Plan ciągłości działania: z czego się składa i jak sprawdzić, że działa?

Plan ciągłości działaniaCiągłość działania Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane. to opis tego, jak podmiot świadczy usługę, gdy jego systemy nie działają, kto o tym decyduje i jak wraca do normalnego trybu. Ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nakazuje taki plan wdrożyć, udokumentować, przetestować i utrzymywać, ale nie mówi, co ma w nim być. W tym tekście piszę, jak wypełniam tę lukę i po czym poznać, że plan nie skończył na półce.

Plan ciągłości działania jest gotowy dopiero wtedy, gdy o trzeciej w nocy ktoś potrafi go otworzyć bez sieci firmowej i wie, co robić przez pierwsze dwie godziny.

Czego wymaga ustawa o KSC?

Art. 8 ust. 1 pkt 2 lit. f ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawy o KSC) wymaga od podmiotu kluczowegoPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. i podmiotu ważnegoPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.:

wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania umożliwiających ciągłe i niezakłócone świadczenie usługi oraz zapewniających poufność, integralność, dostępność i autentyczność informacji, planów awaryjnych oraz planów odtworzenia działalności umożliwiających odtworzenie systemu informacyjnego po zdarzeniu, które spowodowało straty przekraczające zdolności podmiotu do odbudowy za pomocą własnych środków

Przepis nazywa więc trzy rodzaje planów i cztery czynności. Przed nowelizacją z 2026 r. mowa była tylko o „planach działania”, które trzeba wdrażać, dokumentować i utrzymywać. Słowo „testowanie” jest nowe i to ono zmienia najwięcej, bo dokument da się napisać w tydzień, a wynik testu trzeba mieć.

Dalej ustawa dodaje trzy rzeczy. Art. 10 ust. 3 pkt 3 zalicza „dokumentację systemu zarządzania ciągłością działania” do dokumentacji normatywnej, którą podmiot opracowuje, stosuje i aktualizuje. Art. 10 ust. 4 wymaga dokumentacji operacyjnej, czyli zapisów poświadczających, że czynności z dokumentacji normatywnej były wykonywane. A art. 67g ust. 10 pkt 2 pozwala ministrowi w poleceniu zabezpieczającym nakazać „przegląd planów ciągłości działania, planów awaryjnychPlan awaryjny Plan na pierwsze godziny incydentu: kto decyduje, co odłączyć, kogo powiadomić i kto liczy termin zgłoszenia do CSIRT. Ustawa o KSC wymienia go obok planu ciągłości działania i planu odtworzenia. i planów odtworzenia działalnościPlan odtworzenia działalności Disaster recovery plan: jak odbudować systemy informacyjne po zdarzeniu, które przerosło własne siły podmiotu. W jakiej kolejności, z których kopii, na jakim sprzęcie i kto to robi. pod kątem ryzyka wystąpienia incydentu krytycznegoIncydent krytyczny Incydent o znacznych skutkach dla bezpieczeństwa publicznego, gospodarki, instytucji publicznych albo życia i zdrowia ludzi. Klasyfikuje go właściwy CSIRT krajowy. związanego z daną podatnościąPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.”. Kto planów nie ma, nie ma czego przeglądać.

Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1, tylko załącznik nr 4 (art. 8 ust. 3). Załącznik wymaga wprost kopii zapasowych „odseparowanych logicznie i fizycznie” od danych przetwarzanych, testowania „pod kątem kompletności i możliwości odtworzenia danych zawartych w zapasowych kopiach” oraz przygotowania i testowania „procedury w przypadku wystąpienia awarii lub incydentu”. Zapewnienie wysokiej dostępności systemów jest w tym załączniku fakultatywne.

Podmioty, które 3 kwietnia 2026 r. spełniały przesłanki podmiotu kluczowego albo ważnego, mają na wykonanie obowiązków z rozdziału 3 ustawy, a więc także na plany, 12 miesięcy od tego dnia (art. 33 ust. 1 ustawy nowelizującej). Ministerstwo Cyfryzacji podaje na swojej stronie datę 3 kwietnia 2027 r.

