Strona główna 1: Rola audytu 2: Metodyka i proces 3: Badanie SZBI 4: Zgodność prawna 5: Zarządzanie ryzykiem 6: Dowody i sampling 7: Raportowanie
1/55
RODO, KRI, NIS2 – audyt zgodności regulacyjnej

Część 4 – RODO, KRI, NIS2 – audyt zgodności regulacyjnej

  • Przedmiot: Audyt bezpieczeństwa informacji (semestr 7, poziom PRK 6)
  • Temat wykładu 4: Trzy filary prawa cyberbezpieczeństwa: RODO, Krajowe Ramy Interoperacyjności (KRI) oraz dyrektywa NIS2 / ustawa o KSC
  • Kluczowe pytanie: Jak przeprowadzić zintegrowany audyt zgodności regulacyjnej, unikając powielania prac?
  • Charakter wymagań: Przepisy prawa powszechnie obowiązującego – brak zgodności grozi sankcjami finansowymi i odpowiedzialnością karną
  • Forma materiałów: Część 4 materiałów dydaktycznych (RODO, KRI, NIS2 – audyt zgodności regulacyjnej)
Kluczowe przesłanie: Standardy regulacyjne: RODO, KRI, dyrektywa NIS2 i ustawa o KSC stanowią twarde prawo powszechnie obowiązujące. W odróżnieniu od dobrowolnych certyfikacji ISO, brak zgodności z przepisami prawnymi grozi wielomilionowymi sankcjami finansowymi, zawiadomieniem organów ścigania oraz — w określonych przypadkach — odpowiedzialnością członków zarządu, w tym odpowiedzialnością cywilną (art. 82 RODO), administracyjną karą pieniężną dla kierownika z art. 73a ustawy o KSC (nie jest to kara kryminalna) i odpowiedzialnością karną za przestępstwa komputerowe z art. 267–269c k.k. (tylko gdy czyn wyczerpuje znamiona przestępstwa).
Wykład 4 – RODO, KRI, NIS2 RODO Ochrona Danych ROZP. UE 2016/679 KRI Sektor Publiczny DZ.U. 2017 POZ. 2247 NIS2 / KSC Cyberbezpieczeństwo DYR. UE 2022/2555 TRZY FILARY AUDYTU ZGODNOŚCI REGULACYJNEJ (COMPLIANCE) Prywatność obywateli • Standardy państwowe • Odporność infrastruktury krytycznej
2/55
Spis treści części 4

Szczegółowy harmonogram zagadnień realizowanych podczas Wykładu 4:

Struktura metodyczna: Wykład obejmuje trzy filary prawa cyberbezpieczeństwa: ochronę danych osobowych (RODO), reżim bezpieczeństwa jednostek administracji publicznej (KRI) oraz cyberodporność podmiotów kluczowych i ważnych (NIS2/KSC), wieńcząc całość metodyką zintegrowanego audytu zgodności.
Spis treści – Wykład 4 1 Istota audytu zgodności Rygor prawny, ciężar dowodu, sankcje 2 Reżim RODO (art. 5, 25, 32) Zasady, DPIA, rejestr czynności przetwarzania (RCP), procedury 72h 3 Krajowe Ramy Interoperacyjności § 19 KRI, audyt roczny, uprawnienia 4 Dyrektywa NIS2 i KSC Podmioty kluczowe/ważne, zarząd, kary 5 Zintegrowany audyt zgodności Macierz powiązań ISO/RODO/KRI/NIS2 6 Kazusy, słownik i literatura Praktyka audytowa, pytania kontrolne HARMONOGRAM ZAGADNIEŃ WYKŁADU CZWARTEGO Od twardych wymogów europejskich rozporządzeń po techniczny audyt baz danych i sieci Kompleksowa ścieżka kształcenia audytora wiodącego (55 slajdów merytorycznych)
3/55
Cele uczenia się i powiązanie z sylabusem
  • Efekt W1: Student zna wymagania bezpieczeństwa danych osobowych i zasady ochrony informacji prawnie chronionych
  • Efekt W3: Student rozumie regulacje prawne: RODO, KRI oraz dyrektywę NIS2 i nowelizację ustawy o KSC
  • Efekt U2: Student potrafi identyfikować niezgodności z przepisami prawa oraz oceniać ich skutki finansowo-prawne
  • Efekt K1: Student wykazuje gotowość do stałego śledzenia zmian w prawie i orzecznictwie organów nadzorczych (UODO, CSIRT)
  • Efekt K2: Student stosuje wiedzę prawno-techniczną do zapewnienia zgodności i ochrony praw obywateli
  • Poziom PRK 6: Praktyczne stosowanie wiedzy inżyniersko-prawnej w audycie systemów teleinformatycznych
Cele uczenia się i sylabus WIEDZA (W1, W3) W Prawo cyberbezp. • Wymogi RODO i KSC • § 19 KRI dla sektora publ. • Reżim dyrektywy NIS2 UMIEJĘTNOŚCI (U2) U Identyfikacja luk • Wykrywanie niezgodności • Szacowanie sankcji UODO • Testy dowodowe art. 32 KOMPETENCJE (K1-2) K Świadomość prawna • Śledzenie orzecznictwa • Etyka i ochrona praw • Poziom PRK 6 (inżynier) PROFIL ABSOLWENTA: INŻYNIER BEZPIECZEŃSTWA Z WIEDZĄ REGULACYJNĄ Zdolność do dialogu z prawnikami, zarządem i organami nadzorczymi państwa
4/55
Istota audytu zgodności prawnej (Compliance Audit)
  • Cechy audytu zgodności prawnej:
    • Sztywność kryteriów: audytor nie może modyfikować ani łagodzić wymagań ustawowych
    • binarny charakter ustaleń (zgodne/niezgodne): organizacja albo spełnia wymóg prawa, albo go narusza
    • Ciężar dowodowy: obowiązek wykazania zgodności (rozliczalność, art. 5 ust. 2 RODO)
  • Konsekwencje stwierdzenia braku zgodności:
    • Kary i środki nadzorcze: Prezes UODO (RODO), organ właściwy do spraw cyberbezpieczeństwa (KSC/NIS2), NIK (sektor publiczny, kontrole legalności), KNF wyłącznie dla podmiotów finansowych (DORA/odporność operacyjna)
    • Roszczenia odszkodowawcze osób poszkodowanych na gruncie cywilnym (art. 82 RODO)
    • Odpowiedzialność karna za czyny z art. 267–269c k.k. oraz odpowiedzialność osobista kierownika z art. 73a ustawy o KSC (kara pieniężna do 300% wynagrodzenia, a w podmiotach publicznych do 100% – nie jest to odpowiedzialność karna)
Pojęcie zgodności (Compliance): stan pełnej harmonii pomiędzy działaniami organizacji a obowiązującymi przepisami prawa.
Istota audytu zgodności (Compliance) STAN FAKTYCZNY Konfiguracja IT PRZEPIS PRAWA RODO, KRI, NIS2 RYGORY AUDYTU ZGODNOŚCI PRAWNEJ 1. binarny wynik (zgodne/niezgodne) • 2. Obowiązek wykazania zgodności (rozliczalność, art. 5 ust. 2 RODO) • 3. Ryzyko sankcji Brak zgodności = bezpośrednia odpowiedzialność prawno-finansowa zarządu
5/55
RODO – geneza, cel i rewolucja w ochronie prywatności
  • Pełna nazwa: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (obowiązuje bezpośrednio od 25 maja 2018 r.)
  • Bezpośrednie stosowanie: rozporządzenie unijne obowiązuje wprost we wszystkich państwach członkowskich bez konieczności implementacji ustawowej
  • Filozofia RODO: odejście od sztywnych instrukcji technicznych na rzecz podejścia opartego na ryzyku (Risk-Based Approach)
  • Kluczowe role w ekosystemie RODO:
    • administrator (ADO): podmiot decydujący o celach i sposobach przetwarzania
    • podmiot przetwarzający (procesor): podmiot przetwarzający dane w imieniu administratora na podstawie umowy
    • Inspektor Ochrony Danych (IOD / DPO): niezależny doradca i punkt kontaktowy
    • Urząd Ochrony Danych Osobowych (UODO / Prezes UODO): polski organ nadzorczy o uprawnieniach kontrolnych i sankcyjnych
Ekosystem podmiotów RODO ADMINISTRATOR (ADO) Decyduje o celach i sposobach Art. 4 pkt 7 RODO • Pełna odpowiedzialność PROCESOR (PODMIOT) Przetwarza w imieniu ADO Umowa powierzenia (art. 28 RODO) INSPEKTOR OCHRONY (IOD) Niezależny doradca i punkt kontaktu RELACJE PRAWNE I ROLĘ AUDYTORA W EKOSYSTEMIE RODO Organ nadzorczy (UODO) weryfikuje rozliczalność zarówno ADO, jak i Procesora
6/55
Zasady przetwarzania danych z art. 5 RODO (Część 1)
  • Zasady z art. 5 ust. 1 RODO (lit. a–d z sześciu): zgodność z prawem/rzetelność/przejrzystość, ograniczenie celu, minimalizacja, prawidłowość — pozostałe (lit. e–f) na kolejnym slajdzie, a art. 5 ust. 2 to rozliczalność:
    • 1. Zgodność z prawem, rzetelność i przejrzystość (Lawfulness, fairness and transparency): posiadanie ważnej podstawy prawnej (zgoda, umowa, obowiązek prawny, prawnie uzasadniony interes) oraz jasne i zrozumiałe klauzule informacyjne dla osób fizycznych
    • 2. Ograniczenie celu (Purpose limitation): zbieranie danych wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz zakaz ich dalszego przetwarzania w sposób niezgodny z tymi celami
    • 3. Minimalizacja danych (Data minimisation): przetwarzanie wyłącznie danych adekwatnych, stosownych i ograniczonych do tego, co niezbędne do osiągnięcia celu (zasada „tylko tyle, ile trzeba”)
    • 4. Prawidłowość danych (Accuracy): obowiązek dbania o to, by dane były merytorycznie poprawne i w razie potrzeby na bieżąco uaktualniane
Zasady przetwarzania danych (art. 5, Cz. 1) 1. LEGALNOŚĆ § Art. 6 / Art. 9 • Podstawa prawna • Klauzula info • Przejrzystość 2. CELOWOŚĆ Konkretny cel • Wyraźny cel • Zakaz wtórnego • Niezgodność celu 3. MINIMALIZACJA Tylko niezbędne • Adekwatność • Ograniczenie pól • Zakaz zbierania 4. PRAWIDŁOWOŚĆ Jakość danych • Aktualność • Sprostowanie • Usuwanie błędów CZTERY MATERIALNE FILARY PRZETWARZANIA DANYCH (ART. 5 UST. 1 LIT. A–D) Audytor weryfikuje podstawy prawne, formularze zbierania danych oraz retencję błędnych wpisów
7/55
Zasady przetwarzania danych z art. 5 RODO (Część 2 – Rozliczalność)
  • Pozostałe zasady przetwarzania danych osobowych (art. 5 ust. 1 lit. e–f):
    • 5. Ograniczenie przechowywania (Storage limitation): przechowywanie danych w formie umożliwiającej identyfikację tylko przez okres niezbędny do celów przetwarzania (polityka retencji danych)
    • 6. Integralność i poufność (Integrity and confidentiality): przetwarzanie zapewniające odpowiednie bezpieczeństwo danych, w tym ochronę przed niedozwolonym przetwarzaniem, zniszczeniem lub uszkodzeniem
  • Zasada naczelna: ROZLICZALNOŚĆ (Accountability – art. 5 ust. 2 RODO):
    • „Administrator jest odpowiedzialny za przestrzeganie przepisów i musi być w stanie wykazać ich przestrzeganie”
  • Rola audytu: raport z audytu jest jednym z dowodów rozliczalności (art. 5 ust. 2); decyduje skuteczność środków, nie sam dokument przed Prezesem UODO!
