Kategoria: NIS2

Informacje na temat „DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148”

Opublikowane w

Harmonogram przeglądów i plan audytów SZBI na 2027 rok: co kierownik JST powinien podpisać przed końcem grudnia

W 2027 roku samorząd czekają dwie zmiany naraz. 23 lutego traci moc rozporządzenie KRI z 2024 r., a 3 kwietnia mija termin wdrożenia systemu zarządzania bezpieczeństwem informacji według znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Tekst jest dla wójtów, burmistrzów, starostów i sekretarzy: co z przeglądów i audytów wynika wprost z przepisów, co jest dobrą praktyką i jak ułożyć plan na przyszły rok.

Opracowane przez AI

W skrócie

Urząd gminy zatrudniający co najmniej 50 osób w przeliczeniu na etaty oraz każde starostwo są podmiotami kluczowymi, a mniejsze urzędy i jednostki organizacyjne (szkoły, ośrodki pomocy społecznej, CUW, instytucje kultury) z reguły podmiotami ważnymi. Do 3 kwietnia 2027 r. wszystkie muszą mieć wdrożony SZBI; podmiot ważny publiczny przegląda go co najmniej raz w roku, a podmiot kluczowy do 3 kwietnia 2028 r. przechodzi pierwszy audyt z art. 15 ustawy. Rozporządzenie KRI, z którego wynika coroczny audyt wewnętrzny, traci moc 23 lutego 2027 r., a projekt jego następcy celowo pomija SZBI i odsyła w tym zakresie do ustawy o KSC. Żaden przepis nie nakazuje wprost wydania „zarządzenia w sprawie harmonogramu przeglądów”, ale ustawa wymaga od kierownika decyzji o przeglądzie i nadzorze SZBI oraz zaplanowania pieniędzy, a zarządzenie jest najprostszym dowodem, że to zrobił. Harmonogram i ramowy plan audytów na 2027 r. trzeba przyjąć teraz, bo od nich zależy budżet i to, czy pierwszy audyt zmieści się w terminie z zapasem na poprawki.

Co dokładnie wynika z przepisów

Stan prawny na 3 listopada 2026 r.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (ustawa z 23 stycznia 2026 r., Dz.U. poz. 252) obowiązuje od 3 kwietnia 2026 r. Dla kierownictwa najważniejsze są przepisy o jego roli. Art. 8c przypisuje kierownikowi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, także wtedy, gdy powierzył je innej osobie. Zgodnie z art. 8d pkt 1 kierownik podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI, a według pkt 2 planuje na to adekwatne środki finansowe. Art. 8e nakłada na kierownika i na osobę, której powierzył obowiązki w zakresie cyberbezpieczeństwa, szkolenie raz w roku kalendarzowym. Udział trzeba udokumentować.

Od statusu podmiotu zależy, jaki przegląd i jaki audyt obowiązuje. W załączniku nr 1 starostwo powiatowe jest podmiotem kluczowym bez dodatkowych warunków, urząd gminy wtedy, gdy na 1 stycznia danego roku zatrudnia na podstawie umowy o pracę co najmniej 50 osób w przeliczeniu na pełny wymiar czasu pracy. Samorządowe jednostki budżetowe, zakłady budżetowe, instytucje kultury i spółki komunalne użyteczności publicznej, które realizują zadania publiczne z użyciem systemów informacyjnych, są podmiotami ważnymi (art. 5 ust. 2 pkt 8 i załącznik nr 2).

Podmiot ważny publiczny nie stosuje pełnego art. 8 ust. 1, tylko wymagania załącznika nr 4 (art. 8 ust. 3). Część III tego załącznika mówi o przeglądzie wprost: co najmniej raz w roku albo bezzwłocznie, gdy Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wyda rekomendację dotyczącą systemów, produktów lub usług ICT podmiotu, albo gdy pojawią się okoliczności, które mogą wpłynąć na ryzyko incydentu poważnego. Część IV wymaga dokumentowania realizacji działań. Czytam to jako minimum jeden przegląd planowy w roku plus przeglądy doraźne, ilekroć zajdzie któraś z przesłanek.

Podmiot kluczowy buduje SZBI według art. 8 ust. 1, na systematycznym szacowaniu ryzyka, i musi mieć polityki oraz procedury oceny skuteczności środków technicznych i organizacyjnych (art. 8 ust. 1 pkt 2 lit. h). Jednej częstotliwości przeglądu ustawa dla niego nie podaje. Podaje za to audyt. Art. 15 ust. 1 wymaga audytu bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z ostatniego audytu. Pierwszy audyt trzeba przeprowadzić w ciągu 24 miesięcy od spełnienia przesłanek (art. 16 pkt 2); Ministerstwo Cyfryzacji wskazuje dla podmiotów, które spełniały je w dniu wejścia nowelizacji w życie, termin 3 kwietnia 2028 r. Kopię raportu przekazuje się organowi właściwemu w ciągu 3 dni roboczych od jego otrzymania (art. 15 ust. 1a). Audytu nie może prowadzić osoba, która realizuje w urzędzie zadania z art. 8 i art. 9-13 albo realizowała je w ciągu roku przed rozpoczęciem audytu (art. 15 ust. 2a). Niezależnie od cyklu organ może decyzją natychmiast wykonalną nakazać audyt zewnętrzny: podmiotowi kluczowemu w każdym czasie, ważnemu po incydencie poważnym lub innym naruszeniu ustawy (art. 15 ust. 1b i 1c).

