Polityka bezpieczeństwa informacji w szkole i urzędzie: co musi zawierać i czy jest obowiązkowa
Opublikowano 4.11.2026 · czytanie ok. 3 min
„Polityka bezpieczeństwa informacji wzór” to jedno z najczęstszych zapytań dyrektorów i sekretarzy. Zanim pobierzesz cudzy dokument, warto wiedzieć, czego przepisy naprawdę wymagają, czym ta polityka różni się od polityki ochrony danych osobowych i co sprawdzi kontrola.
Zamiast wzoru: 8 części, które musi mieć polityka
- cel i zakres: jakie informacje i systemy obejmuje,
- role: kierownik, koordynator systemu, informatyk lub firma serwisowa, pracownicy,
- zasady nadawania, zmiany i odbierania uprawnień,
- zasady kopii zapasowych i testu ich odtwarzania,
- postępowanie w razie awarii lub incydentu, z terminami zgłoszeń,
- zasady pracy zdalnej i na urządzeniach mobilnych,
- szkolenia pracowników i kierownika,
- przegląd systemu co najmniej raz w roku i sposób oznaczania kolejnych wersji dokumentu.
Czy polityka bezpieczeństwa informacji jest obowiązkowa
Publiczna szkoła, przedszkole, ośrodek pomocy społecznej i urząd gminy prowadzą system zarządzania bezpieczeństwem informacji (SZBI) z ustawy o krajowym systemie cyberbezpieczeństwa. Art. 10 ust. 3 tej ustawy wymaga tak zwanej dokumentacji normatywnej, czyli po prostu spisanych zasad. Ustawa nie narzuca jednak tytułów ani liczby dokumentów.
W praktyce prawie każda jednostka zbiera te zasady w jednym dokumencie nazwanym polityką bezpieczeństwa informacji. Pozostałe procedury, na przykład postępowania z incydentem albo nadawania uprawnień, odsyłają do niej. Tak też podchodzi do tego kontrola: pyta o zasady i o dowody ich stosowania, a nie o konkretny tytuł.
Czym różni się od polityki ochrony danych osobowych
| Polityka bezpieczeństwa informacji | Polityka ochrony danych osobowych | |
|---|---|---|
| Podstawa | art. 10 ust. 3 ustawy o KSC, § 19 rozporządzenia o KRI | art. 24 ust. 2 RODO, gdy jest to proporcjonalne do przetwarzania |
| Co chroni | wszystkie informacje i systemy: dziennik elektroniczny, pocztę, księgowość, stronę internetową | tylko dane osobowe: uczniów, rodziców, pracowników, klientów |
| Kto nadzoruje | kierownik jednostki i koordynator SZBI | kierownik jednostki, doradza inspektor ochrony danych |
| Typowe zapisy | inwentaryzacja, uprawnienia, kopie zapasowe, incydenty, szkolenia, przegląd systemu | podstawy przetwarzania, rejestr czynności, prawa osób, naruszenia ochrony danych |
Wspólne elementy obu dokumentów
Oba dokumenty mają wspólne elementy, na przykład uprawnienia i kopie zapasowe. Zamiast pisać to samo dwa razy, lepiej opisać te zasady raz i odesłać do nich z drugiego dokumentu.
Dlaczego sam wzór nie wystarczy
Wzór z internetu opisuje typową organizację. Kontrola pyta o tę konkretną: kto ma dostęp do dziennika, gdzie jest ostatni wynik testu kopii, kto przeszedł szkolenie w tym roku. Jeśli polityka mówi co innego niż stan faktyczny, staje się dowodem przeciwko jednostce.
Dlatego ważniejsze od objętości są aktualność i zapisy z bieżącej pracy. Polityka musi się zmieniać razem z jednostką: po zmianie dostawcy poczty, nowym programie kadrowym czy odejściu informatyka.
Polityka w portalu i-SZBI: bez wzoru i bez segregatora
W portalu nie szukasz wzoru. Wpisujesz dane jednostki raz: sprzęt, programy, osoby, dostawców. Portal składa z nich politykę bezpieczeństwa informacji i procedury, a każdą zmianę zapisuje jako nową wersję. Pracownicy potwierdzają zapoznanie się z konkretną wersją, a raport pokazuje, kto jeszcze tego nie zrobił.
Wydruk aktualnej polityki, całej teczki SZBI albo raportu na kontrolę masz w każdej chwili. System prowadzi Twój pracownik albo zaprzyjaźniona firma informatyczna, której dajesz dostęp do portalu. W wersji demo zobaczysz, jak wygląda gotowa polityka.
Zasady z polityki utrwalisz szkoleniem online: pracownicy i kierownik rozwiązują test i dostają zaświadczenie, a kampanie phishingowe sprawdzają w praktyce, czy zespół je stosuje.
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy polityka bezpieczeństwa informacji jest obowiązkowa w szkole?
Obowiązkowa jest dokumentacja normatywna SZBI (art. 10 ust. 3 ustawy o KSC). Przepis nie nazywa jej polityką, ale polityka bezpieczeństwa informacji to najczęstszy i najprostszy sposób, żeby tę dokumentację uporządkować.
Czy można mieć jedną politykę zamiast dwóch?
Można opisać wspólne zasady raz i odesłać do nich z drugiego dokumentu. Ważne, żeby polityka ochrony danych obejmowała wymagania RODO, a polityka bezpieczeństwa informacji wszystkie systemy jednostki, nie tylko dane osobowe.
Jak często aktualizować politykę bezpieczeństwa informacji?
Przy każdej istotnej zmianie w jednostce i po przeglądzie systemu, który odbywa się co najmniej raz w roku (Załącznik nr 4, część III). Każda wersja powinna być oznaczona (art. 10 ust. 6 ustawy o KSC).