System zarządzania bezpieczeństwem informacji

Ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nie wskazuje normy, według której trzeba zbudować ten system. Wymaga, żeby zapewniał to, co wymienia art. 8 ust. 1 ustawy o KSC: systematyczne szacowanie ryzykaSzacowanie ryzyka Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”. wystąpienia incydentu i zarządzanie nim, środki techniczne i organizacyjne proporcjonalne do ryzyka, zbieranie informacji o cyberzagrożeniach i podatnościachPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV., zarządzanie incydentami oraz środki ograniczające ich wpływ. Katalog środków w art. 8 ust. 1 pkt 2 ustawy o KSC obejmuje między innymi polityki bezpieczeństwa, plany ciągłości działaniaCiągłość działania Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane., bezpieczeństwo łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem., monitorowanie w trybie ciągłym, edukację personelu i uwierzytelnianie wieloskładnikoweUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa..

O systemie decyduje kierownik podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.: jego przygotowanie, wdrażanie, stosowanie, przegląd i nadzór to jego zadanie (art. 8d pkt 1 ustawy o KSC). Podmiot publicznyPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy., który jest podmiotem ważnym, wdraża system według załącznika nr 4 do ustawy (art. 8 ust. 3 ustawy o KSC). Norma ISO/IEC 27001 opisuje podobny system i bywa dobrym punktem wyjścia, ale zgodność z ustawą ocenia się według jej przepisów.

Wpisy o tym pojęciu: tag SZBI.

Stan prawny na dzień publikacji: 25.09.2026. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).