Stała opieka nad SZBI zapewnia zarządowi bieżący nadzór nad dokumentacją, ryzykiem, incydentami, audytami i obowiązkami regulacyjnymi po zakończeniu wdrożenia systemu. Umowa nie przenosi odpowiedzialności kierownictwa na zewnętrznego eksperta, ale zabezpiecza obszar, za który zarząd odpowiada: wyznacza właścicieli zadań, terminy, sposób eskalacji oraz dowody pozwalające wykazać, że System Zarządzania Bezpieczeństwem Informacji jest stosowany, kontrolowany i rozwijany.
„Bieżące doradztwo” nie mówi zarządowi, co faktycznie otrzyma. Dobra umowa wskazuje dokumenty, rejestry, raporty, częstotliwość przeglądów, czas reakcji przy incydencie, odpowiedzialność klienta oraz sposób potwierdzania wykonania każdego elementu opieki.
Odbiorca raportów zarząd i właściciele ryzyk
Najważniejszy rezultat dowody działania SZBI
Kierownik podmiotu kluczowego lub ważnego odpowiada także wtedy, gdy obowiązki powierzono innej osobie. Wykonawca ma więc dostarczać zarządowi aktualną informację, rekomendacje, projekty decyzji i dowody wykonania. Zarząd nadal zatwierdza poziom ryzyka, budżet, priorytety i sposób postępowania.
Dlaczego wdrożenie SZBI nie kończy projektu?
System Zarządzania Bezpieczeństwem Informacji nie jest segregatorem polityk ani zestawem procedur przygotowanych na dzień audytu. Jego zadaniem jest utrzymywanie ryzyka informacyjnego na poziomie akceptowanym przez organizację. Gdy zmieniają się systemy, ludzie, dostawcy, procesy, prawo albo krajobraz zagrożeń, zmienia się również ryzyko i sposób działania SZBI.
ISO/IEC 27001 opisuje system jako mechanizm ustanawiany, wdrażany, utrzymywany i ciągle doskonalony. Oznacza to cykliczną analizę ryzyka, monitorowanie zabezpieczeń, zarządzanie niezgodnościami, audyty wewnętrzne, przeglądy kierownictwa i aktualizację dokumentacji. Podobną logikę przyjmują KSC/NIS2 oraz DORA: bezpieczeństwo ma działać w praktyce i podlegać nadzorowi najwyższego kierownictwa.
Nowelizacja ustawy o KSC wprost wskazuje, że kierownik podmiotu podejmuje decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI. Planuje adekwatne środki finansowe, przydziela zadania, nadzoruje ich wykonanie i zapewnia zgodność organizacji. Powierzenie czynności działowi IT, pełnomocnikowi albo zewnętrznemu dostawcy nie usuwa tej odpowiedzialności.
Umowa zabezpiecza proces nadzoru, a nie obiecuje brak incydentów
Żaden wykonawca nie powinien gwarantować, że atak nie nastąpi. Powinien natomiast zobowiązać się do utrzymywania uzgodnionego procesu: identyfikacji ryzyk, aktualizacji dokumentów, eskalacji niezgodności, wsparcia reakcji, monitorowania działań naprawczych i raportowania zarządowi.
Organizacja, która dopiero buduje system, może zacząć od materiału Polityka bezpieczeństwa informacji ISO 27001. Jeżeli system już istnieje, stała opieka powinna rozpocząć się od protokołu przejęcia, potwierdzenia zakresu i ustalenia najpilniejszych luk.
Co obejmuje stała opieka nad SZBI?
Zakres powinien odpowiadać rzeczywistym potrzebom organizacji, jej wielkości, sektorowi i regulacjom. Poniższe siedem obszarów tworzy kompletne minimum usługi dla firmy, która chce utrzymać działający SZBI oraz zapewnić zarządowi regularny obraz ryzyka.
Dokumentacja i compliance
Rejestr dokumentów, wersjonowanie, przeglądy i aktualizacje polityk oraz procedur po zmianach prawa, organizacji, systemów, usług i dostawców.
Ryzyko informacji
Inwentaryzacja aktywów, ocena poufności, integralności i dostępności, rejestr ryzyka oraz mierzalny plan postępowania z właścicielami i terminami.
Audyty i korekty
Program audytów, niezależna ocena uzgodnionego zakresu oraz monitorowanie działań korygujących po audytach, kontrolach i przeglądach.
