projektu Ustawy o SInF do rejestru mają być przekazywane informacje o:

  • otwarciu rachunku albo zawarciu umowy o udostępnienie skrytki sejfowej,
  • zmianie informacji, oraz
  • zamknięciu rachunku albo zakończeniu obowiązywania umowy o udostępnienie skrytki sejfowej.

Projekt SInF określa szczegółowy zakres danych, jakie powinny być przekazane w ramach informacji o otwarciu rachunku albo zawarciu umowy o udostępnienie skrytki sejfowej. Zakres informacji objętych obowiązkiem zgłaszania do SInF jest znacząco szerszy niż przewidziany w V Dyrektywie i choć sama dyrektywa zawiera w tym zakresie tzw. opcję narodową (pozwala państwom członkowskim na pewne modyfikacje w uzasadnionych przypadkach), to jednak podejście proponowane w Projekcie SInF wydaje się być wciąż zbyt daleko idące. W szczególności, krytykowany w toku prac legislacyjnych przez Prezesa UODO i RCL, obowiązek przekazywania szczegółowych danych teleadresowych posiadacza rachunku (numeru telefonu i adresu poczty elektronicznej) budzi istotne zastrzeżenia co do swojej zasadności, zwłaszcza w kontekście dostępu do aktualnych danych tego typu przez instytucję zobowiązaną, co jednak po wejściu w życie projektowanych przepisów będzie musiało być zapewnione wobec zagrożenia karą pieniężną w maksymalnej wysokości 1.500.000 PLN (za nieprzekazanie informacji, przekazanie informacji nieaktualnych lub za brak aktualizacji).

Wdrożenie SInF

Biorąc pod uwagę planowany termin wdrożenia planowanych rozwiązań oraz zakres ich stosowania (system ma objąć również rachunki prowadzone przez firmy inwestycyjne, ale wyłącznie w ramach systemu depozytowego papierów wartościowych), jak również krótkie terminy na przekazanie informacji co do rachunków prowadzonych w dniu wejścia w życie projektowanych obecnie przepisów, instytucje zobowiązane powinny już teraz przygotować się na wejście w życie projektowanej regulacji.

Przygotowanie instytucji zobowiązanej do spełnienia obowiązków wynikających z Projektu SInF będzie musiało łączyć działania w sferze operacyjnej, informatycznej, ale również może wymagać dostosowania pewnych regulacji wewnętrznych a nawet dokumentacji kontraktowej stosowanej w relacjach z klientami (na przyszłość) i uzupełnienia/aktualizacji danych o klientach, dla których prowadzone są obecnie rachunki.

Informacje o rachunkach otwartych po dacie wejścia w życie nowych przepisów

Banki będą musiały rozpocząć przekazywanie informacji po 2 miesiącach, nie później jednak niż 3 miesiące po wejściu w życie projektowanych przepisów o SInF (co daje maksymalnie 3,5 miesiąca uwzględniając 14 dniowe vacatio legis).

Firmy inwestycyjne oraz małe instytucje płatnicze będą musiały rozpocząć przekazywanie informacji po 7 miesiącach, nie później jednak niż 9 miesięcy od dnia wejścia w życie projektowanych przepisów o SInF.

Instytucje płatnicze (z wyłączeniem małej instytucji płatniczej) oraz instytucje pieniądza elektronicznego będą musiały rozpocząć przekazywanie informacji po 4 miesiącach, nie później jednak niż 6 miesięcy od dnia wejścia w życie projektowanych przepisów o SInF.

Po rozpoczęciu przekazywania. dane będą musiały być przekazywane w terminach określonych w Projekcie SInF, a więc w ciągu 3 dni od zdarzenia (zawarcia umowy, zmiany danych).

Informacje o rachunkach/umowach prowadzonych/zawartych przed dniem wejścia w życie nowych przepisów

Najtrudniejsze organizacyjnie będzie zrealizowanie obowiązku przekazania danych zgromadzonych przed wejściem w życie projektowanych przepisów. W szczególności trudność może dotyczyć tych danych, które mają formę uniemożliwiającą ich automatyczne przetwarzanie w systemach teleinformatycznych. Projekt SInF wprowadza zasadę, że jeśli dana informacja nie zmieści się w katalogu ustawowym (o czym mowa poniżej), to nawet jeśli jej przekazanie wymagałoby uprzedniej zmiany formy, to instytucja zobowiązana nie korzysta w tym zakresie z wydłużonego terminu i przekazanie powinno nastąpić w terminie 30 dni od dnia rozpoczęcia przekazywania danych przez instytucję.

