Czy wdrożyć SZBI własnymi siłami, czy z konsultantem
Udostępnij na:
Spis treści
SZBI i ISO 27001 - własne siły czy konsultant
Czy wdrożyć SZBI własnymi siłami, czy z konsultantem
W skrócie
Wdrożenie SZBI można wesprzeć konsultantem, ale system musi żyć wewnątrz firmy. Odpowiedzialność za niego ponosi kierownik podmiotu i tej odpowiedzialności nie da się zlecić na zewnątrz (art. 8c-8d).
Gotowa dokumentacja kupiona na zewnątrz to za mało. Ministerstwo Cyfryzacji przypomina, że liczy się działający system, a nie formalnie poprawne dokumenty (odpowiedzi 3.6 i 11.6).
Konsultant najlepiej sprawdza się przy metodzie, analizie ryzyka i audycie, a wiedza o firmie, decyzje i utrzymanie zostają po stronie zespołu.
Pytanie o konsultanta wraca, gdy firma oszacuje, ile pracy wymaga SZBI. Kuszące jest zlecenie całości na zewnątrz albo kupienie gotowego kompletu dokumentów. Pokazujemy, co realnie można zlecić, gdzie leży granica nieprzenoszalnej odpowiedzialności i dlaczego sam zakup dokumentacji zwykle się nie sprawdza.
Jak to wygląda w praktyce
Najczęstsza pułapka to zakup gotowego kompletu polityk i procedur w przekonaniu, że to zamyka temat. Dokumenty wyglądają profesjonalnie, ale opisują firmę, której nie ma: inne systemy, inne role, inne ryzyka. Druga pułapka to oddanie całości zewnętrznej firmie bez zaangażowania własnego zespołu. Po zakończeniu projektu nikt w organizacji nie wie, jak system utrzymać, więc już po kilku miesiącach przestaje on odpowiadać rzeczywistości.
Dlaczego tak się dzieje
SZBI to system zarządzania, a nie plik, więc wymaga wiedzy o firmie i bieżących decyzji. Ustawa przypisuje odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa kierownikowi podmiotu, czyli w spółce kapitałowej zarządowi, także wtedy, gdy zadania wykonuje ktoś inny (art. 8c). Kierownik podejmuje decyzje dotyczące systemu, planuje środki finansowe i nadzoruje prace (art. 8d). Tej odpowiedzialności nie da się przenieść na konsultanta: można mu powierzyć wykonanie, ale nie odpowiedzialność.
Dlatego sama dokumentacja kupiona na zewnątrz nie wystarcza. Ministerstwo Cyfryzacji pisze, że organizacje z systemem według standardu mogą wykorzystać i dostosować istniejącą dokumentację, ale sama dokumentacja to za mało (odpowiedź 3.6), i podkreśla, że liczy się udowodnienie stosowania przepisów, a nie przedstawienie formalnie poprawnych dokumentów (odpowiedź 11.6). To samo dotyczy gotowych dokumentów zgodnych z NIS2, o czym piszemy w poście o tym, czy gotowa dokumentacja wystarcza. Jak zbudować system krok po kroku, pokazujemy w poście o pierwszych krokach SZBI.
Co zrobić krok po kroku
Rozdziel to, co wiedza o firmie, od tego, co metoda. Wiedza o systemach, procesach i ryzykach jest wewnętrzna. Metoda, doświadczenie z wdrożeń i spojrzenie z zewnątrz to obszary dla konsultanta. Efekt: podział zadań na wewnętrzne i zlecane.
Zostaw decyzje i własność po stronie firmy. Konsultant proponuje, ale zakres, apetyt na ryzyko i zatwierdzenie polityk należą do kierownictwa. Efekt: decyzje udokumentowane jako firmowe.
Jeśli kupujesz dokumentację, potraktuj ją jako szkielet. Gotowe wzory są punktem startu, który trzeba dopasować do realnych systemów i ryzyk, a potem wdrożyć. Efekt: dokumentacja dostosowana i wdrożona, nie tylko podpisana.
Zadbaj o przekazanie wiedzy. Umowę z konsultantem ułóż tak, by zespół nauczył się utrzymywać system, a nie tylko dostał produkt. Efekt: osoby w firmie zdolne prowadzić SZBI samodzielnie.
Rozważ konsultanta tam, gdzie wymagana jest niezależność. Przy audycie z art. 15 niezależność jest wymagana (art. 15 ust. 2a), więc tu zewnętrzny wykonawca bywa konieczny. Różnicę między audytami opisujemy w poście o audycie wewnętrznym SZBI a audycie z art. 15. Efekt: plan audytów z rolami.
Jak sprawdzić, że zadziałało
Model współpracy jest zdrowy, gdy po odejściu konsultanta zespół potrafi samodzielnie przeprowadzić analizę ryzyka, zaktualizować polityki i obsłużyć incydent. Jeśli bez konsultanta system zamiera, znaczy to, że kupiono produkt, a nie zdolność. Sprawdź też, czy dokumentacja opisuje Twoje realne systemy, a nie firmę z szablonu, i czy decyzje są zapisane jako firmowe. Odpowiedzialność i tak pozostaje przy kierowniku podmiotu, więc to on musi rozumieć, co podpisuje.
Podstawa prawna i źródła
art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - art. 8c-8d (odpowiedzialność i zadania kierownika)
art. 15 ust. 2a ustawy o KSC (niezależność audytora)
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący - odpowiedzi 3.6 i 11.6
Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Czy całe wdrożenie SZBI można zlecić firmie zewnętrznej?
Można zlecić wykonanie wielu prac, ale nie odpowiedzialność. Za obowiązki z zakresu cyberbezpieczeństwa odpowiada kierownik podmiotu, także gdy zadania wykonuje ktoś inny (art. 8c). System musi też żyć wewnątrz firmy, bo wymaga bieżących decyzji i wiedzy o organizacji.
Czy kupno gotowej dokumentacji załatwia sprawę?
Nie. Ministerstwo Cyfryzacji przypomina, że sama dokumentacja to za mało i że liczy się udowodnienie stosowania przepisów, a nie formalnie poprawne dokumenty (odpowiedzi 3.6 i 11.6). Gotowe wzory trzeba dopasować do realnych systemów i ryzyk, a potem wdrożyć.
Do czego najlepiej nadaje się konsultant?
Do wniesienia metody i doświadczenia z wdrożeń, ustawienia analizy ryzyka, przeglądu luk i do zadań wymagających niezależności, jak audyt z art. 15 (art. 15 ust. 2a). Wiedza o firmie, decyzje i utrzymanie systemu zostają po stronie zespołu.
Czy mała firma zbuduje SZBI bez konsultanta?
Tak, jeśli ma osobę, która rozumie jej systemy i ryzyka, oraz wsparcie zarządu. Pomocny jest wzorzec normy ISO/IEC 27001. Konsultanta warto rozważyć tam, gdzie brakuje kompetencji albo wymagana jest niezależność.
Komentarze (0)
Brak komentarzy...