Incydenty i współpraca z IT
Utrzymanie procedury, klasyfikacja zdarzeń, wsparcie analizy prawno-technicznej, eskalacja oraz przygotowanie zgłoszeń i raportów.
Szkolenia i świadomość
Roczny plan szkoleń, materiały dla pracowników i zarządu, testy wiedzy, ewidencja uczestnictwa oraz działania po incydentach wynikających z błędu ludzkiego.
Kontakt z CSIRT i S46
Pełnienie funkcji jednej z wyznaczonych osób kontaktowych lub wsparcie osób klienta, analiza komunikatów oraz utrzymanie gotowości do pracy w S46.
Doradztwo i raporty dla zarządu
Bieżące konsultacje, okresowe informacje o ryzyku, mechanizm niezwłocznej eskalacji oraz roczne sprawozdanie o skuteczności SZBI.
Dokumentacja, która odzwierciedla stan faktyczny
Ustawa o KSC wymaga opracowywania, stosowania i aktualizowania dokumentacji bezpieczeństwa systemu informacyjnego. Obejmuje ona dokumentację normatywną i operacyjną, w tym SZBI, ciągłość działania, ochronę infrastruktury oraz dokumentację techniczną. Umowa o stałą opiekę powinna zatem obejmować nie tylko redagowanie polityk, ale również kontrolę, czy opisane mechanizmy rzeczywiście działają.
Każda aktualizacja powinna mieć właściciela, uzasadnienie, datę zatwierdzenia i numer wersji. Wycofane dokumenty trzeba archiwizować zgodnie z wymaganiami prawa oraz zasadami przyjętymi w organizacji. Przy zmianach istotnych dla ryzyka wykonawca powinien inicjować przegląd, a nie oczekiwać na roczny termin.
Ryzyko zamienione na decyzje i plan działania
Rejestr ryzyka nie powinien kończyć się kolorem czerwonym albo zielonym. Zarząd potrzebuje informacji, jaka usługa lub proces jest zagrożony, jakie mogą być skutki, kto jest właścicielem ryzyka i ile kosztuje jego ograniczenie. Stała opieka obejmuje aktualizowanie inwentaryzacji aktywów, ocenę nowych projektów i dostawców oraz kontrolę realizacji planu postępowania z ryzykiem.
Ryzyko rezydualne powinno być przedstawiane osobie mającej uprawnienie do jego akceptacji. Wykonawca może przygotować rekomendację, lecz nie powinien samodzielnie akceptować ryzyka biznesowego zamiast zarządu albo właściciela procesu.
Audyty bez konfliktu interesów
Coroczny audyt wewnętrzny może być elementem standardu usługi, ale trzeba odróżnić go od ustawowego audytu bezpieczeństwa podmiotu kluczowego wykonywanego co najmniej raz na trzy lata oraz od audytu certyfikacyjnego ISO 27001. Każdy z nich ma inny cel, podstawę i wymagania dotyczące wykonawcy.
Osoba prowadząca bieżące utrzymanie SZBI nie powinna bez dodatkowych zabezpieczeń audytować własnej pracy i przedstawiać wyniku jako w pełni niezależnego. Umowa powinna przewidywać rozdzielenie ról, udział innego audytora albo odrębne zlecenie. Dzięki temu zarząd otrzymuje wiarygodną ocenę, a nie potwierdzenie przygotowane przez autora ocenianych rozwiązań.
Incydent: przygotowanie przed rozpoczęciem zegara
Wsparcie incydentowe działa tylko wtedy, gdy zasady współpracy ustalono przed zdarzeniem. Umowa powinna wskazywać kanał alarmowy, dostępność wykonawcy, minimalny zestaw informacji, sposób współpracy z IT lub SOC, zasady zabezpieczania dowodów oraz osoby uprawnione do podjęcia decyzji o zgłoszeniu.
Podmiot objęty KSC może mieć 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu poważnego. Równolegle może wystąpić obowiązek zawiadomienia UODO albo poinformowania klientów. Szczegółowy proces opisuje artykuł Zgłoszenie incydentu NIS2 – dwa terminy na reakcję.
Osoba kontaktowa dla podmiotów KSC
Co do zasady podmiot kluczowy lub ważny wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa. Dla określonych mikro- i małych przedsiębiorców oraz podmiotów publicznych ustawa przewiduje wymóg co najmniej jednej osoby.
