Czy szkoła musi mieć system zarządzania bezpieczeństwem informacji?

Skąd obowiązek: art. 5 ust. 2 pkt 8 ustawy o KSC

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r. (Dz.U. 2026 poz. 252), wdrożyła unijną dyrektywę NIS 2. Zamiast dawnych „operatorów usług kluczowych” ustawa zna dziś dwie kategorie: podmiot kluczowy i podmiot ważny.

Art. 5 ust. 2 pkt 8 stanowi, że podmiotem ważnym jest podmiot publiczny, który nie jest podmiotem kluczowym, a jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej — jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Publiczna szkoła i przedszkole są samorządowymi jednostkami budżetowymi, a każde z nich prowadzi dziennik elektroniczny, sekretariat na komputerach i pocztę elektroniczną. Realizuje więc zadania publiczne z użyciem systemów informacyjnych. Wielkość placówki nie ma tu znaczenia — przepis nie przewiduje progu zatrudnienia.

Dlaczego szkoła nie jest podmiotem kluczowym? Załącznik nr 1 do ustawy wymienia jako kluczowe podmioty publiczne samorządu tylko starostwo powiatowe, urząd gminy zatrudniający co najmniej 50 osób oraz jednostki budżetowe samorządu województwa — a z tych ostatnich wprost wyłącza jednostki oświatowe z Prawa oświatowego.

Co to znaczy w praktyce: Załącznik nr 4

Podmiot ważny będący podmiotem publicznym nie wdraża pełnego katalogu środków z art. 8 ust. 1 ustawy. Prowadzi system według Załącznika nr 4 — „Wymogi dla systemu zarządzania bezpieczeństwem informacji dla podmiotu ważnego będącego podmiotem publicznym”.

Część I załącznika to 18 działań, które system obejmuje jako minimum. Najważniejsze z punktu widzenia szkoły:

• inwentaryzacja produktów, usług i procesów ICT (technologii informacyjno-komunikacyjnych) — sprzęt, oprogramowanie, usługi w chmurze,
• kontrola wersji i instalacji oprogramowania na urządzeniach, także mobilnych,
• ochrona informacji przed kradzieżą, nieuprawnionym dostępem i uszkodzeniem,
• dostęp tylko dla osób uprawnionych, zasada minimalnych uprawnień, cofanie dostępu, gdy ustała jego podstawa, i zmiana zakresu przy zmianie zadań,
• kopie zapasowe odseparowane logicznie i fizycznie oraz testowanie ich odtwarzania,
• procedura na wypadek awarii lub incydentu,
• oprogramowanie antywirusowe,
• cyberhigiena i szkolenia pracowników, w tym kierownika.

Środki dodatkowe, przegląd i dokumentowanie

Część II to dziewięć środków, które system może dodatkowo obejmować. Część III wymaga przeglądu systemu co najmniej raz w roku, a także bezzwłocznie po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa albo po zdarzeniu, które może wpłynąć na ryzyko incydentu poważnego. Część IV nakazuje dokumentować realizację działań — to ta dokumentacja jest dowodem przy kontroli.

Terminy dla publicznej szkoły

• w ciągu 6 miesięcy od doręczenia wezwania — uzupełnienie danych we wpisie do wykazu podmiotów. Podmioty publiczne minister wpisuje z urzędu na podstawie rejestrów publicznych (art. 7a ust. 2 pkt 3, art. 7b),
• do 3 kwietnia 2027 r. — wykonanie obowiązków z rozdziału 3 ustawy, w tym prowadzenie SZBI (art. 33 ust. 1 nowelizacji), oraz rozpoczęcie korzystania z systemu teleinformatycznego S46 (komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r.),
• raz w roku kalendarzowym — szkolenie kierownika z zakresu cyberbezpieczeństwa (art. 8e),
• przed dopuszczeniem do zadań z art. 8 lub 11 — informacja z Krajowego Rejestru Karnego o niekaralności osoby, która ma je wykonywać (art. 8f),
• po 3 kwietnia 2028 r. — organ może nakładać kary pieniężne z art. 73 ust. 1–4, w tym na podmiot ważny publiczny, który nie prowadzi SZBI według Załącznika nr 4 (art. 73 ust. 1c, art. 35 nowelizacji). Odroczenie nie obejmuje kary z art. 73 ust. 5 — za naruszenie wywołujące poważne zagrożenie dla bezpieczeństwa państwa, porządku publicznego albo życia i zdrowia ludzi.

Odroczenie kar a obowiązki

Odroczenie kar nie jest odroczeniem obowiązków. Po 3 kwietnia 2027 r. oceniane będzie, czy system działa i jest udokumentowany.

A co z Krajowymi Ramami Interoperacyjności?

Do tej pory szkoły opierały bezpieczeństwo informacji głównie na § 19 rozporządzenia o Krajowych Ramach Interoperacyjności (Dz.U. 2024 poz. 773). To on wymaga m.in. audytu wewnętrznego nie rzadziej niż raz na rok. Uwaga na starsze wzory dokumentów: przed majem 2024 r. ten sam obowiązek stał w § 20 poprzedniego rozporządzenia, dziś uchylonego.

Obecne rozporządzenie traci moc 23 lutego 2027 r. Projekt następcy (RD313 w wykazie prac legislacyjnych Rady Ministrów) według jego uzasadnienia nie zawiera już wymagań dla SZBI, bo reguluje je ustawa o krajowym systemie cyberbezpieczeństwa. Dla publicznej szkoły obowiązek prowadzenia systemu nie znika — ma go z ustawy.

Szkoła i przedszkole niepubliczne

Placówka niepubliczna nie jest samorządową jednostką budżetową, więc art. 5 ust. 2 pkt 8 jej nie obejmuje. Czy ustawa dotyczy jej z innego tytułu, zależy od formy prawnej i działalności — to rozstrzyga kalkulator statusu. Obowiązek odpowiedniego zabezpieczenia danych osobowych z art. 32 RODO dotyczy każdej placówki, publicznej i niepublicznej.

Od czego zacząć

1. Sprawdź status jednostki w kalkulatorze — bez logowania.
2. Sprawdź, czy szkoła dostała zawiadomienie o wpisie do wykazu z urzędu i wezwanie do uzupełnienia danych. Jeśli tak — uzupełnij dane w terminie.
3. Wyznacz osobę odpowiedzialną za system i zaplanuj coroczne szkolenie dyrektora.
4. Zrób inwentaryzację sprzętu, oprogramowania i usług — to pierwszy punkt Załącznika nr 4.
5. Przejdź 18 punktów części I i zapisz, co już działa, a czego brakuje. Braki to Twój plan na najbliższe miesiące.