# Wzór rejestru ryzyka i metodyki szacowania ryzyka według KSC

Ostatnia aktualizacja: 2026-10-17
Wersja HTML (kanoniczna): https://szbihub.pl/wiedza/wzor-rejestru-ryzyka/

---

Sam wzór rejestru ryzyka nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach [okresu próbnego](https://app.szbihub.pl/rejestracja).

## W skrócie

- Rejestr ryzyka to zestawienie ryzyk dla systemów informacyjnych organizacji z oceną i planem postępowania. Procedura zarządzania ryzykiem opisuje, jak ten rejestr się prowadzi.
- Systematyczne szacowanie ryzyka i zarządzanie nim to obowiązek podmiotu kluczowego i podmiotu ważnego (art. 8 ust. 1 pkt 1 ustawy o KSC).
- Ustawa nie narzuca konkretnej metodyki oceny ryzyka. Wymaga natomiast, aby wyniki szacowania i plan postępowania z ryzykiem były udokumentowane (art. 10 ust. 3 pkt 2 lit. c i d).
- Wzór SZBIhub to procedura zarządzania ryzykiem z metodyką macierzową (prawdopodobieństwo x skutek, skale 1-5) i zestawieniem ryzyk z rejestru prowadzonego w platformie. Zestawienie pojawia się w dokumencie, gdy rejestr ma co najmniej jedno ryzyko.

## Co rejestr i procedura muszą zawierać według ustawy

1. **Politykę szacowania ryzyka.** Podmiot ustanawia polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne (art. 8 ust. 1 pkt 2 lit. a ustawy o KSC).
2. **Systematyczność.** Samo szacowanie ma być systematyczne (art. 8 ust. 1 pkt 1).
3. **Wyniki szacowania i plan postępowania.** Wyniki szacowania ryzyka dla obiektów infrastruktury oraz plan postępowania z ryzykiem wchodzą w skład dokumentacji ochrony infrastruktury (art. 10 ust. 3 pkt 2 lit. c i d).
4. **Zapisy z prowadzenia procesu.** Zapisy potwierdzające wykonywanie czynności stanowią dokumentację operacyjną (art. 10 ust. 4).
5. **Proporcjonalność środków.** Środki mają być odpowiednie i proporcjonalne do oszacowanego ryzyka, z uwzględnieniem najnowszego stanu wiedzy, kosztów wdrożenia, wielkości podmiotu, prawdopodobieństwa incydentów, narażenia na ryzyka oraz skutków społecznych i gospodarczych (art. 8 ust. 1 pkt 2).

Dobra praktyka, a nie wymóg ustawy, to kryteria i proces oceny według PN-EN ISO/IEC 27001 (pkt 6.1.2 i 8.2) oraz ISO/IEC 27005. Skale i progi akceptowalności we wzorze są metodyką platformy, nie przepisem.

Kiedy i jak szacować ryzyko w małej firmie, opisuje artykuł [Zarządzanie ryzykiem](/wiedza/zarzadzanie-ryzykiem/). Ta strona pokazuje sam dokument.

## Fragment wzoru

Poniżej dosłowny fragment sekcji „Metodyka szacowania ryzyka” z wzoru procedury SZBIhub: przebieg procesu od identyfikacji do postępowania z ryzykiem. Pole w nawiasie kwadratowym w wygenerowanym dokumencie wypełniają dane organizacji.

> **Przebieg procesu:**
>
> 1. **Identyfikacja ryzyk.** [rola odpowiedzialna za szacowanie ryzyka]
>    identyfikuje ryzyka dla systemów informacyjnych wykorzystywanych w
>    procesach wpływających na świadczenie usługi, wychodząc od rejestru
>    aktywów (każde aktywo o wysokiej krytyczności musi mieć rozważone co
>    najmniej jedno ryzyko - propozycja domyślna platformy). Źródłami
>    identyfikacji są także: incydenty i zdarzenia z rejestru incydentów,
>    zmiany u dostawców, zmiany organizacyjne i techniczne.
> 2. **Analiza.** Dla każdego ryzyka określa się prawdopodobieństwo (skala
>    1-5: bardzo niskie, niskie, średnie, wysokie, bardzo wysokie) oraz
>    skutek (skala 1-5: bardzo niski, niski, średni, wysoki, bardzo wysoki).
>    Wynik ryzyka = prawdopodobieństwo x skutek (zakres 1-25).
> 3. **Ocena.** Wynik klasyfikuje się według progów:
>
>    | Wynik | Klasa ryzyka | Akceptowalność |
>    |---|---|---|
>    | 1-4 | Niskie | akceptowalne |
>    | 5-9 | Średnie | akceptowalne |
>    | 10-15 | Wysokie | nieakceptowalne - wymaga planu postępowania |
>    | 16-25 | Krytyczne | nieakceptowalne - wymaga planu postępowania w pierwszej kolejności |
>
>    Progi akceptowalności są metodyką platformy (nie przepisem);
>    udokumentowania planu postępowania z ryzykiem wymaga natomiast ustawa
>    (art. 10 ust. 3 pkt 2 lit. d ustawy o KSC).
> 4. **Postępowanie z ryzykiem.** Dla ryzyk nieakceptowalnych określa się
>    plan postępowania: modyfikacja ryzyka (wdrożenie zabezpieczeń),
>    unikanie (rezygnacja z działania), przeniesienie (umowa, ubezpieczenie)
>    albo świadoma akceptacja z uzasadnieniem. Wybór wariantu i akceptacja
>    ryzyka pozostającego po wdrożeniu zabezpieczeń (ryzyka resztkowego)
>    należą do kierownika podmiotu (art. 8d pkt 1 ustawy o KSC; dobra
>    praktyka: PN-EN ISO/IEC 27001 pkt 6.1.3 i 8.3).

## Jak dopasować wzór do firmy

1. **Zacznij od rejestru aktywów.** Wzór wychodzi od aktywów: każde aktywo o wysokiej krytyczności ma mieć rozważone co najmniej jedno ryzyko. Bez listy aktywów rejestr ryzyka będzie przypadkowy.
2. **Wskaż właściciela procesu.** Wpisz rolę, która identyfikuje ryzyka, na przykład kierownika IT albo osobę odpowiedzialną za bezpieczeństwo informacji. Rola, nie nazwisko, bo ludzie się zmieniają.
3. **Zdecyduj o skalach i progach.** Skale 1-5 i cztery klasy ryzyka to propozycja domyślna. Zmiana metodyki jest decyzją kierownika podmiotu i wymaga aktualizacji procedury.
4. **Dla każdego ryzyka nieakceptowalnego zapisz plan.** Modyfikacja, unikanie, przeniesienie albo świadoma akceptacja z uzasadnieniem. Akceptację ryzyka resztkowego podpisuje kierownik.
5. **Wygeneruj dokument na danych organizacji.** Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.