Szkoła publiczna, jako podmiot ważny będący podmiotem publicznym, wdraża system zarządzania bezpieczeństwem informacji (SZBI) według załącznika nr 4 do ustawy (art. 8 ust. 3). Część obowiązkowa obejmuje 18 wymagań. SZBI podlega przeglądowi co najmniej raz w roku, a jego realizację się dokumentuje.
Budowa załącznika nr 4
- Część I wymienia 18 wymagań, które SZBI obejmuje co najmniej.
- Część II wymienia środki, które SZBI może dodatkowo obejmować.
- Część III określa przegląd SZBI: co najmniej raz w roku, a także bezzwłocznie po wydaniu rekomendacji przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa albo w razie okoliczności, które mogą wpłynąć na ryzyko incydentu poważnego.
- Część IV zobowiązuje do dokumentowania realizacji działań.
Wymagania części I
Poniżej skrócone brzmienie wymagań wraz z przykładami, czego dotyczą w szkole. Pełna treść znajduje się w załączniku nr 4 do ustawy.
| pkt | Wymaganie (skrót) | Przykład w szkole |
|---|---|---|
| 1 | Inwentaryzacja produktów ICT, usług ICT i procesów ICT służących do przetwarzania informacji. | Spis komputerów, urządzeń sieciowych, drukarek oraz usług, z których szkoła korzysta, np. dziennika elektronicznego czy poczty. |
| 2 | Kontrolowanie podstawowych wersji używanych produktów i usług ICT oraz, jeżeli to możliwe, kontrola instalacji, także na urządzeniach mobilnych. | Wiadomo, jaki system i jakie programy działają na komputerach szkoły. |
| 3 | Ochrona informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniem lub zakłóceniem: (a) ochrona fizyczna miejsc przetwarzania, (b) oprogramowanie lub sprzętowe zabezpieczenia, albo (c) udokumentowanie mechanizmów dostawcy chmury lub centrum danych. | Zabezpieczone pomieszczenia z serwerem i dokumentami, zabezpieczenia na urządzeniach, opis zabezpieczeń usług w chmurze. |
| 4 | Dostęp do informacji wyłącznie dla osób uprawnionych i środki uniemożliwiające nieautoryzowany dostęp do systemów. | Indywidualne konta i hasła pracowników. |
| 5 | Zasada minimalnych uprawnień niezbędnych do realizacji zadań. | Pracownik ma dostęp tylko do tego, czego potrzebuje w pracy. |
| 6 | Bezzwłoczne cofanie uprawnień przy braku podstawy dostępu; zawieszanie uprawnień przy niewykonywaniu obowiązków co najmniej przez miesiąc. | Wyłączanie kont osób, które zakończyły pracę. |
| 7 | Modyfikacja uprawnień przy zmianie charakteru zadań. | Zmiana dostępu przy zmianie stanowiska lub zakresu obowiązków. |
| 8 | Podstawowe zasady bezpiecznej pracy przy przetwarzaniu mobilnym i pracy na odległość. | Zasady korzystania ze służbowego laptopa poza szkołą. |
| 9 | Kontrola usług poczty elektronicznej z wykorzystaniem mechanizmów, o których mowa w art. 24 ust. 1 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej. | Odpowiednia konfiguracja poczty szkoły. |
| 10 | Zapasowe kopie danych odseparowane logicznie i fizycznie od danych przetwarzanych w systemach. | Kopia przechowywana oddzielnie od danych, z których została wykonana. |
| 11 | Testowanie kopii pod kątem kompletności i możliwości odtworzenia danych. | Okresowe próbne odtworzenie danych z kopii. |
| 12 | Przygotowanie i testowanie procedury na wypadek awarii lub incydentu. | Procedura postępowania i jej sprawdzenie w praktyce. |
| 13 | Stosowanie oprogramowania antywirusowego. | Ochrona antywirusowa na urządzeniach szkoły. |
| 14 | Stosowanie zasad cyberhigieny przez pracowników, w tym kierownika podmiotu. | Zasady dla wszystkich pracowników i dyrektora. |
| 15 | Monitorowanie wydawania kolejnych wersji, źródeł dystrybucji i cyklu życia produktów ICT. | Informacja o tym, do kiedy producent wspiera używane oprogramowanie. |
| 16 | Stosowanie stabilnych wersji produktów i usług ICT, wobec których brak informacji o krytycznych podatnościach. | Regularne aktualizacje. |
| 17 | Szkolenia osób przetwarzających informacje: rodzaje cyberzagrożeń, zasady cyberhigieny, reagowanie na incydent, świadomość skutków naruszeń. | Szkolenia pracowników szkoły. |
| 18 | Procedury i zasady działania na wypadek cyberzagrożenia lub incydentu. | Opis, kto i co robi w razie incydentu. |
1Inwentaryzacja
Inwentaryzacja produktów ICT, usług ICT i procesów ICT służących do przetwarzania informacji.
