SZBI do 3 kwietnia 2027 r. powinien nie tylko istnieć w dokumentacji, lecz także pozostawiać dowody potwierdzające wykonywanie procedur, testowanie zabezpieczeń, decyzje zarządu oraz reakcję na wykryte niezgodności. Sama polityka bezpieczeństwa, nawet poprawnie zatwierdzona, nie pokazuje jeszcze, że system działa w praktyce.
Najsilniejszy materiał dowodowy tworzy spójny ciąg: rozpoznane ryzyko, decyzja, wdrożone zabezpieczenie, zapis wykonania, wynik testu i działanie korygujące. Jeżeli któregokolwiek ogniwa brakuje, trudno ocenić skuteczność SZBI.
Podstawaart. 8–10 znowelizowanej UoKSC
Celudokumentowane i działające SZBI
W praktyce są to między innymi zatwierdzone polityki i procedury, rejestr ryzyka, decyzje zarządu, ewidencja aktywów, przeglądy uprawnień, logi i raporty techniczne, protokoły testów kopii zapasowych, rejestry incydentów, dowody szkoleń, oceny dostawców, wyniki audytów oraz działania korygujące.
Kogo dotyczy termin 3 kwietnia 2027 r.?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Podmioty, które w tym dniu spełniały przesłanki uznania za podmiot kluczowy albo ważny, otrzymały 12 miesięcy na wdrożenie obowiązków wynikających między innymi z art. 8–10 UoKSC. Dla tej grupy podstawowy termin upływa 3 kwietnia 2027 r.
Nie jest to jednak uniwersalna data dla każdej organizacji. Podmiot, który spełni kryteria później, powinien ustalić własny moment powstania obowiązku i wynikający z przepisów okres dostosowawczy. Znaczenie może mieć między innymi wzrost zatrudnienia lub obrotu, rozpoczęcie działalności w objętym sektorze, zmiana zakresu usług albo decyzja właściwego organu.
Termin wdrożenia SZBI nie jest tym samym co termin pierwszego audytu. Dla określonych podmiotów kluczowych przepisy przewidują późniejszą datę pierwszego audytu, jednak nie oznacza to, że do tego momentu system może pozostać wyłącznie projektem. Szczegółowy harmonogram opisuje poradnik plan działań do 3 kwietnia 2027 r.
Jeżeli organizacja rozpoczęła działalność, przekroczyła progi albo została objęta ustawą po 3 kwietnia 2026 r., jej termin może być inny. Analiza powinna opierać się na rzeczywistym stanie podmiotu, usługach, sektorze i przepisach przejściowych, a nie wyłącznie na dacie publikowanej w materiałach informacyjnych.
Dokument SZBI a dowód działania – na czym polega różnica?
Art. 10 UoKSC rozróżnia dokumentację dotyczącą bezpieczeństwa systemów informacyjnych od dokumentacji operacyjnej. Pierwsza opisuje zasady: zakres SZBI, polityki, procedury, instrukcje, role, metodykę ryzyka czy plany ciągłości. Druga potwierdza, że przewidziane czynności rzeczywiście wykonano. Mogą to być rejestry, protokoły, raporty, zgłoszenia serwisowe, wyniki testów i automatycznie generowane logi.
Procedura przeglądu uprawnień jest dokumentem normatywnym. Lista kont sprawdzonych w danym kwartale, decyzje właścicieli, odebrane dostępy i data zamknięcia zadania są dowodami operacyjnymi. Plan odtworzenia opisuje sposób działania, natomiast raport z testu pokazuje, czy odtworzenie było możliwe, ile trwało i jakie błędy usunięto.
Pełny ciąg dowodowy pozwala odpowiedzieć nie tylko na pytanie „czy mamy procedurę?”, ale również „dlaczego wybraliśmy dane zabezpieczenie, kto je stosuje, kiedy sprawdziliśmy skuteczność i co zrobiliśmy z wynikiem?”. To zasadnicza różnica pomiędzy zbiorem plików a działającym Systemem Zarządzania Bezpieczeństwem Informacji.
