Jak prowadzić szacowanie ryzyka wymagane przez ustawę o KSC?

Dlaczego to pytanie w ogóle powstaje

Szacowanie ryzyka otwiera system zarządzania bezpieczeństwem informacji. Art. 8 ust. 1 stawia je w pkt 1, a środki z pkt 2 mają być odpowiednie i proporcjonalne do oszacowanego ryzyka. Katalog w pkt 2 wskazuje obszary środków, a wynik szacowania obok kosztów i wielkości podmiotu wyznacza ich dobór i siłę.

Ustawa definiuje też ryzyko i zarządzanie ryzykiem. Ryzyko to kombinacja prawdopodobieństwa wystąpienia zdarzenia niepożądanego i jego konsekwencji (art. 2 pkt 12). Zarządzanie ryzykiem to skoordynowane działania w zakresie zarządzania cyberbezpieczeństwem w odniesieniu do oszacowanego ryzyka (art. 2 pkt 19). Skali, częstotliwości ani progu akceptacji ustawa nie określa. Według ministra należy regularnie identyfikować, analizować i oceniać ryzyko, a następnie podejmować decyzję o podejściu do niego (pyt. 3.3).

Wiążący wzorzec procesu mają podmioty z art. 8b ust. 1, dla których ramy zarządzania ryzykiem opisuje pkt 2.1 załącznika do rozporządzenia 2024/2690. Według art. 8b ust. 2 pozostałe podmioty stosują środki określone dla ich rodzaju w aktach wykonawczych Komisji Europejskiej wydanych na podstawie art. 21 ust. 5 dyrektywy NIS2. Dla dostawców usług zaufania takim aktem jest rozporządzenie 2024/2690 (art. 1 rozporządzenia, pyt. 14.1). Innych takich aktów minister w październiku 2026 r. nie wymienia (pyt. 14.1), a z upoważnienia z art. 8a Rada Ministrów dotąd nie skorzystała. Podmioty z podsektora energii elektrycznej o dużym lub krytycznym wpływie mają dodatkowo wiążący wzorzec procesu dla aktywów w obszarze o dużym lub krytycznym wpływie (art. 26 rozporządzenia delegowanego (UE) 2024/1366, art. 8b ust. 3). Pozostałe podmioty spoza sektora objętego art. 8i nie mają więc wiążącego wzorca procesu. Warto, by umiały uzasadnić wybraną metodę, bo organ może wystąpić o przedstawienie dowodów realizacji wymogów z art. 8 ust. 1 (art. 53 ust. 2 pkt 6 i ust. 17).

Co trzeba ustalić przed decyzją

Kogo obowiązuje szacowanie ryzyka i od kiedy

Termin wdrożenia z ustawy jest wspólny dla wszystkich rodzajów podmiotów. Podmiot, który spełniał przesłanki 3 kwietnia 2026 r., wdraża system do 3 kwietnia 2027 r. (art. 33 ust. 1 nowelizacji). Podmiot, który spełnił je później, ma 12 miesięcy od ich spełnienia (art. 16 pkt 1). Podmiot uznany decyzją liczy 12 miesięcy od jej doręczenia (art. 7l ust. 7 i art. 7m ust. 6). Dawni operatorzy usług kluczowych do czasu wdrożenia nowego systemu stosują system dotychczasowy (art. 33 ust. 6 nowelizacji). Przedsiębiorcy telekomunikacyjni, którzy przed 3 kwietnia 2026 r. realizowali obowiązki z działu VIIa Prawa telekomunikacyjnego, wykonują je według dotychczasowych przepisów do czasu rozpoczęcia realizacji obowiązków z rozdziału 3 ustawy o KSC (art. 33 ust. 5 nowelizacji). Podmiot publiczny realizuje obowiązki z art. 8, jeżeli wykorzystuje system informacyjny do realizacji zadania publicznego (art. 16d).

