SZBI warto opisać jako działający proces: rozpoznaj ryzyko, wybierz działanie, przypisz właściciela i sprawdź rezultat. Sam komplet podpisanych polityk nie pokazuje, czy zabezpieczenia są stosowane.
Od czego zacząć porządkowanie pracy?
Rekomendacja praktyczna: poniższa procedura jest propozycją organizacyjną, a nie dodatkowym obowiązkiem ustawowym ani urzędowym formularzem.
- Usługa: wskaż, co organizacja musi utrzymać i kto odpowiada za jej działanie.
- Zależności: wypisz systemy, ludzi, dostawców i dane potrzebne do realizacji usługi.
- Scenariusz ryzyka: opisz konkretne zdarzenie i skutek, zamiast ogólnego hasła „cyberatak”.
- Działanie: ustal sposób ograniczenia ryzyka, osobę prowadzącą i zasoby.
- Sprawdzenie: zaplanuj test, przegląd lub inny dowód działania zabezpieczenia.
Przykład jednego wiersza rejestru
Usługa: obsługa zamówień. Zależność: baza danych i jej kopia. Scenariusz: brak możliwości odtworzenia po awarii. Działanie: kontrolowana próba odtworzenia w środowisku testowym. Dowód: protokół z wynikiem sprawdzenia działania aplikacji. Właściciela i wewnętrzny termin ustala organizacja.
Co przeglądać cyklicznie?
Sprawdzaj zadania otwarte, zmiany infrastruktury, wnioski z incydentów oraz to, czy przyjęte zabezpieczenia nadal odpowiadają rzeczywistości. Częstotliwość roboczego przeglądu dobierz do sytuacji; nie traktuj przykładowego harmonogramu jako terminu ustawowego.
Ten materiał jest praktycznym przewodnikiem organizacji pracy, nie pełną listą wymagań prawnych ani potwierdzeniem zgodności. Obowiązki właściwe dla podmiotu sprawdź w aktualnym FAQ KSC. Aktualizacja redakcyjna: 15.10.2026.