Podmiot, który jest równocześnie operatorem infrastruktury krytycznej, ma jeszcze ustawę o zarządzaniu kryzysowym. Po zmianie z 2026 r. wymaga ona od operatora rozwiązań w zakresie „ciągłości działania i odtwarzania, w tym utrzymywania własnych systemów rezerwowych” (art. 6ze ust. 1 pkt 2 lit. f), a od podmiotu krytycznego udziału pracowników w „testach ciągłości działania”, które polegają „na praktycznym sprawdzeniu”, czy podmiot potrafi zapewnić ciągłość usługi kluczowej albo ją przywrócić (art. 6zzb ust. 1 pkt 2 i ust. 5). Dokumentację z art. 10 ustawy o KSC taki operator włącza do dokumentacji ochrony infrastruktury krytycznej (art. 6zf ust. 8 ustawy o zarządzaniu kryzysowym).

Skąd wiadomo, co ma być w planie?

Ustawa o KSC nie definiuje planu ciągłości działania. Dyrektywa NIS2 w art. 21 ust. 2 lit. c wymienia tylko „ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe”. Najbardziej konkretny opis w prawie unijnym daje rozporządzenie wykonawcze Komisji 2024/2690.

Rozporządzenie to wiąże wprost tylko wybranych dostawców usług cyfrowych i infrastruktury cyfrowej, na przykład dostawców chmury, centrów danych i usług zarządzanych. Dla reszty podmiotów jest najlepszym dostępnym wzorem tego, co organ albo audytor uzna za kompletny plan. Pkt 4.1.2 załącznika wymienia elementy planu ciągłości działania i przywrócenia normalnego działania:

a) cel, zakres i odbiorców; b) funkcje i obowiązki; c) kluczowe osoby do kontaktu oraz (wewnętrzne i zewnętrzne) kanały komunikacji; d) warunki aktywacji i dezaktywacji planu; e) kolejność przywracania działalności; f) plany przywrócenia normalnego działania w odniesieniu do konkretnej działalności, w tym cele w zakresie przywrócenia normalnego działania; g) wymagane zasoby, w tym kopie zapasowe i redundancje; h) przywrócenie i wznowienie działalności w wyniku zastosowania środków tymczasowych.

Pkt 4.1.3 nakazuje oprzeć plan na analizie wpływu na działalność, a pkt 4.1.4 testować go, przeglądać i aktualizować „w planowanych odstępach czasu i w następstwie poważnych incydentów lub znaczących zmian w działalności lub poziomie ryzyka”. Osobne punkty 4.2 i 4.3 dotyczą kopii zapasowych i zarządzania kryzysowego. Wytyczne ENISA z czerwca 2025 r. dodają do każdego punktu przykłady dowodów, które organ może chcieć zobaczyć, i radzą testować plany co najmniej raz w roku.

Ta lista pokrywa się z wymaganiami normy PN-EN ISO 22301, polskiego wydania międzynarodowego standardu systemu zarządzania ciągłością działania. Norma opisuje ten sam ciąg: analiza wpływu na działalność i ocena ryzyka, wybór strategii i rozwiązań, plany i procedury, program ćwiczeń, ocena dokumentacji i zdolności, przegląd zarządzania. Wymaga też, by każdy plan był używalny i dostępny w czasie i miejscu, w którym jest potrzebny, co brzmi banalnie do pierwszego incydentu z zaszyfrowanym dyskiem sieciowym.

Norma nie jest w Polsce obowiązkowa i ustawa o KSC do niej nie odsyła. Rządowe Centrum Bezpieczeństwa od lat opiera na niej standardy dla infrastruktury krytycznej, a Ministerstwo Cyfryzacji opublikowało w 2021 r. NSC 800-34 „Poradnik Planowania Awaryjnego”, polskie opracowanie amerykańskiej publikacji NIST SP 800-34. Jeśli audytor pyta „według czego to zrobiliście?”, te trzy dokumenty są dobrą odpowiedzią.

