SZBI – co to jest i dlaczego nie można sprowadzać go do zestawu polityk bezpieczeństwa? System Zarządzania Bezpieczeństwem Informacji to uporządkowany sposób rozpoznawania ryzyka, podejmowania decyzji, wdrażania zabezpieczeń i sprawdzania, czy rzeczywiście działają. Dokumentacja jest jego ważną częścią, ale sam segregator procedur nie zapewnia bezpieczeństwa ani zgodności z ustawą o krajowym systemie cyberbezpieczeństwa.
Łączy zarząd, właścicieli procesów, osoby odpowiedzialne za bezpieczeństwo, IT, dostawców i pracowników. Każda z tych grup wykonuje inne zadania, ale wszystkie powinny pracować na wspólnym obrazie usług, aktywów, ryzyka i przyjętych zabezpieczeń.
Rezultatdziałające zabezpieczenia
Dowódzapisy, testy i decyzje
System obejmuje zasady, role, procesy, technologię, dokumentację i dowody działania. Powinien zmieniać się razem z organizacją: po wdrożeniu nowego systemu, zmianie dostawcy, wykryciu podatności, incydencie, audycie albo zmianie prawa.
Czym jest System Zarządzania Bezpieczeństwem Informacji?
System Zarządzania Bezpieczeństwem Informacji, określany skrótem SZBI, to polski odpowiednik angielskiego pojęcia Information Security Management System, czyli ISMS. Jego zadaniem jest utrzymywanie poufności, integralności, dostępności i autentyczności informacji w sposób odpowiadający profilowi działalności oraz ryzyku organizacji.
W praktyce SZBI odpowiada na znacznie więcej pytań niż polityka haseł albo instrukcja wykonywania kopii zapasowych. Określa, które usługi i informacje są najważniejsze, od jakich systemów oraz dostawców zależą, jakie zdarzenia mogą je zakłócić, kto podejmuje decyzje i w jaki sposób firma sprawdza skuteczność zabezpieczeń.
Art. 8 znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa wymaga, aby podmiot kluczowy lub ważny wdrożył SZBI w systemach informacyjnych wykorzystywanych w procesach wpływających na świadczenie jego usługi. System ma zapewniać systematyczne szacowanie ryzyka, proporcjonalne środki techniczne i organizacyjne, zarządzanie incydentami oraz działania zapobiegające i ograniczające ich wpływ.
Zakres SZBI powinien wynikać z usługi i zależności
UoKSC nie wymaga automatycznie objęcia identycznymi procedurami każdego komputera i procesu w grupie kapitałowej. Nie pozwala jednak zawęzić systemu tak, aby pominąć aplikację, dostawcę, lokalizację albo zespół, od którego rzeczywiście zależy świadczenie regulowanej usługi.
SZBI a dokumentacja bezpieczeństwa – na czym polega różnica?
Najczęstsze nieporozumienie polega na utożsamianiu SZBI z gotowym pakietem polityk. Dokumenty opisują przyjęty sposób postępowania, ale system istnieje dopiero wtedy, gdy organizacja wykonuje opisane czynności, przypisuje odpowiedzialność, zachowuje dowody i reaguje na wyniki kontroli.
Opisuje, jak organizacja ma działać
Tworzy wspólne zasady, wymagania i odpowiedzialności. Bez niej działania bywają przypadkowe i trudne do rozliczenia.
- polityki i procedury,
- metodyka oraz rejestr ryzyka,
- plany ciągłości i odtworzenia,
- rejestry aktywów i dostawców,
- formularze, instrukcje i wzory raportów.
Potwierdza, że zasady są wykonywane
Łączy dokumentację z decyzjami, działaniami technicznymi i zapisami pokazującymi rzeczywisty stan bezpieczeństwa.
- wyniki testów kopii i odtworzenia,
- przeglądy dostępów i podatności,
- obsłużone incydenty i działania korygujące,
- oceny dostawców i aneksy umowne,
- protokoły decyzji i przeglądów zarządu.
