System zarządzania bezpieczeństwem informacji (SZBI) to zestaw zasad, rejestrów i powtarzalnych czynności, dzięki którym jednostka zna swoje systemy, ocenia ryzyko, obsługuje incydenty i co jakiś czas sprawdza, czy to wszystko działa. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wymaga, by SZBI działał do 3 kwietnia 2027. Zostało około pięciu miesięcy - to wystarczy, jeśli praca jest rozpisana na kwartały i zbudowana na dokumentacji RODO, którą jednostka już ma.
Czym jest SZBI według ustawy o KSC
Ustawa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 i każe wdrożyć SZBI wszystkim trzem rodzajom podmiotów. Podmioty kluczowe i ważne robią to według art. 8 ust. 1. Podmiot ważny publiczny - m.in. samorządowa jednostka budżetowa, zakład budżetowy czy instytucja kultury - według art. 8 ust. 3 i załącznika nr 4, który ma osiemnaście punktów. Jak ustalić, do której grupy należy jednostka, opisujemy w artykule Podmiot ważny publiczny w KSC.
Jednostki publiczne nie zaczynają od zera. Rozporządzenie w sprawie Krajowych Ram Interoperacyjności z 21 maja 2024 r. (Dz.U. 2024 poz. 773) wymaga SZBI w § 19. Obowiązuje ono najdłużej do 23 lutego 2027, gdy wchodzi w życie nowy art. 18 ustawy o informatyzacji. To, co powstało na podstawie KRI, warto wykorzystać.
SZBI to nie segregator. To przede wszystkim terminy: przeglądy, testy, szkolenia i audyty, które ktoś musi pamiętać i wykonać.
Obowiązki do 3 kwietnia 2027
- SZBI - polityka, zasady, analiza ryzyka, rejestry i plan czynności,
- osoba do kontaktów (art. 9),
- obsługa i zgłaszanie incydentów poważnych przez system S46 (art. 11 ust. 2),
- szkolenie kierownika - kierownik odpowiada osobiście i przechodzi szkolenie raz w roku (art. 8c-8e),
- informacja z Krajowego Rejestru Karnego od osoby realizującej zadania z ustawy (art. 8f).
Kary za niewykonanie obowiązków można nałożyć dopiero po 3 kwietnia 2028, ale same obowiązki działają od 3 kwietnia 2027.
Dokumenty SZBI
W Cyberenu dokumenty SZBI powstają z tych samych rejestrów co dokumentacja RODO:
| Obszar | Dokumenty |
|---|---|
| Zasady | Polityka systemu zarządzania bezpieczeństwem informacji; Procedura obsługi incydentów; Zasady dostępu do systemów informacyjnych; Zasady cyberhigieny |
| Wymagania | Wykaz wymagań SZBI; Raport zgodności SZBI |
| Ryzyko i aktywa | Analiza ryzyka SZBI; Rejestr aktywów SZBI |
| Rejestry | Rejestr incydentów SZBI; Rejestr uprawnień do systemów; Rejestr dostawców usług i produktów ICT; Rejestr audytów bezpieczeństwa |
| Ciągłość działania | Analiza wpływu na działanie; Plany ciągłości działania, awaryjne i odtworzenia; Rejestr testów ciągłości działania |
| Plan i przegląd | Kalendarz, cele i wskaźniki SZBI; Protokół przeglądu SZBI |
Wykaz wymagań to lista punktów ustawy, które wiążą jednostkę, z dokumentem realizującym każdy z nich. Raport zgodności pokazuje, które wymagania są ocenione jako spełnione, a które nie.
Analiza ryzyka
Analiza ryzyka RODO dotyczy danych osobowych. Analiza ryzyka SZBI obejmuje całą jednostkę: systemy, usługi i informacje, także te bez danych osobowych. Zaczyna się od rejestru aktywów - każde ma właściciela, klasę informacji i krytyczność. W Cyberenu ryzyko ocenia się w skali 1-5, z ryzykiem szczątkowym po zastosowaniu zabezpieczeń, a wynikiem jest plan postępowania z ryzykiem z terminami i odpowiedzialnymi.
Ciągłość działania: BIA, MTPD, RTO, RPO
Analiza wpływu na działanie (BIA) odpowiada na pytanie, które zada każdy kierownik po awarii: jak długo możemy nie działać? Dla każdego procesu ustala się:
- MTPD - maksymalny tolerowany czas przerwy, po którym skutki stają się nie do przyjęcia,
- RTO - czas, w jakim proces ma zostać przywrócony,
- RPO - punkt, z którego dane muszą dać się odtworzyć, czyli ile danych można stracić.