Piramida zasad i zasada rozliczalności ROZLICZALNOŚĆ (ART. 5 UST. 2) INTEGRALNOŚĆ, POUFNOŚĆ I RETENCJA Art. 5 ust. 1 lit. e (Ograniczenie przechowywania) oraz lit. f (Poufność CIA) FUNDAMENT: LEGALNOŚĆ, CELOWOŚĆ, MINIMALIZACJA, PRAWIDŁOWOŚĆ Wszystkie operacje przetwarzania muszą być udokumentowane ROZLICZALNOŚĆ: CIĘŻAR WYKAZANIA ZGODNOŚCI SPOCZYWA NA ORGANIZACJI Brak dokumentacji i twardych logów technicznych = domniemanie braku zgodności
8/55
Artykuł 32 RODO – techniczny fundament bezpieczeństwa
  • Dosłowne brzmienie art. 32 ust. 1 RODO:
    • „Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych... administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne”
  • Katalog środków wymienionych bezpośrednio w art. 32 ust. 1:
    • lit. a: Pseudonimizacja i szyfrowanie danych osobowych
    • lit. b: Zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania
    • lit. c: Zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego
    • lit. d: Regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych (obowiązek cyklicznego testowania i oceny skuteczności; przepis nie określa formy ani częstotliwości testów ani nie nakłada odrębnego audytu)
Artykuł 32 RODO – filary techniczne a Szyfrowanie i pseudonimizacja AES-256, TLS 1.3, hashowanie z solą, ochrona danych w spoczynku i w tranzycie b Poufność, integralność, odporność Ciągłe zapewnienie poufności (CIA) oraz odporności (resilience) systemów IT c Szybkie przywrócenie dostępu Kopie zapasowe (reguła 3-2-1), testy disaster recovery, parametry RPO/RTO d Regularne testy i audytowanie Obowiązek testowania i oceny, testy penetracyjne, skanowanie podatności ART. 32 RODO JAKO BEZPOŚREDNIA PODSTAWA AUDYTU TECHNICZNEGO Litera d wprost nakłada na administratora obowiązek okresowego testowania i mierzenia skuteczności Audytor weryfikuje raporty z testów odzyskiwania danych oraz audytów podatności
9/55
Audytowanie art. 32 RODO w praktyce informatycznej
  • Metodyka weryfikacji spełnienia wymogów art. 32 RODO w systemach teleinformatycznych:
    • Test szyfrowania (lit. a): weryfikacja algorytmów szyfrowania dysków (BitLocker), baz danych (TDE) oraz transmisji (TLS 1.2/1.3 ze skasowaniem podatnych szyfrów)
    • Test odporności (lit. b): weryfikacja zabezpieczeń przed atakami DDoS, zapór WAF, klastrów wysokiej dostępności i systemów EDR
    • Test odtwarzania (lit. c): weryfikacja kopii zapasowych, procedur Disaster Recovery i protokołów z testów odzyskania danych
    • Test procedury audytowej (lit. d): weryfikacja harmonogramu skanowania podatności, testów penetracyjnych i audytów kodu źródłowego
  • Konkluzja: niewdrożenie środka adekwatnego do ryzyka (art. 32 ust. 1–2, katalog przykładowy »mogą obejmować«) stanowi naruszenie; przy wymiarze kary uwzględnia się m.in. stopień odpowiedzialności i skuteczność środków z art. 25 i 32 (art. 83 ust. 2), a sama niezgodność nie przesądza automatycznie o jej wysokości
Matryca testów audytowych art. 32 RODO WYMÓG RODO NARZĘDZIE / DOWÓD PRÓBKA AUDYTOWA KRYTERIUM SUKCESU Szyfrowanie dysków BitLocker, FileVault, MDM 25 laptopów (Sampling) 100% TPM+AES Odtwarzalność kopii Logi odzyskiwania, Veeam 3 bazy produkcyjne RTO < 4h Skan podatności Raport Nessus / OpenVAS Adresacja publiczna IP Brak CVSS >= 7 JAK AUDYTOR ZBIERA TWARDE DOWODY TECHNICZNE DLA ART. 32 Samo oświadczenie administratora nie ma wartości dowodowej bez wygenerowanych logów i zrzutów Metoda triangulacji: Polityka vs Konfiguracja systemu vs Próbka losowa
10/55
Prywatność w fazie projektowania (Privacy by Design – art. 25)
  • Privacy by Design (Ochrona danych w fazie projektowania):
    • Obowiązek projektowania systemów IT, baz danych i aplikacji z domyślnym uwzględnieniem mechanizmów bezpieczeństwa
    • Zabezpieczenia muszą być wkomponowane w architekturę, a nie „doklejane” po zakończeniu wdrożenia
  • Privacy by Default (Domyślna ochrona danych):
    • Fabryczne ustawienia systemów muszą domyślnie zapewniać maksymalną ochronę prywatności użytkownika
    • Domyślnie zbierane są tylko dane niezbędne; użytkownik nie musi samodzielnie wyłączać ukrytych zgód marketingowych
  • Obszary badania audytora:
    • Dokumentacja projektowa nowych systemów IT i formalny udział IOD w zespołach projektowych
    • Domyślne uprawnienia nowo tworzonych kont użytkowników oraz mechanizmy retencji danych w systemie
Privacy by Design i by Default (art. 25) 1. ARCHITEKTURA Projekt bazy • Pseudonimizacja • Retencja od startu • Brak zbędnych pól 2. KODOWANIE Bezpieczny kod • Walidacja wejścia • Maskowanie w GUI • Ograniczenie API 3. BY DEFAULT Domyślne opcje • Zgody odznaczone • Profil ukryty • Brak geolokalizacji 4. WERYFIKACJA Audyt Pre-Launch • Test checkboxów • Analiza DPIA • Test uprawnień OCHRONA DANYCH OD SAMEJ FAZY PROJEKTOWEJ DO USTAWEŃ DOMYŚLNYCH Naruszeniem art. 25 ust. 2 jest automatyczne zaznaczanie zgód marketingowych (Pre-ticked boxes) Użytkownik nie musi podejmować działań, aby jego dane były maksymalnie chronione
11/55
Ocena skutków dla ochrony danych (DPIA – art. 35)
  • Ocena Skutków dla Ochrony Danych (DPIA – Data Protection Impact Assessment):
    • Obowiązkowa analiza ryzyka przed rozpoczęciem operacji przetwarzania stwarzających wysokie ryzyko naruszenia praw i wolności (art. 35 ust. 1 RODO)
    • Wymagana w szczególności przy profilowaniu na dużą skalę, przetwarzaniu danych szczególnych kategorii oraz systematycznym monitorowaniu miejsc publicznych
  • Co weryfikuje audytor w toku badania procesu DPIA?
    • Metodykę szacowania ryzyka (zgodność z wytycznymi EROD oraz normą ISO/IEC 29134)
    • Właściwe i niezwłoczne włączenie Inspektora Ochrony Danych we wszystkie sprawy dotyczące ochrony danych (art. 35 ust. 2 RODO; przepis nie nakłada ogólnego obowiązku pisemnej opinii)
    • Adekwatność zaplanowanych zabezpieczeń technicznych redukujących zidentyfikowane ryzyka
  • Konsultacje uprzednie (art. 36 ust. 1): obowiązek konsultacji z organem nadzorczym przed rozpoczęciem przetwarzania, gdy z oceny skutków wynika wysokie ryzyko, którego administrator nie jest w stanie zminimalizować (zalecenia organu w terminie do 8 tygodni, art. 36 ust. 2)
Algorytm oceny skutków DPIA (art. 35) 1. KWALIFIKACJA Czy wysokie ryzyko? Wykaz Prezesa UODO / EROD 2. TEST PROPORCJI Czy cel można osiągnąć przy mniejszej ilości danych? 3. SZACUNEK RYZYKA Ocena skutków dla osób (kradzież tożsamości, dyskryminacja) 4. ŚRODKI ZARADCZE I OPINIA IOD Wdrożenie kontrol technicznych obniżających ryzyko AUDYT DOKUMENTACJI DPIA PRZEZ AUDYTORA Audytor sprawdza: 1. Czy DPIA wykonano przed rozpoczęciem przetwarzania? 2. Czy uwzględniono pisemną opinię IOD? 3. Czy przy wysokim ryzyku szczątkowym powiadomiono UODO?
12/55
Rejestr czynności przetwarzania (RCP – art. 30)
  • Rejestr Czynności Przetwarzania (RCP – art. 30 RODO): fundament rozliczalności i pierwsza mapa procesów dla audytora IT
  • Obowiązkowa zawartość rejestru prowadzonego przez administratora (art. 30 ust. 1):
    • Nazwa i dane kontaktowe administratora, ewentualnych współadministratorów oraz IOD
    • Cele przetwarzania oraz opis kategorii osób i kategorii danych osobowych
    • Kategorie odbiorców danych (w tym procesorzy i państwa trzecie)
    • Planowane terminy usunięcia poszczególnych kategorii danych (polityka retencji)
    • Ogólny opis technicznych i organizacyjnych środków bezpieczeństwa z art. 32
  • Rejestr Kategorii Czynności (art. 30 ust. 2): odrębny rejestr prowadzony obowiązkowo przez każdy podmiot przetwarzający (procesora)
Rejestr czynności przetwarzania (art. 30 RODO) RCP ADMINISTRATORA (UST. 1) 1. Cele przetwarzania (np. kadry, marketing) 2. Opis kategorii osób i kategorii danych 3. Kategorie odbiorców (komu ujawniono) 4. Transfery do państw trzecich (poza EOG) 5. Planowane terminy usunięcia (retencja) 6. Ogólny opis środków bezpieczeństwa (art. 32) RKC PROCESORA (UST. 2) 1. Nazwa i dane ADO, w imieniu którego działa 2. Kategorie przetwarzań wykonywanych dla ADO 3. Transfery do państw trzecich 4. Podwykonawcy (Sub-procesorzy) 5. Zabezpieczenia techniczne i organizacyjne Obowiązek udostępnienia na żądanie UODO REJESTR CZYNNOŚCI TO MAPA DROGOWA CAŁEGO SYSTEMU OCHRONY DANYCH Audytor weryfikuje spójność RCP ze stanem faktycznym w bazach danych i aplikacjach
13/55
Zarządzanie naruszeniami ochrony danych (art. 33 i 34)
  • Definicja naruszenia (Data Breach): zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych
  • Żelazny reżim czasowy zgłoszenia do Prezesa UODO (art. 33):
    • Zgłoszenie bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, obowiązuje wtedy, gdy naruszenie może powodować ryzyko dla praw i wolności osób fizycznych (art. 33 ust. 1 RODO); informacje można przekazywać etapowo (art. 33 ust. 4)
    • Treść zgłoszenia: charakter naruszenia, kategorie osób, szacowana liczba rekordów, możliwe konsekwencje, wdrożone środki zaradcze
  • Obowiązek zawiadomienia osób, których dane dotyczą (art. 34): wymagany bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko dla praw i wolności
  • Wewnętrzny rejestr naruszeń (art. 33 ust. 5): audytor bada dokumentację każdego naruszenia, w tym tych niewymagających zgłoszenia do Prezesa UODO
Procedura zgłaszania naruszeń – rygor 72h 0h Wykrycie Incydent bezp. 24h Triage Ocena ryzyka 72h NOTYFIKACJA Art. 33 RODO Raport do UODO Wysokie OSOBA FIZ. Art. 34 RODO Przy wys. ryzyku 72 GODZINY OD MOMENTU STWIERDZENIA NARUSZENIA Audytor sprawdza wewnętrzny Rejestr Naruszeń (w tym naruszeń niepodlegających zgłoszeniu) Zatajenie wycieku przed UODO generuje najwyższy wymiar kar finansowych
14/55
Audyt umów powierzenia przetwarzania danych (art. 28)
  • Obowiązkowe klauzule umowne podlegające weryfikacji audytorskiej (art. 28 ust. 3):
    • Przetwarzanie danych wyłącznie na udokumentowane polecenie administratora
    • Zobowiązanie personelu procesora do zachowania bezwzględnej tajemnicy
    • Obowiązek wdrożenia odpowiednich środków bezpieczeństwa z art. 32
    • Uprzednia pisemna zgoda administratora na korzystanie z podprocesorów (sub-processors)
    • Obowiązek pomocy administratorowi w realizacji praw osób i obsłudze incydentów
    • Obowiązek zwrotu lub zniszczenia danych po zakończeniu świadczenia usług
    • Prawo do audytu (art. 28 ust. 3 lit. h): procesor musi umożliwić administratorowi przeprowadzenie audytów i inspekcji
Zasada: powierzenie przetwarzania danych innemu podmiotowi wymaga zawarcia umowy powierzenia (DPA – Data Processing Agreement).
