Wymagania SZBI zależą od statusu podmiotu. Podmioty kluczowe i ważne wdrażają pełny model z art. 8 ust. 1 ustawy o KSC (Dz.U. 2026 poz. 20 (t.j.) i poz. 252), oparty na systematycznym szacowaniu ryzyka. Podmioty ważne będące podmiotami publicznymi stosują uproszczony model z załącznika nr 4, który zawiera 18 wymagań obowiązkowych oraz katalog środków dodatkowych.
Pełny model a model uproszczony
Pełny model jest szerszy. Obejmuje wszystkie systemy informacyjne wykorzystywane w procesach wpływających na świadczenie usługi i wymaga powiązania zabezpieczeń z ryzykiem. Model z załącznika nr 4 jest bardziej katalogowy: wskazuje konkretne obszary, które podmiot publiczny musi wdrożyć, ale nie wymaga tak rozbudowanej metodyki ryzyka.
18 wymagań z załącznika nr 4
Poniższa lista porządkuje wymagania w dziesięć obszarów praktycznych. To nie jest dosłowne brzmienie przepisu, ale mapa wdrożeniowa.
1. Inwentaryzacja produktów, usług i procesów ICT
Podmiot musi wiedzieć, jakie produkty, usługi i procesy ICT wykorzystuje. Rejestr powinien zawierać nazwę, właściciela, administratora, dostawcę, wersję, miejsce przetwarzania, integracje i datę końca wsparcia. Sam spis komputerów nie wystarcza.
2. Kontrola wersji i cyklu życia
Trzeba kontrolować używane wersje, instalowanie oprogramowania, źródła dystrybucji, częstotliwość aktualizacji i cykl życia produktów. Należy unikać wersji z znanymi krytycznymi podatnościami. Dowodem mogą być raporty inwentaryzacyjne, harmonogramy aktualizacji i rejestry podatności.
3. Ochrona informacji i infrastruktury
Ochrona obejmuje miejsca przetwarzania, urządzenia, oprogramowanie oraz chmurę i centra danych. W przypadku chmury trzeba znać podział odpowiedzialności i mieć dokumentację mechanizmów ochrony zapewnianych przez dostawcę.
4. Zarządzanie dostępem
Dostęp mają wyłącznie osoby uprawnione. Obowiązuje zasada minimalnych uprawnień, bezzwłoczne cofanie uprawnień i zawieszanie dostępu, gdy osoba nie wykonuje obowiązków przez co najmniej miesiąc. Proces musi być powiązany z HR i wykonawcami.
5. Bezpieczna praca mobilna i zdalna
Trzeba określić zasady korzystania z urządzeń służbowych i prywatnych, dostępu zdalnego, przechowywania dokumentów poza siedzibą, zgłaszania utraty sprzętu i korzystania z publicznych sieci.
6. Bezpieczeństwo poczty elektronicznej
Wymagane jest kontrolowanie mechanizmów SPF, DKIM i DMARC. Warto zinwentaryzować domeny, sprawdzić rekordy, analizować raporty DMARC i powtarzać kontrolę po zmianie dostawcy.
7. Kopie zapasowe i odtwarzanie
Kopie muszą być wykonywane, logicznie i fizycznie odseparowane od danych produkcyjnych, testowane pod kątem kompletności i możliwości odtworzenia. Dowodem nie są tylko logi backupu, ale też protokoły testów odtworzeniowych.
8. Procedury awaryjne i incydentowe
Podmiot musi mieć procedurę zgłaszania zdarzeń, oceny, eskalacji, zabezpieczania dowodów, ograniczania skutków, komunikacji i analizy przyczyn. Sama procedura bez testu i osób odpowiedzialnych nie wystarcza.
9. Oprogramowanie antywirusowe
Trzeba ustalić, które urządzenia są chronione, czy ochrona jest aktywna, czy aktualizacje są instalowane, kto otrzymuje alerty i jak reaguje na wykryte zagrożenia.
10. Cyberhigiena i szkolenia
Pracownicy i kierownik muszą znać zagrożenia, zasady bezpiecznego korzystania z systemów i sposób zgłaszania incydentów. Szkolenia powinny być dostosowane do roli i udokumentowane.
Środki dodatkowe z części II
Katalog dodatkowy obejmuje m.in. ograniczanie błędów ludzkich, dedykowaną pocztę, wysoką dostępność, zasady korzystania z chmury, zasady korzystania z generatywnej AI, dedykowane monitorowanie, testy bezpieczeństwa, klauzule umowne i aktualność produktów. Nie każdy środek jest obowiązkowy dla każdego podmiotu, ale każdy warto rozważyć i udokumentować decyzję.
Jak czytać te wymagania
Każde wymaganie ma trzy warstwy: dokument, działanie i dowód. Dokument bez działania to deklaracja. Działanie bez dowodu jest trudne do obrony w audycie. Dlatego budując SZBI, od razu projektuj rejestry, logi, protokoły i raporty, które później pokażesz audytorowi.
Najczęstsze luki
- Rejestr aktywów obejmuje tylko serwery, a pomija SaaS, pocztę i integracje.
- Backup jest wykonywany, ale nigdy nie testowano odtworzenia.
- Dostawcy nie są oceniani pod kątem krytyczności i klauzul bezpieczeństwa.
- Szkolenia są jednorazowe i bez rejestru uczestników.
- Procedura incydentów nie została przetestowana.
Szczegóły wdrożenia znajdziesz w planie wdrożenia SZBI. Dokumenty opisuje Dokumentacja SZBI, a ryzyko Analiza ryzyka w SZBI.