UoKSC wyraźnie rozróżnia dokumentację normatywną oraz dokumentację operacyjną. Pierwsza obejmuje między innymi dokumentację SZBI, ciągłości działania i systemów informacyjnych. Druga to zapisy poświadczające wykonywanie przyjętych czynności, w tym automatycznie generowane dzienniki systemowe. Firma może więc posiadać komplet poprawnie nazwanych dokumentów, a mimo to nie mieć sprawnego SZBI.
Samą relację pomiędzy dokumentacją bezpieczeństwa i ochroną danych osobowych wyjaśnia osobna analiza: Czym różni się dokumentacja SZBI od polityki ochrony danych RODO?
Jak działa SZBI w praktyce?
System działa w cyklu. Organizacja nie kończy pracy po zatwierdzeniu polityki. Najpierw ustala zakres i kontekst, następnie identyfikuje aktywa oraz ryzyka, dobiera zabezpieczenia, wdraża je, kontroluje rezultaty i poprawia to, co nie działa. Każda istotna zmiana może uruchomić cykl ponownie.
Usługi i kontekst
Ustalenie procesów, lokalizacji, systemów, wymagań prawnych, klientów oraz granic odpowiedzialności objętych systemem.
Informacje i zależności
Inwentaryzacja danych, aplikacji, urządzeń, infrastruktury, personelu i dostawców potrzebnych do świadczenia usług.
Ocena zagrożeń
Rozpoznanie możliwych zdarzeń, podatności, prawdopodobieństwa i wpływu na ciągłość, klientów, finanse oraz zgodność.
Dobór zabezpieczeń
Wybór proporcjonalnych środków technicznych, organizacyjnych, prawnych i fizycznych oraz przypisanie właścicieli.
Monitoring i testy
Zbieranie wskaźników, przeglądy dostępów, testy odtworzenia, ćwiczenia incydentowe, audyty i ocena dostawców.
Doskonalenie
Usuwanie przyczyn niezgodności, aktualizacja ryzyka, decyzje zarządu i dostosowanie systemu do nowych warunków.
Takie podejście odpowiada logice ISO/IEC 27001:2022, która wymaga ustanowienia, wdrożenia, utrzymywania i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji. Norma daje organizacji ramę zarządczą, natomiast konkretne zabezpieczenia powinny wynikać z ryzyka, zakresu i obowiązujących wymagań.
Z jakich elementów składa się SZBI?
Nie istnieje jedna uniwersalna lista dokumentów i narzędzi właściwa dla każdej organizacji. Ustawa wyznacza obszary, które należy objąć zarządzaniem, ale szczegółowość rozwiązań zależy między innymi od sektora, wielkości, modelu technologicznego, zależności oraz możliwych skutków incydentu.
Ryzyko i odpowiedzialność
Metodyka, rejestr ryzyka, właściciele, plan postępowania, ryzyko rezydualne oraz decyzje osób posiadających właściwe kompetencje.
Aktywa i kontrola dostępu
Wiedza o informacjach, systemach i właścicielach, zasada najmniejszych uprawnień, konta imienne, MFA, przeglądy oraz bezpieczny offboarding.
Incydenty i podatności
Wykrywanie, eskalacja, zabezpieczanie dowodów, kwalifikacja, raportowanie, aktualizacje i usuwanie przyczyn zdarzeń.
Ciągłość działania
BCP, DRP, kopie zapasowe, RTO/RPO, komunikacja kryzysowa oraz regularne testowanie możliwości odtworzenia procesów i systemów.
Dostawcy i zakupy ICT
Ocena ryzyka łańcucha dostaw, ankiety, wymagania umowne, podwykonawcy, dostęp uprzywilejowany, koncentracja i plan wyjścia.
Monitoring i bezpieczeństwo techniczne
Logowanie, ochrona punktów końcowych, segmentacja, aktualizacje, konfiguracja, kryptografia oraz ciągłe monitorowanie właściwych systemów.
Personel i świadomość
Role, kompetencje, szkolenia, cyberhigiena, poufność, zgłaszanie zdarzeń oraz wymagane prawem sprawdzenie właściwych osób.
