SZBI do 3 kwietnia 2027: plan wdrożenia dla zarządu

Podmioty kluczowe i ważne, które spełniały przesłanki w dniu wejścia w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, mają do 3 kwietnia 2027 r. wdrożyć system zarządzania bezpieczeństwem informacji i pozostałe obowiązki z rozdziału 3 ustawy. Opisuję, co ustawa przypisuje kierownikowi podmiotu, jak podzielić pracę między zarząd, prawnika i dział IT oraz jak rozłożyć ją na miesiące, które zostały.

Skąd termin 3 kwietnia 2027

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (ustawa z 23 stycznia 2026 r., Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Urząd Komunikacji Elektronicznej w komunikacie z 5 sierpnia 2026 r. wskazuje, że obowiązki z rozdziału 3 ustawy podmioty kluczowe i ważne realizują do 3 kwietnia 2027 r. W tym rozdziale jest system zarządzania bezpieczeństwem informacji, w skrócie SZBI, a także obsługa i zgłaszanie incydentów, osoby do kontaktu i dokumentacja.

Ten sam komunikat podaje dwie dalsze daty. Podmioty kluczowe, które wcześniej nie były operatorami usług kluczowych, przeprowadzają pierwszy audyt do 3 kwietnia 2028 r. Kary pieniężne za większość obowiązków będą mogły być nakładane dopiero po upływie dwóch lat od wejścia przepisów w życie. Ten okres przejściowy nie zmienia terminu wdrożenia. Audyt w 2028 r. będzie sprawdzał system, który ma działać od kwietnia 2027 r.

Od końca października do 3 kwietnia zostaje około 22 tygodni. To wystarczy, jeśli praca zacznie się teraz i jeśli zarząd od początku wie, które decyzje należą do niego. Jeżeli Twoja firma nie ma jeszcze wpisu w wykazie podmiotów kluczowych i ważnych, zacznij od niego. Piszę o tym w tekście Wykaz KSC po 3 października 2026: spóźniony wpis, korekta, wykreślenie. Firma, która spełniła przesłanki później, na przykład po przejęciu albo po wzroście zatrudnienia, powinna ustalić swój termin osobno.

Co ustawa nazywa systemem zarządzania bezpieczeństwem informacji

Art. 8 ust. 1 wymaga, by podmiot kluczowy lub ważny wdrożył system zarządzania bezpieczeństwem informacji w systemie informacyjnym. Ustawa wymienia jego elementy w pięciu punktach.

1. Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem (pkt 1).
2. Środki techniczne i organizacyjne proporcjonalne do oszacowanego ryzyka (pkt 2). Ustawa wylicza je w lit. a do n, między innymi politykę bezpieczeństwa, bezpieczeństwo łańcucha dostaw, ciągłość działania, kryptografię, kontrolę dostępu i zarządzanie aktywami.
3. Zbieranie informacji o cyberzagrożeniach i podatnościach systemu informacyjnego (pkt 3).
4. Zarządzanie incydentami (pkt 4).
5. Środki zapobiegające incydentom, w tym mechanizmy chroniące poufność, integralność, dostępność i autentyczność danych oraz regularne aktualizacje oprogramowania (pkt 5).

Dla części podmiotów szczegóły wynikają wprost z prawa Unii. Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu, dostawcy usług chmurowych i pozostałe podmioty wymienione w art. 8b ust. 1 stosują środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690. Inne podmioty kluczowe i ważne stosują środki zarządzania ryzykiem określone w aktach wykonawczych Komisji wydanych na podstawie dyrektywy NIS2 (art. 8b ust. 2). Rada Ministrów może dodatkowo określić w rozporządzeniu szczegółowe wymagania dla SZBI, odrębnie dla danego rodzaju działalności (art. 8a). Zanim zaczniesz pisać dokumenty, ustal więc, który z tych zestawów wymagań dotyczy Twojej firmy.

Do SZBI należy też dokumentacja. Art. 10 dzieli ją na normatywną, czyli między innymi dokumentację SZBI, dokumentację ciągłości działania i dokumentację techniczną systemu, oraz operacyjną, czyli zapisy pokazujące, że wymagane działania zostały wykonane, w tym logi systemów. Dokumentację przechowuje się co najmniej 2 lata od wycofania systemu z użytkowania albo zakończenia świadczenia usługi (art. 10 ust. 7). Organ, który sprawdzi firmę, oceni system przede wszystkim na podstawie tych dokumentów i zapisów.

