Polityka bezpieczeństwa informacji: co to jest, co powinna zawierać i kiedy wymagają jej przepisy (RODO, KSC, KRI)

Polityka bezpieczeństwa informacji to zwykle pierwszy dokument o bezpieczeństwie, który pracownik dostaje przy zatrudnieniu albo znajduje w intranecie. Narosło wokół niej sporo uproszczeń, a najczęstsze brzmi: „każda organizacja musi ją mieć, bo tak mówi ustawa”. Oddzielamy tu wymogi ustawy o KSC, rozporządzenia 2024/2690, RODO i KRI od dobrej praktyki i dajemy spis rozdziałów z oznaczeniem wymogów. Stan prawny: 7 listopada 2026 r.

W skrócie:

• naszym zdaniem żaden z omawianych przepisów nie nadaje dokumentowi obowiązkowej nazwy „polityka bezpieczeństwa informacji”, choć kilka wymaga polityk, a definicję tego terminu podaje KRI (§ 2 pkt 15),
• ustawa o KSC wymaga polityk w systemie zarządzania bezpieczeństwem informacji (SZBI) od firm kluczowych, firm ważnych i podmiotów publicznych kluczowych (art. 8 ust. 1 pkt 2 lit. a), z wyjątkiem sektora bankowości i infrastruktury rynków finansowych,
• podmiot ważny publiczny, w zakresie zadań publicznych realizowanych z wykorzystaniem systemów informacyjnych, wdraża SZBI według załącznika nr 4 do ustawy, który nie nazywa dokumentu polityką,
• administrator danych wdraża środki odpowiednie do ryzyka i wykazuje zgodność z RODO, a polityki ochrony danych - jeżeli jest to proporcjonalne (art. 24 ust. 2),
• kierownik podejmuje decyzje w zakresie SZBI, a SZBI trzeba co do zasady wdrożyć najpóźniej do 3 kwietnia 2027 r.,
• przepisy KRI o SZBI (§ 19) stosuje się do 22 lutego 2027 r. włącznie (art. 15 ust. 1 i art. 17 ustawy z 25 lipca 2025 r.).

Co to jest polityka bezpieczeństwa informacji?

Bezpieczeństwo informacji: poufność, integralność, dostępność, autentyczność

Ustawa o KSC wymienia wśród środków SZBI stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym (art. 8 ust. 1 pkt 5 lit. a).

RODO mówi o zasadzie „integralności i poufności” (art. 5 ust. 1 lit. f). Miarę daje art. 32 ust. 1: „administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku”. Wśród tych środków przepis wymienia, w stosownym przypadku, m.in. zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania (lit. b) oraz regularne testowanie, mierzenie i ocenianie skuteczności środków (lit. d).

Polityka, polityki tematyczne i procedury

W ustawie o KSC polityki są w katalogu środków zarządzania ryzykiem. SZBI obejmuje „polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne” (art. 8 ust. 1 pkt 2 lit. a). Przepis mówi o polityce bezpieczeństwa systemu informacyjnego, a nie o „polityce bezpieczeństwa informacji”.

Ten drugi termin definiuje rozporządzenie w sprawie Krajowych Ram Interoperacyjności (dalej: KRI): polityka bezpieczeństwa informacji to „zestaw efektywnych, udokumentowanych zasad i procedur bezpieczeństwa wraz z ich planem wdrożenia i egzekwowania” (§ 2 pkt 15). KRI nie używa tego terminu w pełnym brzmieniu w żadnym obowiązku; § 19 ust. 2 pkt 12 lit. h mówi o kontroli zgodności systemów z „politykami bezpieczeństwa”. Naszym zdaniem definicja nie tworzy więc obowiązku dokumentu o tej nazwie. § 19 KRI o SZBI stosuje się do 22 lutego 2027 r. włącznie.

Polityka tematyczna opisuje jeden wycinek. Przykłady z kursu: polityka zdalnego dostępu inżynierów do systemów klientów w firmie IT i polityka pracy zdalnej dla dwóch wydziałów starostwa. Środki z art. 8 ust. 1 pkt 2 (lit. a-n) ustawa wymienia po słowach „w szczególności”, więc naszym zdaniem lista nie jest zamknięta.

Polityka a kultura bezpieczeństwa

Teza z modułu dla kierownictwa: „Polityka cyberbezpieczeństwa jest tym, co napisałeś. Kultura cyberbezpieczeństwa jest tym, co ludzie naprawdę robią, gdy zobaczą podejrzany mail”.

Według FAQ Ministerstwa Cyfryzacji (dokument nie ma mocy prawnej) dowodem SZBI mogą być dokumenty, ale również relacje personelu: „Wymagane jest udowodnienie stosowania przepisów ustawy a nie przedstawienie formalnie poprawnych dokumentów”.

Kiedy politykę wymagają przepisy?

Firmy kluczowe i ważne: SZBI z art. 8 ust. 1 ustawy o KSC

Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8 ust. 1). Stosują go firmy kluczowe, firmy ważne i podmioty publiczne kluczowe; podmiot ważny publiczny w zakresie zadań publicznych realizowanych z wykorzystaniem systemów informacyjnych ma osobny reżim (art. 8 ust. 3). Ustawa wymienia wprost m.in. te polityki:

• polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne (lit. a),
• polityki i procedury oceny skuteczności środków technicznych i organizacyjnych (lit. h),
• polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania (lit. k),
• polityki kontroli dostępu (lit. n).

