Pełnomocnik ds. cyberbezpieczeństwa – wymagania wobec tej funkcji nie wynikają z jednego przepisu ani obowiązkowego certyfikatu. UoKSC nie ustanawia regulowanego stanowiska o takiej nazwie, lecz wymaga skutecznego wykonywania zadań dotyczących SZBI, incydentów, S46 i kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa. Zarząd powinien więc najpierw określić zakres odpowiedzialności, a następnie dobrać kompetencje, uprawnienia i właściwy sposób umocowania osoby wewnętrznej albo zewnętrznego eksperta.
Ta sama nazwa może oznaczać doradcę przygotowującego raport raz na kwartał, koordynatora działającego podczas incydentu albo osobę umocowaną do reprezentowania spółki. Bez pisemnego zakresu zarząd nie wie, co rzeczywiście przekazał, a pełnomocnik nie wie, gdzie kończą się jego kompetencje.
Dobórwedług powierzonych zadań
Odpowiedzialnośćpozostaje przy zarządzie
Nie wystarczy więc powołać osoby uchwałą. Trzeba ustalić, czy ma tylko doradzać, realizować zadania z art. 8 lub 11 UoKSC, być osobą kontaktową, administratorem S46, reprezentować organizację przed organem czy koordynować pracę zewnętrznego SOC. Każda z tych ról wymaga innego zakresu kompetencji i umocowania.
Czy UoKSC wymaga powołania Pełnomocnika ds. cyberbezpieczeństwa?
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa nie tworzy obowiązkowego stanowiska o nazwie „Pełnomocnik ds. cyberbezpieczeństwa”, „Pełnomocnik SZBI” ani CISO. Nie wskazuje też jednego kierunku studiów, certyfikatu lub minimalnego stażu, którego posiadanie automatycznie uprawniałoby do pełnienia tej funkcji.
Ustawa nakłada jednak na podmioty kluczowe i ważne obowiązki, które muszą zostać przypisane konkretnym osobom i rzeczywiście wykonywane. Organizacja ma wdrożyć System Zarządzania Bezpieczeństwem Informacji, zarządzać ryzykiem, utrzymywać dokumentację, obsługiwać incydenty, korzystać z S46 oraz wyznaczyć osoby odpowiedzialne za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa.
Struktura odpowiedzialna za cyberbezpieczeństwo
Organizacja może zbudować własny zespół, w którym Pełnomocnik koordynuje zadania wykonywane przez IT, prawo, compliance, IOD, HR, zakupy i właścicieli procesów.
- role wynikają z decyzji organizacyjnych,
- zadania mogą być rozdzielone pomiędzy kilka osób,
- zewnętrzny ekspert może wspierać strukturę doradczo.
Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa
Jeżeli wykonawca ma przejąć realizację ustawowych zadań zamiast struktury wewnętrznej, trzeba zbadać, czy zakres usługi i status dostawcy odpowiadają art. 14 UoKSC.
- sama nazwa „Pełnomocnik” nie wystarcza,
- umowa musi wskazywać realne zadania i rezultaty,
- organizacja nadal współpracuje i sprawuje nadzór.
Zewnętrzny doradca nie zawsze realizuje art. 14 UoKSC
Jeżeli kancelaria lub ekspert jedynie opiniuje dokumenty, szkoli zarząd albo wspiera wewnętrznego koordynatora, organizacja nadal powinna posiadać własną strukturę odpowiedzialną za wykonanie obowiązków. Jeżeli zewnętrzny podmiot ma te obowiązki realizować w zastępstwie struktury, potrzebna jest odrębna analiza modelu i umowy.
Praktyczny zakres bieżącego prowadzenia systemu opisuje artykuł Pełnomocnik ds. cyberbezpieczeństwa a nadzór nad SZBI. Ten poradnik koncentruje się natomiast na tym, jak dobrać osobę i prawidłowo określić jej kompetencje.
Pełnomocnik ds. cyberbezpieczeństwa – wymagania kompetencyjne
Profil pełnomocnika powinien wynikać z zadań, a nie z modnej nazwy stanowiska. Osoba koordynująca dokumentację SZBI potrzebuje innego zestawu kompetencji niż specjalista prowadzący techniczną analizę incydentu. Jeszcze inne wymagania dotyczą adwokata, który przygotowuje stanowisko prawne i reprezentuje organizację przed organem.
Prawo i regulacje
UoKSC, NIS2, RODO, wymagania sektorowe, terminy raportowania, nadzór organów i odpowiedzialność kierownictwa.
