Jak połączyć SZBI (ISO 27001), RODO i KSC w jeden system zarządzania
Udostępnij na:
Spis treści
SZBI i ISO 27001 - jeden system z RODO i KSC
Jak połączyć SZBI (ISO 27001), RODO i KSC w jeden system zarządzania
W skrócie
SZBI według ISO 27001, RODO (art. 32) i ustawa o KSC mają wspólny rdzeń oparty na ryzyku, więc najlepiej prowadzić je w jednym systemie zarządzania, a nie w trzech osobnych.
Wspólne mogą być: analiza ryzyka, polityki, szkolenia, rejestr aktywów i rejestr incydentów. To oszczędza pracę i usuwa sprzeczności między dokumentami.
Rozdzielone zostają ścieżki zgłoszeń: naruszenie ochrony danych osobowych zgłasza się do UODO, a incydent poważny z ustawy o KSC do właściwego CSIRT. Terminy i organy są różne.
Firma objęta ustawą o KSC zwykle podlega też RODO, a często wdraża ISO 27001. Prowadzenie trzech osobnych systemów to podwójna praca i prosta droga do sprzecznych dokumentów. Pokazujemy, co da się połączyć w jeden system zarządzania, a co musi zostać rozdzielone ze względu na różne organy i terminy.
Jak to wygląda w praktyce
W wielu firmach bezpieczeństwo informacji, ochrona danych osobowych i cyberbezpieczeństwo rosły osobno: inna osoba, inny segregator, inna analiza ryzyka. Efekt to trzy rejestry ryzyk, które się nie zgadzają, polityki powtarzające te same treści innymi słowami i trzy procedury incydentu, które przy prawdziwym zdarzeniu zaczynają ze sobą kolidować. Przy kontroli taka niespójność wygląda źle i trudno ją obronić.
Dlaczego tak się dzieje
Trzy porządki wyrosły z różnych przepisów, ale mają ten sam mechanizm: oceń ryzyko, dobierz środki, sprawdzaj i poprawiaj. RODO wymaga, by bezpieczeństwo danych osobowych zapewnić środkami odpowiednimi do ryzyka i je oceniać (art. 32). Ustawa o KSC wymaga SZBI opartego na ryzyku (art. 8 ust. 1). Norma ISO/IEC 27001 opisuje, jak taki system zbudować. Ponieważ rdzeń jest wspólny, można mieć jedną analizę ryzyka obejmującą bezpieczeństwo informacji, dane osobowe i ciągłość usługi, jedną architekturę polityk i jeden rejestr incydentów.
Rozdzielić trzeba to, co narzucają różne przepisy. Naruszenie ochrony danych osobowych zgłasza się do Prezesa Urzędu Ochrony Danych Osobowych (UODO) na zasadach RODO, a incydent poważny z ustawy o KSC do właściwego zespołu CSIRT, w terminach z ustawy. Jedno zdarzenie może być i naruszeniem danych, i incydentem poważnym, więc oba zgłoszenia mogą być potrzebne naraz. Jak rozdzielić te ścieżki przy wycieku danych, opisujemy w poście o wycieku danych i zgłoszeniu do UODO i CSIRT. Jak całość ułożyć w SZBI, pokazujemy w przewodniku o SZBI i ISO 27001.
Co zrobić krok po kroku
Zrób jedną analizę ryzyka. Jedna metoda i jeden rejestr ryzyk obejmujący bezpieczeństwo informacji, dane osobowe i ciągłość usługi. Efekt: wspólny rejestr ryzyk bez sprzeczności.
Ujednolić architekturę polityk. Jedna polityka główna i polityki tematyczne, które służą naraz KSC, RODO i normie, zamiast trzech osobnych kompletów. Efekt: spójny zestaw polityk.
Połącz rejestry aktywów i incydentów. Wspólny rejestr aktywów i jeden rejestr incydentów ułatwiają zarówno ocenę wpływu na usługę, jak i na dane osobowe. Efekt: jedno źródło prawdy o zdarzeniach.
Rozdziel ścieżki zgłoszeń. W procedurze incydentu zapisz osobno ścieżkę do UODO (naruszenie danych) i do CSIRT (incydent poważny), z ich terminami. Efekt: procedura z dwiema ścieżkami i jedną oceną zdarzenia.
Uzgodnij role i szkolenia. Osoby od bezpieczeństwa, od danych osobowych i od ciągłości powinny działać w jednym rytmie i korzystać z jednego planu szkoleń. Efekt: spójny podział ról i wspólny plan szkoleń.
Jak sprawdzić, że zadziałało
System jest zintegrowany, gdy masz jedną analizę ryzyka i jeden rejestr incydentów, a przy prawdziwym zdarzeniu personel wie, czy i gdzie zgłosić: do UODO, do CSIRT, czy do obu. Sprawdź, czy polityki nie powtarzają się w trzech wersjach i czy nie ma między nimi sprzeczności. Dobra kontrola to symulacja jednego incydentu, który jest zarazem naruszeniem danych osobowych i incydentem poważnym, i prześledzenie, czy obie ścieżki zgłoszeń ruszają z jednej oceny zdarzenia.
Podstawa prawna i źródła
art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - art. 8 ust. 1 i art. 11 (obsługa i zgłaszanie incydentów)
art. 32 i art. 33 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący
Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Czy SZBI, RODO i KSC można prowadzić w jednym systemie?
Tak, i zwykle warto. Wszystkie trzy opierają się na tym samym mechanizmie: ocena ryzyka, dobór środków, sprawdzanie i poprawa. Można mieć jedną analizę ryzyka, wspólne polityki i jeden rejestr incydentów, co usuwa sprzeczności i oszczędza pracę.
Co trzeba zgłaszać do UODO, a co do CSIRT?
Naruszenie ochrony danych osobowych zgłasza się do Prezesa UODO na zasadach RODO, a incydent poważny z ustawy o KSC do właściwego zespołu CSIRT, w terminach z ustawy. Jedno zdarzenie może wymagać obu zgłoszeń naraz, bo bywa i naruszeniem danych, i incydentem poważnym.
Czy ISO 27001 obejmuje ochronę danych osobowych?
Norma ISO/IEC 27001 dotyczy bezpieczeństwa informacji w szerokim sensie, a dane osobowe są jego częścią. Nie zastępuje jednak obowiązków z RODO. W praktyce system według normy jest dobrą ramą, w której realizuje się także wymagania RODO i ustawy o KSC.
Czy jedna analiza ryzyka wystarczy dla RODO i KSC?
Może wystarczyć, jeśli obejmuje oba punkty widzenia: ryzyko dla danych osobowych i ryzyko wystąpienia incydentu wpływającego na usługę. Ustawa o KSC każe uwzględniać też skutki społeczne i gospodarcze, więc kryteria oceny muszą być odpowiednio szerokie.
Komentarze (0)
Brak komentarzy...