Ustawa z 23 stycznia 2026 r. nowelizująca ustawę o krajowym systemie cyberbezpieczeństwa (uKSC) implementuje dyrektywę NIS 2 i nakłada na podmioty kluczowe oraz podmioty ważne obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI). Termin na realizację tego obowiązku wynosi 12 miesięcy od spełnienia przesłanek uznania podmiotu za kluczowy lub ważny, a pierwszy audyt bezpieczeństwa musi zostać przeprowadzony w ciągu 24 miesięcy.
Konsekwencje zaniechania są poważne: odpowiedzialność administracyjna podmiotu oraz osobista odpowiedzialność kierownika. Co istotne, ustawa wprost przesądza, że powierzenie obowiązków innej osobie nie zwalnia kierownika z odpowiedzialności.
Poniższy przewodnik opisuje wdrożenie SZBI krok po kroku, zgodnie z wymaganiami uKSC.
Krok 1 – Określ zakres SZBI i zasadę proporcjonalności
Punktem wyjścia jest zdefiniowanie, które systemy informacyjne podlegają SZBI. Ustawa wskazuje, że obowiązek obejmuje systemy informacyjne wykorzystywane w procesach wpływających na świadczenie usługi.
Kluczową zasadą uKSC jest proporcjonalność: środki techniczne i organizacyjne muszą być odpowiednie do szacowanego ryzyka, z uwzględnieniem wielkości podmiotu, kosztów wdrożenia oraz aktualnego stanu wiedzy technicznej. Oznacza to, że mały podmiot ważny nie musi stosować identycznych środków co duża infrastruktura krytyczna – musi natomiast umieć uzasadnić swoje wybory w oparciu o udokumentowaną ocenę ryzyka.
Podmioty publiczne będące podmiotami ważnymi mogą wdrażać SZBI w oparciu o uproszczony katalog wymagań określony w Załączniku nr 4 do ustawy.
Krok 2 – Przeprowadź ocenę ryzyka
Systematyczne szacowanie ryzyka to fundament całego SZBI – ustawa expressis verbis wymaga zarządzania ryzykiem incydentu jako podstawy doboru środków. Ocena ryzyka nie jest jednorazowym projektem: musi być powtarzana przy każdej istotnej zmianie w systemie informacyjnym oraz towarzyszyć cyklicznym przeglądom SZBI.
Prawidłowo przeprowadzona ocena ryzyka obejmuje: inwentaryzację aktywów, identyfikację zagrożeń i podatności, ocenę prawdopodobieństwa i potencjalnych skutków incydentu oraz wybór proporcjonalnych środków ograniczających ryzyko do akceptowalnego poziomu. Wyniki oceny bezpośrednio determinują, które polityki i środki techniczne należy wdrożyć – i w jakiej kolejności.
Krok 3 – Zbuduj strukturę organizacyjną
Ustawa daje podmiotom wybór: można powołać wewnętrzne struktury cyberbezpieczeństwa albo zlecić realizację zadań zewnętrznemu dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP). Możliwe jest również podejście hybrydowe.
Niezależnie od wyboru modelu, kierownik podmiotu ponosi osobistą odpowiedzialność za SZBI i jest zobowiązany do:
- podejmowania decyzji dotyczących przygotowania, wdrażania i nadzoru SZBI,
- planowania adekwatnych środków finansowych na cyberbezpieczeństwo,
- zapewnienia odpowiednich kompetencji personelu,
- odbycia corocznego szkolenia z zakresu cyberbezpieczeństwa (z udokumentowanym udziałem).
Osoby faktycznie realizujące zadania z zakresu SZBI muszą ponadto przedstawić zaświadczenie o niekaralności za przestępstwa przeciwko ochronie informacji.
Krok 4 – Opracuj dokumentację SZBI
Ustawa nakłada obowiązek opracowania, stosowania i aktualizowania dokumentacji bezpieczeństwa systemu informacyjnego, obejmującej dwie warstwy:
Dokumentacja normatywna – polityki i procedury regulujące sposób działania. Obowiązkowe polityki obejmują m.in.: nadrzędną politykę SZBI i szacowania ryzyka, polityki tematyczne (kontrola dostępu, kryptografia, ciągłość działania, zarządzanie podatnościami, cyberhigiena), dokumentację planów ciągłości działania i planów awaryjnych oraz dokumentację techniczną systemu.
Dokumentacja operacyjna – zapisy potwierdzające faktyczne wykonywanie czynności: logi systemowe, protokoły z testów, rejestry szkoleń, raporty z przeglądów.
Nadzór nad dokumentacją musi zapewniać: dostępność wyłącznie dla osób upoważnionych, ochronę przed utratą i nieuprawnioną modyfikacją oraz wersjonowanie kolejnych wydań. Dokumentację przechowuje się co najmniej 2 lata od wycofania z użytkowania lub zakończenia świadczenia usługi.