SZBI i ryzyko
Zakres systemu, aktywa, metodologia oceny ryzyka, plan postępowania, właściciele ryzyk i przegląd kierownictwa.
Incydenty
Kwalifikacja zdarzeń, chronologia decyzji, zabezpieczenie dowodów, ścieżki 24/72 godziny oraz raport końcowy.
Technologia
Rozumienie architektury, logów, dostępu, podatności, kopii zapasowych i ciągłości, bez konieczności administrowania systemami.
Audyt i dowody
Ocena zgodności, próbkowanie, kontrola dokumentów, działania korygujące oraz rozdzielenie wykonania od niezależnego audytu.
Komunikacja zarządcza
Przekładanie ryzyka technicznego na wpływ biznesowy, raportowanie priorytetów i szybka eskalacja zagrożeń krytycznych.
Pomocnym punktem odniesienia jest ISO/IEC 27021, która opisuje kompetencje osób prowadzących lub uczestniczących we wdrażaniu, utrzymywaniu i ciągłym doskonaleniu SZBI zgodnego z ISO/IEC 27001. Certyfikaty Lead Auditor, Lead Implementer, CISM, CISSP lub kwalifikacje techniczne mogą potwierdzać część wiedzy. Nie zastępują jednak doświadczenia, znajomości organizacji, dostępności podczas incydentu ani prawa do działania w jej imieniu.
| Obszar | Co sprawdzić u kandydata? | Przykładowy dowód | Ryzyko błędnego wyboru |
|---|---|---|---|
| Prawo KSC/NIS2 | Czy potrafi ustalić obowiązek, termin, właściwy CSIRT i granice odpowiedzialności? | Analiza przypadku, opinia lub projekt procedury. | Formalnie poprawny dokument, który nie odpowiada obowiązkom organizacji. |
| SZBI | Czy prowadził wdrożenie, utrzymanie albo przegląd systemu? | Referencje, opis projektu, certyfikat uzupełniony doświadczeniem. | Pakiet wzorów nieodzwierciedlający procesów i systemów. |
| Ryzyko | Czy potrafi zbudować metodę, rejestr i plan postępowania? | Anonimizowany model oceny lub warsztat próbny. | Lista zagrożeń bez właścicieli, priorytetów i decyzji. |
| Incydenty | Czy uczestniczył w ćwiczeniu lub obsłudze rzeczywistego zdarzenia? | Opis roli, przebiegu i wyciągniętych wniosków. | Brak działania pod presją i niedotrzymanie terminów. |
| Technologia | Czy rozumie dane przekazywane przez IT i SOC? | Rozmowa z zespołem technicznym na przykładowym scenariuszu. | Decyzje prawne oparte na błędnej interpretacji zdarzenia. |
| Zarząd | Czy odróżnia dane operacyjne od informacji potrzebnych do decyzji? | Przykładowy raport zarządczy i sposób eskalacji. | Raportowanie aktywności zamiast ryzyka i rezultatów. |
KRK i szkolenie – kiedy stają się obowiązkowe?
Wymogi formalne zależą od tego, jakie zadania rzeczywiście powierzono pełnomocnikowi. Sama nazwa funkcji nie przesądza jeszcze o obowiązku przedstawienia informacji z Krajowego Rejestru Karnego ani odbycia szkolenia przewidzianego w UoKSC.
Niekaralność przed rozpoczęciem zadań
Osoba, która ma realizować zadania z art. 8 lub art. 11, przedstawia informację z KRK potwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji. Wymóg może zostać spełniony ważnym poświadczeniem bezpieczeństwa do informacji niejawnych o klauzuli „poufne” lub wyższej.
Coroczne udokumentowane szkolenie
Obejmuje kierownika podmiotu oraz osobę, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Nie każdy pełnomocnik zostaje taką osobą; decyduje zakres powierzenia, a nie tytuł stanowiska.
Jeżeli pełnomocnik jedynie doradza zarządowi i nie realizuje zadań wskazanych w art. 8 lub 11, zastosowanie wymogu KRK wymaga indywidualnej oceny. Jeżeli natomiast utrzymuje SZBI, koordynuje czynności incydentowe albo przygotowuje zgłoszenia jako wykonawca tych zadań, organizacja powinna przeprowadzić weryfikację przed dopuszczeniem go do pracy.
Nie należy zbierać informacji z KRK „na wszelki wypadek” bez ustalenia podstawy i zakresu zadań. Z drugiej strony sama umowa o doradztwo nie powinna służyć do omijania wymogu, jeżeli wykonawca faktycznie realizuje zadania ustawowe. Dokument powołujący pełnomocnika powinien jasno wskazywać, które czynności wykonuje, a które tylko opiniuje lub koordynuje.