Katalog informacji, co do których Projekt SInF przyznaje instytucjom zobowiązanym dłuższy termin na przekazanie – 6 miesięcy od rozpoczęcia przekazywania danych, obejmuje dane dotyczące umów w zakresie przechowywania papierów wartościowych w formie dokumentu oraz w pozostałym zakresie wyraźnie wskazane dane takie, jak m.in. dane identyfikacyjne pełnomocnika, adres korespondencyjny posiadacza rachunku i pełnomocnika a także ich numery telefonu i adresy e-mail.

Informacje o rachunkach otwartych po wejściu w życie nowych przepisów, ale przed rozpoczęciem raportowania

Informacje pozyskane w okresie od wejścia w życie nowych przepisów do dnia poprzedzającego dzień rozpoczęcia przekazywania informacji będą musiały być przekazane w terminie 30 dni od dnia rozpoczęcia przekazywania informacji.

Dostęp do informacji zgromadzonych w SInF

Informacje z SInF będą wykorzystywane na potrzeby realizacji zadań ustawowych sądów, prokuratury, właściwych służb – Policji, Centralnego Biura Antykorupcyjnego, Agencji Bezpieczeństwa Wewnętrznego, Agencji Bezpieczeństwa Wewnętrznego, Służby Kontrwywiadu Wojskowego, Agencji Wywiadu, Służby Wywiadu Wojskowego, Żandarmerii Wojskowej, Straży Granicznej, Generalnego Inspektora Informacji Finansowej, Krajowej Administracji Skarbowej, Służby Ochrony Państwa, Inspektora Nadzoru Wewnętrznego, Krajowego Centrum Informacji Kryminalnych oraz Komisji Nadzoru Finansowego.

Znaczyć należy, że w ramach tych podmiotów upoważnieni do uzyskiwania informacji będą szefowie/komendanci/dyrektorzy, a dopiero te osoby udzielać będą dalszych upoważnień swoim pracownikom/funkcjonariuszom/żołnierzom. Ten schemat przyznawania dostępu do danych, a przy tym i upoważnienia do przetwarzania danych osobowych, budzi wątpliwości w zakresie jego zgodności z prawem. Szef KAS, jako administrator powinien wyrazić zgodę na przetwarzanie danych przez osoby, którym podmioty upoważnione udzieliły dalszych upoważnień na co zwracał uwagę Prezes UODO w toku procesu legislacyjnego. Pozostaje mieć nadzieję, że uwaga ta zostanie uwzględniona na dalszym etapie prac nad Projektem SInF.

Przypisy:

[1] Tytuł dokumentu to: „załącznik do protokołu projekt.docm”.

 

Napisz do autorów:

Magdalena Gutowska

adwokat
Senior Associate

Approved Compliance Expert (ACE)
Approved Whistleblowing Officer

Ewa Mazurkiewicz SPCG

Ewa Mazurkiewicz

radca prawny
Partner

Termin wdrożenia wytycznych EBA w sprawie AML/CFT upływa niebawem

Termin wdrożenia wytycznych EBA w sprawie AML/CFT upływa niebawem

utworzone przez | 18 października, 2022 | COMPLIANCE, REGULATORY

Czytaj: 4 min

Zostało już niecałe 1,5 miesiąca na wdrożenie wytycznych Europejskiego Urzędu Nadzoru Bankowego (ang. European Banking Authority; „EBA”) dotyczących strategii i procedur zarządzania zgodnością z przepisami oraz roli i obowiązków pracownika ds. zgodności z przepisami AML/CFT („Wytyczne EBA”) – Wytyczne EBA (Guidelines on the role of AML/CFT compliance officers | European Banking Authority (europa.eu) zaczną obowiązywać od 1 grudnia 2022 r.

Wytyczne EBA nie wprowadzają nowych obowiązków, ale konkretyzuję te płynące z obowiązujących już przepisów. Uszczegółowienia wprowadzone przez EBA dla instytucji zobowiązanych działających na rynku finansowym dość istotnie jednak modyfikują dotychczasowe rozumienie obowiązków i koniecznego zakresu normowania procedur w obszarze AML oraz zadań osób odpowiedzialnych za ten obszar.