Ocena skuteczności
Mierniki, audyty, przeglądy kierownictwa, testy, niezgodności, działania korygujące i potwierdzenie, że zastosowane środki ograniczają ryzyko.
Szczegółowe wymagania wobec głównego dokumentu systemowego omawia artykuł Polityka bezpieczeństwa informacji według ISO 27001. Z kolei praktyczne wymagania kontraktowe wobec wykonawców przedstawia poradnik Umowa z dostawcą IT NIS2 – 12 klauzul chroniących firmę.
SZBI, ISO 27001, KSC i NIS2 – jak się ze sobą łączą?
Pojęcia te są ze sobą powiązane, ale nie są zamienne. NIS2 wskazuje europejski poziom obowiązków w zakresie zarządzania ryzykiem cyberbezpieczeństwa. UoKSC wdraża te wymagania do polskiego porządku i nakłada na podmioty kluczowe oraz ważne obowiązek posiadania SZBI. ISO/IEC 27001 jest natomiast międzynarodową normą opisującą wymagania dla systemu zarządzania.
| Element | Rola | Co oznacza dla organizacji? |
|---|---|---|
| NIS2 | Dyrektywa Unii Europejskiej | Wyznacza obowiązki dotyczące ryzyka, zarządzania, zabezpieczeń, incydentów, dostawców i odpowiedzialności kierownictwa. |
| UoKSC | Polska ustawa | Określa podmioty kluczowe i ważne, zakres SZBI, dokumentację, nadzór, raportowanie, audyty i sankcje. |
| ISO/IEC 27001 | Norma systemu zarządzania | Porządkuje budowę zakresu, zarządzanie ryzykiem, cele, dokumentację, ocenę skuteczności i ciągłe doskonalenie. |
| SZBI | System działający w organizacji | Łączy wymagania z procesami, ludźmi, technologią, dokumentacją, dowodami oraz decyzjami kierownictwa. |
| Certyfikat ISO 27001 | Zewnętrzne potwierdzenie zgodności określonego zakresu | Może stanowić dowód dojrzałości, ale nie zastępuje analizy wszystkich wymagań UoKSC i nie jest powszechnie wymagany przez ustawę. |
Trzeba porównać zakres certyfikacji z usługami objętymi UoKSC oraz sprawdzić wymagania ustawowe dotyczące między innymi S46, osób kontaktowych, raportowania incydentów, dokumentacji i odpowiedzialności kierownictwa. Równocześnie brak certyfikatu nie oznacza, że organizacja nie może wdrożyć zgodnego i skutecznego SZBI.
Kto odpowiada za SZBI w organizacji?
SZBI wymaga współpracy wielu funkcji, ale ostateczna odpowiedzialność nie rozpływa się pomiędzy działami. UoKSC przypisuje kierownikowi podmiotu decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu, planowanie adekwatnych środków finansowych, przydzielanie zadań i kontrolę ich wykonania.
Zarząd lub kierownik podmiotu
Zatwierdza zakres, politykę, cele i budżet. Przydziela odpowiedzialność, podejmuje decyzje dotyczące ryzyka oraz ocenia raporty o skuteczności systemu.
Pełnomocnik SZBI
Koordynuje dokumentację, ryzyko, przeglądy, audyty i działania korygujące. Przygotowuje materiał decyzyjny i eskaluje krytyczne problemy do kierownictwa.
IT, SOC i właściciele techniczni
Wdrażają oraz utrzymują zabezpieczenia, monitorują systemy, obsługują podatności, zabezpieczają logi i dostarczają dowody techniczne.
Właściciele procesów i funkcje wsparcia
Określają znaczenie usług, akceptują decyzje biznesowe i realizują wymagania w HR, zakupach, prawie, RODO, ciągłości działania oraz relacjach z dostawcami.
Powierzenie koordynacji Pełnomocnikowi lub zewnętrznemu ekspertowi nie przenosi odpowiedzialności zarządu. Pozwala natomiast zbudować stały punkt nadzoru, raportowania i eskalacji. Model takiej współpracy opisuje materiał Pełnomocnik ds. cyberbezpieczeństwa w abonamencie.