Jaki zakres umocowania powinien otrzymać Pełnomocnik?
„Umocowanie” nie jest jednym dokumentem. Pełnomocnik może być prawidłowo powołany organizacyjnie, a jednocześnie nie mieć prawa podpisać wniosku, wejść do S46 albo zażądać informacji od dostawcy. Dlatego funkcję warto zaprojektować w pięciu warstwach.
Umocowanie organizacyjne
Uchwała zarządu, zarządzenie, regulamin albo zakres obowiązków powinny określać cel funkcji, jej miejsce w strukturze, linię raportowania, zastępstwo oraz relację z IT, IOD, prawem, audytem i właścicielami procesów.
Umocowanie operacyjne
Pełnomocnik potrzebuje prawa żądania informacji, udziału w projektach i zmianach IT, dostępu do rejestrów, wyników testów, raportów dostawców i chronologii incydentów. Prawo to powinno podlegać zasadzie wiedzy koniecznej.
Uprawnienia systemowe
Dostęp do S46, systemu ticketowego, repozytorium dokumentacji lub panelu dostawcy powinien odpowiadać zadaniom. Rola administratora S46 nie jest konieczna dla każdej osoby kontaktowej ani każdego pełnomocnika.
Pełnomocnictwo do reprezentacji
Jeżeli osoba ma składać wnioski, podpisywać pisma lub reprezentować podmiot przed organem, potrzebuje odrębnego pełnomocnictwa albo prawa reprezentacji. Sama uchwała o powołaniu na funkcję może nie wystarczyć.
Matryca decyzji incydentowych
Procedura powinna wskazywać, kto potwierdza incydent, kto zabezpiecza dowody, kto kwalifikuje obowiązek zgłoszenia, kto zatwierdza komunikację, kto decyduje o odłączeniu systemu i kto informuje klientów. Pełnomocnik może koordynować proces, ale nie powinien samodzielnie podejmować każdej decyzji technicznej i biznesowej.
Wniosek o wpis do Wykazu KSC może podpisać kierownik podmiotu albo osoba przez niego upoważniona. Jeżeli pełnomocnik działa w S46 w imieniu organizacji, właściwy dokument trzeba dołączyć zgodnie z instrukcją systemu. Odrębnie należy określić rolę administratora przestrzeni i użytkowników operacyjnych. Zasady funkcji kontaktowej opisuje materiał Pełnomocnik jako osoba kontaktowa CSIRT.
| Rola | Główne zadanie | Źródło uprawnienia | Czego rola nie daje automatycznie? |
|---|---|---|---|
| Pełnomocnik ds. cyberbezpieczeństwa | Koordynuje SZBI, zgodność, ryzyko i raportowanie. | Uchwała, zakres obowiązków lub umowa. | Prawa reprezentacji i pełnych uprawnień S46. |
| Osoba kontaktowa KSC | Utrzymuje kontakt z podmiotami krajowego systemu cyberbezpieczeństwa. | Formalne wyznaczenie i dane w Wykazie. | Prawa do przyjmowania ryzyka za zarząd. |
| Administrator S46 | Zarządza użytkownikami i uprawnieniami w przestrzeni. | Wskazanie w Wykazie albo nadanie odpowiedniej roli. | Umocowania do składania oświadczeń za spółkę. |
| Pełnomocnik procesowy | Działa przed organem w granicach pełnomocnictwa. | Dokument pełnomocnictwa i właściwe przepisy proceduralne. | Kompetencji technicznych lub dostępu do infrastruktury. |
| Kierownik podmiotu | Podejmuje decyzje i sprawuje ustawowy nadzór. | Ustawa i zasady reprezentacji organizacji. | Możliwości uwolnienia się od odpowiedzialności przez delegowanie. |
Czego zarząd nie może przekazać Pełnomocnikowi?
Art. 8c UoKSC przesądza, że kierownik podmiotu odpowiada za wykonywanie obowiązków także wtedy, gdy część albo wszystkie z nich powierzono innej osobie za jej zgodą. Pełnomocnik ma umożliwić zarządowi świadome wykonywanie nadzoru, a nie zastąpić zarząd w roli ustawowego decydenta.
