Polityka bezpieczeństwa informacji i polityki tematyczne - co muszą zawierać
Udostępnij na:
Spis treści
SZBI i ISO 27001 - polityki
Polityka bezpieczeństwa informacji i polityki tematyczne - co muszą zawierać
W skrócie
Ustawa o KSC wymaga w ramach SZBI polityk szacowania ryzyka i bezpieczeństwa informacji oraz polityk tematycznych (art. 8 ust. 1 pkt 2 lit. a).
Ministerstwo Cyfryzacji wprost utożsamia polityki tematyczne z ustawy z politykami tematycznymi znanymi z normy ISO 27001 (odpowiedź 3.3), więc dokumentacja z wdrożenia normy jest tu dobrym punktem startu.
Polityka główna ma być krótka i kierunkowa, a szczegóły trafiają do polityk tematycznych: kontrola dostępu, kryptografia, kopie zapasowe, dostawcy, incydenty. Najważniejsze, by polityki były stosowane, a nie tylko podpisane.
Polityka bezpieczeństwa informacji bywa pierwszym dokumentem, który firma tworzy, i zarazem najczęściej martwym: podpisana, odłożona i nieznana pracownikom. Pokazujemy, co powinna zawierać polityka główna, czym różnią się od niej polityki tematyczne i jak sprawić, żeby realnie działały.
Jak to wygląda w praktyce
Dwa skrajne błędy. Pierwszy to jedna gigantyczna polityka, która próbuje opisać wszystko naraz, przez co nikt jej nie czyta ani nie aktualizuje. Drugi to zestaw ładnych dokumentów bez pokrycia w praktyce: polityka mówi o szyfrowaniu, którego nikt nie wdrożył, i o przeglądach, których nikt nie robi. W obu przypadkach przy kontroli okazuje się, że papier nie odpowiada rzeczywistości.
Co mówią przepisy
Ustawa wymienia wśród środków bezpieczeństwa polityki szacowania ryzyka i bezpieczeństwa informacji oraz polityki tematyczne (art. 8 ust. 1 pkt 2 lit. a). Ministerstwo Cyfryzacji dodaje istotną wskazówkę interpretacyjną: polityki tematyczne z ustawy utożsamia z politykami tematycznymi znanymi z normy ISO 27001 (odpowiedź 3.3). To oznacza, że firma z wdrożoną normą ma już zwykle komplet takich polityk i trzeba je tylko dostosować do zakresu wymaganego ustawą.
W praktyce sprawdza się układ dwupoziomowy. Polityka główna jest krótka i kierunkowa: deklaruje cel, zakres, zasady ogólne i odpowiedzialność kierownictwa. Polityki tematyczne schodzą do konkretów: kontrola dostępu, kryptografia, kopie zapasowe i odtwarzanie, bezpieczeństwo pracy zdalnej, zarządzanie dostawcami, obsługa incydentów. Taki podział ułatwia też aktualizację, bo zmiana w jednym obszarze nie wymusza przepisywania całości. Dokumentację systemu porządkuje przy tym art. 10 ustawy, który dzieli ją na normatywną i operacyjną. Jak polityki wpisują się w cały system, pokazujemy w przewodniku o SZBI i ISO 27001.
Co zrobić krok po kroku
Napisz krótką politykę główną. Opisz cel, zakres, zasady ogólne, role i zobowiązanie kierownictwa. Trzymaj ją zwięzłą, żeby dało się ją znać na pamięć. Efekt: zatwierdzona polityka bezpieczeństwa informacji.
Dobierz polityki tematyczne do ryzyka. Z analizy ryzyka wynika, które obszary wymagają osobnej polityki. Typowe to kontrola dostępu, kryptografia, kopie zapasowe, dostawcy i incydenty. Efekt: lista potrzebnych polityk tematycznych.
Powiąż polityki z obszarami z art. 8. Sprawdź, czy polityki pokrywają obszary środków z liter a-n i czy nie zostawiają luk. Efekt: tabela pokrycia obszarów ustawy politykami.
Przypisz właścicieli i tryb przeglądu. Każda polityka ma mieć właściciela i datę przeglądu. Bez tego dokumenty się starzeją. Efekt: rejestr polityk z właścicielami i terminami.
Zakomunikuj i egzekwuj. Polityki trzeba ogłosić pracownikom, wpleść w szkolenia i realnie egzekwować. Efekt: potwierdzenia zapoznania i ślad stosowania.
Jak sprawdzić, że zadziałało
Polityki działają, gdy pracownik, którego dotyczą, potrafi wskazać zasadę, która go obowiązuje, a konfiguracja systemów odpowiada temu, co w nich napisano. Dobrą kontrolą jest przejście jednej polityki tematycznej od zapisu do dowodu: jeśli polityka kopii zapasowych mówi o testach odtwarzania, poproś o protokół ostatniego testu. Brak takiego dowodu to sygnał, że dokument jest martwy. Przy kontroli organ pyta o realizację wymogów z art. 8, a nie o samą obecność dokumentu.
Podstawa prawna i źródła
art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - art. 8 ust. 1 pkt 2 lit. a
art. 10 ustawy o KSC (dokumentacja normatywna i operacyjna)
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący - odpowiedź 3.3
Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Czy ustawa o KSC wymaga osobnej polityki bezpieczeństwa informacji?
Tak, w ramach SZBI ustawa wymaga polityk szacowania ryzyka i bezpieczeństwa informacji oraz polityk tematycznych (art. 8 ust. 1 pkt 2 lit. a). W praktyce sprawdza się układ dwupoziomowy: krótka polityka główna i szczegółowe polityki tematyczne.
Czy polityki z wdrożenia ISO 27001 można wykorzystać pod KSC?
Tak. Ministerstwo Cyfryzacji utożsamia polityki tematyczne z ustawy z politykami tematycznymi z normy ISO 27001 (odpowiedź 3.3), więc istniejącą dokumentację zwykle wystarczy dostosować do zakresu wymaganego ustawą, a nie pisać od zera.
Jakie polityki tematyczne są najczęściej potrzebne?
Zależy to od analizy ryzyka, ale typowe obszary to kontrola dostępu, kryptografia, kopie zapasowe i odtwarzanie, bezpieczeństwo pracy zdalnej, zarządzanie dostawcami oraz obsługa incydentów. Liczba polityk ma wynikać z ryzyka, a nie z gotowego szablonu.
Co grozi za politykę, która jest tylko na papierze?
Przy kontroli organ pyta o dowody realizacji wymogów z art. 8, a nie o samą obecność dokumentu. Polityka bez pokrycia w praktyce nie jest dowodem spełnienia obowiązku, a odpowiedzialność za system ponosi kierownik podmiotu (art. 8c-8d).
Komentarze (0)
Brak komentarzy...