Zarządzanie i nadzór nad SZBI

TL;DR

• Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji (SZBI) w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8 ust. 1 ustawy o KSC).
• Za wykonywanie obowiązków z zakresu cyberbezpieczeństwa odpowiada osobiście kierownik podmiotu (art. 8c ust. 1) - i nie zwalnia go z tej odpowiedzialności powierzenie zadań innej osobie (art. 8c ust. 3).
• Podmioty, które 3.04.2026 r. spełniały przesłanki ustawy, mają czas na realizację obowiązków z rozdziału 3 (w tym SZBI) do 3.04.2027 r. (art. 33 ust. 1 ustawy z 23.01.2026 r., Dz. U. poz. 252).
• Kary pieniężne mogą być nakładane od 3.04.2028 r. (art. 35 ustawy zmieniającej), ale środki nadzorcze - kontrole i nakazy z art. 53 - obowiązują już od 3.04.2026 r.
• Kierownikowi za zaniechania grozi osobista kara pieniężna do 300% wynagrodzenia (art. 73a ust. 1 i 4).

Co dokładnie nakazuje ustawa

Fundament jest w jednym zdaniu: podmiot kluczowy lub podmiot ważny “wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi” (art. 8 ust. 1 ustawy o KSC). Wszystkie pozostałe obowiązki - zarządzanie ryzykiem, incydenty, ciągłość działania, łańcuch dostaw - są środkami tego systemu, wyliczonymi w art. 8 ust. 1 pkt 1-4.

Wokół tego fundamentu ustawa buduje nadzór:

• Odpowiedzialność kierownika (art. 8c). Kierownik podmiotu ponosi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa (ust. 1). Powierzenie obowiązków innej osobie nie zwalnia z odpowiedzialności (ust. 3).
• Zadania kierownika (art. 8d). Kierownik: podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI (pkt 1), planuje adekwatne środki finansowe (pkt 2), przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie (pkt 3), zapewnia świadomość obowiązków wśród personelu (pkt 4) oraz zgodność działania podmiotu z prawem i regulacjami wewnętrznymi (pkt 5).
• Coroczne szkolenie kierownika (art. 8e). Raz w roku kalendarzowym, udokumentowane - szczegóły w osobnym artykule o szkoleniach.
• Niekaralność osób realizujących zadania (art. 8f). Osoby realizujące zadania z art. 8 lub art. 11 przedstawiają przed dopuszczeniem do zadań informację o niekaralności z Krajowego Rejestru Karnego.
• Osoby kontaktowe (art. 9). Podmiot wyznacza co najmniej dwie osoby do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa; mikro- i mali przedsiębiorcy oraz ważne podmioty publiczne - co najmniej jedną (art. 9 ust. 1 pkt 1, ust. 2-3).
• Dokumentacja (art. 10). Podmiot opracowuje, stosuje i aktualizuje dokumentację bezpieczeństwa systemu informacyjnego: normatywną (m.in. dokumentacja SZBI - art. 10 ust. 3 pkt 1) i operacyjną (zapisy potwierdzające wykonywanie czynności - art. 10 ust. 4). Dokumentację przechowuje się co najmniej 2 lata (art. 10).
• Struktury albo umowa (art. 14). Podmiot powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.

Wyjątek: podmiot ważny będący podmiotem publicznym zamiast art. 8 ust. 1 stosuje wymogi SZBI określone w załączniku nr 4 do ustawy (art. 8 ust. 3). To odrębny, lżejszy katalog wymogów

Jak to wygląda w praktyce małej firmy

Mała firma nie ma działu bezpieczeństwa, więc “system zarządzania” brzmi groźnie. W praktyce SZBI dla podmiotu ważnego zatrudniającego 50-100 osób to komplet kilku dokumentów, kilka rejestrów prowadzonych na bieżąco i kalendarz cyklicznych czynności:

1. Polityka SZBI - dokument, który wyznacza zakres systemu (jaki system informacyjny, jakie procesy wpływają na świadczenie usługi - art. 8 ust. 1) i deklaruje zaangażowanie kierownictwa (art. 8d).
2. Przypisane role - kto jest kierownikiem w rozumieniu ustawy, komu powierzono zadania, kto jest osobą kontaktową (art. 9). Uwaga: powierzenie nie przenosi odpowiedzialności (art. 8c ust. 3).
3. Decyzja: struktura własna czy umowa z MSSP (art. 14) - dla małej firmy zwykle realniejsza jest umowa z zewnętrznym dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Uwaga dla firm IT: dostawca takich usług sam jest podmiotem kluczowym już od statusu małego przedsiębiorstwa (art. 5 ust. 1 pkt 3) - jeśli świadczysz je klientom, sprawdź własny status.
4. Dokumentacja, która żyje - art. 10 wymaga nie tylko opracowania, ale stosowania i aktualizacji. Dokument wygenerowany raz i zapomniany nie spełnia wymogu; zapisy operacyjne (art. 10 ust. 4) mają pokazywać, że czynności faktycznie się dzieją.
5. Cykl przeglądu - ustawa nakłada na kierownika zadanie przeglądu i nadzoru SZBI (art. 8d pkt 1) oraz utrzymywania polityk oceny skuteczności (art. 8 ust. 1 pkt 2 lit. h), ale nie narzuca częstotliwości. Coroczny przegląd SZBI to dobra praktyka (PN-EN ISO/IEC 27001, pkt 9.3), którą przyjmujemy jako domyślny cykl - nie wymóg ustawowy. Wyjątek: dla podmiotu ważnego będącego podmiotem publicznym załącznik nr 4 do ustawy o KSC przewiduje przegląd SZBI co najmniej raz w roku.

Jakie artefakty trzeba mieć

Artefakt	Podstawa	Uwagi
Polityka SZBI (zakres + zaangażowanie kierownictwa)	art. 8 ust. 1, art. 10 ust. 3 pkt 1	forma dokumentu nie jest narzucona przez ustawę; dobra praktyka: PN-EN ISO/IEC 27001 pkt 4.3 i 5.2
Wyznaczone osoby kontaktowe	art. 9 ust. 1 pkt 1, ust. 2-3	2 osoby; mikro/mali i ważne publiczne: 1
Dokumentacja normatywna i operacyjna	art. 10 ust. 3-4	przechowywanie co najmniej 2 lata
Umowa z MSSP albo struktura wewnętrzna	art. 14	decyzja kierownika
Informacje o niekaralności (KRK) osób realizujących zadania z art. 8 i 11	art. 8f	przed dopuszczeniem do zadań
Udokumentowane coroczne szkolenie kierownika	art. 8e	patrz artykuł o szkoleniach

Najczęstsze błędy

1. “Wydelegowałem, więc nie odpowiadam.” Art. 8c ust. 3 mówi wprost: powierzenie obowiązków innej osobie nie zwalnia kierownika z odpowiedzialności. Delegować można pracę, nie odpowiedzialność.
2. Dokumentacja-fasada. Komplet PDF-ów z jedną datą i bez zapisów operacyjnych (art. 10 ust. 4) obroni się gorzej niż skromniejszy system, który faktycznie działa.
3. Czekanie na 2028 r. Kary pieniężne faktycznie mogą być nakładane dopiero od 3.04.2028 r. (art. 35 ustawy zmieniającej), ale kontrole i nakazy organu właściwego (art. 53) obowiązują od 3.04.2026 r. Organ może nakazać usunięcie nieprawidłowości na długo zanim będzie mógł karać. Wyjątek od odroczenia: kara do 100 mln zł za naruszenia powodujące bezpośrednie i poważne zagrożenie (art. 73 ust. 5) - nie jest objęta odroczeniem.
4. Pominięcie art. 9 i art. 8f. Osoby kontaktowe i zaświadczenia o niekaralności to obowiązki proste do spełnienia i łatwe do skontrolowania - a często w ogóle nieobecne na checklistach.
5. Publiczna JST wdraża “pełne” SZBI z art. 8 ust. 1. Podmiot ważny będący podmiotem publicznym stosuje załącznik nr 4 (art. 8 ust. 3) - inna podstawa prawna, którą trzeba poprawnie cytować w dokumentacji.