Zarząd powinien zatwierdzić kierunek, zapewnić finansowanie, przydzielić zadania, nadzorować ich wykonanie i podejmować decyzje dotyczące ryzyka. Nawet najlepszy pełnomocnik nie ochroni kierownictwa, jeżeli jego raporty są ignorowane, działania naprawcze nie mają budżetu, a ryzyka nie trafiają do właściwych właścicieli.
Pełnomocnik może
- organizować i koordynować proces,
- przygotowywać polityki, plany i rekomendacje,
- prowadzić rejestry i monitorować terminy,
- żądać informacji w granicach umocowania,
- eskalować ryzyka i niezgodności,
- przygotowywać materiał do decyzji zarządu,
- reprezentować organizację w granicach pełnomocnictwa.
Pełnomocnik nie powinien samodzielnie
- akceptować ryzyka biznesowego za jego właściciela,
- zatwierdzać własnych rekomendacji,
- audytować własnej pracy jako niezależny audytor,
- przyznawać sobie dostępu do systemów,
- zobowiązywać organizacji bez umocowania,
- zastępować IT lub SOC bez wyraźnej umowy,
- składać nieweryfikowanych informacji do CSIRT.
Czy IOD może jednocześnie pełnić tę funkcję?
RODO pozwala Inspektorowi Ochrony Danych wykonywać inne zadania, ale organizacja musi wykluczyć konflikt interesów. Jeżeli Pełnomocnik ds. cyberbezpieczeństwa określa sposób zabezpieczenia danych, przyznaje dostęp, decyduje o reakcji na incydent lub wykonuje obowiązki administratora danych, IOD mógłby następnie monitorować zgodność własnych działań.
Nie oznacza to automatycznego zakazu każdego połączenia funkcji. Wymaga jednak indywidualnej, udokumentowanej analizy zakresów, niezależności, podległości i dostępnego czasu. W wielu organizacjach bezpieczniejszy będzie model, w którym IOD doradza i monitoruje ochronę danych, a odrębny Pełnomocnik prowadzi SZBI oraz koordynuje cyberbezpieczeństwo.
Co zmienia powierzenie funkcji adwokatowi?
Adwokat może łączyć wiedzę o UoKSC, NIS2, odpowiedzialności zarządu i postępowaniu administracyjnym z przygotowaniem stanowisk, pism oraz reprezentacją przed organami. Informacje uzyskane w związku z udzielaniem pomocy prawnej są objęte tajemnicą adwokacką.
Trzeba jednak zachować precyzję. Tajemnica adwokacka chroni informacje związane z pomocą prawną, ale nie powinna być przedstawiana jako automatyczna osłona każdej technicznej lub administracyjnej czynności wykonywanej przez kancelarię. Zakres prawny, audytowy, koordynacyjny i techniczny powinien zostać rozdzielony w umowie. Porównanie perspektywy technicznej i formalnoprawnej przedstawia artykuł vCISO czy Pełnomocnik ds. cyberbezpieczeństwa.
Jak powołać Pełnomocnika ds. cyberbezpieczeństwa krok po kroku?
Zdefiniuj model
Ustal, czy pełnomocnik jest elementem struktury wewnętrznej, doradcą tej struktury czy zewnętrznym wykonawcą realizującym określone zadania ustawowe.
Opisz zadania
Rozdziel doradztwo, wykonanie, koordynację, zatwierdzanie i niezależny audyt. Wskaż systemy, spółki, procesy oraz terminy objęte zakresem.
Zweryfikuj kompetencje
Sprawdź doświadczenie na scenariuszu odpowiadającym ryzyku organizacji. Nie oceniaj kandydata wyłącznie na podstawie listy certyfikatów.
Sprawdź wymagania formalne
Ustal obowiązek KRK, szkolenia, brak konfliktu interesów, poufność oraz warunki dostępu do informacji i systemów.
Przyjmij dokument powołujący
Uchwała, zarządzenie, zakres obowiązków lub umowa powinny określać rezultat, raportowanie, eskalację, dostępność i zastępstwo.
Nadaj właściwe umocowania
Oddziel pełnomocnictwo do reprezentacji, upoważnienia operacyjne i role systemowe. Każdy dostęp powinien być minimalny i okresowo przeglądany.
Przetestuj działanie
Przeprowadź ćwiczenie incydentowe: alarm, zebranie danych, kwalifikacja, decyzja, zgłoszenie i raport dla zarządu.
Oceniaj funkcję
Co najmniej raz w roku oceń rezultaty, otwarte ryzyka, jakość raportów, dostępność, aktualność umocowania i potrzebę zmiany zakresu.
Czy kandydat i umocowanie są gotowe?
Zaznacz elementy potwierdzone dokumentami lub praktycznym testem.
