Plan postępowania z ryzykiem przekłada wyniki analizy ryzyka na konkretne działania, osoby odpowiedzialne, terminy, zasoby oraz decyzje dotyczące ryzyka rezydualnego. Nie powinien być statycznym załącznikiem do dokumentacji SZBI, lecz narzędziem służącym do nadzorowania wdrożenia zabezpieczeń i podejmowania decyzji przez kierownictwo.
Sam czerwony wynik w rejestrze nie zmniejsza ryzyka. Potrzebne są wykonalne zadania, odpowiedzialność, zasoby, terminy, kryteria skuteczności oraz decyzja, czy poziom pozostały po wdrożeniu zabezpieczeń może zostać zaakceptowany.
Wykonaniedziałania, właściciele i terminy
Rezultatsprawdzone ryzyko rezydualne
Powinien łączyć każde istotne ryzyko z wybraną opcją postępowania, mierzalnym działaniem, właścicielem ryzyka, właścicielem wykonania, terminem, zasobami, sposobem testowania i dowodem zamknięcia. Dopiero po wykonaniu oraz sprawdzeniu środka można ocenić rzeczywiste ryzyko rezydualne.
Czym jest plan postępowania z ryzykiem?
Plan postępowania z ryzykiem jest uporządkowanym zestawieniem decyzji i działań, które mają doprowadzić ryzyka do poziomu zgodnego z kryteriami przyjętymi przez organizację. Łączy warstwę zarządczą z wykonawczą: właściciel ryzyka wskazuje oczekiwany rezultat i nadzoruje decyzję, a właściciele działań realizują zadania techniczne, organizacyjne, prawne lub procesowe.
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych systematycznego, udokumentowanego zarządzania cyberbezpieczeństwem opartego na analizie ryzyka. Kierownictwo wyznacza priorytety, zapewnia odpowiedzialność i zasoby oraz nadzoruje działanie systemu. Plan jest praktycznym sposobem wykazania, że wynik analizy doprowadził do decyzji, a decyzja do realizacji.
W modelu ISO/IEC 27001 plan postępowania wynika z procesu oceny ryzyka i pozostaje powiązany z wybranymi zabezpieczeniami oraz Deklaracją Stosowania. Nie oznacza to jednak, że każda organizacja musi utrzymywać osobny plik o identycznej nazwie. Plan może działać w narzędziu GRC, systemie zadań lub kontrolowanym arkuszu, jeżeli zachowuje odpowiedzialność, historię decyzji i dowody wykonania.
Czym plan różni się od rejestru ryzyka i listy zadań?
Rejestr ryzyka
Opisuje usługę, aktywa, scenariusz, zagrożenia, podatności, istniejące zabezpieczenia, właściciela i aktualny poziom ryzyka.
Plan postępowania
Wskazuje sposób postępowania, działania, odpowiedzialność, koszt, terminy, oczekiwany rezultat i sposób sprawdzenia skuteczności.
Lista zadań
Może prowadzić wykonanie, ale bez powiązania z ryzykiem, kryteriami akceptacji i decyzją zarządczą nie zastępuje planu.
Szczegółową konstrukcję scenariuszy, skal i pól oceny opisuje poradnik Rejestr ryzyka cyberbezpieczeństwa – jak go przygotować zgodnie z KSC, NIS2 i ISO 27001? W tym artykule punktem wyjścia jest ryzyko, które zostało już zidentyfikowane, ocenione i uznane za wymagające decyzji.
Kiedy ryzyko powinno trafić do planu postępowania?
Do planu powinny trafić przede wszystkim ryzyka przekraczające poziom akceptacji, wymagające poprawy istniejących zabezpieczeń albo objęte warunkową decyzją kierownictwa. Nie każde niskie ryzyko wymaga rozbudowanego projektu. Może wystarczyć jego świadoma akceptacja i monitorowanie, jeżeli decyzja jest zgodna z metodyką oraz mieści się w uprawnieniach decydenta.
Priorytet nie powinien wynikać wyłącznie z koloru w macierzy. Należy uwzględnić krytyczność usługi, obowiązki prawne i umowne, możliwość wystąpienia skutków kaskadowych, zależność od dostawców, czas potrzebny na wdrożenie oraz to, czy brak działania może uniemożliwić obsługę incydentu lub odtworzenie działalności.
