SZBI w szkole i urzędzie: czym jest system bezpieczeństwa informacji
Opublikowano 19.09.2026 · czytanie ok. 4 min
Skrót SZBI pojawia się w ustawie o krajowym systemie cyberbezpieczeństwa, w rozporządzeniu o Krajowych Ramach Interoperacyjności i w normie ISO/IEC 27001. Za każdym razem chodzi o to samo: stały sposób pracy jednostki, dzięki któremu wiadomo, jakie informacje przetwarza, co im zagraża, kto za co odpowiada i jak to sprawdzić. Opisujemy go językiem sekretariatu, a nie normy.
Cztery cechy informacji, które system chroni
Ustawa o KSC opisuje bezpieczeństwo systemów informacyjnych jako ich odporność na zdarzenia, które naruszają poufność, integralność, dostępność i autentyczność przetwarzanych danych (art. 2 pkt 3d). W szkole każdą z tych cech łatwo pokazać na codziennej sytuacji:
- poufność — opinię z poradni psychologiczno-pedagogicznej czyta wychowawca i dyrekcja, a nie każdy, kto usiądzie przy komputerze w pokoju nauczycielskim,
- integralność — wpis w dzienniku elektronicznym nie zmienia się bez śladu, kto i kiedy go poprawił,
- dostępność — po awarii dysku sekretariat odtwarza księgę uczniów z kopii w ciągu godzin, a nie tygodni,
- autentyczność — wiadomość rzekomo od dyrektora z prośbą o pilny przelew da się zweryfikować, zanim księgowa zapłaci.
Z jakich przepisów wynika obowiązek
| Przepis | Kogo dotyczy | Czego wymaga |
|---|---|---|
| Art. 8 ust. 1 ustawy o KSC | podmiot kluczowy oraz podmiot ważny, który nie jest podmiotem publicznym | systematyczne szacowanie ryzyka, środki z katalogu lit. a–n, zarządzanie incydentami |
| Art. 8 ust. 3 i Załącznik nr 4 do ustawy o KSC | podmiot ważny będący podmiotem publicznym, np. publiczna szkoła | 18 obowiązkowych działań, przegląd co najmniej raz w roku, dokumentowanie realizacji |
| § 19 rozporządzenia o KRI (Dz.U. 2024 poz. 773) | podmiot realizujący zadania publiczne | 14 działań, w tym okresowa analiza ryzyka i coroczny audyt wewnętrzny — do 23 lutego 2027 r. |
| Art. 32 RODO | każdy administrator danych osobowych | środki techniczne i organizacyjne odpowiednie do ryzyka dla osób, których dane dotyczą |
Te podstawy nakładają się na siebie, a nie wykluczają. Jedna rzetelna inwentaryzacja, jeden rejestr incydentów i jeden plan szkoleń mogą służyć wszystkim naraz — pod warunkiem, że przy każdym działaniu zapisano, który przepis realizuje.
Co system obejmuje w jednostce publicznej
Załącznik nr 4 przy większości punktów wymaga działań, a nie dokumentów o określonej nazwie. Jeżeli pogrupować je według tego, kto zwykle je wykonuje, obraz jest prostszy:
- informatyk albo firma serwisowa: inwentaryzacja sprzętu i oprogramowania, kontrola wersji, aktualizacje, antywirus, kopie zapasowe odseparowane od danych i test ich odtwarzania (pkt 1, 2, 10, 11, 13, 15 i 16),
- kierownik i kadry: nadawanie, zmiana i odbieranie uprawnień oraz zasady pracy zdalnej i mobilnej (pkt 4–8),
- wszyscy pracownicy, razem z kierownikiem: cyberhigiena i szkolenia (pkt 14 i 17),
- koordynator systemu: ochrona informacji przed kradzieżą i nieuprawnionym dostępem, kontrola poczty elektronicznej, procedury na wypadek awarii, incydentu i cyberzagrożenia oraz ich testowanie (pkt 3, 9, 12 i 18).
Do tego dochodzi przegląd całego systemu co najmniej raz w roku (część III) i dokumentowanie wykonanych działań (część IV).
SZBI a norma ISO/IEC 27001
ISO/IEC 27001 to międzynarodowa norma, która opisuje budowę systemu zarządzania bezpieczeństwem informacji; jej załącznik A zawiera katalog zabezpieczeń. Ani ustawa o KSC, ani rozporządzenie o KRI nie nakazują certyfikacji.
Rozporządzenie o KRI przewiduje domniemanie: wymagania § 19 uznaje się za spełnione, jeżeli system opracowano na podstawie normy PN-ISO/IEC 27001, a zabezpieczenia i zarządzanie ryzykiem oparto na normach PN-ISO/IEC 27002 i 27005 (§ 19 ust. 3). Dla szkoły czy małego urzędu pełne wdrożenie normy bywa nieproporcjonalne do skali — obowiązkowe minimum dla podmiotu ważnego publicznego wyznacza krótszy Załącznik nr 4.
Czym SZBI nie jest
- kompletem polityk przyjętych zarządzeniem i odłożonych do szafy — liczy się, czy opisane działania są wykonywane i czy zostawiają ślad (Załącznik nr 4, część IV),
- sprawą wyłącznie informatyka — ustawa obciąża odpowiedzialnością kierownika jednostki, także wtedy, gdy powierzył obowiązki innej osobie (art. 8c ust. 1 i 3),
- jednorazowym projektem — system przegląda się co najmniej raz w roku i po każdej zmianie okoliczności, która może wpłynąć na ryzyko incydentu poważnego (Załącznik nr 4, część III).
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy mała szkoła potrzebuje takiego samego systemu jak duży urząd?
Obowiązkowe minimum jest takie samo — 18 działań z części I Załącznika nr 4. Różni się skala: inwentaryzacja w szkole z dwudziestoma komputerami zajmuje dzień, w urzędzie z kilkuset stanowiskami — tygodnie. Część II załącznika to środki dodatkowe, stosowane w miarę potrzeb.
Czy wystarczy kupić gotowe szablony dokumentów?
Szablon pomaga ustalić strukturę, ale nie dowodzi, że system działa. Załącznik nr 4 wymaga dokumentowania realizacji działań, czyli zapisów: kto, kiedy, co sprawdził i z jakim wynikiem.
Kto w jednostce odpowiada za SZBI?
Kierownik jednostki — dyrektor szkoły, wójt, burmistrz, prezydent miasta albo starosta. Może powierzyć obowiązki innej osobie za jej zgodą, ale odpowiedzialności to z niego nie zdejmuje (art. 8c ust. 3).