Kogo dotyczy obowiązek SZBI
Obowiązek wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) wynika z art. 8 ust. 1 KSC: „Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym do świadczenia usługi”. Obowiązek dotyczy zarówno podmiotów kluczowych (PK), jak i ważnych (PW) — różnica polega tylko na intensywności nadzoru. Dla podmiotów ważnych będących podmiotami publicznymi możliwe jest stosowanie uproszczonej wersji z zał. nr 4 (art. 8 ust. 3 KSC).
Pełen SZBI vs uproszczony zał. 4
| Wariant SZBI | Komu dotyczy | Podstawa prawna | Zakres |
|---|---|---|---|
| Pełen SZBI (14 obszarów) | Wszystkie PK + PW niebędące podmiotami publicznymi | art. 8 ust. 1 pkt 2 lit. a–n | Pełna lista 14 obszarów + szacowanie ryzyka |
| Uproszczony SZBI (zał. 4) | PW będące podmiotami publicznymi (mniejsze JST, szkoły, biblioteki, samorządowe ZOZ-y) | art. 8 ust. 3 KSC + zał. nr 4 | Lista kontrolna minimalnych wymagań — bez szacowania ryzyka |
Zakres usługi — 14 obszarów
Wdrażamy SZBI obejmujący wszystkie 14 obszarów wymienionych w art. 8 ust. 1 pkt 2 lit. a–n KSC. Każdy obszar dostosowujemy do wyników szacowania ryzyka, wielkości podmiotu, stanu wiedzy technicznej oraz kosztów wdrożenia (zasada proporcjonalności z art. 8 ust. 1).
- Polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego (lit. a) — metodyka ISO 27005, NIST CSF, rejestr ryzyk
- Bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji (lit. b) — Secure SDLC, patch management
- Bezpieczeństwo fizyczne i środowiskowe z kontrolą dostępu (lit. c) — strefy, karty, CCTV, UPS
- Bezpieczeństwo zasobów ludzkich (lit. d) — weryfikacja, NDA, onboarding/offboarding, art. 8f (niekaralność)
- Bezpieczeństwo łańcucha dostaw produktów, usług i procesów ICT (lit. e) — rejestr dostawców, klauzule SLA
- Plany ciągłości działania — opracowanie, dokumentowanie, testowanie, utrzymanie (lit. f) — BCP, DRP, RTO/RPO
- Monitorowanie systemu informacyjnego w trybie ciągłym (lit. g) — SIEM, IDS/IPS, logi 24/7
- Polityki oceny skuteczności środków bezpieczeństwa (lit. h) — KPI/KRI, przeglądy zarządcze
- Edukacja i wzrost świadomości w zakresie cyberbezpieczeństwa (lit. i) — szkolenia, kampanie phishing
- Stosowanie środków uwierzytelniania wieloskładnikowego (lit. j) — MFA, SSO, hasła sprzętowe
- Polityki w zakresie kryptografii i szyfrowania (lit. k) — szyfrowanie at-rest, in-transit, zarządzanie kluczami
- Bezpieczeństwo łączności (lit. l) — segmentacja sieci, VPN, TLS, zarządzanie firewallami
- Postępowanie z incydentami i podatnościami (lit. m) — procedura zgłaszania (art. 11), playbooki
- Środki zapobiegania ujawnianiu informacji niejawnych (lit. n) — DLP, klasyfikacja danych
Proces — 6 etapów wdrożenia
Wdrożenie SZBI prowadzimy w sześciu etapach. Czas realizacji zależy od skali podmiotu i dojrzałości obecnych zabezpieczeń — typowy projekt to 4-9 miesięcy od kick-offu do gotowego, działającego SZBI.
| Etap | Czas trwania | Produkt etapu |
|---|---|---|
| 1. Analiza luk | 2–4 tyg. | Raport gap analysis vs. art. 8 ust. 1 pkt 2 lit. a–n |
| 2. Szacowanie ryzyka | 3–6 tyg. | Rejestr ryzyk, mapa ryzyk, plan postępowania |
| 3. Polityki i procedury | 4–8 tyg. | Komplet dokumentacji SZBI (polityka bezpieczeństwa, 14 obszarów) |
| 4. Wdrożenie środków technicznych | 8–16 tyg. | MFA, SIEM, kopie 3-2-1, segmentacja, monitoring |
| 5. Szkolenia i świadomość | 2–4 tyg. | Plan szkoleń, kampanie phishing, onboarding/offboarding |
| 6. Przegląd zarządczy | 1 tydz. | Przegląd kierownictwa, akceptacja SZBI, plan ciągłego doskonalenia |
Terminy wdrożenia
| Sytuacja podmiotu | Termin wdrożenia SZBI | Podstawa prawna |
|---|---|---|
| Podmiot istniejący w dniu wejścia w życie ustawy (3.04.2026) | do 3 kwietnia 2027 r. (12 mies. od wejścia w życie) | art. 33 ust. 1 ustawy nowelizującej |
| Podmiot powstający lub osiągający przesłanki po 3.04.2026 | 12 miesięcy od dnia spełnienia przesłanek | art. 16 pkt 1 KSC |
Dokumenty wyjściowe
- Polityka bezpieczeństwa informacji (dokument główny SZBI)
- 14 polityk obszarowych zgodnych z art. 8 ust. 1 pkt 2 lit. a–n (lub lista zał. 4 dla PW publicznych)
- Rejestr ryzyk z metodyką szacowania (zgodny z lit. a)
- Rejestr dostawców ICT z oceną ryzyka (lit. e)
- Plan ciągłości działania (BCP) i plan odtwarzania (DRP) — testowane corocznie (lit. f)
- Procedury reagowania na incydenty i playbooki (lit. m)
- Plan szkoleń i wzrostu świadomości (lit. i)
- Rejestr przeglądów zarządczych SZBI