Redukcja, unikanie, przeniesienie czy akceptacja ryzyka?
Wybrana opcja musi odpowiadać konkretnemu scenariuszowi. W jednym przypadku najlepsze będzie wdrożenie dodatkowych zabezpieczeń, w innym rezygnacja z niebezpiecznego procesu, zmiana dostawcy albo świadome pozostawienie ryzyka pod monitoringiem. Możliwe jest również łączenie kilku opcji.
Dostawca chmurowy, umowa SLA albo polisa mogą przejąć część obowiązków lub skutków finansowych. Organizacja nadal może ponosić skutki przestoju, utraty danych, naruszenia prawa, odpowiedzialności wobec klientów i utraty zaufania. W planie trzeba więc wskazać, która część ryzyka została podzielona, a która pozostaje po stronie podmiotu.
Jakie pola powinien zawierać plan postępowania z ryzykiem?
Zakres pól powinien być dostosowany do wielkości organizacji i sposobu prowadzenia SZBI. Minimum musi jednak pozwalać prześledzić drogę od konkretnego ryzyka do wykonania, testu i decyzji o stanie końcowym.
| Pole | Co powinno zawierać | Dlaczego jest potrzebne |
|---|---|---|
| Identyfikator ryzyka | Jednoznaczne odwołanie do wpisu w rejestrze | Zapewnia spójność pomiędzy oceną, działaniem i dowodami |
| Opcja postępowania | Ograniczenie, unikanie, przeniesienie, akceptacja lub połączenie opcji | Utrwala decyzję, a nie tylko listę zadań |
| Cel postępowania | Oczekiwana zmiana prawdopodobieństwa, skutku albo możliwości odtworzenia | Pozwala ocenić, czy działanie dało zakładany rezultat |
| Działanie | Konkretny środek, zmiana procesu, umowy, konfiguracji lub organizacji | Opis „poprawić bezpieczeństwo” nie jest wykonalnym zadaniem |
| Właściciel ryzyka | Osoba odpowiedzialna za decyzję i nadzór nad ryzykiem | Łączy ocenę techniczną z wpływem biznesowym |
| Właściciel działania | Osoba odpowiedzialna za doprowadzenie zadania do końca | Zapobiega rozmyciu odpowiedzialności wykonawczej |
| Zasoby i koszt | Budżet, czas pracy, zakup, dostawcy i wymagane kompetencje | Pozwala zarządowi podjąć rzeczywistą decyzję o finansowaniu |
| Termin i etapy | Data końcowa, kamienie milowe i zależności | Umożliwia monitoring oraz wcześniejszą eskalację opóźnień |
| Kryterium skuteczności | Mierzalny wynik, test, pokrycie, próg lub parametr | Oddziela samo wdrożenie od potwierdzenia działania środka |
| Dowód wykonania | Raport, protokół, log, konfiguracja, umowa albo wynik testu | Tworzy ślad dla kierownictwa, audytu i kontroli |
| Ryzyko docelowe | Przewidywany poziom po prawidłowym wdrożeniu | Uzasadnia wybór i priorytet działania |
| Ryzyko rezydualne | Poziom ponownie oceniony po wdrożeniu i teście | Pokazuje faktyczny rezultat, a nie samo oczekiwanie |
| Decyzja i przegląd | Akceptujący, data, warunki, termin ważności i kolejny przegląd | Zapobiega bezterminowemu pozostawieniu ryzyka bez nadzoru |
Właściciel ryzyka a właściciel działania – kto za co odpowiada?
Właściciel ryzyka powinien rozumieć wpływ scenariusza na usługę, klientów i cele organizacji oraz mieć możliwość eskalacji decyzji. Nie musi samodzielnie wdrażać zabezpieczenia. Właścicielem działania może być kierownik IT, zakupów, HR, działu prawnego, bezpieczeństwa albo zewnętrzny dostawca, zależnie od charakteru zadania.
Nadzoruje scenariusz, ocenia znaczenie biznesowe i przedstawia ryzyko właściwemu decydentowi.
Planuje wykonanie, koordynuje zasoby, raportuje postęp i dostarcza dowody zakończenia.
Porządkuje proces, ocenia zgodność, monitoruje status i przygotowuje rekomendacje.
Zatwierdza budżet, wyjątki i ryzyko rezydualne w granicach formalnego umocowania.
