Jakie są różnice między SZBI a RODO? To nie są dwa określenia tej samej dokumentacji. Polityki ochrony danych pomagają wykazać zgodność przetwarzania danych osobowych i chronić prawa osób fizycznych. System Zarządzania Bezpieczeństwem Informacji wymagany przez UoKSC ma natomiast zapewnić odporność systemów informacyjnych, zarządzanie ryzykiem cyberbezpieczeństwa oraz ciągłość usług podmiotu kluczowego lub ważnego. Firma, która wdrożyła RODO, nie staje się więc automatycznie zgodna z UoKSC.
W organizacji istnieją klauzule informacyjne, rejestr czynności przetwarzania i procedura naruszeń danych, ale nikt nie potrafi wskazać właścicieli systemów, czasu odtworzenia usług, zasad zarządzania podatnościami ani ścieżki zgłoszenia incydentu poważnego do CSIRT.
SZBI odpowiada głównie na pytanie Jak utrzymamy bezpieczne działanie usług?
Różnica nie sprowadza się do liczby dokumentów. RODO i UoKSC wykorzystują podejście oparte na ryzyku, wymagają środków technicznych i organizacyjnych oraz nakazują dokumentowanie decyzji. Inny jest jednak punkt odniesienia oceny ryzyka, zakres chronionych zasobów, odpowiedzialność organizacyjna i tryb raportowania zdarzeń.
Wspólne zabezpieczenia można opisać raz. Trzeba jednak zachować odrębne cele, kryteria oceny ryzyka, role decyzyjne i ścieżki zgłoszeń do Prezesa UODO oraz właściwego CSIRT.
Czy dokumentacja RODO wystarczy do zgodności z UoKSC?
Nie. Wdrożenie procedur ochrony danych osobowych nie potwierdza, że firma zidentyfikowała systemy i procesy wpływające na świadczenie usług, oceniła ryzyko cyberbezpieczeństwa, przygotowała plany ciągłości działania albo zabezpieczyła łańcuch dostaw. Są to obszary, które mogą wykraczać daleko poza przetwarzanie danych osobowych.
Przykładowo awaria sterownika przemysłowego, zaszyfrowanie serwera produkcyjnego lub niedostępność systemu zamówień może zatrzymać działalność organizacji, mimo że nie doszło do naruszenia poufności danych osobowych. Z perspektywy RODO zdarzenie może nie wymagać zgłoszenia Prezesowi UODO. Z perspektywy UoKSC może jednak stanowić incydent wpływający na bezpieczeństwo systemów informacyjnych i ciągłość usługi.
Sama „teczka RODO” nie jest systemem zarządzania
SZBI nie powinien być zbiorem uniwersalnych wzorów. Musi działać w praktyce: przypisywać odpowiedzialność, wiązać ryzyka z zabezpieczeniami, określać mierniki, utrzymywać dowody realizacji obowiązków oraz prowadzić do regularnego testowania i doskonalenia ochrony.
Nowelizacja UoKSC wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. Podmioty objęte ustawą muszą ocenić swój status, dopełnić obowiązków rejestracyjnych i wdrożyć wymagane środki zarządzania ryzykiem. To zadanie zarządcze, a nie wyłącznie techniczne rozszerzenie dokumentacji przygotowanej kiedyś na potrzeby RODO.
RODO i SZBI chronią inne obszary ryzyka
RODO skupia się na osobie
Punktem odniesienia są dane osobowe oraz ryzyko naruszenia praw i wolności osób fizycznych. Organizacja musi wiedzieć, jakie dane przetwarza, w jakim celu, na jakiej podstawie, przez jaki czas i komu je ujawnia.
- legalność, rzetelność i przejrzystość przetwarzania,
- minimalizacja danych i ograniczenie czasu przechowywania,
- realizacja praw osób, których dane dotyczą,
- bezpieczeństwo przetwarzania danych osobowych,
- ocena skutków i obsługa naruszeń ochrony danych.
UoKSC skupia się na odporności usługi
Punktem odniesienia są systemy informacyjne oraz procesy wpływające na świadczenie usług przez podmiot kluczowy lub ważny. Liczy się poufność, integralność, dostępność i autentyczność danych oraz związanych z nimi usług.