Jakie dowody działania SZBI powinna posiadać firma?
Zakres dowodów musi być proporcjonalny do ryzyka, wielkości organizacji, rodzaju usług, wykorzystywanych technologii i zależności od dostawców. Ustawa nie tworzy jednego zamkniętego katalogu nazw plików. Wymaga natomiast, aby organizacja wdrażała, dokumentowała i oceniała środki zarządzania ryzykiem. Poniższa matryca pokazuje minimalny praktyczny punkt odniesienia.
| Obszar | Dokument ustanawiający zasady | Przykładowe dowody działania | Pytanie kontrolne |
|---|---|---|---|
| Ład i odpowiedzialność | Zakres SZBI, role, upoważnienia, polityka i model raportowania | Uchwały, protokoły zarządu, decyzje budżetowe, raporty cykliczne, potwierdzenia przeglądów | Czy kierownictwo zna ryzyka, podejmuje decyzje i rozlicza działania? |
| Ryzyko | Metodyka oceny ryzyka i kryteria akceptacji | Aktualny rejestr ryzyka, plany postępowania, decyzje właścicieli, akceptacja ryzyka rezydualnego | Czy zabezpieczenia wynikają z aktualnej i powtarzalnej oceny? |
| Aktywa i dane | Polityka zarządzania aktywami i klasyfikacji informacji | Ewidencja systemów, danych, urządzeń, właścicieli, lokalizacji i zależności; protokoły zmian | Czy wiadomo, co jest chronione i kto odpowiada za dany zasób? |
| Dostęp i tożsamość | Zasady nadawania, zmiany, przeglądu i odbierania uprawnień | Wnioski dostępowe, raporty recertyfikacji, logi MFA, listy kont uprzywilejowanych, dowody offboardingu | Czy dostęp jest aktualny, uzasadniony i okresowo sprawdzany? |
| Podatności i aktualizacje | Procedura zarządzania podatnościami, poprawkami i wyjątkami | Raporty skanów, wyniki testów, rejestr podatności, zgłoszenia naprawcze, wyjątki i terminy | Czy organizacja wykrywa luki i potrafi wykazać ich usuwanie? |
| Dostawcy | Proces kwalifikacji, wymogi umowne i nadzór nad łańcuchem dostaw | Oceny ryzyka, ankiety, klauzule, SLA, przeglądy, raporty usługowe i działania po niezgodnościach | Czy ryzyko dostawcy jest oceniane również po podpisaniu umowy? |
| Incydenty | Procedura wykrywania, eskalacji, obsługi i zgłaszania incydentów | Rejestr zdarzeń, oś czasu, zgłoszenia, decyzje, zabezpieczone dowody, raport końcowy i lessons learned | Czy można odtworzyć przebieg oraz uzasadnienie decyzji w terminach ustawowych? |
| Ciągłość działania | BIA, BCP, DRP, zasady kopii zapasowych i zarządzania kryzysowego | Logi backupu, raporty z odtworzenia, protokoły ćwiczeń, zmierzone RTO/RPO, listy poprawek | Czy plany zostały przetestowane w zakresie krytycznych usług? |
| Szkolenia | Program świadomości i plan szkoleń dla pracowników oraz zarządu | Listy obecności, materiały z wersją, wyniki testów, raporty phishingowe, protokoły ćwiczeń | Czy udział i skuteczność szkolenia można udokumentować? |
| Skuteczność SZBI | Plan monitorowania, audytu, przeglądu i doskonalenia | KPI/KRI, wyniki kontroli, audyty, przeglądy zarządcze, rejestr niezgodności i działania korygujące | Czy wyniki prowadzą do decyzji i zamkniętych działań? |
SZBI do 3 kwietnia 2027 r. nie musi zamienić się w zbiór osobnych dokumentów PDF. Ustawa dopuszcza dokumentację papierową i elektroniczną, a dokumentacja operacyjna może obejmować zapisy tworzone automatycznie. Kluczowe są wiarygodność, integralność, możliwość przypisania czynności do osoby lub systemu, kontrola dostępu, wersjonowanie i możliwość odtworzenia kontekstu.