Zewnętrzny ekspert może zostać wyznaczony jako jedna z osób kontaktowych, jeżeli zakres umowy zapewnia rzeczywistą dostępność, upoważnienie, bezpieczny dostęp do informacji i ustalone zastępstwo. Drugą osobą powinna być zwykle osoba znająca infrastrukturę lub procesy klienta. Model oparty wyłącznie na zewnętrznym kontakcie tworzy ryzyko utraty wiedzy i ciągłości po zakończeniu umowy.
Masz SZBI, ale nikt nie odpowiada za jego bieżące utrzymanie?
Podczas bezpłatnej konsultacji ocenimy aktualny stan dokumentacji, ryzyka, incydentów, audytów i raportowania. Wskażemy, które zadania mogą zostać objęte stałą opieką, co powinno pozostać po stronie firmy oraz jakie rezultaty warto wpisać do umowy.
Jak wygląda stała obsługa SZBI w ciągu roku?
Dobra umowa nie sprowadza się do rocznego audytu i telefonów w nagłych przypadkach. Powinna tworzyć stały rytm pracy oraz osobną ścieżkę dla zdarzeń wymagających natychmiastowej reakcji. Częstotliwość poszczególnych czynności należy dostosować do ryzyka i tempa zmian w organizacji.
Zmiany i konsultacje
Nowe systemy, dostawcy, umowy, projekty, incydenty i zmiany organizacyjne. Wykonawca ocenia wpływ na ryzyko i wskazuje wymagane działania.
Rejestry i działania
Przegląd otwartych niezgodności, incydentów, planu postępowania z ryzykiem i zaleceń. Eskalacja opóźnień oraz ryzyk wymagających decyzji.
Raport zarządczy
Syntetyczny obraz zmian ryzyka, statusu działań, incydentów, dostawców i kluczowych wskaźników. Decyzje są protokołowane i przypisane właścicielom.
Przegląd i plan
Przegląd SZBI, szkolenie kierownictwa, plan audytów, aktualizacja programu świadomości i roczne sprawozdanie z rekomendacjami budżetowymi.
Roczny harmonogram powinien mieć konkretne daty, ale nie może blokować reakcji po incydencie, ważnej zmianie prawa, wdrożeniu systemu, przejęciu spółki albo zmianie krytycznego dostawcy. W takich przypadkach przegląd ryzyka i dokumentacji należy uruchomić zdarzeniowo.
| Zdarzenie | Działanie wykonawcy | Decyzja po stronie klienta | Dowód wykonania |
|---|---|---|---|
| Nowy system lub aplikacja | Ocena ryzyka, wymagań security by design, dostawcy i wpływu na dokumentację. | Akceptacja ryzyka, budżetu oraz warunków uruchomienia. | Karta oceny, rekomendacje i decyzja właściciela ryzyka. |
| Zmiana prawa | Analiza wpływu, lista wymaganych zmian i projekty aktualizacji dokumentów. | Zatwierdzenie zakresu, odpowiedzialności i terminu wdrożenia. | Notatka prawna, plan wdrożenia i zaktualizowane procedury. |
| Incydent | Koordynacja prawno-procesowa, ocena obowiązków i wsparcie przygotowania zgłoszeń. | Klasyfikacja biznesowa, decyzje operacyjne, komunikacja i akceptacja zgłoszenia. | Chronologia, formularze, potwierdzenia i raport końcowy. |
| Ustalenie audytowe | Plan działań korygujących, monitoring terminów i weryfikacja zamknięcia. | Właściciel działania, zasoby i akceptacja ryzyka rezydualnego. | Rejestr korekt, dowody wdrożenia i ocena skuteczności. |
| Nowy dostawca ICT | Due diligence, wymagania bezpieczeństwa, klauzule umowne i plan wyjścia. | Decyzja zakupowa i akceptacja zależności od dostawcy. | Ankieta, ocena ryzyka, umowa i rejestr dostawców. |
Co zarząd powinien otrzymywać od wykonawcy?
Wartość usługi jest możliwa do oceny wtedy, gdy każda czynność pozostawia rezultat. Zarząd nie potrzebuje kolejnej skrzynki z nieuporządkowanymi dokumentami. Potrzebuje aktualnego obrazu ryzyka, listy decyzji i informacji, czy organizacja realizuje przyjęty plan.
Rejestr dokumentacji
Właściciel, wersja, data zatwierdzenia, termin kolejnego przeglądu, historia zmian i miejsce przechowywania każdego dokumentu.
