SZBI w samorządzie: kto odpowiada i jak utrzymać system?

SZBI w samorządzie powinien pomagać urzędowi chronić informacje i utrzymać dostępność usług dla mieszkańców. § 19 Krajowych Ram Interoperacyjności wymaga od podmiotów realizujących zadania publiczne ustanowienia, wdrożenia, monitorowania, przeglądu i doskonalenia systemu zarządzania bezpieczeństwem informacji. To praca ciągła: dokumenty, decyzje o ryzyku i zabezpieczenia trzeba regularnie konfrontować z rzeczywistym działaniem urzędu.

Które wymagania dotyczą JST?

KRI określają podstawowe wymagania dla podmiotów realizujących zadania publiczne, w tym utrzymywanie SZBI i audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz w roku. ISO/IEC 27001 jest odrębną normą, którą można wykorzystać jako punkt odniesienia dla systemu; samo KRI nie wymaga certyfikatu. KSC/NIS2 wymaga osobnej kwalifikacji podmiotu i oceny jego obowiązków. Uczestnik programu Cyberbezpieczny Samorząd powinien ponadto sprawdzić własną umowę grantową, aneksy i instrukcje operatora. Jedna lista kontrolna nie zastępuje tych czterech ocen.

Jeżeli urząd dopiero buduje system, zobacz plan wdrożenia SZBI w JST. Ten artykuł skupia się na jego utrzymaniu po wdrożeniu.

Kto podejmuje decyzje w systemie?

• Kierownictwo zatwierdza zakres i zasady SZBI, przyjmuje decyzje o ryzyku i zapewnia zasoby do działań naprawczych.
• Właściciele procesów i informacji wskazują, jak awaria lub utrata danych wpłynie na zadania urzędu, oraz uzgadniają potrzebne zabezpieczenia.
• Zespół IT i dostawcy utrzymują uzgodnione środki techniczne, kopie zapasowe, uprawnienia i rejestrowanie zdarzeń. Odpowiedzialności dostawców powinny wynikać również z umów.
• Osoba koordynująca SZBI pilnuje aktualności dokumentów, planu przeglądów, szkoleń i zamykania działań korygujących. Ta rola nie zwalnia kierownictwa z decyzji.
• IOD uczestniczy w sprawach ochrony danych osobowych zgodnie ze swoją funkcją. Zadania IOD i koordynatora SZBI warto rozdzielić w dokumentach.

Podział ról powinien odpowiadać wielkości JST i strukturze jej jednostek. Gdy systemy są współdzielone z jednostkami podległymi, trzeba wskazać granice odpowiedzialności, a nie zakładać, że sam dokument urzędu obejmuje wszystkie podmioty.

Jak wygląda cykl utrzymania SZBI?

Po zmianie systemu, dostawcy lub procesu sprawdź, czy inwentaryzacja, uprawnienia i analiza ryzyka nadal są aktualne. Rejestruj incydenty i wnioski z ich obsługi. W ustalonych odstępach testuj odtwarzanie kopii, przeglądaj dostęp i weryfikuj, czy pracownicy znają procedury. Dokumentacja SZBI powinna zawierać także zapisy potwierdzające wykonanie tych działań.

§ 19 ust. 2 pkt 14 KRI wymaga audytu wewnętrznego bezpieczeństwa informacji co najmniej raz w roku. Wykorzystaj jego ustalenia do planu poprawek: przypisz właścicieli, terminy i sposób sprawdzenia rezultatu. Raport odłożony do archiwum bez działań korygujących nie doskonali systemu. W razie potrzeby zobacz zakres audytu KRI oraz audytu SZBI; ich cel i zakres trzeba ustalić dla konkretnej JST.

Co po projekcie Cyberbezpieczny Samorząd?

CPPC umożliwiło wydłużenie realizacji grantów do 30 września 2026 r.. Po zakończeniu prac JST powinna sprawdzić umowę, aneksy i aktualne instrukcje dotyczące rozliczenia oraz utrzymania efektów. Raport z audytu projektu, roczny audyt wynikający z KRI i dokumenty rozliczeniowe to różne rzeczy.

W praktyce warto przekazać stałym właścicielom listę zakupionych lub wdrożonych rozwiązań, terminy odnowienia usług, plan szkoleń, harmonogram testów i otwarte działania po audycie. Dzięki temu efekty projektu pozostają częścią zwykłej pracy urzędu. Oferta Idealdata dla uczestników programu obejmuje audyt, dokumentację i plan dalszych działań.

Od czego zacząć przegląd istniejącego SZBI?

Poproś o aktualny zakres systemu, ostatnią ocenę ryzyka, listę właścicieli, wyniki testów kopii i ostatni raport z audytu. Sprawdź, czy dokumenty opisują obecne systemy oraz czy zalecenia z raportu mają właściciela i termin. Taka próbka szybko pokaże, czy potrzebna jest aktualizacja pojedynczych procedur, pełniejsze wdrożenie SZBI czy niezależny audyt. Skontaktuj się z nami, aby ustalić zakres na podstawie rzeczywistego stanu JST.