- ryzyko zakłócenia systemów i procesów,
- obsługa incydentów i zarządzanie podatnościami,
- ciągłość działania, kopie zapasowe i odtwarzanie,
- bezpieczeństwo dostawców i łańcucha dostaw,
- monitorowanie, testowanie i ocena skuteczności zabezpieczeń.
To rozróżnienie nie oznacza, że RODO nie wymaga zabezpieczeń technicznych ani ciągłości. Artykuł 32 RODO wskazuje między innymi zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów przetwarzania oraz zdolność szybkiego przywrócenia dostępności danych osobowych. Zakres tej oceny nadal pozostaje jednak powiązany z przetwarzaniem danych osobowych i ryzykiem dla ludzi.
SZBI a RODO: porównanie obowiązków i dokumentacji
| Kryterium | Polityki i dokumentacja RODO | Dokumentacja SZBI w UoKSC |
|---|---|---|
| Główny cel | Ochrona danych osobowych oraz praw i wolności osób fizycznych. | Zarządzanie ryzykiem cyberbezpieczeństwa, odporność systemów i ciągłość świadczenia usług. |
| Przedmiot ochrony | Dane osobowe przetwarzane w formie elektronicznej i papierowej. | Systemy informacyjne, dane i usługi związane z procesami wpływającymi na świadczenie usług objętych ustawą. |
| Punkt odniesienia ryzyka | Prawdopodobieństwo i waga skutków dla praw oraz wolności osoby. | Wpływ cyberzagrożenia na systemy, usługi, organizację, odbiorców i inne podmioty. |
| Przykładowe rejestry | Rejestr czynności przetwarzania, rejestr naruszeń, rejestr żądań i upoważnień. | Inwentaryzacja aktywów, rejestr ryzyka, incydentów, podatności, wyjątków i działań naprawczych. |
| Kluczowe procedury | Realizacja praw osób, retencja danych, naruszenia, privacy by design, DPIA i powierzenie przetwarzania. | Obsługa incydentów, BCP i DRP, backup, dostęp, podatności, zmiany, dostawcy, monitoring oraz komunikacja kryzysowa. |
| Raportowanie zdarzeń | Do Prezesa UODO zasadniczo w ciągu 72 godzin od stwierdzenia naruszenia, jeżeli może ono powodować ryzyko dla praw lub wolności osób. | Wczesne ostrzeżenie o incydencie poważnym do właściwego CSIRT do 24 godzin od wykrycia, a zgłoszenie do 72 godzin. |
| Główny właściciel | Administrator danych. IOD doradza i monitoruje, zachowując niezależność. | Kierownik podmiotu kluczowego lub ważnego odpowiada za decyzje, wdrożenie, przegląd i nadzór nad SZBI. |
| Ocena skuteczności | Regularne testowanie środków bezpieczeństwa oraz wykazywanie zgodności. | Monitorowanie, pomiary, testy, ćwiczenia, audyty i działania korygujące powiązane z ryzykiem. |
| Typowe dowody | Klauzule, umowy powierzenia, analizy ryzyka, DPIA, protokoły realizacji praw i rejestry naruszeń. | Plany postępowania z ryzykiem, wyniki testów odtworzeniowych, raporty z incydentów, audyty dostawców i protokoły ćwiczeń. |
RODO nie nakazuje posiadania jednego dokumentu o konkretnej nazwie „Polityka ochrony danych”. Administrator powinien przyjąć polityki i procedury adekwatne do rodzaju, zakresu, kontekstu i celów przetwarzania oraz potrafić wykazać zgodność. Podobnie w SZBI liczy się funkcja dokumentacji i jej stosowanie, a nie samo nazewnictwo plików.
Czy polityka RODO jest częścią SZBI?
Nie wynika to automatycznie z przepisów. Polityka ochrony danych i SZBI mają odrębne podstawy prawne oraz cele. W dobrze zarządzanej organizacji mogą jednak należeć do jednej, spójnej architektury zarządzania bezpieczeństwem i zgodnością.
Moduł ochrony danych
Podstawy prawne, obowiązki informacyjne, prawa osób, retencja, powierzenia, DPIA i naruszenia ochrony danych.
Moduł cyberbezpieczeństwa
Aktywa, ryzyko cybernetyczne, incydenty, odporność, dostawcy, podatności, ciągłość działania i odtwarzanie.
