# Pełnomocnik ds. cyberbezpieczeństwa: usługi w Poznaniu i zdalnie Zewnętrzny pełnomocnik ds. cyberbezpieczeństwa dla podmiotów kluczowych i ważnych: na miejscu w Poznaniu i powiecie poznańskim, zdalnie w całej Polsce. - Adres: - Aktualizacja: 28.09.2026 - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) Nazywam się Paweł Rosół i pracuję jako zewnętrzny pełnomocnik ds. cyberbezpieczeństwa: wykonuję dla podmiotów kluczowych i ważnych zadania z ustawy o KSC, które kierownik podmiotu powierza osobie spoza organizacji. Pracuję z kierownictwem, czyli z osobami, które według ustawy odpowiadają za cyberbezpieczeństwo osobiście (art. 8c). Z organizacjami z Poznania i powiatu poznańskiego pracuję na miejscu, z resztą Polski zdalnie. Tę samą rolę nazywa się też pełnomocnikiem ds. bezpieczeństwa informacji, a jej zlecenie komuś z zewnątrz outsourcingiem pełnomocnika. Ustawa o KSC takiej funkcji nie nazywa, więc piszę o zadaniach, które z niej wynikają. Zakres poniżej to zadania, które faktycznie wykonuję; kolejność odpowiada temu, jak zwykle wygląda droga podmiotu od pierwszego pisma z ministerstwa do działającego systemu. ## Dla kogo pracuję? Dla podmiotów kluczowych i ważnych ze wszystkich sektorów z załączników nr 1 i 2 do ustawy o KSC, w tym dla samorządu i jego spółek. Urząd gminy, który 1 stycznia danego roku zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty, oraz starostwo powiatowe są w załączniku nr 1 w sektorze podmioty publiczne, a więc są podmiotami kluczowymi niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. d). Samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury i spółki komunalne wykonujące zadania o charakterze użyteczności publicznej są podmiotami ważnymi, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8). Nie przeprowadzę audytu z art. 15 w podmiocie, w którym realizuję zadania z art. 8, ani przez rok po ich zakończeniu (art. 15 ust. 2a). Jeśli szukasz audytora, a nie pełnomocnika, nie jestem właściwą osobą dla Twojej organizacji. ## Gdzie pracuję? Na miejscu w Poznaniu i powiecie poznańskim, zdalnie w całej Polsce. Analiza dokumentacji, szacowanie ryzyka i spotkania z zarządem zwykle nie wymagają obecności w siedzibie. Audyt fizyczny i ćwiczenia z reagowania na incydent tak. ## Jak zaczynamy? 1. Rozmowa i krótka analiza, czy i w jakiej roli podmiot podlega ustawie. Za tę część nie wystawiam faktury. 2. Analiza luk: porównanie stanu organizacji z wymaganiami art. 8 ust. 1, lista luk z priorytetami i harmonogram dla zarządu. Cena od 3000 zł netto, ustalona z góry. 3. Przed rozpoczęciem zadań z art. 8 lub art. 11 przedstawiam informację z Krajowego Rejestru Karnego (art. 8f ust. 1). 4. Umowa na dalszą pracę: ryczałt od 1600 zł netto miesięcznie na utrzymanie systemu albo projekt wdrożeniowy z ceną ustaloną po analizie luk. ## Czy ustawa dotyczy Twojej organizacji? Zaczynam od ustalenia, czy podmiot podlega ustawie o KSC, a jeśli tak, to czy jako podmiot kluczowy, czy ważny (art. 5). Sprawdzam sektor z załączników nr 1 i 2, wielkość przedsiębiorstwa i wyjątki, które działają niezależnie od wielkości. Wynik to krótka notatka dla zarządu: podlega albo nie podlega, w jakiej roli, z jakiego przepisu i jakie terminy z tego wynikają. Jeśli nie podlega, mówię to wprost i na tym kończymy. ## Wpis do wykazu i osoby do kontaktu Przygotowuję wniosek o wpis do wykazu podmiotów kluczowych i ważnych oraz komplet danych, których wymaga art. 7 ust. 2, w tym zakresy adresów IP i domeny. Pomagam wyznaczyć osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1) i uruchomić dostęp do systemu S46, przez który podmiot zgłasza incydenty. ## Analiza luk i harmonogram Porównuję to, co organizacja ma, z tym, czego wymaga art. 8 ust. 1: polityki, procesy, zabezpieczenia techniczne, umowy z dostawcami, plany ciągłości działania. Wynik to lista luk z priorytetami i harmonogram dojścia do zgodności, który zarząd może zatwierdzić i sfinansować (art. 8d pkt 2). ## System zarządzania bezpieczeństwem informacji Wdrażam SZBI w systemie informacyjnym