Pełnomocnik ds. cyberbezpieczeństwa nadzorujący SZBI może utrzymywać plan, pilnować terminów i eskalować opóźnienia. Nie powinien jednak zatwierdzać własnych rekomendacji ani akceptować ryzyka biznesowego zamiast zarządu albo właściwego właściciela procesu.
Jak ustalać priorytety, terminy i kamienie milowe?
Termin powinien wynikać z poziomu ryzyka, obowiązków prawnych, czasu potrzebnego na wdrożenie oraz dostępności rozwiązania tymczasowego. Wysokie ryzyko nie zawsze da się zamknąć natychmiast, ale brak szybkiego rozwiązania docelowego nie uzasadnia pozostawienia go bez kontroli. Plan powinien wtedy zawierać zabezpieczenie kompensacyjne, etapy realizacji i krótszy rytm raportowania.
Duże działania warto podzielić na kamienie milowe. Dla wdrożenia MFA mogą to być: inwentaryzacja kont, wybór metody, pilotaż, objęcie administratorów, objęcie pozostałych użytkowników, usunięcie wyjątków i test odporności procesu odzyskiwania dostępu. Dzięki temu opóźnienie jest widoczne przed terminem końcowym.
Jak określić zasoby, koszt i zależności działania?
Plan bez zasobów jest deklaracją. Dla każdego działania należy określić potrzebny budżet, kompetencje, czas pracy, zakupy, udział dostawców oraz zależności od innych projektów. Jeżeli wykonanie wymaga decyzji zakupowej lub zmiany umowy, odpowiednie zadania i terminy również powinny znaleźć się w planie.
Przy wyborze zabezpieczenia należy porównać koszt wdrożenia z oczekiwaną korzyścią, ale nie wolno sprowadzać analizy wyłącznie do ceny narzędzia. Znaczenie mają także koszty utrzymania, szkolenia, obsługi wyjątków, wpływ na procesy oraz ryzyko wprowadzone przez samą zmianę.
Czy plan ma właścicieli, budżet i mierzalny rezultat?
Audyt zerowy KSC/NIS2 pozwala połączyć ocenione ryzyka z istniejącymi zabezpieczeniami, lukami i priorytetami, a następnie przygotować wykonalny zakres dalszych działań.
Umów bezpłatną konsultacjęRyzyko docelowe i rezydualne – kiedy można je ocenić?
Ryzyko aktualne
Uwzględnia wyłącznie zabezpieczenia, które rzeczywiście działają i mają wiarygodne dowody.
Ryzyko docelowe
Pokazuje oczekiwany poziom po wykonaniu działań. Jest prognozą, a nie osiągniętym rezultatem.
Ryzyko rezydualne
Pozostaje po wdrożeniu oraz sprawdzeniu skuteczności środków i wymaga decyzji właściwej osoby.
Nie należy obniżać bieżącej oceny dlatego, że projekt został zaakceptowany albo zakupiono licencję. Dopóki zabezpieczenie nie zostało wdrożone, objęło właściwego zakresu i nie przeszło testu, ryzyko docelowe pozostaje tylko założeniem. Zbyt wczesne przedstawienie go jako ryzyka rezydualnego może ukryć realną ekspozycję przed zarządem.
Kto może zaakceptować ryzyko rezydualne?
Akceptacji powinna dokonać osoba posiadająca odpowiedzialność za obszar biznesowy i formalne uprawnienie do podjęcia takiej decyzji. Metodyka powinna określać progi: ryzyka niskie może akceptować właściciel procesu, wyższe dyrektor, a ryzyka o istotnym wpływie prawnym, finansowym lub operacyjnym zarząd.
Decyzja powinna zawierać poziom ryzyka, uzasadnienie, znane ograniczenia, okres ważności, warunki utrzymania zabezpieczeń i zdarzenia powodujące wcześniejszy przegląd. Akceptacja nie może służyć do zamykania przeterminowanych zadań bez przedstawienia konsekwencji właściwemu decydentowi.
Jak sprawdzić skuteczność wdrożonego zabezpieczenia?
Kryterium należy ustalić przed wykonaniem działania. Dla MFA może to być odsetek objętych kont i brak nieuzasadnionych wyjątków. Dla kopii zapasowej – poprawne odtworzenie określonego systemu w wymaganym RTO i z akceptowalną utratą danych. Dla szkolenia – udział właściwych osób, wynik sprawdzenia wiedzy i poprawa reakcji w teście phishingowym.