Dotychczasowy coroczny audyt wynikał z § 19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z 21 maja 2024 r. w sprawie KRI (Dz.U. poz. 773): okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok. Rozporządzenie traci moc 23 lutego 2027 r. Wynika to z ustawy z 25 lipca 2025 r. o zmianie ustawy o informatyzacji (Dz.U. poz. 1158): nowe brzmienie upoważnienia w art. 18 wchodzi w życie po 18 miesiącach od ogłoszenia i obejmuje już tylko interoperacyjność, rejestry publiczne i minimalne wymagania dla systemów, bez bezpieczeństwa informacji. Projekt nowego rozporządzenia z 29 lipca 2026 r. (RD313) nie zawiera rozdziału o SZBI ani corocznego audytu, a jego uzasadnienie wprost odsyła w tym zakresie do nowelizacji UoKSC. Rozporządzenie nie zostało jeszcze przyjęte. Pojawia się natomiast nowy obowiązek: plan ciągłości świadczenia elektronicznych usług publicznych i plan przywracania po awarii, sprawdzane w ćwiczeniach i testach oraz poddawane systematycznym przeglądom, których wyniki trafiają do kierownictwa (projektowany § 11 ust. 4-8, który według projektu ma wejść w życie 6 miesięcy od ogłoszenia rozporządzenia). Projekt może się jeszcze zmienić. Moja rada na dziś: obowiązek z § 19 za 2026 r. nadal wiąże, więc jeśli w tym roku audytu nie było, zostało kilka tygodni. Planu na 2027 r. nie opierałbym już na KRI.

RODO nie znika. Art. 24 ust. 1 wymaga, by środki ochrony były w razie potrzeby przeglądane i uaktualniane, a art. 32 ust. 1 lit. d regularnego testowania, mierzenia i oceniania ich skuteczności. Urząd Ochrony Danych Osobowych we wrześniowym tekście w swoim biuletynie przypomina, że przepis nie określa częstotliwości, a samo doraźne sprawdzanie (przy wdrożeniu albo przy zmianie organizacyjnej) nie wystarcza; z przywołanego tam orzecznictwa WSA wynika też, że przyjęcie z góry cyklu rocznego nie daje automatycznej gwarancji. Dla urzędu najbardziej pouczająca jest przywołana tam sprawa jednostki publicznej. Sędzia sądu rejonowego zgubił prywatne pendrive’y z projektami orzeczeń z wielu lat. Trzy wcześniejsze audyty i analiza ryzyka wskazywały zagrożenie związane z nośnikami USB, a sąd poprzestał na regulacjach wewnętrznych bez technicznych blokad, choć miał oprogramowanie, które to umożliwiało. Prezes UODO uznał naruszenie za nieumyślne, wynikające z niedbalstwa, i nałożył 30 000 zł kary. WSA w Warszawie oddalił skargę, a NSA skargę kasacyjną (wyrok z 26 czerwca 2025 r., III OSK 1312/24). Wniosek dla kierownika: plan audytów bez planu wdrożenia zaleceń zwiększa odpowiedzialność, zamiast ją ograniczać.

Jeżeli w JST działa audyt wewnętrzny, art. 283 ust. 3 ustawy o finansach publicznych wymaga, by kierownik komórki audytu w porozumieniu z kierownikiem jednostki przygotował do końca roku, na podstawie analizy ryzyka, plan audytu na rok następny. To dobry moment, żeby oba plany uzgodnić i nie badać dwa razy tego samego obszaru.

Zarządzenie: wymóg czy dobra praktyka

Powiem wprost: przepisy nie zawierają obowiązku wydania zarządzenia o takiej nazwie. Zawierają obowiązek decyzji kierownika o przeglądzie i nadzorze SZBI, zaplanowania środków finansowych i dokumentowania działań. W urzędzie decyzje kierownika dotyczące wewnętrznej organizacji przybierają formę zarządzenia, więc to rozwiązanie naturalne. Ma też wartość dowodową. Zarządzenie z datą sprzed okresu, którego dotyczy, pokazuje organowi nadzoru, że plan istniał, zanim przyszła kontrola albo incydent.

Proponuję jedno zarządzenie z dwoma załącznikami (harmonogram przeglądów i ramowy plan audytów). Powinno zawierać:

  • status urzędu i listę jednostek organizacyjnych, które obejmuje, albo informację, że jednostki mają własne plany;
  • harmonogram przeglądów: przedmiot, termin, osobę odpowiedzialną i dokument wynikowy;
  • ramowy plan audytów: obszary, kwartał, wykonawcę wewnętrznego lub zewnętrznego oraz wymóg niezależności;
  • przesłanki przeglądu bezzwłocznego, przepisane z części III załącznika nr 4 i uzupełnione o własne, np. zmianę dostawcy systemu dziedzinowego;
  • obowiązek przedstawienia kierownikowi raportu wraz z planem działań korygujących, z terminami i osobami odpowiedzialnymi;
  • odesłanie do dokumentacji SZBI: polityki bezpieczeństwa informacji i szacowania ryzyka.

Plan ramowy oznacza tu kwartały i obszary, bez sztywnych dat dziennych. Konkretne terminy niech ustala pełnomocnik ds. SZBI w porozumieniu z komórkami.

Na co zwrócić uwagę

Daty

  • 1 stycznia 2027 r. Stan zatrudnienia w urzędzie gminy rozstrzyga o statusie na ten rok. Urząd blisko progu 50 etatów powinien sprawdzać to co roku, przed zatwierdzeniem planu.
  • 23 lutego 2027 r. Rozporządzenie KRI z 2024 r. traci moc. Otwarte zalecenia z audytu KRI proponuję przenieść do rejestru działań SZBI, żeby nie przepadły razem z rozporządzeniem.
  • 3 kwietnia 2027 r. Termin wdrożenia obowiązków z rozdziału 3 ustawy, w tym SZBI; Ministerstwo Cyfryzacji wskazuje ten sam termin dla podłączenia do systemu S46. Przegląd gotowości planowałbym na luty i marzec, a nie po terminie.
  • Rok kalendarzowy 2027. Szkolenie kierownika i osoby z powierzonymi obowiązkami, najlepiej w pierwszym półroczu.
  • III kwartał. Przegląd SZBI z wnioskami budżetowymi, zanim powstanie projekt budżetu na 2028 r. Art. 8d pkt 2 łączy SZBI z planowaniem pieniędzy, a przegląd po uchwaleniu budżetu traci połowę sensu.
  • Podmiot kluczowy: do 3 kwietnia 2028 r. Pierwszy audyt z art. 15. Od tego dnia mogą być nakładane kary za większość obowiązków. Zlecając audyt w IV kwartale 2027 r., urząd zostawia sobie kilka miesięcy na poprawki. Kolejny trzyletni cykl liczy się od podpisania raportu.