W niektórych podmiotach wdrożenie Wytycznych EBA może oznaczać wyłącznie kosmetyczną aktualizację niektórych procedur, ale – patrząc na zakres i poziom szczegółowości wytycznych – wydaje się, że dla większości podmiotów ich wdrożenie, będzie wiązać się z czasochłonnymi pracami nad zmianą szeregu regulacji, w tym nie tylko tych, bezpośrednio związanych z procesami AML. Wytyczne EBA dotykają bowiem zadań wszystkich osób dotychczas odpowiedzialnych za obszar AML/CFT w organizacji, a dodatkowo jeszcze rozszerzają zadania podmiotu nadzorczego w tej dziedzinie.

Każdy podmiot będący adresatem Wytycznych EBA powinien rozpocząć proces wdrożeniowy od szczegółowej analizy obecnie posiadanych rozwiązań w kontekście ich zgodności z wytycznymi zawartymi w przedmiotowym dokumencie, w celu ustalenia zakresu ewentualnych prac.

Należy również pamiętać, że samo opracowanie nowych albo zmodyfikowanie już wdrożonych procedur może zostać ocenione jako niewystarczające do uznania procesu wdrożenia Wytycznych EBA za pełny i skuteczny. Aby bowiem wdrożone rozwiązania efektywnie działały w praktyce niezbędne jest zapoznanie się z nimi przez osoby zaangażowane w procesy AML/CFT, a więc w szczególności przeprowadzenie szkoleń w tym zakresie.

Dlatego też w naszej ocenie jest to ostatni moment, aby rozpocząć procesy wdrożeniowe w zakresie Wytycznych EBA.

Do kogo adresowane są Wytyczne EBA

Wytyczne EBA są adresowane do wszystkich podmiotów działających profesjonalnie na rynku finansowym, a więc do instytucji kredytowych oraz instytucji finansowych, czyli podmiotów mieszczących się w definicji tego pojęcia przyjętej na potrzeby dyrektywy 2015/849 – AML IV [1]. Definicja ta obejmuje w szczególności:

  1. domy maklerskie,
  2. fundusze inwestycyjne i alternatywne spółki inwestycyjne,
  3. towarzystwa funduszy inwestycyjnych i zarządzających ASI,
  4. instytucje płatnicze i instytucje pieniądza elektronicznego,
  5. zakłady ubezpieczeń wykonujące działalność z zakresu ubezpieczeń na życie,
  6. pośredników ubezpieczeniowych wykonujących czynności pośrednictwa ubezpieczeniowego w zakresie ubezpieczeń na życie.

 Co obejmują Wytyczne EBA

Wytyczne EBA obejmują obszarowo zakres funkcji:

  1. pracownika ds. zgodności z przepisami AML/CFT,
  2. organu zarządzającego (w warunkach polskich spółek kapitałowych będzie to zarząd),
  3. członka kadry kierowniczej wyższego szczebla odpowiedzialnego za zapewnienie zgodności z przepisami AML/CFT (w warunkach polskich spółek kapitałowych będzie to członek zarządu wyznaczony jako odpowiedzialny za wdrażanie obowiązków AML/CFT),
  4. organu zarządzającego pełniącego funkcję nadzorczą (w warunkach polskich spółek kapitałowych, w których działa rada nadzorcza, będzie to ten organ)

– dalej łącznie jako: „Organy AML” oraz osoby wskazane w p. 1 i 3 dalej łącznie jako: „Osoby AML”.

Opisane w Wytycznych EBA szczegółowe obowiązki Organów AML, powinny zostać transponowane do dokumentacji wewnętrznej danej organizacji. To jednak może oznaczać zmiany również na poziomie regulacji dotyczących zasad funkcjonowania tych podmiotów, a szczególnie rady nadzorczej w danej instytucji. Wytyczne EBA przewidują bowiem dużo aktywniejszą rolę tego organu w obszarze AML/CFT niż dotychczasowy standard sprowadzający się, co do zasady, do corocznej weryfikacji sprawozdań z tego obszaru.