Rodzaj podmiotu	Punkt odniesienia dla szacowania ryzyka	Wyjątki i ograniczenia
Podmiot kluczowy lub ważny — zasada	art. 8 ust. 1 pkt 1 ustawy i metoda opisana w polityce podmiotu	obejmuje systemy informacyjne wykorzystywane w procesach wpływających na świadczenie usługi
Podmioty z art. 8b ust. 1, m.in. dostawcy usług chmurowych i usług zarządzanych, oraz dostawcy usług zaufania (art. 8b ust. 2)	art. 8 ust. 1 pkt 1 ustawy oraz pkt 2.1 załącznika do rozporządzenia 2024/2690	według ministra rozporządzenie stosuje się tylko do działalności, której dotyczy (pyt. 3.47)
Podmiot ważny będący podmiotem publicznym albo wskazaną w art. 8 ust. 3 jednostką systemu szkolnictwa wyższego i nauki niebędącą organizacją badawczą — w zakresie zadań publicznych realizowanych z wykorzystaniem systemów informacyjnych	załącznik nr 4 zamiast art. 8 ust. 1; dokumentacja ochrony infrastruktury z szacowaniem ryzyka dla obiektów infrastruktury (art. 10 ust. 3 pkt 2 lit. c, art. 16d)	według ministra podmiot publiczny formalnie nie ma obowiązku szacowania (pyt. 3.15), choć art. 8 ust. 3 nie wyłącza art. 10; przegląd systemu co najmniej raz w roku albo bezzwłocznie po dotyczącej podmiotu rekomendacji Pełnomocnika Rządu lub okolicznościach, które mogą wpłynąć na ryzyko incydentu poważnego i wymagają ponownego wykonania działań opisanych w systemie lub zmian w samym systemie (część III); uczelnia będąca organizacją badawczą stosuje art. 8 ust. 1 (art. 8 ust. 3, pyt. 3.27)
Podmiot z podsektora energii elektrycznej o dużym lub krytycznym wpływie	art. 8 ust. 1 pkt 1 ustawy i dodatkowo środki z rozporządzenia 2024/1366 (art. 8b ust. 3), w tym zarządzanie ryzykiem w odniesieniu do wszystkich aktywów w obszarze o dużym lub krytycznym wpływie, a co trzy lata cykl obejmujący etapy z art. 26 ust. 2 (art. 26 rozporządzenia)	dotyczy podmiotów zidentyfikowanych przez ministra właściwego do spraw energii (art. 52a ust. 2)
Podmiot kluczowy lub ważny z sektora bankowości i infrastruktury rynków finansowych	art. 8 ust. 1 pkt 1 ustawy; według ministra DORA ma w tym sektorze pierwszeństwo (pyt. 14.2), więc szacowanie warto prowadzić w ramach zarządzania ryzykiem związanym z ICT (art. 6 i 8 DORA)	pozostałe przepisy o systemie zarządzania, w tym polityka z lit. a, nie mają zastosowania poza pkt 2 lit. j (art. 8i ust. 1); w mojej ocenie dotyczy to także art. 10; art. 8c–8f stosuje się odpowiednio (art. 8i ust. 2); nadzór sprawuje Komisja Nadzoru Finansowego (art. 8i ust. 3, art. 41 pkt 4)

Według ministra podmiot z sektora bankowości i infrastruktury rynków finansowych stosuje ustawę bez wyłączeń z art. 8i w działalności innej niż finansowa, na przykład przy usługach chmurowych (pyt. 14.13).

Według ministra z podejścia opartego na ryzyku w załączniku nr 4 zrezygnowano, bo mniejsze jednostki samorządowe nie mają odpowiedniego personelu (pyt. 3.14). Minister dodaje, że analiza ryzyka nie jest zakazana, a analiza ryzyka dla osób jest niezbędna do stosowania art. 32 RODO (pyt. 3.15). Rekomenduję choćby uproszczoną ocenę ryzyka, bo bez niej trudno wybrać elementy części II do wdrożenia. Według ministra podmiot powinien je rozważyć, jeżeli pozwalają na to jego uwarunkowania (pyt. 3.40).