Czym plan ciągłości różni się od planu awaryjnego i planu odtworzenia?

Ustawa wymienia trzy plany jednym tchem i w praktyce często lądują w jednym segregatorze. Ministerstwo Cyfryzacji w pytaniach i odpowiedziach do nowelizacji tłumaczy je na angielskie skróty: plan ciągłości działania to BCP, plan awaryjny to ISCP (plan awaryjny systemu informacyjnego), a plan odtworzenia działalności to DRP. Rozdzielam je według tego, kto ich używa i kiedy.

Plan awaryjny odpowiada na pierwsze godziny: kto ma prawo odłączyć sieć od internetu, kto budzi zarząd, kto liczy 24 godziny na wczesne ostrzeżenie do CSIRT sektorowego z art. 11 ust. 1 pkt 4 ustawy o KSC. Jego użytkownikami są informatycy, osoba odpowiedzialna za cyberbezpieczeństwo i kierownik podmiotu.

Plan ciągłości działania odpowiada na dni, które następują potem: jak wodociąg dostarcza wodę bez SCADA, jak szpital przyjmuje pacjentów bez systemu szpitalnego, jak spółka wystawia faktury bez ERP. Jego użytkownikami są kierownicy działów i ludzie na zmianie, którzy nie muszą wiedzieć, co to ransomware.

Plan odtworzenia działalności, w praktyce plan odtworzenia systemów informacyjnych, odpowiada na pytanie, jak odbudować środowisko: w jakiej kolejności, z których kopii, na jakim sprzęcie, kto to robi i skąd bierze hasła. Ustawa mówi o zdarzeniu, „które spowodowało straty przekraczające zdolności podmiotu do odbudowy za pomocą własnych środków”, więc plan zakłada sytuację, w której własny zespół nie wystarczy.

Niemiecki urząd BSI w standardzie 200-4 dzieli to samo na plany kontynuacji działalności (Geschäftsfortführungspläne), plany ponownego uruchomienia (Wiederanlaufpläne) i plany odtworzenia (Wiederherstellungspläne) i dodaje rozróżnienie, które lubię: sytuacja, na którą jest plan, to Notfall, sytuacja awaryjna. Sytuacja, na którą planu nie ma albo plan nie pasuje, to Krise, kryzys. Podmiot bez planów ma więc z definicji same kryzysy.

Jakimi liczbami opisuje się ciągłość działania?

Bez czterech liczb plan jest opowiadaniem. Podaję je z angielskimi skrótami, bo tak występują w normach i w umowach z dostawcami, a polskie tłumaczenia różnią się między dokumentami.

RTO musi być krótsze od MTPD, bo inaczej plan z definicji nie zdąży; NSC 800-34 mówi to wprost o parze RTO i MTD, którą stosuje NIST. RPO wyznacza częstość kopii zapasowych: kto godzi się stracić dobę danych, robi kopię raz dziennie, kto godzi się stracić godzinę, potrzebuje replikacji. MBCO mówi, czego nie trzeba odtwarzać od razu: oczyszczalnia w trybie ręcznym może pracować bez raportowania do systemu centralnego, ale nie bez dozowania chemii.

Te liczby ustala właściciel procesu, a nie informatyk, bo to on wie, po ilu godzinach bez systemu przestaje wydawać leki albo wysyłać towar.

Informatyk mówi potem, ile kosztuje dowiezienie tego czasu, i dopiero z tej rozmowy wychodzi liczba, którą zarząd akceptuje.

Skąd pełnomocnik bierze informacje do planu?

Ustawa nie używa nazwy „pełnomocnik ds. cyberbezpieczeństwa”. Nakłada obowiązki na kierownika podmiotu (art. 8d) i na podmiot (art. 8, art. 10, art. 11), a osobie, która realizuje zadania z art. 8 lub art. 11, stawia warunek niekaralności z art. 8f. W praktyce to jednak ta osoba, u mnie pełnomocnik, zbiera materiał do planów. Źródłem jest analiza wpływu na działalność, po angielsku business impact analysis (BIA), o której mówi pkt 4.1.3 rozporządzenia 2024/2690 i której norma ISO 22301 poświęca osobny wymóg.