Wytyczne EBA kładą nacisk na dysponowanie przez Osoby AML odpowiednim czasem oraz zasobami na realizację zadań, jak również uprawnieniami, w tym przede wszystkim dostępem do informacji – te kwestie również powinny zostać uwzględnione w procedurach wewnętrznych.

Dodatkowo, Wytyczne EBA stawiają szereg wymagań o charakterze kompetencyjnym, które powinny spełnić Osoby AML. Jest to element Wytycznych EBA istotny na potrzeby przyszłych rekrutacji i wymuszający modyfikację stosownych polityk wewnętrznych (instytucje finansowe już obecnie posiadają polityki dotyczące weryfikacji i wyboru osób wchodzących w skład organów oraz kluczowych pracowników). EBA nie rozstrzyga przy tym, czy wymagania o charakterze kompetencyjnym należy wdrożyć i stosować wyłącznie na przyszłość, czy również w odniesieniu do Osób AML już obecnie pełniących stosowne obowiązki (czy należy przeprowadzić stosowną procedurę weryfikacyjną).

Wytyczne EBA zaostrzają zasady organizacji funkcji zgodności z przepisami AML/CFT, określając szczegółowe przesłanki i zasady podejmowania decyzji o łączeniu przedmiotowej funkcji z innymi funkcjami wewnętrznymi w ramach danej instytucji.

EBA proponuje również doprecyzowanie zasad zorganizowania funkcji AML/CFT w podmiotach prowadzących działalność w kilku jurysdykcjach. Zgodnie z Wytycznymi EBA od tej pory możliwe będzie posiadanie jednego pracownika ds. zgodności z przepisami AML/CFT dla wszystkich jurysdykcji pod warunkiem zapewnienia mu realnej możliwości realizacji zadań w we wszystkich tych jurysdykcjach (nie tylko dostęp do informacji i systemów, ale również dyspozycyjność na potrzeby spotkań lokalnych).

EBA doprecyzowuje również zasady outsourcingu funkcji operacyjnych pracownika ds. zgodności z przepisami AML/CFT, w szczególności, w zakresie zapewnienia monitoringu, kontroli i sprawozdawczości insourcera.

Również podmioty, które outsourcują zadania z obszaru zgodności z przepisami AML/CFT na poziomie grupy powinny szczegółowo przeanalizować treść Wytycznych EBA – gdyż ten model został przez EBA uregulowany poprzez określenie odrębnych wymagań organizacyjnych na szczeblu grupy.

Podsumowanie

Bazując na posiadanej przez nas wiedzy wynikającej z pracy z Klientami, jesteśmy przekonani, że Wytyczne EBA, choć z założenia jedynie uszczegóławiają istniejące już obowiązki z obszaru AML/CFT, i choć oparte są o zasadę proporcjonalności, to jednak doprowadzą do sytuacji, w której, w przeważającej części instytucji rynku finansowego, procedury, które zostały dotychczas wdrożone, będą musiały ulec modyfikacji.

Ze względu natomiast na fakt, że regulacje objęte Wytycznymi EBA dotykają obszarów objętych różnymi procedurami a nawet relacji z podmiotami trzecimi (outsourcing) i mogą wiązać się z koniecznością dokonania pewnych istotnych zmian w organizacji danego podmiotu, niezbędne jest podjęcie działań nakierowanych na ustalenie zakresu i istoty tych zmian możliwie wcześnie w celu uniknięcia negatywnych skutków prawnych.

Przypisy:

[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/849 z dnia 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, zmieniająca rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 i uchylająca dyrektywę Parlamentu Europejskiego i Rady 2005/60/WE oraz dyrektywę Komisji 2006/70/WE.

 

Napisz do autorów:

Ewa Mazurkiewicz

radca prawny
Partner

Magdalena Gutowska SPCG

Magdalena Gutowska

adwokat
Senior Associate

Approved Compliance Expert (ACE)
Approved Whistleblowing Officer

Odpowiedzialność podmiotów zbiorowych – projekt zmiany ustawy

Odpowiedzialność podmiotów zbiorowych – projekt zmiany ustawy

utworzone przez | 12 września, 2022 | COMPLIANCE

Czytaj: 3 min

Pomimo tego, że prace nad projektem ustawy o sygnalistach nie zostały jeszcze zakończone, na tapet wzięto również nowelizację ustawy o odpowiedzialności podmiotów zbiorowych. W dniu 2 września 2022 r. na stronie RCL umieszczono projekt nowelizacji tej ustawy.

