Analiza ryzyka w SZBI - jak ją przeprowadzić i udokumentować

SZBI i ISO 27001 - analiza ryzyka

Analiza ryzyka w SZBI - jak ją przeprowadzić i udokumentować

W skrócie

Analiza ryzyka bywa traktowana jak formalność: tabela wypełniona raz i odłożona do segregatora. Tymczasem to ona decyduje, które zabezpieczenia są potrzebne, a które byłyby przesadą. Pokazujemy, jak przeprowadzić ją tak, żeby realnie sterowała systemem, i jak ją udokumentować na kontrolę.

Jak to wygląda w praktyce

Najczęstszy błąd to analiza oderwana od firmy: pobrana tabela z listą ogólnych zagrożeń, oceny wpisane na oko i brak powiązania z konkretnymi systemami oraz zabezpieczeniami. Drugi częsty błąd to liczenie wyłącznie strat własnych, podczas gdy ustawa każe patrzeć szerzej. Efekt w obu przypadkach jest ten sam: zabezpieczenia dobrane bez związku z realnym ryzykiem, a przy kontroli brak dowodu, dlaczego akurat takie.

Co mówią przepisy

Ustawa stawia szacowanie ryzyka na pierwszym miejscu wśród zadań SZBI: system ma zapewniać prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem (art. 8 ust. 1 pkt 1). Podaje też definicje: ryzyko to kombinacja prawdopodobieństwa zdarzenia niepożądanego i jego konsekwencji, szacowanie ryzyka to całościowy proces identyfikacji, analizy i oceny ryzyka, a zarządzanie ryzykiem to skoordynowane działania wobec oszacowanego ryzyka (art. 2 pkt 12, 13 i 19).

Istotny jest zakres skutków. Przy doborze środków ustawa każe uwzględniać między innymi skutki społeczne i gospodarcze, a nie tylko straty samej firmy. To ma znaczenie również przy klasyfikacji incydentów, bo incydent poważny definiuje się także przez wpływ na inne osoby (art. 2 pkt 7). Jeśli Twoja metoda liczy wyłącznie straty wewnętrzne, dopisz kryterium wpływu na odbiorców usługi. Metodę samego liczenia ryzyka ułatwia norma ISO/IEC 27005, ale wybór metody należy do firmy. Jak analiza wpisuje się w cały system, opisujemy w przewodniku o SZBI i ISO 27001.

Co zrobić krok po kroku

1. Zidentyfikuj aktywa w zakresie. Wypisz systemy, dane i procesy objęte SZBI. Bez znanego zakresu analiza wisi w próżni. Efekt: lista aktywów z właścicielami.
2. Przypisz zagrożenia i podatności. Dla każdego aktywa wskaż realne zagrożenia i podatności, od awarii i błędu ludzkiego po atak i incydent u dostawcy. Efekt: mapa zagrożeń powiązana z aktywami.
3. Oceń ryzyko według jednej skali. Ustal skalę prawdopodobieństwa i skutku i stosuj ją konsekwentnie. W skutkach uwzględnij wpływ na odbiorców usługi, nie tylko straty własne. Efekt: oceny porównywalne między aktywami.
4. Zaplanuj postępowanie z ryzykiem. Dla ryzyk ponad akceptowalny poziom wybierz działanie: ogranicz, przenieś, unikaj lub świadomie zaakceptuj. Przypisz właściciela i termin. Efekt: plan postępowania z ryzykiem.
5. Udokumentuj i wyznacz cykl przeglądu. Zapisz metodę, założenia, oceny i decyzje w rejestrze ryzyk, a przegląd zaplanuj okresowo i po każdej istotnej zmianie. Efekt: wersjonowany rejestr ryzyk z datami.

Jak sprawdzić, że zadziałało

Analiza spełnia swoją rolę, gdy każde wdrożone zabezpieczenie da się wskazać w rejestrze ryzyk jako odpowiedź na konkretne ryzyko, a każde ryzyko ponad próg akceptacji ma właściciela i zaplanowane działanie. Sprawdź też, czy w skutkach uwzględniono wpływ na odbiorców usługi, bo to wymóg ustawy. Przy kontroli organ może zażądać dowodów realizacji wymogów z art. 8, więc rejestr ryzyk powinien prowadzić do konkretnych decyzji, a nie być oderwaną tabelą.

Podstawa prawna i źródła

• art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - art. 8 ust. 1 pkt 1
• art. 2 pkt 7, 12, 13 i 19 ustawy o KSC (definicje)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący

Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: najczęstsze pytania i problemy związane z NIS2 i KSC