Jak rozsądnie wdrożyć ustawę o systemie cyberbezpieczeństwa
Michał Nowakowski · 6 listopada 2026
Wdrażanie ustawy o krajowym systemie cyberbezpieczeństwa - wersja papierowa kontra praktyczna. Do's and dont's.
Wdrażanie ustawy o krajowym systemie cyberbezpieczeństwa - wersja papierowa kontra praktyczna. Do's and dont's.
Jeżeli jesteś podmiotem ważnym lub kluczowym pod banderą ustawy o krajowym systemie cyberbezpieczeństwa (uKSC) lub pomagasz wdrażać przepisy, to pewnie masz wątpliwości. Zastanawiasz się jak właściwie powinno to wyglądać i czy Twoje wyobrażenie o tym jak powinno to potem działać będzie zbieżne z audytorami.
To naturalne, szczególnie jeżeli robisz to po raz pierwszy. Mam więc kilka wskazówek dla tych, którzy na kwiecień przyszłego roku chcą być gotowi nie tylko na papierze. Wdrożyć uKSC to z głową to nie przeczytanie stosu książek, ale umiejętność przełożenia tego na praktykę.
Poniżej kilka wskazówek z projektów wdrożeniowych:
✅ najpierw określ swój poziom ryzyka w obszarze cyberbezpieczeństwa uwzględniając to jakie usługi lub produkty dostarczasz - to pomoże Ci dopasować poziom intensywności rozwiązań, które wdrożysz i jednocześnie nie zbankrutować,
✅ w kolejnym kroku wyznacz swój cel, który chcesz osiągnąć tworząc politykę zarządzania bezpieczeństwem informacji i wyraźnie to w niej zaznacz,
✅ następnie zastanów się kto będzie Ci potrzebny, aby ten cel osiągnąć, a więc jasno pokaż ludzi i zespoły, które mają być zaangażowane w cały proces i nakreśl im jak zmienią się ich obowiązki,
✅ wyznacz lidera, który będzie ogarniał tematy związane z funkcjonowaniem systemu zarządzania cyberbezpieczeństwem (SZBI) - bez zaangażowania takiej osoby na samym początku możesz natrafić na dużo przeszkód,
✅ zastanów się czy przypadkiem wdrażając uKSC nie powinieneś uwzględnić także dobrych praktyk czy wytycznych, które wesprą operacjonalizację; dla przykładu ENISA, OWASP, MITRE czy ISO (w szczególności 27090 i 27001/22301) produkują bardzo wartościowe standardy bez których "zaangażowania" nasze SZBI pozostaje Słabo Zarządzanym Bezpieczeństwem Informacji,
✅ uświadom sobie, że SZBI ma współdziałać z modelem biznesowym i naszymi innymi systemami zarządzania, a więc stwórz - choćby prostą - mapę zależności (architektoniczną), która pozwoli ocenić wpływ na różne procesy czy systemy,
✅ określ budżet wdrożeniowy i operacyjny - nie może to być wyłącznie 1/8 etatu "bezpiecznika" - to też inne koszty, które musimy ponieść, aby zapewnić nam i naszym danym bezpieczeństwo.
Wskazówek jest pewnie więcej, ale te dają nam wyraźną przewagę i pozwolą rozłożyć pracę na etapy, a także być przygotowanym/ą na wyzwania, które nas czekają. SZBI nie jest kolejnym obciążeniem dla organizacji, ale naszą polisą.
Masz problem z wdrożeniem? To normalne. Nie ulegaj "presji" otoczenia i AI'owym rekomendacjom. Dobrze zaplanowany proces wdrożeniowy i utrzymania to więcej niż połowa sukcesu.