207 dni do SZBI - plan prac po wpisie do wykazu KSC

Do terminu wpisu do wykazu KSC zostało 25 dni, ale najdroższym błędem może być potraktowanie wysłania wniosku jako końca projektu.

Dla podmiotów, które spełniały kryteria w dniu wejścia nowelizacji w życie, 3 października 2026 jest terminem złożenia wniosku o wpis. 3 kwietnia 2027 upływa natomiast termin realizacji obowiązków określonych w rozdziale 3 ustawy. Ministerstwo Cyfryzacji potwierdza oba terminy i wskazuje wśród tych obowiązków między innymi przygotowanie oraz wdrożenie SZBI.

Co naprawdę trzeba przygotować do kwietnia

Art. 8 ust. 1 ustawy nie sprowadza SZBI do jednego dokumentu. Wymaga systematycznego szacowania ryzyka oraz środków technicznych i organizacyjnych odpowiednich i proporcjonalnych do tego ryzyka. Przy ich doborze należy uwzględnić między innymi koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo incydentów i ich skutki.

Katalog w art. 8 obejmuje między innymi:

• bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji systemów
• bezpieczeństwo fizyczne, zasoby ludzkie i kontrolę dostępu
• ciągłość łańcucha dostaw produktów, usług i procesów ICT
• udokumentowane oraz testowane plany ciągłości działania i odtworzenia
• ciągłe monitorowanie systemów wpływających na świadczenie usługi
• procedury oceny skuteczności zastosowanych środków
• cyberhigienę, kryptografię i uwierzytelnianie wieloskładnikowe w stosownych przypadkach
• zarządzanie aktywami, podatnościami i incydentami

Lista nie mówi, jaki produkt kupić. Najpierw trzeba ustalić zakres systemu i ryzyko, a dopiero później uzasadnić dobór zabezpieczeń. Inaczej firma może wydać budżet na narzędzia, ale nadal nie mieć kompletnego obrazu usług, zależności i odpowiedzialności.

Etap 1 - do 3 października

Najpierw potwierdź, czy podmiot spełnia przesłanki z art. 5. Jeżeli wynik nie jest pewny, przejdź przez bezpłatny kwalifikator, a następnie zapisz uzasadnienie kwalifikacji na podstawie danych firmy.

Równolegle z wnioskiem utwórz prosty rejestr startowy. Powinien zawierać usługę objętą ustawą, procesy potrzebne do jej świadczenia, właściciela biznesowego, kluczowe systemy, lokalizacje danych oraz dostawców ICT. Te informacje nie są jeszcze pełnym SZBI, ale pozwalają wyznaczyć jego zakres.

Etap 2 - październik i listopad

Przeprowadź szacowanie ryzyka dla procesów i systemów wpływających na świadczenie usługi. Dla każdego istotnego scenariusza zapisz zagrożenie, podatność, możliwy skutek, istniejące zabezpieczenia oraz decyzję: ograniczasz ryzyko, unikasz go, przenosisz czy świadomie akceptujesz.

Na tej podstawie przygotuj rejestr luk. Każda luka powinna mieć właściciela, priorytet, termin i sposób sprawdzenia wykonania. Dzięki temu wymagania art. 8 stają się planem pracy, a nie listą haseł.

Etap 3 - grudzień i styczeń

Wdrażaj najpierw środki ograniczające ryzyka o najwyższym priorytecie. W typowej infrastrukturze będą to uporządkowanie kont uprzywilejowanych, aktualizacji, kopii zapasowych, monitorowania, segmentacji i dostępu zdalnego. Konkretny zestaw musi jednak wynikać z udokumentowanego ryzyka, a nie z uniwersalnego szablonu.

W tym samym czasie przejrzyj umowy z dostawcami ICT. Art. 8 ust. 1 pkt 2 lit. e obejmuje ciągłość łańcucha dostaw, a ust. 2 nakazuje uwzględnić między innymi podatności związane z dostawcą i ogólną jakość jego produktów lub usług.

Etap 4 - luty i marzec

Ostatnie tygodnie zostaw na sprawdzenie, czy zabezpieczenia działają. Przeprowadź próbę odtworzenia kopii, test planu ciągłości, przegląd uprawnień i ćwiczenie obsługi incydentu. Zapisz wynik, wykryte problemy, decyzje naprawcze i termin ponownego testu.

To także czas na zebranie dowodów: wyników szacowania ryzyka, rejestru aktywów, raportów z testów, potwierdzeń szkoleń, przeglądów dostawców i decyzji kierownika. Art. 8 wymaga nie tylko wdrożenia środków, ale również polityk i procedur oceny ich skuteczności.

Od czego zacząć

W tym tygodniu wykonaj pięć czynności:

1. Potwierdź kwalifikację podmiotu i właściciela wniosku do wykazu
2. Nazwij usługę objętą ustawą oraz procesy wpływające na jej świadczenie
3. Przypisz właścicieli biznesowych do procesów i technicznych do systemów
4. Zbierz listę kluczowych dostawców, kont uprzywilejowanych i kopii zapasowych
5. Ustal termin pierwszego warsztatu szacowania ryzyka jeszcze przed wysłaniem wniosku

Celem na 3 października jest nie tylko poprawny wpis, ale także rozpoczęty, mierzalny plan dojścia do wymagań art. 8 przed 3 kwietnia 2027.