SZBI w ośrodku pomocy społecznej: co musi zrobić OPS i jak to prowadzić bez segregatora
Opublikowano 4.11.2026 · czytanie ok. 3 min
Ośrodek pomocy społecznej przetwarza jedne z najbardziej wrażliwych danych w gminie: o zdrowiu, sytuacji rodzinnej i dochodach mieszkańców. Od nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa z 2026 r. ma też wprost obowiązek prowadzenia systemu zarządzania bezpieczeństwem informacji.
Dlaczego OPS musi mieć SZBI
Art. 5 ust. 2 pkt 8 ustawy o KSC mówi, że podmiotem ważnym jest podmiot publiczny, który nie jest kluczowy, a jest samorządową jednostką budżetową realizującą zadanie publiczne z wykorzystaniem systemów informacyjnych. OPS prowadzi sprawy w systemach dziedzinowych, korzysta z poczty i wymiany danych z innymi instytucjami. Wielkość ośrodka nie ma znaczenia.
Na co OPS powinien zwrócić szczególną uwagę
- uprawnienia do systemu dziedzinowego: kto widzi sprawy których podopiecznych, odbieranie dostępu po odejściu pracownika,
- praca w terenie: laptopy i telefony pracowników socjalnych, zasady pracy mobilnej (pkt 8 Załącznika nr 4),
- poczta i wymiana dokumentów z sądami, szkołami i policją: ochrona przed phishingiem,
- kopie zapasowe odseparowane od danych i test ich odtworzenia,
- naruszenia ochrony danych osobowych: zgłoszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że naruszenie raczej nie powoduje ryzyka dla osób (art. 33 RODO),
- incydent poważny: zgłoszenie do właściwego zespołu CSIRT (dla jednostek samorządu zwykle CSIRT NASK) niezwłocznie, nie później niż w 72 godziny od wykrycia (art. 11 ust. 1 pkt 4a ustawy o KSC); art. 12c zwalnia z wczesnego ostrzeżenia i sprawozdań.
Jak to prowadzić przez cały rok
SZBI to nie jednorazowe wdrożenie. Zmieniają się pracownicy, programy i dostawcy, a każda zmiana powinna zostawić zapis. W portalu i-SZBI kierownik OPS albo wyznaczony pracownik zmienia i dodaje dane, a portal aktualizuje dokumenty, pilnuje terminów i liczy czas na zgłoszenie incydentu. Wydruk teczki SZBI i raportu na kontrolę jest dostępny na żądanie.
Pracownicy przechodzą szkolenie online z testem i dostają zaświadczenie, kierownik także. Kampanie phishingowe z gotowych scenariuszy sprawdzają czujność zespołu: pracownik, który kliknie, od razu dostaje krótką lekcję, a kierownik raport wyników. OPS może korzystać z portalu samodzielnie, w abonamencie z cennika. Jeśli gmina kupi pakiet, widzi w jednym panelu stan OPS, szkół i innych jednostek, a każda jednostka widzi tylko swoje dane.
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy mały OPS z kilkoma pracownikami też musi mieć SZBI?
Tak. Dla samorządowej jednostki budżetowej wielkość nie ma znaczenia. Decyduje forma jednostki i realizowanie zadań publicznych z użyciem systemów informacyjnych.
Czy SZBI w OPS może prowadzić urząd gminy albo firma zewnętrzna?
Zadania można powierzyć, np. w ramach wspólnej obsługi jednostek gminy (art. 10a ustawy o samorządzie gminnym) albo dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14 ustawy o KSC), ale odpowiedzialność zostaje przy kierowniku ośrodka (art. 8c). W portalu i-SZBI dajesz takiej firmie dostęp w ustalonym zakresie, a pod każdym jej wpisem widać nazwisko i nazwę firmy.