Co mówi ustawa i stanowisko MC
Ustawa o KSC nie zawiera przepisu o domniemaniu zgodności dla systemów certyfikowanych na zgodność z normą PN-EN ISO/IEC 27001 czy PN-EN ISO 22301. Obowiązek wdrożenia SZBI wynika wprost z art. 8 ust. 1 i jest oceniany według treści ustawy, a nie według posiadanego certyfikatu. Ministerstwo Cyfryzacji wskazuje, że organizacje, które wdrożyły SZBI według jednego z dostępnych standardów, mogą wykorzystać i dostosować istniejącą dokumentację — ale sama dokumentacja to za mało, a cyberbezpieczeństwo musi być realne, a nie papierowe (Q&A 3.6). Zakupiona i podpisana dokumentacja „zgodna z NIS2” nie zapewnia zgodności z ustawą (Q&A 3.7). Szerszy kontekst polityki państwa — patrz: Sprawozdanie Pełnomocnika 2025 — wnioski KSC.
Istniejący SZBI wg ISO 27001 można wykorzystać jako podstawę, dostosowując go do art. 8 KSC — w tym do zakresu systemów wpływających na świadczenie usługi (Q&A 3.4). Poza SZBI pozostają odrębne obowiązki ustawy (wpis do wykazu, raportowanie incydentów, szczegóły łańcucha dostaw), których norma nie reguluje. W konsekwencji firma z ISO 27001 może skupić się na uzupełnieniu luk względem KSC, bez duplikowania wdrożenia podstawowego systemu zarządzania bezpieczeństwem.
Co ISO 27001 realnie pokrywa z KSC
ISO 27001:2022 zawiera 93 kontrole zgrupowane w czterech obszarach (organizacyjne, ludzkie, fizyczne, technologiczne). Większość z nich ma bezpośrednie odzwierciedlenie w wymogach KSC określonych w art. 8 ust. 1.
| Obszar KSC (art. 8) | Kontrola ISO 27001:2022 | Stopień pokrycia |
|---|---|---|
| Analiza i zarządzanie ryzykiem | Klauzule 6.1, 8.2 + A.5.2, A.5.7 | Pełne |
| Polityka bezpieczeństwa informacji | Klauzula 5.2 + A.5.1 | Pełne |
| Zarządzanie aktywami | A.5.9, A.5.10, A.5.11 | Pełne |
| Kontrola dostępu (w tym MFA) | A.5.15, A.5.16, A.8.2, A.8.5 | Pełne |
| Zarządzanie podatnościami | A.8.8 | Częściowe — KSC wymaga dodatkowo raportowania CSIRT |
| Bezpieczeństwo w łańcuchu dostaw | A.5.19, A.5.20, A.5.21, A.5.22, A.5.23 | Częściowe — KSC ma szersze wymogi co do oceny HRV |
| Incydenty — wykrywanie i reagowanie | A.5.24, A.5.25, A.5.26, A.5.27 | Częściowe — KSC narzuca terminy 24/72h/1mc i kanały CSIRT |
| Ciągłość działania | A.5.29, A.5.30 | Wymaga uzupełnienia przez ISO 22301 |
| Szkolenia personelu | A.6.3 | Częściowe — KSC wymaga szkoleń zarządu (art. 8e) |
| Monitoring i audyt | A.8.15, A.8.16 + klauzula 9.2 | Pełne dla kontroli wewnętrznych |
Czego ISO 27001 nie zastępuje
ISO 27001 jest normą uniwersalną — nie adresuje specyficznych dla KSC wymogów administracyjnych i raportowych. W szczególności certyfikat nie zwalnia z następujących obowiązków:
- Wpis do wykazu S46 (art. 7 KSC) — ISO nie reguluje rejestracji w krajowym wykazie. To czysto administracyjny obowiązek, niezależny od certyfikacji.
- Raportowanie incydentów poważnych do CSIRT (art. 11 KSC) — ISO ma ogólne wymogi raportowania (A.5.25), ale KSC narzuca konkretne terminy (24h/72h/1 miesiąc) i konkretnego adresata (CSIRT sektorowy, nie dowolny organ).
- Ocena i klasyfikacja dostawców jako HRV (art. 67a-67c KSC) — ISO wymaga oceny ryzyka dostawców (A.5.19), ale nie uwzględnia specyficznego reżimu uznawania za dostawcę wysokiego ryzyka decyzją MC.