Zakres

SZBI obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi, a dla podmiotu publicznego usługą jest także zadanie publiczne (art. 2a). W urzędzie oznacza to EZD, systemy dziedzinowe, pocztę, BIP i stronę, e-usługi, sieć, kopie zapasowe, stacje robocze i urządzenia mobilne. Art. 8 ust. 4 każe uwzględnić także systemy dostarczane przez inne podmioty publiczne, w szczególności rejestry publiczne, w zakresie kompetencji urzędu. Przegląd powinien więc objąć to, za co urząd odpowiada po swojej stronie: stanowiska, konta i uprawnienia.

Jednostki organizacyjne są odrębnymi podmiotami. Gmina może zapewnić im wspólną obsługę obowiązków albo zawrzeć porozumienie z inną JST (art. 16e ust. 5 i 6), ale plan musi jasno mówić, które jednostki obejmuje i kto w nich odpowiada. Bez tego łatwo o sytuację, w której urząd ma harmonogram, a szkoły i OPS nie mają żadnego.

Osobna sprawa to dostawcy. Podmiot kluczowy ma obowiązek zadbać o bezpieczeństwo łańcucha dostaw (art. 8 ust. 1 pkt 2 lit. e), a według UODO obowiązek testowania skuteczności zabezpieczeń obejmuje też przetwarzanie powierzone. Przegląd umów serwisowych i umów powierzenia powinien znaleźć się w planie przynajmniej raz w cyklu.

Zmiana obszarów audytowych

Wiele urzędów ma listy kontrolne zbudowane pod KRI. Od 2027 r. punktem odniesienia dla podmiotu ważnego publicznego jest część I załącznika nr 4 (18 pozycji obowiązkowych), a dla kluczowego art. 8 ust. 1 z katalogiem środków od lit. a do lit. n. Listę trzeba przepisać według nowego katalogu; zmiana podstawy prawnej w nagłówku niczego nie załatwia.

Pozycje, które nowy katalog nazywa wprost i które moim zdaniem należy sprawdzać co roku: kontrola poczty elektronicznej z wykorzystaniem mechanizmów z art. 24 ust. 1 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej (pkt 9), kopie zapasowe odseparowane logicznie i fizycznie oraz test ich kompletności i odtworzenia (pkt 10 i 11), przygotowana i przetestowana procedura na wypadek awarii lub incydentu (pkt 12), nadawanie, modyfikacja i cofanie uprawnień (pkt 4-7) oraz szkolenia i cyberhigiena, która w pkt 14 obejmuje wprost kierownika. W podmiocie kluczowym dochodzą testowane plany ciągłości działania, monitorowanie systemu w trybie ciągłym i uwierzytelnianie wieloskładnikowe w stosownych przypadkach (art. 8 ust. 1 pkt 2 lit. f, g i l).

Pozostałe obszary, np. bezpieczeństwo fizyczne, pracę zdalną, kryptografię czy cykl życia oprogramowania, można rozłożyć na trzy lata, w rytmie audytu z art. 15. To moja propozycja, ustawa takiego podziału nie narzuca. Ma tę zaletę, że w małym zespole audyt nie robi się powierzchowny.

Częstotliwość

Działanie

Kogo dotyczy

Częstotliwość

Podstawa

Przegląd SZBI

podmiot ważny publiczny

co najmniej raz w roku oraz bezzwłocznie po rekomendacji Pełnomocnika lub zmianie ryzyka

UoKSC, zał. nr 4 cz. III

Ocena skuteczności środków, przegląd SZBI

podmiot kluczowy

ustawa nie podaje jednej częstotliwości; rekomenduję co najmniej raz w roku (praktyka ISO/IEC 27001, pkt 9.3)

art. 8 ust. 1 pkt 2 lit. h, art. 8d pkt 1

Audyt bezpieczeństwa systemu informacyjnego

podmiot kluczowy

co najmniej raz na 3 lata od podpisania raportu; pierwszy do 3.04.2028

art. 15 ust. 1, art. 16 pkt 2

Audyt wewnętrzny bezpieczeństwa informacji

podmiot realizujący zadania publiczne

nie rzadziej niż raz na rok, do utraty mocy rozporządzenia 23.02.2027 (obowiązuje do 22.02.2027)

§ 19 ust. 2 pkt 14 KRI

Szkolenie kierownika

kierownik i osoba z powierzonymi obowiązkami

raz w roku kalendarzowym

art. 8e

Testowanie skuteczności zabezpieczeń danych osobowych

administrator danych

regularnie, według ryzyka; przepis nie podaje cyklu

art. 32 ust. 1 lit. d RODO

Plan audytu wewnętrznego

JST, w której działa audyt wewnętrzny

do końca roku na rok następny

art. 283 ust. 3 ufp

Ramowy plan na 2027 rok: przykład dla urzędu gminy powyżej 50 etatów

W urzędzie będącym podmiotem ważnym odpadają pozycje oznaczone gwiazdką.

