SZBI od czego zacząć - pierwsze kroki budowy systemu w firmie

SZBI i ISO 27001 - pierwsze kroki

SZBI od czego zacząć - pierwsze kroki budowy systemu w firmie

W skrócie

Firma wie już, że podlega ustawie o KSC i musi mieć SZBI, ale nie wie, od którego końca zacząć: kupić normę, zatrudnić konsultanta, a może od razu pisać polityki. Pokazujemy kolejność, która wynika z samej natury systemu zarządzania, i podajemy, co ma powstać na każdym etapie.

Jak to wygląda w praktyce

Najczęstszy obraz to paraliż przy pustej kartce. Zarząd dostał informację, że do 3 kwietnia 2027 r. trzeba wdrożyć obowiązki z rozdziału 3 ustawy, w tym SZBI, i zaczyna od końca: ktoś pobiera wzory polityk z internetu, ktoś pyta o cenę certyfikatu, a nikt nie wie, co firma właściwie chroni i przed czym. Efektem jest stos dokumentów, które nie pasują do tej konkretnej organizacji, bo powstały przed analizą ryzyka, a nie po niej.

Dlaczego tak się dzieje

Powód jest prosty: SZBI to system zarządzania, a nie zestaw plików. Ustawa wymaga, by system zapewniał systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem oraz odpowiednie i proporcjonalne środki techniczne i organizacyjne (art. 8 ust. 1 pkt 1-2). Słowo proporcjonalne oznacza, że zabezpieczenia dobiera się do ryzyka, więc ryzyko trzeba poznać najpierw. Ministerstwo Cyfryzacji opisuje rolę kierownika jako odpowiedzialność za system i jego rozwój zgodnie z cyklem Deminga (odpowiedź 4.1), czyli planuj, wykonaj, sprawdź, działaj. Planowanie to zakres i ryzyko, a nie polityki pobrane z sieci.

Ustawa świadomie nie podaje gotowej listy kroków. Rada Ministrów może co prawda określić szczegółowe wymagania dla SZBI odrębnie dla rodzajów działalności (art. 8a), ale jest to uprawnienie fakultatywne i takiego rozporządzenia na razie nie wydano. Dlatego firma wybiera sposób budowy sama, a najczęściej sięga po normę ISO/IEC 27001 jako wzorzec. Czym jest SZBI i jak ma się do tej normy, tłumaczymy w przewodniku o SZBI i ISO 27001.

Co zrobić krok po kroku

1. Wyznacz osobę odpowiedzialną. Za SZBI odpowiada kierownik podmiotu, czyli w spółce kapitałowej zarząd (art. 8c-8d). Zarząd może powierzyć prowadzenie systemu konkretnej osobie, ale odpowiedzialności z siebie nie zdejmie. Efekt: decyzja zarządu o osobie prowadzącej prace i o budżecie.
2. Spisz usługi i systemy. Zinwentaryzuj usługi z działalności objętej ustawą i wszystkie systemy, które wpływają na ich świadczenie, łącznie z automatyką i systemami u dostawców. To wyznacza zakres SZBI. Jak go ustalić, opisujemy w poście o zakresie SZBI. Efekt: lista usług i systemów z granicą systemu.
3. Przeprowadź analizę ryzyka. Dla wyznaczonego zakresu zidentyfikuj zagrożenia i podatności, oceń ryzyko i zaplanuj postępowanie z nim. To serce systemu; metodę opisujemy w poście o analizie ryzyka. Efekt: rejestr ryzyk i plan postępowania z ryzykiem.
4. Napisz polityki. Na podstawie ryzyka powstaje polityka bezpieczeństwa informacji i polityki tematyczne. Co mają zawierać, tłumaczymy w poście o politykach. Efekt: zatwierdzony komplet polityk.
5. Dobierz i wdróż zabezpieczenia. Z obszarów wymienionych w ustawie (art. 8 ust. 1 pkt 2 lit. a-n) wybierz środki odpowiadające ryzyku i wdróż je naprawdę, a nie tylko w dokumencie. Efekt: działające zabezpieczenia z przypisanymi właścicielami.
6. Opisz dokumentację i ułóż harmonogram. Uporządkuj dokumentację normatywną i operacyjną (art. 10) i rozłóż prace w czasie, pamiętając o terminie 3 kwietnia 2027 r. dla podmiotów objętych ustawą od jej wejścia w życie (art. 33 ust. 1 ustawy nowelizującej). Efekt: dokumentacja i harmonogram z kamieniami milowymi.

Jak sprawdzić, że zadziałało

Punkt startowy jest zamknięty, gdy masz cztery rzeczy: udokumentowaną decyzję zarządu o osobie i budżecie, wyznaczony zakres, rejestr ryzyk z planem postępowania oraz komplet polityk. Jeżeli którykolwiek z tych elementów powstał przed analizą ryzyka, wróć do niego i sprawdź, czy pasuje do jej wyników. Dobrą kontrolą jest pytanie: czy każde zabezpieczenie w planie da się wskazać w rejestrze ryzyk jako odpowiedź na konkretne ryzyko. Jeśli nie, to znak, że powstało z pobranego wzoru, a nie z analizy.

Podstawa prawna i źródła

• art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
• art. 8a, art. 8c-8d i art. 10 ustawy o KSC
• art. 33 ust. 1 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący

Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: najczęstsze pytania i problemy związane z NIS2 i KSC