Punkt przewodnika: obowiązki cykliczne – co roku, co trzy lata i w sposób ciągły. Poziom: średni. Zakładamy, że masz zbudowany SZBI albo kończysz jego budowę.
Wdrożenie KSC nie ma linii mety. Ma moment, w którym budowa się kończy i zaczyna się ruch – w naszej osi czasu to drugi kwartał 2027 r., zaraz po terminie 3.04.2027 r. Nazywamy to puszczeniem wdrożenia: system przestaje być projektem, a staje się rytmem.
Porównanie, które najlepiej to opisuje: budowa hali produkcyjnej kończy się odbiorem, ale przeglądy techniczne, kalibracje maszyn i szkolenia BHP wracają co roku i nikt nie uznaje ich za „dokończenie budowy”. Tak samo działa KSC. I właśnie tutaj papierowe wdrożenie zawodzi najczęściej: dokument da się napisać raz, ale powtarzalnych terminów z dowodami nie da się odhaczyć jednym projektem.
Czego się nauczysz
- Jak podzielić obowiązki, żeby dały się zarządzać.
- Które siedem rzeczy wraca co roku i jaki dowód po każdej zostaje.
- Jak przygotować audyt co 3 lata i kogo można wybrać audytorem.
- Które obowiązki nie mają terminu, bo są ciągłe.
- Jak zbudować kalendarz, który sam się pilnuje.
- Co archiwizować i jak długo.
- Dlaczego brak dowodu jest tą samą luką co brak dokumentu.
1. Trzy kategorie obowiązków – klucz do zarządzania SZBI
Cały ten przewodnik trzyma się jednego podziału i warto go teraz powtórzyć, bo to on organizuje życie po wdrożeniu.
| Kategoria | Co ją uruchamia | Dowód | Przykłady |
| Jednorazowe | jedno zdarzenie na starcie | statyczny dokument | samoidentyfikacja, uchwała zarządu, rejestracja w Wykazie KSC |
| Cykliczne | kalendarz | powtarzalny zapis z datą | szkolenie kierownika, szacowanie ryzyka, testy BCP, audyt co 3 lata |
| Zdarzeniowe | sytuacja, najczęściej incydent | zapis z zegarem | zgłoszenia 24h i 72h, zmiana danych w wykazie w 14 dni |
Gdzie w tym podziale są obowiązki ciągłe? To podgrupa cyklicznych o zerowej przerwie między cyklami: monitorowanie systemów, zbieranie informacji o zagrożeniach i podatnościach, aktualizacja dokumentacji. Nie mają jednej daty w roku, ale mają wymagany stan – i dowód, że ten stan trwał.
Praktyczna wartość tego podziału jest prosta: każda kategoria potrzebuje innego narzędzia. Jednorazowe da się obsłużyć segregatorem. Cykliczne wymagają kalendarza z właścicielami. Zdarzeniowe i ciągłe wymagają systemu, bo kalendarz nie wie, że coś się właśnie stało, a segregator nie wie, że log przestał się zapisywać.
Rekap: jednorazowe, cykliczne, zdarzeniowe. Ciągłe to cykliczne bez przerwy. Każda kategoria to inne narzędzie.
Zrób teraz: przejrzyj swój plan wdrożenia i przy każdym zadaniu postaw literę J, C albo Z. Zadania z literą C i Z potrzebują właściciela na stałe, nie do zamknięcia projektu.
2. Coroczne obowiązki – siedem powtórek w roku
To rdzeń rytmu. Poniżej pełna lista wraz z podstawą i dowodem, który zostaje po każdym cyklu.