Co obejmuje szacowanie ryzyka

Przedmiotem jest ryzyko wystąpienia incydentu. Incydent to zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych (art. 2 pkt 5). Definicja nie ogranicza się do ataków. Awaria zasilania, zalanie serwerowni albo błąd administratora też mogą być takim zdarzeniem. Rozporządzenie 2024/2690 nazywa to podejściem uwzględniającym wszystkie zagrożenia (pkt 2.1.2 lit. d załącznika).

Zakres wyznacza usługa, a w podmiocie publicznym także zadanie publiczne (art. 2a). System zarządzania obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi (art. 8 ust. 1). System informacyjny to system teleinformatyczny albo urządzenie lub grupa połączonych urządzeń i oprogramowania zaprogramowanych w celu przetwarzania danych. Obejmuje też dane przetwarzane w postaci elektronicznej (art. 2 pkt 14). Według ministra definicja uwzględnia także systemy automatyki przemysłowej (pyt. 6.6).

Według ministra należy zacząć od procesów świadczenia usługi, także tych wymaganych przepisami, na przykład obsługi uprawnień klientów. Przy każdym systemie minister radzi sprawdzić trzy rzeczy. Pierwsza to konieczność systemu dla usługi. Druga to przetwarzanie danych i sterowanie procesami, od których usługa zależy. Trzecia to możliwość przerwania świadczenia przez zdarzenie w systemie. Minister wyłącza systemy w pełni odseparowane od usługi i bez wpływu na nią. Należy jednak ująć systemy pomocnicze, na przykład księgowe, gdy bez nich usługi nie da się świadczyć (pyt. 3.4).

Ryzyko z RODO dotyczy praw lub wolności osób fizycznych (art. 32 ust. 1), a ryzyko z ustawy o KSC — incydentu w systemach, od których zależy usługa. Jeżeli oba procesy korzystają ze wspólnego rejestru, warto oceniać w nim osobno skutki dla usługi i dla osób.

Jak przeprowadzić szacowanie ryzyka krok po kroku

Podmiotom z art. 8b ust. 1 i dostawcom usług zaufania kroki narzuca pkt 2.1.2 załącznika do rozporządzenia 2024/2690. Rozporządzenie wymaga stosowania metodyki, ale samej metody nie wybiera. Dla podmiotów bez wiążącego wzorca to najbliższy wzorzec urzędowy i rekomenduję go jako szkielet własnej metody. Według ministra rozporządzenie oparto m.in. na normach ISO/IEC 27001 i 27002 (pyt. 14.1). Według ministra organizacja z systemem zarządzania bezpieczeństwem informacji według jednego z dostępnych standardów może wykorzystać i dostosować istniejącą dokumentację (pyt. 3.6).