Konstrukcja umowy powierzenia danych (art. 28) OBLIGATORYJNE KLAUZULE UMOWY POWIERZENIA (DPA – ART. 28 UST. 3) 1. Polecenia ADO: Przetwarzanie wyłącznie na udokumentowane polecenie administratora 2. Poufność: Zobowiązanie personelu procesora do zachowania bezwzględnej tajemnicy 3. Bezpieczeństwo: Podjęcie wszystkich środków wymaganych na mocy art. 32 RODO 4. Podpowierzenie: Zakaz angażowania sub-procesorów bez uprzedniej zgody ADO 5. Pomoc w prawach: Wsparcie w obsłudze wniosków obywateli oraz notyfikacji incydentów 6. Prawo do audytu: Prawo ADO (lub audytora) do przeprowadzenia inspekcji u procesora KLAUZULA PRAWA DO AUDYTU TO KLUCZOWY ORĘŻ DLA AUDYTORA Brak prawa do audytu dostawcy chmurowego jest bezpośrednią niezgodnością z art. 28 ust. 3 lit. h
15/55
Krajowe Ramy Interoperacyjności (KRI) – reżim publiczny
  • Akt prawny: Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz. U. z 2024 r. poz. 773)
  • Status: rozporządzenie wydano na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne; weszło w życie z dniem następującym po ogłoszeniu w Dz. U. z 2024 r. poz. 773 (§ 21 ust. 1), tj. 23 maja 2024 r., uchylając rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. (Dz. U. z 2017 r. poz. 2247) na podstawie art. 26 ustawy o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych; ogłoszono je 22 maja 2024 r. (dane systemu ELI dla Dz. U. z 2024 r. poz. 773: promulgation 2024-05-22, wejście w życie 2024-05-23). Rozporządzenie obowiązuje do 23 lutego 2027 r., kiedy zostanie uchylone przez art. 1 pkt 10 ustawy z dnia 25 lipca 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw (Dz. U. z 2025 r. poz. 1158), która wprowadza do ustawy o informatyzacji przepisy art. 12k–12n zastępujące rozporządzenie KRI
  • Zakres podmiotowy: podmioty realizujące zadania publiczne:
    • Organy administracji rządowej i samorządowej (urzędy gmin, starostwa, urzędy marszałkowskie)
    • Uczelnie publiczne i jednostki naukowe PAN
    • Samodzielne publiczne zakłady opieki zdrowotnej (szpitale, przychodnie)
    • Zakład Ubezpieczeń Społecznych, Kasa Rolniczego Ubezpieczenia Społecznego, NFZ
  • Cel: zapewnienie spójności, bezpieczeństwa i interoperacyjności wymiany danych w polskiej e-administracji
Krajowe Ramy Interoperacyjności (KRI) SEKTOR PUBLICZNY Podstawa prawna: Rozp. Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773) Adresaci: Urzędy, samorządy, szpitale, uczelnie, podmioty realizujące zadania publiczne DWA FILARY KRI 1 INTEROPERACYJNOŚĆ Standardy wymiany danych (XML, JSON, TLS) 2 BEZPIECZEŃSTWO SZBI § 19 KRI: Zarządzanie bezp. informacji Obowiązkowy coroczny audyt KRAJOWE RAMY INTEROPERACYJNOŚCI TO TWARDE PRAWO DLA SEKTORA PUBLICZNEGO Brak corocznego audytu KRI to naruszenie prawa i podstawa ustaleń pokontrolnych NIK
16/55
§ 19 ust. 2 KRI 2024 (dawniej § 20) – okresowy audyt bezpieczeństwa informacji
  • Wymóg prawny funkcjonowania SZBI w sektorze publicznym:
    • Podmiot publiczny opracowuje, ustanawia, wdraża, eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji, zapewniający poufność, dostępność i integralność informacji, z uwzględnieniem autentyczności, rozliczalności, niezaprzeczalności i niezawodności (§ 19 ust. 1)
  • Prawny obowiązek corocznego audytu bezpieczeństwa:
    • Zapewnienie okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz w roku
    • Podstawa prawna: § 19 ust. 2 pkt 14 rozporządzenia z 21 maja 2024 r. (Dz. U. z 2024 r. poz. 773), dawniej § 20 ust. 2 pkt 14 rozporządzenia z 2012 r.
  • Kluczowe konsekwencje dla kierownika jednostki publicznej:
    • Brak corocznego audytu stanowi naruszenie prawa powszechnie obowiązującego i podstawę do ustaleń pokontrolnych NIK oraz do odpowiedzialności kierownika jednostki sektora publicznego
    • Raport z audytu KRI jest podstawowym dokumentem badanym przez Najwyższą Izbę Kontroli (NIK) podczas kontroli urzędu
Paragraf 19 KRI – coroczny cykl audytu Q1 Planowanie audytu Q2 Testy § 19 KRI Q4 Raport dla Kierownika CAPA Działania naprawcze CYKL ROCZNY § 19 ust. 2 pkt 14 USTAWOWY OBOWIĄZEK PRZEPROWADZANIA AUDYTU CO NAJMNIEJ RAZ W ROKU Raport audytowy trafia na biurko wójta, burmistrza, dyrektora szpitala lub rektora
17/55
Katalog wymagań szczegółowych § 19 KRI
  • Wymagania SZBI podlegające badaniu audytorskiemu — katalog § 19 ust. 2 obejmuje 14 punktów (dawniej § 20 ust. 2 rozporządzenia z 2012 r.), które podlegają szczegółowemu badaniu:
    • 1. Aktualizacja regulacji wewnętrznych w zakresie zmieniającego się otoczenia (pkt 1)
    • 2. Utrzymywanie aktualności inwentaryzacji sprzętu i oprogramowania, obejmującej ich rodzaj i konfigurację (pkt 2)
    • 3. Okresowe analizy ryzyka utraty integralności, dostępności lub poufności informacji wraz z działaniami minimalizującymi ryzyko (pkt 3)
    • 4. Odpowiednie uprawnienia osób zaangażowanych w przetwarzanie oraz bezzwłoczna ich zmiana przy zmianie zadań (pkt 4–5)
    • 5. Szkolenia osób zaangażowanych w przetwarzanie informacji (pkt 6)
    • 6. Ochrona informacji przed kradzieżą, nieuprawnionym dostępem, uszkodzeniem i zakłóceniami, wraz z monitorowaniem dostępu i wykrywaniem nieautoryzowanych działań (pkt 7)
    • 7. Podstawowe zasady bezpiecznej pracy mobilnej i pracy na odległość oraz zabezpieczenie informacji przed nieuprawnionym ujawnieniem, modyfikacją, usunięciem i zniszczeniem (pkt 8–9)
    • 8. Zapewnienie odpowiedniego poziomu bezpieczeństwa systemów teleinformatycznych, m.in. dbałość o aktualizację oprogramowania, mechanizmy kryptograficzne adekwatne do zagrożeń, redukcja ryzyk z opublikowanych podatności i niezwłoczne reagowanie na ich ujawnienie (pkt 12), zapisy o bezpieczeństwie w umowach serwisowych (pkt 10) oraz bezzwłoczne zgłaszanie incydentów (pkt 13)
  • Domniemanie zgodności z ISO 27001: w podmiotach, gdzie wdrożono SZBI wg normy PN-EN ISO/IEC 27001, wymagania KRI uznaje się za spełnione (§ 19 ust. 3)
Katalog 14 wymagań szczegółowych § 19 KRI 1. Inwentaryzacja Sprzęt, oprogramowanie 2. Analiza ryzyka Okresowe szacowanie 3. Prawa dostępu Zasada wiedzy koniecznej 4. Szkolenia personelu Świadomość zagrożeń 5. Kopie zapasowe Testy odzyskiwania 6. Zarządzanie podatn. Patching, aktualizacje 7. Obsługa incydentów Procedury i meldunki 8. Bezpieczeństwo fiz. Serwerownie, zasilanie 9. Łączność i szyfr. Protokoły TLS / VPN Dobre praktyki: SPF, DKIM, DMARC 11. Utrzymanie/serwis Umowy SLA, nadzór 14. Coroczny audyt Kwalifikacje i raport KOMPLETNA CHECKLISTA DLA AUDYTORA JEDNOSTKI SAMORZĄDU I RZĄDU Audytor weryfikuje każde z 14 wymagań, tworząc tabelę zgodności z dowodami weryfikacyjnymi Brak wdrożenia chociażby jednego punktu katalogu skutkuje niezgodnością z KRI
18/55
Wymagania wobec audytora KRI – uprawnienia i certyfikaty
  • A. Audyt KRI (§19 KRI): brak ustawowego wymogu certyfikatu — wymagany coroczny audyt wewnętrzny, dobra praktyka: CISA/ISO 27001 LA + niezależność
  • B. Audyt KSC (art. 15/24 UKSC): certyfikat z rozp. MC 12.10.2018 (Dz.U. 2018 poz. 1999) + praktyka (3 audyty w 3 latach lub ½ etatu) + niezależność (art. 15 ust. 2a):
    • wymagania wobec audytora wynikają z dwóch odrębnych źródeł: rozporządzenia Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzania audytu (Dz. U. z 2018 r. poz. 1999), wydanego na podstawie art. 15 ust. 8 dawnej ustawy o KSC, oraz art. 24 ust. 2 ustawy o KSC w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz. U. 2026 poz. 252)
  • Wykaz certyfikatów (Dz. U. z 2018 r. poz. 1999) obejmuje 11 poświadczeń:
    • 1. Certified Internal Auditor (CIA); 2. Certified Information Systems Auditor (CISA); 3. Certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji wg PN-EN ISO/IEC 27001
    • 4. Certyfikat audytora wiodącego systemu zarządzania ciągłością działania PN-EN ISO 22301; 5. Certified Information Security Manager (CISM); 6. Certified in Risk and Information Systems Control (CRISC)
    • 7. Certified in the Governance of Enterprise IT (CGEIT); 8. Certified Information Systems Security Professional (CISSP); 9. Systems Security Certified Practitioner (SSCP)
    • 10. Certified Reliability Professional; 11. Certyfikaty uprawniające do posiadania tytułu ISA/IEC 62443 Cybersecurity Expert. Wymagania dodane od 2 kwietnia 2026 r. (art. 24 ust. 2 ustawy o KSC): udokumentowane wykonanie w ciągu ostatnich 3 lat trzech audytów bezpieczeństwa systemów informacyjnych lub ciągłości działania albo wykonywanie takich audytów w wymiarze co najmniej 1/2 etatu
    • 6. Niezależność: art. 15 ust. 2a ustawy o KSC wymaga, aby podmiot przeprowadzający audyt był niezależny; art. 24 ust. 1 zachowuje dotychczasowe przepisy dla audytów rozpoczętych przed 2 kwietnia 2026 r.
    • 7. Wymóg faktycznego doświadczenia jest niezależny od posiadania certyfikatu: certyfikat sam w sobie nie uprawnia do przeprowadzenia audytu bez udokumentowanej praktyki.