Weryfikacja może obejmować test techniczny, próbę odtworzenia, ćwiczenie, przegląd konfiguracji, próbkę dokumentacji, analizę logów lub niezależną ocenę. Dowód powinien wskazywać zakres, datę, wynik, osobę wykonującą i stwierdzone wyjątki. Dopiero na tej podstawie aktualizuje się ocenę ryzyka.
Jak dokumentować realizację i zamknięcie działania?
Status „wykonane” nie jest wystarczającym dowodem. Zamknięcie powinno pozostawić spójny ciąg: przyczyna działania, decyzja, zatwierdzone zasoby, wykonanie, wynik testu, ponowna ocena i akceptacja ryzyka pozostałego. W zależności od zadania dowodem może być raport konfiguracji, protokół odbioru, wynik skanu, log, aneks do umowy, raport z ćwiczenia albo zatwierdzony wyjątek.
Szerszą mapę wymaganych zapisów przedstawia artykuł SZBI do 3 kwietnia 2027 r. – jakie dowody działania systemu musi posiadać firma?.
Kiedy aktualizować plan postępowania z ryzykiem?
Plan powinien być przeglądany w ustalonych odstępach oraz po istotnej zmianie, incydencie, nieudanym teście, pojawieniu się krytycznej podatności albo zmianie dostawcy. Dla podmiotów objętych rozporządzeniem wykonawczym 2024/2690 ocena ryzyka i plan podlegają przeglądowi co najmniej raz w roku oraz po znaczących zmianach lub incydentach. Dla pozostałych organizacji częstotliwość powinna wynikać z UoKSC, przyjętej metodyki i profilu ryzyka.
Przegląd nie powinien polegać wyłącznie na przesunięciu dat. Należy sprawdzić aktualność scenariusza, postęp, zasadność opóźnienia, działanie zabezpieczeń tymczasowych, potrzebę eskalacji i to, czy docelowy poziom ryzyka nadal mieści się w tolerancji organizacji.
Przykład prawidłowo opisanego działania
Ograniczenie ryzyka przejęcia kont administracyjnych
Aktualna ocena: wysoka. Główna luka: brak odpornego na phishing MFA i współdzielone konta.
Ryzyko ma zostać sprowadzone do poziomu średniego, przy zachowaniu wysokiej oceny skutku.
Wyjątki wymagają odrębnej oceny, zabezpieczeń kompensacyjnych i czasowej akceptacji.
Pełnomocnik SZBI monitoruje realizację i przygotowuje wynik do decyzji zarządu.
Budżet obejmuje licencje, wdrożenie, szkolenie administratorów i test procedury odzyskiwania.
Wynik potwierdza raport konfiguracji, próbka logów oraz podpisany protokół testu.
Jeżeli wyjątki pozostaną, ocena uwzględni ich zakres i skuteczność środków kompensacyjnych.
Wcześniejszy przegląd uruchamia incydent, istotna zmiana architektury lub nieskuteczny test.
Najczęstsze błędy w planach postępowania
| Błąd | Skutek | Prawidłowe podejście |
|---|---|---|
| Ogólne działanie | „Wdrożyć zabezpieczenia” nie wskazuje zakresu ani wyniku | Opisać konkretny środek, systemy, użytkowników i kryteria odbioru |
| Brak właściciela | Zadanie formalnie istnieje, ale nikt nie odpowiada za jego zakończenie | Przypisać właściciela ryzyka i odrębnego właściciela działania |
| Termin bez etapów | Opóźnienie staje się widoczne dopiero w dniu końcowym | Ustalić kamienie milowe, zależności i zasady eskalacji |
| Brak budżetu | Zarząd zatwierdza oczekiwanie, a nie wykonalny projekt | Określić koszt, zasoby, kompetencje i udział dostawców |
| Obniżenie ryzyka przed testem | Planowany stan jest przedstawiany jako już osiągnięty | Oddzielić ryzyko docelowe od potwierdzonego rezydualnego |
| Akceptacja przez wykonawcę | Osoba wdrażająca środek zatwierdza rezultat własnej pracy | Zapewnić decyzję właściciela ryzyka lub właściwego poziomu kierownictwa |
| Wieczne przesuwanie dat | Ryzyko pozostaje poza tolerancją bez formalnej decyzji | Eskalować opóźnienie, wdrożyć środek tymczasowy albo ponownie zatwierdzić ryzyko |
Checklista planu postępowania z ryzykiem
Przed zatwierdzeniem planu sprawdź, czy każde istotne działanie spełnia poniższe warunki.
