Bezpieczeństwo informacji w szkołach · województwo pomorskie
Pomagamy szkołom spełnić wymagania ustawy o krajowym systemie cyberbezpieczeństwa
Publiczne szkoły prowadzone przez samorządy są podmiotami ważnymi w rozumieniu tej ustawy. Wspieramy dyrektorów, sekretariaty i organy prowadzące: przy uzupełnieniu danych w wykazie, wdrożeniu systemu zarządzania bezpieczeństwem informacji, ochronie danych osobowych i bezpieczeństwie budynku.
Nowe obowiązki szkoły
Co wynika z ustawy
- Szkoła publiczna prowadzona przez gminę, powiat lub województwo jest podmiotem ważnym.
- art. 5 ust. 2 pkt 8
- Minister Cyfryzacji wpisuje szkołę do wykazu z urzędu i wzywa do uzupełnienia brakujących danych w terminie 6 miesięcy od doręczenia wezwania.
- art. 7a ust. 2; art. 7b ust. 2
- Szkoła wdraża system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy.
- art. 8 ust. 3; art. 33 ust. 1 ustawy zmieniającej
- Szkoła wyznacza co najmniej dwie osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa.
- art. 9 ust. 1 pkt 1
- Incydent poważny zgłasza się do właściwego zespołu CSIRT: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin od wykrycia.
- art. 11 ust. 1 pkt 4 i 4a
- Dyrektor szkoły raz w roku kalendarzowym odbywa szkolenie z zakresu obowiązków wynikających z ustawy.
- art. 8e
Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją wdrażającą dyrektywę NIS2 (Dz.U. 2026 poz. 252). Omówienie dla szkół
W czym pomagamy
Tematy
- Szkoła w ustawie o krajowym systemie cyberbezpieczeństwa (NIS2) Szkoła publiczna jako podmiot ważny: zakres obowiązków.
- Wpis do wykazu i wezwanie do uzupełnienia danych Co zawiera wezwanie, jakie dane uzupełnić i kto podpisuje wniosek.
- System zarządzania bezpieczeństwem informacji (SZBI) Osiemnaście wymagań załącznika nr 4 i przegląd co najmniej raz w roku.
- Audyt KRI w szkole i urzędzie Audyt z rozporządzenia o Krajowych Ramach Interoperacyjności i zapowiedziana zmiana przepisów.
- Bezpieczeństwo fizyczne szkoły Procedury bezpieczeństwa, ćwiczenia, wejścia do budynku i ochrona pomieszczeń z danymi.
- Monitoring wizyjny w szkole Zasady z art. 108a Prawa oświatowego i przepisów RODO.
- Inspektor ochrony danych i RODO w szkole Zadania inspektora, rejestr czynności przetwarzania, naruszenia ochrony danych.
- ISO/IEC 27001 w szkole i urzędzie Norma dobrowolna: kiedy może być pomocna.
- Opieka informatyczna i podpisy kwalifikowane Sieć, kopie zapasowe, aktualizacje, pracownie komputerowe, podpisy kwalifikowane.
Jak pracujemy
Najpierw poznajemy szkołę
Załącznik nr 4 do ustawy dotyczy zarówno dokumentów, jak i tego, co dzieje się na komputerach: spisu sprzętu, aktualizacji, kopii zapasowych, uprawnień i ochrony antywirusowej. Dlatego zaczynamy od przeglądu w szkole, a dokumenty przygotowujemy na podstawie tego, co zobaczymy.
Część techniczną prowadzi Paweł Modzelewski, część dotyczącą ochrony danych osobowych Emilia Modzelewska.
- Rozmowa. Bezpłatna. Ustalamy, czego dotyczy sprawa i jakie dokumenty szkoła już ma.
- Przegląd w szkole. Sprzęt, sieć, kopie zapasowe, uprawnienia, monitoring, pomieszczenia z serwerem i dokumentami.
- Dokumentacja. Polityka, procedury i rejestry przygotowane dla konkretnej szkoły.
- Szkolenia. Dla dyrektora oraz pracowników, którzy korzystają z systemów informacyjnych.
- Przegląd okresowy. SZBI podlega przeglądowi co najmniej raz w roku. Pomagamy go przeprowadzić.
Zespół
Kim jesteśmy
Paweł Modzelewski
Audytor wiodący ISO/IEC 27001:2022
Od dwudziestu lat zajmuje się sieciami, serwerami i bezpieczeństwem w szkołach i urzędach. Akredytacje audytora wiodącego: PCA, ERCA, CeCert.
Emilia Modzelewska
Inspektor ochrony danych
Studia podyplomowe dla IOD w Akademii Marynarki Wojennej w Gdyni. Prowadzi dokumentację RODO szkół, rejestry czynności i szkolenia rad pedagogicznych.
Pytania, które dostajemy najczęściej
Czy nasza szkoła podlega ustawie o krajowym systemie cyberbezpieczeństwa?
Szkoła publiczna, której organem prowadzącym jest jednostka samorządu terytorialnego, jest podmiotem ważnym i jest wpisywana do wykazu z urzędu. Według wyjaśnień Ministerstwa Cyfryzacji szkoły niepubliczne, także z uprawnieniami szkoły publicznej i dotowane, co do zasady nie podlegają ustawie. Przepisy RODO obowiązują wszystkie szkoły. Więcej o ustawie.
Czy szkoła musi sama złożyć wniosek o wpis do wykazu?
Nie. Szkoły publiczne minister wpisuje do wykazu z urzędu (art. 7a ust. 2 pkt 3). Szkoła otrzymuje zawiadomienie o wpisie oraz wezwanie do uzupełnienia brakujących danych w terminie 6 miesięcy od dnia doręczenia wezwania (art. 7b ust. 2). Jak uzupełnić dane.
Czy szkoła musi przeprowadzać szacowanie ryzyka?
Według Ministerstwa Cyfryzacji podmiot ważny będący podmiotem publicznym, który stosuje załącznik nr 4, formalnie nie ma takiego obowiązku. Ministerstwo przypomina jednocześnie o art. 32 RODO, który wymaga dobrania zabezpieczeń danych osobowych do ryzyka.
Czy szkoła musi mieć certyfikat ISO/IEC 27001?
Nie. Żaden z przepisów omawianych na tej stronie nie wymaga certyfikatu. Kiedy norma może być przydatna.
Czy szkoła musi wyznaczyć inspektora ochrony danych?
Tak. Szkoła publiczna jako podmiot publiczny wyznacza inspektora ochrony danych (art. 37 ust. 1 lit. a RODO). Inspektor może być pracownikiem szkoły albo wykonywać zadania na podstawie umowy o świadczenie usług (art. 37 ust. 6 RODO). Więcej o IOD w szkole.
Kontakt
Zapraszamy do kontaktu
Pierwsza rozmowa jest bezpłatna. Prosimy opowiedzieć, jakie pismo przyszło do szkoły albo czego dotyczy pytanie. Wspólnie ustalimy, od czego zacząć.
Od poniedziałku do piątku, w godz. 8:00–16:00. Pracujemy w szkołach i urzędach w całym województwie pomorskim.