Dokumentacja SZBI w KSC/NIS2: polityki, rejestry i analiza ryzyka

SZBI a PBI: czym różni się system od polityki?

SZBI określa, jak organizacja zarządza bezpieczeństwem informacji: kto odpowiada za poszczególne zadania, jak ocenia się ryzyko, jakie zabezpieczenia stosuje się w systemach i jak sprawdza się ich skuteczność. Dokumentacja jest częścią tego systemu. Opisuje przyjęte zasady oraz utrwala decyzje i wyniki działań.

Polityka bezpieczeństwa informacji (PBI) może być dokumentem nadrzędnym: wyznaczać cele, opisywać odpowiedzialność i odsyłać do szczegółowych procedur. Sama polityka nie tworzy jednak całego SZBI. Na przykład procedura zgłaszania incydentów powinna wskazywać pracownikowi, gdzie zgłosić podejrzaną wiadomość, a organizacja musi zapewnić, że takie zgłoszenie zostanie odebrane i obsłużone. KSC nie narzuca jednego formularza PBI ani stałej liczby osobnych polityk; ważne są ich zakres i stosowanie.

Zanim wybierzesz dokumenty, ustal, kogo dotyczy NIS2 i KSC i jaki status ma Twoja organizacja. Od tego zależy zakres wymagań opisanych poniżej. Jeżeli potrzebujesz pomocy z kwalifikacją, możesz przekazać dane organizacji przez ankietę KSC; nasz zespół przeanalizuje je i udzieli odpowiedzi.

Jakie dokumenty SZBI wymienia art. 10 KSC?

Art. 10 KSC zobowiązuje podmioty kluczowe i ważne do opracowania, stosowania oraz aktualizowania dokumentacji bezpieczeństwa systemu wykorzystywanego do świadczenia usługi, z uwzględnieniem wyjątków sektorowych. Rozróżnia dokumentację normatywną, czyli zasady postępowania, oraz operacyjną, czyli zapisy ich wykonania. Do tej drugiej należą również automatyczne zapisy w dziennikach systemów.

Dokumentacja normatywna obejmuje pięć obszarów: SZBI, ochronę infrastruktury, zarządzanie ciągłością działania, dokumentację techniczną systemu oraz wymagania wynikające ze specyfiki usługi i sektora. Dlatego sama polityka bezpieczeństwa i rejestr ryzyk nie wyczerpują zakresu art. 10.

W dokumentacji ochrony infrastruktury opisz usługę i infrastrukturę, aktualny stan ochrony, ryzyko obiektów i plan postępowania z tym ryzykiem, a także zabezpieczenia techniczne i ochronę fizyczną. Jeżeli występuje specjalistyczna uzbrojona formacja ochronna, uwzględnij również jej dane. To szczegółowy zakres wymagany w art. 10 ust. 3 pkt 2.

Poniższe nazwy dokumentów i zapisów są przykładami realizacji obowiązków. Ustawa wymaga pokrycia odpowiedniego zakresu, a nie stworzenia osobnego pliku dla każdego wiersza.

SZBI: jakie polityki i procedury uwzględnić?

W standardowej ścieżce art. 8 ust. 1 KSC dokumentacja powinna opisywać środki dobrane do oszacowanego ryzyka, wielkości podmiotu i skutków incydentów. Polityka wyznacza zasadę, procedura mówi, kto i jak ją wykonuje, a zapis potwierdza wykonanie. W PBI warto umieścić zakres systemu, cele, role, zasady nadzoru oraz mapę dokumentów tematycznych.

Poniższe grupy pomagają sprawdzić, czy opisano wszystkie istotne obszary. Możesz połączyć je w jednym dokumencie lub rozdzielić na polityki tematyczne i procedury. Dla każdej zasady wskaż sposób wykonania: na przykład przy ciągłym monitorowaniu określ obserwowane systemy, osoby odpowiedzialne i reakcję na alerty. Wymagania warunkowe, takie jak stosowanie szyfrowania czy uwierzytelniania wieloskładnikowego w stosownych przypadkach, odczytuj według właściwego przepisu.

