Art. 6zzr

1. Karze pieniężnej podlega podmiot krytyczny, który:

1) nie przeprowadza oceny ryzyka, o której mowa w art. 6zt ust. 1 pkt 1;

2) nie wdraża rozwiązań organizacyjno-technicznych, o których mowa w art. 6zt ust. 1 pkt 2;

3) nie opracowuje lub nie aktualizuje dokumentacji, o której mowa w art. 6zu ust. 1;

4) nie wykonuje obowiązku, o którym mowa w art. 6zv ust. 1 pkt 1, w zakresie obsługi incydentu istotnego;

5) nie wykonuje obowiązku, o którym mowa w art. 6zv ust. 1 pkt 4;

6) nie przeprowadza audytu;

7) nie wyznacza pełnomocnika bezpieczeństwa usługi kluczowej lub zastępcy pełnomocnika bezpieczeństwa usługi kluczowej, o których mowa w art. 6zzd ust. 1;

8) uniemożliwia lub utrudnia przeprowadzanie kontroli, o której mowa w art. 6zzi ust. 2 pkt 1;

9) nie wykonuje w wyznaczonym terminie zaleceń pokontrolnych, o których mowa w art. 6zzn ust. 1;

10) nie wdraża rozwiązań dotyczących ochrony infrastruktury krytycznej, o których mowa w art. 6ze ust. 1 pkt 2, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej;

11) nie opracowuje dokumentacji ochrony infrastruktury krytycznej, o której mowa w art. 6zf ust. 1, w odniesieniu do infrastruktury krytycznej niezbędnej do świadczenia usługi kluczowej.

2. Wysokość kary pieniężnej, o której mowa w ust. 1:

1) pkt 1, wynosi do 100 000 zł;

2) pkt 2, wynosi do 150 000 zł;

3) pkt 3, wynosi do 50 000 zł;

4) pkt 4, wynosi do 20 000 zł za każdy stwierdzony przypadek zaniechania obsługi incydentu istotnego;

5) pkt 5, wynosi do 25 000 zł za każdy stwierdzony przypadek niezgłoszenia incydentu istotnego;

6) pkt 6, wynosi do 200 000 zł;

7) pkt 7, wynosi do 15 000 zł;

8) pkt 8, wynosi do 50 000 zł;

9) pkt 9, wynosi do 200 000 zł;

10) pkt 10, wynosi do 150 000 zł;

11) pkt 11, wynosi do 50 000 zł.

3. Wysokość kary pieniężnej, o której mowa w ust. 1:

1) pkt 4, 5 i 7, nie może być mniejsza niż 2000 zł;

2) pkt 3, 8 i 11, nie może być mniejsza niż 5000 zł;

3) pkt 1, 2, 6, 9 i 10, nie może być mniejsza niż 15 000 zł.