używanym do świadczenia usługi, tak jak wymaga art. 8 ust. 1 ustawy o KSC, w oparciu o ISO/IEC 27001. W praktyce: - inwentaryzacja aktywów IT i OT oraz mapowanie usługi, od której zależy podmiot, - metodyka i przeprowadzenie szacowania ryzyka, plan postępowania z ryzykiem, - przegląd, urealnienie i uzupełnienie polityk oraz procedur, - bezpieczeństwo łańcucha dostaw: ocena dostawców ICT i klauzule umowne (art. 8 ust. 1 pkt 2 lit. e i ust. 2), - polityki kontroli dostępu, kryptografii, zarządzania aktywami i aktualizacji. Dokumentacja opisuje to, co organizacja robi. Nie piszę procedur, których nikt nie będzie wykonywał. ## Obsługa i zgłaszanie incydentów Procedura obsługi incydentów zgodna z art. 11: klasyfikacja według progów, wczesne ostrzeżenie do CSIRT sektorowego w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca. Procedura jest spójna ze zgłaszaniem naruszeń ochrony danych do UODO, bo ten sam incydent bywa jednym i drugim. Do tego plany ciągłości działania i odtwarzania, testy odtworzenia kopii zapasowych i ćwiczenia z reagowania na incydent z udziałem zarządu. ## Kierownictwo i pracownicy Szkolenie kierownika podmiotu, którego wymaga art. 8e, oraz szkolenia z cyberhigieny dla pracowników (art. 8 ust. 1 pkt 2 lit. i oraz j). Okresowe raporty dla zarządu, rejestr zgodności i plan naprawczy, wsparcie podczas kontroli organu właściwego i podczas audytu z art. 15. Audytu nie przeprowadzam w podmiocie, w którym realizuję zadania z art. 8, bo zakazuje tego art. 15 ust. 2a. ## Model współpracy Najczęściej pracuję w modelu stałym: ustalona liczba godzin w miesiącu na utrzymanie systemu, spotkania z zarządem, przeglądy i reakcję na incydent. Wdrożenie od zera jest projektem z harmonogramem i ceną ustaloną po analizie luk. Pojedyncze zadania, na przykład przegląd umowy z dostawcą albo ćwiczenie z incydentu, rozliczam godzinowo. Szczegóły są na stronie [Cennik](https://pelnomocnikcyber.pl/cennik/), a to, jak pracuję, w [Metodyce](https://pelnomocnikcyber.pl/metodyka/). Rekomenduję, kierownictwo decyduje. Nie administruję systemami klienta, nie zatwierdzam dostępów i nie przejmuję odpowiedzialności, której ustawa nie pozwala przenieść (art. 8c ust. 3). ## Najczęściej zadawane pytania ### Ile kosztuje zewnętrzny pełnomocnik ds. cyberbezpieczeństwa? Ryczałt miesięczny zaczyna się od 1600 zł netto miesięcznie, analiza luk od 3000 zł netto. Ostateczną kwotę ustalam po pierwszej rozmowie, bo zależy od liczby systemów i lokalizacji, stanu dokumentacji na starcie, wymaganego czasu reakcji na incydent i tego, ile zadań podmiot wykonuje sam. Model rozliczeń opisuję na stronie Cennik. ### Czy pracujesz na miejscu w Poznaniu? Tak. Z organizacjami z Poznania i powiatu poznańskiego pracuję na miejscu. Obecności w siedzibie wymagają przede wszystkim audyt fizyczny i ćwiczenia z reagowania na incydent. ### Czy można współpracować wyłącznie zdalnie? W większości tak, z organizacjami z całej Polski pracuję zdalnie. Analiza dokumentacji, szacowanie ryzyka i spotkania z zarządem zwykle nie wymagają obecności w siedzibie. Wyjątkiem są audyt fizyczny i ćwiczenia z reagowania na incydent. ### Co musisz przedstawić przed rozpoczęciem pracy? Informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji. Art. 8f ust. 1 ustawy o KSC wymaga jej od każdej osoby, która ma realizować zadania z art. 8 lub art. 11, zanim je zacznie, a kierownik podmiotu dopuszcza tę osobę do zadań dopiero po jej otrzymaniu. ### Czy po podpisaniu umowy odpowiadasz za cyberbezpieczeństwo zamiast zarządu? Nie. Kierownik podmiotu odpowiada za wykonywanie obowiązków także wtedy, gdy powierzył je innej osobie za jej zgodą (art. 8c ust. 3 ustawy o KSC). Ja rekomenduję i wykonuję powierzone zadania, decyzje o zabezpieczeniach i wydatkach zostają przy kierowniku. ### Czy możesz być też naszym IOD? Mogę, jeśli połączenie obu funkcji nie powoduje konfliktu interesów, który wyklucza art. 38 ust. 6 RODO. Warunki, na jakich to działa w praktyce, opisuję w FAQ serwisu, w pytaniu o łączenie funkcji IOD i pełnomocnika.