Czy każda firma musi wdrożyć SZBI?
Ustawowy obowiązek wdrożenia SZBI dotyczy przede wszystkim podmiotów kluczowych i ważnych objętych UoKSC, z uwzględnieniem przewidzianych w ustawie zasad szczególnych. Organizacja powinna najpierw ustalić rodzaj działalności, sektor, wielkość, powiązania i ewentualne podstawy wpisu do Wykazu KSC. Pomocna jest analiza Kogo dotyczy ustawa KSC/NIS2?
Firma pozostająca poza bezpośrednim zakresem ustawy może wdrożyć SZBI dobrowolnie. Powodem bywa ochrona ciągłości działania, wymaganie klienta korporacyjnego, udział w łańcuchu dostaw podmiotu kluczowego, przetarg, cyberubezpieczenie, przygotowanie do certyfikacji albo potrzeba uporządkowania szybko rosnącej infrastruktury.
Ministerstwo Cyfryzacji wskazuje, że podmioty spełniające przesłanki w dniu wejścia w życie nowych przepisów powinny wdrożyć obowiązki, w tym SZBI, do 3 kwietnia 2027 r. Sam wpis do Wykazu nie kończy przygotowań. Dalszą kolejność prac opisuje poradnik Co po wpisie do Wykazu KSC?
W ramach bezpłatnej oceny KSC/NIS2 można ustalić, czy organizacja jest podmiotem kluczowym, ważnym albo pozostaje poza zakresem regulacji. Otrzymasz klasyfikację, listę obowiązków, najbliższe terminy i pisemne stanowisko prawne.
Jak sprawdzić, czy SZBI rzeczywiście działa?
Ocena nie powinna zaczynać się od pytania, ile polityk znajduje się na dysku. Ważniejsze jest to, czy organizacja zna swoje ryzyka, potrafi pokazać wykonanie przyjętych działań i reaguje na zmiany. Poniższa checklista nie zastępuje audytu, ale ujawnia podstawowe różnice między dokumentacją a funkcjonującym systemem.
Podstawowa kontrola działania SZBI
Zaznacz wyłącznie elementy potwierdzone aktualnym dokumentem lub dowodem wykonania.
Jeżeli większości punktów nie da się potwierdzić, właściwym pierwszym krokiem jest zwykle audyt zerowy KSC/NIS2. Jego celem jest zidentyfikowanie stanu faktycznego i zaplanowanie działań, a nie rozpoczęcie od produkowania kolejnych wzorów dokumentów.
Kiedy potrzebny jest audyt, wdrożenie lub stała opieka?
Audyt zerowy
Właściwy, gdy firma nie zna pełnego zakresu obowiązków, nie ma wspólnego obrazu systemów albo nie wie, które wymagania już realizuje.
Sprawdź zakres audytu zerowegoWdrożenie SZBI
Potrzebne, gdy trzeba zaprojektować system, przypisać role, przeprowadzić ocenę ryzyka, wdrożyć zabezpieczenia i zbudować dokumentację oraz dowody.
Zobacz harmonogram wdrożeniaStała opieka
Właściwa po wdrożeniu, gdy organizacja potrzebuje aktualizacji, cyklicznych przeglądów, kontroli ryzyka, wsparcia incydentowego i raportowania zarządowi.
Poznaj zakres stałej opiekiKażdy etap powinien kończyć się konkretnym rezultatem. Audyt daje mapę luk i plan działań. Wdrożenie buduje działający system oraz ślad dowodowy. Stała opieka utrzymuje aktualność i gotowość, gdy zmieniają się zagrożenia, technologia, dostawcy albo wymagania prawne.
FAQ: SZBI – najczęstsze pytania
Co oznacza skrót SZBI?