Przykład w szkoleSpis komputerów, urządzeń sieciowych, drukarek oraz usług, z których szkoła korzysta, np. dziennika elektronicznego czy poczty.
2Kontrola wersji i instalacji
Kontrolowanie podstawowych wersji używanych produktów i usług ICT oraz, jeżeli to możliwe, kontrola instalacji, także na urządzeniach mobilnych.
Przykład w szkoleWiadomo, jaki system i jakie programy działają na komputerach szkoły.
3Ochrona informacji
Ochrona informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniem lub zakłóceniem: (a) ochrona fizyczna miejsc przetwarzania, (b) oprogramowanie lub sprzętowe zabezpieczenia, albo (c) udokumentowanie mechanizmów dostawcy chmury lub centrum danych.
Przykład w szkoleZabezpieczone pomieszczenia z serwerem i dokumentami, zabezpieczenia na urządzeniach, opis zabezpieczeń usług w chmurze.
4Dostęp tylko dla uprawnionych
Dostęp do informacji wyłącznie dla osób uprawnionych i środki uniemożliwiające nieautoryzowany dostęp do systemów.
Przykład w szkoleIndywidualne konta i hasła pracowników.
5Minimalne uprawnienia
Zasada minimalnych uprawnień niezbędnych do realizacji zadań.
Przykład w szkolePracownik ma dostęp tylko do tego, czego potrzebuje w pracy.
6Cofanie uprawnień
Bezzwłoczne cofanie uprawnień przy braku podstawy dostępu; zawieszanie uprawnień przy niewykonywaniu obowiązków co najmniej przez miesiąc.
Przykład w szkoleWyłączanie kont osób, które zakończyły pracę.
7Zmiana uprawnień
Modyfikacja uprawnień przy zmianie charakteru zadań.
Przykład w szkoleZmiana dostępu przy zmianie stanowiska lub zakresu obowiązków.
8Praca mobilna i zdalna
Podstawowe zasady bezpiecznej pracy przy przetwarzaniu mobilnym i pracy na odległość.
Przykład w szkoleZasady korzystania ze służbowego laptopa poza szkołą.
9Kontrola poczty elektronicznej
Kontrola usług poczty elektronicznej z wykorzystaniem mechanizmów, o których mowa w art. 24 ust. 1 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.
Przykład w szkoleOdpowiednia konfiguracja poczty szkoły.
10Kopie zapasowe
Zapasowe kopie danych odseparowane logicznie i fizycznie od danych przetwarzanych w systemach.
Przykład w szkoleKopia przechowywana oddzielnie od danych, z których została wykonana.
11Testy odtwarzania kopii
Testowanie kopii pod kątem kompletności i możliwości odtworzenia danych.
Przykład w szkoleOkresowe próbne odtworzenie danych z kopii.
12Procedura na awarię lub incydent
Przygotowanie i testowanie procedury na wypadek awarii lub incydentu.
Przykład w szkoleProcedura postępowania i jej sprawdzenie w praktyce.
13Ochrona antywirusowa
Stosowanie oprogramowania antywirusowego.
Przykład w szkoleOchrona antywirusowa na urządzeniach szkoły.
14Cyberhigiena
Stosowanie zasad cyberhigieny przez pracowników, w tym kierownika podmiotu.