1. Zakres. Spisz usługi objęte ustawą i obsługujące je systemy, a przy każdym systemie wskaż właściciela. Wykaz aktywów w rozporządzeniu 2024/2690 obejmuje listę operacji i usług z ich opisem oraz listę sieci, systemów i innych aktywów wspierających działalność i usługi (pkt 12.4.2). Według ministra każdy system, przy pomocy którego jest świadczona usługa, powinien być zinwentaryzowany (pyt. 14.7).
2. Kryteria. Ustal skalę prawdopodobieństwa, skalę skutków i sposób łączenia ich w poziom ryzyka, na przykład iloczyn. Każdy poziom skali opisz słowami, bo bez tego dwie osoby ocenią ten sam scenariusz różnie. Zapisz poziom tolerancji ryzyka zgodny z gotowością organizacji do podejmowania ryzyka (pkt 2.1.2 lit. b i c). W praktyce to poziom, który organizacja przyjmuje bez dodatkowych środków. Skutki opisz językiem usługi, na przykład czasem niedostępności i liczbą użytkowników. Warto, by skala obejmowała też utratę poufności, integralności i autentyczności danych (art. 2 pkt 3d). W systemach sterowania warto dodać kategorię skutków dla zdrowia ludzi i środowiska. Art. 8 ust. 1 pkt 2 wymienia skutki społeczne i gospodarcze wśród okoliczności doboru środków, więc warto ująć je w skali. Scenariusz o najwyższym skutku warto kierować do decyzji kierownika bez względu na iloczyn, bo prawdopodobieństwo 1 i skutek 5 dają ten sam poziom co 5 i 1.
3. Identyfikacja. Dla każdej usługi opisz scenariusze zdarzeń z udziałem jej systemów i działających zabezpieczeń. Nie zestawiaj każdego aktywa z każdym zagrożeniem, bo rejestr w setkach pozycji trudno omówić z zarządem. Uwzględnij ryzyko związane z osobami trzecimi i pojedyncze punkty awarii, bo rozporządzenie 2024/2690 wymienia je wprost (pkt 2.1.2 lit. d). W usługach chmurowych oceniaj też elementy po stronie podmiotu, czyli konfigurację, tożsamości i kopie danych. Warto wykorzystać rejestr incydentów prowadzony w ramach ich obsługi (art. 2 pkt 10) i zapisy o potencjalnych zdarzeniach, które nie wystąpiły lub którym zapobieżono (art. 2 pkt 11e).
4. Analiza. Oceń prawdopodobieństwo i skutek każdego scenariusza z uwzględnieniem analizy cyberzagrożeń i podatności (pkt 2.1.2 lit. e) oraz działających zabezpieczeń. Połączenie prawdopodobieństwa i skutku daje poziom ryzyka (art. 2 pkt 12). Skutki dla usługi najłatwiej oszacować na podstawie analizy wpływu na działalność. Podmioty stosujące rozporządzenie 2024/2690 przeprowadzają ją obowiązkowo (pkt 4.1.3). Pozostałym w pierwszym cyklu warto zacząć od jej uproszczonej wersji z dopuszczalnym czasem przerwy każdej usługi.
5. Ocena. Porównaj poziomy ryzyka z kryteriami (pkt 2.1.2 lit. f) i ułóż listę od najwyższego. Ryzyko powyżej poziomu tolerancji wymaga decyzji o sposobie postępowania. Ryzyko w granicy tolerancji nie wymaga dodatkowego środka, ale wchodzi do ryzyka rezydualnego przedstawianego do akceptacji.
6. Postępowanie z ryzykiem. Zwykle wybiera się środek ograniczający z katalogu art. 8 ust. 1 pkt 2 albo spoza niego. Możliwa jest też zmiana procesu, która usuwa źródło ryzyka, albo przeniesienie części skutków finansowych na ubezpieczyciela. Przeniesienie skutków nie przenosi obowiązków z ustawy, które spoczywają na podmiocie. Akceptację ryzyka powyżej progu rekomenduję tylko czasowo i z decyzją kierownika. Środki szereguje się według ważności z uwzględnieniem m.in. kosztów wobec korzyści i wyników procedury oceny skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie (pkt 2.1.2 lit. g i pkt 2.1.3). Wynik zapisz w planie postępowania z ryzykiem ze środkiem, właścicielem i terminem (pkt 2.1.2 lit. i oraz j). Budżet planu przedstaw kierownikowi, który planuje środki finansowe na cyberbezpieczeństwo (art. 8d pkt 2). Wdrażanie planu monitoruj stale (pkt 2.1.2 lit. h).
7. Akceptacja ryzyka rezydualnego. W rozporządzeniu 2024/2690 wyniki oceny przyjmują i ryzyko rezydualne akceptują organy zarządzające albo, w stosownych przypadkach, osoby odpowiedzialne i uprawnione do zarządzania ryzykiem. Rozporządzenie wiąże to z warunkiem, że podmiot zapewni organom zarządzającym stosowne sprawozdania (pkt 2.1.1). Powody akceptacji przedstawia się w zrozumiały sposób (pkt 2.1.2 lit. j).