Pełny wykaz polityk, procedur i rejestrów został opisany osobno jako pełna mapa dokumentacji SZBI. W tym artykule nacisk położono na ślady wykonania, które pozwalają wykazać, że przyjęte zasady nie pozostały na papierze.
Dowód musi być czytelny także dla osoby spoza zespołu
Zrzut ekranu bez daty, nazwy systemu i opisu wyniku może być prawdziwy, lecz ma ograniczoną wartość. Raport powinien pozwalać ustalić zakres testu, wykonawcę, datę, wynik, wykryte odstępstwa oraz decyzję dotyczącą dalszych działań.
Szczególne dowody dla ważnego podmiotu publicznego
Załącznik nr 4 do znowelizowanej UoKSC określa minimalne wymagania dla SZBI ważnego podmiotu publicznego. W tym przypadku ustawa wskazuje bardziej szczegółowo czynności, które powinny pozostawić materiał dowodowy. Obejmują one między innymi inwentaryzację produktów, usług i procesów ICT, kontrolowanie ich wersji, ochronę informacji, zarządzanie uprawnieniami oraz zasady bezpiecznej pracy mobilnej i zdalnej.
Podmiot powinien również wykazać wykonywanie odseparowanych kopii zapasowych oraz testowanie ich kompletności i możliwości odtworzenia. Potrzebne są zapisy z przygotowania i testowania procedury awaryjnej lub incydentowej, dowody cyberhigieny i szkoleń, informacje o monitorowaniu cyklu życia produktów ICT oraz sposób postępowania z krytycznymi podatnościami. Załącznik wymaga dokumentowania realizacji działań wskazanych w systemie.
Przegląd takiego SZBI powinien odbywać się co najmniej raz w roku, a także niezwłocznie po określonej rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa lub po zmianie okoliczności wpływającej na ryzyko incydentu poważnego. Dowodem nie jest więc wyłącznie roczny protokół. Organizacja powinna również potrafić pokazać, że uruchomiła przegląd po istotnej zmianie i wdrożyła wynikające z niego działania.
Jakich dowodów nie da się wiarygodnie przygotować tuż przed kontrolą?
Politykę można zatwierdzić jednego dnia. Historii działania systemu nie da się wiarygodnie odtworzyć po fakcie. Część dowodów powstaje wyłącznie w czasie wykonywania procesu i dlatego organizacja powinna rozpocząć ich gromadzenie odpowiednio wcześnie.
Wymagają czasu
Przeglądy uprawnień, raporty KPI, aktualizacje ryzyka, szkolenia, oceny dostawców i posiedzenia zarządu pokazują powtarzalność działania.
Powstają automatycznie
Logi, alarmy, wyniki skanów, historie aktualizacji i kopii zapasowych mogą zniknąć zgodnie z ustawioną retencją, jeżeli nie zostaną zabezpieczone.
Wymagają testu
Wynik odtworzenia, ćwiczenia incydentowego albo testu planu ciągłości musi pochodzić z rzeczywistego sprawdzenia, a nie z deklaracji.
Szczególnie istotne są logi bezpieczeństwa i ślady działań administratorów. Ich zakres oraz retencja powinny wynikać z ryzyka i potrzeb dowodowych. Zachowywanie wszystkiego bez celu może być kosztowne i nieproporcjonalne, ale zbyt krótka retencja uniemożliwi analizę incydentu lub wykazanie wykonania kontroli.
Nie należy tworzyć dowodów wstecz ani antydatować dokumentów. Uczciwie opisany brak wraz z oceną ryzyka, właścicielem, terminem naprawy i późniejszym potwierdzeniem wykonania jest bezpieczniejszy niż materiał, którego wiarygodność może zostać zakwestionowana.
Czy dokumentacja pozostawia wystarczający ślad działania?