| Obowiązek | Częstotliwość | Podstawa | Dowód |
| Szkolenie kierownika i osoby odpowiedzialnej za cyberbezpieczeństwo | co roku | art. 8e | udokumentowany udział, zaświadczenie |
| Szacowanie ryzyka | systematycznie; zalecamy co roku oraz po istotnych zmianach | art. 8 ust. 1 pkt 1 | raport z szacowania, plan postępowania z ryzykiem |
| Przegląd SZBI przez kierownika – decyzje, budżet, nadzór | zalecamy co roku | art. 8d | protokół przeglądu zarządzania |
| Ocena skuteczności środków bezpieczeństwa | zalecamy co roku | art. 8 ust. 1 pkt 2 lit. h | mierniki, raport |
| Testy planów ciągłości działania (BCP i DRP) | zalecamy co roku | art. 8 ust. 1 pkt 2 lit. f | protokół z testu |
| Szkolenia personelu i cyberhigiena | cyklicznie; zalecamy co roku oraz przy onboardingu | art. 8 ust. 1 pkt 2 lit. i-j | lista obecności, materiały |
| Przegląd ocen dostawców ICT | zalecamy co roku | art. 8 ust. 2 | zaktualizowany rejestr dostawców |
Zwróć uwagę na jedno rozróżnienie w tej tabeli, bo bywa źródłem nieporozumień. Tylko szkolenie kierownika ma w ustawie wprost wskazaną częstotliwość roczną (art. 8e). Pozostałe pozycje ustawa opisuje słowem „systematycznie” albo pozostawia bez wskazania interwału – roczny cykl jest naszą rekomendacją, wynikającą z tego, że jest naturalnym rytmem sprawozdawczym organizacji i daje spójny zestaw dowodów za każdy rok. Jeśli przyjmiesz inny interwał, zapisz go w polityce i uzasadnij oceną ryzyka. Interwał nieopisany jest gorszy od interwału długiego.
Druga uwaga dotyczy kolejności w roku. Zalecamy ustawić przegląd zarządczy jako ostatni punkt cyklu, bo wtedy kierownik dostaje na wejściu komplet: wynik szacowania ryzyka, mierniki skuteczności, wynik testu odtworzeniowego, stan rejestru dostawców. Przegląd zrobiony w styczniu „na czysto” jest spotkaniem bez danych.
Rekap: siedem powtórek w roku, każda z jednym dowodem. Roczny interwał zapisz w polityce.
Zrób teraz: wpisz do polityki bezpieczeństwa jedno zdanie o przyjętym interwale dla każdej z siedmiu pozycji. To pięć minut, które zamykają pytanie „skąd ta częstotliwość”.
3. Obowiązki co 3 lata: audyt bezpieczeństwa podmiotu kluczowego
Audyt bezpieczeństwa co najmniej raz na 3 lata, przeprowadzany na własny koszt, to obowiązek wyłącznie podmiotów kluczowych (art. 15 ust. 1); trzyletni okres liczy się od dnia sporządzenia i podpisania raportu z ostatniego audytu. Pierwszy audyt ma się odbyć do 3.04.2028 r. – w tej samej dacie, w której aktywują się kary pieniężne. Zawarcie umowy z audytorem i przeprowadzenie audytu to obowiązek J13 w naszej sekwencji.
Trzy rzeczy decydują o tym, czy audyt przebiegnie spokojnie.
Wybór audytora. Audytor musi spełniać wymogi z art. 15 ust. 2. Kluczowe ograniczenie, o którym trzeba pamiętać przy planowaniu modelu operacyjnego: audytu nie może przeprowadzić osoba realizująca w podmiocie audytowanym zadania z art. 8 oraz art. 9-13 ani osoba, która realizowała je w ciągu roku przed rozpoczęciem audytu (art. 15 ust. 2a) – co w praktyce wyklucza dostawcę prowadzącego Twój SZBI. Jeśli zdecydowałeś się na model z dostawcą, audytora planujesz jako osobny podmiot i osobny budżet.
Przekazanie raportu. Raport z audytu przekazujesz organowi w terminie 3 dni roboczych od dnia jego otrzymania przez podmiot (art. 15 ust. 1a). To termin krótki i łatwy do przegapienia w wakacyjnym rytmie, dlatego zalecamy traktować go jak obowiązek zdarzeniowy: wyzwalaczem jest dzień, w którym raport dotarł do organizacji, a nie zakończenie prac audytora.
Przygotowanie dowodów. Audyt trzyletni nie bada intencji, lecz zapisy z całego okresu. Jeśli przez trzy lata nie zbierałeś dowodów operacyjnych, audytu nie da się nadrobić w miesiąc – to jedyny obowiązek w tym artykule, którego nie da się przygotować „na termin”.
Dodatkowo pamiętaj, że obok audytu cyklicznego istnieje audyt ad hoc: organ może nakazać jego przeprowadzenie na Twój koszt – podmiotowi kluczowemu w każdym czasie, a podmiotowi ważnemu w przypadku incydentu poważnego lub innego naruszenia przepisów (art. 15 ust. 1b, art. 53 ust. 2 pkt 2). Decyzja podlega natychmiastowemu wykonaniu i nie czeka na koniec moratorium na kary.
Rekap: co najmniej raz na 3 lata, na własny koszt, tylko podmiot kluczowy, pierwszy do 3.04.2028 r., raport do organu w 3 dni robocze od dnia jego otrzymania przez podmiot (art. 15 ust. 1a), audytor spoza osób realizujących zadania z art. 8 oraz 9-13.