Środki z pkt 2 mają być odpowiednie i proporcjonalne do oszacowanego ryzyka. To zastrzeżenie dotyczy tylko pkt 2 - na przykład zarządzanie incydentami (pkt 4) przepis wymienia bez niego. Art. 8 ust. 1 pkt 1 wymaga systematycznego szacowania ryzyka, ale nie podaje jego częstotliwości. Firmy stosujące rozporządzenie 2024/2690 przeglądają wyniki oceny ryzyka i plan postępowania z ryzykiem co najmniej raz w roku oraz po istotnych zmianach lub poważnych incydentach i w stosownych przypadkach aktualizują (zał. pkt 2.1.4).

Podmiot, który z dniem wejścia w życie nowelizacji (3 kwietnia 2026 r.) spełniał przesłanki uznania za podmiot kluczowy albo ważny, realizuje obowiązki z rozdziału 3 w terminie 12 miesięcy od tego dnia (art. 33 ust. 1 ustawy z 23 stycznia 2026 r.), czyli SZBI wdraża najpóźniej do 3 kwietnia 2027 r. Dotychczasowi operatorzy usług kluczowych do czasu wdrożenia nowego SZBI stosują system zgodny z art. 8 w brzmieniu dotychczasowym (art. 33 ust. 6). Kto spełni przesłanki później, ma 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Wyjątek: do firm kluczowych i ważnych z sektora bankowości i infrastruktury rynków finansowych z art. 8 stosuje się tylko ust. 1 pkt 1 i pkt 2 lit. j (art. 8i ust. 1). Art. 8c-8f stosuje się do nich odpowiednio (art. 8i ust. 2).

Czy Twoja firma jest kluczowa albo ważna, wyjaśniamy we wpisie NIS2: kogo dotyczy i w bezpłatnym teście NIS2/KSC.

Firmy, które stosują rozporządzenie 2024/2690

Podmioty z art. 8b ust. 1 ustawy o KSC, m.in. dostawcy usług DNS, usług chmurowych i usług zarządzanych, stosują w ramach SZBI z art. 8 ust. 1 (wdrażanego w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi) środki zarządzania ryzykiem z rozporządzenia wykonawczego Komisji (UE) 2024/2690. Rozporządzenie obejmuje też dostawców usług zaufania (art. 1), których art. 8b ust. 1 nie wymienia, i określa dla nich te same wymogi z załącznika (art. 2 ust. 1). Art. 8b ust. 2 odsyła pozostałe podmioty kluczowe i ważne do aktów wykonawczych Komisji wydanych na podstawie art. 21 ust. 5 dyrektywy 2022/2555, a na tej podstawie wydano rozporządzenie; naszym zdaniem tą drogą stosuje je dostawca usług zaufania będący podmiotem kluczowym albo ważnym.

Załącznik (pkt 1.1.1 lit. a-k) wymienia elementy polityki bezpieczeństwa sieci i systemów informatycznych: podejście do zarządzania bezpieczeństwem, zgodność ze strategią i celami biznesowymi, cele bezpieczeństwa, zobowiązania do ciągłej poprawy i do zapewnienia zasobów, przekazanie odpowiednim pracownikom i zainteresowanym stronom zewnętrznym oraz przyjęcie przez nich do wiadomości, funkcje i obowiązki, wykaz przechowywanej dokumentacji z okresem przechowywania, wykaz polityk tematycznych, wskaźniki monitorowania wdrażania i datę formalnego zatwierdzenia przez organy zarządzające.

Według pkt 1.2 podmiot m.in. przypisuje obowiązki i uprawnienia do funkcji, wymaga od wszystkich pracowników i osób trzecich stosowania zasad z polityki, polityk tematycznych i procedur, a co najmniej jedna osoba składa sprawozdania bezpośrednio organom zarządzającym.

Urzędy i inne podmioty publiczne

Podmiot publiczny realizuje m.in. obowiązki z art. 8 i art. 8c-8f, jeżeli wykorzystuje system informacyjny w celu realizacji zadania publicznego (art. 16d). Podmiot publiczny kluczowy stosuje art. 8 ust. 1, czyli te same polityki co firma kluczowa.

Podmiot ważny publiczny w zakresie zadań publicznych realizowanych z wykorzystaniem systemów informacyjnych nie stosuje art. 8 ust. 1, tylko wdraża SZBI spełniający wymogi załącznika nr 4 do ustawy (art. 8 ust. 3). Część I załącznika wymienia 18 elementów, które system obejmuje „co najmniej”, więc każdy z nich jest obowiązkowy - w granicach warunków zapisanych w samym punkcie (np. pkt 2 „jeżeli to możliwe”, pkt 3 lit. a-c). Część II wymienia środki, które system „może dodatkowo obejmować”. Część III określa przegląd, a część IV każe dokumentować realizację działań wskazanych w systemie.