Audyt zerowy KSC/NIS2 pozwala połączyć wymagania z istniejącymi dokumentami, zapisami operacyjnymi i systemami, a następnie wskazać luki wymagające uzupełnienia przed terminem.
Umów bezpłatną konsultacjęRejestr dowodów SZBI – jak go zbudować?
Organizacja nie musi kopiować wszystkich zapisów do jednego folderu. Powinna jednak wiedzieć, gdzie znajdują się dowody, kto jest ich właścicielem, jak długo są dostępne i jak szybko można je przedstawić. Pomaga w tym rejestr dowodów, który działa jak mapa prowadząca do właściwego systemu, repozytorium lub osoby.
Podstawa prawna, ryzyko, polityka lub punkt standardu oraz cel zabezpieczenia.
Osoba odpowiedzialna, system źródłowy, folder, moduł lub identyfikator raportu.
Jak często zapis powstaje, kiedy jest przeglądany i przez jaki czas pozostaje dostępny.
Kryterium zgodności, sposób zatwierdzenia oraz postępowanie z brakiem albo niezgodnością.
Rejestr warto rozszerzyć o format, poziom poufności, reguły dostępu, wersję dokumentu, datę ostatniej weryfikacji i powiązanie z działaniem korygującym. Nie należy natomiast gromadzić w nim haseł, kluczy, surowych danych uwierzytelniających ani pełnych kopii materiałów, jeżeli wystarczy kontrolowane odwołanie do źródła.
Art. 10 UoKSC wymaga zapewnienia dostępności, integralności i kontroli wersji dokumentacji. Ustawa przewiduje również minimalny okres przechowywania określonych dokumentów oraz obowiązek trwałego zachowania protokołu zniszczenia. Zasady retencji powinny więc zostać opisane, zatwierdzone i wdrożone również w systemach generujących dane automatycznie.
Jakie dowody powinien zatwierdzać albo otrzymywać zarząd?
Zarząd nie musi czytać każdego logu ani zatwierdzać każdej zmiany technicznej. Powinien jednak otrzymywać informacje pozwalające nadzorować SZBI, rozumieć ryzyko, zapewniać zasoby i podejmować decyzje zastrzeżone dla kierownictwa. Art. 8c i 8d UoKSC wyraźnie łączą odpowiedzialność kierownika z przygotowaniem, wdrożeniem, stosowaniem, przeglądem i nadzorem nad systemem.
Do materiałów zarządczych powinny należeć co najmniej: zakres SZBI, kryteria ryzyka, ryzyka przekraczające tolerancję, plan postępowania z ryzykiem, istotne wyjątki, wyniki audytów i testów, stan incydentów, gotowość ciągłości działania, ryzyka dostawców, poziom realizacji szkoleń i plan doskonalenia. Decyzje powinny wskazywać właściciela, zasoby, termin i sposób sprawdzenia wykonania.
Dobrym narzędziem jest cykliczny raport SZBI dla zarządu. Sam raport nie zastępuje dowodów źródłowych, ale porządkuje najważniejsze wyniki i tworzy zapis nadzoru. Z kolei nadzór nad działaniem SZBI może wspierać zbieranie danych, eskalowanie odchyleń i przygotowanie rekomendacji, lecz nie przenosi odpowiedzialności zarządu na pełnomocnika.
Kierownictwo powinno otrzymywać informacje o skuteczności systemu i reagować na istotne braki. Protokół, w którym ryzyko opisano bez decyzji, budżetu, właściciela i terminu, nie potwierdza skutecznego nadzoru.
Czy certyfikat ISO 27001 potwierdza spełnienie wymagań KSC?
ISO/IEC 27001 dostarcza dojrzałego modelu zarządzania bezpieczeństwem informacji i może znacząco ułatwić wdrożenie. Certyfikat nie stanowi jednak automatycznego potwierdzenia zgodności z całą UoKSC. Znaczenie mają zakres certyfikacji, objęte jednostki i usługi, aktualność oceny ryzyka, faktyczna realizacja środków oraz wymagania ustawowe wykraczające poza przyjęty zakres systemu.