• ▸Ryzyko i skuteczność: metodyka szacowania, decyzje o ryzyku, polityki i procedury oceny skuteczności zabezpieczeń.
• ▸Aktywa i dostęp: inwentaryzacja, właściciele zasobów, kontrola dostępu, nadawanie i odbieranie uprawnień.
• ▸Personel i edukacja: odpowiedzialność, rozpoczęcie i zakończenie współpracy, szkolenia oraz instrukcje cyberhigieny.
• ▸Dostawcy: zależności, ocena bezpieczeństwa i ciągłości łańcucha dostaw oraz wymagania w umowach.
• ▸Cykl życia systemów: bezpieczne nabywanie, rozwój, utrzymanie, testowanie, zmiany i aktualizacje.
• ▸Zagrożenia i incydenty: zbieranie informacji o podatnościach, monitorowanie, obsługa i usuwanie przyczyn incydentów.
• ▸Ciągłość i infrastruktura: plany awaryjne i odtworzenia, kopie, testy oraz ochrona fizyczna i środowiskowa.
• ▸Kryptografia i komunikacja: dobór szyfrowania, zarządzanie kluczami, bezpieczna komunikacja i uwierzytelnianie.

Analiza ryzyka KSC i plan postępowania z ryzykiem

Analizę zacznij od usługi lub zadania, systemów i zależności, które wpływają na ich realizację. Opisz scenariusz zdarzenia, zagrożenie i podatność, obecne zabezpieczenia oraz możliwe skutki dla informacji i odbiorców usługi. Dopiero potem oceń prawdopodobieństwo, konsekwencje i akceptowalność. KSC nie narzuca skali 5x5 ani jednego wzoru obliczania wyniku. Przyjęta metodyka powinna umożliwiać zrozumienie i powtórzenie oceny.

Przykład: przejęcie konta administratora systemu obsługi klientów pozwala zaszyfrować dane i zatrzymać usługę. Obecnie konto jest zabezpieczone hasłem, a dostęp do kopii odbywa się przez te same uprawnienia. W przykładowej skali od 1 do 3 organizacja ocenia prawdopodobieństwo na 3 i skutek na 3. Przy mnożeniu tych ocen wynik wynosi 9 i przekracza przyjęty w tej organizacji próg akceptacji. Te liczby ilustrują metodykę przyjętą w przykładzie, a nie ustawową skalę.

Plan działania przewiduje włączenie uwierzytelniania wieloskładnikowego, rozdzielenie kont oraz odseparowanie kopii. Każde zadanie ma wykonawcę, termin i finansowanie. Przewidywany spadek ryzyka po tych zmianach zapisuje się jako prognozę. Dopiero konfiguracja, sprawdzenie dostępu i test odtworzenia pozwalają potwierdzić wdrożenie. Po weryfikacji organizacja ponownie ocenia ryzyko, a uprawniona osoba podejmuje decyzję o pozostałym ryzyku.

Rejestr ryzyk powinien pozwalać odtworzyć ten tok pracy. Zapisz stan obecny, planowane działania i wynik weryfikacji, a także datę oceny, uzasadnienie, właściciela ryzyka, decyzję oraz odnośniki do dowodów. Uwzględnij również ryzyko obiektów infrastruktury i plan postępowania wymagane przez art. 10 ust. 3 pkt 2. Jeżeli korzystasz z analizy przygotowanej dla RODO, sprawdź, czy obejmuje ona także bezpieczeństwo systemów i ciągłość usług wymagane przez KSC.

Jakie rejestry SZBI pomagają wykazać wdrożenie?

Praktyczny zestaw obejmuje ewidencję aktywów i zależności, ryzyk, dostawców, uprawnień, incydentów, podatności i zmian. Uzupełniają go zapisy szkoleń, testów kopii, przeglądów, oceny skuteczności i decyzji kierownika. Każdy wpis powinien wskazywać zakres, odpowiedzialnego, datę, wynik i miejsce przechowywania dowodu, jeżeli znajduje się on w innym systemie.

