Nie, analiza ryzyka RODO i analiza ryzyka w SZBI to nie to samo, choć korzystają w dużej części z tych samych danych. Analiza ryzyka RODO ocenia ryzyko naruszenia praw lub wolności osób fizycznych, które wynika z przetwarzania ich danych osobowych (art. 24, 25, 32 i 35 RODO). Analiza ryzyka w systemie zarządzania bezpieczeństwem informacji według ustawy o krajowym systemie cyberbezpieczeństwa ocenia ryzyko incydentu dla systemów informacyjnych i dla zadań, które jednostka nimi wykonuje, także tam, gdzie nie ma żadnych danych osobowych. Jedna metodyka i wspólne rejestry są w porządku, ale każda analiza musi mieć własny zakres, kryteria i wyniki.
Ryzyko w RODO: skutki dla ludzi
RODO kilka razy powtarza tę samą formułę: administrator dobiera środki, uwzględniając ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia. Pojawia się ona w:
- art. 24 ust. 1 - odpowiedzialność administratora; środki przegląda się i uaktualnia w razie potrzeby,
- art. 25 ust. 1 - uwzględnianie ochrony danych w fazie projektowania,
- art. 32 ust. 1 - bezpieczeństwo przetwarzania; ust. 2 każe przy tym uwzględnić ryzyko przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia danych lub dostępu do nich,
- art. 35 - ocena skutków dla ochrony danych, gdy ryzyko może być wysokie.
Skutek mierzy się po stronie człowieka: dyskryminacja, kradzież tożsamości, strata finansowa, naruszenie dobrego imienia, utrata kontroli nad własnymi danymi (motyw 75). Prawdopodobieństwo i wagę ocenia się obiektywnie, z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania (motyw 76). Przedmiotem analizy są czynności przetwarzania i zbiory danych, a nie systemy same w sobie.
Dwa przykłady pokazują granicę. Awaria systemu sterowania ogrzewaniem, który nie przetwarza danych osobowych, nie jest ryzykiem RODO. Wysłanie listy uczniów z informacjami o ich zdrowiu pod zły adres - jest, nawet jeśli wszystkie systemy działały bez zarzutu.
Ryzyko w SZBI: systemy, informacje i ciągłość zadań
Ustawa o KSC definiuje ryzyko jako kombinację prawdopodobieństwa wystąpienia zdarzenia niepożądanego i jego konsekwencji, a szacowanie ryzyka jako całościowy proces identyfikacji, analizy i oceny ryzyka (art. 2). Po nowelizacji (Dz.U. 2026 poz. 252) wymagania zależą od rodzaju podmiotu.
Podmiot kluczowy i podmiot ważny wdraża SZBI, który zapewnia systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie nim (art. 8 ust. 1 pkt 1) oraz środki proporcjonalne do oszacowanego ryzyka, uwzględniające m.in. koszty, wielkość podmiotu, prawdopodobieństwo incydentów oraz skutki społeczne i gospodarcze (pkt 2). Wśród nich są polityki szacowania ryzyka (lit. a), bezpieczeństwo łańcucha dostaw ICT (lit. e), plany ciągłości działania, awaryjne i odtworzenia (lit. f) oraz zarządzanie aktywami (lit. m). Dyrektywa NIS 2, którą ustawa wdraża, opiera te środki na podejściu uwzględniającym wszystkie zagrożenia (art. 21 ust. 2) - nie tylko ataki, ale też awarie, pożar czy błąd dostawcy.
Podmiot ważny publiczny stosuje art. 8 ust. 3 i załącznik nr 4, który wylicza minimalne środki: inwentaryzację ICT, kontrolę uprawnień, kopie zapasowe, procedury na wypadek awarii i incydentu, szkolenia. Sam załącznik nie nazywa osobno analizy ryzyka, ale każe przeglądać SZBI bezzwłocznie, gdy zmieniają się okoliczności wpływające na ryzyko incydentu poważnego (cz. III pkt 3). Jednostki publiczne mają też obowiązek okresowych analiz ryzyka utraty integralności, dostępności lub poufności informacji z § 19 ust. 2 pkt 3 rozporządzenia o Krajowych Ramach Interoperacyjności (Dz.U. 2024 poz. 773). Bez analizy ryzyka trudno wykazać, że dobrane środki są wystarczające. Jak ustalić rodzaj podmiotu, opisujemy w artykule Podmiot ważny publiczny w KSC.
Co odróżnia analizę SZBI od analizy RODO:
- zakres - wszystkie informacje i systemy: budżet, system dziedzinowy, strona internetowa, poczta, sterowanie budynkiem, także bez danych osobowych,
- dostępność - w RODO to jeden z aspektów bezpieczeństwa, w SZBI pytanie główne: jak długo jednostka wytrzyma bez danego systemu,
- łańcuch dostaw - dostawcy ICT, także ci, którzy nie mają dostępu do danych osobowych i nie podpisują umowy powierzenia,
- ryzyko szczątkowe - poziom ryzyka po zastosowaniu zabezpieczeń, świadomie przyjęty przez kierownictwo,
- analiza wpływu na działanie (BIA) - dla procesów ustala się maksymalny tolerowany czas przerwy (MTPD), czas przywrócenia (RTO) i dopuszczalną utratę danych (RPO).
