Fałszywe decyzje, prawdziwe konsekwencje. Nowe ryzyka dla zarządów spółek

Taki przypadek opisuje r.pr. Jakub Mokrzycki, senior associate w kancelarii RKKW – Kwaśnicki, Wróbel i Partnerzy. Atak rozpoczął się od przejęcia skrzynki pocztowej członka zarządu czeskiej spółki sprzedającej towar. Dzięki dostępowi do korespondencji przestępcy poznali szczegóły współpracy i mogli przygotować wiarygodną prośbę o zmianę numeru rachunku bankowego.

Przesyłane przez nich dokumenty były poprawne językowo i odpowiadały stylowi komunikacji kontrahenta. Jak zaznacza Jakub Mokrzycki, do ich przygotowania najprawdopodobniej wykorzystano narzędzia AI.

Członek zarządu spółki kupującej nie zweryfikował otrzymanej prośby i osobiście autoryzował przelew na „nowy” rachunek. Środków nie udało się odzyskać. Jak relacjonuje prawnik, kupujący analizuje obecnie możliwość wystąpienia z roszczeniami przeciwko byłemu już członkowi zarządu. Spółka rozpoczęła również przegląd procedur wewnętrznych.

Przypadek ten pokazuje, jak zmienia się profil zagrożeń, z którymi muszą mierzyć się zarządy. Wyjaśnia również, dlaczego coraz więcej spółek zaczyna traktować ubezpieczenie odpowiedzialności cywilnej członków władz spółek, czyli polisę D&O, jako jeden z elementów ochrony przed konsekwencjami takich zdarzeń.

Atak na proces decyzyjny, a nie na system

Adwokat Łukasz Kowalczyk zwraca uwagę, że przesunięcie ciężaru ryzyka z technologii na organizację i procesy dotyka bezpośrednio obszarów, za które odpowiada zarząd.

W praktyce oznacza to, że incydenty wynikają nie tylko z niedostosowanych zabezpieczeń technicznych, lecz także z braku nadzoru nad procedurami, niedoszacowania ryzyka czy niewystarczających szkoleń.

– W praktyce oznacza to, że incydenty wynikają nie tylko z niedostosowanych zabezpieczeń technicznych, lecz także z braku nadzoru nad procedurami, niedoszacowania ryzyka czy niewystarczających szkoleń – zaznacza adwokat.

Z perspektywy kadry zarządzającej tworzy to nową kategorię zagrożeń. Jak wskazuje r.pr. Jakub Mokrzycki: Ataki coraz częściej polegają na manipulowaniu samymi procesami decyzyjnymi.

– Równie groźne są próby pozyskania poufnych informacji i dokumentów. Mogą one później zostać wykorzystane do szantażu, wyłudzeń lub manipulowania kursem akcji spółki – mówi Jakub Mokrzycki.

Dr inż. Robert Kośla, przewodniczący Rady Fundacji Bezpieczna Cyberprzestrzeń, zwraca uwagę, że atakujący coraz częściej wykorzystują ludzki osąd i luki w procedurach, zamiast próbować przełamywać zabezpieczenia informatyczne.

– To zmienia sposób postrzegania odpowiedzialności. Regulatorzy i akcjonariusze nie pytają już wyłącznie, czy firma miała odpowiednie systemy. Interesuje ich także, czy zarząd właściwie zaprojektował mechanizmy kontroli i skutecznie nadzorował ich działanie – mówi Robert Kośla.

Przeczytaj: Gwarancje ubezpieczeniowe napędzają inwestycyjny szczyt. 43-krotny wzrost wypłat

Kiedy incydent staje się ryzykiem prawnym i finansowym zarządu

Zdaniem Łukasza Kowalczyka, jeżeli zarząd nie zapewni odpowiednich procedur, nie zareaguje na sygnały ostrzegawcze ani nie zainwestuje w bezpieczeństwo, a incydent spowoduje stratę, może pojawić się zarzut niedopełnienia obowiązków.

