SZBI według ustawy o KSC – co trzeba wdrożyć do 3 kwietnia 2027 roku

SZBI, czyli system zarządzania bezpieczeństwem informacji, to zestaw zasad, procedur i zabezpieczeń, za pomocą którego organizacja w sposób ciągły zarządza ryzykiem dla swoich informacji i systemów. Ustawa o krajowym systemie cyberbezpieczeństwa wymaga go od podmiotów kluczowych i ważnych, z terminem wdrożenia do 3 kwietnia 2027 roku. Certyfikat ISO 27001 nie jest przy tym wymagany.

Czym jest SZBI

Skrót SZBI rozwija się jako system zarządzania bezpieczeństwem informacji. W literaturze anglojęzycznej odpowiada mu ISMS (Information Security Management System).

Kluczowe jest słowo „zarządzanie”. SZBI to nie program antywirusowy ani zapora sieciowa, tylko sposób prowadzenia firmy: kto decyduje o zabezpieczeniach, na jakiej podstawie, jak sprawdza się, czy działają, i co się dzieje, gdy coś pójdzie nie tak. Technika jest jednym z elementów, obok ludzi, procedur i dokumentacji.

Ustawa o KSC wymienia cztery cechy informacji, które system ma chronić:

• poufność – dostęp mają tylko osoby uprawnione,
• integralność – informacja nie zostaje zmieniona w nieuprawniony sposób,
• dostępność – informacja i systemy działają wtedy, gdy są potrzebne,
• autentyczność – wiadomo, że informacja pochodzi z deklarowanego źródła.

Norma ISO/IEC 27001 opiera się na trzech pierwszych cechach, ustawa dodaje czwartą. Każde zabezpieczenie w SZBI da się przypisać do co najmniej jednej z nich. Kopia zapasowa chroni dostępność, szyfrowanie poufność, a kontrola uprawnień poufność i integralność.

Kto musi wdrożyć SZBI według ustawy o KSC

Obowiązek wynika z ustawy z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która wdraża w Polsce dyrektywę NIS2. Dotyczy dwóch kategorii: podmiotów kluczowych i podmiotów ważnych. Status zależy od sektora, w którym firma działa, od jej wielkości mierzonej zatrudnieniem i obrotem oraz od rodzaju świadczonej usługi.

Skala okazała się większa, niż zakładano. Ministerstwo Cyfryzacji szacowało początkowo około 38 tysięcy podmiotów, a według doniesień z września 2026 roku w Wykazie podmiotów kluczowych i ważnych było już ponad 80 tysięcy podmiotów, łącznie z wpisanymi z urzędu. Dla porównania: na koniec 2024 roku na całym świecie ważnych było 96 709 certyfikatów ISO/IEC 27001 (ISO Survey 2024), a Polski nie ma w pierwszej dziesiątce krajów z największą ich liczbą. Liczba podmiotów, które w samej Polsce muszą mieć SZBI, jest więc tego samego rzędu co liczba wszystkich certyfikowanych systemów na świecie – zdecydowana większość z nich nie ma certyfikowanego systemu, na którym mogłaby się oprzeć.

Przepisy dotykają też firm spoza wykazu, choć pośrednio. Jednym z obszarów, które SZBI musi obejmować, jest bezpieczeństwo łańcucha dostaw. Podmiot kluczowy lub ważny, który kupuje produkty i usługi ICT – na przykład outsourcing IT, usługi chmurowe czy oprogramowanie – musi wiedzieć, jak chronią informacje jego dostawcy, i może przenieść te wymagania do umów.

Ogólne zasady kwalifikacji, obowiązek wpisu do wykazu i pozostałe obowiązki z ustawy omówiono w artykule o tym, czy w dobie NIS2 firma musi mieć SOC.

Terminy wdrożenia SZBI

Daty z tabeli dotyczą podmiotów, które spełniały przesłanki w dniu wejścia ustawy w życie. Firma, która stanie się podmiotem kluczowym lub ważnym później, na przykład po przekroczeniu progu wielkości, ma na wdrożenie SZBI 12 miesięcy od spełnienia przesłanek (art. 16). Termin samorejestracji minął 3 października 2026 roku – podmiot, który się nie zarejestrował, powinien to zrobić niezwłocznie.