SZBI oznacza System Zarządzania Bezpieczeństwem Informacji. Jest to uporządkowany system zarządzania ryzykiem dotyczącym informacji, systemów i usług. Obejmuje zasady, odpowiedzialność, działania techniczne i organizacyjne, dokumentację oraz dowody potwierdzające wykonanie przyjętych wymagań.
Czy SZBI jest jednym dokumentem?
Nie. Dokumentacja jest tylko jednym z elementów SZBI. System obejmuje również ludzi, role, procesy, narzędzia, zabezpieczenia, monitoring, testy, audyty, obsługę incydentów i działania korygujące. UoKSC odróżnia dokumentację normatywną od zapisów operacyjnych potwierdzających rzeczywiste wykonywanie czynności.
Czy każda firma musi wdrożyć SZBI?
Obowiązek ustawowy dotyczy podmiotów objętych właściwymi przepisami, w szczególności podmiotów kluczowych i ważnych w rozumieniu UoKSC. Pozostałe firmy mogą wdrożyć SZBI dobrowolnie ze względu na ryzyko, wymagania klientów, przetargi, ubezpieczenie lub potrzebę uzyskania certyfikatu ISO 27001.
Czy ISO 27001 jest obowiązkowe na gruncie KSC/NIS2?
UoKSC nie ustanawia powszechnego obowiązku uzyskania certyfikatu ISO 27001. Norma jest jednak uznanym modelem budowy i doskonalenia SZBI. Zastosowanie ISO 27001 nie zwalnia z porównania systemu z wymaganiami UoKSC, NIS2 oraz regulacji sektorowych.
Czy certyfikat ISO 27001 potwierdza pełną zgodność z UoKSC?
Nie automatycznie. Certyfikat dotyczy określonego zakresu systemu i wymagań normy. Trzeba sprawdzić, czy zakres obejmuje wszystkie usługi i zależności istotne dla KSC oraz czy organizacja realizuje dodatkowe obowiązki ustawowe, takie jak S46, osoby kontaktowe i raportowanie incydentów.
Kto zatwierdza SZBI?
Kierownictwo powinno zatwierdzić zakres, politykę, cele, odpowiedzialność i zasoby. UoKSC przypisuje kierownikowi podmiotu decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI. Ekspert może przygotować rekomendacje, ale nie powinien akceptować ryzyka biznesowego zamiast właściwego właściciela.
Czy SZBI może prowadzić zewnętrzny Pełnomocnik?
Zewnętrzny Pełnomocnik może koordynować system, prowadzić dokumentację i rejestry, organizować audyty, monitorować działania oraz raportować zarządowi. Umowa musi jednak jasno określać zakres, dostępność, współpracę z IT i odpowiedzialność. Outsourcing nie przenosi ustawowej odpowiedzialności kierownictwa.
Jak często trzeba aktualizować SZBI?
System powinien być monitorowany i utrzymywany stale. Przegląd należy przeprowadzać okresowo oraz po istotnych zmianach, incydentach, nowych podatnościach, zmianie dostawcy, wdrożeniu systemu, wynikach audytu albo zmianie wymagań prawnych. Częstotliwość poszczególnych kontroli powinna wynikać z ryzyka.
Od czego rozpocząć wdrożenie SZBI?
Od ustalenia zakresu, usług, aktywów i stanu faktycznego. Następnie trzeba przeprowadzić ocenę ryzyka i analizę luk, wyznaczyć priorytety oraz właścicieli działań. Rozpoczęcie od gotowych wzorów dokumentów grozi stworzeniem systemu, który nie odpowiada technologii i sposobowi działania firmy.
Sprawdź, jakiego SZBI potrzebuje Twoja organizacja
W ramach bezpłatnej oceny sprawdzimy, czy firma jest objęta KSC/NIS2, czy jest podmiotem kluczowym, ważnym albo pozostaje poza zakresem regulacji. Otrzymasz klasyfikację, listę obowiązków, najbliższe ustawowe terminy oraz pisemne stanowisko prawne. Jeżeli SZBI jest wymagany, wskażemy właściwy pierwszy krok: audyt, wdrożenie albo uporządkowanie stałego nadzoru.