Każdy poważny system zarządzania cyberbezpieczeństwem zaczyna się od tego samego dokumentu: pisemnej, zatwierdzonej przez kierownictwo polityki bezpieczeństwa informacji (ISSP). Dyrektywa NIS2 wymienia ją jako pierwszy ze środków zarządzania ryzykiem w art. 21, a norma ISO/IEC 27001 czyni ją wymogiem punktu 5.2. Security Policy Express prowadzi europejskie MŚP przez warsztat online i generuje uporządkowaną pierwszą wersję w imieniu firmy: projekt roboczy do przeglądu przez Twoich doradców, a nie poradę prawną.
Odpowiedź w minutę, dla dyrektora zarządzającego, który nie jest specjalistą IT.
Polityka bezpieczeństwa informacji (po angielsku ISSP, po francusku PSSI) to dokument, w którym kierownictwo firmy zapisuje, jak firma chroni swoje informacje i systemy informatyczne, kto za co odpowiada i jakie zasady musi przestrzegać każdy. Część ogólna jest krótka (deklaracja polityki podpisana przez kierownictwo), a niżej znajdują się bardziej szczegółowe reguły tematyczne i procedury operacyjne. To nie jest podręcznik techniczny: to decyzja zarządcza, zapisana na papierze, do której może się odwoływać reszta prac nad bezpieczeństwem.
Norma ISO/IEC 27001 przypisuje politykę „najwyższemu kierownictwu”, a dyrektywa NIS2 w art. 20 wymaga, by organy zarządzające podmiotów objętych zakresem zatwierdzały środki zarządzania ryzykiem cyberbezpieczeństwa i nadzorowały ich wdrożenie. Dostawca IT może pomóc ją napisać; tylko kierownictwo może za nią odpowiadać.
Źródła: dyrektywa (UE) 2022/2555, art. 20 · ISO/IEC 27001:2022, punkt 5Dobre praktyki rozróżniają trzy poziomy. Polityka określa zasady i odpowiedzialności. Polityki tematyczne (kontrola dostępu, kopie zapasowe, kryptografia, dostawcy...) przekładają je na poszczególne obszary. Procedury opisują, kto co robi, krok po kroku, gdy coś się wydarzy. Norma ISO/IEC 27001, zabezpieczenie 5.1, wprost wspomina zarówno politykę, jak i polityki tematyczne.
Źródło: ISO/IEC 27001:2022, załącznik A, zabezpieczenie 5.1Żaden tekst europejski nie narzuca jednego wzorca. Art. 21 ust. 1 dyrektywy NIS2 wymaga środków „odpowiednich i proporcjonalnych”, uwzględniających narażenie podmiotu na ryzyka, jego wielkość oraz prawdopodobieństwo i wagę incydentów. Producent zatrudniający 40 osób i szpital nie napiszą tej samej polityki i nie powinni tego robić.
Źródło: dyrektywa (UE) 2022/2555, art. 21 ust. 1Polityka napisana raz i schowana w szufladzie niczego nie chroni. Normy oczekują, że zostanie przekazana pracownikom, potwierdzona i przeglądana w zaplanowanych odstępach czasu oraz po istotnych zmianach. Dlatego Twoja polityka powinna od pierwszego dnia zawierać własny cykl przeglądu, właściciela i historię wersji.
Źródło: ISO/IEC 27001:2022, punkt 5.2 i zabezpieczenie 5.1Większość małych i średnich firm stosuje już pewne reguły bezpieczeństwa. Zwykle brakuje natomiast pisemnej, zatwierdzonej i spójnej wersji, którą regulator, audytor, ubezpieczyciel lub duży klient może faktycznie przeczytać.
Dyrektywa NIS2 rozszerza unijne przepisy o cyberbezpieczeństwie na wiele średnich firm w sektorach takich jak produkcja, żywność, gospodarka odpadami, transport czy usługi cyfrowe. Dla podmiotów objętych zakresem „polityki analizy ryzyka i bezpieczeństwa systemów informatycznych” są pierwszym środkiem wymienionym w art. 21 ust. 2.
Art. 21 ust. 2 lit. d dyrektywy NIS2 wymaga od podmiotów objętych zakresem zajęcia się bezpieczeństwem łańcucha dostaw, w tym aspektami bezpieczeństwa w relacjach z bezpośrednimi dostawcami. Nawet jeśli nie podlegasz tej dyrektywie, więksi klienci mogą poprosić o przedstawienie pisemnej polityki bezpieczeństwa w ankietach dla dostawców.
