Poradnik: bezpieczeństwo informacji w szkole i samorządzie

Podstawy SZBI

Czym jest system zarządzania bezpieczeństwem informacji i jakie dokumenty są naprawdę potrzebne.

• Czym jest System Zarządzania Bezpieczeństwem Informacji (SZBI) w szkole i urzędzieSZBI to skrót od „System Zarządzania Bezpieczeństwem Informacji”. Na przykładzie szkoły i gminy: z jakich przepisów wynika, co obejmuje i od kiedy jest obowiązkowy.
• Dokumentacja SZBI w szkole i urzędzie — co jest obowiązkowe, a co tylko pomocneKtóre dokumenty i zapisy SZBI wynikają wprost z przepisów, co jest dowodem przy kontroli i dlaczego sam komplet polityk nie wystarcza.
• Polityka bezpieczeństwa informacji w szkole i urzędzie: co musi zawierać i czy jest obowiązkowaCzy szkoła i urząd muszą mieć politykę bezpieczeństwa informacji, co w niej zapisać, czym różni się od polityki ochrony danych i dlaczego sam wzór nie wystarczy.
• Wzór SZBI i zarządzenie wprowadzające system: szkielet dla szkoły i gminyJakie dokumenty SZBI warto mieć, co zawiera zarządzenie wójta lub dyrektora wprowadzające system i dlaczego gotowy PDF nie wystarcza na kontrolę.

Ustawa o KSC i NIS2

Status jednostki, wykaz podmiotów, obowiązki kierownika i zgłaszanie incydentów.

• Czy szkoła musi mieć system zarządzania bezpieczeństwem informacji?Tak, publiczna szkoła i publiczne przedszkole muszą prowadzić SZBI. Termin: 3 kwietnia 2027 r. Co obejmuje Załącznik nr 4, kto odpowiada i od czego zacząć.
• Podmiot ważny czy kluczowy — jak ustalić status swojej jednostkiStarostwo, urząd gminy, szkoła, GOPS: kto jest podmiotem kluczowym, a kto ważnym po nowelizacji ustawy o KSC. Przepisy, progi i skutki — bez żargonu.
• Wpis do wykazu podmiotów kluczowych i ważnych — co musi zrobić szkoła, urząd i GOPSPodmioty publiczne minister wpisuje do wykazu z urzędu, a jednostka uzupełnia dane w 6 miesięcy od wezwania. Kto składa wniosek sam do 3 października 2026 r.
• Kierownik jednostki a ustawa o KSC: odpowiedzialność, szkolenie i karyCo ustawa o KSC nakłada osobiście na dyrektora szkoły, wójta czy starostę: odpowiedzialność, coroczne szkolenie, informacje z KRK i kary pieniężne.
• Incydent w jednostce publicznej — co, komu i w jakim terminie zgłosićJak szkoła lub urząd zgłasza incydent poważny, czym ścieżka podmiotu ważnego publicznego różni się od kluczowego (art. 12c) i kiedy dochodzi zgłoszenie do Prezesa UODO.
• Od kiedy SZBI jest obowiązkowy w szkole, OPS i urzędzie gminySZBI w szkole, OPS i gminie: obowiązek z ustawy o KSC od 3 kwietnia 2026 r., termin wdrożenia 3 kwietnia 2027 r. Od 2012 r. wymaga go też rozporządzenie o KRI.
• SZBI w ośrodku pomocy społecznej: co musi zrobić OPS i jak to prowadzić bez segregatoraCzy ośrodek pomocy społecznej musi mieć SZBI, jakie ma obowiązki z ustawy o KSC i RODO, jakie dane chroni i jak prowadzić system przez cały rok.

Wdrożenie i audyt

Kolejne kroki wdrożenia i coroczny audyt wewnętrzny.

• Audyt KRI w szkole — czy jest obowiązkowy i co musi sprawdzaćCoroczny audyt wewnętrzny z § 19 rozporządzenia o KRI: co obejmuje 14 punktów, kto może go zrobić, co zmienia luty 2027 r. i jak połączyć go z SZBI z ustawy o KSC.
• Wdrożenie SZBI w jednostce publicznej krok po krokuOsiem kroków wdrożenia SZBI w szkole lub urzędzie: status, odpowiedzialni, inwentaryzacja, ryzyko, zabezpieczenia, szkolenia, incydenty i coroczny przegląd.
• System bezpieczeństwa informacji własnymi siłami — gdzie kończy się samodzielnośćKtóre obowiązki z ustawy o KSC jednostka wykona sama, a przy których potrzebuje kogoś z zewnątrz — i ile to realnie kosztuje.
• Ile kosztuje audyt KRI i SZBI: od czego zależy cena, plan audytu i lista kontrolnaOd czego zależy koszt audytu KRI i SZBI, kiedy wystarczy audyt wewnętrzny, jak ułożyć plan audytu i co sprawdzić na liście kontrolnej.
• Szkolenie z cyberbezpieczeństwa dla pracowników online: test, zaświadczenie, phishingJakich szkoleń z cyberbezpieczeństwa wymaga ustawa o KSC od kierownika i pracowników, jak je udokumentować i jak sprawdzić czujność zespołu kampanią phishingową.

Tekst ustawy i pojęcia

• Ustawa o KSC — tekst jednolity z zaznaczonymi zmianamiPełny tekst ustawy o krajowym systemie cyberbezpieczeństwa z oznaczeniem artykułów zmienionych i uchylonych przez nowelizacje z 2026 r. oraz streszczeniem zmian.
• Słownik pojęć cyberbezpieczeństwaIncydent poważny, podmiot ważny, podatność, cyberhigiena — co znaczą w ustawie i w codziennej pracy jednostki.
• Aktualności prawneOmówienia wybranych zmian w przepisach: kogo dotyczą i jakie mają terminy. Zakładka zeszła z paska (L2.162: monitor zmian w prawie) — wejście stąd i z monitora.