Co musi obejmować SZBI – pięć filarów z art. 8

Art. 8 ust. 1 ustawy stanowi, że „podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot, zapewniający” pięć elementów:

1. „prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem” – podstawa całego systemu, bo od wyniku szacowania zależy dobór wszystkich zabezpieczeń,
2. „wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych” – czyli zabezpieczenia w czternastu obszarach opisanych niżej,
3. „zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego” – śledzenie nowych luk i metod ataku,
4. „zarządzanie incydentami” – wykrycie, obsługa, zgłoszenie,
5. „stosowanie środków zapobiegających i ograniczających wpływ incydentów”.

Słowo, na które warto zwrócić uwagę, to proporcjonalność. Ustawa nie wymaga od średniej firmy dystrybucyjnej tego samego co od operatora sieci energetycznej. Zakres zabezpieczeń ma wynikać z oszacowanego ryzyka, wielkości podmiotu i kosztów wdrożenia. Dlatego szacowanie ryzyka jest pierwszym punktem, a nie formalnością.

Z zarządzaniem incydentami wiąże się obowiązek zgłaszania incydentów poważnych w konkretnych terminach, w trybie trzystopniowym: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. SZBI musi zawierać procedurę, która pozwala te terminy dotrzymać, także w weekend.

14 obszarów SZBI i ich odpowiedniki w ISO 27001

Art. 8 ust. 1 pkt 2 wymienia – z zastrzeżeniem „w szczególności” – czternaście obszarów, które trzeba objąć środkami technicznymi i organizacyjnymi. W tabeli zestawiono je z tym, co oznaczają w praktyce średniej firmy, oraz z najbliższymi zabezpieczeniami normy ISO/IEC 27001:2022. Odpowiedniki z normy mają charakter orientacyjny – zgodność z ustawą ocenia się według ustawy, a nie według numerów z załącznika normy.

Kilka obszarów wymaga komentarza, bo ich zakres jest szerszy, niż sugeruje nazwa.

Monitorowanie w trybie ciągłym (lit. g) to wymóg zdolności, nie formy organizacyjnej. Ustawa nie mówi, że musi to robić własny zespół ani że ma się to nazywać SOC. Ważne, żeby ktoś realnie obserwował zdarzenia także poza godzinami pracy biura.

Plany ciągłości działania (lit. f) obejmują spisanie i testowanie. Plan, którego nikt nie sprawdził, nie spełnia wymogu. Ustawa wymienia obok nich także plany awaryjne i plany odtworzenia działalności. Szerzej o tym w artykułach o wskaźnikach RPO i RTO i o planie odtwarzania po awarii (DRP).

Edukacja (lit. i) i cyberhigiena (lit. j) wydają się najprostsze, a w praktyce wymagają powtarzalności i dowodów. Jednorazowe szkolenie bez zapisu, kto w nim uczestniczył, nie obroni się podczas audytu. Treść szkoleń warto oprzeć na tym, jak naprawdę wyglądają próby manipulacji pracownikami – opisano je w artykule o rodzajach ataków socjotechnicznych.

Pozostałe obszary opisują wpisy o hardeningu systemów, szyfrowaniu danych, uwierzytelnianiu wieloskładnikowym i polityce haseł w firmie.

SZBI według ustawy a ISO 27001 – czym się różnią

Pojęcie SZBI funkcjonowało na długo przed ustawą – dzięki normie ISO/IEC 27001. Stąd pytanie, czy certyfikat wystarczy. Różnice są istotne:

Wniosek praktyczny: certyfikat ISO 27001 nie jest wymagany i sam z siebie nie zwalnia z obowiązków ustawowych, ale norma ma odpowiedniki dla każdego z czternastu obszarów z tabeli wyżej. Firma, która ma wdrożoną normę, porównuje swój system z czternastoma obszarami ustawy i uzupełnia różnice – przede wszystkim procedurę zgłaszania incydentów w terminach 24 i 72 godzin oraz obowiązki kierownictwa. Firma bez normy może traktować ją jako sprawdzony szkielet, nie jako cel.

Jak wdrożyć SZBI – 6 kroków

Krok 1. Określenie zakresu SZBI

Które usługi decydują o tym, że firma jest podmiotem kluczowym lub ważnym, i jakie systemy je obsługują. Od zakresu zależy cała dalsza praca, a zbyt szeroki zakres na starcie wydłuża wszystkie kolejne kroki.

Krok 2. Inwentaryzacja aktywów

Lista serwerów, stacji roboczych, aplikacji, usług chmurowych, kont i danych wraz z właścicielami. Bez niej nie da się oszacować ryzyka, bo nie wiadomo, co się chroni.