Zrób teraz: jeśli jesteś podmiotem kluczowym, wpisz do kalendarza dwie daty – rozmowy z audytorami na trzeci kwartał 2027 r. i sam audyt na przełom 2027 i 2028 r. Wolne terminy audytorów skończą się na wiosnę 2028 r.
4. Obowiązki ciągłe – te bez daty w kalendarzu
Cztery obszary działają bez przerwy, a dowodem nie jest jednorazowy protokół, lecz nieprzerwany ślad.
Monitorowanie systemów (art. 8 ust. 1 pkt 2 lit. g) – w trybie ciągłym, własnym SOC albo przez dostawcę usług zarządzanych bezpieczeństwem (art. 14). Dowody: logi z zachowaną retencją, raporty SOC lub dostawcy, zapisy obsłużonych alertów.
Zbieranie informacji o cyberzagrożeniach i podatnościach (art. 8 ust. 1 pkt 3) – źródła threat intelligence, subskrypcje CVE, biuletyny CSIRT, cykliczne skanowanie podatności. Dowody: raporty ze skanów, ślad reakcji na konkretne ostrzeżenia. Do tego dochodzi zarządzanie aktualizacjami: regularne poprawki zgodnie z zaleceniami producenta, z analizą wpływu i krytyczności (art. 8 ust. 1 pkt 5 lit. b).
Aktualizacja dokumentacji bezpieczeństwa (art. 10) – na bieżąco, z nadzorem nad dokumentacją i oznaczaniem kolejnych wersji (ust. 6) oraz retencją co najmniej 2 lat od wycofania z użytkowania lub zakończenia świadczenia usługi (ust. 7). Dowód: rejestr wersji, a przy niszczeniu – protokół brakowania (ust. 8).
Monitorowanie dostawców (art. 8 ust. 1 pkt 2 lit. e w zw. z art. 8 ust. 2) – między corocznymi przeglądami obserwujesz incydenty u dostawców i zmiany w ich sytuacji.
Do tej listy dopiszemy dwa obszary, które formalnie nie są ciągłe, ale wymagają nieprzerwanej czujności, bo ich terminy liczą się w dniach od zdarzenia. Pierwszy: skrzynka w systemie S46, w której obowiązuje fikcja doręczenia po 14 dniach od wysłania pisma (art. 46b). Drugi: aktualizacja danych w Wykazie KSC w 14 dni od zmiany (art. 7c ust. 3) oraz korekta w 7 dni na wezwanie organu (art. 7k). Żaden kalendarz roczny tego nie obsłuży – potrzebny jest właściciel i proces.
Warto też rozważyć udział w wymianie informacji o cyberzagrożeniach na podstawie porozumień (art. 8h). To obowiązek fakultatywny, ale zasila obszar threat intelligence i jest tanim dowodem dojrzałości.
Rekap: monitorowanie, threat intelligence, dokumentacja, dostawcy. Plus stała czujność wobec S46 i danych w wykazie.
Zrób teraz: sprawdź jedną rzecz w warstwie ciągłej, o której najłatwiej zapomnieć – czy retencja logów bezpieczeństwa pokrywa okres, za który możesz być pytany.
5. Jak zbudować harmonogram i kalendarz obowiązków cyklicznych
Kalendarz obowiązków to najtańsze narzędzie w całym KSC i jednocześnie to, którego najczęściej brakuje. Zalecamy prowadzić go jako jeden arkusz, w którym każdy wiersz to jeden obowiązek:
| Kolumna | Co wpisujesz |
| Obowiązek | nazwa w brzmieniu, które rozumie właściciel |
| Podstawa prawna | artykuł, ustęp, punkt, litera |
| Częstotliwość | rocznie, co 3 lata, ciągle |
| Termin w roku | konkretny miesiąc, nie „w ciągu roku” |
| Właściciel | imiennie, plus zastępca |
| Dowód | co dokładnie powstaje po wykonaniu |
| Miejsce dowodu | ścieżka w repozytorium |
| Status i data wykonania | z ostatniego cyklu |
Cztery zasady, które sprawiają, że taki arkusz naprawdę działa:
Termin ma mieć miesiąc, nie rok. „Raz w roku” oznacza w praktyce grudzień, a grudzień oznacza przesunięcie. Rozłóż siedem obowiązków rocznych na cztery kwartały.
Przypomnienie wyprzedza termin o kwartał przy zadaniach, które wymagają cudzej dostępności – szkolenia, testy odtworzeniowe, audyt.
