System bezpieczeństwa informacji własnymi siłami — gdzie kończy się samodzielność
Opublikowano 20.09.2026 · czytanie ok. 3 min
Pytanie wraca w każdej szkole i w każdym urzędzie: czy da się wdrożyć system zarządzania bezpieczeństwem informacji bez wynajmowania firmy. Odpowiedź brzmi: w większości zakresu tak, ale nie we wszystkim. Poniżej rozdzielamy jedno od drugiego, bez obiecywania, że wystarczy kupić narzędzie.
Co mówi ustawa o tym, kto ma wdrażać
Ustawa o krajowym systemie cyberbezpieczeństwa nakłada obowiązki na podmiot, nie na jego wykonawcę. Art. 8 opisuje, co system ma robić; art. 8c wskazuje, że za jego wprowadzenie odpowiada kierownik podmiotu; art. 14 pozwala powierzyć zadania z art. 8 oraz art. 9–13 dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa.
Nigdzie nie pojawia się wymóg zatrudnienia konsultanta ani zakupu gotowej dokumentacji. Jeżeli ktoś twierdzi inaczej, warto poprosić o wskazanie przepisu.
Co jednostka zrobi sama
| Obowiązek | Dlaczego da się samodzielnie |
|---|---|
| Inwentaryzacja sprzętu, systemów i usług ICT | Nikt spoza jednostki nie wie lepiej, co stoi w sekretariacie i z czego korzysta księgowość. |
| Dokumentacja: zarządzenie, polityka, procedury | Treść wynika z przepisów i z tego, jak jednostka pracuje. Wzór to punkt wyjścia, nie usługa ekspercka. |
| Szkolenia pracowników i kierownika | Materiał jest ten sam dla wszystkich; liczy się powtarzalność i lista obecności z datami. |
| Obsługa i zgłaszanie incydentów | Zgłoszenie składa jednostka przez S46 — dostawca może pomóc technicznie, ale to podpis kierownika i jego termin. |
| Przeglądy: uprawnienia, kopie, dostawcy, roczny przegląd systemu | To czynności administracyjne z protokołem, nie analiza techniczna. |
| Rejestry ryzyk, aktywów, dostawców i wyjątków | Wymagają wiedzy o jednostce, nie o technologii. |
Czego nie zrobisz sam
- Audytu bezpieczeństwa z art. 15 w podmiocie kluczowym — nie może go przeprowadzić osoba, która realizuje w tej jednostce zadania z art. 8 oraz art. 9–13 ani robiła to w ciągu roku przed audytem (art. 15 ust. 2a). Koordynator nie zaudytuje własnej pracy.
- Czynności, których nikt w jednostce nie potrafi wykonać: konfiguracji kopii odseparowanych, segmentacji sieci, testu odtworzenia w większym środowisku. Tu kupuje się usługę techniczną, nie „wdrożenie SZBI”.
- Obsługi poważnego incydentu, gdy skala przekracza możliwości jednostki — wtedy potrzebne jest wsparcie, a nie czekanie.
- Opinii prawnej w sprawie wątpliwej — portal i wzory pokazują, co wynika z przepisów, ale nie zastępują prawnika w sporze.
Ile to kosztuje po jednej i po drugiej stronie
Koszt wdrożenia przez firmę zewnętrzną to zwykle kilkanaście do kilkudziesięciu tysięcy złotych jednorazowo, a po zakończeniu prac jednostka zostaje z segregatorem i tym samym pytaniem: kto teraz będzie to prowadził przez cały rok.
Koszt samodzielny to czas: kilkanaście godzin na start i kilka godzin miesięcznie na utrzymanie — przeglądy, szkolenia, zapisy. Narzędzie ma ten czas skracać i pilnować terminów, a nie zastępować decyzji kierownika.
Jak rozpoznać ofertę pisaną nie pod jednostkę publiczną
- Pakiet zawiera dokumenty o dyżurach całodobowych, własnym centrum monitorowania i kompletnym zestawie 93 zabezpieczeń — to opis dużej spółki, nie szkoły.
- Dokumentacja powołuje się wyłącznie na art. 8 ust. 1, choć podmiot ważny będący podmiotem publicznym prowadzi system według art. 8 ust. 3 i Załącznika nr 4.
- Procedura incydentów przewiduje wczesne ostrzeżenie w 24 godziny i sprawozdania, mimo że art. 12c zwalnia z nich podmiot ważny publiczny.
- W ofercie nie ma nic o utrzymaniu — a to właśnie ono jest obowiązkiem ciągłym.
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy kontrola uzna dokumentację napisaną samodzielnie?
Tak. Przepisy nie wymagają, żeby dokumentację sporządził podmiot zewnętrzny. Liczy się jej zgodność ze stanem faktycznym i zapisy potwierdzające, że opisane działania są wykonywane.
Czy jednostka może powierzyć wszystko dostawcy?
Zadania z art. 8 oraz art. 9–13 można powierzyć dostawcy usług zarządzanych (art. 14), ale odpowiedzialność za system zostaje przy kierowniku jednostki (art. 8c ust. 1). Warto też wskazać w jednostce osobę, która odbiera pracę dostawcy.
Kto może przeprowadzić audyt w małej jednostce?
Audyt z art. 15 dotyczy podmiotów kluczowych. Może go wykonać osoba spełniająca wymagania z art. 15 ust. 2, która nie realizuje w tej jednostce zadań z art. 8 oraz art. 9–13. W praktyce bywa to audytor zewnętrzny albo pracownik innej jednostki, na przykład w ramach wspólnej obsługi.