Napisanie polityki oznacza odpowiedź na wiele pytań naraz: jakie są nasze krytyczne aktywa, kto decyduje, co robimy w razie ataku ransomware, jak długo przechowujemy kopie zapasowe? Bez struktury łatwo to odkładać z kwartału na kwartał.
Pobrane szablony często opisują organizację z dyrektorem ds. bezpieczeństwa (CISO), centrum operacji bezpieczeństwa (SOC) i dedykowanym budżetem. Dokument, który nie odpowiada rzeczywistości, jest gorszy niż brak dokumentu: nie będzie stosowany, a audytor zauważy różnicę między papierem a praktyką.
Ten sam dokument odpowiada jednocześnie kilku tekstom. Oto, co każdy z nich faktycznie mówi, z linkiem do oficjalnego źródła. Każde odwołanie prowadzi do oficjalnego źródła; krajowe transpozycje mogą dodawać szczegóły.
Podmioty kluczowe i ważne muszą stosować „odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne” do zarządzania ryzykiem cyberbezpieczeństwa, w oparciu o podejście obejmujące wszystkie zagrożenia. Lista w art. 21 ust. 2 otwiera się od „a) polityk analizy ryzyka i bezpieczeństwa systemów informatycznych”. Art. 20 dodaje, że organy zarządzające zatwierdzają te środki, nadzorują ich wdrożenie i przechodzą szkolenia.
Punkt 5.2 wymaga, by najwyższe kierownictwo ustanowiło politykę bezpieczeństwa informacji odpowiednią do celu organizacji, zapewniającą ramy dla celów bezpieczeństwa oraz zawierającą zobowiązania do spełnienia obowiązujących wymagań i do ciągłego doskonalenia. Musi być udokumentowana, przekazana wewnątrz organizacji i udostępniona zainteresowanym stronom, w odpowiednim zakresie. Zabezpieczenie 5.1 załącznika A rozszerza to na polityki tematyczne, zatwierdzane, publikowane, potwierdzane i przeglądane.
Art. 24 ust. 2 stanowi, że jeśli jest to proporcjonalne do czynności przetwarzania, środki administratora obejmują „wdrożenie odpowiednich polityk ochrony danych”. Art. 32 wymaga odpowiednich środków technicznych i organizacyjnych zapewniających poziom bezpieczeństwa odpowiedni do ryzyka. Polityka bezpieczeństwa to naturalne miejsce do udokumentowania tych środków.
Dla niektórych podmiotów cyfrowych (na przykład dostawców usług chmurowych, centrów danych i dostawców usług zarządzanych) Komisja przyjęła szczegółowe wymagania techniczne i metodologiczne. Jego załącznik otwiera się „polityką bezpieczeństwa sieci i systemów informatycznych” i opisuje sposób jej zatwierdzania, dokumentowania i przeglądu. Nawet jeśli Twoja firma nie jest tym typem podmiotu, załącznik jest przydatnym, publicznym punktem odniesienia do budowy polityki.
Dla podmiotów finansowych DORA wymaga opracowania i udokumentowania polityki bezpieczeństwa informacji określającej zasady ochrony dostępności, autentyczności, integralności i poufności danych, aktywów informacyjnych i aktywów ICT. Jeśli jesteś dostawcą ICT dla banku lub ubezpieczyciela, spodziewaj się pytania klienta, jak Twoja polityka wypada na tle jego wymagań.
Krajowe agencje ds. cyberbezpieczeństwa publikują bezpłatne wytyczne, na których może opierać się polityka. We Francji wytyczne ANSSI dotyczące higieny informatycznej określają 42 podstawowe środki dla osób odpowiedzialnych za bezpieczeństwo systemu informatycznego organizacji. ENISA, Agencja Unii Europejskiej ds. Cyberbezpieczeństwa, publikuje wytyczne wspierające wdrażanie NIS2 w całej Unii.
Art. 21 ust. 2 dyrektywy NIS2 wymienia dziesięć minimalnych środków. Punkt a) to sama polityka, ale dobrze zbudowana polityka jest też miejscem, w którym pozostałe dziewięć znajduje swojego właściciela, swoją regułę i swoją procedurę. Tak strukturyzujemy generowany dokument.
Deklaracja polityki, zakres, role oraz metoda identyfikacji i oceny ryzyk. To kręgosłup dokumentu.
Procedura zarządzania incydentami: wykrycie, kwalifikacja, eskalacja, powstrzymanie, zgłoszenie i wnioski na przyszłość.
Zarządzanie kopiami zapasowymi, odtwarzanie po awarii i zarządzanie kryzysowe, tak jak ujmuje to dyrektywa: kto decyduje, co uruchamia się jako pierwsze, jak często testuje się kopie zapasowe.
