Wdrożenie SZBI w jednostce samorządowej (JST) — przewodnik

1. Co to jest SZBI

SZBI to system zarządzania bezpieczeństwem informacji: lista rzeczy, które jednostka i tak powinna mieć — spisana, podpisana i sprawdzana raz w roku. Ustawa nie każe kupować nowych komputerów. Wymaga, żeby jednostka wiedziała, co ma, kto ma do czego dostęp, czy kopie da się odtworzyć i co zrobić, gdy coś się stanie.

Nie jest to program komputerowy ani certyfikat, tylko sposób pracy całej jednostki.

Od 03.04.2026 szkoły, przedszkola, ośrodki pomocy społecznej, urzędy gmin i starostwa są z mocy ustawy o krajowym systemie cyberbezpieczeństwa (ustawy o KSC) podmiotami tego systemu. Przepis obejmuje każdą samorządową jednostkę budżetową, bez względu na jej wielkość (art. 5 ust. 2 pkt 8 ustawy o KSC). Nikt nie musiał się zgłaszać — obowiązek już istnieje; wpis do wykazu podmiotów to osobna sprawa (tabela niżej).

2. Kto wprowadza SZBI i do kiedy

Jednostka publiczna będąca podmiotem ważnym nie stosuje pełnego katalogu środków z art. 8 ust. 1 ustawy o KSC — nie prowadzi dokumentów wymaganych od podmiotów kluczowych (w portalu: deklaracja stosowania, rejestr wyjątków) i nie przechodzi audytu zewnętrznego co trzy lata. Stosuje Załącznik nr 4 do ustawy: 18 działań obowiązkowych, 9 dodatkowych (dobrowolnych), coroczny przegląd i dokumentowanie. Na tym polega cały jej system.

Terminy

Terminy liczą się od 03.04.2026. Status swojej jednostki sprawdzicie w kalkulatorze — o tym, czy urząd gminy jest podmiotem kluczowym, decyduje liczba osób na umowę o pracę w samym urzędzie, w przeliczeniu na pełne etaty, stan na 1 stycznia.

3. Kto może wdrażać

• Odpowiada zawsze kierownik jednostki: dyrektor, wójt albo kierownik ośrodka. Może powierzyć obowiązki pracownikowi, na przykład koordynatorowi SZBI, ale odpowiedzialność zostaje przy kierowniku. SZBI nie jest „zadaniem informatyka”.
• Wdrażać może każdy. Ustawa nie wymaga od osoby wdrażającej certyfikatu ani uprawnień. System może wprowadzić pracownik jednostki (sekretarz, koordynator, informatyk), gmina lub powiat (także przez centrum usług wspólnych) w ramach wspólnej obsługi swoich jednostek, na podstawie uchwały wymieniającej obowiązki z ustawy o KSC, albo firma zewnętrzna na podstawie umowy.
• Audytu z ustawy nie może robić osoba, która w tej jednostce prowadzi SZBI, obsługuje incydenty albo robiła to w ciągu roku przed audytem (art. 15 ust. 2a). Zakaz dotyczy audytu podmiotów kluczowych oraz audytu, który organ nakaże podmiotowi ważnemu po incydencie poważnym. Przegląd roczny w szkole nie ma takich wymagań — może go zrobić pracownik jednostki.
• Osoby, które prowadzą SZBI albo obsługują incydenty — także z firmy zewnętrznej — przedstawiają przed rozpoczęciem zadań informację z Krajowego Rejestru Karnego (KRK). Kto jej nie przedstawi, nie może tych zadań wykonywać.
• Firma, która proponuje „audyt zerowy”, nie ma uprawnień z ustawy — ma tylko umowę z jednostką. „Audyt zerowy” to handlowa nazwa samooceny. Warto zapytać, co jednostka dostanie na końcu: wypełnione rejestry czy segregator.

4. Jakie czynności trzeba wykonać — po kolei

Kolejność jest praktyczna: każdy krok daje dowód potrzebny w następnym. Dziewięć kroków grupuje wszystkie 18 działań obowiązkowych Załącznika nr 4 i opisuje tryb uproszczony; starostwo i urząd gminy od 50 etatów wykonują je także, ale w ramach pełnego katalogu z art. 8 ust. 1 — dochodzą m.in. deklaracja stosowania, rejestr wyjątków i audyt zewnętrzny.