Czy urząd ważny musi więc mieć politykę? Załącznik nr 4 nie nazywa dokumentu polityką - wymienia elementy, które system obejmuje, i każe dokumentować działania; w praktyce urzędy opisują je w polityce bezpieczeństwa informacji i zarządzeniach. Naszym zdaniem nie wynika z tego, że regulacji nie potrzeba: kierownik podmiotu ważnego, także publicznego, zapewnia, że personel zna wewnętrzne regulacje podmiotu, oraz zgodność działania z nimi (art. 8d pkt 4 i 5).

Podmiot publiczny uwzględnia też w SZBI system informacyjny dostarczany przez inny podmiot publiczny, w zakresie odpowiadającym „zakresowi kompetencji tego podmiotu”, wynikającym z polityki bezpieczeństwa tego systemu lub przepisów regulujących sposób jego działania (art. 8 ust. 4). Dla urzędów mamy wersję kursu dla urzędów (JST).

RODO: każdy administrator danych

RODO nie ustanawia jednej, obowiązkowej listy dokumentów, a polityka wynika z niego pośrednio albo warunkowo:

• „uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze”, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z RODO i aby móc to wykazać (art. 24 ust. 1),
• „Jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki, o których mowa w ust. 1, obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych” (art. 24 ust. 2),
• administrator musi być w stanie wykazać przestrzeganie zasad przetwarzania - to „rozliczalność” (art. 5 ust. 2).

Rejestr czynności przetwarzania zawiera, jeżeli to możliwe, ogólny opis środków bezpieczeństwa z art. 32 ust. 1; zwolnienie dla podmiotu zatrudniającego mniej niż 250 osób nie ma zastosowania, jeżeli przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, nie ma charakteru sporadycznego lub obejmuje dane z art. 9 ust. 1 lub art. 10 - wystarczy jedna przesłanka (art. 30).

Rozdział o przechowywaniu danych opiera się na minimalizacji i ograniczeniu przechowywania (art. 5 ust. 1 lit. c i e).

KRI: podmioty realizujące zadania publiczne (np. urzędy)

Do minimalnych wymagań dla systemów teleinformatycznych używanych do realizacji zadań publicznych i wymiany danych z podmiotami publicznymi stosuje się przepisy wydane na podstawie art. 18 ustawy o informatyzacji w brzmieniu dotychczasowym do dnia wejścia w życie nowego brzmienia tego artykułu (art. 15 ust. 1 ustawy z 25 lipca 2025 r.). To KRI; minimalne wymagania, w tym § 19 o SZBI, są w jego rozdziale 4. Nowe brzmienie wchodzi w życie po upływie 18 miesięcy od ogłoszenia ustawy 22 sierpnia 2025 r. (art. 17), czyli 23 lutego 2027 r., więc § 19 stosuje się do 22 lutego 2027 r. włącznie. Według metadanych aktu w bazie ELI (stan 7.11.2026) datą uchylenia rozporządzenia jest 23 lutego 2027 r. Ministerstwo Cyfryzacji zapowiada w FAQ zmianę rozporządzenia i usunięcie przepisów o SZBI (dokument nie ma mocy prawnej).

KRI dotyczy podmiotów realizujących zadania publiczne - ich krąg określa ustawa o informatyzacji.

Taki podmiot opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji (§ 19 ust. 1). Kierownictwo podmiotu publicznego zapewnia warunki umożliwiające realizację i egzekwowanie m.in. tych działań z § 19 ust. 2:

• szkolenia osób zaangażowanych w proces przetwarzania informacji, m.in. z zagrożeń, skutków naruszenia zasad bezpieczeństwa, w tym odpowiedzialności prawnej, i stosowania środków bezpieczeństwa (pkt 6),
• ustanowienia podstawowych zasad bezpiecznej pracy przy przetwarzaniu mobilnym i pracy na odległość (pkt 8),
• zawierania w umowach serwisowych ze stronami trzecimi zapisów gwarantujących odpowiedni poziom bezpieczeństwa informacji (pkt 10).

Punkt 6 nie podaje częstotliwości szkoleń. Naszym zdaniem w urzędzie, który jest podmiotem kluczowym albo ważnym i wykorzystuje system informacyjny do zadania publicznego (art. 16d), obowiązek kształcenia personelu po 22 lutego 2027 r. nadal wynika z ustawy o KSC (edukacja - lit. i, podmiot publiczny kluczowy; szkolenie - zał. 4 cz. I pkt 17, podmiot ważny publiczny).

Gdy przepis nie wymaga: norma, klienci, przetargi

Stosowanie Polskich Norm jest dobrowolne (art. 5 ust. 3 ustawy o normalizacji). Dla podmiotów realizujących zadania publiczne KRI, do 22 lutego 2027 r. włącznie, uznają wymagania z § 19 ust. 1 i 2 za spełnione, jeżeli SZBI opracowano na podstawie Polskiej Normy PN-ISO/IEC 27001, a zabezpieczenia, zarządzanie ryzykiem i audytowanie opierają się na normach z nią związanych (§ 19 ust. 3); przepis mówi o SZBI opracowanym na podstawie normy, a nie o certyfikacie. Naszym zdaniem żaden z przepisów omawianych w tym wpisie nie nakazuje stosowania norm ISO/IEC 27001 ani 27002.