Okres

Działanie

Dokument wynikowy

styczeń

potwierdzenie statusu (zatrudnienie na 1.01.2027), aktualizacja listy jednostek

notatka do zarządzenia

styczeń-luty

zamknięcie ustaleń z audytu KRI za 2026 r., przeniesienie otwartych działań do planu postępowania z ryzykiem

rejestr działań korygujących

luty-marzec

przegląd gotowości SZBI przed 3.04.2027: dokumentacja, osoby kontaktowe, aktualność wpisu w wykazie, S46

protokół i decyzja kierownika

I półrocze

szkolenie kierownika i osoby z powierzonymi obowiązkami

potwierdzenie udziału

II kwartał

audyt wewnętrzny obszarów corocznych: uprawnienia, kopie i test odtworzenia, poczta, obsługa incydentów

raport z zaleceniami

wrzesień

przegląd SZBI z wnioskami do budżetu na 2028 r.

protokół z przeglądu

III kwartał *

wybór niezależnego audytora i zamówienie audytu z art. 15

umowa

IV kwartał *

audyt z art. 15; kopia raportu do organu w ciągu 3 dni roboczych

raport podpisany przez audytorów

IV kwartał

przeglądy w jednostkach organizacyjnych

protokoły

do 31 grudnia

harmonogram i plan audytów na 2028 r.

zarządzenie

poza planem, bezzwłocznie

rekomendacja Pełnomocnika, incydent poważny, istotna zmiana systemu

protokół przeglądu doraźnego

Rekomendacje dla kierownictwa

  1. Do końca grudnia 2026 r. potwierdź status urzędu i każdej jednostki organizacyjnej. Przy urzędzie gminy bliskim progu 50 etatów sprawdź stan na 1 stycznia 2027 r. i zapisz wynik.
  2. Przed 31 grudnia 2026 r. wydaj zarządzenie z harmonogramem przeglądów na 2027 r., ramowym planem audytów i trybem przeglądu bezzwłocznego. Osoby odpowiedzialne wskaż imiennie.
  3. Jeśli w 2026 r. nie przeprowadzono audytu z § 19 ust. 2 pkt 14 KRI, zleć go teraz, a jego zalecenia przenieś do rejestru działań SZBI.
  4. W budżecie na 2027 r. zabezpiecz środki na szkolenie kierownika, testy odtwarzania kopii i działania korygujące. W podmiocie kluczowym także na audyt z art. 15 i poprawki po nim.
  5. Wybierając audytora z art. 15, sprawdź, kto w ostatnim roku realizował w urzędzie zadania SZBI, także jako firma zewnętrzna albo ASI. Ta osoba audytu przeprowadzić nie może.
  6. Uzgodnij plan SZBI z planem audytu wewnętrznego, jeśli taki audyt w JST działa.
  7. Przegląd SZBI w III kwartale połącz z pracami nad budżetem na 2028 r. Z każdego audytu żądaj harmonogramu wdrożenia zaleceń i rozliczaj go na kolejnym przeglądzie.

Źródła

Opublikowane w

CZY KIEROWNIK JST MUSI ZGŁOSIĆ PODEJRZANY E-MAIL NA POLICJE?

Art. 304 k.p.k. a podejrzane e-maile

Phishing podszywający się pod banki, urzędy i instytucje państwowe trafia do skrzynek każdego urzędu. Wyjaśniam, kiedy z takiej wiadomości wynika obowiązek zawiadomienia Policji lub prokuratury, kto za niego odpowiada i jak zapisać to w SZBI, żeby decyzja nie zależała od przypadku. Tekst dla wójtów, burmistrzów, starostów i sekretarzy.

Art. 304 § 2 Kodeksu postępowania karnego nakłada na instytucje samorządowe obowiązek zawiadomienia prokuratora lub Policji, jeśli w związku ze swoją działalnością dowiedziały się o przestępstwie ściganym z urzędu. Adresatem obowiązku jest jednostka, a w praktyce jej kierownik. Nie każdy podejrzany e-mail ten obowiązek uruchamia: ktoś musi ocenić, czy wiadomość nosi znamiona przestępstwa, i tę ocenę udokumentować. Zgłoszenie do CERT Polska jest potrzebne, ale nie zastępuje zawiadomienia organów ścigania. Urząd powinien mieć ten tryb opisany w procedurze SZBI, razem z osobą, która podejmuje decyzję.

Jak to wygląda w urzędach

W większości jednostek, które znam z praktyki, phishing obsługuje się wyłącznie technicznie. Pracownik nie klika, informatyk blokuje nadawcę, wiadomość trafia do kosza. Dla bezpieczeństwa sieci to często wystarcza.

Zostaje jednak pytanie, na które kierownik powinien umieć odpowiedzieć: czy urząd właśnie dowiedział się o przestępstwie, a jeśli tak, to kto i kiedy powiadomił o tym organy ścigania. Po poważnym incydencie to pytanie zada prokurator, kontrola albo media.

Co mówi przepis

Zgodnie z art. 304 § 2 k.p.k. instytucje państwowe i samorządowe, które w związku ze swą działalnością dowiedziały się o przestępstwie ściganym z urzędu, muszą niezwłocznie zawiadomić prokuratora lub Policję. Muszą też podjąć niezbędne czynności, aby nie dopuścić do zatarcia śladów i dowodów, do czasu przybycia organu ścigania lub jego zarządzenia.

Dla kierownictwa wynikają z tego dwie praktyczne rzeczy. Obowiązek ciąży na instytucji, więc odpowiada za niego osoba, która nią kieruje, a nie referent, do którego trafił mail. Przepis wskazuje przy tym wyłącznie prokuratora i Policję. CERT Polska, CSIRT, bank czy Prezes UODO nie są adresatami tego zawiadomienia, nawet jeśli zgłoszenie do nich jest konieczne z innych powodów.

