Deklaracja Stosowania (SoA) w ISO 27001 - co to jest i czy jest potrzebna pod KSC
Udostępnij na:
Spis treści
SZBI i ISO 27001 - Deklaracja Stosowania
Deklaracja Stosowania (SoA) w ISO 27001 - co to jest i czy jest potrzebna pod KSC
W skrócie
Deklaracja Stosowania (ang. Statement of Applicability, SoA) to dokument z normy ISO/IEC 27001, w którym organizacja wypisuje zabezpieczenia z załącznika A, zaznacza, które stosuje, i uzasadnia wyłączenia.
Ustawa o KSC nie używa pojęcia SoA i nie pozwala wyłączyć żadnego z obszarów środków wymienionych w art. 8 ust. 1 pkt 2 lit. a-n. Pozwala za to dobierać ich intensywność proporcjonalnie do ryzyka.
SoA jest bardzo przydatna jako dokument porządkujący wybór zabezpieczeń, ale pod ustawą pełni rolę pomocniczą, a nie zwolnienia z obszaru środków.
Firmy, które wdrażają ISO 27001, szybko trafiają na Deklarację Stosowania i pytają, czy pod ustawą o KSC też trzeba ją prowadzić i czy pozwala ona pominąć niewygodne zabezpieczenia. Odpowiedź wymaga rozróżnienia dwóch porządków: dobrowolnej normy i obowiązku ustawowego.
Jak to wygląda w praktyce
W projekcie według normy Deklaracja Stosowania powstaje pod koniec analizy ryzyka. Zespół przechodzi przez listę zabezpieczeń z załącznika A, zaznacza przy każdym, czy jest stosowane, i dopisuje uzasadnienie, jeśli jakieś pomija. Problem pojawia się, gdy ktoś traktuje tę samą logikę jak furtkę pod ustawą: skoro w SoA wolno wyłączyć zabezpieczenie, to pewnie pod KSC też. To nieporozumienie, które potrafi się zemścić podczas kontroli.
Dlaczego tak się dzieje
Różnica tkwi w konstrukcji obu porządków. Norma daje katalog zabezpieczeń i pozwala uzasadnione wyłączenie zapisać w Deklaracji Stosowania. Ustawa wymienia obszary środków wprost (art. 8 ust. 1 pkt 2 lit. a-n) i nie zawiera przepisu, który pozwalałby którykolwiek z nich pominąć. To, co ustawa dopuszcza, to dobór intensywności do ryzyka: środki mają być odpowiednie i proporcjonalne, z uwzględnieniem kosztów wdrożenia i wielkości podmiotu, a szyfrowanie oraz uwierzytelnianie wieloskładnikowe stosuje się w stosownych przypadkach (lit. k i l). Innymi słowy nie decydujesz, czy zająć się na przykład kryptografią, tylko w jakim zakresie.
To nie znaczy, że SoA jest pod ustawą bezużyteczna. Przeciwnie, dobrze prowadzona Deklaracja Stosowania jest czytelnym dowodem, że firma świadomie przeszła przez wszystkie obszary i dobrała środki do ryzyka. Trzeba ją tylko pogodzić z zakresem ustawy i nie traktować wyłączeń w SoA jako zwolnienia z obszaru środków. Jak całość SZBI ma się do normy, opisujemy w przewodniku o SZBI i ISO 27001.
Co zrobić krok po kroku
Zbuduj SoA na wynikach analizy ryzyka. Deklaracja Stosowania ma wynikać z rejestru ryzyk, a nie odwrotnie. Dla każdego zabezpieczenia zapisz, czy je stosujesz, i dlaczego. Efekt: SoA powiązana z ryzykami.
Zmapuj zabezpieczenia na obszary z art. 8. Sprawdź, czy wszystkie obszary z liter a-n są pokryte. Żaden nie może zostać bez środka, choć intensywność może być różna. Efekt: tabela pokrycia obszarów ustawy.
Uzasadnij intensywność, nie wyłączenie. Zamiast wyłączać obszar, opisz, dlaczego dany środek jest w tym miejscu lżejszy albo cięższy, odwołując się do ryzyka i do słów w stosownych przypadkach (lit. k, l). Efekt: uzasadnienia proporcjonalności.
Zachowaj spójność zakresu. Dopilnuj, by SoA obejmowała systemy objęte ustawą, a nie tylko wąski zakres certyfikatu. Efekt: zakres SoA zgodny z zakresem SZBI.
Aktualizuj po każdej zmianie ryzyka. SoA żyje razem z analizą ryzyka: zmiana zagrożeń albo architektury wymaga przeglądu deklaracji. Efekt: wersjonowana SoA z datami przeglądów.
Jak sprawdzić, że zadziałało
Deklaracja jest zgodna z ustawą, gdy każdemu obszarowi środków z art. 8 ust. 1 pkt 2 lit. a-n odpowiada w niej zabezpieczenie, a jedyne, co się różnicuje, to intensywność oparta na ryzyku. Sygnał ostrzegawczy to wpis, w którym cały obszar oznaczono jako nie dotyczy bez związku z ryzykiem. Przy kontroli organ pyta o dowody realizacji wymogów z art. 8, więc SoA powinna prowadzić do konkretnych zapisów i konfiguracji, a nie kończyć się na deklaracji.
Podstawa prawna i źródła
art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - w szczególności art. 8 ust. 1 pkt 2 lit. a-n
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący
Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Nie wprost. Pojęcie Deklaracji Stosowania pochodzi z normy ISO/IEC 27001, a ustawa go nie używa. SoA jest jednak przydatnym dokumentem, bo pokazuje, że firma świadomie przeszła przez wszystkie obszary środków i dobrała je do ryzyka.
Czy w SoA można wyłączyć zabezpieczenie wymagane przez ustawę?
W samej normie wyłączenie jest dopuszczalne po uzasadnieniu. Pod ustawą o KSC żadnego z obszarów środków z art. 8 ust. 1 pkt 2 lit. a-n nie wolno pominąć. Można jedynie dobrać ich intensywność proporcjonalnie do ryzyka, a szyfrowanie i uwierzytelnianie wieloskładnikowe stosować w stosownych przypadkach.
Co oznacza dobór proporcjonalny do ryzyka?
Oznacza, że intensywność środka zależy od ryzyka, kosztów wdrożenia i wielkości podmiotu, ale sam obszar musi być zaadresowany. Nie decydujesz, czy zająć się na przykład kontrolą dostępu, tylko w jakim zakresie i jak rygorystycznie.
Czy SoA wystarcza, żeby spełnić obowiązki z ustawy?
Nie. SoA to dokument wyboru zabezpieczeń. Ustawa wymaga, by środki były realnie wdrożone, a organ przy kontroli pyta o dowody ich realizacji. Sama deklaracja bez wdrożenia i zapisów to za mało.
Komentarze (0)
Brak komentarzy...