Z RODO nie wynika wprost, że certyfikat ISO/IEC 27001 wystarcza do wykazania zgodności. Art. 32 ust. 3 pozwala wykazać wywiązywanie się z obowiązków m.in. przez zatwierdzony kodeks postępowania (art. 40) lub zatwierdzony mechanizm certyfikacji (art. 42), ale czy certyfikat ISO jest takim mechanizmem, przepis nie przesądza.

Norma i tak pomaga ułożyć politykę, a klienci pytają w przetargach, czy pracownicy są szkoleni.

Kto decyduje o polityce i kto za nią odpowiada?

Kierownik podejmuje decyzje - ustawa nie mówi „zatwierdza”

Kierownik podmiotu kluczowego albo ważnego „podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie” (art. 8d pkt 1). Planuje też adekwatne środki finansowe, przydziela zadania i nadzoruje ich wykonanie (art. 8d pkt 2 i 3). Dotyczy to kierownika firmy kluczowej, firmy ważnej, podmiotu publicznego kluczowego i podmiotu ważnego publicznego.

Kierownik odpowiada także wtedy, gdy niektóre albo wszystkie obowiązki powierzył innej osobie za jej zgodą (art. 8c ust. 1 i 3). Według FAQ Ministerstwa Cyfryzacji (dokument nie ma mocy prawnej) ustawa nie nakłada obowiązku powołania pełnomocnika do spraw SZBI.

Zatwierdzenie pojawia się w innym akcie: w firmach stosujących rozporządzenie 2024/2690 polityka określa datę formalnego zatwierdzenia przez organy zarządzające (zał. pkt 1.1.1 lit. k); naszym zdaniem to inne pojęcie niż kierownik z ustawy o KSC.

Personel ma znać wewnętrzne regulacje

Kierownik zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie (art. 8d pkt 4), oraz zgodność działania podmiotu z przepisami i tymi regulacjami (pkt 5). Formę dowodów ustala organizacja; zalecamy potwierdzenia zapoznania się, wyniki szkoleń i testów oraz informację o każdej aktualizacji. Naszym zdaniem potwierdzenia zapoznania się z polityką są dokumentacją operacyjną z art. 10 ust. 4, jeżeli dokumentacja normatywna wymaga takiej czynności.

Co powinna zawierać polityka? Spis rozdziałów

Układ to nasza propozycja, nie wzór z przepisu. Ostatnia kolumna podaje przepisy omawiane we wpisie, które wymieniają element wprost, i ich adresatów; nie jest pełnym wykazem (np. § 19 ust. 2 KRI wymienia 14 działań, a środki administratora danych obejmuje ogólnie art. 32 ust. 1 RODO).

Skróty: FK - firma kluczowa, FW - firma ważna, PK - podmiot publiczny kluczowy, PW - podmiot ważny publiczny, R2690 - podmioty z art. 8b ust. 1 i dostawcy usług zaufania, ADO - administrator danych, PZP - podmiot realizujący zadania publiczne (KRI).