Kontrola dostępu, zarządzanie tożsamością, MFA, kopie zapasowe, szyfrowanie, szkolenia, klasyfikacja informacji, bezpieczne zmiany i wymagania dla dostawców mogą wspierać oba reżimy. Nie trzeba opisywać ich dwa razy, jeżeli dokument jasno wskazuje zakres, właściciela, dowody realizacji i podstawę oceny ryzyka.
Najpraktyczniejszym rozwiązaniem jest dokumentacja modułowa. Organizacja utrzymuje wspólne zasady bezpieczeństwa, a następnie odrębne procedury dla obszarów wymagających innej kwalifikacji prawnej. Dzięki temu IOD, pełnomocnik ds. SZBI, IT i zarząd korzystają z tych samych informacji o systemach, ale podejmują decyzje według właściwych kryteriów.
ISO 27001 może porządkować SZBI, ale nie zastępuje analizy UoKSC
Norma ISO/IEC 27001 jest użyteczną ramą budowy systemu zarządzania bezpieczeństwem informacji. Sama certyfikacja nie jest jednak automatycznym obowiązkiem każdego podmiotu objętego UoKSC i nie zwalnia z weryfikacji szczególnych wymagań ustawy, raportowania incydentów ani obowiązków wobec organu nadzoru.
Jakiej dokumentacji brakuje firmie, która ma tylko RODO?
Poniższa checklista nie przesądza o zgodności, ale pokazuje typową lukę między dokumentacją ochrony danych a działającym SZBI. Zaznacz elementy, które w organizacji mają właściciela, aktualną wersję oraz dowody regularnego stosowania.
Jeden incydent, dwa odrębne reżimy zgłoszeń
Atak cybernetyczny może uruchomić obowiązki UoKSC i RODO jednocześnie, ale nie jest to regułą. Zespół powinien od początku prowadzić dwie odrębne oceny: wpływu na systemy i usługi oraz ryzyka dla osób, których dane dotyczą.
Przestój bez naruszenia danych
Atak DDoS lub awaria systemu zatrzymuje usługę, ale nie dochodzi do utraty, zmiany ani nieuprawnionego ujawnienia danych osobowych.
Ocena: możliwy incydent UoKSC. Brak automatycznej podstawy do zgłoszenia naruszenia Prezesowi UODO.
Błąd dotyczący danych osobowych
Pracownik wysyła dokument z danymi klienta do niewłaściwego odbiorcy, ale zdarzenie nie wpływa na ciągłość ani bezpieczeństwo systemów świadczących usługę.
Ocena: analiza ryzyka na gruncie RODO. Zdarzenie nie musi być incydentem poważnym UoKSC.
Ransomware z wyciekiem
Napastnik wykrada bazę klientów, szyfruje systemy i powoduje wielodniową niedostępność kluczowej usługi.
Ocena: prawdopodobne równoległe obowiązki. Każde zgłoszenie wymaga osobnej kwalifikacji i dokumentacji.
| Pytanie kwalifikacyjne | Tor UoKSC | Tor RODO |
|---|---|---|
| Co oceniamy? | Wpływ na bezpieczeństwo systemów, usługę, straty oraz szkody materialne lub niematerialne. | Naruszenie poufności, integralności lub dostępności danych osobowych i ryzyko dla osób. |
| Kiedy biegnie termin? | Od wykrycia incydentu poważnego. | Od stwierdzenia naruszenia ochrony danych osobowych. |
| Kto otrzymuje zgłoszenie? | Właściwy CSIRT, co do zasady przez System S46. | Prezes UODO, a przy wysokim ryzyku również osoby, których dane dotyczą. |
| Czy każde zdarzenie zgłaszamy? | Nie. Obowiązkowe terminy 24 i 72 godzin odnoszą się do incydentu poważnego. | Nie. Zgłoszenie organowi nie jest wymagane, jeżeli naruszenie prawdopodobnie nie powoduje ryzyka dla praw lub wolności osób. |
Wspólna procedura reagowania może obsługiwać oba tory, ale powinna zawierać dwa formularze kwalifikacji, dwóch właścicieli oceny i osobne zatwierdzenie decyzji. Dzięki temu termin UODO nie zostanie omyłkowo utożsamiony z terminem CSIRT.
Jak połączyć RODO i SZBI bez dublowania procedur?
Integracja nie polega na zmianie nazwy polityki RODO na „SZBI”. Najpierw trzeba określić zakres systemu i porównać istniejące dokumenty z obowiązkami UoKSC. Dopiero później można zdecydować, które procedury pozostają wspólne, a które wymagają osobnych modułów.