Zasady wyboru, zawierania umów i monitorowania dostawców IT i usługodawców, w tym klauzul bezpieczeństwa, których od nich oczekujesz.
Jak wybiera się i konfiguruje nowe systemy, jak stosuje się aktualizacje oraz jak obsługuje się i ujawnia podatności.
Polityki i procedury sprawdzające, czy środki działają: wskaźniki, przeglądy wewnętrzne, ćwiczenia i przegląd zarządczy.
Codzienne zasady (hasła, aktualizacje, świadomość zagrożeń phishingiem) oraz plan szkoleń, w tym dla kierownictwa, którego art. 20 ust. 2 wymaga od organów zarządzających.
Kiedy dane muszą być szyfrowane (laptopy, kopie zapasowe, transfery), które protokoły są dopuszczalne i kto zarządza kluczami.
Przyjęcia, zmiany stanowiska i odejścia; kto otrzymuje jaki dostęp i kto go zatwierdza; inwentarz aktywów z ich właścicielami.
Gdzie wymagane jest uwierzytelnianie wieloskładnikowe lub ciągłe, oraz jak zabezpieczana jest komunikacja głosowa, wideo, tekstowa i awaryjna.
Odniesienia do ISO/IEC 27001 to orientacyjne odpowiedniki opracowane przez nas, aby ułatwić poruszanie się po dokumencie; nie są oficjalnym mapowaniem opublikowanym przez ISO ani Komisję Europejską. Źródło dziesięciu środków: dyrektywa (UE) 2022/2555, art. 21 ust. 2.
Generowany dokument przyjmuje strukturę, którą rozpozna audytor, ubezpieczyciel lub klient. Każdy rozdział jest wypełniany na podstawie odpowiedzi udzielonych podczas warsztatu, tak aby opisywał Twoją firmę, a nie fikcyjną.
Zobowiązanie kierownictwa, w kilku akapitach, podpisane i datowane.
Kto decyduje, kto wdraża, kto kontroluje, także wtedy, gdy IT jest outsourcowane.
Prosty, powtarzalny sposób identyfikowania, oceny i postępowania z ryzykiem.
Wiedza o tym, co chronisz, zanim zdecydujesz, jak to robić.
Kto ma dostęp do czego i jak to się potwierdza.
Techniczna baza, opisana prostym językiem.
Gdzie wymagane jest szyfrowanie i jak się nim zarządza.
Bezpieczeństwo w relacjach z dostawcami IT i usługami chmurowymi.
Ludzka strona, od zatrudnienia po odejście.
Obiekty, serwerownie i sprzęt poza biurem.
Zasady, szczegółowo opisane w procedurach poniżej.
Jak polityka pozostaje żywa i prawdziwa.
Polityka mówi, co musi się wydarzyć; procedura mówi, kto to robi, w jakiej kolejności i z jakim zapisem. Te cztery są tymi, o które klienci i audytorzy pytają najczęściej, i tymi, które mają największe znaczenie w dniu, gdy coś pójdzie nie tak.
Od pierwszego alertu do raportu zamykającego: jak pracownicy zgłaszają podejrzane zdarzenie, kto je kwalifikuje, kto izoluje dotknięte systemy, kto kontaktuje się z dostawcą IT, ubezpieczycielem i organami, oraz jak zabezpiecza się dowody.
Jak konto jest zgłaszane, zatwierdzane, tworzone, modyfikowane i usuwane. Procedura obejmuje przyjęcia, zmiany stanowisk i odejścia, konta administratorów, konta współdzielone i usługowe oraz okresowy przegląd, w którym przełożony potwierdza, że każda osoba nadal potrzebuje posiadanego dostępu.
Jak zmiana w systemie produkcyjnym (nowa aplikacja, reguła zapory, większa aktualizacja) jest opisywana, oceniana pod kątem ryzyka, zatwierdzana, testowana, wdrażana i w razie potrzeby wycofywana. W małej firmie może to być lekkie: wystarczy krótki formularz i rejestr, pod warunkiem że istnieją i są używane.
Co jest kopiowane, jak często, gdzie, jak długo i przede wszystkim jak testuje się odtwarzanie. Procedura łączy kopie zapasowe z celami odtworzenia dla każdego krytycznego działania i opisuje organizację kryzysową: kto decyduje, kto komunikuje, które systemy uruchamiają się jako pierwsze.
Polityka jest pisana dla kierownictwa i IT. Polityka dopuszczalnego użytkowania (AUP) jest pisana dla wszystkich pozostałych: to krótki, czytelny zestaw zasad, który każdy pracownik, pracownik tymczasowy lub podwykonawca akceptuje przed korzystaniem z IT firmy.