Jeżeli certyfikacja obejmuje jedynie część organizacji, a usługa podlegająca KSC znajduje się poza zakresem, powstała luka nie znika. Podobnie pozytywny audyt zewnętrzny nie zastępuje ustawowych terminów zgłaszania incydentów, obowiązków zarządu, wymogów dotyczących S46 ani sektorowych środków bezpieczeństwa.
Normy pomagają uporządkować dowody. ISO/IEC 27001 wspiera podejście oparte na ryzyku i ciągłe doskonalenie, a ISO 22301 porządkuje zarządzanie ciągłością działania. Ministerstwo Cyfryzacji opublikowało również zestawienie wymogów dokumentów normalizacyjnych, które może służyć jako mapa odniesienia. Zawsze trzeba jednak przeprowadzić analizę zgodności zakresu normy z konkretnymi obowiązkami ustawy.
Najczęstsze dowody pozorne
Pierwszym przykładem jest polityka bez właściciela procesu i bez zapisów wykonania. Drugim jest eksport listy kont bez decyzji, kto zweryfikował uprawnienia i co zostało zmienione. Trzecim jest raport ze skanera podatności bez priorytetu, terminu i potwierdzenia naprawy. Czwartym jest kopia zapasowa, której nigdy nie odtworzono.
Słaby dowód tworzą także: certyfikat szkolenia bez programu i listy uczestników, ankieta dostawcy bez oceny odpowiedzi, protokół ćwiczenia bez działań następczych, raport audytowy bez reakcji właścicieli oraz wskaźnik przedstawiony bez metodologii i wartości progowej. Samo nagromadzenie plików nie zwiększa dojrzałości, jeżeli nie można powiązać ich z wymaganiem, ryzykiem i decyzją.
W razie kontroli organ może oceniać nie tylko istnienie materiałów, lecz także ich spójność oraz aktualność. Poradnik jak przebiega kontrola KSC/NIS2 wyjaśnia uprawnienia kontrolujących, sposób przygotowania dokumentacji i prawa podmiotu.
Jak przygotować dowody działania SZBI przed terminem?
Przygotowując SZBI do 3 kwietnia 2027 r., należy zacząć od mapy wymagań i obecnych źródeł danych. Następnie trzeba ustalić braki, priorytety ryzyka i właścicieli. Celem nie jest utworzenie dodatkowej administracji, lecz takie wykorzystanie istniejących systemów i procesów, aby pozostawiały czytelny oraz możliwy do zweryfikowania ślad.
Zakres podmiotu, usługi, właściciele, źródła zapisów, retencja i analiza braków.
Ryzyko, aktywa, dostępy, dostawcy, podatności, incydenty, szkolenia i raportowanie.
Odtworzenie kopii, ćwiczenie incydentowe, przegląd uprawnień, audyt i decyzje zarządu.
KPI/KRI, przeglądy, działania korygujące, aktualizacja ryzyka i kontrola wykonania.
Priorytet powinny otrzymać dowody związane z wysokim ryzykiem, ciągłością kluczowych usług, zgłaszaniem incydentów, uprawnieniami uprzywilejowanymi, podatnościami i dostawcami. Jeżeli termin jest bliski, organizacja powinna wdrożyć realny plan naprawczy, jasno opisać stan i nie udawać wykonania czynności, których nie przeprowadzono.
Pełne wdrożenie SZBI wymaga współpracy zarządu, właścicieli procesów, IT, bezpieczeństwa, HR, zakupów, prawników i dostawców. Zewnętrzny pełnomocnik może uporządkować wymagania i nadzór, ale dowody muszą powstawać także w codziennej pracy organizacji.
Checklista dowodów działania SZBI
Zaznacz elementy, które istnieją, są aktualne i zostały faktycznie zweryfikowane. Wynik ma charakter orientacyjny i nie zastępuje analizy prawnej ani audytu.
Gotowość dowodowa SZBI
Dokumenty, zapisy, testy i decyzje.