Najczęściej zadawane pytania
Czy plan postępowania z ryzykiem jest obowiązkowy?
UoKSC wymaga udokumentowanego zarządzania ryzykiem i wdrażania środków odpowiednich do ryzyka. Plan jest praktycznym sposobem wykazania decyzji, odpowiedzialności i realizacji. ISO/IEC 27001 przewiduje planowanie postępowania z ryzykiem. Rozporządzenie 2024/2690 wprost wymaga planu od podmiotów objętych jego zakresem.
Czy plan może być częścią rejestru ryzyka?
Tak. Organizacja może prowadzić oba elementy w jednym kontrolowanym narzędziu, jeżeli zachowuje rozróżnienie między aktualną oceną a planowanymi działaniami, pozwala śledzić odpowiedzialność oraz dokumentuje wynik testu i decyzję o ryzyku rezydualnym.
Czy właściciel ryzyka i właściciel działania mogą być tą samą osobą?
Mogą, jeżeli osoba ma zarówno odpowiedzialność biznesową, jak i możliwość wykonania zadania. Nie należy jednak automatycznie przypisywać obu ról IT. Właściciel ryzyka odpowiada za znaczenie i decyzję, a właściciel działania za realizację.
Czy można zaakceptować ryzyko powyżej ustalonej tolerancji?
Taka decyzja wymaga eskalacji zgodnej z metodyką, wyraźnego uzasadnienia, właściwego umocowania i zwykle określenia środków tymczasowych. Akceptacja nie powinna służyć obchodzeniu przyjętych kryteriów ani obowiązków prawnych.
Czy ubezpieczenie cybernetyczne przenosi całe ryzyko?
Nie. Polisa może ograniczyć część konsekwencji finansowych, ale nie przenosi wszystkich obowiązków regulacyjnych, operacyjnych, kontraktowych ani reputacyjnych. Ryzyko pozostałe nadal trzeba ocenić i odpowiednio zabezpieczyć.
Jak często przeglądać plan postępowania?
W regularnych odstępach określonych w metodyce oraz po istotnych zmianach, incydentach, testach i nowych zagrożeniach. Dla działań dotyczących ryzyk wysokich monitoring powinien być częstszy niż roczny przegląd całego SZBI.
Czy zakończenie zadania oznacza automatyczną akceptację ryzyka?
Nie. Najpierw trzeba potwierdzić zakres wykonania, sprawdzić skuteczność zabezpieczenia i ponownie ocenić ryzyko. Dopiero wynik tej oceny może zostać przedstawiony właściwemu decydentowi do akceptacji albo dalszego ograniczenia.
Czy do planu trzeba wpisywać koszt?
Warto określić co najmniej wymagane zasoby i szacowany koszt. Dzięki temu kierownictwo może porównać działania, nadać priorytety i podjąć świadomą decyzję budżetową. Brak informacji o zasobach często prowadzi do przyjmowania planów, których nie da się wykonać.
Podsumowanie
Plan postępowania z ryzykiem powinien być pomostem pomiędzy analizą a rzeczywistą zmianą w organizacji. Jego wartość nie zależy od liczby kolumn, lecz od tego, czy wskazuje wykonalne działania, odpowiedzialność, zasoby, terminy, mierzalny rezultat i właściwą ścieżkę decyzyjną.
Najważniejsze jest zachowanie uczciwego obrazu ryzyka. Działanie zaplanowane nie jest działaniem wdrożonym, a ryzyko docelowe nie jest jeszcze ryzykiem rezydualnym. Dopiero wykonanie, test, ponowna ocena i świadoma decyzja właściwego decydenta zamykają pełny cykl postępowania.
Zamień ocenione ryzyka na wykonalny plan działania
Podczas bezpłatnej konsultacji adwokat i audytor wstępnie przeanalizuje sposób zarządzania ryzykiem w organizacji, wskaże najważniejsze luki oraz rekomendowany zakres działań. Po rozmowie otrzymasz propozycję dalszego wsparcia dopasowaną do potrzeb, ryzyk i priorytetów organizacji.