Sprawdź, czy firma jest podmiotem kluczowym lub ważnym oraz które usługi, procesy i systemy podlegają UoKSC.
Przypisz istniejące polityki RODO, IT, ciągłości i dostawców do konkretnych wymagań oraz dowodów.
Wskaż brakujące role, ryzyka, procedury, testy, rejestry, umowy i mechanizmy nadzoru zarządu.
Ustal plan postępowania z ryzykiem, przeprowadź ćwiczenia, zbierz dowody i zaplanuj cykl przeglądów.
Wspólna polityka bezpieczeństwa może opisywać klasyfikację informacji, dostęp, urządzenia, szyfrowanie, kopie zapasowe i zasady pracy z dostawcami. Odrębne załączniki powinny regulować między innymi prawa osób, DPIA i naruszenia RODO oraz kwalifikację incydentu poważnego, kontakt z CSIRT, ciągłość usług i obowiązki kierownika podmiotu.
W procesie integracji należy zachować niezależność IOD. Inspektor może doradzać, monitorować zgodność i współpracować przy ocenie incydentu, ale nie powinien otrzymywać zadań prowadzących do konfliktu interesów, na przykład samodzielnego określania celów i sposobów przetwarzania, które następnie ma kontrolować.
FAQ: dokumentacja SZBI a polityka RODO
Czy firma mająca politykę RODO musi wdrożyć osobny SZBI?
Jeżeli firma jest podmiotem kluczowym lub ważnym objętym UoKSC, musi spełnić wymagania dotyczące SZBI niezależnie od posiadanej dokumentacji RODO. Nie oznacza to konieczności dublowania wszystkich polityk. Wspólne zabezpieczenia można zintegrować, uzupełniając brakujące obszary cyberbezpieczeństwa i ciągłości usług.
Czy UoKSC wymaga certyfikatu ISO 27001?
Nie ma ogólnej zasady, zgodnie z którą każdy podmiot objęty UoKSC musi uzyskać certyfikat ISO/IEC 27001. Norma może pomóc uporządkować SZBI i przygotować dowody działania systemu, lecz konieczna pozostaje odrębna weryfikacja wymagań ustawy oraz regulacji sektorowych.
Czy IOD może odpowiadać za cały SZBI?
IOD może doradzać i uczestniczyć w pracach dotyczących bezpieczeństwa informacji, jeżeli nie narusza to jego niezależności i nie prowadzi do konfliktu interesów. Odpowiedzialność za decyzje dotyczące SZBI i nadzór nad jego wdrożeniem pozostaje po stronie kierownika podmiotu, a role operacyjne powinny być jasno rozdzielone.
Czy każde naruszenie danych osobowych trzeba zgłaszać do CSIRT?
Nie. Naruszenie danych osobowych wymaga osobnej oceny na gruncie UoKSC. Obowiązek zgłoszenia do CSIRT w terminach 24 i 72 godzin dotyczy incydentu poważnego u podmiotu objętego ustawą, a nie każdego błędu dotyczącego danych osobowych.
Czy każdy cyberincydent trzeba zgłaszać Prezesowi UODO?
Nie. Zgłoszenie do Prezesa UODO jest związane z naruszeniem ochrony danych osobowych, które może powodować ryzyko dla praw lub wolności osób. Atak powodujący wyłącznie niedostępność systemu bez wpływu na dane osobowe może nie podlegać temu obowiązkowi.
Od czego zacząć, jeśli firma ma wyłącznie dokumentację RODO?
Najpierw należy ustalić status organizacji na gruncie UoKSC oraz zakres usług i systemów. Następnie warto przeprowadzić analizę luk, która porówna istniejące polityki, procedury i dowody z wymaganiami dotyczącymi zarządzania ryzykiem, incydentów, ciągłości działania, dostawców i nadzoru zarządu.
Masz dokumentację RODO? Sprawdź, czego brakuje do SZBI
Podczas bezpłatnej konsultacji możesz omówić status organizacji na gruncie UoKSC/NIS2, obecny zakres polityk bezpieczeństwa oraz najważniejsze luki między dokumentacją RODO a wymaganym SZBI. Wynikiem dalszej analizy może być uporządkowana mapa dokumentów, plan wdrożenia i lista działań dla zarządu, IT, IOD oraz dostawców.