  • Rygor prawny: niespełnienie tych wymagań może skutkować zakwestionowaniem wyników audytu przez organ kontroli
Kwalifikacje audytora KRI (art. 24 KSC) WYMOGI KWALIFIKACYJNE WOBEC AUDYTORA WG USTAWY O KSC ŚCIEŻKA 1: CERTYFIKACJA • CISA (Certified Information Systems Auditor) • CISSP (Certified Information Systems Security) • CISM / CRISC / CEH • Certyfikat Audytora Wiodącego ISO 27001 ŚCIEŻKA 2: STAŻ I DYPLOM • Dyplom ukończenia studiów z audytu IT • Co najmniej 2-letnia udokumentowana praktyka w audycie bezpieczeństwa • Wpis na listę audytorów resortowych AUDYT OSOBY BEZ UPRAWNIEŃ BYWA ZAKWESTIONOWANY Kierownik jednostki zlecający audyt musi zweryfikować certyfikaty wykonawcy w ofercie
19/55
Dyrektywa NIS2 (UE 2022/2555) – nowa era cyberbezpieczeństwa
  • Akt prawny: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dz. Urz. UE L 333 z 27.12.2022)
  • Ewolucja: zastąpienie dawnej Dyrektywy NIS1 z 2016 roku, która charakteryzowała się zbyt wąskim zakresem i rozbieżnością wdrożeń krajowych
  • Główne cele i filary NIS2:
    • Drastyczne rozszerzenie katalogu sektorów gospodarki podlegających obowiązkowym rygorom ochrony
    • Wzmocnienie odpowiedzialności organów zarządczych: obowiązek zatwierdzania i nadzoru nad środkami zarządzania ryzykiem (art. 20 ust. 1) oraz możliwość nałożenia zakazu pełnienia funkcji zarządczych (art. 32 ust. 5 lit. b)
    • Zaostrzenie wymogów dotyczących bezpieczeństwa łańcucha dostaw i dostawców ICT
    • Skrócenie czasu raportowania incydentów i harmonizacja sankcji finansowych w całej UE
  • Implementacja w Polsce: dyrektywę NIS2 wdrożono w drodze ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. z 2026 r. poz. 252), ogłoszona 2 marca 2026 r. (Dz.U. 2026 poz. 252), weszła w życie 3 kwietnia 2026 r.
Dyrektywa NIS2 – przełom cyberbezpieczeństwa NIS1 (2016) • Tylko operatorzy usług kluczowych • Wąski katalog sektorów (7 branż) • Niejasna rola zarządów spółek • Niskie sankcje finansowe • Decyzje administracyjne o statusie NIS2 (DYR. 2022/2555) • Podział: Kluczowe i Ważne (18 sektorów) • Zasada „Size-Cap” (duże i średnie firmy) • Osobista odpowiedzialność zarządu • Kary do 10 mln EUR lub 2% obrotu • Rygorystyczny łańcuch dostaw NIS2 PRZECHODZI Z SYSTEMU DECYZJI NA SAMOIDENTYFIKACJĘ PODMIOTÓW Firma sama musi zbadać, czy spełnia kryteria sektorowe i zatrudnienia – audytor pomaga w ocenie
20/55
Podział podmiotów w NIS2: Kluczowe vs Ważne
  • Odejście od pojęcia „Operator Usługi Kluczowej” – wprowadzenie nowego podziału:
    • Podmioty kluczowe (Essential Entities):
      • Sektory o najwyższym znaczeniu: energetyka, transport, bankowość, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa (IXP, DNS, chmury, centra danych), telekomunikacja, przestrzeń kosmiczna, administracja publiczna
      • Nadzór: w przypadku podmiotów kluczowych organy nadzorcze mogą przeprowadzać kontrole na miejscu, kontrole zdalne i inspekcje oraz nakładać środki nadzoru niepolegające karom, w tym nakaz wykonania środków zarządzania ryzykiem i zlecenie niezależnego audytu bezpieczeństwa (art. 32 NIS2 — podmioty kluczowe i art. 33 NIS2 — podmioty ważne; kary art. 34 NIS2); operatorzy usługi kluczowej podlegają ponadto obowiązkowi zapewnienia przeprowadzenia co najmniej raz na 2 lata audytu bezpieczeństwa wykorzystywanego systemu informacyjnego (art. 15 ust. 1 ustawy o KSC)
    • Podmioty ważne (Important Entities):
      • Sektory kluczowe pozostałe: usługi pocztowe, gospodarka odpadami, produkcja chemikaliów, produkcja żywności, wyroby medyczne, elektronika, maszyny, dostawcy usług cyfrowych, badania naukowe
      • Nadzór: w przypadku podmiotów ważnych zakres środków nadzoru jest zawężony, m.in. bez możliwości nakazania niezależnego audytu bezpieczeństwa; dyrektywa nie dzieli nadzoru na nadzór ex-ante i ex-post
    • Kryterium wielkości: podmioty średnie i duże w rozumieniu zalecenia Komisji (UE) 2023/2775, tj. co najmniej 50 pracowników oraz suma bilansowa przekraczająca 25 mln EUR albo obrót netto przekraczający 50 mln EUR; w NIS2 wskazanie tych progów ma charakter wskazówki, a nie kryterium prawnego, a niezależnie od wielkości objęte są podmioty spełniające kryteria dla podmiotów dużych oraz podmioty sektora publicznego
Podmioty w NIS2: Kluczowe vs Ważne PODMIOTY KLUCZOWE (ESSENTIAL) 11 Sektorów wysokiej krytyczności: • Energetyka, Transport, Bankowość • Ochrona zdrowia, Woda pitna, Ścieki • Infrastruktura cyfrowa, Administracja Szerszy zakres nadzoru Kontrole, inspekcje, niezależny audyt Maks. kara: 10 mln EUR lub 2% obrotu PODMIOTY WAŻNE (IMPORTANT) 7 Innych sektorów krytycznych: • Usługi pocztowe i kurierskie • Gospodarka odpadami, Chemia, Żywność • Produkcja przemysłowa, Dostawcy IT Węższy zakres nadzoru Bez nakazu niezależnego audytu Maks. kara: 7 mln EUR lub 1,4% obrotu PROGOWY SYSTEM KWALIFIKACJI WG ROZMIARU I SEKTORA Średnie przedsiębiorstwo = >= 50 pracowników lub >= 10 mln EUR obrotu rocznego
21/55
Osobista odpowiedzialność kadry zarządzającej w NIS2
  • Osobista odpowiedzialność kadry zarządzającej w świetle art. 20 NIS2:
    • Obowiązek zatwierdzania i nadzoru (art. 20 ust. 1): organy zarządzające podmiotów kluczowych i ważnych zatwierdzają środki zarządzania ryzykiem przyjęte w celu zapewnienia zgodności z art. 21, nadzorują ich wdrażanie i mogą być pociągnięte do odpowiedzialności za naruszanie tego artykułu
    • Odpowiedzialność osobista: dyrektywa nie nakłada bezpośredniej odpowiedzialności osobistej na członków zarządu, lecz nakłada obowiązek zatwierdzania i nadzorowania wdrożenia środków zarządzania ryzykiem (art. 20 ust. 1); jej konsekwencją mogą być środki nadzoru wobec osób fizycznych pełniących funkcje zarządcze (art. 32 ust. 4 lit. i oraz ust. 5 lit. b) oraz odpowiedzialność z przepisów krajowych, w tym karnych
    • Szkolenia (art. 20 ust. 2): członkowie organu zarządzającego podmiotów kluczowych i ważnych mają obowiązek odbywać regularne szkolenia, aby zdobyć wiedzę pozwalającą rozpoznać ryzyko i ocenić praktyki zarządzania ryzykiem oraz ich wpływ na świadczone usługi; państwa członkowskie zachęcają podmioty do oferowania podobnych szkoleń pracownikom, a podstawowe praktyki cyberhigieny i szkolenia należą do wymagań art. 21 ust. 2 lit. g
  • Środki nadzoru wobec kadry kierowniczej (art. 32 ust. 4 lit. i oraz ust. 5 lit. b NIS2): organ nadzorczy może nałożyć lub zwrócić się do właściwych instytucji lub sądów o nałożenie tymczasowego zakazu pełnienia funkcji zarządczych przez osobę fizyczną wykonującą obowiązki zarządcze na poziomie dyrektora generalnego lub przedstawiciela prawnego; wariant z sądem dotyczy podmiotów kluczowych i następuje po nieskutecznym zastosowaniu środków z art. 32 ust. 4 lit. a–d) i f)
    • ; zakaz obowiązuje do czasu usunięcia uchybień, a w przypadku podmiotów administracji publicznej stosowanie środków nadzoru podlega przepisom krajowym (art. 31 ust. 4 oraz art. 34 ust. 7)
  • Wpływ na audyt: audytor rozmawia bezpośrednio z zarządem i bada protokoły posiedzeń pod kątem zatwierdzania planów IT
Odpowiedzialność Zarządu w NIS2 (art. 20) KADRA ZARZĄDZAJĄCA Prezes, Członkowie Zarządu, Dyrektorzy Generalni OBOWIĄZKI Z ART. 20 NIS2 1. Zatwierdzanie środków Zarząd podpisuje polityki ryzyka 2. Obowiązkowe szkolenia Certyfikowane szkolenia z cyberbezp. 3. Osobista odpowiedzialność Zawieszenie w pełnieniu funkcji! Kary z majątku osobistego KONIEC Z ZRZUCANIEM ODPOWIEDZIALNOŚCI NA DZIAŁ IT NIS2 wprost zakazuje zarządowi delegowania ostatecznej odpowiedzialności prawnej na CISO lub IT
22/55
Środki zarządzania ryzykiem w NIS2 (art. 21) – Część 1
  • Katalog środków zarządzania ryzykiem w cyberbezpieczeństwie (art. 21 ust. 2 lit. a–e NIS2 — jest to katalog minimalny; podmiot wdraża również środki dodatkowe wynikające z art. 21 ust. 4–5): lit. a:
    • Polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych
    • lit. b: Obsługa incydentów (zapobieganie, wykrywanie, reagowanie i usuwanie skutków)
    • lit. c: Ciągłość działania, w tym zarządzanie kopiami zapasowymi, przywracanie sprawności po awarii i zarządzanie kryzysowe
    • lit. d: Bezpieczeństwo łańcucha dostaw, w tym ocena ryzyka dostawców i bezpieczeństwa ich oprogramowania
    • lit. e: Bezpieczeństwo nabywania, rozwoju i utrzymania systemów ICT (w tym postępowanie w przypadku podatności)
  • Zasada proporcjonalności (art. 21 ust. 1): środki muszą być adekwatne do skali narażenia i poziomu ryzyka podmiotu
Środki zarządzania ryzykiem w NIS2 (Cz. 1) 1. POLITYKI Analiza ryzyka • Zasady SZBI • Bezp. systemów • Akceptacja 2. INCYDENTY Obsługa zdarzeń • Detekcja • Reakcja SOC • Eskalacja 3. CIĄGŁOŚĆ BCM i Disaster • Backupy offsite • Testy DR • Sztab kryzys. 4. ŁAŃCUCH Supply Chain • Audyt dostawców • Dostawcy IT/chmury • Klauzule umów 5. ROZWÓJ SDLC i sieć • Secure Coding • Podatności • Przeglądy kodu OBLIGATORYJNY KATALOG 10 ŚRODKÓW ZARZĄDZANIA RYZYKIEM (ART. 21) Audytor weryfikuje wdrożenie każdego środka pod rygorem kar administracyjnych
23/55
Środki zarządzania ryzykiem w NIS2 (art. 21) – Część 2
  • Dalsze środki zarządzania ryzykiem (art. 21 ust. 2 lit. f–j NIS2): lit. f:
    • Polityki i procedury oceny skuteczności środków zarządzania ryzykiem (audytowanie i testy!)