Właściciel jest osobą, nie działem. Dział nie odbiera przypomnień.
Dowód wpisany z góry. Kolumna „dowód” wypełniona przed wykonaniem zadania zmienia sposób jego wykonania – wiadomo, że ma powstać protokół, więc ktoś go pisze.
I rzecz o skali, bo ona zmienia narzędzie. Pojedynczej małej organizacji kalendarz wystarcza. W grupie kapitałowej te same obowiązki mnożą się przez liczbę spółek i dają setki terminów rocznie – wtedy arkusz przestaje wystarczać nie z powodu złożoności, lecz liczby. Rekomendowany model to piasta i szprychy: centrala prowadzi kalendarz grupowy, pilnuje wzorców i organizuje szkolenia oraz audyty pakietowo, a spółki wykonują minimum lokalne i dostarczają dowody.
Rekap: jeden arkusz, miesiąc zamiast roku, imienny właściciel, dowód wpisany z góry. Przy wielu spółkach kalendarz centralny.
Zrób teraz: rozpisz siedem obowiązków rocznych na cztery kwartały i przypisz im nazwiska. To jedno posiedzenie, które ustawia cały następny rok.
6. Zbieranie dowodów operacyjnych – co archiwizować, jak i jak długo
Dowód operacyjny to zapis, który udowadnia, że norma opisana w dokumencie faktycznie działała. Bez niego zostaje deklaracja.
Co powstaje w typowym cyklu rocznym – i co warto archiwizować od pierwszego roku:
- zaświadczenia ze szkolenia kierownika i osób z powierzonymi obowiązkami (art. 8e),
- raport z szacowania ryzyka i zaktualizowany plan postępowania z ryzykiem,
- protokół przeglądu zarządzania z decyzjami i budżetem (art. 8d),
- zestawienie mierników i raport z oceny skuteczności środków (lit. h),
- protokół z testu planów ciągłości i odtworzenia (lit. f),
- listy obecności i materiały ze szkoleń personelu (lit. i-j),
- zaktualizowany rejestr dostawców ICT z kartami ocen (art. 8 ust. 2),
- raporty SOC lub dostawcy, logi z zachowaną retencją, zapisy obsługi alertów (lit. g),
- raporty ze skanowania podatności i ślad reakcji na ostrzeżenia (pkt 3),
- rejestr wersji dokumentacji z datami wejścia w życie i wycofania (art. 10),
- raport z audytu i potwierdzenie przekazania go organowi (art. 15).
Jak archiwizować, żeby dowód pozostał dowodem:
Data i autor na każdym zapisie. Protokół bez daty i podpisu jest notatką.
Wersja dokumentu, do której zapis się odnosi. Dowód z 2027 r. powinien dać się połączyć z wersją polityki obowiązującą w 2027 r.
Jedno miejsce, jedna struktura. Zalecamy katalog na rok i podkatalogi zgodne z podstawą prawną, a nie z działami – działy się reorganizują, artykuły nie.
Retencja dopasowana do wymogu. Dokumentację przechowujesz co najmniej 2 lata od wycofania z użytkowania lub zakończenia świadczenia usługi (art. 10 ust. 7). Domyślna rotacja logów bywa krótsza niż okres, za który możesz być pytany – to jedna z najczęstszych cichych luk.
Rekap: jedenaście typowych dowodów rocznych, każdy z datą, autorem i powiązaniem z wersją dokumentu. Retencja minimum 2 lata od wycofania.
Zrób teraz: utwórz w repozytorium katalog na bieżący rok z podkatalogami dla siedmiu obowiązków rocznych. Puste katalogi w grudniu powiedzą Ci wszystko o stanie zgodności.
7. Pułapka „compliance na papierze”
To najważniejszy wniosek całego artykułu. W audycie luki obowiązuje reguła kompletu: przepis plus dokument normatywny plus dowód operacyjny. Brak dowodu jest tą samą luką co brak dokumentu – nie jest usterką mniejszej wagi ani formalnością do uzupełnienia później.
Dlaczego papierowe wdrożenie zawodzi właśnie w warstwie cyklicznej, widać po naturze tych obowiązków. Dokument piszesz raz i jest gotowy. Ale test planu ciągłości ma się zdarzyć w każdym roku, szkolenie ma mieć listę obecności za każdy rok, a mierniki mają istnieć za każdy okres. Nie ma tu momentu, w którym praca się kończy – jest tylko rytm, który albo jest utrzymany, albo widać w nim dziurę.
