Wdrożenie SZBI zgodnego z ustawą o KSC
Ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI). Firmy objęte ustawą od 3 kwietnia 2026 r. mają na to czas do 3 kwietnia 2027 r. Wdrażamy SZBI na gotowych, sprawdzonych wzorach dokumentacji. Ocena luk od 8 000 zł netto, wdrożenie w stałej cenie ustalanej po ocenie luk.
Czym jest SZBI w ustawie o KSC?
System zarządzania bezpieczeństwem informacji (SZBI) to uporządkowany sposób, w jaki organizacja szacuje ryzyko, dobiera zabezpieczenia i sprawdza, czy działają. Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC). Zgodnie z jej art. 8 ust. 1 podmiot kluczowy lub podmiot ważny wdraża SZBI w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie jego usługi.
SZBI to nie pojedynczy dokument, tylko działający system: polityki i procedury, zabezpieczenia techniczne i organizacyjne, obsługa incydentów oraz regularna ocena ich skuteczności. Decyzje w sprawie przygotowania, wdrożenia, stosowania, przeglądu i nadzoru SZBI podejmuje kierownik podmiotu (art. 8d).
Co musi zapewniać SZBI
Art. 8 ust. 1 ustawy wymienia pięć obszarów, które system ma zapewniać. Poniżej ich streszczenie.
Szacowanie ryzyka
Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem (pkt 1).
Środki techniczne i organizacyjne
Odpowiednie i proporcjonalne do oszacowanego ryzyka. Przy ich doborze uwzględnia się m.in. najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu i prawdopodobieństwo incydentów (pkt 2).
Wiedza o zagrożeniach
Zbieranie informacji o cyberzagrożeniach i podatnościach systemu informacyjnego wykorzystywanego do świadczenia usługi (pkt 3).
Zarządzanie incydentami
Proces zarządzania incydentami (pkt 4). Zgłaszanie incydentów poważnych do właściwego CSIRT ustawa reguluje osobno, w art. 11.
Ograniczanie skutków incydentów
M.in. ochrona poufności, integralności, dostępności i autentyczności danych, regularne aktualizacje oprogramowania, ochrona przed nieuprawnioną modyfikacją i niezwłoczna reakcja na podatności (pkt 5).
Środki wymienione w ustawie wprost (art. 8 ust. 1 pkt 2)
- polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne
- bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji systemu, w tym jego testowanie
- bezpieczeństwo fizyczne i środowiskowe, z kontrolą dostępu
- bezpieczeństwo zasobów ludzkich
- bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT
- plany ciągłości działania, plany awaryjne i plany odtworzenia systemu: wdrożone, udokumentowane i testowane
- monitorowanie systemu informacyjnego w trybie ciągłym
- polityki i procedury oceny skuteczności zabezpieczeń
- edukacja personelu z zakresu cyberbezpieczeństwa
- podstawowe zasady cyberhigieny
- polityki i procedury stosowania kryptografii, w tym szyfrowania
- bezpieczna komunikacja elektroniczna, w stosownych przypadkach z uwierzytelnianiem wieloskładnikowym
- zarządzanie aktywami
- polityki kontroli dostępu
Kto musi wdrożyć SZBI i do kiedy?
Obowiązek z art. 8 dotyczy podmiotów kluczowych i podmiotów ważnych. Podmioty, które spełniały przesłanki ustawy już w dniu jej wejścia w życie, mają 12 miesięcy na realizację obowiązków z rozdziału 3 ustawy, w tym wdrożenie SZBI (art. 33 ust. 1). Firma, która zaczęła spełniać przesłanki później, np. po przejęciu innej spółki, ma 12 miesięcy od tego dnia (art. 16).
Ustawa obowiązuje
Nowe obowiązki obejmują podmioty kluczowe i podmioty ważne.
Termin wdrożenia SZBI
Koniec 12 miesięcy na obowiązki z rozdziału 3 dla podmiotów objętych ustawą od 3 kwietnia 2026 r. (art. 33 ust. 1).
Pierwszy audyt i kary
Termin pierwszego audytu podmiotów kluczowych (art. 33 ust. 2). Od tego dnia mogą być nakładane kary pieniężne z art. 73 ust. 1–4 i art. 73a (art. 35).
Odpowiedzialność kierownika podmiotu
- Odpowiada za wykonanie obowiązków z zakresu cyberbezpieczeństwa, także wtedy, gdy powierzył je innej osobie (art. 8c).
- Podejmuje decyzje w sprawie SZBI, planuje środki finansowe na cyberbezpieczeństwo i nadzoruje wykonanie zadań (art. 8d).
- Raz w roku kalendarzowym przechodzi szkolenie; udział w nim musi być udokumentowany (art. 8e).
- Dopuszcza osoby do zadań z art. 8 (SZBI) i art. 11 (incydenty) po otrzymaniu informacji z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f).
Kary
Za niewdrożenie SZBI albo system niespełniający wymogów art. 8 grozi kara pieniężna: dla podmiotu kluczowego do 10 mln euro lub 2% przychodów (stosuje się kwotę wyższą), dla podmiotu ważnego do 7 mln euro lub 1,4% przychodów (art. 73). Niezależnie od tego kierownik podmiotu może zostać ukarany kwotą do 300% wynagrodzenia (art. 73a). Te kary mogą być nakładane od 3 kwietnia 2028 r. (art. 35). Odroczenie nie obejmuje jednak kary do 100 mln zł z art. 73 ust. 5: grozi ona już teraz, jeśli naruszenie przepisów powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego lub życia i zdrowia ludzi albo zagrożenie poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług.