Zaczynam od usługi, nie od systemów, bo tak wyznacza zakres art. 8 ust. 1: system informacyjny „wykorzystywany w procesach wpływających na świadczenie usługi”. Rozkładam usługę na procesy, procesy na zasoby, a przy każdym zasobie pytam, co się stanie, gdy go zabraknie. Standardy RCB dla infrastruktury krytycznej opisują tę metodę tak samo: jedna skala czasu dla całej organizacji, na przykład 1 h, 12 h, 24 h, 48 h, 7 dni i 14 dni, i ocena skutków każdego procesu w kolejnych przedziałach. Tak wygląda to w tabeli:

Najwięcej dają dwa ostatnie wiersze. Najstarsi pracownicy wiedzą, że da się przyjąć pacjenta na papierowej karcie albo wydać towar na dokumencie WZ z bloczka, ale potrzebują bloczka, pieczątki i decyzji, że wolno. Gdy 8 marca 2025 r. ransomware zatrzymało systemy szpitala MSWiA w Krakowie, dyrektor mówił, że szpital pracuje na papierze „praktycznie w całym zakresie”, bo „nie tak dawno pracowaliśmy w tej postaci analogowej i większość z nas wie, jak to się robi”. Za kilka lat ta wiedza odejdzie na emeryturę, jeśli nie zostanie spisana.

Administratorzy z kolei często wiedzą, że kopia jest, ale nie wiedzą, ile trwa jej odtworzenie, bo nikt tego nigdy nie zmierzył. Kierownik CERT Polska Marcin Dudek mówił we wrześniu 2026 r., że podczas incydentów ransomware „prawie zawsze kopie zapasowe są, ale w 90 % przypadkach są zaszyfrowane”.

Z BIA wychodzą trzy dokumenty: lista procesów w kolejności priorytetów, tabela czasów (MTPD, RTO, RPO, MBCO) dla każdego z nich i mapa zależności od systemów i dostawców. To one wyznaczają, dla czego pisać plan, a co może poczekać. Ten sam materiał zasila szacowanie ryzyka z art. 8 ust. 1 pkt 1 ustawy o KSC, więc nie robię go dwa razy.

Jak powstaje plan?

Kolejność u mnie jest zawsze ta sama i odpowiada kolejności z normy ISO 22301, z NSC 800-34 i ze standardu BSI 200-4.

1. Kierownik podmiotu decyduje o zakresie i wskazuje osobę odpowiedzialną. To jego decyzja z art. 8d pkt 1 i 3 ustawy o KSC, więc ma być na piśmie.
2. Analiza wpływu na działalność, jak wyżej. Wynik akceptuje kierownik, bo czasy odtworzenia to decyzja o pieniądzach.
3. Porównanie czasów założonych z rzeczywistymi: BSI nakazuje zestawić RTO z faktycznym czasem odtworzenia (RTA) i RPO z faktyczną utratą danych (RPA). Różnica między nimi to lista ryzyk do decyzji zarządu.
4. Wybór rozwiązań dla procesów, których RTO jest krótkie: druga lokalizacja, zapasowe łącze, ręczny tryb pracy, umowa z dostawcą o sprzęt zastępczy, kopie poza siecią. Norma nazywa ten krok strategiami i rozwiązaniami. Tu powstaje rachunek: co kosztuje skrócenie RTO o dobę i czy zarząd chce za to zapłacić.
5. Pisanie planów, osobno dla każdego procesu krytycznego, na dwóch, trzech stronach. Plan na czterdzieści stron nikt nie przeczyta w nocy. Do tego jeden dokument nadrzędny: struktura reagowania, kryteria aktywacji, kontakty.
6. Zasoby: wydrukowane kopie planu i listy kontaktów w dwóch miejscach, hasła awaryjne w sejfie, telefony poza domeną firmową, bloczki dokumentów papierowych.
7. Szkolenie ludzi, którzy będą z planu korzystać, i pierwsze ćwiczenie. Dopiero po nim plan dostaje numer wersji i trafia do dokumentacji normatywnej z art. 10.