Ustawa nie wymienia akceptacji ryzyka rezydualnego z nazwy. W mojej ocenie jest ona jedną z decyzji w zakresie stosowania systemu, które art. 8d pkt 1 powierza kierownikowi podmiotu. Przeciw obowiązkowi osobistej akceptacji przemawia art. 8c ust. 3, który zakłada możliwość powierzenia obowiązków innej osobie za jej zgodą. Art. 8e ust. 1 też zakłada powierzenie obowiązków kierownika. Minister podkreśla też swobodę kierownika w organizacji zadań systemu (pyt. 3.44). Niezależnie od odczytu kierownik nadzoruje wykonanie przydzielonych zadań i odpowiada za art. 8 także po ich powierzeniu (art. 8d pkt 3, art. 8c ust. 1 i 3). Jeżeli kierownik powierzył tę decyzję innej osobie, rekomenduję, by co najmniej otrzymywał zestawienie zaakceptowanych ryzyk z uzasadnieniem.

Przykład jednej pozycji rejestru (dane fikcyjne). Przedsiębiorstwo wodociągowe będące podmiotem kluczowym ocenia system sterowania stacją uzdatniania. System zdalnie serwisuje dostawca.

• Scenariusz — przejęcie wspólnego konta serwisowego dostawcy i zaszyfrowanie stacji operatorskich.
• Analiza — prawdopodobieństwo 4 i skutek 5 w skali od 1 do 5, poziom 20 przy progu tolerancji 6. Prawdopodobieństwo 4 przyjęto, bo hasło wspólnego konta zna wielu pracowników dostawcy, a dostęp zdalny jest stale otwarty. Skutek 5 oznacza przerwę w dostawie wody dla większości odbiorców dłuższą niż doba. Tak oceniono skutek, bo bez stacji operatorskich i procedury pracy ręcznej stację uzdatniania trzeba zatrzymać.
• Postępowanie — do końca kwartału imienne konta serwisowe z uwierzytelnianiem wieloskładnikowym i dostęp tylko na czas prac. W ciągu roku segmentacja sieci, odtwarzanie stacji z kopii offline i procedura pracy ręcznej. Właścicielem jest kierownik utrzymania ruchu.
• Ryzyko rezydualne — po wdrożeniu prawdopodobieństwo 2 i skutek 3, poziom 6 równy progowi tolerancji. Skutek spada, bo do odtworzenia stacji operatorskich z kopii uzdatnianie prowadzi się ręcznie. Do pełnego wdrożenia zarząd świadomie akceptuje ryzyko powyżej progu i zatwierdza budżet planu. Po wdrożeniu kont imiennych pozycję ocenia się ponownie.

Jak często powtarzać szacowanie ryzyka

Ustawa wymaga szacowania systematycznego i nie podaje interwału. Jednorazowe szacowanie przy wdrożeniu systemu tego wymogu nie spełnia. Wzorcem częstotliwości jest pkt 2.1.4 załącznika do rozporządzenia 2024/2690. Podmioty, które je stosują, przeglądają wyniki oceny i plan postępowania z ryzykiem co najmniej raz w roku. Robią to także po istotnych zmianach w działalności lub poziomie ryzyka oraz po poważnych incydentach.

Pozostałym podmiotom rekomenduję ten sam rytm, czyli cykl roczny i przegląd po zdarzeniu, które może zmienić wynik. Przegląd uruchamiają zwykle takie zdarzenia.

• wdrożenie nowego systemu albo nowego dostawcy, od którego zależy usługa;
• zmiana usługi, lokalizacji albo sposobu świadczenia;
• incydent poważny albo seria mniejszych incydentów o wspólnej przyczynie;
• krytyczna podatność, której nie da się usunąć w terminie z polityki aktualizacji;
• rekomendacja Pełnomocnika Rządu, decyzja o uznaniu za dostawcę wysokiego ryzyka albo polecenie zabezpieczające, których skutki według ministra trzeba uwzględnić w procedurach (pyt. 3.2);
• wynik audytu, kontroli albo testu, który podważa ocenę działającego zabezpieczenia.

Kto prowadzi szacowanie ryzyka i kto decyduje

Decyzje dotyczące systemu zarządzania, od przygotowania po przegląd i nadzór, podejmuje kierownik podmiotu (art. 8d pkt 1). Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, za wykonanie art. 8 odpowiadają wszyscy jego członkowie (art. 8c ust. 2). W celu realizacji zadań z art. 8 podmiot powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14).