- Audyt bezpieczeństwa PK co najmniej raz na 3 lata (art. 15 KSC) — ISO przewiduje audyty wewnętrzne i recertyfikację co 3 lata, ale audyt KSC ma odrębne wymogi co do zakresu i audytora (art. 15 ust. 2–2a, wykaz certyfikatów z art. 15 ust. 8).
- Szkolenia obligatoryjne zarządu (art. 8e KSC) — ISO zachęca do świadomości bezpieczeństwa, ale nie narzuca ustawowego obowiązku szkolenia organu zarządzającego co 12 miesięcy.
- Weryfikacja niekaralności personelu SZBI z KRK (art. 8f KSC) — ISO pokrywa ogólnie „screening” personelu (A.6.1), ale polski KSC wymaga zaświadczeń z Krajowego Rejestru Karnego dla ról krytycznych.
- Współpraca z organem właściwym w razie kontroli (art. 53-54 KSC) — ISO nie reguluje współpracy z państwowymi organami nadzoru cyberbezpieczeństwa.
- Kary osobiste kierownika (art. 73a KSC) — ISO nie przewiduje odpowiedzialności osobistej członka zarządu — to polska, ustawowa konsekwencja.
Rola ISO 22301 — ciągłość działania
ISO 22301 — norma zarządzania ciągłością działania (BCMS) — uzupełnia ISO 27001 w obszarze odporności biznesowej. Ustawa o KSC nie odwołuje się do tej normy, ale wymaga planów ciągłości działania, planów awaryjnych i planów odtworzenia (art. 8 ust. 1 pkt 2 lit. f) — ISO 22301 jest dobrym punktem odniesienia do ich budowy. Dla podmiotów świadczących usługi kluczowe (szczególnie zdrowie, energia, woda, finanse) ISO 22301 jest praktycznie niezbędna.
- Analiza BIA (Business Impact Analysis) — identyfikacja procesów krytycznych i maksymalnego tolerowanego czasu przerwy (MTPD).
- Strategia ciągłości — alternatywne ścieżki świadczenia usługi, rezerwy sprzętowe, kontrakty z zewnętrznymi dostawcami backup.
- Plany ciągłości działania (BCP) — procedury przywracania usług w różnych scenariuszach zakłóceń.
- Plany odtwarzania po awarii (DRP) — specyficzne dla IT, zdefiniowane wskaźniki RTO (Recovery Time Objective) i RPO (Recovery Point Objective).
- Testy i ćwiczenia — minimum raz w roku symulacja scenariusza awarii, udokumentowana z wnioskami.
- Współpraca z łańcuchem dostaw — zapewnienie ciągłości usług po stronie dostawców krytycznych.
Jak wykorzystać istniejący certyfikat
Firma posiadająca ISO 27001 (i opcjonalnie ISO 22301) nie musi budować SZBI „od zera" — wystarczy dociągnąć warstwę specyficzną dla KSC. Oto rekomendowana ścieżka:
- Przeprowadź gap analysis — porównaj istniejącą deklarację stosowania (SoA) z wymaganiami art. 8 KSC i załącznikiem nr 3. Zmapuj każdą kontrolę KSC do kontroli ISO.
- Uzupełnij luki specyficzne dla KSC — dopisz do SZBI: procedurę wpisu i aktualizacji w S46, procedurę raportowania do CSIRT z terminami 24/72h/1mc, procedurę oceny i klasyfikacji dostawców HRV.
- Włącz obowiązki kierownicze — dodaj do planu szkoleń organu zarządzającego, zaktualizuj matryce odpowiedzialności (RACI) z uwzględnieniem kierownika jako osoby odpowiedzialnej ustawowo.
- Weryfikacja personelu — procedura pozyskiwania i aktualizowania zaświadczeń z KRK dla ról krytycznych SZBI (art. 8f), zgodna z RODO.
- Dostosuj zakres SZBI — upewnij się, że wszystkie systemy wykorzystywane do świadczenia usługi kluczowej/ważnej są objęte SZBI (może wymagać rozszerzenia zakresu certyfikatu lub osobnego SZBI dla usług KSC).
- Dokumentuj mapowanie — przygotuj tabelę „ISO kontrola → KSC wymóg → dowód zgodności” jako podstawowy dokument do kontroli organu właściwego.
- Planuj recertyfikację ISO i audyt KSC w spójnym cyklu — optymalnie audyty zewnętrzne ISO i audyt KSC (dla PK co 3 lata) organizuj razem, z tym samym dostawcą audytowym.