# Wzór polityki bezpieczeństwa informacji (SZBI) według ustawy o KSC

Ostatnia aktualizacja: 2026-10-17
Wersja HTML (kanoniczna): https://szbihub.pl/wiedza/wzor-polityki-bezpieczenstwa-informacji/

---

Sam wzór polityki bezpieczeństwa informacji nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach [okresu próbnego](https://app.szbihub.pl/rejestracja).

## W skrócie

- Polityka bezpieczeństwa informacji to dokument, który ustanawia system zarządzania bezpieczeństwem informacji (SZBI) w organizacji i opisuje jego zakres, role oraz zasady przeglądu.
- System zarządzania bezpieczeństwem informacji wdraża podmiot kluczowy i podmiot ważny (art. 8 ust. 1 ustawy o KSC). Podmiot ważny będący podmiotem publicznym stosuje zamiast tego wymogi z załącznika nr 4 do ustawy (art. 8 ust. 3).
- Ustawa nie narzuca formy dokumentu. Dokumentacja SZBI jest częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 1).
- Wzór SZBIhub ma sekcje: cel i zakres SZBI, zaangażowanie i odpowiedzialność kierownictwa, role i odpowiedzialności, środki bezpieczeństwa i dokumenty powiązane, przegląd, dokumentacja i doskonalenie oraz metryka dokumentu. Postanowienia dla podmiotu publicznego i aneks o dostawcach usług ICT pojawiają się tylko wtedy, gdy dotyczą organizacji.

## Co polityka musi zawierać według ustawy

Ustawa o KSC nie podaje listy rozdziałów polityki. Nazywa natomiast elementy, które dokumentacja SZBI ma utrwalić:

1. **Zakres SZBI.** System obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi przez podmiot (art. 8 ust. 1 ustawy o KSC). Polityka wskazuje więc, które usługi, procesy i systemy są w zakresie.
2. **Zakres i zasady utrwalone w dokumentacji.** Zakres i zasady SZBI utrwala się w dokumentacji SZBI, która jest częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 1).
3. **Odrębność podmiotu publicznego.** Podmiot ważny będący podmiotem publicznym stosuje wymogi SZBI określone w załączniku nr 4 do ustawy (art. 8 ust. 3).
4. **Decyzje kierownika.** Kierownik podmiotu podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI (art. 8d ustawy o KSC).

Dobra praktyka, a nie wymóg ustawy, to struktura polityki według PN-EN ISO/IEC 27001 (pkt 4.3 o zakresie SZBI i pkt 5.2 o polityce bezpieczeństwa informacji). Wzór SZBIhub przyjmuje to podejście, ale forma dokumentu pozostaje decyzją organizacji.

Obowiązki kierownictwa, nadzór i środki bezpieczeństwa opisuje artykuł [Zarządzanie i nadzór](/wiedza/zarzadzanie-i-nadzor/). Ta strona pokazuje sam dokument.

## Fragment wzoru

Poniżej dosłowny fragment sekcji „Cel i zakres SZBI” z wzoru polityki SZBIhub. Pola w nawiasach kwadratowych w wygenerowanym dokumencie wypełniają dane organizacji.

> *Podstawa prawna: art. 8 ust. 1 oraz art. 10 ust. 3 pkt 1 ustawy o KSC.*
>
> Niniejsza Polityka ustanawia system zarządzania bezpieczeństwem informacji
> (dalej: SZBI) w organizacji [nazwa organizacji] oraz określa zasady jego
> utrzymania, przeglądu i doskonalenia.
>
> Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem
> informacji w systemie informacyjnym wykorzystywanym w procesach wpływających
> na świadczenie usługi (art. 8 ust. 1 ustawy o KSC). Zakres SZBI organizacji
> [nazwa organizacji] obejmuje w związku z tym:
>
> 1. usługi i procesy, których świadczenie zależy od systemów informacyjnych:
>    [usługi i procesy objęte SZBI];
> 2. systemy informacyjne oraz inne aktywa wspierające te procesy - ich
>    aktualny wykaz prowadzony jest w rejestrze aktywów, zgodnie z Procedurą
>    zarządzania aktywami;
> 3. personel oraz strony trzecie (dostawców), w zakresie, w jakim uczestniczą
>    w procesach objętych SZBI.
>
> Sektor działalności organizacji według załączników do ustawy o KSC:
> [sektor działalności według załączników do ustawy].
>
> Niniejsza Polityka wraz z dokumentami wskazanymi w sekcji "Środki
> bezpieczeństwa i dokumenty powiązane" stanowi dokumentację systemu
> zarządzania bezpieczeństwem informacji, będącą częścią dokumentacji
> normatywnej podmiotu (art. 10 ust. 3 pkt 1 ustawy o KSC).
>
> Forma i struktura niniejszego dokumentu nie są narzucone przez ustawę; jako
> dobrą praktykę przyjęto podejście PN-EN ISO/IEC 27001 (pkt 4.3: określenie
> zakresu SZBI; pkt 5.2: polityka bezpieczeństwa informacji). Wyłączenie
> jakiegokolwiek systemu lub procesu z zakresu SZBI wymaga udokumentowanego
> uzasadnienia zatwierdzonego przez kierownika podmiotu (propozycja domyślna
> platformy - organizacja może przyjąć własną regułę).

## Jak dopasować wzór do firmy

1. **Wypisz usługi i procesy w zakresie.** To pole wzoru, od którego zależy reszta dokumentu. Wpisz usługi, których świadczenie zależy od systemów informacyjnych, a nie listę wszystkich działów firmy.
2. **Wpisz sektor działalności.** Sektor podajesz według załączników do ustawy o KSC.
3. **Uzasadnij wyłączenia.** Wzór przyjmuje regułę, że wyłączenie systemu lub procesu z zakresu SZBI wymaga udokumentowanego uzasadnienia zatwierdzonego przez kierownika podmiotu. To propozycja domyślna, organizacja może przyjąć własną regułę.
4. **Powiąż politykę z innymi dokumentami.** Polityka odsyła do rejestru aktywów i Procedury zarządzania aktywami. Zakres SZBI i lista aktywów powinny opisywać te same systemy.
5. **Wygeneruj dokument na danych organizacji.** Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.