Nr	Rozdział	Co zawiera (z kursu)	Czy przepis wymaga i komu
1	Cel, zakres, podejście	zakres: systemy i informacje	R2690: podejście, strategia, cele, wskaźniki (zał. pkt 1.1.1 lit. a-c, j); pozostali - dobra praktyka
2	Role i odpowiedzialność	kto za co odpowiada	obowiązki kierownika: FK, FW, PK, PW (art. 8c, 8d); R2690: funkcje, obowiązki i uprawnienia (zał. pkt 1.1.1 lit. g, pkt 1.2); pozostali - opis ról to praktyka
3	Zarządzanie ryzykiem	szacowanie (zalecamy raz w roku)	FK, FW, PK: art. 8 ust. 1 pkt 1 i pkt 2 lit. a; R2690: przegląd wyników oceny ryzyka co najmniej raz w roku (zał. pkt 2.1.4); PW: zał. 4 nie wymienia szacowania ryzyka, a FAQ MC (bez mocy prawnej) wskazuje, że formalnie nie ma takiego obowiązku; art. 10 ust. 3 pkt 2 lit. c i d wymienia jednak w dokumentacji normatywnej szacowanie ryzyka dla obiektów infrastruktury i plan postępowania z ryzykiem - przepisy nie rozstrzygają relacji; zalecamy prowadzić
4	Klasyfikacja i aktywa	klasy informacji, wykaz aktywów	aktywa: FK, FW, PK (lit. m); R2690: klasyfikacja aktywów, w tym informacji (zał. pkt 12.1.1); PW: inwentaryzacja produktów, usług i procesów ICT (zał. 4 cz. I pkt 1); pozostali: klasyfikacja - praktyka
5	Kontrola dostępu	minimalne uprawnienia, przeglądy	FK, FW, PK: lit. n; PW: zał. 4 cz. I pkt 4-7
6	Hasła i MFA	hasła, menedżer haseł, MFA	FK, FW, PK: lit. j i l (MFA w stosownych przypadkach); PW: cyberhigiena, także kierownika (pkt 14)
7	Kryptografia	szyfrowanie laptopów i nośników	FK, FW, PK: lit. k
8	Praca zdalna i BYOD	VPN, trzy sytuacje telefonu	PW: zał. 4 cz. I pkt 8; PZP: KRI § 19 ust. 2 pkt 8; FK, FW, PK: ustawa nie wymienia z nazwy (możliwa polityka tematyczna z lit. a)
9	Narzędzia, chmura, AI	zatwierdzone narzędzia, zakazane treści	PW: cz. II pkt 4 - fakultatywnie; ADO: gdy dostawca przetwarza dane w jego imieniu - umowa lub inny instrument prawny (RODO art. 28 ust. 3)
10	Komunikacja	kanały służbowe	FK, FW, PK: lit. l
11	Bezpieczeństwo fizyczne	goście, drukarka, niszczarka	FK, FW, PK: lit. c; PW: zał. 4 cz. I pkt 3 lit. a (przy przetwarzaniu w urządzeniach pod kontrolą podmiotu); ADO: art. 32 RODO - ogólny wymóg środków odpowiednich do ryzyka, bez wskazania tych rozwiązań
12	Dostawcy	weryfikacja, zapisy o incydentach	FK, FW, PK: lit. e i art. 8 ust. 2; PZP: KRI § 19 ust. 2 pkt 10; PW: cz. II pkt 7 - fakultatywnie
13	Ciągłość działania	testowane plany i kopie	FK, FW, PK: lit. f; PW: kopie zapasowe, ich testowanie i procedura na wypadek awarii lub incydentu (zał. 4 cz. I pkt 10-12)
14	Incydenty	kto przyjmuje zgłoszenie	FK, FW, PK: art. 8 ust. 1 pkt 4; PW: pkt 18; ADO: art. 33 RODO
15	Szkolenia	przy zatrudnieniu i cyklicznie	FK, FW, PK: lit. i, j; R2690: program podnoszenia świadomości powtarzany i obejmujący nowych pracowników (zał. pkt 8.1.2 lit. a); PW: pkt 14 i 17; PZP: KRI § 19 ust. 2 pkt 6; kierownik: art. 8e
16	Dane osobowe	minimalizacja, rejestr czynności	ADO: art. 5 ust. 1 lit. c i e, art. 30 (wyjątki z ust. 5), art. 24 ust. 2 (jeżeli jest to proporcjonalne)
17	Przegląd i ocena skuteczności	kto i kiedy przegląda	FK, FW, PK: lit. h; R2690: co najmniej raz w roku; PW: zał. 4 cz. III (relacja przypadków otwarta); pozostałe FK, FW, PK: art. 8d pkt 1 częstotliwości nie podaje; ADO: w razie potrzeby (art. 24 ust. 1)
18	Dokumentacja i wersje	rejestr dokumentów z wersjami	FK, FW, PK, PW: art. 10 ust. 6 pkt 3 i ust. 8; R2690: wykaz dokumentacji z okresem i wykaz polityk tematycznych (lit. h, i); PW: zał. 4 cz. IV
19	Postanowienia końcowe	data decyzji, potwierdzenia	R2690: data formalnego zatwierdzenia (lit. k), przekazanie pracownikom i przyjęcie do wiadomości (lit. f); pozostali - praktyka

W sektorze bankowości i infrastruktury rynków finansowych z art. 8 stosuje się tylko ust. 1 pkt 1 i pkt 2 lit. j (art. 8i ust. 1), więc pozostałe wymogi z art. 8 w tabeli tego sektora nie dotyczą; art. 8c-8f (m.in. obowiązki kierownika) stosuje się do podmiotów z tego sektora odpowiednio (art. 8i ust. 2). Wyłączenie z art. 8i ust. 1 obejmuje przepisy dotyczące SZBI, więc naszym zdaniem także wymagania art. 10 co do dokumentacji tego systemu (art. 10 ust. 3 pkt 1); czy obejmuje pozostałą dokumentację z art. 10, przepisy nie rozstrzygają.

Polityki tematyczne, które dotyczą każdego pracownika

Hasła, MFA i cyberhigiena

W ustawie o KSC cyberhigiena to art. 8 ust. 1 pkt 2 lit. j (stosuje ją także sektor bankowości i infrastruktury rynków finansowych), a uwierzytelnianie wieloskładnikowe „w stosownych przypadkach” - lit. l, która dotyczy firm kluczowych i ważnych spoza tego sektora oraz podmiotów publicznych kluczowych. Podmiot ważny publiczny stosuje zasady cyberhigieny przez pracowników, w tym kierownika (zał. 4 cz. I pkt 14); MFA załącznik nr 4 nie wymienia.

Z lekcji przenosimy do polityki cztery zasady: hasła zgodne z polityką firmy, menedżer haseł tylko za zgodą polityki, hasła nie podajesz nikomu (ani IT, ani przełożonemu) i nie zatwierdzasz logowania, którego sam nie rozpocząłeś.

Praca zdalna i urządzenia mobilne (BYOD)

Podmiot ważny publiczny ustanawia podstawowe zasady gwarantujące bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość (zał. 4 cz. I pkt 8). To samo brzmienie ma KRI w § 19 ust. 2 pkt 8. W firmie kluczowej i ważnej oraz w podmiocie publicznym kluczowym ustawa nie wymienia takich zasad z nazwy; mogą one być polityką tematyczną z lit. a, a środki z pkt 2 mają być odpowiednie i proporcjonalne do oszacowanego ryzyka.