Na tej podstawie powstają plany ciągłości działania, plany awaryjne i plany odtworzenia, a ich testy trafiają do rejestru z oceną, czy cele zostały osiągnięte. Dla podmiotów kluczowych i ważnych ciągłość działania jest wprost elementem SZBI z art. 8 ust. 1. Podmiot ważny publiczny powinien sprawdzić, czego w tym zakresie wymaga od niego załącznik nr 4 - ale nawet przy węższym zakresie BIA szybko pokazuje, który system jest naprawdę krytyczny.
Dostawcy ICT i uprawnienia
Dostawcy ICT to wszyscy, od których zależą systemy jednostki: producent oprogramowania, firma serwisowa, dostawca internetu czy hostingu. Część z nich jest też podmiotem przetwarzającym w rozumieniu RODO, a część nie ma dostępu do danych osobowych i nie podpisuje umowy powierzenia. Rejestr dostawców ICT obejmuje jednych i drugich.
Uprawnienia do systemów to konta: kto ma dostęp do którego systemu i w jakiej roli. To co innego niż upoważnienie RODO, które mówi o danych. Rejestr uprawnień łączy osobę z systemem z rejestru aktywów, a okresowy przegląd wychwytuje konta osób, które już nie pracują.
Cele, wskaźniki i przeglądy
SZBI potrzebuje celów, które da się zmierzyć - na przykład odsetek pracowników przeszkolonych z cyberhigieny albo terminowość przeglądów uprawnień. Kalendarz czynności zbiera terminy z rejestrów: przegląd SZBI, szkolenie kierownika, przegląd uprawnień, przegląd analizy ryzyka, testy planów. Podmiot ważny publiczny przegląda SZBI co najmniej raz w roku. Podmiot kluczowy przechodzi audyt bezpieczeństwa co 3 lata, pierwszy do 3 kwietnia 2028. Podmiotowi ważnemu i ważnemu publicznemu organ może nakazać audyt po incydencie poważnym albo naruszeniu przepisów.
Realny plan na pozostałe miesiące
| Okres | Co zrobić |
|---|---|
| Listopad-grudzień 2026 | ustalić status jednostki, porozumieć się z gminą w sprawie wspólnej obsługi, wyznaczyć osobę do kontaktów, spisać systemy, dostawców ICT i uprawnienia, przejrzeć dokumentację RODO |
| Styczeń-luty 2027 | analiza ryzyka SZBI i plan postępowania z ryzykiem, analiza wpływu na działanie, polityka SZBI, zasady dostępu i cyberhigieny, procedura obsługi incydentów i ustalenie, kto zgłasza przez S46 |
| Marzec 2027 | plany ciągłości, awaryjne i odtworzenia, cele i wskaźniki, ocena wymagań i raport zgodności, szkolenie kierownika, przyjęcie dokumentów i szkolenie pracowników |
| Do 3 kwietnia 2027 | SZBI działa: rejestry są prowadzone, incydenty obsługiwane, terminy w kalendarzu |
| Kwiecień-grudzień 2027 | pierwsze testy planów, przegląd uprawnień, pierwszy przegląd SZBI, aktualizacja dokumentów po wydaniu rozporządzeń |
| Do 3 kwietnia 2028 | pierwszy audyt podmiotu kluczowego; po tym dniu można nakładać kary |
Plan jest napięty, ale wykonalny, bo pierwsze dwa miesiące to głównie zbieranie faktów, które w dużej części są już w dokumentacji RODO.
Na fundamencie dokumentacji RODO
Jednostka z uporządkowaną dokumentacją RODO ma już wykaz osób i stanowisk, budynków i pomieszczeń, aktywów i podmiotów przetwarzających, analizę ryzyka, instrukcję postępowania przy naruszeniu i plan ciągłości działania. SZBI z tego korzysta i dokłada to, czego RODO nie wymaga.
Jedno zastrzeżenie: do końca października 2026 nie znaleźliśmy rozporządzeń wykonawczych do nowej ustawy, a dotychczasowe obowiązują najdłużej do 3 kwietnia 2027. Dokumenty SZBI powinny więc odsyłać do przepisów wykonawczych zamiast powtarzać ich treść i być gotowe na aktualizację.
Jak Cyberenu prowadzi wdrożenie
W Cyberenu SZBI włącza się jedną cechą w danych jednostki i korzysta z rejestrów dokumentacji RODO. Ścieżka wdrożenia ma te same dwanaście kroków co RODO i sześć kolejnych: podstawa i obowiązki, analiza ryzyka, ciągłość działania, dostawcy i uprawnienia, cele i wymagania, audyty i przeglądy. Kalendarz przypomina o terminach, a wydanie obejmuje całą dokumentację - RODO i SZBI razem. O incydentach piszemy w artykule Incydent poważny w KSC. Formy współpracy opisuje oferta, a o wdrożenie możesz zapytać przez formularz kontaktowy.