Stałe utrzymanie funkcji wymaga nie tylko decyzji personalnej, lecz także kalendarza audytów, przeglądów, szkoleń i testów. Model kompleksowej współpracy opisuje materiał Pełnomocnik ds. cyberbezpieczeństwa w abonamencie, a szczegółowe wymagania umowne omawia artykuł Stała opieka nad SZBI – zakres umowy.
FAQ: Pełnomocnik ds. cyberbezpieczeństwa
Czy każda firma objęta KSC musi powołać Pełnomocnika ds. cyberbezpieczeństwa?
Nie. UoKSC nie wymaga stanowiska o takiej nazwie. Podmiot musi jednak zapewnić wykonywanie obowiązków przez wewnętrzną strukturę odpowiedzialną za cyberbezpieczeństwo albo w modelu przewidzianym w art. 14. Pełnomocnik może być elementem takiej organizacji.
Czy Pełnomocnik musi mieć certyfikat ISO 27001?
Nie istnieje ustawowy obowiązek posiadania konkretnego certyfikatu. Kwalifikacja audytora lub wdrożeniowca może potwierdzać część wiedzy, ale zarząd powinien sprawdzić także doświadczenie, rozumienie technologii, komunikację i gotowość do działania podczas incydentu.
Czy funkcję może pełnić osoba zewnętrzna?
Tak, ale trzeba ustalić, czy ma ona wspierać istniejącą strukturę, czy realizować zadania w modelu zewnętrznego dostawcy. Zakres usługi, status wykonawcy, odpowiedzialność, dostępność i obowiązki z art. 14 wymagają wyraźnego uregulowania.
Kiedy Pełnomocnik musi przedstawić informację z KRK?
Gdy ma realizować zadania wskazane w art. 8 lub art. 11 UoKSC. Weryfikacja powinna nastąpić przed rozpoczęciem tych czynności. Sama nazwa stanowiska nie wystarcza do ustalenia obowiązku; znaczenie ma rzeczywisty zakres pracy.
Czy Pełnomocnik musi odbywać coroczne szkolenie?
Obowiązek z art. 8e obejmuje kierownika podmiotu oraz osobę, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Jeżeli pełnomocnik otrzyma taki zakres, szkolenie powinno odbywać się raz w roku kalendarzowym i zostać udokumentowane.
Czy Pełnomocnik może być osobą kontaktową CSIRT?
Tak, jeżeli zostanie formalnie wyznaczony i ma odpowiednią dostępność, informacje, zastępstwo oraz możliwość działania w wymaganych terminach. Osoba kontaktowa nie musi być jednocześnie administratorem S46 ani jedynym decydentem podczas incydentu.
Czy Pełnomocnik powinien być administratorem S46?
Nie zawsze. Administrator zarządza kontami i uprawnieniami, a Pełnomocnik koordynuje określone procesy. Role można połączyć, ale trzeba uwzględnić zasadę najmniejszych uprawnień, zastępstwo oraz ryzyko nadmiernej koncentracji dostępu.
Czy IOD może jednocześnie pełnić tę funkcję?
Może wykonywać dodatkowe zadania tylko wtedy, gdy nie powodują konfliktu interesów i nie ograniczają jego niezależności. Jeżeli pełnomocnik podejmuje decyzje, które IOD miałby następnie kontrolować, funkcje powinny zostać rozdzielone.
Czy Pełnomocnik może akceptować ryzyko za zarząd?
Może oceniać ryzyko, przygotować warianty i rekomendować postępowanie. Ostateczna decyzja powinna należeć do właściwego właściciela ryzyka lub zarządu, szczególnie gdy wpływa na budżet, ciągłość usług albo zgodność organizacji.
Czy uchwała zarządu zastępuje pełnomocnictwo do reprezentacji?
Nie zawsze. Uchwała może ustanowić funkcję i jej miejsce w organizacji, ale czynności przed organem lub podpisanie wniosku mogą wymagać odrębnego pełnomocnictwa albo działania osoby ujawnionej w odpowiednim rejestrze. Zakres należy dopasować do konkretnych czynności.
Ustal właściwy zakres funkcji Pełnomocnika
Masz kandydata, ale nie wiesz, czy zakres funkcji odpowiada UoKSC? Podczas bezpłatnej konsultacji przeanalizujemy model organizacyjny, planowane zadania, dostęp do S46, sposób raportowania oraz dokumenty potrzebne do prawidłowego umocowania Pełnomocnika ds. cyberbezpieczeństwa.