Od kiedy SZBI jest obowiązkowy w szkole, OPS i urzędzie gminy
Opublikowano 4.11.2026 · aktualizacja 5.11.2026 · czytanie ok. 2 min
Pytanie „SZBI od kiedy” ma dwie odpowiedzi. Jednostki publiczne mają obowiązek prowadzenia systemu zarządzania bezpieczeństwem informacji od lat, z rozporządzenia o Krajowych Ramach Interoperacyjności. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 2026 r. przeniosła ten obowiązek do ustawy i wyznaczyła nowy termin.
Oś czasu
| Data | Co się dzieje |
|---|---|
| 2012 r. | Rozporządzenie o KRI wprowadza obowiązek SZBI dla podmiotów realizujących zadania publiczne (wtedy § 20). |
| maj 2024 r. | Nowe rozporządzenie o KRI (Dz.U. 2024 poz. 773), obowiązek w § 19, w tym audyt wewnętrzny raz w roku. |
| 3 kwietnia 2026 r. | Wchodzi w życie nowelizacja ustawy o KSC wdrażająca dyrektywę NIS 2 (Dz.U. 2026 poz. 252). |
| 6 miesięcy od wezwania | Jednostka wpisana z urzędu do wykazu podmiotów uzupełnia dane (art. 7a i 7b ustawy o KSC). |
| 23 lutego 2027 r. | Koniec obowiązywania obecnego rozporządzenia o KRI. |
| 3 kwietnia 2027 r. | Termin na obowiązki z rozdziału 3 ustawy o KSC, w tym SZBI, i na rozpoczęcie korzystania z systemu S46. |
Kogo dotyczy termin 3 kwietnia 2027 r.
Samorządowa jednostka budżetowa realizująca zadania publiczne z użyciem systemów informacyjnych jest podmiotem ważnym (art. 5 ust. 2 pkt 8 ustawy o KSC). To m.in. publiczna szkoła, przedszkole i ośrodek pomocy społecznej. Prowadzi SZBI według Załącznika nr 4: 18 działań, przegląd co najmniej raz w roku i dokumentowanie wykonania.
Starostwo powiatowe i urząd gminy zatrudniający co najmniej 50 osób na pełne etaty są podmiotami kluczowymi. Obowiązuje je pełny katalog z art. 8 ust. 1 i audyt bezpieczeństwa co najmniej raz na 3 lata (art. 15).
Co to oznacza w praktyce
Jednostka, która od lat robiła coroczny audyt KRI, nie zaczyna od zera. Zmienia się podstawa i zakres: zamiast jednorazowego audytu system trzeba prowadzić przez cały rok i mieć na to dowody. Do kwietnia 2027 r. zostało niewiele czasu, a pierwsze trzy kroki, czyli status, odpowiedzialni i inwentaryzacja, nie wymagają budżetu.
Jak zdążyć z i-SZBI
Portal ustala status jednostki, pokazuje tylko jej obowiązki i pilnuje terminów: przeglądu, szkoleń, testów kopii i zgłoszeń incydentów. SZBI prowadzisz na bieżąco, zmieniając i dodając dane, a wydruki masz na żądanie. Szkolenia pracowników przeprowadzisz online, z testem i zaświadczeniem dla pracownika i kierownika, a kampanie phishingowe z gotowych scenariuszy pokażą, kto da się nabrać, i od razu dadzą mu krótką lekcję.
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy szkoła, która ma audyt KRI, musi coś zmieniać?
Tak. Audyt KRI to jeden element. Ustawa o KSC wymaga prowadzenia systemu przez cały rok według Załącznika nr 4, przeglądu co najmniej raz w roku i dokumentowania działań, z terminem 3 kwietnia 2027 r.
Czy jest kara za brak SZBI po 3 kwietnia 2027 r.?
Ustawa o KSC przewiduje kary pieniężne za niewykonanie obowiązków (art. 73). Większość z nich, z art. 73 ust. 1–4 i art. 73a, można nałożyć dopiero po 3 kwietnia 2028 r. (art. 35 nowelizacji). Wyjątkiem jest kara z art. 73 ust. 5 za naruszenie wywołujące poważne zagrożenie. W konkretnej sprawie warto skonsultować się z prawnikiem.