    • lit. g: Podstawowe praktyki cyberhigieny i regularne szkolenia personelu z zakresu cyberbezpieczeństwa
    • lit. h: Polityki i procedury stosowania kryptografii oraz szyfrowania (w tym bezpieczne protokoły)
    • lit. i: Bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami teleinformatycznymi
    • lit. j: Stosowanie uwierzytelniania wieloskładnikowego lub zabezpieczonych łączności, w stosownych przypadkach
  • Uwaga: art. 21 ust. 2 lit. h i j NIS2 przewidują obowiązek polityk kryptograficznych oraz stosowania uwierzytelniania wieloskładnikowego lub zabezpieczonych łączności „w stosownych przypadkach”; brak MFA jest naruszeniem wtedy, gdy ocena ryzyka podmiotu uzasadnia jego wdrożenie
Środki zarządzania ryzykiem w NIS2 (Cz. 2) 6. POMIAR Ocena efektów • Testy pen. • Audyty wewn. • Metryki KPI 7. HIGIENA Cyberhigiena • Phishing test • Szkolenia person. • Zasada czystego 8. KRYPTO Kryptografia • Szyfrowanie • Zarządz. klucz. • Tylko silne alg. 9. HR & IAM Dostęp i kadry • Offboarding • Kontrola upr. • Segregacja ról 10. MFA Uwierzytelnianie • Bezwzględne MFA • Bezp. łączność • Brak haseł SMS MFA I CYBERHIGIENA JAKO TWARDE WYMOGI PRAWNE, A NIE ZALECENIA Brak wdrożenia wieloskładnikowego uwierzytelniania jest bezpośrednią podstawą do nałożenia kary
24/55
Rygor raportowania incydentów w NIS2 (art. 23)
  • Pojęcie poważnego incydentu (art. 23 ust. 3 NIS2): incydent, który spowodował lub może spowodować zakłócenie świadczenia usług lub straty finansowe (lit. a), albo incydent, który wpłynął lub może wpłynąć na inne osoby fizyczne lub prawne, powodując poważną szkodę materialną lub niematerialną (lit. b). Samo naruszenie poufności danych nie przesądza jeszcze o poważnym incydencie
  • Trzyetapowy reżim raportowania incydentu do właściwego CSIRT (art. 23 NIS2):
    1. Krok 1 – Wczesne ostrzeżenie (Early Warning): w ciągu 24 godzin od powzięcia wiedzy o incydencie (wskazanie, czy incydent mógł powstać w wyniku działania bezprawnego oraz czy może wywołać skutki transgraniczne)
    2. Krok 2 – Zgłoszenie incydentu (Incident Notification): w ciągu 72 godzin (aktualizacja informacji, wstępna ocena powagi i skutków, wskaźniki kompromitacji IoC)
    3. Krok 3 – Raport końcowy (Final Report): do miesiąca od zgłoszenia 72-godzinnego (szczegółowy opis przyczyn, wektora ataku, środków łagodzących i skutków finansowych); jeżeli w tym terminie incydent nie został zamknięty, sprawozdanie okresowe co 30 dni oraz raport końcowy miesiąc po zamknięciu incydentu (art. 23 ust. 4 lit. c i e), a właściwy organ lub zespół reagowania może zażądać sprawozdania w krótszym terminie (art. 23 ust. 4 lit. d)
  • Zadanie audytora: przetestowanie gotowości zespołu CSIRT/SOC do dotrzymania rygorystycznego limitu 24 godzin!
Reżim raportowania incydentu w NIS2 24h 1. WCZESNE OSTRZEŻENIE Czy incydent poważny? Wskaźniki IOC 72h 2. ZGŁOSZENIE O INCYDENCIE Wstępna ocena strat, skala oddziaływania Status 3. RAPORT POŚREDNI Aktualizacja stanu na żądanie CSIRT / org. 1 m-c 4. RAPORT KOŃCOWY Przyczyna źródłowa, straty, naprawa DRASTYCZNE SKRÓCENIE CZASU REAKCJI: 24 GODZINY NA PIERWSZE POWIADOMIENIE Audytor weryfikuje procedury eskalacji i łączności z właściwym zespołem CSIRT
25/55
Sankcje finansowe i uprawnienia organów nadzorczych w NIS2
  • Kary administracyjne w NIS2 (art. 34 ust. 4–5): Dla podmiotów kluczowych:
    • administracyjne kary pieniężne do 10 mln EUR lub co najmniej 2% całkowitego rocznego światowego obrotu w poprzednim roku obrotowym (zastosowanie ma kwota wyższa)
    • Dla podmiotów ważnych: kary pieniężne do 7 mln EUR lub co najmniej 1,4% całkowitego rocznego światowego obrotu
  • Uprawnienia organów nadzorczych:
    • Prawo do przeprowadzania niezapowiedzianych kontroli na miejscu i kontroli zdalnych
    • Prawo do zlecenia niezależnego audytu bezpieczeństwa na koszt podmiotu kluczowego; w przypadku podmiotów ważnych dyrektywa takiego środka nie przewiduje
    • Ostrzeżenie o naruszeniach w postaci elektronicznej bez ujawniania tożsamości podmiotu (art. 32 ust. 4 lit. a) oraz nakaz podania do wiadomości publicznej informacji o naruszeniach, które mogą mieć wpływ na odbiorców usług lub na rynki (art. 32 ust. 4 lit. h)
Sankcje finansowe i środki nadzorcze w NIS2 PODMIOTY KLUCZOWE 10 mln € lub co najmniej 2% obrotu • Audyty bezpieczeństwa na koszt firmy • Tymczasowe zawieszenie certyfikatów • Zawieszenie członka zarządu PODMIOTY WAŻNE 7 mln € lub co najmniej 1,4% obrotu • Nakazy dostosowania procedur • Publiczne ujawnienie naruszenia • Odpowiedzialność odszkodowawcza NOWY WYMIAR RYZYKA FINANSOWEGO I OSOBISTEGO W ORGANIZACJACH Raport z audytu staje się dla zarządu kluczową polisą wykazującą należytą staranność (Due Diligence)
26/55
Krajowy System Cyberbezpieczeństwa (KSC) w Polsce
  • Podstawa prawna: ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20), w której dyrektywę NIS2 wdrożono ustawą z dnia 23 stycznia 2026 r. (Dz. U. z 2026 r. poz. 252),
  • Zespoły CSIRT wymienione w ustawie o KSC oraz właściwy CSIRT dla podmiotów cywilnych:
    • CSIRT NASK: krajowy zespół reagowania na incydenty, właściwy dla podmiotów kluczowych i ważnych z sektora cywilnego; obsługuje również zgłoszenia jednostek sektora publicznego
    • CSIRT GOV (ABW): zespół właściwy dla podmiotów administracji rządowej i instytucji w niej podległych
    • CSIRT MON (DKWOC): zespół właściwy dla podmiotów sektora obrony narodowej i sił zbrojnych
  • Sektorowe zespoły reagowania na incydenty: właściwe dla poszczególnych sektorów zgodnie z wykazem określonym w przepisach wydanych na podstawie ustawy o KSC (m.in. sektory: finansowy, telekomunikacyjny, energetyczny, zdrowotny, transportowy, żywnościowy, przemysłowy)
  • Rola audytu: weryfikacja prawidłowości przypisania do właściwego CSIRT, rejestracji w systemie oraz testowania kanałów bezpiecznej łączności
Architektura Krajowego Systemu Cyberbezpieczeństwa CSIRT NASK Sektor cywilny i prywatny CSIRT GOV (ABW) Admin. rządowa CSIRT MON Sektor wojskowy Pojedynczy Punkt Kontaktowy (SPOC) TRZY CSIRT POZIOMU KRAJOWEGO W POLSKIM SYSTEMIE PRAWA Audytor weryfikuje przypisanie organizacji do właściwego CSIRT oraz kanały zgłoszeń incydentów
27/55
Zintegrowany audyt zgodności: Idea i korzyści
  • Problem współczesnych organizacji: „Zmęczenie audytami” (Audit Fatigue) – permanentne i powielające się kontrole różnych obszarów
  • Koncepcja: Zintegrowany Audyt Zgodności (Integrated Compliance Audit):
    • Wykorzystanie normy ISO/IEC 27001 jako uniwersalnego mianownika technologiczno-organizacyjnego
    • Mapowanie wymagań prawnych na konkretne klauzule zarządcze oraz kontrole z Załącznika A normy ISO/IEC 27001
  • Korzyści integracji procedur audytowych:
    • Drastyczna redukcja kosztów audytu (jeden audyt kompleksowy zamiast czterech odrębnych)
    • Spójne, zsynchronizowane zalecenia naprawcze dla zarządu (eliminacja sprzecznych rekomendacji)
    • Minimalizacja zaangażowania personelu IT i kadry kierowniczej
Kluczowa zasada: „Testuj raz, raportuj dla wielu reżimów regulacyjnych” (Test Once, Comply to Many).
Lejek zintegrowanego audytu zgodności RODO KRI § 19 NIS2 / KSC ISO 27001 WSPÓLNA MATRYCA KONTROLNA Jedno badanie – cztery cele regulacyjne ZINTEGROWANY RAPORT Brak dublowania wywiadów i testów OSZCZĘDNOŚĆ CZASU, KOSZTÓW I ELIMINACJA ZMĘCZENIA AUDYTEM Zamiast 4 odrębnych audytów organizacja przechodzi jedno kompleksowe badanie zgodności
28/55
Macierz korelacji: ISO 27001 vs RODO vs KRI vs NIS2 (Część 1)
  • Obszar: Zarządzanie ryzykiem
    • ISO/IEC 27001: Klauzula 6.1.2 (szacowanie ryzyka) i 6.1.3 (postępowanie z ryzykiem)
    • RODO: Art. 32 ust. 1 (ocena ryzyka naruszenia praw) oraz Art. 35 (analiza DPIA)
    • KRI: § 19 ust. 2 pkt 3 (okresowe analizy ryzyka utraty integralności, dostępności lub poufności informacji wraz z działaniami minimalizującymi ryzyko)
    • NIS2: Art. 21 ust. 2 lit. a (polityki analizy ryzyka i bezpieczeństwa systemów)
  • Obszar: Rejestracja i inwentaryzacja aktywów
    • ISO/IEC 27002:2022: A.5.9 (inwentaryzacja informacji i innych powiązanych aktywów)
    • RODO: Art. 30 (Rejestr Czynności Przetwarzania – mapa aktywów danych)
    • KRI: § 19 ust. 2 pkt 2 (utrzymywanie aktualności inwentaryzacji sprzętu i oprogramowania, obejmującej ich rodzaj i konfigurację)
    • NIS2: Art. 21 ust. 2 lit. i (zarządzanie aktywami teleinformatycznymi)
Macierz korelacji (Cz. 1 – Ryzyko i Polityki) OBSZAR ISO/IEC 27001 RODO KRI NIS2 Ryzyko Klauzula 6.1.2 Art. 32, art. 35 § 19 ust. 2 pkt 3 Art. 21 ust. 2 lit. a Polityki Klauzula 5.2 / A.5.1 Art. 24 ust. 2 § 19 ust. 1 Art. 21 ust. 2 lit. a Zarząd Klauzula 5.1 Art. 5 ust. 2, art. 24 Kierownik jedn. Art. 20 (osobista) MAPOWANIE PUNKTÓW WSPÓLNYCH DLA ZARZĄDZANIA STRATEGICZNEGO Jedna procedura szacowania ryzyka może jednocześnie spełnić wymogi ISO, RODO, KRI i NIS2
29/55
Macierz korelacji: ISO 27001 vs RODO vs KRI vs NIS2 (Część 2)
  • Obszar: Zarządzanie incydentami bezpieczeństwa
    • ISO/IEC 27002:2022: A.5.24–A.5.28 (planowanie, ocena i reagowanie na incydenty)
    • RODO: Art. 33 ust. 5 (wewnętrzny rejestr naruszeń), art. 33 ust. 1 (zgłoszenie Prezesowi UODO w 72 godzinach) oraz art. 34 (zawiadomienie osoby, gdy ryzyko jest wysokie)
    • KRI: § 19 ust. 2 pkt 13 (bezzwłoczne zgłaszanie incydentów naruszenia bezpieczeństwa informacji w określony i z góry ustalony sposób) oraz pkt 7 lit. b (czynności zmierzające do wykrycia nieautoryzowanych działań)
    • NIS2: Art. 21 ust. 2 lit. b oraz Art. 23 (raportowanie do CSIRT: 24h / 72h / 1 miesiąc)
  • Obszar: Ciągłość działania i kopie zapasowe (Backup)
    • ISO/IEC 27002:2022: A.8.13 (kopie zapasowe); 5.30 w kontekście ciągłości działania (gotowość ICT do ciągłości działania)
    • RODO: Art. 32 ust. 1 lit. c (zdolność do szybkiego przywrócenia dostępności danych)
    • KRI: § 19 ust. 2 pkt 12 lit. b (minimalizowanie ryzyka utraty informacji w wyniku awarii), a także § 19 ust. 4 (dodatkowe zabezpieczenia w razie uzasadnienia analizą ryzyka)
    • NIS2: Art. 21 ust. 2 lit. c (zarządzanie kopiami zapasowymi, Disaster Recovery i zarządzanie kryzysowe)
Macierz korelacji (Cz. 2 – Incydenty i Ciągłość) OBSZAR ISO/IEC 27001 RODO KRI NIS2 Incydenty Kontrola A.5.24–28 Art. 33 (72h), 34 § 19 ust. 2 pkt 13 Art. 23 (24h/72h) BCM / DR Kontrola A.5.29–30 Art. 32 ust. 1 lit. c § 19 ust. 2 pkt 12 Art. 21 ust. 2 lit. c Kopie (Backup) Kontrola A.8.13 Zdolność CIA Reguła kopii offline Zarządzanie kryzys. RÓŻNICE W TERMINACH ZGŁOSZEŃ: 72H W RODO VS 24H W NIS2 Audytor sprawdza, czy organizacja posiada zintegrowany formularz zgłoszeniowy dla obu organów
30/55
Macierz korelacji: ISO 27001 vs RODO vs KRI vs NIS2 (Część 3)
  • Obszar: Kontrola dostępu, tożsamość i uwierzytelnianie wieloskładnikowe (MFA)
    • ISO/IEC 27002:2022: A.5.15, A.5.18, A.8.2, A.8.5 (dostęp, PAM, bezpieczne uwierzytelnianie)
    • RODO: Art. 32 ust. 1 lit. b (poufność i kontrola dostępu do danych osobowych)
