Zbliżający się 3 października 2026 r. zamyka etap rejestracji w wykazie podmiotów kluczowych i ważnych, ale nie kończy dostosowania do nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Najważniejszym obowiązkiem jest wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI). Podmioty, które spełniały ustawowe kryteria 3 kwietnia 2026 r., muszą to zrobić do 3 kwietnia 2027 r.
Czym jest SZBI w rozumieniu ustawy o KSC?
SZBI jest krajowym sposobem realizacji wymogów dyrektywy NIS2 dotyczących zarządzania ryzykiem w cyberbezpieczeństwie. Nie jest to zbiór polityk przygotowanych na potrzeby kontroli. Zgodnie z art. 8 ust. 1 ustawy system obejmuje systemy informacyjne wykorzystywane w procesach wpływających na świadczenie usługi przez podmiot. Musi zapewniać w szczególności:
- Systematyczne szacowanie ryzyka: Regularne identyfikowanie, analizowanie i ocenianie ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem.
- Proporcjonalne środki techniczne i organizacyjne: Zabezpieczenia dobrane do oszacowanego ryzyka, z uwzględnieniem najnowszego stanu wiedzy, kosztów wdrożenia i wielkości podmiotu. Ustawa wymienia m.in. polityki bezpieczeństwa, bezpieczeństwo łańcucha dostaw, plany ciągłości działania, monitorowanie systemu w trybie ciągłym, zarządzanie aktywami i kontrolę dostępu.
- Zarządzanie incydentami i podatnościami: Zbieranie informacji o cyberzagrożeniach, obsługę incydentów oraz środki ograniczające ich wpływ, w tym regularne aktualizacje oprogramowania.
Szacowanie ryzyka
Szacowanie ryzyka jest punktem wyjścia dla doboru wszystkich zabezpieczeń. Brak udokumentowanej analizy ryzyka podważa zasadność każdego wdrożonego środka. Na tym etapie należy:
- Przyjąć metodykę: Opracować i zatwierdzić jednolitą metodę szacowania ryzyka wraz z kryteriami jego akceptacji.
- Zinwentaryzować aktywa: Sporządzić rejestr systemów, danych, procesów i dostawców objętych SZBI.
- Opracować plan postępowania z ryzykiem: Przypisać środki zaradcze, właścicieli ryzyk i terminy realizacji. Decyzje w tym zakresie należą do kierownika podmiotu.
- Przeprowadzić szkolenie zarządu: Kierownik podmiotu oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, muszą przechodzić szkolenie raz w roku kalendarzowym, a udział należy udokumentować. Warto zorganizować pierwsze szkolenie jeszcze w 2026 r., zanim zarząd zacznie podejmować kluczowe decyzje wdrożeniowe.
Dokumentacja i wdrożenie zabezpieczeń
Po zakończeniu analizy ryzyka organizacja przechodzi do wdrażania konkretnych rozwiązań:
- Dokumentacja bezpieczeństwa: Ustawa dzieli ją na normatywną i operacyjną. Dokumentacja normatywna obejmuje m.in. dokumentację SZBI, polityki tematyczne, dokumentację systemu zarządzania ciągłością działania i dokumentację techniczną. Dokumentacja operacyjna to zapisy potwierdzające wykonywanie czynności, w tym logi systemowe. Całość wymaga nadzoru, wersjonowania i przechowywania przez co najmniej 2 lata od wycofania z użytkowania.
- Procedura obsługi incydentów: Ścieżki eskalacji i szablony zgłoszeń umożliwiające dotrzymanie ustawowych terminów wobec właściwego CSIRT sektorowego: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca.
- Ciągłość działania: Wdrożenie, udokumentowanie i przetestowanie planów ciągłości działania, planów awaryjnych i planów odtworzenia działalności.
- Środki techniczne: Monitorowanie systemu w trybie ciągłym, zarządzanie dostępem, regularne aktualizacje oraz, w stosownych przypadkach, szyfrowanie i uwierzytelnianie wieloskładnikowe. Każde zabezpieczenie powinno wynikać z planu postępowania z ryzykiem.
- Łańcuch dostaw: Przegląd umów z dostawcami ICT i wprowadzenie procedur ich oceny. Szczegółowo omówiliśmy to w poprzednim artykule z serii.
Uruchomienie i weryfikacja
Ostatnie tygodnie przed terminem należy przeznaczyć na sprawdzenie, czy system działa w praktyce:
- Korzystanie z systemu S46: Do 3 kwietnia 2027 r. podmioty muszą rozpocząć korzystanie z systemu teleinformatycznego S46, za pomocą którego przekazuje się m.in. zgłoszenia incydentów.
- Szkolenia personelu: Przeszkolenie pracowników z nowych procedur i podstawowych zasad cyberhigieny, z udokumentowaniem udziału.
- Testy procedur: Ćwiczenia symulacyjne (table-top) obejmujące scenariusz poważnego incydentu, w tym proces zgłoszenia do CSIRT sektorowego i komunikację z zarządem.
- Ocena skuteczności: Przegląd wewnętrzny lub przegląd zarządczy, który potwierdzi kompletność dokumentacji i skuteczność wdrożonych środków.
Podsumowanie
Termin 3 kwietnia 2027 r. oznacza koniec budowy systemu, a nie koniec obowiązków. Od tego dnia SZBI musi działać w trybie ciągłym. Ryzyko trzeba cyklicznie szacować, incydenty rejestrować, a skuteczność zabezpieczeń oceniać. Podmioty kluczowe muszą przeprowadzić pierwszy audyt bezpieczeństwa do 3 kwietnia 2028 r., a następnie powtarzać go co najmniej raz na 3 lata. Audytu nie może przeprowadzić osoba, która w ciągu ostatniego roku realizowała w podmiocie zadania z zakresu SZBI. Podmiotom ważnym organ może nakazać audyt zewnętrzny, np. po poważnym incydencie. Od 3 kwietnia 2028 r. organy nadzorcze mogą co do zasady nakładać kary pieniężne, zarówno na podmiot, jak i osobiście na kierownika.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 17 września 2026 r.