Korzystanie z kont i haseł, e-mail i komunikatory, dostęp do internetu, dozwolone lub niedozwolone użytkowanie prywatne, urządzenia mobilne i praca zdalna, nośniki wymienne, usługi chmurowe i narzędzia generatywnej AI, poufność, zgłaszanie incydentów oraz to, co firma może monitorować i dlaczego.
Norma ISO/IEC 27001, zabezpieczenie 5.10, wymaga, by zasady dopuszczalnego użytkowania informacji i innych powiązanych aktywów były określone, udokumentowane i wdrożone. Trzymanie ich w osobnym załączniku ułatwia czytanie, podpisywanie, aktualizowanie i dołączanie do dokumentów zatrudnienia.
Gdy AUP wspomina o rejestrowaniu lub monitorowaniu aktywności pracowników, obowiązuje prawo ochrony danych: pracownicy muszą zostać poinformowani (art. 13 RODO), a państwa członkowskie mogą przyjmować bardziej szczegółowe przepisy dla kontekstu zatrudnienia (art. 88 RODO). Organy ochrony danych, takie jak francuska CNIL, publikują wytyczne dotyczące tego, co jest dopuszczalne.
Nadanie AUP mocy wiążącej wobec pracowników może wymagać formalności krajowych. We Francji na przykład (do potwierdzenia z doradcą względem Kodeksu pracy) zasady tego rodzaju zwykle dołącza się do regulaminu pracy (règlement intérieur), który podlega procedurze określonej w Kodeksie pracy, w tym konsultacji z przedstawicielami pracowników. Zasady obowiązujące w Twoim kraju sprawdź z doradcą.
Źródła: ISO/IEC 27001:2022, A.5.10 · rozporządzenie (UE) 2016/679, art. 13, 88 · CNIL · Légifrance, francuski Kodeks pracy, art. L1321-4 i L1321-5.
Polityka opisuje firmę, która się zmienia: nowych pracowników, nowe oprogramowanie, nowych dostawców, nowe zagrożenia. Przywoływane przez nas ramy zwykle oczekują, że polityka będzie aktualna. Generowany dokument zawiera własny kalendarz przeglądów, właściciela i tabelę wersji.
Pierwsza wersja jest zatwierdzana przez kierownictwo, datowana i opatrzona numerem wersji. Zgodnie z art. 20 ust. 1 NIS2 organy zarządzające podmiotów objętych zakresem zatwierdzają środki zarządzania ryzykiem cyberbezpieczeństwa; zgodnie z punktem 5.2 ISO/IEC 27001 najwyższe kierownictwo ustanawia politykę.
Polityka jest publikowana wewnętrznie; AUP potwierdza każdy użytkownik. Norma ISO/IEC 27001, zabezpieczenie 5.1, oczekuje, że polityki będą przekazywane odpowiednim osobom i zainteresowanym stronom oraz przez nie potwierdzane.
Norma ISO/IEC 27001, zabezpieczenie 5.1, wymaga przeglądu w zaplanowanych odstępach czasu oraz w razie istotnych zmian. Roczny przegląd to rozsądna wartość domyślna dla MŚP; rozporządzenie wykonawcze (UE) 2024/2690 również określa ramy przeglądu polityki dla typów podmiotów cyfrowych, które obejmuje.
Poważny incydent, fuzja, nowa lokalizacja, przejście do chmury lub nowa regulacja to powody, by otworzyć dokument ponownie, bez czekania na rocznicę. Wnioski z incydentów zasilają kolejną wersję.
Tabela wersji, zapis zatwierdzenia, lista zmian, potwierdzenia. W dniu, w którym audytor, ubezpieczyciel lub klient o to zapyta, ta historia pokaże, że polityka jest stosowana, a nie tylko napisana. Norma ISO/IEC 27001, punkt 7.5, reguluje tę udokumentowaną informację.
Security Policy Express jest zaprojektowany jako narzędzie samoobsługowe. Zachowujesz kontrolę nad treścią; narzędzie dostarcza strukturę, pytania i odniesienia.
Krótki test pyta o sektor, wielkość, działalność i klientów oraz wskazuje, czy NIS2 prawdopodobnie ma zastosowanie, jakie inne teksty mogą być istotne i które części polityki mają największe znaczenie w Twojej sytuacji. Wskazuje oficjalne narzędzia Twojego organu krajowego, aby uzyskać ostateczną odpowiedź.