Najczęściej zadawane pytania
Czy do 3 kwietnia 2027 r. wystarczy przyjąć politykę bezpieczeństwa?
Nie. UoKSC wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji i stosowania środków zarządzania ryzykiem. Polityka opisuje zasady, ale potrzebne są również procedury, zapisy operacyjne, testy, przeglądy i działania korygujące potwierdzające funkcjonowanie systemu.
Czy każdy podmiot ma termin 3 kwietnia 2027 r.?
Nie. Data dotyczy przede wszystkim podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji, czyli 3 kwietnia 2026 r. Dla podmiotów spełniających przesłanki później termin należy liczyć według ich indywidualnej sytuacji i właściwych przepisów.
Czy log systemowy może być dowodem działania SZBI?
Tak. Art. 10 zalicza do dokumentacji operacyjnej także zapisy generowane automatycznie. Log powinien jednak mieć ustalone źródło, zakres, czas, reguły dostępu i retencji oraz być powiązany z konkretnym procesem lub kontrolą.
Jak długo trzeba przechowywać dokumentację SZBI?
Art. 10 UoKSC przewiduje co najmniej dwuletni okres przechowywania określonej dokumentacji, liczony zgodnie z ustawą. Dłuższy okres może wynikać z ryzyka, wymagań sektorowych, potrzeb incydentowych, umów albo zasad archiwizacji. Przy niszczeniu dokumentów należy zachować wymagany protokół.
Czy certyfikat ISO 27001 wystarczy podczas kontroli?
Certyfikat jest ważnym dowodem dojrzałości, ale nie potwierdza automatycznie zgodności z całą UoKSC. Organ może zbadać zakres certyfikacji, usługi objęte ustawą, dowody operacyjne, wymagania krajowe i sposób usuwania niezgodności.
Czy trzeba drukować raporty i logi?
Nie. Dokumentacja może być prowadzona elektronicznie. Ważne są dostępność, integralność, kontrola wersji, właściwy dostęp oraz możliwość przedstawienia czytelnego materiału z informacją o źródle, dacie, zakresie i wyniku.
Kto odpowiada za kompletność dowodów SZBI?
Właściciele procesów i zabezpieczeń powinni tworzyć oraz przechowywać właściwe zapisy. Pełnomocnik lub osoba nadzorująca SZBI może prowadzić mapę dowodów i monitorować braki. Za zapewnienie wdrożenia, zasobów i nadzoru odpowiada kierownictwo podmiotu.
Co zrobić, jeżeli przed terminem brakuje części dowodów?
Należy rzetelnie opisać stan, ocenić ryzyko, ustalić priorytet, właściciela i termin naprawy, a następnie zachować dowód wykonania. Nie należy antydatować dokumentów ani tworzyć fikcyjnych protokołów. Przy brakach o wysokim ryzyku potrzebne mogą być natychmiastowe zabezpieczenia zastępcze.
Podsumowanie
SZBI do 3 kwietnia 2027 r. powinien tworzyć spójny, możliwy do zweryfikowania obraz zarządzania bezpieczeństwem. Dokumenty normatywne wyznaczają zasady, a dokumentacja operacyjna pokazuje, że organizacja je stosuje, mierzy skuteczność i reaguje na odstępstwa.
Najważniejsza nie jest liczba plików, lecz ciąg dowodowy łączący wymaganie, ryzyko, decyzję, zabezpieczenie, wykonanie, test i poprawę. Taki model pomaga nie tylko podczas kontroli. Ułatwia zarządowi podejmowanie decyzji, ogranicza ryzyko pozornych zabezpieczeń i przygotowuje organizację do realnego incydentu.
Sprawdź, czy Twój SZBI pozostawia właściwe dowody
Nie wiesz, czy posiadane dokumenty rzeczywiście potwierdzają działanie SZBI? Podczas bezpłatnej konsultacji adwokat i audytor wstępnie przeanalizuje sytuację organizacji, wskaże najważniejsze luki dowodowe oraz rekomendowany zakres dalszych działań.