Przykład w szkoleZasady dla wszystkich pracowników i dyrektora.
15Cykl życia oprogramowania
Monitorowanie wydawania kolejnych wersji, źródeł dystrybucji i cyklu życia produktów ICT.
Przykład w szkoleInformacja o tym, do kiedy producent wspiera używane oprogramowanie.
16Stabilne wersje bez krytycznych podatności
Stosowanie stabilnych wersji produktów i usług ICT, wobec których brak informacji o krytycznych podatnościach.
Przykład w szkoleRegularne aktualizacje.
17Szkolenia
Szkolenia osób przetwarzających informacje: rodzaje cyberzagrożeń, zasady cyberhigieny, reagowanie na incydent, świadomość skutków naruszeń.
Przykład w szkoleSzkolenia pracowników szkoły.
18Procedury na wypadek incydentu
Procedury i zasady działania na wypadek cyberzagrożenia lub incydentu.
Przykład w szkoleOpis, kto i co robi w razie incydentu.
Szkolenia
Punkt 17 załącznika wymaga szkolenia osób zaangażowanych w przetwarzanie informacji, w szczególności o rodzajach cyberzagrożeń, zasadach cyberhigieny, reagowaniu na incydent i skutkach naruszenia zasad bezpieczeństwa informacji. Niezależnie od tego dyrektor raz w roku kalendarzowym odbywa szkolenie z zakresu obowiązków wynikających z ustawy, a udział w nim jest dokumentowany (art. 8e). Prowadzimy oba rodzaje szkoleń.
Osoby realizujące zadania
Osoba, która ma realizować zadania związane z SZBI lub obsługą incydentów, przed ich rozpoczęciem przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji. Dyrektor dopuszcza ją do zadań po otrzymaniu tej informacji. Dotyczy to również osób z firm zewnętrznych.
Pytania, które dostajemy najczęściej
Czy szkoła musi przeprowadzać szacowanie ryzyka?
Według wyjaśnień Ministerstwa Cyfryzacji podmiot ważny będący podmiotem publicznym, który stosuje załącznik nr 4, formalnie nie ma takiego obowiązku. Analiza ryzyka nie jest jednak zakazana (pkt II.9 załącznika). Niezależnie od ustawy obowiązuje art. 32 RODO.
Czy szkoła musi przeprowadzać audyt SZBI?
Ustawa przewiduje obowiązek audytu dla podmiotów kluczowych. Szkoła jako podmiot ważny dokonuje przeglądu SZBI zgodnie z częścią III załącznika nr 4. Odrębne wymagania dotyczące audytu zawiera rozporządzenie o Krajowych Ramach Interoperacyjności. Więcej o audycie KRI.
Co zawiera część II załącznika?
Część II wymienia środki, które SZBI może dodatkowo obejmować, m.in.: środki ograniczające ryzyko błędów ludzkich, dedykowane usługi poczty, wysoką dostępność systemów, zasady korzystania z ogólnodostępnych usług chmury i dużych generatywnych modeli sztucznej inteligencji, monitorowanie systemów, testowanie zabezpieczeń i cyberhigieny, zapisy dotyczące bezpieczeństwa w umowach serwisowych oraz aktualność produktów ICT.
Czy organ prowadzący może realizować SZBI za szkołę?
Jednostka samorządu terytorialnego może zapewnić wspólną obsługę realizacji obowiązków (art. 16e ust. 5). Według wyjaśnień ministerstwa jednostka wyznaczona realizuje wtedy zadania dla obsługiwanych szkół zgodnie z załącznikiem nr 4.
Podstawa prawna i źródła
- Dz.U. 2026 poz. 252, art. 8 ust. 3 i załącznik nr 4 (Dziennik Ustaw)
- Ministerstwo Cyfryzacji, CSIRT: najczęściej zadawane pytania dotyczące ustawy o KSC
- RODO, art. 32 (EUR-Lex)
Treść ma charakter informacyjny. W konkretnej sprawie rozstrzyga aktualne brzmienie przepisów i stanowisko właściwego organu.