Krok 3. Szacowanie ryzyka

Dla każdego istotnego aktywa: jakie zagrożenia są realne, jakie byłyby skutki, jak prawdopodobne jest zdarzenie. Wynikiem jest rejestr ryzyk i decyzja, które ryzyka firma ogranicza, a które akceptuje.

Krok 4. Dobór zabezpieczeń w czternastu obszarach SZBI

Na podstawie rejestru ryzyk, z zasadą proporcjonalności. Na tym etapie można stwierdzić, które zabezpieczenia już działają, ale nie są opisane.

Krok 5. Dokumentacja i procedury

Polityki, procedura obsługi incydentów z terminami zgłoszeń, plany ciągłości działania, zasady nadawania uprawnień. Dokumentację przechowuje się co najmniej 2 lata od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi (art. 10 ust. 7).

Krok 6. Szkolenia, test i przegląd

Szkolenie personelu i kierownictwa, test planów ciągłości, sprawdzenie skuteczności zabezpieczeń i przegląd całości przez zarząd. Od tego momentu system zaczyna działać w cyklu, a nie jako jednorazowy projekt.

Ile trwa wdrożenie SZBI

Nie ma normy czasu – zależy od punktu startu. Firma, która ma aktualną inwentaryzację, działający monitoring i spisane procedury, uzupełnia głównie dokumentację i luki. Firma, która zaczyna od zera, musi przejść wszystkie sześć kroków, a samo zebranie rzetelnej inwentaryzacji jest najdłuższym z pierwszych trzech kroków. Do 3 kwietnia 2027 roku zostaje niewiele czasu – prace warto zacząć od kroków 1-3, które nie wymagają zakupów.

Dokumentacja SZBI – co przygotować

Dokumentacja jest tym, co podlega kontroli, i tym, czym firma wykaże zgodność podczas audytu. Minimalny zestaw:

• polityka bezpieczeństwa informacji zatwierdzona przez kierownictwo,
• zakres systemu i rejestr aktywów,
• metodyka i rejestr szacowania ryzyka wraz z planem postępowania z ryzykiem,
• procedura zarządzania incydentami, w tym ścieżka zgłoszenia do właściwego zespołu CSIRT,
• plany ciągłości działania z zapisami z testów,
• zasady kontroli dostępu i zarządzania uprawnieniami,
• program szkoleń z listami obecności,
• wymagania bezpieczeństwa wobec dostawców,
• zapisy z przeglądów i ocen skuteczności.

Wycofane wersje dokumentów są dowodem, jakie zasady obowiązywały w chwili incydentu – stąd obowiązek ich przechowywania.

Własny zespół czy dostawca – kto może prowadzić SZBI

Ustawa daje wybór wprost. Art. 14 stanowi: „Podmiot kluczowy lub podmiot ważny w celu realizacji zadań, o których mowa w art. 8 oraz w art. 9-13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.”

Outsourcing jest więc wariantem przewidzianym przez ustawodawcę, a nie obejściem przepisu. Jednym z wariantów jest model mieszany: wewnątrz zostaje osoba lub dwie, które znają procesy i decydują o priorytetach, a dostawca zapewnia to, czego utrzymanie we własnym zakresie jest nieopłacalne – całodobowy monitoring, specjalistów od konkretnych technologii i zastępstwa. Odpowiedzialność kierownictwa pozostaje po stronie podmiotu niezależnie od wybranego modelu.

Przy wyborze trzeba pamiętać o karencji audytora. Zgodnie z art. 15 ust. 2a audytu nie może przeprowadzić osoba, która realizuje w audytowanym podmiocie zadania z art. 8 lub art. 9-13 ustawy albo realizowała je w ciągu roku przed rozpoczęciem audytu – czyli wdrażała SZBI, obsługiwała incydenty lub monitorowała system. W praktyce dostawcę, który wspiera wdrożenie lub świadczy monitoring, i audytora trzeba wybrać osobno, a o audycie myśleć już na etapie wdrożenia – podmiot kluczowy przeprowadza pierwszy audyt najpóźniej 3 kwietnia 2028 roku. Wymagania wobec audytorów i przebieg audytu opisano w artykule o audycie bezpieczeństwa informacji.