Z lekcji: telefon służbowy, prywatny używany do pracy i prywatny bez zgody firmy to trzy sytuacje, każda z innymi zasadami.

Narzędzia AI, chmura i shadow IT

Polityka wskazuje cztery kategorie treści, których nie wkleja się do narzędzia niezatwierdzonego przez firmę: dane osobowe, tajemnicę przedsiębiorstwa, hasła i klucze, dokumenty objęte poufnością. O różnicy między narzędziem publicznym a firmowym decyduje umowa, nie jakość modelu.

U podmiotu ważnego publicznego zasady korzystania z ogólnodostępnych usług chmury obliczeniowej i dużych generatywnych modeli AI to element, który SZBI może dodatkowo obejmować (zał. 4 cz. II pkt 4). Gdy dostawca przetwarza dane osobowe w imieniu administratora, potrzebna jest umowa lub inny instrument prawny w formie pisemnej, w tym elektronicznej (RODO art. 28 ust. 3 i 9). Samo zaakceptowanie regulaminu na prywatnym koncie nie daje firmie pewności, że zawarto umowę spełniającą art. 28 ust. 3.

Klasyfikacja i wymiana informacji

Klasyfikacja mówi, gdzie dokument przechowywać, komu udostępnić, jak przesłać i jak zniszczyć. W wersji kursu dla firm są klasy Publiczne, Wewnętrzne, Poufne i Ściśle poufne, w wersji dla urzędów: jawne, wewnętrzne, chronione, szczególnie chronione. W razie wątpliwości klasyfikujesz wyżej. Hasło do pliku idzie innym kanałem niż plik.

Czyste biurko i bezpieczeństwo fizyczne

Dokument zostawiony na blacie jest dostępny dla każdego, kto przechodzi obok. RODO nie wskazuje poziomu niszczenia z nazwy: art. 32 wymaga środków odpowiednich do ryzyka, więc sposób niszczenia dobiera się do tego, co jest na kartce.

Incydenty: co robi pracownik, co organizacja

Rola pracownika: zauważyć i zgłosić wewnętrznie jak najszybciej, bez oceniania, czy to „na pewno atak”. Terminy zgłoszeń do Prezesa UODO i do właściwego CSIRT dotyczą organizacji, nie pojedynczego pracownika. Według RODO administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1).

W ustawie o KSC zarządzanie incydentami jest elementem SZBI firm kluczowych, firm ważnych i podmiotów publicznych kluczowych (art. 8 ust. 1 pkt 4), a podmiot ważny publiczny określa procedury na wypadek cyberzagrożenia lub incydentu (zał. 4 cz. I pkt 18).

Jak wdrożyć politykę, żeby działała?

Komunikacja i potwierdzenie zapoznania

Pracownik dostaje politykę przy zatrudnieniu, a aktualna wersja leży w intranecie albo na dysku wewnętrznym. W wersji kursu dla urzędów pracownik potwierdza zapoznanie się podpisem. To nasz wybór formy dowodu dla obowiązku kierownika z art. 8d pkt 4; przepis formy nie określa.

Szkolenie personelu a szkolenie kierownika

Firma kluczowa, firma ważna i podmiot publiczny kluczowy zapewniają edukację z zakresu cyberbezpieczeństwa dla personelu, a art. 8 ust. 1 pkt 2 lit. i nie podaje jej częstotliwości. Podmiot ważny publiczny szkoli osoby zaangażowane w przetwarzanie informacji (zał. 4 cz. I pkt 17), też bez wskazanej częstotliwości. Osobno kierownik podmiotu kluczowego albo ważnego, a także osoba, której powierzył obowiązki, raz w roku kalendarzowym przechodzi szkolenie, a udział jest udokumentowany (art. 8e ust. 1 i 3). Naszym zdaniem to odrębne obowiązki i jedno nie zastępuje drugiego.

Nasze szkolenie e-learningowe z cyberbezpieczeństwa dla firm przechodzi przez tematy z rozdziałów 4-15 tabeli, a moduł dla kierownictwa omawia SZBI i dokumentację. Kurs wspiera realizację obowiązku edukacji personelu, a platforma prowadzi rejestr ukończeń. Stan organizacji sprawdzisz z checklistą NIS2/KSC do pobrania.

Przegląd, aktualizacja i dokumentacja

Jak często przeglądać politykę?

Wersje, dostęp, przechowywanie

Podmiot kluczowy lub ważny, w tym publiczny, opracowuje, stosuje i aktualizuje dokumentację bezpieczeństwa systemu informacyjnego, papierową lub elektroniczną (art. 10 ust. 1 i 5). Dzieli się ona na normatywną (m.in. dokumentacja SZBI) i operacyjną, czyli zapisy poświadczające wykonanie czynności wymaganych przez normatywną, w tym logi (art. 10 ust. 2-4). Naszym zdaniem polityki z lit. a należą do dokumentacji normatywnej. Dostęp mają tylko upoważnieni, a kolejne wersje oznacza się tak, żeby dało się określić zmiany (art. 10 ust. 6).