Rejestr ryzyka
Ryzyko pierwotne i rezydualne, zabezpieczenia, właściciel, decyzja, termin oraz aktualny stan planu postępowania.
Raport okresowy
Zmiany ryzyka, incydenty, opóźnienia, audyty, dostawcy, wskaźniki i tematy wymagające decyzji lub budżetu zarządu.
Plan działań
Jedna lista zaleceń z audytów, analiz, incydentów i kontroli, zawierająca priorytet, odpowiedzialność i termin.
Pakiet szkoleniowy
Program, materiały, lista uczestników, potwierdzenie szkolenia oraz rekomendacje wynikające z testów wiedzy.
Roczne sprawozdanie
Ocena skuteczności SZBI, najważniejsze ryzyka, wnioski z audytów i incydentów oraz rekomendacje na kolejny rok.
Raport zarządczy powinien być krótki i decyzyjny. Szczegółowe ustalenia mogą znajdować się w załącznikach, ale na pierwszych stronach powinny pojawić się: zmiana profilu ryzyka, kluczowe niezgodności, działania opóźnione, ryzyko przekroczenia terminów ustawowych oraz decyzje oczekujące na akceptację.
Czego stała opieka nad SZBI nie zastępuje?
Transparentna umowa jasno opisuje granice usługi. Dzięki temu zarząd nie zakłada błędnie, że opłata abonamentowa automatycznie zapewnia monitoring infrastruktury, całodobową reakcję techniczną, certyfikację ISO albo wykonanie wszystkich inwestycji wskazanych w analizie ryzyka.
Wykonawca koordynuje i kontroluje
Przekłada wymagania na zadania, utrzymuje dokumentację, prowadzi rejestry, ocenia ryzyko, wspiera incydenty, pilnuje działań i dostarcza zarządowi raporty oraz rekomendacje.
Organizacja wykonuje i decyduje
Zapewnia dostęp do informacji, wdraża zabezpieczenia techniczne, przydziela zasoby, podejmuje decyzje biznesowe, akceptuje ryzyko i umożliwia wykonawcy współpracę z personelem oraz dostawcami.
- Administracja IT: instalowanie poprawek, konfiguracja firewalli, backupów, EDR i kont pozostaje po stronie IT lub dostawcy technicznego, o ile umowa wyraźnie nie stanowi inaczej.
- SOC i monitoring 24/7: stała opieka procesowo-prawna nie jest automatycznie usługą całodobowego monitorowania i wykrywania zdarzeń.
- IOD: doradztwo w zakresie RODO i współpraca z IOD nie oznaczają przejęcia ustawowej funkcji inspektora ochrony danych.
- Certyfikacja: audyt wewnętrzny nie jest audytem certyfikacyjnym, a utrzymywanie SZBI nie gwarantuje uzyskania certyfikatu.
- Decyzje i budżet: wykonawca rekomenduje środki, ale nie może sam zatwierdzić ryzyka ani wydatku w imieniu zarządu bez właściwego umocowania.
- Brak incydentów: rezultatem jest odporność i gotowość reakcji, a nie obietnica całkowitego wyeliminowania cyberzagrożeń.
Jak opisać zakres stałej opieki w umowie?
Umowa powinna chronić obie strony przed luką oczekiwań. Klient musi wiedzieć, czego może wymagać, a wykonawca – do jakich informacji, osób i systemów otrzyma dostęp. Szczególnie ważne są trzy warstwy: zakres podstawowy, obsługa zdarzeń oraz zasady odpowiedzialności i współpracy.
Zakres i rezultaty
Lista czynności, dokumentów, raportów, spotkań, szkoleń i audytów. Dla każdego rezultatu: częstotliwość, format, odbiorca i zasady akceptacji.
Reakcja i eskalacja
Kanał zgłoszeń, godziny dostępności, czasy reakcji, tryb incydentowy, osoby decyzyjne, kontakt z IT i zasady uruchamiania prac dodatkowych.
Odpowiedzialność i wyjście
Obowiązki klienta, limity odpowiedzialności, poufność, tajemnica zawodowa, dane osobowe, prawa do dokumentacji i procedura przekazania SZBI po zakończeniu współpracy.
Najważniejsze postanowienia do sprawdzenia
- Zakres organizacyjny: spółki, lokalizacje, procesy, systemy i regulacje objęte usługą.