Brak konieczności uprzedniego skazania sprawcy za dany czyn, a nawet brak konieczności ustalenia sprawcy czynu to jedne ze zmian mających wpłynąć na częstsze stosowanie ustawy w praktyce. Jak wynika ze statystyk zawartych w uzasadnieniach ustawy, jej dotychczasowe stosowanie było rzadkością. W oparciu o obowiązujące przepisy, w latach 2016-2021 do sądów skierowano bowiem 54 wnioski o ukaranie podmiotu zbiorowego, z czego wydano 33 orzeczenia stwierdzające odpowiedzialność podmiotu zbiorowego. W 2021 r. wydano 9 takich orzeczeń, a kary w nich wymierzone to: w 6 sprawach – 1.000 zł, w 2 sprawach – 7.000 zł a w jednej sprawie 50.000 zł.

Na gruncie projektowanej ustawy dokonano modyfikacji definicji podmiotu zbiorowego – zakres podmiotowy stosowania ustawy nie będzie obejmował mikro, małych i średnich przedsiębiorców. Równocześnie dokonano rozszerzenia zakresu przestępstw, za które podmiot zbiorowy będzie mógł ponosić odpowiedzialność, do wszystkich ściganych z oskarżenia publicznego przestępstw i przestępstw skarbowych z wyłączeniem czynów popełnionych przez opublikowanie materiału prasowego oraz innych naruszeń prawa związanych z przekazywaniem myśli ludzkiej, do których stosuje się przepisy o odpowiedzialności prawnej i postępowaniu w sprawach prasowych.

Projekt ustawy przewiduje odpowiedzialność podmiotu zbiorowego na dwóch materialnoprawnych podstawach. Podmiot zbiorowy będzie odpowiadał za swoje czyny – jeśli ich popełnienie wynika z działania albo zaniechania organu podmiotu. Drugą podstawą odpowiedzialności będzie odpowiedzialność za czyny członków organów, osób uprawnionych do reprezentowania podmiotu albo podejmowania w jego imieniu decyzji lub pracowników w związku ze świadczeniem przez nich pracy, jeśli czyn ten przyniósł lub mógł przynieść podmiotowi zbiorowemu korzyść, choćby niemajątkową.

To, co na aktualnym etapie istotne to uzależnienie odpowiedzialności podmiotu zbiorowego od zawinienie polegającego na: (i) co najmniej braku należytej staranności w wyborze osoby, która jest sprawcą przestępstwa, albo w nadzorze nad nią; (ii) takiej nieprawidłowości w organizacji działalności podmiotu zbiorowego, która ułatwiła lub umożliwiła popełnienie czynu zabronionego, chociaż inna organizacja działalności mogła zapobiec popełnieniu tego czynu.

Nieprawidłowość w organizacji podmiotu zbiorowego rozumiana jest jako brak należytej struktury organizacyjnej, pozwalającej na ustalenie zakresu odpowiedzialności poszczególnych komórek i osób, ale również sposobów sprawowania nadzoru nad nimi oraz osób odpowiedzialnych za przestrzeganie przepisów i zasad regulujących działalność podmiotu zbiorowego. W tym zakresie istotne są również posiadane przez podmiot zbiorowy zasady postępowania na wypadek zagrożenia popełnienia czynu zabronionego.

Projekt przewiduje, że podmiot zbiorowy nie ponosi odpowiedzialności karnej w oparciu o stwierdzone nieprawidłowości w organizacji, jeżeli wszystkie organy i osoby uprawnione do działania w jego imieniu lub interesie zachowały należytą staranność wymaganą w danych okolicznościach w organizacji działalności tego podmiotu oraz w nadzorze nad tą działalnością. W zakresie rozumienia należytej staranności należy oprzeć się na definicji zawartej w art. 355 § 2 kodeksu cywilnego, który przewiduje, że w ocenie należy uwzględnić zawodowy charakter tej działalności.

Wobec podmiotów zbiorowych będzie można orzekać m.in. karę pieniężną w wysokości od 10 tys. do 30 mln zł.