W orzecznictwie i komentarzach niewykonanie obowiązku z art. 304 § 2 k.p.k. przez funkcjonariusza publicznego bywa rozpatrywane jako niedopełnienie obowiązków z art. 231 k.k. Funkcjonariuszem publicznym jest między innymi pracownik samorządu terytorialnego, który nie pełni wyłącznie czynności usługowych (art. 115 § 13 pkt 4 k.k.), a więc także wójt czy burmistrz. Art. 231 § 1 przewiduje do 3 lat pozbawienia wolności, gdy funkcjonariusz, nie dopełniając obowiązków, działa na szkodę interesu publicznego lub prywatnego. Według § 3 karalne jest też działanie nieumyślne, jeśli wyrządza istotną szkodę. Odrębnego obowiązku z art. 240 k.k., którego niedopełnienie jest karalne, tu nie ma: ten przepis wymienia zamknięty katalog najcięższych przestępstw, a art. 267, 269b, 286 ani 287 do niego nie należą. Nie znam sprawy, w której rozliczono by wójta za niezawiadomienie o pojedynczym phishingu. Ryzyko staje się realne wtedy, gdy po incydencie z rzeczywistymi skutkami okaże się, że urząd wiedział o ataku i nic z tą wiedzą nie zrobił.

Czy phishing jest już przestępstwem

W grę wchodzi kilka przepisów Kodeksu karnego:

  • art. 269b § 1: karze między innymi pozyskiwanie haseł komputerowych, kodów dostępu lub innych danych umożliwiających nieuprawniony dostęp do informacji w systemie informatycznym; zagrożenie od 3 miesięcy do 5 lat pozbawienia wolności, ściganie z urzędu;
  • art. 286 § 1 (oszustwo), także w formie usiłowania, gdy celem wiadomości jest przelew lub inne rozporządzenie mieniem; zagrożenie od 6 miesięcy do 8 lat, ściganie z urzędu, chyba że pokrzywdzonym jest osoba najbliższa (§ 4);
  • art. 267 (nielegalne uzyskanie informacji), gdy przestępca uzyskał dostęp do konta lub systemu; to przestępstwo jest ścigane na wniosek pokrzywdzonego (art. 267 § 5), więc jeśli pokrzywdzony jest urząd, zawiadomienie warto połączyć z wnioskiem o ściganie;
  • art. 13 § 1: odpowiada za usiłowanie, kto w zamiarze popełnienia czynu zabronionego swoim zachowaniem bezpośrednio zmierza do jego dokonania, które jednak nie następuje;
  • art. 287 § 1 (oszustwo komputerowe), gdy po przejęciu danych przestępca sam wykonuje przelew z konta, wpływając bez upoważnienia na przetwarzanie danych informatycznych; zagrożenie od 3 miesięcy do 5 lat, ściganie z urzędu, chyba że pokrzywdzonym jest osoba najbliższa (§ 3);
  • art. 16: przygotowanie zachodzi, gdy sprawca tworzy warunki do czynu zmierzającego bezpośrednio do dokonania, i jest karalne tylko wtedy, gdy ustawa tak stanowi (§ 2).

Często spotykam pogląd, że samo wysłanie wiadomości z linkiem do fałszywej strony logowania jest już usiłowaniem, bo sprawca zrobił wszystko, co od niego zależało, a dalszy przebieg zależy od reakcji ofiary. To mocny argument i sam się do niego skłaniam. Trzeba jednak uczciwie powiedzieć, że granica między przygotowaniem a usiłowaniem przy masowych kampaniach jest przedmiotem sporów prawników, a art. 269b sam opisuje zachowanie o charakterze przygotowawczym. Ma to praktyczne znaczenie: jeśli wysłanie wiadomości uznać tylko za przygotowanie do oszustwa, to takie przygotowanie nie jest karalne, bo art. 286 nie przewiduje karania przygotowania. Zostaje wtedy art. 269b, ale tylko jeśli sprawcy przypisze się co najmniej usiłowanie pozyskania danych dostępowych. Dlatego nie mówiłbym kierownictwu, że każdy phishing w skrzynce automatycznie rodzi obowiązek zawiadomienia. Obowiązek powstaje wtedy, gdy analiza wykaże uzasadnione podejrzenie przestępstwa ściganego z urzędu. Taką decyzję trzeba podjąć świadomie i zapisać.

Kiedy zawiadamiać, a kiedy wystarczy udokumentowana decyzja

W mojej ocenie zawiadomienie Policji lub prokuratury powinno być w urzędzie domyślnym rozwiązaniem w takich sytuacjach:

  • wiadomość była skierowana konkretnie do urzędu lub jego pracowników, na przykład podszycie pod znanego kontrahenta z „nowym” numerem rachunku albo fałszywa strona logowania do poczty służbowej czy EZD;
  • ktoś zareagował: podał hasło lub kod, uruchomił załącznik, zlecił przelew;
  • przestępcy podszywają się pod sam urząd i kierują atak do mieszkańców, na przykład fałszywe wezwania do zapłaty podatku lokalnego;
  • doszło do szkody finansowej albo naruszenia ochrony danych osobowych.

Masowa kampania bez cech ukierunkowania, na którą nikt nie zareagował, to sytuacja graniczna. Tu wystarczy zwykle zgłoszenie do CERT Polska, blokada nadawcy i domeny oraz wpis w rejestrze incydentów z krótkim uzasadnieniem, dlaczego jednostka nie zawiadamia organów ścigania. Ten próg warto uzgodnić z radcą prawnym urzędu i zapisać w procedurze, zamiast rozstrzygać go za każdym razem od nowa.

Gdy wystąpiły skutki, dochodzą obowiązki z innych ustaw. Incydent poważny w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, znowelizowanej w 2026 r. w związku z dyrektywą NIS2, zgłasza się do właściwego zespołu CSIRT. Naruszenie ochrony danych osobowych zgłasza się Prezesowi UODO na podstawie art. 33 RODO, co do zasady w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób. Przy przelewie na rachunek przestępców pierwszy telefon wykonuje się do banku, bo liczą się minuty.