Co należy do kierownika podmiotu

Kierownikiem podmiotu jest kierownik jednostki w rozumieniu ustawy o rachunkowości (art. 2 pkt 8a). W spółce kapitałowej to członkowie zarządu. Art. 8c ust. 1 stanowi, że kierownik „ponosi odpowiedzialność za wykonywanie obowiązków” w zakresie cyberbezpieczeństwa, w tym obowiązków z art. 8. Gdy kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2). Powierzenie części obowiązków innej osobie, za jej zgodą, nie zdejmuje odpowiedzialności z kierownika (art. 8c ust. 3).

Art. 8d opisuje, co kierownik robi. Decyduje o przygotowaniu, wdrożeniu i nadzorze nad SZBI. Planuje środki finansowe na obowiązki z zakresu cyberbezpieczeństwa. Przydziela zadania i nadzoruje ich wykonanie. Zapewnia, że personel zna swoje obowiązki i wewnętrzne regulacje, oraz dba o zgodność działania z prawem.

Kierownik i osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą szkolenie, a udział w nim jest udokumentowany (art. 8e ust. 1 i 3). Szkolenie obejmuje między innymi obowiązki z art. 8d, art. 9 do 12b, art. 14 i art. 15 (art. 8e ust. 2).

Z tych przepisów wynika jedna praktyczna rzecz. O SZBI nie da się zdecydować raz, podpisując politykę bezpieczeństwa. Ustawa oczekuje decyzji o budżecie, wyznaczenia osób i stałego nadzoru. Każdy z tych kroków powinien zostawić ślad w uchwale albo w protokole posiedzenia zarządu.

Podział pracy między zarząd, prawnika i dział IT

Większość obowiązków z art. 8 ma część techniczną i część prawną. Rozdzielenie ich na początku oszczędza tygodnie, bo każda strona wie, na co czeka i co oddaje dalej.

• Zarząd przyjmuje uchwałę o wdrożeniu, wskazuje osobę odpowiedzialną, zatwierdza budżet i harmonogram, przechodzi szkolenie i zatwierdza politykę bezpieczeństwa.
• Dział IT albo zewnętrzny dostawca przeprowadza inwentaryzację aktywów i techniczną część szacowania ryzyka, przygotowuje plan zabezpieczeń i odpowiada za aktualizacje, kopie zapasowe, kontrolę dostępu i monitorowanie.
• Prawnik ustala status i zakres działalności objętej ustawą, przygotowuje z działem IT dokumentację normatywną, przegląda umowy z dostawcami ICT pod kątem łańcucha dostaw i pisze procedurę zgłaszania incydentów z terminami ustawowymi.

Dwie sprawy wymagają decyzji wcześnie, bo zależą od ludzi, a nie od dokumentów. Art. 9 ust. 1 wymaga wyznaczenia co najmniej dwóch osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa. Mikroprzedsiębiorca i mały przedsiębiorca wyznacza co najmniej jedną taką osobę (art. 9 ust. 2).

Druga sprawa to personel. Osoba, która ma wykonywać zadania z art. 8 i art. 11, przed ich rozpoczęciem przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji. Kierownik dopuszcza ją do zadań dopiero po otrzymaniu tej informacji (art. 8f ust. 1). Ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej zastępuje ten wymóg (art. 8f ust. 3). Jeśli zadania wykonuje zewnętrzny dostawca, umowa powinna rozstrzygać, kto zbiera te informacje i jak firma je otrzymuje.

Plan na miesiące do 3 kwietnia 2027

Poniższy podział jest przykładowy. Firma z działającym systemem zgodnym z normą ISO/IEC 27001 przejdzie część etapów szybciej, firma bez żadnych polityk potrzebuje więcej czasu na luty i marzec.

Listopad 2026: decyzje i stan wyjściowy

Zarząd przyjmuje uchwałę o wdrożeniu, wskazuje osobę odpowiedzialną i zatwierdza wstępny budżet. Powstaje notatka o statusie firmy: sektor, rodzaj działalności, podmiot kluczowy czy ważny i to, czy firma należy do grupy z art. 8b ust. 1. Firma wyznacza osoby do kontaktu. Zarząd przechodzi pierwsze szkolenie, bo bez niego trudno o świadome decyzje w kolejnych tygodniach. Dział IT zaczyna inwentaryzację systemów, usług i dostawców.

Grudzień 2026 i styczeń 2027: ryzyko i luki

Zespół szacuje ryzyko dla systemu informacyjnego i porównuje stan obecny z listą środków z art. 8 ust. 1 pkt 2, a jeśli ma to zastosowanie, także z rozporządzeniem 2024/2690. Wynikiem jest plan postępowania z ryzykiem z terminami i osobami odpowiedzialnymi. Prawnik dostaje listę umów z dostawcami ICT do przeglądu, zaczynając od tych, bez których firma nie świadczy usługi.