Powyższe regulacje oznaczają, że kluczowe jest opracowanie struktury organizacyjnej podmiotu, ze szczegółowym uwzględnieniem zakresu obowiązków, schematu raportowania i zasad nadzoru. W uzasadnieniu projektu wprost wskazano, że „z istoty rzeczy ten rodzaj odpowiedzialności nakierowany winien być na działania podmiotów dużych, w tym dużych przedsiębiorstw zdolnych do wdrożenia wewnętrznych procedur zgodności (compliance).” Ten fragment uzasadnienia wprost w wskazuje, że to właśnie sprawnie działający system compliance może okazać się kluczowy dla podmiotów spełniających kryteria podmiotowe dla stosowania ustawy.

Zgodnie z aktualnym brzmieniem projektu zmiana ustawy miałaby wejść w życie 3 miesiące od jej opublikowania. Czas, żeby podmioty, które nie mają jeszcze wdrożonego systemu compliance podjęły działania w tym zakresie będzie zatem ograniczony, co powinno skłaniać je do rozpoczęcia prac w tym obszarze jeszcze przed finalizacją prac legislacyjnych.

 

Napisz do autora:

Magdalena Gutowska

adwokat
Senior Associate

Approved Compliance Expert (ACE)
Approved Whistleblowing Officer

Forma ma znaczenie – jak wpłynąć na przystępność systemu compliance

Forma ma znaczenie – jak wpłynąć na przystępność systemu compliance

utworzone przez | 11 sierpnia, 2022 | COMPLIANCE

Czytaj: 5 min

Jednym z wyzwań przy wdrażaniu systemu compliance jest udzielenie odpowiedzi na pytanie jak sprawić, żeby procedury, na których opiera się funkcjonowanie systemu były zrozumiałe i przystępne dla użytkowników. Konieczność zachowania precyzji pojęć jest często trudna do pogodzenia z oczekiwaniem, aby tekst był jasny i łatwy w odbiorze. Samo posiadanie procedur compliance nie wystarczy, aby system compliance zrealizował swoją funkcję w przedsiębiorstwie. Kluczowe jest, aby pracownicy rzeczywiście z niego korzystali.

Jedną z metod na poprawienie przystępności procedur jest przeprowadzanie szkoleń w tym zakresie. Jeśli jednak procedury pozostaną nadmiernie skomplikowane, a szkolenia zbyt schematyczne i jednorodne, to szansa na efektywne wdrożenie lub optymalizację systemu compliance będę niskie.

Co zatem należy zrobić w przypadku, w którym posiadamy system compliance, a jednocześnie mamy poczucie, że pracownicy niechętnie sięgają do tekstów procedur? Należy popracować nad formą – zarówno procedur jak i szkoleń.

Forma procedur

Bardzo często procedury wewnętrzne – choć są doskonałe merytorycznie – posiadają formę, która jest trudna w odbiorze. Przypominają one tekst ustawy albo skomplikowanej umowy, a użytkownik, żeby odnaleźć zagadnienie, z którym się mierzy, musi przebrnąć przez tekst całego dokumentu. Taka forma zniechęca pracowników do sięgania do procedur i trudno im się dziwić.

Warto zatem podjąć działania, które mogą korzystnie wpłynąć na przejrzystość i dostępność tekstów procedur i dzięki temu ułatwić pracownikom korzystanie z nich.

W tym celu należy zwrócić uwagę na następujące elementy:

  1. Język – powinien być przystępny dla odbiorców. Nie wynika to z faktu niedoceniania kompetencji poznawczych pracowników – jeśli nawet odbiorca jest w stanie zrozumieć skomplikowany tekst pisany specjalistycznym językiem, to i tak warto jest postawić na łatwość odbioru treści – wtedy sięganie do procedury będzie bardziej instynktowne.
  2. Układ graficzny tekstu – nie powinien zniechęcać już na pierwszy rzut oka, a warto żeby zachęcał. Dlatego też formatowanie procedur w sposób podobny do umów albo aktów prawnych (szczególnie przy dłuższych tekstach) najczęściej nie zdaje egzaminu. Tam, gdzie jest taka możliwość należy popracować nad przejrzystością tekstu i ograniczeniem jego objętości. W odnajdywaniu poszczególnych zagadnień pomogą słowa kluczowe i wyróżnienia. Uzupełnienie procedur o znaki graficzne, zdjęcia lub ikony również pozytywnie wpłynie na łatwość jego odbioru.
  3. Możliwość stworzenia wyciągu z procedury dostosowanego do poszczególnych adresatów – w przypadku długich procedur, które zawierają w sobie treści adresowane do różnych grup wewnętrznych adresatów (pracownicy, dział compliance, zarząd, dział prawny) warto rozważyć stworzenie ich skrótu np. w postaci wyciągu z danej procedury, który będzie zawierał elementy istotne dla danej grupy adresatów. Dzięki temu pracownicy będą mogli w łatwiejszy sposób z niej korzystać, a nie wpłynie to negatywnie na spójność tekstu i kompletność regulacji danego zagadnienia.
  4. Przykłady praktyczne – jeśli zostaną zawarte w tekście procedury, pomogą użytkownikom zrozumieć mechanizmy w niej zawarte i zasady, które dana regulacja ustanawia, jak również sprawią, że tekst będzie lżejszy w odbiorze.

