# Wzór planu ciągłości działania według ustawy o KSC (NIS2)

Ostatnia aktualizacja: 2026-10-17
Wersja HTML (kanoniczna): https://szbihub.pl/wiedza/wzor-planu-ciaglosci-dzialania/

---

Sam wzór planu ciągłości działania nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach [okresu próbnego](https://app.szbihub.pl/rejestracja).

## W skrócie

- Plan ciągłości działania opisuje, jak organizacja utrzyma albo odtworzy usługi, gdy zawiodą systemy, dostawcy lub ludzie.
- Plany ciągłości działania wdraża, dokumentuje, testuje i utrzymuje podmiot kluczowy i podmiot ważny (art. 8 ust. 1 pkt 2 lit. f ustawy o KSC).
- Dokumentacja systemu zarządzania ciągłością działania jest częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 3).
- Wzór SZBIhub ma dwie części. Część I dotyczy ciągłości działania organizacji: cel i zakres, usługi krytyczne i parametry odtworzenia, środki ciągłości, uruchomienie planu i role, testowanie i utrzymanie. Część II dotyczy bezpieczeństwa łańcucha dostaw ICT i pojawia się, gdy organizacja ma dostawców.

## Co plan musi zawierać według ustawy

1. **Plany ciągłości działania.** Plany mają umożliwiać ciągłe i niezakłócone świadczenie usługi oraz zapewniać poufność, integralność, dostępność i autentyczność informacji (art. 8 ust. 1 pkt 2 lit. f ustawy o KSC).
2. **Plany awaryjne i plany odtworzenia.** Ten sam przepis wymaga planów awaryjnych oraz planów odtworzenia działalności po zdarzeniu, które spowodowało straty przekraczające zdolności odbudowy własnymi środkami.
3. **Cztery czynności.** Plany się wdraża, dokumentuje, testuje i utrzymuje.
4. **Dokumentacja.** Dokumentacja systemu zarządzania ciągłością działania stanowi część dokumentacji normatywnej (art. 10 ust. 3 pkt 3).

Kontekst dyrektywy, a nie wymóg ustawy: art. 21 ust. 2 lit. c dyrektywy (UE) 2022/2555 wymienia tu wprost kopie zapasowe, przywracanie normalnego działania i zarządzanie kryzysowe. Parametry odtworzenia, takie jak RTO i RPO, to dobra praktyka zarządzania ciągłością działania (ISO 22301). Ustawa pozostawia ich dobór organizacji.

Jak podejść do ciągłości działania w małej firmie, opisuje artykuł [Ciągłość działania](/wiedza/ciaglosc-dzialania/). Ta strona pokazuje sam dokument.

## Fragment wzoru

Poniżej dosłowny fragment sekcji „Cel i zakres” z wzoru planu ciągłości działania SZBIhub. Pole w nawiasie kwadratowym w wygenerowanym dokumencie wypełniają dane organizacji.

> *Podstawa prawna: art. 8 ust. 1 pkt 2 lit. f oraz art. 10 ust. 3 pkt 3
> ustawy o KSC.*
>
> Organizacja [nazwa organizacji] wdraża, dokumentuje, testuje i
> utrzymuje plany ciągłości działania umożliwiające ciągłe i niezakłócone
> świadczenie usługi oraz zapewniające poufność, integralność, dostępność i
> autentyczność informacji, a także plany awaryjne i plany odtworzenia
> działalności po zdarzeniu, które spowodowało straty przekraczające
> zdolności odbudowy własnymi środkami (art. 8 ust. 1 pkt 2 lit. f ustawy o
> KSC). Niniejszy dokument stanowi dokumentację systemu zarządzania
> ciągłością działania, będącą częścią dokumentacji normatywnej podmiotu
> (art. 10 ust. 3 pkt 3 ustawy o KSC).
>
> Kontekst unijny: odpowiadający temu obowiązkowi przepis dyrektywy (UE)
> 2022/2555 (art. 21 ust. 2 lit. c) wymienia wprost kopie zapasowe,
> przywracanie normalnego działania i zarządzanie kryzysowe - dyrektywa
> stanowi tu kontekst interpretacyjny, podstawą obowiązku jest ustawa o KSC.
>
> Część I planu (sekcje: usługi krytyczne, środki ciągłości, uruchomienie,
> testowanie) dotyczy ciągłości działania organizacji. Część II (sekcje o
> łańcuchu dostaw) dotyczy bezpieczeństwa i ciągłości łańcucha dostaw ICT
> (art. 8 ust. 1 pkt 2 lit. e ustawy o KSC).

## Jak dopasować wzór do firmy

1. **Wypisz usługi krytyczne.** Wzór pyta o usługi i procesy, których przerwa najbardziej zaszkodzi klientom. Zacznij od dwóch lub trzech, nie od całej firmy.
2. **Ustal docelowy czas przywrócenia.** Wzór zapisuje RTO w godzinach od stwierdzenia niedostępności. Wartość jest decyzją organizacji, nie wymogiem ustawowym, więc wybierz taką, którą da się dotrzymać.
3. **Sprawdź zasoby.** Systemy, dane, sprzęt, usługi zewnętrzne i osoby niezbędne do usług krytycznych wskazuje rejestr aktywów (aktywa o wysokiej krytyczności).
4. **Zaplanuj test.** Wpisz, kiedy i jak plan zostanie przetestowany, i zapisz wynik. Test, który ujawnił problem, jest wartościowym zapisem.
5. **Wygeneruj dokument na danych organizacji.** Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.