Jak zapisać to w SZBI

Rekomenduję dopisanie tego trybu do procedury postępowania z incydentami albo wydanie odrębnej instrukcji dotyczącej podejrzanych wiadomości. W praktyce wygląda to tak:

  1. Pracownik nie klika w linki, nie otwiera załączników, nie odpowiada i nie usuwa wiadomości. Niezwłocznie zgłasza ją administratorowi systemów informatycznych lub osobie wskazanej w procedurze.
  2. ASI zabezpiecza wiadomość w oryginalnej postaci z pełnymi nagłówkami (plik .eml lub .msg). Zrzut ekranu nie jest dowodem.
  3. ASI ustala faktycznego nadawcę, cel linku, to, czy strona zbiera dane logowania, czy załącznik jest złośliwy, czy atak był skierowany do urzędu i czy ktoś zareagował.
  4. Wnioski z oceną, czy wiadomość nosi znamiona przestępstwa, ASI przekazuje kierownikowi jednostki lub Pełnomocnikowi ds. SZBI.
  5. Kierownik, po konsultacji z Pełnomocnikiem ds. SZBI, decyduje o zawiadomieniu. Decyzja o braku zawiadomienia też jest udokumentowana.
  6. Równolegle wiadomość trafia do CERT Polska (incydent.cert.pl lub cert@cert.pl) i do instytucji, pod którą podszywa się nadawca, a zdarzenie jest wpisywane do rejestru incydentów.

W procedurze powinny się znaleźć: osoba przyjmująca zgłoszenia, osoba analizująca, osoba decydująca, wzór zawiadomienia i sposób odnotowania decyzji w rejestrze. Dzięki temu urząd może wykazać, że swój obowiązek wykonał albo świadomie ocenił, że nie powstał.

Przykłady

W sierpniu 2023 r. CSIRT KNF ostrzegał przed stroną podszywającą się pod serwis iPKO, w której adresie literę „i” zastąpiono małym „L”. Strona wyłudzała dane logowania, numer karty i kody SMS. Jedna litera w adresie wystarcza, żeby zmęczony pracownik księgowości tego nie zauważył.

Takie sprawy kończą się w sądzie. W lutym 2025 r. Prokuratura Regionalna w Katowicach skierowała akt oskarżenia przeciwko sześciu osobom, które rozsyłały linki do fałszywych stron kilku polskich banków. Śledztwo prowadził katowicki zarząd Centralnego Biura Zwalczania Cyberprzestępczości; ustalono 32 pokrzywdzonych i straty przekraczające 440 tys. zł. Bez zawiadomień od pokrzywdzonych takie postępowania nie mają z czego powstać.

Co pokazują wyroki

W opublikowanych orzeczeniach sądów powszechnych nie znalazłem sprawy, w której rozliczano by kierownika jednostki za niezawiadomienie o phishingu. Kilka wyroków pokazuje za to, jaką wartość ma szybkie zawiadomienie i dobrze zabezpieczone dowody. To argument praktyczny, a nie tylko formalny.

W sprawie I C 536/21 Sąd Okręgowy w Olsztynie (wyrok z 25 kwietnia 2022 r.) ustalił, że umowa pożyczki zawarta w imieniu ofiary oszustwa jest nieważna. Sąd uznał, że złożenie zawiadomienia o przestępstwie jeszcze tego samego dnia i zwrot przelanych pieniędzy świadczą o tym, że pokrzywdzona nie była stroną umowy. W podobnych sprawach Sąd Rejonowy Katowice-Zachód (II C 1396/22, wyrok z 13 kwietnia 2023 r.) i Sąd Rejonowy w Tomaszowie Mazowieckim (I C 563/24, uzasadnienie z 21 lipca 2025 r.) oddaliły powództwa banków. W obu sprawach pozwani zgłosili się na Policję niezwłocznie po wykryciu oszustwa, a banki nie wykazały zarzucanego im rażącego niedbalstwa.

Najbliższa realiom urzędu jest sprawa I C 313/23 Sądu Rejonowego w Zambrowie (wyrok z 25 września 2024 r.). Powódką była skarbnik gminy. W godzinach pracy zadzwonił do niej rzekomy doradca inwestycyjny i namówił ją na zainstalowanie aplikacji do zdalnego pulpitu na telefonie i na komputerze służbowym, z którego zatwierdzała przelewy gminy. Przestępca zmienił sposób autoryzacji na kody SMS i w ciągu jednego popołudnia wykonał sześć przelewów z jej prywatnego rachunku na łącznie 97 100 zł. Sąd zasądził od banku 57 600 zł, uznając transakcje za nieautoryzowane, a niedbalstwo powódki za niewystarczające do uznania go za rażące. Dla kierownictwa ważniejsze są trzy inne ustalenia z uzasadnienia:

  • sąd wytknął, że użycie komputera służbowego do prywatnych celów i udostępnienie go obcej osobie naraziło urząd na atak, a osoba odpowiadająca za finanse jednostki samorządu powinna być szczególnie ostrożna;
  • biegły informatyk, który badał ten komputer po kilku miesiącach, stwierdził, że większość istotnych informacji o zdarzeniu została już utracona; to praktyczna ilustracja drugiej części art. 304 § 2 k.p.k., czyli obowiązku niedopuszczenia do zatarcia śladów;
  • wiarygodność powódki sąd oparł przede wszystkim na tym, że prawie od razu zgłosiła zdarzenie bankowi i Policji. Na marginesie: na komendzie poradzono jej najpierw, żeby poczekała do następnego dnia, i zawiadomienie zostało przyjęte dopiero wtedy.

Druga strona medalu: Sąd Rejonowy w Toruniu (II K 1435/20, wyrok z 19 listopada 2021 r.) uniewinnił kobietę oskarżoną o przywłaszczenie pieniędzy, które trafiły na jej konto po ataku phishingowym. Sąd ustalił, że ona sama padła ofiarą tej samej kampanii SMS, i wytknął oskarżycielowi, że nie badał okoliczności wysyłki wiadomości ani nie szukał rzeczywistych sprawców. Wniosek dla urzędu: zabezpieczona wiadomość z nagłówkami i rzetelny opis zdarzenia pomagają organom ścigania szukać we właściwym miejscu. W sprawie XVII Ka 702/15 Sąd Okręgowy w Poznaniu (9 września 2015 r.) opisał czyn źródłowy wprost jako oszustwo komputerowe dokonane metodą phishingu, co odpowiada kwalifikacji z art. 287 k.k. Tak samo opisał czyny główne Sąd Rejonowy dla Warszawy-Śródmieścia w sprawie II K 920/23 (wyrok z 10 stycznia 2025 r.), w której prokurator zarzucił „słupom” pomocnictwo do art. 287 § 1 k.k., a sąd skazał ich za paserstwo z art. 291 § 1 k.k.