Nie musisz tworzyć osobnego arkusza dla każdego obszaru. Jeżeli używany system rzetelnie rejestruje uprawnienia, incydenty lub zmiany, jego zapisy mogą być dowodami wykonania procedur. W dokumentacji wskaż wtedy, gdzie są przechowywane i kto za nie odpowiada. Trzeba jednak sprawdzić przepisy szczególne: dla określonych dostawców cyfrowych rozporządzenie UE 2024/2690 wymaga wprost wykazu aktywów i rejestru bezpośrednich dostawców.

Dokumentacja SZBI w podmiocie publicznym

Podział na firmę i urząd jest zbyt uproszczony. Publiczny podmiot kluczowy stosuje standardową ścieżkę art. 8 ust. 1. Publiczny podmiot ważny wdraża SZBI według art. 8 ust. 3 i załącznika nr 4. Ta druga ścieżka obejmuje też podmioty ważne należące do wskazanych w tym przepisie kategorii szkolnictwa wyższego i nauki, niebędące organizacjami badawczymi, w zakresie realizacji zadań publicznych. Nie dotyczy automatycznie każdej uczelni.

Załącznik nr 4 wymaga między innymi inwentaryzacji produktów, usług i procesów ICT, kontrolowania wersji używanych produktów i usług ICT, zasad dostępu i pracy zdalnej, ochrony informacji i poczty, odseparowanych kopii, testów odzyskania, procedur awarii i incydentów, cyberhigieny oraz szkoleń. Część I stanowi minimum. Elementy części II są dodatkowymi możliwościami, natomiast części III i IV wymagają przeglądów oraz dokumentowania działań.

Wariant z załącznika nr 4 nie znosi obowiązków dokumentacyjnych art. 10. Jeżeli organizacja korzysta z systemu dostarczonego przez inny podmiot publiczny, musi również ustalić swoją część odpowiedzialności. Art. 8 ust. 4 wymaga uwzględnienia takiego systemu w zakresie kompetencji wynikających z jego polityki lub przepisów. Dokumentacja powinna więc wskazywać, za co odpowiada dostawca platformy, a za co jej lokalny użytkownik.

KRI, dostawcy cyfrowi i odrębne wymagania sektorowe

Na 12 października 2026 roku nadal obowiązuje rozporządzenie KRI z 21 maja 2024 roku. Dla organizacji objętych jego zakresem § 19 przewiduje okresowe analizy ryzyka oraz audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz w roku. Nie można więc wyciągnąć wniosku, że publiczny podmiot ważny w ogóle nie analizuje ryzyka. Trzeba zestawić załącznik nr 4, ryzyko infrastruktury z art. 10 i inne właściwe przepisy. ELI wskazuje utratę mocy tego rozporządzenia 23 lutego 2027 roku. Przy aktualizacji dokumentacji na ten okres sprawdź przepisy, które je zastąpią.

Rozporządzenie UE 2024/2690 dotyczy określonych dostawców cyfrowych i usług zaufania, między innymi chmury, centrów danych, DNS oraz usług zarządzanych. Uszczegóławia dokumentowanie ocen ryzyka, planu działań, dostawców i aktywów. Dla podmiotów w jego zakresie przegląd ocen ryzyka i planu odbywa się co najmniej raz w roku oraz po wskazanych zmianach lub poważnych incydentach. Tego cyklu nie należy przypisywać wszystkim organizacjom wyłącznie na podstawie ogólnego art. 8 KSC.

Bankowość i infrastruktura rynków finansowych wymagają osobnego mapowania art. 8i KSC oraz rozporządzenia DORA. Także inne sektory mogą mieć dodatkowe regulacje. Uniwersalna lista polityk jest punktem wyjścia; dopiero zestawienie jej z działalnością i obowiązującymi przepisami pozwala ustalić zakres dokumentacji.

Zatwierdzanie, wersjonowanie i przechowywanie dokumentacji

Art. 10 dopuszcza dokumentację papierową i elektroniczną. W obu przypadkach wymaga nadzoru: dostępu dla upoważnionych, ochrony przed utratą i zmianą oraz oznaczania kolejnych wersji. Warto wskazać właściciela dokumentu, zatwierdzającego, datę obowiązywania, historię zmian i powiązane zapisy. Pracownicy muszą mieć dostęp do aktualnych instrukcji odpowiednich do swoich zadań.