1. Ludzie i role. Ustalcie, kto jest kierownikiem, komu powierza obowiązki (koordynator SZBI), kto jest informatykiem albo która firma obsługuje IT i kto pełni funkcję inspektora ochrony danych. Wyznaczcie osoby do kontaktów z CSIRT (zespołem reagowania na incydenty, który przyjmuje zgłoszenia) i z innymi podmiotami systemu — ustawa mówi o co najmniej dwóch, a dla podmiotu ważnego publicznego o co najmniej jednej; bezpieczniej wyznaczyć dwie. Zbierzcie informacje z KRK i zapiszcie kierownika jednostki na szkolenie w tym roku kalendarzowym.
2. Inwentaryzacja. Spiszcie sprzęt, programy i usługi: dziennik elektroniczny albo system obsługi klientów, pocztę, usługi w chmurze, stronę internetową i domenę. Przy każdej pozycji zapiszcie właściciela, dostawcę, wersję i datę końca wsparcia.
3. Dostępy i uprawnienia. Sprawdźcie, kto ma konto w którym systemie i na jakiej podstawie. Każdy powinien mieć tylko takie uprawnienia, jakich potrzebuje do pracy. Odbierzcie dostępy byłym pracownikom i zapiszcie datę — brak takiego zapisu to najczęstsze ustalenie kontroli.
4. Ochrona fizyczna i poczta. Zabezpieczcie serwerownię albo szafę z urządzeniami, klucze i dokumenty papierowe. Informatyk ustawia zabezpieczenia domeny pocztowej (SPF, DKIM i DMARC — ustawienia, dzięki którym nikt nie podszyje się pod waszą pocztę).
5. Kopie zapasowe. Kopia musi być odseparowana od sieci, w której pracujecie na co dzień, a jej odtworzenie trzeba przetestować i opisać w protokole. Kopia, której nikt nigdy nie odtworzył, nie dowodzi, że działa.
6. Procedury. Opiszcie, co robić przy awarii: kto działa, do kogo dzwoni i co przywraca w pierwszej kolejności. Opiszcie, co robić przy incydencie (phishing, zaszyfrowanie danych, wyciek): kto ocenia, kto zgłasza i w jakim terminie. Obie procedury trzeba przetestować.
7. Antywirus, praca zdalna i cyberhigiena. Prowadźcie wykaz komputerów z ochroną antywirusową. Spiszcie zasady pracy zdalnej i zbierzcie potwierdzenia zapoznania się z nimi. Zasady cyberhigieny obowiązują wszystkich, również kierownika.
8. Szkolenia pracowników. Przeszkolcie pracowników z zagrożeń, zasad bezpieczeństwa, skutków naruszeń i postępowania przy incydencie. Z każdego szkolenia zostaje lista obecności.
9. Dokumentacja i przegląd. Każdy z kroków 1–8 zostawia zapis, a całość przegląda się raz w roku.

Działania dodatkowe (dobrowolne)

Załącznik nr 4 zawiera też działania dodatkowe, dobrowolne: m.in. wysoką dostępność systemów, monitorowanie, testy bezpieczeństwa, klauzule w umowach serwisowych oraz zasady korzystania z chmury i sztucznej inteligencji. Ustawa mówi, że system „może dodatkowo obejmować” te działania. Dobrą praktyką jest zapisanie w protokole przeglądu, które z nich jednostka wybrała i dlaczego z innych zrezygnowała — kontrola może o to zapytać.

5. Jak to działa na co dzień

SZBI to cykl, a nie jednorazowy projekt. Najpierw spisujecie, co macie. Potem oceniacie, co wam grozi i które rzeczy są krytyczne. Następnie zabezpieczacie je: porządkujecie uprawnienia, robicie kopie, piszecie procedury. Z każdego działania zostaje dowód — rejestr, protokół albo lista obecności. Raz w roku przeglądacie całość i zaczynacie od nowa — od spisu.