Szczególne przypadki
- Podmioty ważne będące podmiotami publicznymi (oraz część podmiotów systemu szkolnictwa wyższego i nauki) budują SZBI według wymogów z załącznika nr 4 do ustawy (art. 8 ust. 3).
- Dostawcy m.in. usług DNS, chmury obliczeniowej, centrów przetwarzania danych, usług zarządzanych i usług zarządzanych w zakresie cyberbezpieczeństwa stosują w ramach SZBI środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690 (art. 8b).
- Do sektora bankowości i infrastruktury rynków finansowych przepisy o SZBI stosuje się tylko w ograniczonym zakresie (art. 8i). Główną rolę odgrywa tam rozporządzenie DORA.
- Rada Ministrów może określić w rozporządzeniu szczegółowe wymagania dla SZBI w poszczególnych rodzajach działalności (art. 8a).
Nie wiesz, czy Twoja firma jest podmiotem kluczowym lub ważnym? Zacznij od pisemnej opinii NIS2/KSC.
Opinia NIS2/KSCNumery artykułów odnoszą się do ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu po nowelizacji, a art. 33 i 35 do przepisów przejściowych ustawy nowelizującej z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252).
Jak wdrażamy SZBI
Pracujemy etapami. Ocena luk kosztuje od 8 000 zł netto. Wdrożenie wyceniamy po ocenie luk jako cenę stałą. Pierwsza, 30-minutowa konsultacja jest bezpłatna. Dokumentacji nie piszemy od zera: korzystamy z gotowych, sprawdzonych wzorów i dopasowujemy je do Twojej organizacji.
Analiza luk
Porównujemy obecne zabezpieczenia, dokumentację i procesy z wymaganiami art. 8. Ustalamy zakres SZBI, czyli systemy informacyjne wykorzystywane do świadczenia usługi, i listę luk do zamknięcia.
Dokumentacja na gotowych wzorach
Polityki, procedury i rejestry przygotowujemy na sprawdzonych wzorach dokumentacji SZBI: od szacowania ryzyka, przez kontrolę dostępu i łańcuch dostaw, po ciągłość działania.
Wdrożenie środków i procesów
Pomagamy wprowadzić w życie to, co opisuje dokumentacja: szacowanie ryzyka, zarządzanie aktywami i incydentami, współpracę z dostawcami, kopie zapasowe i monitorowanie. Wskazujemy, które zabezpieczenia techniczne trzeba uzupełnić.
Szkolenie kierownictwa
Szkolimy kierownika podmiotu i osoby, którym powierzono obowiązki z zakresu cyberbezpieczeństwa. Ustawa wymaga takiego szkolenia raz w roku kalendarzowym (art. 8e). Pomagamy też zaplanować edukację personelu.
Przegląd i gotowość do audytu
Sprawdzamy, czy system działa w praktyce: przegląd SZBI, ocena skuteczności zabezpieczeń i lista działań korygujących. Tak przygotowujemy podmiot kluczowy do audytu, który musi przeprowadzać co najmniej raz na 3 lata (art. 15). Audytu nie może prowadzić osoba, która realizuje w podmiocie zadania z art. 8 i art. 9–13 ustawy, m.in. w zakresie SZBI i obsługi incydentów, albo realizowała je w roku przed rozpoczęciem audytu (art. 15 ust. 2a).
SZBI a ISO 27001
Ustawa o KSC nie wymaga certyfikatu ISO/IEC 27001, ale norma jest naturalną ramą dla SZBI. Opiera się na szacowaniu ryzyka i obejmuje większość obszarów z art. 8, takich jak polityki bezpieczeństwa, kontrola dostępu, zarządzanie aktywami, bezpieczeństwo dostawców, ciągłość działania czy kryptografia. Jeśli planujesz certyfikację, warto od razu budować jeden system, który odpowiada na oba zestawy wymagań.
Sam certyfikat ISO 27001 nie oznacza jednak automatycznie, że wymagania ustawy są spełnione. Zakres certyfikowanego systemu może być węższy niż system informacyjny wykorzystywany do świadczenia usługi, a część obowiązków wynika wyłącznie z ustawy.
Co zwykle daje SZBI oparty na ISO 27001
- szacowanie ryzyka i plan postępowania z ryzykiem
- polityki bezpieczeństwa, w tym polityki tematyczne
- kontrola dostępu, zarządzanie aktywami i kryptografia
- bezpieczeństwo dostawców i ciągłość działania
- przeglądy zarządzania, audyty wewnętrzne i działania korygujące
Co sprawdzić lub uzupełnić pod KSC
- zakres SZBI: system informacyjny wykorzystywany do świadczenia usługi (art. 8 ust. 1)
- zgłaszanie incydentów poważnych do właściwego CSIRT: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin (art. 11)
- dokumentacja bezpieczeństwa systemu informacyjnego, w tym dokumentacja ochrony infrastruktury (art. 10)
- osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9)
- coroczne szkolenie kierownika (art. 8e) i informacja z KRK dla osób realizujących zadania z art. 8 (art. 8f)
- audyt bezpieczeństwa podmiotu kluczowego co najmniej raz na 3 lata (art. 15)
- środki z aktów wykonawczych UE, jeśli dotyczą Twojego rodzaju działalności (art. 8b)
Ustawa pozwala ministrowi właściwemu do spraw informatyzacji opublikować zestawienie wymogów dokumentów normalizacyjnych (norm), których stosowanie realizuje obowiązki z ustawy (art. 45 ust. 3). Takie zestawienie ma pomóc w określeniu szczegółowych wymagań SZBI w poszczególnych sektorach. Same obowiązki wynikają wprost z art. 8 ustawy.
Wdrożenie ISO 27001