Trzy powody, dla których warto uszczelnić to teraz, a nie w 2028 r.:
Dowodów nie da się odtworzyć wstecz. Możesz w miesiąc napisać dziesięć polityk. Nie napiszesz w miesiąc protokołu z testu, który się nie odbył, ani listy obecności ze szkolenia, którego nie było.
Nadzór działa już dziś. Moratorium do 3.04.2028 r. dotyczy wyłącznie kar pieniężnych (art. 35 ustawy zmieniającej). Kontrole, ostrzeżenia i nakazy obowiązują teraz na podstawie art. 53 ust. 2, 4 i 5 – w tym audyt ad hoc na własny koszt (art. 15 ust. 1b) i polecenie zabezpieczające ministra (art. 67g).
Ekspozycja jest niesymetryczna. Od 3.04.2028 r. kara dla podmiotu kluczowego może wynieść do 10 mln EUR lub 2% rocznego przychodu (art. 73 ust. 3), a dla podmiotu ważnego do 7 mln EUR lub 1,4% (art. 73 ust. 4); kierownik podmiotu odpowiada osobno karą do 300% wynagrodzenia (art. 73a ust. 4) – osobiście i niezależnie od tego, komu powierzył zadania (art. 8c ust. 3). Koszt utrzymania rytmu to kilka spotkań i kilka protokołów w roku.
Prosty test, który zalecamy przeprowadzać raz na kwartał, w duchu pytania, jakie zada kontrola: wybierz losowo jedno wymaganie i poproś o dowód z ostatnich dwunastu miesięcy. Jeśli dowód znajduje się w minutę, rytm działa. Jeśli trwa to trzy dni i kończy się rekonstrukcją z pamięci, masz lukę – jeszcze przed kontrolą, czyli w najlepszym możliwym momencie.
Rekap: brak dowodu to pełnoprawna luka. Dowodów nie da się odtworzyć wstecz, a nadzór nie czeka do 2028 r.
Checklista do samodzielnego wykonania
Ten rytm łatwiej utrzymać, gdy ma formę listy: osiem punktów obowiązków corocznych, trzyletnich i ciągłych zebraliśmy jako listę nr 7 w pliku „10 checklist zgodności z ustawą o KSC”. To jedyna lista z kompletu, do której będziesz wracać co roku – pozostałe dziewięć przechodzisz raz, w kolejności wdrożenia.
Mini-test – sprawdź się w 6 pytaniach
- Czym różnią się obowiązki cykliczne od zdarzeniowych?
- Który obowiązek roczny ma częstotliwość wskazaną wprost w ustawie?
- Kto podlega audytowi co 3 lata i w jakim terminie przekazuje raport organowi?
- Kto nie może być audytorem w audycie obowiązkowym?
- Dlaczego przegląd zarządczy warto ustawić jako ostatni punkt cyklu rocznego?
- Dlaczego braku dowodów nie da się nadrobić przed kontrolą?
Odpowiedzi: 1. Cykliczne uruchamia kalendarz, zdarzeniowe – sytuacja, najczęściej incydent, z terminem liczonym w godzinach lub dniach od zdarzenia. 2. Szkolenie kierownika i osób z powierzonymi obowiązkami – co roku (art. 8e); przy pozostałych roczny cykl jest rekomendacją. 3. Podmiot kluczowy; raport przekazuje organowi w 3 dni robocze od dnia jego otrzymania (art. 15 ust. 1a). 4. Osoba realizująca w podmiocie audytowanym zadania z art. 8 oraz 9-13, także jeśli realizowała je w ciągu roku przed audytem – co wyklucza dostawcę prowadzącego SZBI (art. 15 ust. 2a). 5. Bo wtedy kierownik dostaje komplet danych: ryzyko, mierniki, wynik testu, stan rejestru dostawców. 6. Bo dowód dotyczy zdarzenia z przeszłości – protokołu z testu, który się nie odbył, nie da się napisać wstecz.
Co dalej
W rytmie rocznym najczęściej wypadają obowiązki kadrowe, bo mieszkają poza działem IT: weryfikacja niekaralności osób realizujących zadania z art. 8 i 11, szkolenia kierownictwa oraz bezpieczeństwo zasobów ludzkich. O tych trzech grupach – i o dowodach, których wymagają – w kolejnym artykule przewodnika.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: lipiec 2026 r. Przy wdrożeniu weryfikuj wydawane rozporządzenia wykonawcze oraz komunikaty Ministerstwa Cyfryzacji.