Porównanie w jednej tabeli
| Analiza ryzyka RODO | Analiza ryzyka SZBI | |
|---|---|---|
| Podstawa | art. 24, 25, 32 i 35 RODO | art. 8 ust. 1 pkt 1-2 ustawy o KSC; dla podmiotu ważnego publicznego art. 8 ust. 3 i załącznik nr 4 |
| Czyje ryzyko | osób, których dane dotyczą | jednostki, jej systemów i zadań, a pośrednio odbiorców usług |
| Zakres | czynności przetwarzania danych osobowych | wszystkie systemy informacyjne i informacje |
| Typowy skutek | dyskryminacja, kradzież tożsamości, szkoda finansowa, utrata kontroli nad danymi | przerwa w zadaniach, utrata lub zafałszowanie informacji, koszty, skutki społeczne |
| Wynik | dobór środków z art. 32, decyzja o ocenie skutków | plan postępowania z ryzykiem, BIA, plany ciągłości |
Co mają wspólnego
Obie analizy pracują na tym samym materiale:
- aktywa - sprzęt, oprogramowanie, usługi chmurowe, nośniki,
- zagrożenia - kradzież laptopa, ransomware, phishing, pożar, błąd pracownika,
- zabezpieczenia - kopie zapasowe, szyfrowanie, kontrola dostępu, szkolenia,
- rejestry - osoby i stanowiska, budynki i pomieszczenia, dostawcy.
Przykład: ransomware w sekretariacie szkoły. W analizie RODO to utrata dostępności i możliwy wyciek danych uczniów - skutek dla rodzin. W analizie SZBI to kilka dni bez sekretariatu i dziennika - skutek dla zadań szkoły. Zagrożenie jest jedno, zabezpieczenie jedno (kopie odseparowane i testowane, załącznik nr 4 cz. I pkt 10-11), a ocen skutku dwie.
Jedna metodyka, dwa zakresy
W praktyce dobrze działa taki układ:
- Jedna skala i jeden wzór: ryzyko to iloczyn prawdopodobieństwa (P) i skutku (S).
- Wspólne katalogi zagrożeń i zabezpieczeń oraz wspólny rejestr aktywów.
- Osobne perspektywy skutku: dla osób, dla bezpieczeństwa informacji, dla ciągłości działania.
- SZBI dokłada systemy bez danych osobowych, dostawców ICT i BIA.
- RODO zachowuje własne wyniki: decyzję o ocenie skutków dla ochrony danych (art. 35) i ocenę naruszenia ochrony danych pod kątem ryzyka dla osób (art. 33-34).
- Jeden termin przeglądu dla obu analiz.
Największa pułapka to przenoszenie oceny z jednej perspektywy do drugiej. Wyciek danych o zdrowiu kilkorga uczniów nie zakłóca pracy szkoły, więc w SZBI może wyjść nisko, a dla rodzin jest poważny. Odwrotnie: dzień bez strony internetowej gminy nie dotyka niczyich praw, a dla SZBI bywa istotny. Dlatego naruszenia ochrony danych osobowych ocenia się według RODO niezależnie od tego, czy to samo zdarzenie jest incydentem w rozumieniu ustawy o KSC.
ISO/IEC 27005 i 27001 - pomoc, nie obowiązek
ISO/IEC 27001 opisuje wymagania dla SZBI, w tym szacowanie ryzyka i postępowanie z nim, a ISO/IEC 27005 to wytyczne do zarządzania ryzykiem bezpieczeństwa informacji. Ani RODO, ani ustawa o KSC nie nakazują ich stosowania ani certyfikacji. Warto po nie sięgnąć jako po uporządkowany wzorzec metodyki - zwłaszcza że art. 8a pozwala Radzie Ministrów określić szczegółowe wymagania dla SZBI z uwzględnieniem rekomendacji międzynarodowych. Warto sprawdzić, czy takie rozporządzenie zostało już wydane.
Więcej o tym, jak SZBI rośnie na dokumentacji RODO, piszemy w artykule Wdrożenie SZBI krok po kroku.
Jak pomaga Cyberenu
W Cyberenu analiza ryzyka RODO obejmuje zbiór, grupę zbiorów albo czynność przetwarzania. Każda pozycja wskazuje zagrożenie z katalogu, scenariusz, P i S w skali 1-4 oraz zabezpieczenia, które już działają. R = P × S i poziom (akceptowalne, niskie, średnie, wysokie) są liczone, a ryzyko wymagające działań dostaje reakcję z działaniem, odpowiedzialnym i terminem. Arkusz w skali 1-5 można zaimportować z przeliczeniem do skali 1-4, a o terminie przeglądu przypomina powiadomienie na 30 dni wcześniej.
Gdy jednostka włączy SZBI, dochodzi analiza całego podmiotu w skali 1-5: każda pozycja jest oceniana w trzech perspektywach - bezpieczeństwo informacji, dane osobowe, ciągłość działania - z ryzykiem szczątkowym, a BIA z MTPD, RTO i RPO prowadzi się obok. Obie analizy korzystają z tych samych rejestrów dokumentacji RODO. O szczegóły zapytaj przez formularz kontaktowy.