- RACI: kto odpowiada, wykonuje, konsultuje i otrzymuje informacje przy każdym procesie SZBI.
- SLA: czas pierwszej reakcji, dostępność poza godzinami pracy i sposób liczenia terminów incydentowych.
- Warunki współpracy: dostęp do ludzi i dokumentów, terminy odpowiedzi klienta oraz skutki braku informacji.
- Audyt: zakres, częstotliwość, kompetencje, niezależność oraz sposób monitorowania działań poaudytowych.
- CSIRT i S46: status osoby kontaktowej, umocowanie, dostęp, zastępstwo i sposób zatwierdzania zgłoszeń.
- Prace dodatkowe: pentesty, wdrożenia techniczne, postępowania przed organami i obsługa rozbudowanych incydentów.
- Zakończenie umowy: eksport rejestrów, przekazanie haseł i dostępów, otwarte działania oraz usunięcie kopii danych.
Techniczne parametry dostępności i reakcji warto skorelować z umowami utrzymaniowymi dostawców IT. Zasady budowania mierzalnych zobowiązań przedstawia artykuł Umowa SLA w IT – zapisy, które chronią firmę.
Checklista projektu umowy o stałą opiekę
FAQ: stała opieka nad SZBI
Czy zewnętrzny pełnomocnik przejmuje odpowiedzialność zarządu?
Nie. Wykonawca może przejąć bieżące prowadzenie, koordynację i kontrolę uzgodnionych procesów, ale zarząd nadal odpowiada za decyzje, nadzór, budżet i wykonywanie obowiązków przez organizację. Umowa powinna zapewniać zarządowi informacje i dowody potrzebne do sprawowania tego nadzoru.
Czy stała opieka zastępuje dział IT albo SOC?
Nie, chyba że umowa wyraźnie obejmuje również usługi techniczne. Pełnomocnik SZBI koordynuje wymagania prawne, organizacyjne i procesowe. IT administruje systemami, a SOC monitoruje zdarzenia i wykrywa zagrożenia. Wszystkie funkcje powinny współpracować według jednej procedury.
Czy wykonawca może być jedną z osób kontaktowych KSC?
Tak, jeżeli zostanie prawidłowo wyznaczony, ma odpowiednie dane służbowe, dostępność, umocowanie i dostęp do informacji potrzebnych do kontaktu. Należy zapewnić zastępstwo oraz osobę po stronie organizacji, która zna jej systemy i może podejmować działania operacyjne.
Czy abonament obejmuje zgłoszenia incydentów w 24 i 72 godziny?
Tylko wtedy, gdy umowa wyraźnie obejmuje obsługę incydentową i określa dostępność, czas reakcji, zakres pomocy oraz sposób zatwierdzania zgłoszeń. Sama ogólna klauzula o doradztwie nie zapewnia gotowości do działania w nocy lub w dzień wolny.
Czy jedna osoba może utrzymywać i audytować SZBI?
Może uczestniczyć w obu procesach, ale trzeba zapewnić obiektywność i ograniczyć konflikt interesów. Bezpieczniejszy model przewiduje innego audytora, oddzielny zespół albo niezależny przegląd obszarów, za które osoba prowadząca utrzymanie odpowiadała operacyjnie.
Jak często aktualizować analizę ryzyka i dokumentację?
W zaplanowanych odstępach oraz po istotnej zmianie: incydencie, nowym systemie, zmianie dostawcy, reorganizacji, zmianie prawa lub pojawieniu się nowego zagrożenia. Roczny przegląd jest praktycznym minimum organizacyjnym, ale obszary wysokiego ryzyka wymagają częstszej kontroli.
Co powinno stać się z dokumentacją po rozwiązaniu umowy?
Klient powinien otrzymać aktualne dokumenty, rejestry, plan działań, raporty, historię zmian, listę otwartych ryzyk i informacje o terminach. Umowa powinna również regulować odebranie dostępów, usunięcie kopii oraz czas przejściowego wsparcia nowej osoby odpowiedzialnej.
Zabezpiecz bieżące utrzymanie SZBI w swojej organizacji
Zweryfikujemy obecny system, ustalimy podział odpowiedzialności i przygotujemy zakres stałej opieki dopasowany do organizacji. Zarząd otrzyma harmonogram, listę rezultatów, zasady raportowania i jasną ścieżkę działania przy incydencie, audycie albo zmianie regulacyjnej.