    • KRI: § 19 ust. 2 pkt 4–5 (odpowiednie uprawnienia osób zaangażowanych w przetwarzanie oraz bezzwłoczna ich zmiana przy zmianie zadań) oraz pkt 12 lit. c (ochrona przed błędami, utratą i nieuprawnioną modyfikacją)
    • NIS2: Art. 21 ust. 2 lit. i (bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami teleinformatycznymi) oraz lit. j (uwierzytelnianie wieloskładnikowe lub zabezpieczona łączność, w stosownych przypadkach)
  • Obszar: Bezpieczeństwo łańcucha dostaw i podwykonawców
    • ISO/IEC 27002:2022: A.5.19, A.5.20, A.5.21 (bezpieczeństwo w relacjach z dostawcami)
    • RODO: Art. 28 (umowy powierzenia DPA i weryfikacja podwykonawców)
    • KRI: § 19 ust. 2 pkt 10 (zapisy gwarantujące odpowiedni poziom bezpieczeństwa informacji w umowach serwisowych zawartych ze stronami trzecimi)
    • NIS2: Art. 21 ust. 2 lit. d (dogłębna ocena ryzyka dostawców i bezpieczeństwa łańcucha dostaw)
Macierz korelacji (Cz. 3 – Technologia i Dostawcy) OBSZAR ISO/IEC 27001 RODO KRI NIS2 Dostęp / MFA A.5.15–18, A.8.5 Art. 32 (adekwatność) § 19 ust. 2 pkt 4–5 Art. 21 ust. 2 lit. j Kryptografia Kontrola A.8.24 Art. 32 ust. 1 lit. a § 19 ust. 2 pkt 12 Art. 21 ust. 2 lit. h Łańcuch dostaw A.5.19–23 Art. 28 (umowa DPA) § 19 ust. 2 pkt 10 Art. 21 ust. 2 lit. d BEZPIECZEŃSTWO TECHNICZNE STANOWI WSPÓLNY RDZEŃ WSZYSTKICH NORM Prawidłowo skonfigurowane MFA i silne szyfrowanie bazy danych zalicza testy w każdym reżimie
31/55
Specyfika audytu RODO w systemach bazodanowych
  • Kluczowe mechanizmy bezpieczeństwa bazodanowego badane przez audytora:
    • Transparent Data Encryption (TDE): weryfikacja szyfrowania plików bazy danych i logów transakcyjnych na dysku (Data at Rest)
    • Database Activity Monitoring (DAM): rejestracja i audyt zapytań SQL SELECT pobierających dane osobowe pod kątem nadużyć
    • Separacja środowisk: kopiowanie produkcyjnych baz danych do środowisk testowych i deweloperskich wymaga podstawy prawnej, ograniczenia do niezbędnego zakresu danych (art. 5 ust. 1 lit. c i e RODO) lub skutecznej pseudonimizacji
    • Anonimizacja i maskowanie: stosowanie w testach oprogramowania danych syntetycznych lub zanonimizowanych (anonimizacja w rozumieniu art. 4 pkt 1 RODO), z oceną ryzyka reidentyfikacji
  • Zasada najmniejszych uprawnień (PoLP): audyt uprawnień aplikacji do bazy danych (eliminacja kont z uprawnieniem „DBA/sa”)
Warstwy bezpieczeństwa bazy danych pod RODO 1. SZYFROWANIE AT-REST (TDE): AES-256 dla plików bazodanowych i backupów 2. TRANZYT (IN-TRANSIT): Wymuszenie TLS 1.3 dla połączeń z aplikacją 3. MASKOWANIE (DDM): Ukrywanie PESEL/kart w GUI dla operatorów 4. AUDIT LOGGING: Kto, kiedy i jakie zapytanie SELECT wykonał na tabeli AUDYT BAZ DANYCH WYMAGA WERYFIKACJI NA POZIOMIE SILNIKA SQL Audytor prosi administratora o wykonanie zapytań sprawdzających włączenie TDE oraz Audit Trail
32/55
Audytowanie prawa do bycia zapomnianym (art. 17 RODO)
  • Prawo do usunięcia danych („prawo do bycia zapomnianym” – art. 17 RODO):
    • Obowiązek administratora do trwałego usunięcia danych na żądanie osoby lub po ustaniu celu przetwarzania
    • Weryfikacja mechanizmów kaskadowego usuwania rekordów powiązanych w relacyjnych bazach danych
  • Usuwanie danych z kopii zapasowych (backupów): art. 17 ust. 1 RODO obejmuje również kopie zapasowe, jednak usunięcie pojedynczego rekordu z nośnika typu WORM / Immutable Backups jest technicznie niemożliwe; podstawą retencji kopii jest art. 5 ust. 1 lit. e w zw. z art. 6 RODO i praktyka »put beyond use« (zablokowanie, brak aktywnego przetwarzania, nadpisanie z cyklem); art. 89 tylko przy realnej archiwizacji naukowej
    • W trakcie cyklu retencji kopii dane pozostają zablokowane i nie są aktywnie przetwarzane, a usunięcie następuje wraz z nadpisaniem nośnika; administrator zapewnia, że usunięte dane nie są wykorzystywane do żadnego innego celu
    • Obowiązek po stronie administratora: dane muszą zostać usunięte ze wszystkich aktywnych zbiorów, także z kopii zapasowych możliwych do zapisu; administrator informuje osobę, której dane dotyczą, o zastosowanym ograniczeniu, a o odbiorcach, którym ujawniono dane – zgodnie z art. 19 RODO, z wyjątkiem sytuacji, gdy jest to niemożliwe lub wymaga niewspółmiernie dużego wysiłku
  • Audyt procedury: test praktycznego wykonania wniosku o usunięcie danych na próbie 5 rekordów oraz weryfikacja, czy usunięte dane nie wracają po odtworzeniu z kopii zapasowej
Ścieżka usuwania danych (Right to be Forgotten) WNIOSEK Art. 17 RODO Żądanie usunięcia Termin: 30 dni PRODUKCJA Baza Online • Twardy DELETE • Anonimizacja rekordu BACKUPY Kopie Niemutowalne • Brak modyfikacji kopii • Czarna lista przy DR! DOSTAWCY Procesorzy • Notyfikacja podmiotów • Potwierdzenie skasow. WYZWANIE AUDYTOWE: USUNIĘCIE DANYCH Z KOPII ZAPASOWYCH Zgodnie ze stanowiskiem organów, dopuszcza się pozostawienie danych w backupie do końca retencji, pod warunkiem wdrożenia procedury ponownego wykasowania przy ewentualnym odtwarzaniu!
33/55
Audytowanie bezpieczeństwa wymiany informacji w KRI
  • Wymagania interoperacyjności semantycznej i technologicznej w sektorze publicznym:
    • Podstawa prawna formatów: § 18 ust. 1 KRI – udostępnianie zasobów informacyjnych w co najmniej jednym z formatów danych określonych w załączniku nr 2, a w zakresie przyjmowania dokumentów elektronicznych – w formatach z załączników nr 2 i 3 (np. XML, JSON, PDF/A); kodowanie znaków: § 17 KRI (Unicode UTF-8, w uzasadnionych przypadkach UTF-16)
    • Podstawa prawna transmisji: § 16 ust. 1 KRI – wymiana danych za pomocą protokołów komunikacyjnych i szyfrujących określonych w obowiązujących przepisach, normach, standardach lub rekomendacjach ustanowionych przez krajową jednostkę normalizacyjną lub jednostkę normalizacyjną Unii Europejskiej; przy ich braku – standardy uznane na poziomie międzynarodowym, w szczególności IETF (RFC) oraz W3C (REC), zgodnie z § 16 ust. 2–3
  • Kryteria badania audytorskiego portali i usług publicznych:
    • Prawidłowa konfiguracja certyfikatów SSL/TLS na portalach obywatelskich (np. e-Urząd)
    • Wyłączenie przestarzałych protokołów SSLv3, TLS 1.0, TLS 1.1 na serwerach publicznych
    • Wdrożenie mechanizmów podpisu elektronicznego (Profil Zaufany, podpis kwalifikowany, pieczęć elektroniczna)
  • Narzędzie audytora: audyt konfiguracji serwera webowego za pomocą standardowych narzędzi weryfikacyjnych (np. test SSL Labs)
Bezpieczeństwo transmisji danych w KRI PORTAL / USŁUGI PUBLICZNE A+ • Protokół: TLS 1.3 / TLS 1.2 • Wyłączenie: SSLv3, TLS 1.0, 1.1 • HSTS i Forward Secrecy POCZTA I DOMENA (POZA KRI) SPF:Poprawny wpis TXT (-all) DKIM:Klucz 2048-bit RSA DMARC:Polityka p=reject / quarantine TESTY PODATNOŚCI KRI WYKONYWANE Z POZIOMU INTERNETU Audytor weryfikuje konfigurację rekordów DNS oraz certyfikatów SSL za pomocą narzędzi online
34/55
Audytowanie rejestrów publicznych i baz PESEL w KRI
  • Podmioty publiczne przetwarzające dane z rejestrów państwowych (PESEL, CEIDG, Rejestr Dowodów Osobistych):
  • Rygory audytowe wynikające z KRI i przepisów o ewidencji ludności:
    • przepisy nie nakazują szczególnego logowania zapytań do bazy PESEL; § 20 ust. 2 KRI nakazuje natomiast odnotowywanie w dziennikach systemów obligatoryjnie dostępu do systemu z uprawnieniami administracyjnymi, do konfiguracji systemu, w tym zabezpieczeń, oraz do przetwarzanych danych podlegających ochronie prawnej. Imienna rozliczalność zapytań do PESEL pozostaje zaleceniem wynikającym z rozliczalności (art. 5 ust. 2 RODO), a nie obowiązkiem ustawowym
    • Zalecenie: wiązanie każdego zapytania ze sprawą administracyjną i wskazaniem podstawy prawnej, zgodne z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO)
    • Niezależny rejestr logów audytowych (kto, kiedy, kogo wyszukiwał i w jakiej sprawie)
    • Zalecana okresowa weryfikacja zasadności zapytań przez Inspektora Ochrony Danych (przepisy nie określają sztywnego cyklu comiesięcznego)
  • Typowe nadużycie: „ciekawość pracownicza” – urzędnik weryfikujący w bazie PESEL dane znajomych lub osób publicznych bez podstawy prawnej
Rozliczalność zapytań do rejestrów publicznych REJESTR ZAPYTAŃ DO BAZY PESEL / CEIDG / PRZEGLĄDARKI KSIĄG Identyfikator operatora: Jan Kowalski (Urzędnik Wydziału Spraw Obywatelskich) Data i znacznik czasu: 2026-09-23 11:42:15 UTC (Zsynchronizowany czas NTP) Podstawa prawna / Znak sprawy: SO.5342.12.2026 (Wniosek o wydanie dowodu) Zakres zapytania: Pobranie danych adresowych i stanu cywilnego Integralność logu: Podpis cyfrowy / Zapis w centralnym systemie SIEM (WORM) ZAKAZ WYSZUKIWANIA INFORMACJI BEZ FORMALNEJ SPRAWY URZĘDOWEJ Brak znaku sprawy w logu zapytania stanowi przestępstwo z art. 267 § 2 Kodeksu karnego
35/55
Audytowanie bezpieczeństwa łańcucha dostaw w NIS2
  • Łańcuch dostaw jako najsłabsze ogniwo: cyberprzestępcy atakują mniejszych podwykonawców, by sforsować zabezpieczenia podmiotów kluczowych
  • Obowiązki podmiotu kluczowego i ważnego w świetle NIS2:
    • Uwzględnienie w ocenie ryzyka podatności swoistych dla każdego bezpośredniego dostawcy oraz ocena ogólnej jakości ich praktyk bezpieczeństwa, w tym procesów bezpiecznego wytwarzania oprogramowania (art. 21 ust. 3 NIS2)
    • Ocena ogólnej jakości i dojrzałości cyberbezpieczeństwa dostawców (w tym ich procesów bezpiecznego wytwarzania oprogramowania)
  • Procedura audytu łańcucha dostaw:
    1. Kategoryzacja dostawców według kryterium ryzyka: Tier 1 (dostęp do infrastruktury krytycznej), Tier 2 (wsparcie techniczne), Tier 3 (dostawcy towarów)
    2. Niezależne certyfikaty i poświadczenia dostawców (ISO/IEC 27001, SOC 2) jako praktyka rynkowa i dobrowolne kryterium oceny: NIS2 nie nakłada ustawowego obowiązku ich przedstawienia, a brak poświadczeń musi zostać uwzględniony w ocenie ryzyka dostawcy
    3. Prowadzenie audytów drugiej strony (kwestionariuszowych lub inspekcji bezpośrednich) u kluczowych partnerów
    4. Wprowadzenie rygorystycznych klauzul umownych, w tym obowiązku powiadamiania o incydencie w 12 godzin; jest to termin umowny, krótszy niż 24-godzinne wczesne ostrzeżenie z art. 23 ust. 1 NIS2, ale ustalony wyłącznie w umowie
Audyt łańcucha dostaw ICT (Supply Chain Security) PODMIOT KLUCZOWY / WAŻNY DOSTAWCY TIER 1 (Dostawcy Chmury, MSP, SOC) PODWYKONAWCY TIER 2 (Producenci oprogramowania, Open Source) NIS2 PRZENOSI ODPOWIEDZIALNOŚĆ NA CAŁY EKOSYSTEM CYFROWY Audytor żąda ankiet oceny ryzyka dostawców, certyfikatów ISO 27001 oraz raportów SOC 2 Type II
36/55
Audyt procedury zgłaszania incydentów w reżimie 24h/72h
  • Test gotowości eskalacyjnej (Tabletop Exercise / Dry-Run Test):
    • Audytor symuluje scenariusz poważnego incydentu (np. wykrycie nieuprawnionej eksfiltracji danych w piątek o godzinie 18:00)
  • Kroki weryfikowane przez audytora w toku badania procedury:
    • Czy monitoring SOC zidentyfikował anomalię i prawidłowo zaklasyfikował ją jako „poważny incydent”?