BSI proponuje w standardzie 200-4 trzy poziomy systemu zarządzania ciągłością działania. Reaktywny zabezpiecza tylko wybrane procesy krytyczne tym, co już jest albo co kosztuje niewiele, i ma być tylko wejściem do dalszej budowy. Poziom budowy stosuje pełną metodę do wycinka organizacji i co cykl go rozszerza. Poziom standardowy obejmuje wszystkie procesy i odpowiada ISO 22301. Podmiot, który zaczyna od zera, nie musi od razu budować pełnego systemu. Musi natomiast umieć powiedzieć, na którym poziomie jest i dlaczego to na razie wystarcza.

Norma PN-EN ISO/IEC 27001 podpowiada, gdzie plan łączy się z resztą SZBI. Zabezpieczenie 5.29 wymaga zaplanowania, jak utrzymać bezpieczeństwo informacji podczas zakłóceń, a 5.30 wymaga, by gotowość ICT do zapewnienia ciągłości działania była planowana, wdrażana, utrzymywana i testowana na podstawie celów ciągłości działania. Zabezpieczenie 8.13 mówi o utrzymywaniu i regularnym testowaniu kopii zapasowych, a 8.14 o nadmiarowości środków przetwarzania. Kto ma SZBI według tej normy, ma już miejsce, w którym plan ciągłości działania siedzi.

Co musi istnieć w firmie, żeby plan zadziałał?

Dokument to najmniejsza część. NIK sprawdziła w 2025 r. 24 urzędy gmin i starostwa: 71 % nie było przygotowanych do zapewnienia ciągłości działania systemów, w połowie nie opracowano planów ciągłości działania i planów odtworzeniowych, a nieprawidłowości przy kopiach zapasowych wystąpiły w 12 jednostkach. W badaniu KPMG z grudnia 2025 r. 35 % firm deklarowało, że przygotowuje plany ciągłości działania, a KPMG zauważa, że ten obszar jest jednocześnie najmniej dojrzały i najniżej na liście inwestycji. Z incydentów, które widziałem z bliska albo czytałem w raportach, wynika lista warunków, bez których plan zostaje literaturą.

Kopie zapasowe, do których napastnik nie sięgnie. Ransomware, które szyfruje serwery produkcyjne, szyfruje też serwer kopii, jeśli ten stoi w tej samej domenie z tymi samymi uprawnieniami; CERT Polska pisze w raporcie za 2025 r., że „operatorzy ransomware starają się też zniszczyć kopie zapasowe”. Załącznik nr 4 do ustawy o KSC mówi o kopiach „odseparowanych logicznie i fizycznie”, a pkt 4.2.2 lit. c rozporządzenia 2024/2690 o przechowywaniu kopii „w bezpiecznym miejscu lub miejscach, które nie znajdują się w tej samej sieci co system”. W praktyce oznacza to co najmniej jedną kopię niezmienialną albo odłączoną od sieci.

Plan dostępny bez firmowej sieci. Plan na wspólnym dysku, który został zaszyfrowany, i lista kontaktów w firmowej poczcie, która nie działa, nie pomogą. Brytyjska biblioteka narodowa, zaatakowana 28 października 2023 r., zwoływała sztab kryzysowy przez wideorozmowę w komunikatorze, bo poczta nie działała, i w raporcie z marca 2024 r. wpisała jako lekcję, że plany na całkowity brak systemów trzeba ćwiczyć osobno od planów dla pojedynczych usług. Trzymam wydruki i kopię na nośniku poza domeną.

Ktoś z prawem do decyzji o każdej porze. Odłączenie firmy od internetu o drugiej w nocy kosztuje, a zwlekanie kosztuje więcej. Plan wskazuje z imienia, kto może podjąć tę decyzję bez telefonu do prezesa, i kto go zastępuje.