Przy zawiadomieniu warto pamiętać o art. 304b k.p.k.: pokrzywdzony składający zawiadomienie może zażądać potwierdzenia jego złożenia z datą, sygnaturą i opisem czynu. Ten dokument powinien trafić do rejestru incydentów.

Rekomendacje dla kierownictwa

  1. Zlecić Pełnomocnikowi ds. SZBI i ASI dopisanie opisanego trybu do procedury obsługi incydentów.
  2. Uzgodnić z radcą prawnym kryteria, przy których urząd zawiadamia organy ścigania, oraz wzór zawiadomienia.
  3. Wskazać w zarządzeniu osobę uprawnioną do podpisania zawiadomienia podczas nieobecności kierownika.
  4. Dodać w rejestrze incydentów pole „decyzja w sprawie zawiadomienia organów ścigania” z uzasadnieniem.
  5. Przy każdym zawiadomieniu żądać potwierdzenia jego złożenia (art. 304b k.p.k.) i dołączać je do rejestru incydentów.
  6. Wprowadzić zakaz instalowania przez użytkowników narzędzi zdalnego pulpitu i korzystania z prywatnej bankowości na stanowiskach, z których zatwierdza się przelewy jednostki, a w procedurze incydentu przewidzieć natychmiastowe zabezpieczenie takiego komputera.
  7. W najbliższym szkoleniu pracowników powtórzyć jedną zasadę: zgłoś i nie usuwaj.

Źródła

Opublikowane w

PROCES TWORZENIA I ZARZĄDZANIA SYSTEMEM BEZPIECZEŃSTWA INFORMACJI SZBI

Współczesne organizacje coraz bardziej polegają na systemach informatycznych i cyfrowych zasobach, co sprawia, że ochrona informacji staje się kluczowym elementem zarządzania. Normy i przepisy prawa dostarczają kompleksowych wytycznych, które pozwalają na skuteczne zarządzanie systemem bezpieczeństwa informacji. Poniższy artykuł omawia kluczowe etapy tego procesu w oparciu o modelowy cykl życia systemu.

PROCES TWORZENIA I ZARZĄDZANIA SYSTEMEM BEZPIECZEŃSTWA INFORMACJI SZBI opracowany przez Witold Bzdęga

1. Faza identyfikacji

Pierwszy etap stanowi fundament każdego systemu bezpieczeństwa informacji. Celem jest zrozumienie zasobów organizacji, procesów oraz ryzyk, jakie jej zagrażają.

  • Zarządzanie aktywami

Każda organizacja powinna zidentyfikować swoje zasoby, takie jak dane, urządzenia, oprogramowanie czy infrastrukturę. Kluczowe jest stworzenie rejestru aktywów i przypisanie do nich właścicieli odpowiedzialnych za ich ochronę.

  • Zarządzanie procesami

Analiza procesów biznesowych pozwala zrozumieć, jak informacje są przetwarzane, przechowywane i przesyłane. Optymalizacja procesów może przyczynić się do zminimalizowania ryzyk.

  • Ocena środowiska biznesowego

Kluczowe jest zrozumienie kontekstu działania organizacji, w tym wymagań prawnych, regulacyjnych i oczekiwań interesariuszy. To pozwala na dopasowanie systemu bezpieczeństwa do specyfiki organizacji.

  • Ocena ryzyka

Identyfikacja zagrożeń i słabości, a także analiza ich wpływu i prawdopodobieństwa, pozwala zbudować profil ryzyka organizacji. W tym celu stosuje się metodyki takie jak analiza SWOT czy OCTAVE.

  • Strategia zarządzania ryzykiem

Na podstawie wyników oceny ryzyka tworzony jest plan zarządzania ryzykiem, który obejmuje środki zapobiegawcze, minimalizujące lub akceptujące ryzyko.

2. Faza ochrony

W tej fazie organizacja wdraża środki techniczne, proceduralne i organizacyjne, które mają na celu ochronę jej zasobów informacyjnych.

  • Szkolenia

Podstawowym elementem ochrony jest edukacja pracowników na temat zagrożeń, polityk i procedur bezpieczeństwa.

  • Kontrola dostępu

Skuteczne zarządzanie tożsamością i uprawnieniami użytkowników pozwala na ograniczenie dostępu do zasobów wyłącznie do osób upoważnionych.

  • Fizyczne bezpieczeństwo danych

Ochrona fizyczna obejmuje zabezpieczenie budynków, serwerowni oraz nośników danych przed nieautoryzowanym dostępem i zagrożeniami fizycznymi.

  • Proces i procedury ochrony informacji

Opracowanie i wdrożenie polityk oraz procedur, takich jak polityka czystego biurka czy szyfrowanie danych, zapewnia spójność działań ochronnych.

  • Technologia proaktywna

Wdrażanie narzędzi takich jak firewalle, systemy wykrywania intruzów (IDS) czy zaawansowane oprogramowanie antywirusowe minimalizuje ryzyko ataków.

3. Faza wykrycia

Nie można zapobiec wszystkim incydentom, dlatego istotne jest szybkie wykrywanie zagrożeń.

  • Proces i procedury wykrywania podatności

Regularne audyty bezpieczeństwa i testy penetracyjne pomagają w identyfikacji słabości systemu.