Pracując nad poprawą dostępności tekstów procedur należy jednak pamiętać, że procedury wewnętrzne mają swoją rolę merytoryczną. Dlatego też poprawiając łatwość odbioru tekstu należy wystrzegać się działań mogących doprowadzić do infantylizacji lub utraty jakości jego warstwy merytorycznej.

Forma szkoleń

Jednym z podstawowych sposobów zapoznawania pracowników z procedurami jest przeprowadzanie szkoleń. Dla wszystkich jasne jest, że powinny one się odbywać cyklicznie, być dostosowane treścią dla ustalonej grupy adresatów jak również odbywać się w atrakcyjnej formie. Co jednak, jeśli pomimo spełnienia tych warunków szkolenia nie wywołują oczekiwanych rezultatów w postaci stosowania procedur, pomimo tego, że ich uczestnicy w ankietach ewaluacyjnych oceniają szkolenia pozytywnie?

Efektywność przekazu szkolenia to kwestia bardzo subiektywna. Niektóre osoby potrzebują po prostu usłyszeć daną treść wielokrotnie i dopiero wtedy będą w stanie ją przyswoić.

Można natomiast zastanowić się nad cykliczną zmianą osób prowadzących szkolenie. Pozwoli to zwiększyć szansę, że każdy uczestnik szkolenia otrzyma przekaz merytoryczny podany w sposób dla niego najatrakcyjniejszy do przyswojenia. Można bowiem przygotować najlepsze szkolenie, zgodne ze wszystkimi „zasadami prowadzenia dobrych szkoleń”, jednak czasem to pora szkolenia, ton głosu osoby szkolącej albo miejsce szkolenia mogą stanowić czynnik decydujący o tym, że przekaz szkolenia trafi do jego adresata. Dlatego też różnorodność formy przekazu jest walorem samym w sobie, niezależnie od atrakcyjności przedstawienia kwestii merytorycznych.

Nie bez znaczenia pozostaje też kwestia możliwości zaangażowania uczestników w szkolenie. Uproszczone, a nawet niekiedy humorystyczne case study umożliwiają interakcję uczestników i osób szkolących. Podczas tego rodzaju zajęć najczęściej wywiązuje się dialog pozwalający nie tylko na ożywienie szkolenia, ale obrazujący różnice kultur i poglądów w ocenie sytuacji, z którymi na co dzień mierzy się compliance. Dobrym pomysłem jest zakończenie szkolenia choćby prostym testem na temat podstawowych informacji przekazanych w jego trakcie. Daje to szansę na utrwalenie kluczowych kwestii, a także umożliwia wystawienie uczestnikom stosownych certyfikatów potwierdzających uczestnictwo w szkoleniu.

Forma wdrożenia procedur opracowanych na poziomie międzynarodowym

W niektórych organizacjach procedury compliance opracowywane są na szczeblu międzynarodowym, a od podmiotów w poszczególnych krajach oczekiwane jest, aby dokonały tłumaczenia tekstów i wdrożyły je w sposób możliwie wiernie odzwierciedlający założenia tekstu źródłowego. W takich przypadkach wydaje się, że praca działu compliance jest bardzo ograniczona i wiele nie można zrobić. Nic bardziej mylnego. Praca nad procedurą otrzymaną „z góry” nie powinna ograniczać się do jej przetłumaczenia i przyjęcia. Konieczne jest również jej przełożenie na lokalne uwarunkowania prawne, a także kulturowe.