Ludzie, którzy plan znają. Art. 8d pkt 4 ustawy o KSC nakazuje kierownikowi zapewnić, że personel „jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu”. Dla planu ciągłości działania oznacza to, że kierownik zmiany wie, gdzie leży bloczek, a nie że plan jest w intranecie.

Dostawcy wpisani do planu. Jeśli RTO systemu zależy od serwisu producenta, plan zawiera numer umowy, czas reakcji z tej umowy i telefon dyżurny. Art. 8 ust. 1 pkt 2 lit. e ustawy o KSC mówi o „ciągłości łańcucha dostaw” obok jego bezpieczeństwa, więc ta kolumna nie jest dodatkiem. Gdy w nocy z 29 na 30 października 2023 r. ransomware zatrzymało Südwestfalen-IT, wspólnego dostawcę informatyki dla 72 gmin w Nadrenii Północnej-Westfalii, kopie zapasowe dostawcy były nienaruszone, a mimo to tryb kryzysowy trwał 11 miesięcy, a gminy zakładały tymczasowe adresy e-mail i strony, żeby utrzymać kontakt z mieszkańcami. Plan gminy musi zakładać, że dostawca też może stanąć.

Zgodność z obsługą incydentu. Plan awaryjny i plan ciągłości działania muszą zawierać ten sam zegar: 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu poważnego do CSIRT sektorowego (art. 11 ust. 1 pkt 4 i 4a), obowiązek poinformowania użytkowników usług o incydencie poważnym, który ma niekorzystny wpływ na te usługi (art. 11 ust. 2b ustawy o KSC), i przy danych osobowych zgłoszenie z RODO. Rozporządzenie 2024/2690 wymaga w pkt 3.1.1, by polityka obsługi incydentów była spójna z planem ciągłości działania; ja piszę je razem.

Budżet na ciągłość działania to nie koszt informatyki, tylko cena za czas przestoju, który zarząd uznał za akceptowalny.

Art. 8d pkt 2 ustawy o KSC nakazuje kierownikowi planować „adekwatne środki finansowe”. Jeśli zarząd zaakceptował RTO 24 godziny dla systemu, którego odtworzenie z obecnych kopii trwa tydzień, to ma w rejestrze ryzyka pozycję do decyzji: płacimy za krótsze odtworzenie albo zapisujemy, że godzimy się na tydzień.

Jak sprawdzić, że plan jest trafny i wdrożony?

Ustawa mówi „testowanie”, norma ISO 22301 mówi o programie ćwiczeń i ocenie skuteczności, a organ i audytor będą pytać o dowody. Rozróżniam trzy poziomy dowodu: dokument (plan istnieje), zapis (ćwiczenie się odbyło, jest protokół) i dowód skuteczności (odtworzenie zmieściło się w RTO, wnioski z ćwiczenia zostały wdrożone). Art. 8 ust. 1 pkt 2 lit. h ustawy o KSC wymaga „polityk i procedur oceny skuteczności środków”, więc trzeci poziom nie jest fanaberią.

Ćwiczenia stopniuję, bo pełny test na produkcji w wodociągu to nie jest coś, od czego się zaczyna:

1. Przegląd planu z jego użytkownikami: czy nazwiska, numery i systemy są aktualne.
2. Ćwiczenie sztabowe: zarząd i kierownicy siadają nad scenariuszem „o 2:00 SOC widzi szyfrowanie na serwerze plików” i odpowiadają na pytania godzina po godzinie. Trwa pół dnia, kosztuje ich czas, ujawnia, kto nie wie, że decyduje.
3. Test techniczny odtworzenia: administratorzy odtwarzają wybrany system z kopii na odizolowanym środowisku i mierzą czas. To jedyny sposób, by poznać prawdziwe RTO i sprawdzić, czy kopia jest kompletna, czego wymaga załącznik nr 4 do ustawy o KSC w części I pkt 11 i pkt 4.2.6 rozporządzenia 2024/2690.
4. Ćwiczenie trybu zastępczego: jeden dział pracuje zmianę bez systemu, na papierze, według planu. To tu wychodzi, że bloczka nie ma albo że nikt nie umie potem wprowadzić danych z powrotem.
5. Pełne ćwiczenie z przełączeniem na zapasową lokalizację, dla podmiotów, które ją mają.