  • Rejestrowanie anomalii i zdarzeń

Automatyczne rejestrowanie nietypowych zdarzeń w systemach pozwala na szybką reakcję na potencjalne zagrożenia.

  • Ciągłe monitorowanie bezpieczeństwa

Systemy SIEM (Security Information and Event Management) zapewniają bieżącą analizę działań w sieci.

4. Faza reagowania

Skuteczna reakcja na incydenty ogranicza ich skutki i pozwala na szybkie przywrócenie normalnego funkcjonowania.

  • Plan reakcji na incydent

Organizacja powinna posiadać szczegółowy plan, który określa role, obowiązki i procedury w przypadku wystąpienia incydentu.

  • Komunikacja wewnętrzna i zewnętrzna

Jasne zasady komunikacji podczas incydentu minimalizują dezinformację i eskalację problemu.

  • Łagodzenie skutków incydentu – działania korekcyjne

Kluczowe jest szybkie ograniczenie szkód, na przykład poprzez izolowanie zainfekowanych systemów.

  • Analiza incydentu

Dokładne badanie przyczyn i skutków incydentu pozwala na lepsze przygotowanie na przyszłość.

  • Wnioski i działania korygujące na przyszłość

Wnioski z analizy powinny wpływać na aktualizację polityk i procedur bezpieczeństwa.

  • Poprawa planów reagowania

Stałe doskonalenie planów zapewnia skuteczniejszą reakcję w przyszłości.

5. Faza odzyskiwania

Ostatni etap koncentruje się na przywróceniu normalnego funkcjonowania organizacji po incydencie.

  • Plan ciągłości działania

Planowanie awaryjne obejmuje procedury zapewniające ciągłość działania kluczowych procesów.

  • Poprawa planów odzyskiwania

Doświadczenia zdobyte podczas incydentu powinny służyć do udoskonalenia planów na przyszłość.

  • Komunikacja wewnętrzna i zewnętrzna
Opublikowane w

O CO CHODZI W DYREKTYWIE NIS2 I JEJ ZNACZENIU DLA CYBERBEZPIECZEŃSTWA

Flaga UE

Do 17.10.2024 do krajowego porządku prawnego powinna zostać wdrożona dyrektywa NIS2 (Network and Information System Directive), czyli Druga Dyrektywa o Bezpieczeństwie Sieci i Systemów Informacyjnych. Jest to kontynuacja pierwszej dyrektywy NIS, która została wprowadzona w 2016 roku, a dyrektywa NIS2 została zaproponowana w celu dostosowania przepisów do zmieniających się zagrożeń i wyzwań w obszarze cyberbezpieczeństwa.

HARMONOGRAM

2016

2018

2020

2022

2025

NIS1

UKSC1

Projekt NIS2

NIS2

Projekt UKSC2

 

Powody ustanowienia NIS2

Po przeprowadzeniu audytu NIS 1 w krajach członkowskich uznano że :

  • Występują znaczne różnice w poszczególnych krajach w postępach z walką z cyberprzestępczością.

W kontekście działania na jednolitym rynku cyfrowym Unii Europejskiej, istnieje potrzeba harmonizacji przepisów dotyczących cyberbezpieczeństwa w celu zapewnienia spójności i skuteczności działań na poziomie europejskim. Główne cele dyrektywy NIS2 obejmują dostosowanie przepisów do zmieniających się zagrożeń i wyzwań w obszarze cyberbezpieczeństwa, poprawę współpracy i koordynacji między państwami członkowskimi oraz zwiększenie poziomu bezpieczeństwa sieci i systemów informatycznych.

  • Nastąpił lawinowy wzrost usług ICT.

Infrastruktura krytyczna, taka jak sieci energetyczne, systemy bankowe, transport publiczny czy opieka zdrowotna, staje się coraz bardziej narażona na cyberatak. Incydenty cybernetyczne mogą prowadzić do zakłóceń w funkcjonowaniu tych kluczowych usług, co ma poważne konsekwencje dla społeczeństwa i gospodarki.

  • Wraz z rozwojem następuje wzrost złożoności usług ICT.

W ciągu ostatnich kilku lat obserwujemy dynamiczny rozwój technologii cyfrowych, które stały się nieodłączną częścią naszego codziennego życia. Wraz z rozwojem Internetu, chmury obliczeniowej, sztucznej inteligencji i Internetu Rzeczy (IoT), nasze społeczeństwo jest coraz bardziej zależne od infrastruktury cyfrowej.

  • Po epidemii nastąpiło znaczące odmiejscowienie pracy.
  • Występuje masowe wdrożenie usług chmurowych.
  • Obserwuje się skokowy wzrost cyberzagrożeń.

Wraz z rozwojem technologicznym, zwiększa się także liczba cyberataków, zarówno pod względem ilości, jak i złożoności. Ataki cybernetyczne mogą być prowadzone przez różne podmioty, w tym przestępców internetowych, hakerów państwowych oraz aktywistów politycznych, co stanowi poważne zagrożenie dla bezpieczeństwa państw i społeczeństw.

 W konsekwencji konieczność reakcji na zmieniające się zagrożenia.

Istniejące przepisy dotyczące bezpieczeństwa sieci i systemów informatycznych często nie nadążają za dynamicznym rozwojem technologicznym i ewoluującymi zagrożeniami.

Konieczne stało się więc wprowadzenie nowych regulacji, które umożliwią skuteczną reakcję na zmieniające się zagrożenia oraz wzmocnią ochronę infrastruktury krytycznej.

Korzyści z wdrożenia NIS2

Wdrażanie dyrektywy NIS2 przez objęte podmioty zwiększy poziom cyberbezpieczeństwa dużej ilości danych oraz infrastruktury kluczowych usług publicznych. Skutecznie ograniczy ryzyko incydentów cyberbezpieczeństwa. Zwiększy odporność i zdolność do odbudowy infrastruktury po ataku. Zyskają obywatele. Wzrośnie zaufanie do podmiotów w UE.