Luty 2027: dokumenty i umowy

Powstaje polityka bezpieczeństwa i polityki szczegółowe, procedura zarządzania incydentami, plan ciągłości działania oraz zasady kontroli dostępu i zarządzania aktywami. Do umów z kluczowymi dostawcami trafiają aneksy dotyczące bezpieczeństwa, zgłaszania incydentów i dostępu do informacji. Firma ustala, jak prowadzi i przechowuje dokumentację operacyjną zgodnie z art. 10.

Marzec 2027: wdrożenie i próba

Zarząd zatwierdza dokumenty, a personel przechodzi szkolenie z nowych zasad. Zespół ćwiczy incydent od wykrycia do zgłoszenia. Trzeba sprawdzić, kto decyduje, czy incydent jest poważny, i kto wysyła wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin od wykrycia i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4 do 4c). Wczesne ostrzeżenie i zgłoszenia przekazuje się przez system teleinformatyczny, o którym mowa w art. 46 ust. 1 (art. 11 ust. 2), więc dostęp do niego trzeba mieć przed dniem próby. Na koniec zarząd robi przegląd i przyjmuje listę spraw na kolejne miesiące.

Po 3 kwietnia praca się nie kończy. Szacowanie ryzyka ma być systematyczne, dokumentacja aktualizowana, a szkolenie kierownika wraca co roku. O tym, kogo obejmuje ustawa i jak czytać kryteria statusu, piszę we wpisie NIS2 w Polsce. Kogo dotyczy i co musisz wdrożyć, a o pierwszych tygodniach stosowania nowych przepisów w tekście Pierwsze 40 dni nowej ustawy o KSC.

Co zrobić teraz

• Potwierdź status na piśmie. Notatka o sektorze, działalności i wielkości firmy jest punktem wyjścia dla zakresu SZBI.
• Przyjmij uchwałę zarządu. Wskaż w niej osobę odpowiedzialną, budżet i harmonogram do 3 kwietnia 2027 r.
• Wyznacz osoby do kontaktu i zaplanuj szkolenie zarządu. Udokumentuj udział w szkoleniu.
• Zleć inwentaryzację systemów i dostawców jeszcze w listopadzie. Bez niej nie da się rzetelnie oszacować ryzyka.
• Zbierz umowy z dostawcami ICT. Ich przegląd i aneksy zajmują więcej czasu niż samo pisanie polityk.

Jeśli nie masz pewności, czy i jako jaki podmiot podlegasz ustawie, zacznij od Kwalifikacji NIS2. To bezpłatne narzędzie, które w około pięć minut przechodzi przez osiem obszarów i pokazuje status Twojej firmy. Jeśli chcesz rozdzielić pracę między prawnika i dział IT albo przejrzeć umowy z dostawcami przed lutym, opisz sprawę. Pierwsza rozmowa jest bezpłatna.

FAQ

Czy SZBI musi mieć certyfikat ISO/IEC 27001?

Art. 8 nie wymaga certyfikatu. Wymaga systemu, który obejmuje elementy wymienione w ustawie i jest udokumentowany. Norma ISO/IEC 27001 bywa dobrym punktem wyjścia, ale ocenia się zgodność z ustawą i z aktami wykonawczymi, które dotyczą Twojej firmy.

Czy zarząd może powierzyć cyberbezpieczeństwo jednej osobie?

Może. Jeśli kierownikiem jest organ wieloosobowy, wskazanie osoby odpowiedzialnej ma znaczenie, bo bez niego odpowiadają wszyscy członkowie. Powierzenie obowiązków innej osobie za jej zgodą nie zwalnia jednak kierownika z odpowiedzialności, a osoba, której powierzono obowiązki, także przechodzi coroczne szkolenie.

Ile czasu jest na zgłoszenie incydentu poważnego?

Wczesne ostrzeżenie trafia do właściwego zespołu CSIRT nie później niż w ciągu 24 godzin od wykrycia, zgłoszenie incydentu nie później niż w ciągu 72 godzin od wykrycia, a sprawozdanie końcowe nie później niż w ciągu miesiąca od zgłoszenia (art. 11 ust. 1).

Czy mała firma ma mniej obowiązków?

Mikroprzedsiębiorca i mały przedsiębiorca wyznacza co najmniej jedną osobę do kontaktu zamiast dwóch. Środki z art. 8 są proporcjonalne do oszacowanego ryzyka, więc ich zakres zależy od działalności, a nie tylko od wielkości. Sam obowiązek wdrożenia SZBI dotyczy każdego podmiotu kluczowego i ważnego, a podmioty ważne będące podmiotami publicznymi wdrażają go według załącznika nr 4 do ustawy (art. 8 ust. 3).

Tekst ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na 27 października 2026 r.