Prowadzenie szacowania warto powierzyć jednej osobie, która koordynuje metodę i harmonogram. Skutki dla usługi znają właściciele procesów, a zależności od dostawców zna dział zakupów. W grupie kapitałowej obowiązki z art. 8 ciążą na każdej spółce będącej podmiotem kluczowym lub ważnym, w zakresie, w jakim ją wiążą. Wspólną metodę i skale może przygotować centrum grupy, ale wyniki i akceptację ryzyka warto przyjmować w każdej spółce (art. 8d pkt 1). Warto włączyć inspektora ochrony danych, który pomoże uzgodnić skale z oceną ryzyka prowadzoną na potrzeby RODO.

Szacowanie ryzyka jest zadaniem z art. 8. Osoba, która ma je realizować, przedstawia więc wcześniej informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji. Kierownik dopuszcza ją do zadań po otrzymaniu tej informacji (art. 8f ust. 1). Wymóg spełnia też ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej (art. 8f ust. 3). Według ministra obowiązek nie obejmuje personelu usługodawców, a jego bezpieczeństwo powinno się zapewniać w zarządzaniu ryzykiem łańcucha dostaw i w umowie (pyt. 3.48). Brzmienie art. 8f takiego wyłączenia nie zawiera. Krąg osób realizujących zadania z art. 8 opisuje materiał Kogo i kiedy trzeba sprawdzić w Krajowym Rejestrze Karnym na potrzeby NIS2?.

Jak udokumentować szacowanie ryzyka

Według ministra w dokumentacji systemu zarządzania powinny być ujęte wszystkie elementy z art. 8 (pyt. 3.5). Dokumentacja ochrony infrastruktury ma dodatkowo zawierać szacowanie ryzyka dla obiektów infrastruktury i plan postępowania z ryzykiem (art. 10 ust. 3 pkt 2 lit. c i d). Według ministra może ona mieć postać jednego dokumentu albo kilku, byle zachowano jej zakres (pyt. 3.5). Szacowanie dla obiektów infrastruktury warto prowadzić tą samą metodą i w tym samym rejestrze co szacowanie z art. 8 ust. 1, jeżeli podmiot stosuje ten przepis.

W praktyce komplet tworzy pięć zapisów.

• polityka szacowania ryzyka określająca metodę, kryteria ryzyka i rytm przeglądów;
• wykaz usług, systemów i aktywów objętych szacowaniem;
• rejestr ryzyka z wynikami analizy i oceny oraz datą i wersją;
• plan postępowania z ryzykiem ze środkami, właścicielami i terminami;
• raport dla kierownika z decyzją o akceptacji ryzyka rezydualnego i jej uzasadnieniem.

Polityka należy do dokumentacji normatywnej (art. 10 ust. 3 pkt 1). Zapisy poświadczające przeglądy i decyzje wymagane przez politykę należą do dokumentacji operacyjnej (art. 10 ust. 4). Nadzór nad dokumentacją obejmuje m.in. oznaczanie kolejnych wersji (art. 10 ust. 6 pkt 3).

Organ właściwy może wystąpić z wnioskiem o przedstawienie dowodów realizacji wymogów z art. 8 ust. 1, także wobec podmiotu ważnego w ramach nadzoru następczego (art. 53 ust. 2 pkt 6, ust. 3 pkt 2 i ust. 17). Według ministra wymagane jest udowodnienie stosowania przepisów, a nie przedstawienie formalnie poprawnych dokumentów. Dowodem mogą być też relacje personelu (pyt. 11.6). Dobrym dowodem jest powiązanie każdego środka z ryzykiem, które ogranicza, także środka z katalogu art. 8 ust. 1 pkt 2.