• Każde działanie zostawia ślad z datą: rejestr systemów, rejestr dostępów, protokół testu kopii, lista obecności ze szkolenia. Kontroler nie pyta, czy macie program antywirusowy — prosi o wykaz komputerów i stan aktualizacji.
• Przegląd roczny odnawia wszystkie zapisy — po nim dokumenty znów mają świeżą datę.
• Każdy ma swoją rolę. Kierownik jednostki podejmuje decyzje i podpisuje dokumenty. Koordynator prowadzi rejestry i pilnuje terminów. Informatyk wykonuje prace techniczne: kopie, zabezpieczenia poczty, ochronę antywirusową, nadawanie dostępów. Sekretariat zajmuje się sprawami pracowników: informacjami z KRK, szkoleniami i potwierdzeniami zapoznania. Inspektor ochrony danych doradza i pilnuje spraw danych osobowych; zgłoszenie naruszenia do Urzędu Ochrony Danych Osobowych (UODO) składa jednostka jako administrator, zwykle z jego pomocą.
• Wszystko leży w jednym miejscu — w teczce SZBI, papierowej albo prowadzonej w portalu — żeby przy kontroli nie szukać dokumentów po skrzynkach mailowych.

6. Jak zapewnić ciągłość działania

Ciągłość działania oznacza, że jednostka pracuje normalnie już następnego dnia po awarii.

• Kopie zapasowe muszą być odseparowane: nie mogą leżeć na tym samym serwerze ani w tej samej sieci. Trzeba ustalić, co kopiujecie, jak często, gdzie i kto za to odpowiada.
• Odtworzenie kopii trzeba sprawdzać. Co pewien czas przywracacie plik albo bazę danych z kopii i spisujecie protokół: datę, zakres, wynik i czas trwania.
• Procedura awaryjna opisuje, co robić, gdy przestanie działać dziennik elektroniczny, poczta albo internet: w jakiej kolejności przywracać systemy, do których dostawców dzwonić, jak przez dzień pracować „na papierze” i kto informuje rodziców albo klientów. Procedurę trzeba przetestować, nie tylko spisać.
• Umowy z dostawcami powinny określać czas reakcji serwisu i zasady bezpieczeństwa. Każdy powinien wiedzieć, do kogo dzwonić w razie awarii.
• Zapiszcie daty końca wsparcia dla systemu operacyjnego, dziennika i serwera, żeby nie zostać z oprogramowaniem, które nie dostaje już poprawek.
• Jednostki, które chcą zrobić więcej, mogą zadbać o drugie łącze internetowe i zasilanie awaryjne.

7. Dokumentacja

Załącznik nr 4 mówi krótko: jednostka dokumentuje realizację działań. Nie chodzi o pisanie polityk dla samych polityk, tylko o zapisy potwierdzające, że dane działanie zostało wykonane. Minimum to:

• rejestr systemów i zasobów informatycznych z właścicielami, wersjami i datami końca wsparcia;
• rejestr dostępów i uprawnień z datami nadania, zmiany i odebrania;
• rejestr kopii zapasowych i protokoły testów odtworzenia;
• procedura awaryjna i procedura obsługi incydentu z terminami zgłoszeń i osobami odpowiedzialnymi;
• zasady pracy zdalnej i cyberhigieny wraz z potwierdzeniami zapoznania;
• rejestr szkoleń z zakresem, listą uczestników i zaświadczeniami;
• rejestr incydentów i zgłoszeń;
• wykaz osób pełniących role z ustawy o KSC, z datą szkolenia kierownika i datami informacji z KRK;
• protokół przeglądu rocznego.

Daty, wersje i dokumentacja RODO

Każdy dokument ma datę i podpis. Obowiązuje jedna wersja, poprzednie przechowuje się, a dokumentów nie wolno antydatować. Obok prowadzi się dokumentację RODO — rejestr czynności przetwarzania i umowy powierzenia z dostawcami, którzy przetwarzają dane w imieniu jednostki (dziennik elektroniczny, poczta, chmura). To osobny obowiązek, ale dotyczy tych samych systemów.