Odpowiedzialność kierownictwa za SZBI

Nowelizacja przesunęła odpowiedzialność za cyberbezpieczeństwo na poziom zarządu. Kierownik podmiotu przechodzi szkolenie raz w roku kalendarzowym, a udział musi być udokumentowany (art. 8e). Za naruszenia wymienione w art. 73a grozi mu kara do 300 procent wynagrodzenia liczonego według zasad ustalania ekwiwalentu za urlop (w podmiocie publicznym do 100 procent), niezależnie od kary nałożonej na sam podmiot.

Kara dla podmiotu kluczowego sięga 10 milionów euro albo 2 procent przychodów z działalności gospodarczej z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą (art. 73 ust. 3). Podmiotowi ważnemu grozi do 7 milionów euro albo 1,4 procent takich przychodów (art. 73 ust. 4). Większość kar pieniężnych organ może nałożyć dopiero po 3 kwietnia 2028 roku.

Usługi ITCenter powiązane z obszarami SZBI

Wymagania normy ISO/IEC 27001 ITCenter zna z własnej praktyki – w 2020 roku wdrożył we własnej organizacji zintegrowany system zarządzania i uzyskał wówczas certyfikaty zgodności z ISO 9001:2015 oraz ISO/IEC 27001:2013 w zakresie utrzymania w ruchu systemów informatycznych, świadczenia usług IT oraz produkcji, adaptacji i wdrażania rozwiązań informatycznych.

Przy rozpoczęciu współpracy zespół ITCenter opracowuje niezbędną lub brakującą dokumentację bezpieczeństwa, w tym politykę bezpieczeństwa, plany BCP i DRP, oraz prowadzi analizę zagrożeń i ryzyka. Dla klientów świadczy też usługi powiązane z wybranymi obszarami z art. 8 i z modelem współpracy z art. 14: audyt i kontrolę bezpieczeństwa IT, monitorowanie, także w trybie 24/7, w ramach usługi Security Operations Center, rozwiązania ciągłości operacyjnej i kopii zapasowych oraz outsourcing IT. Pełny zakres usług bezpieczeństwa przedstawiono na stronie bezpieczeństwo IT dla firm.

Najczęstsze pytania o SZBI

Czy SZBI musi obejmować całą infrastrukturę IT firmy? Nie. Ustawa obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi, z powodu której podmiot jest kluczowy lub ważny. Granicę zakresu trzeba opisać i uzasadnić w dokumentacji.

Czy podmiot ważny może zostać zobowiązany do audytu SZBI? Tak, choć nie ma obowiązku cyklicznego. Organ właściwy do spraw cyberbezpieczeństwa może w drodze decyzji nakazać audyt zewnętrzny podmiotowi ważnemu po incydencie poważnym lub innym naruszeniu przepisów ustawy, a podmiotowi kluczowemu w każdym czasie.

Kiedy pierwszy audyt przeprowadza podmiot, który stanie się podmiotem kluczowym później? Podmiot kluczowy, który spełni przesłanki po 3 kwietnia 2026 roku, przeprowadza pierwszy audyt w ciągu 24 miesięcy od ich spełnienia. Kolejne audyty odbywają się co najmniej raz na 3 lata, licząc od podpisania raportu z poprzedniego audytu.

Czy raport z audytu SZBI trzeba przekazać organowi? Tak. Podmiot kluczowy przekazuje kopię raportu organowi właściwemu do spraw cyberbezpieczeństwa w postaci elektronicznej w ciągu 3 dni roboczych od dnia otrzymania raportu.

Czy certyfikat ISO 27001 zastępuje audyt z ustawy o KSC? Nie. Audyt z art. 15 ustawy ma własne wymagania co do audytorów, częstotliwości i raportu. Certyfikowany system ułatwia przygotowanie, bo większość dowodów już istnieje, ale nie zwalnia z obowiązku.

Kto w firmie powinien odpowiadać za SZBI? Ustawa wprost obciąża kierownika podmiotu – przechodzi on coroczne szkolenie i odpowiada osobiście. Bieżące zarządzanie systemem zwykle powierza się wyznaczonej osobie lub zespołowi, ale nadzór i decyzje o akceptacji ryzyka pozostają po stronie zarządu.

Czy SZBI obejmuje usługi w chmurze i systemy u dostawców? Tak, jeśli są wykorzystywane w procesach wpływających na świadczenie usługi przez podmiot. Miejsce działania systemu nie zmienia obowiązku – zmienia tylko sposób zabezpieczenia, który opiera się wtedy na wymaganiach wobec dostawcy i umowie.