Pełnomocnik ds. cyberbezpieczeństwa: usługi w Poznaniu i zdalnie

Nazywam się Paweł Rosół i pracuję jako zewnętrzny pełnomocnik ds. cyberbezpieczeństwa: wykonuję dla podmiotów kluczowych i ważnych zadania z ustawy o KSC, które kierownik podmiotu powierza osobie spoza organizacji. Pracuję z kierownictwem, czyli z osobami, które według ustawy odpowiadają za cyberbezpieczeństwo osobiście (art. 8c). Z organizacjami z Poznania i powiatu poznańskiego pracuję na miejscu, z resztą Polski zdalnie.

Tę samą rolę nazywa się też pełnomocnikiem ds. bezpieczeństwa informacji, a jej zlecenie komuś z zewnątrz outsourcingiem pełnomocnika. Ustawa o KSC takiej funkcji nie nazywa, więc piszę o zadaniach, które z niej wynikają. Zakres poniżej to zadania, które faktycznie wykonuję; kolejność odpowiada temu, jak zwykle wygląda droga podmiotu od pierwszego pisma z ministerstwa do działającego systemu.

Dla kogo pracuję?

Dla podmiotów kluczowych i ważnych ze wszystkich sektorów z załączników nr 1 i 2 do ustawy o KSC, w tym dla samorządu i jego spółek. Urząd gminy, który 1 stycznia danego roku zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty, oraz starostwo powiatowe są w załączniku nr 1 w sektorze podmioty publiczne, a więc są podmiotami kluczowymi niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. d). Samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury i spółki komunalne wykonujące zadania o charakterze użyteczności publicznej są podmiotami ważnymi, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8).

Nie przeprowadzę audytu z art. 15 w podmiocie, w którym realizuję zadania z art. 8, ani przez rok po ich zakończeniu (art. 15 ust. 2a). Jeśli szukasz audytora, a nie pełnomocnika, nie jestem właściwą osobą dla Twojej organizacji.

Gdzie pracuję?

Na miejscu w Poznaniu i powiecie poznańskim, zdalnie w całej Polsce. Analiza dokumentacji, szacowanie ryzyka i spotkania z zarządem zwykle nie wymagają obecności w siedzibie. Audyt fizyczny i ćwiczenia z reagowania na incydent tak.

Jak zaczynamy?

1. Rozmowa i krótka analiza, czy i w jakiej roli podmiot podlega ustawie. Za tę część nie wystawiam faktury.
2. Analiza luk: porównanie stanu organizacji z wymaganiami art. 8 ust. 1, lista luk z priorytetami i harmonogram dla zarządu. Cena od 3000 zł netto, ustalona z góry.
3. Przed rozpoczęciem zadań z art. 8 lub art. 11 przedstawiam informację z Krajowego Rejestru Karnego (art. 8f ust. 1).
4. Umowa na dalszą pracę: ryczałt od 1600 zł netto miesięcznie na utrzymanie systemu albo projekt wdrożeniowy z ceną ustaloną po analizie luk.

Czy ustawa dotyczy Twojej organizacji?

Zaczynam od ustalenia, czy podmiot podlega ustawie o KSC, a jeśli tak, to czy jako podmiot kluczowy, czy ważny (art. 5). Sprawdzam sektor z załączników nr 1 i 2, wielkość przedsiębiorstwa i wyjątki, które działają niezależnie od wielkości. Wynik to krótka notatka dla zarządu: podlega albo nie podlega, w jakiej roli, z jakiego przepisu i jakie terminy z tego wynikają. Jeśli nie podlega, mówię to wprost i na tym kończymy.

Wpis do wykazu i osoby do kontaktu

Przygotowuję wniosek o wpis do wykazu podmiotów kluczowych i ważnych oraz komplet danych, których wymaga art. 7 ust. 2, w tym zakresy adresów IP i domeny. Pomagam wyznaczyć osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1) i uruchomić dostęp do systemu S46, przez który podmiot zgłasza incydenty.

Analiza luk i harmonogram

Porównuję to, co organizacja ma, z tym, czego wymaga art. 8 ust. 1: polityki, procesy, zabezpieczenia techniczne, umowy z dostawcami, plany ciągłości działania. Wynik to lista luk z priorytetami i harmonogram dojścia do zgodności, który zarząd może zatwierdzić i sfinansować (art. 8d pkt 2).

System zarządzania bezpieczeństwem informacji

Wdrażam SZBI w systemie informacyjnym używanym do świadczenia usługi, tak jak wymaga art. 8 ust. 1 ustawy o KSC, w oparciu o ISO/IEC 27001. W praktyce:

• inwentaryzacja aktywów IT i OT oraz mapowanie usługi, od której zależy podmiot,
• metodyka i przeprowadzenie szacowania ryzyka, plan postępowania z ryzykiem,
• przegląd, urealnienie i uzupełnienie polityk oraz procedur,
• bezpieczeństwo łańcucha dostaw: ocena dostawców ICT i klauzule umowne (art. 8 ust. 1 pkt 2 lit. e i ust. 2),
• polityki kontroli dostępu, kryptografii, zarządzania aktywami i aktualizacji.

Dokumentacja opisuje to, co organizacja robi. Nie piszę procedur, których nikt nie będzie wykonywał.

Obsługa i zgłaszanie incydentów

Procedura obsługi incydentów zgodna z art. 11: klasyfikacja według progów, wczesne ostrzeżenie do CSIRT sektorowego w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca. Procedura jest spójna ze zgłaszaniem naruszeń ochrony danych do UODO, bo ten sam incydent bywa jednym i drugim. Do tego plany ciągłości działania i odtwarzania, testy odtworzenia kopii zapasowych i ćwiczenia z reagowania na incydent z udziałem zarządu.

Kierownictwo i pracownicy

Szkolenie kierownika podmiotu, którego wymaga art. 8e, oraz szkolenia z cyberhigieny dla pracowników (art. 8 ust. 1 pkt 2 lit. i oraz j). Okresowe raporty dla zarządu, rejestr zgodności i plan naprawczy, wsparcie podczas kontroli organu właściwego i podczas audytu z art. 15. Audytu nie przeprowadzam w podmiocie, w którym realizuję zadania z art. 8, bo zakazuje tego art. 15 ust. 2a.

Model współpracy

Najczęściej pracuję w modelu stałym: ustalona liczba godzin w miesiącu na utrzymanie systemu, spotkania z zarządem, przeglądy i reakcję na incydent. Wdrożenie od zera jest projektem z harmonogramem i ceną ustaloną po analizie luk. Pojedyncze zadania, na przykład przegląd umowy z dostawcą albo ćwiczenie z incydentu, rozliczam godzinowo. Szczegóły są na stronie Cennik, a to, jak pracuję, w Metodyce.

Rekomenduję, kierownictwo decyduje. Nie administruję systemami klienta, nie zatwierdzam dostępów i nie przejmuję odpowiedzialności, której ustawa nie pozwala przenieść (art. 8c ust. 3).

Ostatnia zmiana: 28 września 2026.