– To sytuacja analogiczna do spraw znanych z sektora finansowego, np. prowadzenia akcji kredytowej wobec podmiotów nieposiadających zdolności kredytowej przy jednoczesnym przeniesieniu całego ryzyka na podmiot udzielający finansowania – mówi adwokat.

Jak dodaje, coraz więcej przepisów nakłada na kadrę kierowniczą obowiązek zapewnienia odpowiedniego poziomu cyberbezpieczeństwa.

– Jeżeli organizacja nie spełnia wymogów, a incydent ujawnia zaniedbania, odpowiedzialność może dotyczyć nie tylko firmy, lecz także osób podejmujących decyzje. Przykładowo, dyrektywa NIS2 i nowa ustawa o KSC przewidują, że członkowie organów zarządzających mają prawny obowiązek regularnego uczestniczenia w szkoleniach z cyberbezpieczeństwa. Powinni posiadać wiedzę niezbędną do oceny ryzyka oraz podejmowania decyzji. Brak takiego szkolenia sam w sobie stanowi naruszenie prawa – zaznacza Łukasz Kowalczyk.

Jakub Mokrzycki podkreśla, że od członków zarządu wymaga się zachowania szczególnej staranności w prowadzeniu spraw spółki. Obecnie obowiązek ten obejmuje również kwestie związane z cyberbezpieczeństwem.

Oznacza to, że poważny incydent cybernetyczny może powodować nie tylko straty po stronie spółki, lecz także ryzyko prawne i finansowe dla osób nią zarządzających.

– Oznacza to, że poważny incydent cybernetyczny może powodować nie tylko straty po stronie spółki. W grę wchodzi także ryzyko prawne i finansowe dla osób nią zarządzających – mówi prawnik. 

Jego zdaniem największe niebezpieczeństwo pojawia się wtedy, gdy cyberprzestępcy biorą na cel samych członków zarządu.

– Przykładem może być ujawnienie poufnych informacji na podstawie spreparowanego materiału wideo typu deepfake. Możliwa jest też autoryzacja przelewu na podstawie fałszywej wiadomości lub zainstalowanie złośliwego oprogramowania w wyniku skutecznego ataku phishingowego. Takie zdarzenia mogą prowadzić do znacznych strat finansowych oraz utraty wiarygodności na rynku. W niektórych przypadkach mogą również stanowić podstawę do dochodzenia przez spółkę roszczeń wobec członków zarządu – mówi Jakub Mokrzycki.

Prawnik zwraca uwagę, że odpowiedzialność wobec spółki może wynikać nie tylko z konkretnych działań, lecz także z zaniechań.

– Dotyczy to zwłaszcza przypadków, w których nie zapewniono wdrożenia środków cyberbezpieczeństwa wymaganych przez przepisy, w tym m.in. RODO, DORA czy ustawę o krajowym systemie cyberbezpieczeństwa. Co istotne, dwie ostatnie regulacje przewidują możliwość nakładania kar administracyjnych bezpośrednio na osoby pełniące funkcje zarządcze – mówi Jakub Mokrzycki.

Jak dodaje, kwestię odpowiedzialności dodatkowo komplikuje fakt, że przepisy bardzo rzadko wymagają stosowania konkretnych rozwiązań technicznych lub organizacyjnych.

– Zwykle nakazują wdrożenie środków „odpowiednich” do skali działalności i poziomu ryzyka. To członkowie zarządu muszą ostatecznie zdecydować, jakie rozwiązania spełniają ten standard. Ponoszą też z tego tytułu odpowiedzialność – podkreśla prawnik.

Robert Kośla uzupełnia tę ocenę o perspektywę operacyjną zespołów reagowania na incydenty.

– Sama metoda ataku rzadko rodzi odpowiedzialność zarządu. Znaczenie ma przede wszystkim to, w jaki sposób organizacja była przygotowana i jak zareagowała. Odpowiedzialność zarządu może pojawić się, gdy okaże się, że w firmie nie stosowano kontroli „drugiego kanału” przy dużych przelewach, zasady podwójnej autoryzacji ani „okresu schłodzenia” w przypadku pilnych transakcji. Strata przestaje wówczas być „pechem”, a staje się podstawą zarzutu zaniedbania nadzoru nad kontrolami finansowymi. Kieruje się go bezpośrednio do dyrektora finansowego i zarządu – mówi Robert Kośla.