Checklista do odhaczenia

• Ustaliłem, kto jest kierownikiem podmiotu w rozumieniu ustawy i kto formalnie przyjął zadania z art. 8d
• Mam Politykę SZBI wyznaczającą zakres systemu (art. 8 ust. 1, art. 10 ust. 3 pkt 1)
• Wyznaczyłem osoby kontaktowe (art. 9) i wiem, gdzie zaktualizować ich dane
• Podjąłem decyzję: struktury wewnętrzne czy umowa z MSSP (art. 14) - i mam ją na piśmie
• Osoby realizujące zadania z art. 8/11 przedstawiły informację z KRK (art. 8f)
• Dokumentacja ma właściciela, cykl aktualizacji i miejsce przechowywania przez min. 2 lata (art. 10)
• Kierownik ma zaplanowane coroczne szkolenie (art. 8e)
• Zaplanowany przegląd SZBI (nasza praktyka: co 12 miesięcy; realizuje art. 8d pkt 1)

Pytania i odpowiedzi

Czy kierownik może zlecić cyberbezpieczeństwo zewnętrznej firmie i mieć spokój? Może zlecić wykonywanie zadań (art. 14 przewiduje umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa), ale odpowiedzialność za wykonywanie obowiązków pozostaje przy kierowniku (art. 8c ust. 1 i 3).

Do kiedy trzeba mieć wdrożone SZBI? Podmiot, który 3.04.2026 r. spełniał przesłanki uznania za podmiot kluczowy lub ważny - do 3.04.2027 r. (art. 33 ust. 1 ustawy z 23.01.2026 r., Dz. U. poz. 252). Podmiot, który spełni przesłanki później - w 12 miesięcy od ich spełnienia (art. 16 pkt 1).

Czy ustawa wymaga corocznego przeglądu SZBI? Nie wprost. Ustawa nakłada na kierownika zadanie przeglądu i nadzoru SZBI (art. 8d pkt 1) oraz wymaga polityk oceny skuteczności środków (art. 8 ust. 1 pkt 2 lit. h), ale nie określa częstotliwości. Cykl roczny to dobra praktyka z PN-EN ISO/IEC 27001 (pkt 9.3) - rekomendujemy go, uczciwie oznaczając jako praktykę, nie przepis.

Co realnie grozi za brak SZBI? Od 3.04.2026 r.: kontrole i nakazy organu właściwego (art. 53). Od 3.04.2028 r.: kary pieniężne dla podmiotu (art. 73) oraz osobista kara kierownika do 300% wynagrodzenia (art. 73a ust. 1 i 4). Niezależnie od dat: pytania kontrahentów o dowód zgodności, których nie zbywa się “jeszcze nad tym pracujemy”.

Źródła

• Ustawa o KSC - tekst ujednolicony Kancelarii Sejmu z 2026-07-07: isap.sejm.gov.pl (PDF); strona aktu: ISAP WDU20180001560
• Ustawa z 23.01.2026 r. o zmianie ustawy o KSC (Dz. U. 2026 poz. 252): ISAP, ELI
• PN-EN ISO/IEC 27001 (przegląd zarządzania, pkt 9.3) - norma, dobra praktyka, nie przepis

---

Ten artykuł jest narzędziem informacyjnym, nie poradą prawną. Tam, gdzie Twoja sytuacja wymaga interpretacji przepisu, skonsultuj się z radcą prawnym.