Odpowiadasz własnymi słowami na kolejne pytania, rozdział po rozdziale: o organizację, krytyczne działania, dostawcę IT, kopie zapasowe, sposób obsługi odejść, co zrobiłbyś w razie ransomware. Każde pytanie wyjaśnia, dlaczego jest zadawane i jakiego artykułu lub środka dotyczy. Możesz przerwać i wznowić w dowolnym momencie.
Narzędzie generuje politykę, cztery procedury i załącznik o dopuszczalnym użytkowaniu w imieniu Twojej firmy, na podstawie Twoich odpowiedzi. Tam, gdzie brakuje odpowiedzi, dokument mówi to wprost, zamiast wypełniać lukę ogólnym tekstem. Wynik to projekt roboczy, który Twoi doradcy (prawnik, dostawca IT, inspektor ochrony danych) powinni przejrzeć i zweryfikować przed zatwierdzeniem przez kierownictwo.
Jeśli chcesz pomocy w zweryfikowaniu odpowiedzi, dostosowaniu dokumentu do konkretnego kontekstu lub przygotowaniu do audytu, możesz poprosić o wsparcie partnera konsultanta. Ten krok jest opcjonalny: ścieżka samoobsługowa jest kompletna bez niego.
Ważne: wygenerowany dokument jest podstawą roboczą. Nie stanowi porady prawnej i sam w sobie nie czyni Twojej firmy zgodną z NIS2, ISO/IEC 27001, RODO ani żadnym prawem krajowym. Zgodność zależy od tego, co faktycznie wdrożysz, i pozostaje Twoją odpowiedzialnością.
Trzy elementy składowe, generowane razem na podstawie tego samego warsztatu. Dostępność i warunki zostaną ogłoszone w dniu uruchomienia.
Główny dokument, podpisany przez kierownictwo.
To, co czyni politykę operacyjną.
Aby łatwiej poruszać się po przepisach i normach.
Należy odróżnić dwie sytuacje: prawny obowiązek dla firm objętych zakresem NIS2 (lub DORA) oraz silnie zalecaną dobrą praktykę dla wszystkich pozostałych.
NIS2 ogólnie ma zastosowanie do podmiotów publicznych lub prywatnych jednego z typów wymienionych w załączniku I lub II, które kwalifikują się jako średnie przedsiębiorstwa lub przekraczają progi dla średnich przedsiębiorstw, zgodnie z zaleceniem Komisji 2003/361/WE (art. 2 ust. 1). Niektóre typy podmiotów są objęte niezależnie od wielkości (art. 2 ust. 2). Podmioty są następnie klasyfikowane jako „kluczowe” lub „ważne” (art. 3), co wpływa na nadzór i sankcje, ale oba rodzaje muszą stosować art. 21.
Załącznik I (sektory o wysokiej krytyczności): energia, transport, bankowość, infrastruktury rynków finansowych, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT (business-to-business), administracja publiczna i przestrzeń kosmiczna. Załącznik II (inne sektory krytyczne): usługi pocztowe i kurierskie, gospodarka odpadami, chemia, żywność, produkcja (w tym wyroby medyczne, elektronika, urządzenia elektryczne, maszyny i pojazdy), dostawcy usług cyfrowych i badania.
NIS2 jest dyrektywą: państwa członkowskie musiały ją transponować do 17 października 2024 r. i stosować środki od 18 października 2024 r. (art. 41). Status transpozycji i jej szczegóły różnią się w zależności od kraju, a prawo krajowe może określać treść środków. Zawsze sprawdź prawo i oficjalne narzędzia oceny kwalifikacji w swoim kraju.
Poza tymi zakresami żadne ogólne prawo europejskie nie wymaga od MŚP przyjęcia dokumentu o nazwie „polityka bezpieczeństwa informacji”. Ale RODO dotyczy niemal każdej firmy, klienci coraz częściej pytają dostawców o bezpieczeństwo, a pisemna polityka jest pierwszym krokiem każdych uznanych ram. To kwestia rozsądku, a nie obowiązek zagrożony sankcją.
Źródła: dyrektywa (UE) 2022/2555, art. 2, 3, 41 oraz załączniki I i II · zalecenie Komisji 2003/361/WE · Komisja Europejska, strona dyrektywy NIS2 · Francja: ANSSI, strona NIS 2 (MesServicesCyber).
Każde stwierdzenie regulacyjne lub normatywne powyżej odwołuje się do jednego z tych źródeł. Linki prowadzą do oficjalnego wydawcy.
Ta strona ma charakter informacyjny. Nie stanowi porady prawnej. Teksty są przywołane w wersji opublikowanej na EUR-Lex; transpozycje krajowe i wytyczne organów mogą dodawać wymogi.
Warsztat samoobsługowy jest w przygotowaniu. Pytania w międzyczasie: contact@syaga.eu.