BSI wymaga w standardzie 200-4 rocznego planu ćwiczeń, ułożonego tak, by w ciągu kilku lat przećwiczyć wszystkie procesy, zasoby i procedury. Niemiecki nadzór bankowy w MaRisk nakazuje bankom co roku wykazać skuteczność planów dla procesów krytycznych i co kwartał raportować zarządowi stan zarządzania ciągłością działania. Ustawa o KSC takich częstotliwości nie podaje, więc zapisuję własne w dokumentacji SZBI i potem się ich trzymam, bo audytor sprawdzi najpierw to.

Z każdego ćwiczenia zostaje protokół z listą wniosków, terminem i osobą odpowiedzialną. Wniosek niezamknięty po roku to dowód, że plan nie jest utrzymywany, czego ustawa wymaga tym samym zdaniem, którym wymaga testowania. ENISA wymienia wśród dowodów właśnie to: zapisy z aktywacji planu z podjętymi decyzjami, wykonanymi krokami i końcowym czasem odtworzenia, oraz ślad, że wnioski z testów trafiły do planów.

Mierniki, które pokazuję zarządowi raz na kwartał, zbieram w jednej tabeli. Część z nich BSI podaje jako przykładowe wskaźniki w standardzie 200-4, z celem 100 % dla pokrycia procesów krytycznych planami i ćwiczeniami oraz aktualnością danych poniżej 365 dni.

Dwa ostatnie wiersze trudno zautomatyzować i dlatego są najważniejsze. Reszta pochodzi z protokołów testów, które i tak muszę mieć jako dokumentację operacyjną z art. 10 ust. 4 ustawy o KSC.

Podmiot kluczowy przeprowadza audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata (art. 15 ust. 1 ustawy o KSC), a ci, którzy byli podmiotem kluczowym 3 kwietnia 2026 r., pierwszy w ciągu 24 miesięcy od tego dnia (art. 33 ust. 2 ustawy nowelizującej). Audytu nie zrobi osoba, która realizuje w podmiocie zadania z art. 8 (art. 15 ust. 2a ustawy o KSC), więc pełnomocnik nie oceni własnych planów. Może natomiast zadbać, by audytor dostał protokoły ćwiczeń z dwóch lat, a nie plan wydrukowany tydzień wcześniej.

Od czego zacząć w przyszłym tygodniu?

Gdybym wchodził do podmiotu, który ma tylko politykę bezpieczeństwa i backup „gdzieś na NAS-ie”, zrobiłbym w pierwszym kwartale pięć rzeczy:

• poprosił kierownika o decyzję na piśmie: zakres, osoba odpowiedzialna, termin pierwszego ćwiczenia;
• przeprowadził BIA dla jednej usługi, tej, o której mowa w załączniku do ustawy, i uzgodnił z zarządem czasy dla pięciu najważniejszych procesów;
• zmierzył prawdziwe odtworzenie jednego systemu z kopii i porównał z RTO, które zarząd właśnie zaakceptował;
• napisał plan awaryjny na pierwsze 24 godziny, z nazwiskami, numerami i zegarem zgłoszeń do CSIRT, i położył wydruk w dwóch miejscach;
• przeprowadził ćwiczenie sztabowe z zarządem i spisał wnioski z terminami.

Po takim kwartale podmiot nadal nie ma pełnego systemu zarządzania ciągłością działania. Ma za to jedną liczbę, która zmienia rozmowę z zarządem: ile godzin trwa dziś powrót do pracy, i decyzję, czy tyle wystarczy.

Stan prawny sprawdzony: 28.09.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).