Nie ustawiaj automatycznego usuwania dokumentów dwa lata po utworzeniu. Art. 10 ust. 7 wiąże minimalny okres z wycofaniem dokumentacji lub zakończeniem usługi i zawiera szczególną regułę liczenia od 1 stycznia. Podmioty podlegające ustawie o narodowym zasobie archiwalnym i archiwach stosują właściwy reżim archiwalny. Zniszczenie wycofanej dokumentacji wymaga protokołu brakowania zgodnie z art. 10 ust. 8.

Kto odpowiada za wdrożenie i sprawdzanie SZBI?

Kierownik podejmuje decyzje dotyczące SZBI, zapewnia finansowanie, przydziela zadania i nadzoruje ich wykonanie. Powierzenie obowiązków innej osobie nie wyłącza jego odpowiedzialności. W dokumentacji przypisz więc zadania konkretnym rolom i określ, jakie informacje o postępie oraz ryzyku trafiają do kierownika.

Zaplanuj także szkolenie kierownika i osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa. Art. 8e wymaga udziału raz w roku kalendarzowym i jego udokumentowania. Zakres oraz zasady pierwszego szkolenia opisujemy w artykule o szkoleniu kadry zarządzającej KSC.

Osobno ustal harmonogram przeglądów i audytów. Przegląd SZBI służy ocenie systemu i potrzebnych zmian; audyt ustawowy z art. 15 sprawdza spełnienie wymagań KSC, a audyt wewnętrzny KRI wynika z odrębnej regulacji. Podmiot kluczowy przeprowadza audyt z art. 15 co najmniej raz na trzy lata, z uwzględnieniem terminu pierwszego audytu. Podmiotowi ważnemu organ może nakazać taki audyt przy incydencie poważnym lub innym naruszeniu ustawy. Nie przypisuj jednego cyklu wszystkim tym czynnościom.

Jak wykorzystać szablon dokumentacji SZBI?

Wzór PBI, metodyki ryzyka czy rejestru pomaga uporządkować pracę, ale wymaga wypełnienia rzeczywistą treścią. Ustal wariant prawny, opisz usługi i systemy, przypisz role, oceń istniejące środki, opracuj ryzyka i zaplanuj brakujące działania. Następnie zatwierdź zasady, wykonaj zadania i zbierz dowody. Dokument, który deklaruje działanie nieistniejącego zabezpieczenia, utrudnia ocenę stanu organizacji.

Przy dostosowywaniu szablonu warto przygotować prostą tabelę powiązań: wymaganie, dokument, osoba odpowiedzialna, dowód i status realizacji. Pozwala ona zobaczyć, które obowiązki są już wykonywane, a gdzie brakuje zasad lub zabezpieczeń. Możesz wykorzystać podejście ISO/IEC 27001, lecz KSC nie ustanawia powszechnego obowiązku certyfikacji tej normy. Certyfikat oraz Deklaracja Stosowania, czyli dokument wskazujący zabezpieczenia przyjęte w podejściu ISO, nie zastępują weryfikacji obowiązków KSC.

W Feelsecure pomagamy opracować i utrzymywać dokumentację SZBI oraz ocenić zgodność i zaplanować wdrożenie. Możemy zacząć od istniejących dokumentów, sprawdzić ich zakres i wskazać brakujące procedury oraz dowody. Dla podmiotów spełniających przesłanki 3 kwietnia 2026 roku podstawowy okres dostosowania do obowiązków rozdziału 3 wynosi 12 miesięcy. Nie oznacza to przerwy w wykonywaniu wcześniejszych obowiązków: dawnych operatorów usług kluczowych dotyczą także przepisy przejściowe zachowujące dotychczasowe wymagania. Harmonogram dla różnych sytuacji omawiamy w artykule NIS2 - terminy i kary.

Stan prawny: 12 października 2026. Informacje mają charakter ogólny i nie stanowią porady prawnej. Zakres obowiązków i dokumentacji należy zweryfikować względem statusu, działalności oraz przepisów właściwych dla konkretnej organizacji.