Dokumentacja SZBI w szkole i urzędzie — co jest obowiązkowe, a co tylko pomocne
Opublikowano 19.09.2026 · aktualizacja 20.09.2026 · czytanie ok. 2 min
Wiele jednostek zaczyna od zakupu kompletu wzorów polityk i procedur. Przepisy rozkładają akcenty inaczej: art. 10 ustawy o KSC dzieli dokumentację na normatywną (zasady) i operacyjną (zapisy z ich wykonywania), a Załącznik nr 4 wymaga dokumentowania realizacji działań. Oddzielamy to, co wynika wprost z przepisów, od tego, co jest tylko dobrą praktyką.
Co wynika wprost z przepisów
| Dokument lub zapis | Podstawa |
|---|---|
| Dokumentacja normatywna: systemu zarządzania bezpieczeństwem informacji, ochrony infrastruktury, ciągłości działania, techniczna systemu | art. 10 ust. 3 ustawy o KSC |
| Dokumentacja operacyjna — zapisy poświadczające wykonywanie czynności, w tym dzienniki systemów | art. 10 ust. 4 ustawy o KSC |
| Wyznaczenie osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa | art. 9 ust. 1 pkt 1 i ust. 3 ustawy o KSC |
| Inwentaryzacja produktów, usług i procesów ICT | Załącznik nr 4, część I pkt 1 |
| Zasady bezpiecznej pracy mobilnej i na odległość | Załącznik nr 4, część I pkt 8 |
| Zapis z testu kompletności i odtwarzania kopii zapasowych | Załącznik nr 4, część I pkt 11 |
| Procedura na wypadek awarii lub incydentu i zapis z jej testowania | Załącznik nr 4, część I pkt 12 |
| Procedury i zasady działania na wypadek cyberzagrożenia lub incydentu | Załącznik nr 4, część I pkt 18 |
| Protokół przeglądu systemu — co najmniej raz w roku | Załącznik nr 4, część III |
| Dokumentacja realizacji działań systemu | Załącznik nr 4, część IV |
| Potwierdzenie udziału kierownika w corocznym szkoleniu | art. 8e ust. 3 ustawy o KSC |
| Informacja z KRK osoby realizującej zadania z art. 8 lub 11 | art. 8f ust. 1 ustawy o KSC |
| Rejestr czynności przetwarzania | art. 30 RODO |
| Dokumentacja naruszeń ochrony danych osobowych | art. 33 ust. 5 RODO |
| Raport z audytu wewnętrznego — do 23 lutego 2027 r. | § 19 ust. 2 pkt 14 rozporządzenia o KRI |
Dokumenty, które pomagają, choć przepis ich nie nazywa
- zarządzenie kierownika o wprowadzeniu systemu i wskazaniu koordynatora — porządkuje realizację art. 8d,
- polityka bezpieczeństwa informacji — jedno miejsce z zasadami, do którego odsyłają pozostałe dokumenty,
- rejestr uprawnień — pokazuje, że dostęp nadaje się i odbiera zgodnie z pkt 4–7 Załącznika nr 4,
- analiza ryzyka — uzasadnia dobór zabezpieczeń; do 23 lutego 2027 r. wymaga jej § 19 ust. 2 pkt 3 rozporządzenia o KRI,
- rejestr incydentów — wszystkich, nie tylko zgłoszonych do CSIRT, bo z niego wynikają wnioski do przeglądu,
- plan szkoleń pracowników i potwierdzenia udziału — realizacja pkt 17 Załącznika nr 4.
Dlaczego szablon to za mało
Wzór polityki opisuje, jak system miałby działać w typowej organizacji. Przy kontroli liczy się, jak działa w tej konkretnej jednostce: gdzie jest ostatni wynik testu odtworzenia kopii, kiedy odebrano uprawnienia osobie, która odeszła w marcu, kto przeszedł szkolenie w tym roku. Na te pytania odpowiadają zapisy z bieżącej pracy, których żaden wzór nie zawiera.
Dlatego w dokumentacji ważniejsza od objętości jest aktualność. Krótka polityka z rejestrami prowadzonymi na bieżąco jest mocniejszym dowodem niż segregator wzorów bez śladu ich stosowania.
Dokumentacja bez segregatora
Dokumentację można prowadzić w postaci papierowej albo elektronicznej (art. 10 ust. 5 ustawy o KSC). Ustawa wymaga natomiast nadzoru nad nią: dostępu tylko dla osób upoważnionych, ochrony przed zniszczeniem i nieuprawnioną zmianą oraz oznaczania kolejnych wersji (art. 10 ust. 6). Wycofane dokumenty przechowuje się co najmniej 2 lata (art. 10 ust. 7).
Portal i-SZBI prowadzi takie zapisy przy okazji zwykłej pracy: rejestr aktywów, analizę ryzyka, obsługę incydentów z terminami zgłoszeń, szkolenia z potwierdzeniami i audyty. Z jednego miejsca drukuje się raport na kontrolę.
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy dokumentacja SZBI może być wyłącznie elektroniczna?
Tak — art. 10 ust. 5 ustawy o KSC dopuszcza postać papierową albo elektroniczną. Niezależnie od postaci trzeba zapewnić dostęp tylko osobom upoważnionym, ochronę przed nieuprawnioną zmianą i oznaczanie wersji.
Czy potrzebna jest osobna dokumentacja dla KRI i dla ustawy o KSC?
Nie trzeba jej dublować. Te same zapisy — inwentaryzacja, uprawnienia, szkolenia, incydenty — realizują wymagania obu aktów. Warto przy każdym działaniu wskazać, której podstawy dotyczy.