Krok 5 – Wdroż środki techniczne i organizacyjne
Ustawa precyzuje obowiązkowe obszary środków. Najważniejsze z nich to:
- Zarządzanie aktywami – inwentaryzacja produktów, usług i procesów ICT; regularne aktualizacje oprogramowania z analizą wpływu i poziomu krytyczności.
- Kontrola dostępu – zasada minimalnych uprawnień, uwierzytelnianie wieloskładnikowe (MFA) tam, gdzie jest to uzasadnione, zasady bezpiecznej pracy zdalnej, bezzwłoczne cofanie uprawnień.
- Kryptografia – polityka stosowania kryptografii i szyfrowania stosownie do wyników oceny ryzyka.
- Łańcuch dostaw ICT – ocena ryzyka dostawców, klauzule umowne, monitorowanie podatności po stronie dostawcy.
- Kopie zapasowe – odseparowane logicznie i fizycznie, regularnie testowane pod kątem kompletności i możliwości odtworzenia.
- Monitorowanie ciągłe – objęcie systemu informacyjnego ciągłym monitorowaniem (np. SIEM/SOC) z rejestracją zdarzeń.
- Ochrona przed złośliwym oprogramowaniem – oprogramowanie antywirusowe, stosowanie stabilnych wersji produktów ICT bez krytycznych podatności.
- Zapewnienie CIAA – mechanizmy zapewniające poufność, integralność, dostępność i autentyczność danych.
Krok 6 – Zapewnij ciągłość działania
Ustawa wymaga opracowania, wdrożenia, udokumentowania i regularnego testowania trzech rodzajów dokumentów: planu ciągłości działania, planu awaryjnego oraz planu odtworzenia działalności. Plany muszą umożliwiać ciągłe świadczenie usługi nawet w przypadku poważnego incydentu, w tym przy konieczności skorzystania z zewnętrznego wsparcia odtworzeniowego. Plany „papierowe”, nigdy niesprawdzone w praktyce, nie spełniają wymogu ustawy.
Krok 7 – Wdróż procedury zarządzania incydentami
Procedura zarządzania incydentami jest obowiązkowym elementem SZBI. Musi uwzględniać ustawową sekwencję raportowania incydentu poważnego do właściwego CSIRT sektorowego:
- wczesne ostrzeżenie – w ciągu 24 godzin od wykrycia,
- zgłoszenie właściwe – w ciągu 72 godzin,
- sprawozdania okresowe – na wniosek CSIRT,
- sprawozdanie końcowe – w ciągu miesiąca od zgłoszenia.
W przypadku poważnego cyberzagrożenia podmiot informuje użytkowników o możliwych środkach zapobiegawczych; w przypadku incydentu poważnego – o samym incydencie i jego wpływie na świadczone usługi.
Krok 8 – Oceń skuteczność i przeprowadź audyt
Ustawa wymaga wdrożenia polityk i procedur oceny skuteczności środków technicznych i organizacyjnych. Przegląd SZBI powinien odbywać się co najmniej raz w roku, a także niezwłocznie po wydaniu rekomendacji przez Pełnomocnika Rządu ds. Cyberbezpieczeństwa lub po wystąpieniu okoliczności istotnie zwiększających ryzyko incydentu.
Podmioty kluczowe są zobowiązane do przeprowadzania audytu bezpieczeństwa co najmniej raz na 3 lata (pierwszy – w ciągu 24 miesięcy od spełnienia przesłanek uznania). Audyt musi być niezależny: nie może go przeprowadzać osoba realizująca zadania SZBI ani osoba, która robiła to w ciągu roku przed audytem. Kopię raportu z audytu przekazuje się organowi właściwemu ds. cyberbezpieczeństwa w terminie 3 dni roboczych od jego otrzymania.
Harmonogram wdrożenia SZBI
| Etap | Działanie | Termin |
| 1 | Kwalifikacja podmiotu i określenie zakresu SZBI | Niezwłocznie |
| 2 | Ocena ryzyka | Przed wdrożeniem środków |
| 3 | Powołanie struktur / wybór MSSP | W toku wdrożenia |
| 4 | Dokumentacja normatywna i operacyjna | W toku wdrożenia |
| 5 | Wdrożenie środków technicznych i organizacyjnych | Do 12 miesięcy |
| 6 | Testowanie planów BCM/DR | Cyklicznie po opracowaniu |
| 7 | Procedury zarządzania incydentami | Do 12 miesięcy |
| 8 | Szkolenia kierownictwa i pracowników | Coroczne |
| 9 | Przegląd SZBI i ocena skuteczności | Co najmniej raz w roku |
| 10 | Audyt bezpieczeństwa | Do 24 miesięcy; następnie co 3 lata |
Wdrożenie SZBI zgodnego z uKSC to nie jednorazowy projekt, lecz trwały proces zarządzania ryzykiem. Jego powodzenie zależy przede wszystkim od zaangażowania kierownictwa, rzetelnej oceny ryzyka i systematycznego dokumentowania podejmowanych działań.
