Jak wyznaczyć zakres SZBI - czy obejmuje całą firmę, czy tylko systemy związane z usługą
Udostępnij na:
Spis treści
SZBI i ISO 27001 - zakres systemu
Jak wyznaczyć zakres SZBI - czy obejmuje całą firmę, czy tylko systemy związane z usługą
W skrócie
W ustawie o KSC zakres SZBI wyznacza usługa: system obejmuje wszystkie systemy informacyjne wykorzystywane w procesach wpływających na jej świadczenie (art. 8 ust. 1), łącznie z automatyką przemysłową (odpowiedź 6.6).
W normie ISO 27001 zakres ustala sama organizacja, więc certyfikat może obejmować tylko fragment firmy. To najczęstsze źródło luki między normą a ustawą.
Wyłączaj z zakresu tylko systemy w pełni odseparowane od usługi, a każdą decyzję zapisuj. Ministerstwo każe uwzględniać też procesy wymagane przepisami prawa (odpowiedź 3.4).
Pytanie o zakres wraca na początku każdego wdrożenia: czy SZBI ma objąć całą firmę, czy tylko serwery i aplikacje związane z główną usługą. Od odpowiedzi zależy skala prac i budżet, a także to, czy po kontroli nie okaże się, że pominięto system, który był objęty ustawą.
Jak to wygląda w praktyce
Typowy przykład to firma, która ma już certyfikat ISO/IEC 27001 obejmujący dział informatyki i serwerownię, a poza zakresem zostawiła systemy sterowania produkcją, rozliczenia i elektroniczne biuro obsługi klienta. Zarząd zakłada, że skoro certyfikat jest ważny, zakres jest załatwiony. Tymczasem to właśnie systemy spoza certyfikatu najczęściej decydują o świadczeniu usługi, a więc wchodzą do SZBI z mocy ustawy.
Co mówią przepisy
Ustawa wiąże zakres SZBI z usługą: system zarządzania bezpieczeństwem informacji wdraża się w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8 ust. 1). System informacyjny to nie tylko serwery i aplikacje, ale też urządzenie lub grupa połączonych urządzeń i oprogramowania przetwarzających dane (art. 2 pkt 14), a Ministerstwo Cyfryzacji potwierdza, że definicja uwzględnia także systemy automatyki przemysłowej (odpowiedź 6.6).
Granicę wyznacza wpływ na usługę. Ministerstwo zaleca brać pod uwagę nie tylko procesy techniczne, ale też procesy wymagane przepisami prawa, na przykład służące realizacji uprawnień klienta, a z SZBI wyłączać jedynie systemy w pełni odseparowane od świadczenia usługi (odpowiedź 3.4). System kadrowy bez połączenia z siecią technologiczną może zostać poza systemem, ale decyzję i jej uzasadnienie trzeba zapisać. Dla wielu systemów można prowadzić jeden SZBI, nawet dla całego podmiotu, z osobnymi elementami dla poszczególnych systemów (odpowiedzi 3.31 i 14.7). To, czym różni się zakres SZBI od zakresu certyfikatu, rozwijamy w artykule o tym, czy certyfikat ISO 27001 wystarcza.
Co zrobić krok po kroku
Wypisz usługi objęte ustawą. Zacznij od usług z działalności wymienionej w załącznikach do ustawy. To one wyznaczają, co jest przedmiotem ochrony. Efekt: lista usług kluczowych dla kwalifikacji firmy.
Zmapuj systemy wpływające na te usługi. Dla każdej usługi wskaż systemy, bez których nie da się jej świadczyć: aplikacje, serwery, sieć, automatykę, systemy u dostawców. Efekt: mapa zależności usługa-system.
Oceń procesy obsługi klienta i wymagane prawem. Rozliczenia, biuro obsługi i zgłoszenia awarii zwykle wpływają na usługę i wchodzą do zakresu. Pamiętaj o procesach wymaganych przepisami (odpowiedź 3.4). Efekt: decyzja o każdym procesie z uzasadnieniem.
Uzasadnij wyłączenia. System możesz zostawić poza SZBI tylko wtedy, gdy jest w pełni odseparowany od usługi. Zapisz, dlaczego. Efekt: notatka o wyłączeniach z podpisem osoby odpowiedzialnej.
Zatwierdź zakres i pogodź go z certyfikatem. Jeśli masz certyfikat ISO 27001 o węższym zakresie, albo rozszerz certyfikat, albo prowadź SZBI szerzej niż certyfikat. Ustawa nie wymaga, by zakresy były identyczne. Efekt: zatwierdzony dokument zakresu SZBI.
Jak sprawdzić, że zadziałało
Zakres jest wyznaczony dobrze, gdy dla każdej usługi objętej ustawą potrafisz wskazać komplet systemów, które na nią wpływają, i gdy każde wyłączenie ma zapisane uzasadnienie oparte na pełnej odseparowaniu od usługi. Prosty test: wyobraź sobie awarię każdego z pominiętych systemów i sprawdź, czy usługa nadal działa. Jeśli awaria zatrzymałaby albo pogorszyła usługę, system należy do SZBI. Zakres warto przejrzeć ponownie po każdej większej zmianie architektury.
Podstawa prawna i źródła
art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
art. 2 pkt 14 ustawy o KSC (definicja systemu informacyjnego)
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący - odpowiedzi 3.4, 3.31, 6.6 i 14.7
Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Nie zawsze, ale nie można go dowolnie zawęzić. Zakres wyznacza usługa: SZBI obejmuje wszystkie systemy informacyjne wykorzystywane w procesach wpływających na jej świadczenie (art. 8 ust. 1). Systemy w pełni odseparowane od usługi można zostawić poza systemem, zapisując uzasadnienie.
Czy automatyka przemysłowa wchodzi do zakresu SZBI?
Tak, jeśli wpływa na świadczenie usługi. Definicja systemu informacyjnego obejmuje urządzenia i oprogramowanie przetwarzające dane (art. 2 pkt 14), a Ministerstwo Cyfryzacji potwierdza, że uwzględnia także systemy automatyki przemysłowej (odpowiedź 6.6).
Czy zakres certyfikatu ISO 27001 wyznacza zakres SZBI?
Nie. Zakres certyfikatu ustala organizacja i może być węższy, a zakres SZBI wyznacza ustawa przez usługę. Jeśli certyfikat obejmuje tylko część systemów wpływających na usługę, pozostałe i tak trzeba włączyć do SZBI albo rozszerzyć zakres certyfikatu.
Czy dla kilku systemów trzeba prowadzić osobne SZBI?
Nie. Ministerstwo Cyfryzacji dopuszcza jeden SZBI dla wielu systemów, a nawet dla całego podmiotu, z osobnymi elementami dla poszczególnych systemów (odpowiedzi 3.31 i 14.7).
Komentarze (0)
Brak komentarzy...