Najczęstsze błędy

• Ocena wykonana wyłącznie przez IT. Skutki dla usługi bywają wtedy źle oszacowane, bo nie oceniali ich właściciele procesów.
• Zakres przepisany z certyfikatu ISO. Zakres certyfikacji bywa węższy niż zakres z art. 8 ust. 1, na przykład pomija systemy sterowania.
• Wykaz bez pokrycia. Każdy system z wykazu warto ująć w co najmniej jednym scenariuszu albo zapisać powód pominięcia.
• Zabezpieczenia na papierze. Zabezpieczenie bez dowodu działania, na przykład wyniku testu, zaniża ryzyko w analizie.
• Ryzyko rezydualne bez decyzji. Brak zapisu akceptacji oznacza, że nikt formalnie nie przyjął ryzyka, które zostało. Akceptacja poziomu docelowego przed wdrożeniem środków nie zastępuje decyzji o ryzyku bieżącym.

Wnioski i dalsze kroki

Pierwszy cykl jest najdroższy, bo wymaga inwentaryzacji usług i systemów oraz uzgodnienia skal. Jego koszt to głównie czas osoby prowadzącej, właścicieli procesów i IT, a koszt środków pokazuje dopiero plan postępowania z ryzykiem.

1. Ustal, czy stosujesz art. 8 ust. 1, załącznik nr 4 czy art. 8i. Sprawdź też, czy dodatkowo stosujesz rozporządzenie 2024/2690 albo 2024/1366.
2. Wyznacz osobę prowadzącą szacowanie. Osoby realizujące zadania z art. 8 kierownik dopuszcza po otrzymaniu informacji z Krajowego Rejestru Karnego albo przy ważnym poświadczeniu bezpieczeństwa.
3. Spisz usługi objęte ustawą i obsługujące je systemy, a przy każdym wskaż właściciela.
4. Przedstaw kierownikowi do zatwierdzenia politykę szacowania ryzyka ze skalami i progiem tolerancji.
5. Przeprowadź identyfikację, analizę i ocenę ryzyka z udziałem właścicieli procesów, IT i zakupów.
6. Przedstaw kierownikowi plan postępowania z ryzykiem z budżetem oraz ryzyko rezydualne do decyzji, a decyzję zapisz.
7. Monitoruj wdrażanie planu, a przegląd roczny i zdarzenia uruchamiające przegląd wpisz do harmonogramu systemu.

Materiały powiązane

• Jakie środki zarządzania ryzykiem musi wdrożyć podmiot kluczowy? — katalog środków dobieranych do oszacowanego ryzyka.
• Co powinien zawierać wynik analizy luk NIS2? — porównanie stanu obecnego z wymaganiami ustawy.
• Jaką dokumentację NIS2 musi prowadzić podmiot kluczowy lub ważny? — dokumentacja normatywna i operacyjna, nadzór i przechowywanie.
• Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego? — decyzje i odpowiedzialność kierownika.
• Jak zarządzać ryzykiem dostawców w NIS2? — ocena dostawców według art. 8 ust. 2.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 2 pkt 3d, 5, 10, 11e, 12–14 i 19, art. 2a, art. 7l ust. 7, art. 7m ust. 6, art. 8, art. 8a, art. 8b, art. 8c, art. 8d, art. 8e ust. 1, art. 8f, art. 8i ust. 1–3, art. 10 ust. 3, 4 i 6, art. 14, art. 16 pkt 1, art. 16d, art. 41 pkt 4, art. 52a ust. 2, art. 53 ust. 2, 3 i 17 oraz załącznik nr 4 — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 — art. 33 ust. 1, 5 i 6 — isap.sejm.gov.pl.
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. — art. 1 oraz załącznik, pkt 2.1, 4.1.3 i 12.4.2 — eur-lex.europa.eu.
• Minister Cyfryzacji, Krajowy system cyberbezpieczeństwa — pytania i odpowiedzi do nowelizacji ustawy o KSC, aktualizacja z października 2026 r. — pyt. 3.2–3.6, 3.14, 3.15, 3.27, 3.40, 3.44, 3.47, 3.48, 6.6, 11.6, 14.1, 14.2, 14.7 i 14.13 — cyber.gov.pl.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — art. 32 ust. 1 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) — art. 6 i 8 — eur-lex.europa.eu.
• Rozporządzenie delegowane Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. (kodeks sieci dotyczący cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej) — art. 26 (przywołane w art. 8b ust. 3 ustawy) — eur-lex.europa.eu.