8. Szkolenia

Szkolenie przechodzi kierownik jednostki — co roku, z obowiązków z ustawy — oraz wszyscy pracownicy, którzy pracują z informacjami: oni uczą się zagrożeń, zasad bezpieczeństwa i postępowania przy incydencie. Uczniowie, rodzice i klienci dostają informację, gdzie zgłosić podejrzany incydent.

Jak zorganizować szkolenie pracowników

Sprawdza się prosty sposób: dwudziestominutowe szkolenie na radzie pedagogicznej albo na zebraniu, lista obecności i krótki test z pięciu pytań. Raz w roku można też przeprowadzić symulację ataku phishingowego.

9. Raportowanie

Dwa zgłoszenia, rejestr incydentów i dzienniki zdarzeń

Jeden incydent często wymaga dwóch zgłoszeń: do CSIRT i do UODO. Wewnątrz jednostki prowadzi się rejestr wszystkich incydentów, także tych, które nie są poważne, a dzienniki zdarzeń systemów przechowuje się przez 2 lata, chyba że inny przepis każe dłużej (§ 20 KRI).

Od czego zacząć w tym miesiącu

• Kierownik jednostki wyznacza koordynatora i zapisuje się na szkolenie jeszcze w tym roku kalendarzowym.
• Koordynator spisuje systemy i dostawców w jednej tabeli.
• Informatyk przygotowuje listę kont i dostępów oraz odbiera dostępy byłym pracownikom, zapisując datę.
• Informatyk odtwarza jedną kopię zapasową i spisuje protokół.
• Jednostka zakłada konto w S46 i ustala, kto zgłasza incydent i do kogo.

Co dalej

Pozostałe działania trzeba wykonać do 03.04.2027, a przegląd powtarzać co roku.

Pytania, które padają najczęściej

Czy musimy kupić program?
Nie. Potrzebne są rejestry i procedury; można je prowadzić w arkuszu kalkulacyjnym albo w portalu.

Czy czeka nas audyt co trzy lata?
Szkołę, przedszkole i OPS — nie: ten obowiązek dotyczy podmiotów kluczowych, czyli starostwa i urzędu gminy od 50 etatów. Pozostałe jednostki obowiązuje przegląd raz w roku. Wyjątek: po incydencie poważnym organ może nakazać audyt także podmiotowi ważnemu (art. 15 ust. 1b).

Mamy kilka jednostek — czy gmina albo centrum usług wspólnych może prowadzić SZBI za szkoły?
Może, w ramach wspólnej obsługi — jeśli uchwała albo porozumienie wymienia obowiązki z ustawy o KSC w zamkniętym katalogu (zapis „w szczególności” zakwestionował wojewoda). Odpowiedzialność za jednostkę zostaje przy jej kierowniku; gmina prowadzi rejestry i dokumentację. W portalu robi to pakiet gminy albo powiatu: urząd widzi stan każdej jednostki, a jej dokumenty — po wpisaniu podstawy.

Firma wdrożeniowa chce, żeby nasz informatyk wypełnił audyt zerowy.
Informatyk przekazuje fakty o systemach, którymi administruje. Analiza i dokumentacja to dodatkowa praca, która musi wynikać z jego umowy albo z osobnego zlecenia.

Od kiedy grożą kary?
Kary mogą być nakładane po upływie dwóch lat od wejścia nowelizacji w życie (03.04.2028), ale brak SZBI po 03.04.2027 będzie już naruszeniem przepisów. Kara grozi też osobiście kierownikowi jednostki — w podmiocie publicznym do 100 % jego wynagrodzenia (art. 73a ust. 5).

Kto to sprawdzi?
Organ właściwy do spraw cyberbezpieczeństwa, a przy okazji innych kontroli także Najwyższa Izba Kontroli (NIK) i regionalna izba obrachunkowa (RIO). Po incydencie CSIRT może żądać informacji technicznych o jego przebiegu, a UODO może przeprowadzić kontrolę, jeśli doszło do naruszenia danych osobowych. Kontrola zawsze zaczyna od słów: „Proszę pokazać dokumenty”.