    • Kto w organizacji jest formalnie upoważniony do zatwierdzenia treści zgłoszenia do CSIRT / Prezesa UODO?
    • Czy organizacja posiada aktualne dane kontaktowe, klucze PGP i dostęp do bezpiecznych platform zgłoszeniowych organów państwa?
    • Czy zespół potrafi w ciągu 24 godzin wygenerować wczesne ostrzeżenie bez znajomości pełnej skali szkód?
  • Typowa luka: brak wyznaczonego zastępcy decydenta podczas jego nieobecności paraliżuje proces terminowego zgłoszenia
Symulacja testowa zgłaszania incydentu (Tabletop) SCENARIUSZ ĆWICZENIA AUDYTOWEGO: WYKRYCIE RANSOMWARE 1 Godzina 08:00 – Wykrycie zaszyfrowania serwera bazy danych 2 Godzina 10:00 – Zwołanie Sztabu Kryzysowego i decyzja o notyfikacji 3 Godzina 14:00 (przed upływem 24h) – Wysyłka alertu do właściwego CSIRT 4 Dzień 2 (przed upływem 72h) – Raport naruszenia ochrony danych do UODO ĆWICZENIA TYPU TABLETOP TO JEDYNA METODA WERYFIKACJI CZASU REAKCJI Audytor weryfikuje znajomość numerów telefonów alarmowych oraz dostęp do portali zgłoszeniowych
37/55
Audytowanie cyberhigieny i szkoleń personelu (art. 21 NIS2)
  • Pojęcie cyberhigieny: elementarny zbiór nawyków i praktyk ograniczających ryzyko ataków masowych
  • Wymogi NIS2 i KRI dotyczące czynnika ludzkiego:
    • Zapewnienie szkoleń osób zaangażowanych w przetwarzanie informacji, ze szczególnym uwzględnieniem zagrożeń bezpieczeństwa, skutków naruszeń (w tym odpowiedzialności prawnej) oraz środków ograniczających ryzyko błędów ludzkich (§ 19 ust. 2 pkt 6 KRI); przepisy nie ustanawiają szkolenia wstępnego przed nadaniem dostępów
    • Podstawowe praktyki cyberhigieny i szkolenia personelu z zakresu bezpieczeństwa (art. 21 ust. 2 lit. g NIS2); ani NIS2, ani KRI nie określają minimalnej częstotliwości szkoleń przypominających, a rok jako okres referencyjny wynika z praktyki i zaleceń, nie z przepisu
    • Dedykowane, specjalistyczne szkolenia dla członków organów zarządzających (art. 20 NIS2)
  • Techniki badania audytorskiego:
    • Weryfikacja programów szkoleniowych (tematyka: phishing, vishing, deepfake, zasady pracy zdalnej)
    • Analiza wyników kontrolowanych kampanii phishingowych (współczynnik podatności Click-Rate)
    • Wywiady sprawdzające wiedzę z losowo wybranymi pracownikami z różnych pionów organizacyjnych
Metryki świadomości i testy phishingowe (NIS2) KAMPANIE PHISHINGOWE 3,2% Wskaźnik kliknięć (Click Rate) Zgłoszenia do SOC: 78% Wskaźnik dojrzałości: WYSOKI UDZIAŁ W SZKOLENIACH 98,5% Przeszkolony personel ogółem Szkolenie Zarządu: 100% Obowiązek z art. 20 NIS2 CYBERHIGIENA MIERZONA TWARDYMI WSKAŹNIKAMI EFEKTYWNOŚCI Audytor weryfikuje listy obecności, wyniki testów wiedzy oraz logi z platformy symulacji phishingu
38/55
Audytowanie kryptografii i MFA w świetle przepisów
  • Rygory kryptograficzne w prawie powszechnym (RODO, KRI, NIS2):
    • Polityka kryptograficzna wymagana przez art. 21 ust. 2 lit. h NIS2 i § 19 ust. 2 pkt 12 lit. d KRI: wskazanie stosowanych algorytmów oraz wycofywanie algorytmów przestarzałych lub podatnych (MD5, SHA-1, DES, 3DES, RC4); przepisy nie zawierają katalogu zakazanych algorytmów
    • Zalecane parametry wynikające ze standardów i wytycznych, a nie z przepisów powszechnych: szyfrowanie symetryczne AES-256 oraz asymetryczne RSA 2048/3072 bit lub ECC co najmniej 256 bit; właściwym źródłem są aktualne rekomendacje krajowej i unijnej jednostki normalizacyjnej
    • Bezpieczne zarządzanie kluczami kryptograficznymi (HSM, Key Vaults) – separacja kluczy od zaszyfrowanych danych
  • Standardy MFA podlegające badaniu audytorskiemu:
    • Weryfikacja czynników uwierzytelniania: coś co wiesz (hasło), coś co masz (klucz U2F/FIDO2, aplikacja OTP), coś czym jesteś (biometria)
    • Odporność na phishing: eliminacja kodów SMS na rzecz aplikacji uwierzytelniających lub sprzętowych kluczy FIDO2/WebAuthn
  • Zakres uwierzytelniania wieloskładnikowego: dostęp zdalny, konta administratorów i dostęp do krytycznych baz z danymi osobowymi to miejsca o podwyższonym ryzyku, w których MFA powinno być wdrożone; w NIS2 obowiązek ten ma charakter warunkowy („w stosownych przypadkach”, art. 21 ust. 2 lit. j), a w RODO wynika z art. 32 ust. 1 lit. b w zw. z art. 25
Wieloskładnikowe uwierzytelnianie (MFA) 1. CO WIESZ (KNOW) Hasło / PIN • Długość >= 14 znaków • Menedżer haseł • Zakaz rotacji co 30 dni 2. CO MASZ (HAVE) Klucz / Aplikacja • FIDO2 / YubiKey • TOTP (Aplikacja) • Hasła SMS wycofywane 3. KIM JESTEŚ (ARE) Biometria • Odcisk palca • Rozpoznawanie twarzy • Przetwarzanie lokalne MFA ODPORNE NA PHISHING (FIDO2) ZASTĘPUJE NIEBEZPIECZNE SMS-Y Audytor weryfikuje polityki logowania warunkowego (Conditional Access) w Active Directory
39/55
Rola Inspektora Ochrony Danych (IOD) w procesie audytu
  • Status prawny IOD (art. 37–39 RODO):
    • Niezależny doradca najwyższego kierownictwa w sprawach ochrony prywatności
    • Zakaz wydawania IOD poleceń co do sposobu wykonywania jego zadań
    • Bezpośrednia linia raportowania do Zarządu / Kierownika Jednostki
  • Relacja: Audytor Bezpieczeństwa Informacji a Inspektor Ochrony Danych:
    • IOD jest dla audytora kluczowym partnerem merytorycznym i źródłem dowodów (rejestry, opinie, analizy ryzyka)
    • Audytor weryfikuje, czy IOD posiada rzeczywistą niezależność oraz wystarczające zasoby czasowe i budżetowe
    • Audytor bada, czy IOD nie znajduje się w konflikcie interesów (łączenie funkcji IOD z inną funkcją (np. szefa IT lub dyrektora HR) nie jest samo w sobie zabronione, ale niedopuszczalne jest powierzanie IOD zadań prowadzących do określania celów i sposobów przetwarzania danych (art. 38 ust. 6 RODO), a także zadań powodujących konflikt interesów oraz instrukcji co do sposobu wykonywania obowiązków (art. 37 ust. 3 RODO); o granicach łączenia funkcji orzekł TSUE w wyroku z 9 lutego 2023 r. w sprawie C-453/21 (X-FAB Dresden))
Trójkąt ładu: Zarząd – IOD – Audytor ZARZĄD (ADO) INSPEKTOR IOD AUDYTOR ZEWN. Wymiana ustaleń NIEZALEŻNOŚĆ IOD TO FUNDAMENTALNY WYMÓG Z ART. 38 RODO Audytor sprawdza, czy IOD nie łączy funkcji z administratorem sieci lub radcą prawnym
40/55
Nadzór organów państwa: UODO, CSIRT, NIK, KNF
  • Organy uprawnione do kontroli bezpieczeństwa informacji w polskiej organizacji:
    • Urząd Ochrony Danych Osobowych (Prezes UODO): kontrole planowe i doraźne (po incydencie lub skardze obywatela) – reżim RODO
    • właściwe zespoły CSIRT (krajowy i sektorowe) oraz właściwe ministerstwa: kontrole spełnienia obowiązków ustawy o KSC i dyrektywy NIS2
    • Najwyższa Izba Kontroli (NIK): kontrole legalności, gospodarności i celowości w jednostkach sektora publicznego (audyt KRI i cyberbezpieczeństwa państwa)
    • Komisja Nadzoru Finansowego (KNF): nadzór nad bankami, ubezpieczycielami i rynkiem kapitałowym; DORA (rozporządzenie UE 2022/2554) nakłada obowiązki bezpośrednio na podmioty finansowe, a KNF wydaje w jej zakresie stanowiska i wyjaśnienia
  • Raport z audytu wewnętrznego jako dowód należytej staranności: udokumentowanie wdrożonych środków i reakcji na zastrzeżenia ułatwia wykazanie należytej staranności, lecz nie stanowi tarczy zwalniającej z odpowiedzialności
Instytucje kontrolne i nadzorcze w Polsce UODO Ochrona danych • Inspekcje RODO • Kary do 20 mln € • Skargi obywateli • Zgłoszenia 72h CSIRT / KSC Cyberzagrożenia • Incydenty NIS2 • Ostrzeżenia 24h • Koordynacja ataku • Wytyczne techn. NIK Sektor publiczny • Audyt KRI • Gospodarność IT • Odpowiedzialność • Dyscyplina fin. KNF / DORA Sektor finansowy • Komunikat chmurowy • Rozporządzenie DORA • Testy TLPT • Nadzór bankowy AUDYT PRZYGOTOWUJE ORGANIZACJĘ NA KONTROLĘ PAŃSTWOWĄ Ustalenia audytora wewnętrznego pozwalają naprawić luki przed wizytą inspektorów UODO lub NIK
41/55
Praktyczna konstrukcja zintegrowanego programu audytu zgodności
  • Cztery etapy zintegrowanego programu audytu zgodności regulacyjnej:
    1. 1. Faza przygotowawcza: identyfikacja właściwych reżimów prawnych (czy podmiot jest administratorem, podmiotem publicznym KRI, czy podmiotem kluczowym/ważnym NIS2) oraz analiza granic zakresu
    2. 2. Opracowanie Zintegrowanej Listy Kontrolnej (Integrated Checklist): matryca pytań audytowych z jednoczesnym przypisaniem referencji do RODO, KRI, NIS2 i ISO 27001
    3. 3. Badanie terenowe (Fieldwork): wywiady, badanie konfiguracji serwerów, próby losowania próbek z baz danych, testy odzyskiwania backupów i analiza logów
    4. 4. Raportowanie zintegrowane: spójna matryca niezgodności z podziałem na naruszenia prawa twardego (krytyczne) oraz uchybienia proceduralne
5 faz programu zintegrowanego audytu zgodności 1. INICJACJA • Cel i zakres • Pytania wstępne • Zespół audyt. 2. PRAWNA • Przegląd RCP • Umowy DPA • Analizy DPIA 3. TESTY IT • Konfiguracja DB • Skan sieci / SSL • Weryfikacja kopii 4. WYWIADY • Wywiady z IOD • Wywiady z IT • Przegląd kadry 5. RAPORT • Karta ustaleń • Ocena ryzyk • Spotkanie zamk. HARMONOGRAM ZINTEGROWANEGO PROGRAMU AUDYTU Prawidłowo zaplanowany proces trwa od 3 do 6 tygodni w zależności od skali organizacji
42/55
Rekomendacje audytowe w audycie prawnym – jak pisać zalecenia?