Jak dodaje, skala sankcji przewidzianych w polskiej regulacji jest wymierna. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa przewiduje dla podmiotu kluczowego karę do 10 mln euro lub 2 proc. przychodu, a dla podmiotu ważnego – do 7 mln euro lub 1,4 proc. przychodu. Na kierownika może zostać nałożona kara pieniężna w wysokości do 300 proc. jego miesięcznego wynagrodzenia.

W reżimie rozporządzenia DORA kara dla podmiotu może wynieść do 20,9 mln zł lub 10 proc. rocznego przychodu. Członkowi zarządu odpowiedzialnemu za naruszenie może natomiast grozić kara do 3 mln zł.

Przeczytaj: Pożar, powódź, błąd projektowy. Kto płaci, gdy staje wielka budowa?

Polisa D&O jako ostatnia linia obrony

Rosnące znaczenie polis odpowiedzialności cywilnej członków władz spółek w kontekście cyberbezpieczeństwa podkreśla Łukasz Kowalczyk.

– Polisa cybernetyczna staje się standardowym elementem nowoczesnego zarządzania ryzykiem. Należy jednak traktować ją jako ostatnią linię obrony finansowej. Formę transferu ryzyka, a nie sposób na rozwiązanie problemu braku procedur – zaznacza adwokat.

Podobnego zdania jest Jakub Mokrzycki. Zauważa, że wiele organizacji nadal nie traktuje ochrony decyzyjnej i finansowej kadry zarządzającej jako element systemu cyberbezpieczeństwa.

– Uwaga koncentruje się zwykle na zabezpieczeniach technicznych, procedurach wewnętrznych i szkoleniach pracowników. Podstawowym celem jest bowiem zapobieganie incydentom. Nigdy jednak nie da się wyeliminować wszystkich zagrożeń. W tym kontekście polisy D&O (Directors & Officers) należy postrzegać jako uzupełnienie systemu cyberodporności. Nie zastąpią zabezpieczeń technicznych, ale mogą zapewnić ochronę w przypadku wystąpienia incydentu. Takie rozwiązania będą zapewne zyskiwały na popularności wraz ze wzrostem świadomości samych członków zarządu – mówi Jakub Mokrzycki.

Robert Kośla precyzuje, jaki zakres ochrony może rzeczywiście zapewnić polisa D&O.

Polisa Directors & Officers zabezpiecza majątek osobisty członków zarządu i kadry menedżerskiej. Obejmuje m.in. koszty obrony prawnej, reprezentacji w postępowaniach regulacyjnych i wyjaśniających oraz odszkodowania wynikające z roszczeń akcjonariuszy lub kontrahentów.

– Polisa Directors & Officers zabezpiecza majątek osobisty członków zarządu i kadry menedżerskiej. Obejmuje m.in. koszty obrony prawnej, reprezentacji w postępowaniach regulacyjnych i wyjaśniających oraz odszkodowania wynikające z roszczeń akcjonariuszy lub kontrahentów. Jej znaczenie rośnie, ponieważ polskie przepisy przesuwają ciężar odpowiedzialności ze spółki na konkretną osobę – mówi Robert Kośla.

Ekspert jednocześnie zaznacza, czego polisa D&O nie zastąpi.

– Kary administracyjne nakładane przez organ nadzoru są z reguły nieubezpieczalne. D&O sfinansuje koszty obrony, ale nie „odkupi” samej kary – dodaje Robert Kośla.

Jak podkreśla, skuteczna ochrona wymaga skoordynowania trzech rodzajów ubezpieczeń.

– Polisy cyber, obejmującej bezpośrednią stratę i przerwę w działalności, polisy crime, chroniącej przed kradzieżą środków, oraz D&O, obejmującej odpowiedzialność osobistą – wylicza Robert Kośla.