Dokumentację przechowuje się „przez okres co najmniej 2 lat od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi, liczony od dnia 1 stycznia roku następującego po roku, w którym wygasa okres jej przechowywania”; przepisu nie stosuje się do podmiotów podlegających ustawie archiwalnej (art. 10 ust. 7). Przepisy nie rozstrzygają, jak liczyć ten okres. Zalecamy ustalić go decyzją, co najmniej do 31 grudnia drugiego roku po roku wycofania dokumentacji albo zakończenia usługi. To minimum, a nie dzień, od którego wolno niszczyć; zniszczenie potwierdza protokół brakowania, a protokoły przechowuje się w sposób trwały (art. 10 ust. 8). Do podmiotów podlegających ustawie archiwalnej okresu z art. 10 ust. 7 nie stosuje się; okres przechowywania ustala się wtedy według przepisów archiwalnych (w urzędzie zwykle według jednolitego rzeczowego wykazu akt).

Kary i terminy w skrócie

Podmiot kluczowy lub ważny, także publiczny, podlega karze pieniężnej, jeżeli nie wdrożył SZBI albo system nie zapewnia funkcjonalności lub nie spełnia wymogów z art. 8 ust. 1 albo 3, a także jeżeli nie wykonuje obowiązków z art. 10 ust. 1 (art. 73 ust. 1 pkt 3 i 4). W sektorze bankowości i infrastruktury rynków finansowych przepisy o karach stosuje się tylko w zakresie przepisów wymienionych w art. 8i ust. 3 (z art. 8 - ust. 1 pkt 1 i pkt 2 lit. j). Podmiot ważny publiczny podlega karze także wtedy, gdy nie wykonuje art. 8 ust. 3 (art. 73 ust. 1c). Kierownik może podlegać karze m.in. za obowiązki z art. 8 i art. 8d, jeżeli przemawia za tym czas, zakres lub charakter naruszenia (art. 73a ust. 1).

Kary pieniężne z art. 73 ust. 1-4, art. 73a-73c i art. 76b można nałożyć po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji (art. 35 ustawy z 23 stycznia 2026 r.), czyli po 3 kwietnia 2028 r., a podmioty, które spełniały przesłanki już 3 kwietnia 2026 r., wdrażają SZBI najpóźniej do 3 kwietnia 2027 r. Prezes UODO może nałożyć na jednostki sektora finansów publicznych z art. 9 pkt 1-12 i 14 ustawy o finansach publicznych kary do 100 000 zł (art. 102 ust. 1 ustawy o ochronie danych osobowych).

Najczęstsze błędy

1. Polityka bez praktyki. Test planu odłożony do pierwszej awarii to zła odpowiedź w ćwiczeniu z kursu. Liczy się stosowanie zasad, nie sam dokument.
2. Rola kierownika opisana tylko słowem „zatwierdza”. Ustawa o KSC mówi szerzej: kierownik podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI. Datę formalnego zatwierdzenia polityki wpisują firmy z rozporządzenia 2024/2690.
3. Wzór bez dostosowania. Szablon ma cudze klasy informacji, systemy i role.
4. Numeracja z dyrektywy zamiast ustawy. W polityce podawaj numerację ustawy o KSC: cyberhigiena to art. 8 ust. 1 pkt 2 lit. j, MFA - lit. l.
5. Termin RODO przypisany pracownikowi. 72 godziny z art. 33 ust. 1 to termin administratora wobec organu nadzorczego.
6. Niszczenie dokumentacji zaraz po 2 latach. Art. 10 ust. 7 wyznacza minimum.

Źródła

• Ustawa o KSC (t.j. Dz.U. 2026 poz. 20 ze zm., m.in. poz. 252), stan na 8 października 2026 r.
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690.
• RODO i ustawa o ochronie danych osobowych.
• KRI (Dz.U. 2024 poz. 773) i ustawa z 25 lipca 2025 r. (Dz.U. 2025 poz. 1158), stan na 7 listopada 2026 r.
• Ustawa o normalizacji (t.j. Dz.U. 2015 poz. 1483).
• FAQ Ministerstwa Cyfryzacji o ustawie o KSC (październik 2026 r.), dokument bez mocy prawnej.

Ten materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: 7 listopada 2026 r.

Najczęstsze pytania

Czy polityka bezpieczeństwa informacji jest obowiązkowa w każdej organizacji?

Nie ma jednego przepisu, który nakazuje ją każdej organizacji. Ustawa o KSC wymaga polityk (m.in. szacowania ryzyka, bezpieczeństwa systemu informacyjnego, kryptografii i kontroli dostępu) od firm kluczowych, firm ważnych i podmiotów publicznych kluczowych, z wyjątkiem sektora bankowości i infrastruktury rynków finansowych. Podmiot ważny publiczny, w zakresie zadań publicznych realizowanych z wykorzystaniem systemów informacyjnych, wdraża SZBI według załącznika nr 4 do ustawy, który nie nazywa dokumentu polityką, a podmiot realizujący zadania publiczne stosuje § 19 KRI o SZBI do 22 lutego 2027 r. włącznie. RODO wymaga od każdego administratora danych środków odpowiednich do ryzyka i możliwości wykazania zgodności, a polityk ochrony danych - jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania. Poza tymi przypadkami polityka jest dobrą praktyką.

Czy mała firma musi mieć politykę bezpieczeństwa?