Przykładem konieczności podejmowania analizy prawnej procedur na poziomie lokalnym  mogą być tzw. facility payments stanowiące drobne płatności na rzecz funkcjonariuszy publicznych mające na celu szybsze rozpatrzenie przez nich spraw. Takie płatności są na przykład dopuszczalne (jeśli spełniają określone warunki) zgodnie z amerykańską regulacją FCPA [1], podczas gdy zgodnie z prawem polskim nie ma przewidzianych dopuszczanych gratyfikacji na rzecz funkcjonariuszy publicznych. Polski kodeks karny stanowi, że wszelkie gratyfikacje mające usprawnić rozpoznanie sprawy przez funkcjonariusza publicznego będą stanowiły przestępstwo [2]. W takim przypadku ograniczenie się do przetłumaczenia na język polski procedury zawierającej dopuszczalne formy facility payments będzie działaniem niewłaściwym a wręcz bardzo ryzykownym.

Poza aktualizacją procedur w sferze prawnej, konieczne będzie również zwrócenie uwagi na adekwatność przykładów w nich zawartych. Jak wynika z badania przeprowadzonego przez King’s College London oraz Ipsos w 2020 r. [3] – poziom akceptacji społecznej na przejawy działań mogących zostać ocenionych jako molestowanie seksualne lub mobbing jest w Stanach Zjednoczonych na zupełnie innym poziomie niż w Polsce. Odpowiadając na pytanie o to, czy akceptowalne jest opowiadanie historii lub żartów o podtekście seksualnym, jedynie 10% ankietowanych z US odpowiedziało, że jest to akceptowalne a 86% że nieakceptowalne. Ankietowani pochodzący z Polski mieli inne zdanie – 27% uznało że takie zachowania są akceptowalne a jedynie 58%, że nieakceptowalne. Równie istotne różnice widoczne były w odpowiedziach na pytanie, czy respondent czułby się pewnie reagując na seksistowski komentarz współpracownika [4].

Dlatego też przykłady pochodzące z procedur opracowanych w innych porządkach prawnych powinny na gruncie polskim zostać zmienione i odpowiednio dostosowane tak, aby odzwierciedlały realne wątpliwości ich użytkowników. W Polsce bowiem wciąż zbyt często przejawy molestowania seksualnego tłumaczone są jako „nieszkodliwy, sprośny żart”. 

Podsumowanie

Projektując system compliance należy podjąć starania, aby każdy pracownik zachowywał się w sposób prawidłowy, zgodny z oczekiwaniami pracodawcy, wynikającymi m.in. w procedur wewnętrznych – tak właśnie działa kultura compliance. Ten schemat działania pracowników pomoże zapobiec nieprawidłowościom albo ujawnić te, które już wystąpiły i podjąć wobec nich środki zaradcze. O tym, czy kultura compliance wpisze się w codzienne zachowania pracowników, z dużym prawdopodobieństwem zadecyduje nie kompleksowość procedury i jej wyczerpująca merytorycznie treść, ale właśnie jej łatwość w odbiorze i użytkowaniu.

Jeśli zatem pracodawca posiada już kompleksowe regulacje compliance a jednocześnie ma poczucie, że budowanie kultury compliance wciąż wymaga pracy, warto sięgnąć po opisane wyżej narzędzia, które – angażując stosunkowo mały nakład pracy – mogą przynieść wymierne efekty.

Przypisy:

[1] Foreign Corrupt Practices Act.

[2] Art. 229 § 1 Kodeksu karnego.

[3] international-womens-day-2020.pdf (squarespace.com)

[4]
US – gdy seksisowski komentarz pochodzi od współpracownika na wyższym szczeblu, 53% procent respondentów czułaby się pewnie reagując na niego, a w przypadku, gdy pochodzi od współpracownika na niższym szczeblu 65%.
PL – gdy seksisowski komentarz pochodzi od współpracownika na wyższym szczeblu, 32% procent respondentów czułaby się pewnie reagując na niego, a w przypadku, gdy pochodzi od współpracownika na niższym szczeblu 36%.

 

Napisz do autora:

Magdalena Gutowska

adwokat
Senior Associate

Approved Compliance Expert (ACE)
Approved Whistleblowing Officer

  1. Strony:
  2. 1
  3. 2

Pin It on Pinterest