Rosnące zainteresowanie tego rodzaju ochroną potwierdzają dane rynkowe. Z raportu Allianz Commercial „Directors and Officers (D&O) Insurance Insights 2026” wynika, że cyberataki, w tym ataki ransomware, stały się jednym z czynników napędzających roszczenia wobec członków zarządów. Odpowiedzialność za nadzór nad cyberbezpieczeństwem wynika natomiast bezpośrednio z regulacji unijnych, takich jak dyrektywa NIS2 czy rozporządzenie DORA

.Z kolei „Global Directors’ and Officers’ Survey Report 2025”, przygotowany przez WTW we współpracy z Clyde & Co, pokazuje coś innego. Zdaniem analityków cyberatak i utrata danych znalazły się wśród trzech najważniejszych ryzyk wskazywanych przez dyrektorów i menedżerów na całym świecie. Jednocześnie 61 proc. respondentów uważa, że ich zarząd ma wiedzę i umiejętności potrzebne do nadzorowania kwestii cyberbezpieczeństwa i ochrony danych.

Komentarz partnera cyklu

D&O w erze cyberzagrożeń i nowych form odpowiedzialności menedżerskiej

Umowy ubezpieczenia odpowiedzialności członków władz spółek kapitałowych (D&O) chronią osoby zarządzające przed finansowymi skutkami roszczeń wynikających z błędów, zaniechań lub niewłaściwego nadzoru. Standardowo obejmują szeroko rozumiany krąg osób ubezpieczonych, m.in. członków zarządów i rad nadzorczych, prokurentów oraz likwidatorów, a w określonych sytuacjach także ich małżonków lub partnerów życiowych, jak również samą spółkę.

Ważnym elementem ochrony jest pokrycie kosztów, zwłaszcza kosztów obrony. Może ono przysługiwać przed zgłoszeniem roszczenia, w trakcie jego rozpatrywania oraz po zakończeniu postępowania.

W praktyce roszczenia objęte ubezpieczeniem D&O coraz rzadziej dotyczą pojedynczej, błędnej decyzji biznesowej. Coraz częściej opierają się na zarzutach, że zarząd nie zidentyfikował ryzyka na czas, nie zapewnił odpowiedniego nadzoru albo zbyt późno zareagował na kryzys. Odpowiedzialność menedżerska jest więc oceniana przez pryzmat jakości całego systemu kontroli i nadzoru, a nie tylko pojedynczych decyzji. Wśród najczęściej zgłaszanych zagrożeń pojawiają się ryzyka reputacyjne, cyberzagrożenia oraz roszczenia pracownicze.

W przypadku nowych form oszustw, takich jak podszywanie się pod pracowników czy manipulacje informacyjne, należy odróżnić ryzyko cybernetyczne od ryzyka D&O. Strata finansowa spółki wynikająca np. z fałszywej instrukcji płatniczej co do zasady należy do obszaru ubezpieczenia cyberbezpieczeństwa. Polisa D&O może natomiast mieć znaczenie, gdy wobec zarządzających pojawią się zarzuty braku właściwych procedur, kontroli lub nadzoru nad autoryzacją płatności.

Anna Pawłowska

koordynator ds. underwritingu, Zespół Underwritingu Ubezpieczeń OC i Transportowych

Główne wnioski

1. Cyberprzestępcy coraz częściej wykorzystują socjotechnikę i sztuczną inteligencję, aby wpływać na decyzje zarządów. W rezultacie najsłabszym ogniwem stają się procesy organizacyjne, a nie infrastruktura IT.
2. Odpowiedzialność członków zarządu obejmuje dziś nie tylko skutki podjętych decyzji, lecz także zaniedbania związane z organizacją cyberbezpieczeństwa, szkoleniami oraz nadzorem nad procedurami.
3. Regulacje takie jak NIS2, DORA i ustawa o krajowym systemie cyberbezpieczeństwa zwiększają osobistą odpowiedzialność kadry zarządzającej. Przewidują również możliwość nakładania sankcji finansowych bezpośrednio na menedżerów.