Ustawa o KSC wymaga polityk od firm kluczowych i ważnych (poza sektorem bankowości i infrastruktury rynków finansowych) - czy Twoja firma do nich należy, sprawdzisz w teście NIS2/KSC. RODO dotyczy każdej wielkości: administrator wdraża środki odpowiednie do ryzyka, a polityki ochrony danych, jeżeli jest to proporcjonalne (art. 24 ust. 2). Zwolnienie z rejestru czynności przetwarzania dla firm zatrudniających mniej niż 250 osób nie ma zastosowania, jeżeli przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, nie ma charakteru sporadycznego lub obejmuje dane z art. 9 ust. 1 lub art. 10 RODO. Wystarczy jedna z tych przesłanek.

Kto podpisuje politykę bezpieczeństwa informacji?

Według ustawy o KSC kierownik podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI (art. 8d pkt 1) i odpowiada za obowiązki także wtedy, gdy powierzył je innej osobie. W firmach stosujących rozporządzenie 2024/2690 polityka wskazuje datę formalnego zatwierdzenia przez organy zarządzające. Według FAQ Ministerstwa Cyfryzacji (dokument nie ma mocy prawnej) ustawa nie nakłada obowiązku powołania pełnomocnika do spraw SZBI.

Jak często aktualizować politykę bezpieczeństwa?

Firmy stosujące rozporządzenie 2024/2690 przeglądają politykę co najmniej raz w roku i dokumentują wynik. Podmiot ważny publiczny przegląda SZBI co najmniej raz w roku albo bezzwłocznie po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa w zakresie, w jakim dotyczy ona systemów informacyjnych, produktów ICT lub usług ICT podmiotu, albo bezzwłocznie przy okolicznościach, które mogą wpłynąć na ryzyko incydentu poważnego i wymagają ponownej realizacji działań z SZBI lub zmian w samym systemie; przepisy nie rozstrzygają, czy przegląd bezzwłoczny zastępuje roczny, więc zalecamy przegląd całego SZBI co najmniej raz w każdym roku kalendarzowym. Pozostałym firmom kluczowym i ważnym oraz podmiotom publicznym kluczowym art. 8d pkt 1 częstotliwości nie podaje - zalecamy przegląd co najmniej raz w roku. RODO wymaga przeglądu środków w razie potrzeby.

Czy urząd, który jest podmiotem ważnym, musi mieć politykę bezpieczeństwa?

Załącznik nr 4 do ustawy o KSC nie nazywa dokumentu polityką - wymienia elementy, które system obejmuje, i każe dokumentować działania; w praktyce urzędy opisują je w polityce bezpieczeństwa informacji i zarządzeniach. Naszym zdaniem wewnętrzne regulacje są potrzebne, bo kierownik zapewnia, że personel je zna, i zgodność działania z nimi (art. 8d pkt 4 i 5).

Czy KRI nadal obowiązują?

Tak. Stan prawny na 7 listopada 2026: rozporządzenie w sprawie KRI (Dz.U. 2024 poz. 773) obowiązuje. Do minimalnych wymagań dla systemów teleinformatycznych i dla rejestrów publicznych stosuje się przepisy wydane na podstawie art. 18 ustawy o informatyzacji w brzmieniu dotychczasowym do dnia wejścia w życie nowego brzmienia tego artykułu (art. 15 ustawy z 25 lipca 2025 r.). Nowe brzmienie wchodzi w życie po upływie 18 miesięcy od ogłoszenia ustawy 22 sierpnia 2025 r. (art. 17), czyli 23 lutego 2027 r., więc te wymagania, w tym § 19 o SZBI, stosuje się do 22 lutego 2027 r. włącznie. Według metadanych aktu w bazie ELI (stan 7.11.2026) datą uchylenia rozporządzenia jest 23 lutego 2027 r.; Ministerstwo Cyfryzacji w FAQ mówi o zmianie rozporządzenia i usunięciu z niego przepisów o SZBI (dokument nie ma mocy prawnej). Do 22 lutego 2027 r. włącznie KRI wymaga m.in. zapewnienia szkolenia osób zaangażowanych w przetwarzanie informacji (§ 19 ust. 2 pkt 6).

Czy polityka musi być zgodna z ISO 27001?

Stosowanie Polskich Norm jest dobrowolne (art. 5 ust. 3 ustawy o normalizacji). Naszym zdaniem żaden z przepisów omawianych w tym wpisie nie nakazuje stosowania normy ISO/IEC 27001. Norma jest jednak dobrym wzorcem układu polityki.

Czy pracownik musi podpisać politykę?

Ustawa o KSC każe kierownikowi zapewnić, że personel zna wewnętrzne regulacje (art. 8d pkt 4). W firmach stosujących rozporządzenie 2024/2690 polityka zostaje przekazana odpowiednim pracownikom i przyjęta przez nich do wiadomości (zał. pkt 1.1.1 lit. f). Formy potwierdzenia te przepisy nie określają - zalecamy potwierdzenie zapoznania się z polityką i z każdą jej aktualizacją. Naszym zdaniem takie potwierdzenie jest dokumentacją operacyjną z art. 10 ust. 4, jeżeli wymaga go dokumentacja normatywna.