  • Sztuka formułowania zaleceń poaudytowych (kultura języka inżynierskiego i prawnego):
    • Zasada SMART: zalecenie musi być konkretne, mierzalne, osiągalne, realistyczne i terminowe
    • Neutralność technologiczna: audytor nie narzuca konkretnych producentów ani marek sprzętu
    • Precyzyjne wskazanie podstawy prawnej oraz terminu rekomendowanego wdrożenia
  • Przykład złego zalecenia: „Kupcie zaporę sieciową firmy X za 100 tysięcy złotych”
  • Przykład profesjonalnego zalecenia: „Zaleca się wdrożenie mechanizmów automatycznego filtrowania ruchu sieciowego oraz inspekcji aplikacji (Next-Generation Firewall) na styku z siecią publiczną, w celu spełnienia wymogów art. 21 ust. 2 lit. b i lit. g NIS2 (obsługa incydentów oraz podstawowe praktyki cyberhigieny) oraz § 19 ust. 2 pkt 7 lit. b i pkt 12 lit. c KRI (wykrywanie nieautoryzowanych działań oraz ochrona przed błędami, utratą i nieuprawnioną modyfikacją), w terminie do 31 grudnia...”
Konstrukcja zaleceń audytowych (Zasada SMART) ZALECENIE BŁĘDNE „Należy poprawić bezpieczeństwo” • Brak wskazania przepisu • Brak terminu realizacji • Brak mierzalnego kryterium • Rekomendowanie zakupu X (Zarzut korupcji audytora!) ZALECENIE PRAWIDŁOWE „Wdrożyć MFA na dostęp VPN” • Podstawa: art. 21 ust. 2 lit. j NIS2 • Kryterium: 100% kont z FIDO2/TOTP • Termin: 60 dni roboczych • Odpowiedzialny: Dyrektor IT Neutralność technologiczna ZALECENIE MUSI BYĆ PRECYZYJNE, NEUTRALNE I ROZLICZALNE Audytor wskazuje cel prawny do osiągnięcia, nie narzucając konkretnego dostawcy oprogramowania
43/55
Odpowiedzialność cywilna i odszkodowawcza za wycieki danych
  • Art. 82 RODO – Prawo do odszkodowania i odpowiedzialność cywilna:
    • Każda osoba, która poniosła szkodę majątkową lub niemającątkową w wyniku naruszenia RODO, ma prawo uzyskać odszkodowanie (art. 82 ust. 1 RODO); odszkodowanie obejmuje zarówno stratę, jak i utracone zyski oraz krzywdę niematerialną, a osoba powoda nie musi wykazywać wystąpienia szkody majątkowej, gdy doznała szkody niemajątkowej; samo naruszenie RODO bez szkody nie wystarcza, a uzależnianie odszkodowania za szkodę niemającątkową od przekroczenia progu wagi jest niedopuszczalne, zaś ciężar wykazania braku odpowiedzialności spoczywa na administratorze (art. 82 ust. 2–3 RODO oraz wyrok TSUE z 4 maja 2023 r. w sprawie C-300/21, UI v Österreichische Post, sentencja pkt 1–2)
  • Ewolucja orzecznictwa sądów polskich i TSUE:
    • Uznanie samej obawy przed bezprawnym wykorzystaniem danych osobowych za szkodę niemajątkową podlegającą zadośćuczynieniu pieniężnemu (wyrok TSUE z 14 grudnia 2023 r. w sprawie C-340/21, VB v Natsionalna agentsia za prihodite, sentencja pkt 6, oraz wyrok z 4 maja 2023 r. w sprawie C-300/21; sama utrata kontroli nad danymi stanowi szkodę nawet bez wykorzystania danych)
    • Ryzyko pozwów zbiorowych (Class Action) przeciwko organizacjom, w których doszło do wycieku baz danych klientów
  • Wpływ na audyt: audytor musi uświadomić zarządowi, że kara administracyjna z UODO to tylko część ryzyka – drugą część stanowią masowe roszczenia cywilne
Ścieżka dochodzenia odszkodowań (art. 82 RODO) 1. NARUSZENIE Złamanie prawa: • Wyciek PESEL • Brak szyfrowania • Ujawnienie danych • Wina administratora 2. SZKODA Materialna / Krzywda: • Kradzież tożsamości • Zaciągnięty kredyt • Stres i lęk (krzywda) • Zadośćuczynienie 3. WYROK SĄDU Pozew cywilny: • Pozwy zbiorowe • Wypłata zadośćuczyn. • Koszty obsługi pr. • Utrata reputacji ART. 82 RODO POZWALA KAŻDEMU OBYWATELOWI POZWAĆ FIRMĘ ZA WYCIEK Nawet bez straty finansowej sam lęk przed kradzieżą tożsamości uzasadnia roszczenie odszkodowawcze
44/55
Odpowiedzialność karna w cyberbezpieczeństwie
  • Przestępstwa przeciwko ochronie informacji (Rozdział XXXIII Kodeksu karnego):
    • Art. 267 k.k.: nieuprawniony dostęp do informacji lub bezprawny zapis danych informatycznych (haking, podsłuch, przełamanie zabezpieczeń elektronicznych) – grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2; ściganie następuje na wniosek pokrzywdzonego (art. 267 § 5)
    • Art. 268 k.k.: naruszenie integralności zapisu istotnej informacji – grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2, a w przypadku działania na nośniku informatycznym – do lat 3 (art. 268 § 1–2)
    • Art. 268a k.k.: niszczenie, uszkadzanie lub zakłócanie działania danych informatycznych – kara pozbawienia wolności do lat 3, a w razie popełnienia sprawy o znacznej szkodzie majątkowej – od 3 miesięcy do lat 5 (art. 268a § 1–2)
    • Art. 269 k.k.: sabotaż komputerowy, m.in. zniszczenie danych informatycznych lub zakłócenie pracy systemu o istotnym znaczeniu dla państwa – kara od 6 miesięcy do lat 8 (art. 269 § 1)
    • Art. 269b k.k.: wytwarzanie, pozyskiwanie lub udostępnianie narzędzi hakerskich lub złośliwego oprogramowania – kara od 3 miesięcy do lat 5; art. 269c k.k. stanowi bezpiecznik dla działań zabezpieczających system przed takim przestępstwem, w tym dla narzędzi służących do analizy złośliwego oprogramowania
  • Przestępstwa z ustawy o ochronie danych osobowych: przetwarzanie danych osobowych bez ważnego podstawu prawnego lub wbrew jej (art. 107) oraz udaremnianie kontroli Prezesa UODO (art. 108 — udaremnianie/utrudnianie kontroli Prezesa UODO: grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2 — sprawdzić dosłowne brzmienie art. 108 przed wykładem)
Odpowiedzialność karna (Rozdział XXXIII K.K.) ART. 267 K.K. Hacking / Podsłuch • Bezprawne uzyskanie dostępu do systemu • Podłożenie podsłuchu Do 2 lat więzienia ART. 268A K.K. Niszczenie danych • Kasowanie plików • Zmiana lub usunięcie zapisu bez uprawnień Do 3 lat więzienia ART. 269 K.K. Sabotaż IT • Zakłócenie pracy infrastruktury kryt. • Paraliż systemów Do 8 lat więzienia PRZESTĘPSTWA PRZECIWKO OCHRONIE INFORMACJI W POLSKIM KODEKSIE KARNYM Brak ustawowego obowiązku zawiadomienia prokuratury - obowiązki dotyczą zgłoszeń do CSIRT i do UODO
45/55
Studium przypadku 1: Rażący wyciek danych w sklepie internetowym (Casus RODO)
  • Stan faktyczny (rzeczywisty przypadek Morele.net, sygn. ZSPR.421.2.2019):
    • atak na sklep internetowy, w wyniku którego pobrano dane ok. 2,2 mln osób, przy czym szczegółowe dane, w tym numery PESEL i dane dokumentów towarzyszące, dotyczyły ok. 35 tys. wniosków (HIBP podaje ~2,5 mln e-maili — rozjazd źródeł; status WSA II SA/Wa 430/24 i kasacji zweryfikować w CBOSA/UODO na dzień wykładu)
    • Zarzuty Prezesa UODO wobec Morele Sp. z o.o. (decyzja z 17 stycznia 2024 r., ZSPR.421.2.2019 i ZSPR.405.67.2019): naruszenie art. 5 ust. 1 lit. f (poufność), art. 5 ust. 2 (rozliczalność), art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. b i d oraz art. 32 ust. 2 RODO
  • Zarzuty Prezesa UODO wobec Morele Sp. z o.o. — cd. (skutki zaskarżenia):
    • Skutki zaskarżenia: pierwsza decyzja Prezesa UODO z 10 września 2019 r. (kara 2 830 410 PLN) została uchylona przez NSA 9 lutego 2023 r., III OSK 3945/21, z powodu naruszeń proceduralnych; właściwym sądem odwoławczym był WSA, II SA/Wa 2559/19
  • Konsekwencje prawne i finansowe:
    • Prezes UODO 17 stycznia 2024 r. nałożył karę 3 819 960 PLN; skarga do WSA (II SA/Wa 430/24, 16 września 2024 r.) została oddalona, a skarga kasacyjna pozostaje nierozstrzygnięta
    • Wniosek metodologiczny: brak uwierzytelniania wieloskładnikowego, testów i monitoringu stanowił główną podstawę zarzutów, lecz nie należy przypisywać całej kwoty kary pojedynczemu mechanizmowi
  • Wniosek audytowy: koszt wdrożenia uwierzytelniania wieloskładnikowego, testów penetracyjnych i cyklicznego testowania zabezpieczeń stanowi ułamek nałożonej kary
Studium przypadku 1: Wyciek bazy klientów (RODO) RZECZYWISTY PRZYPADEK: MORELE.NET - 2,2 MLN KLIENTÓW 1. Wektor ataku: Nieautoryzowany dostęp do kont klientów przez lukę w aplikacji sklepowej 2. Skutek: Eksfiltracja danych: nazwiska, e-mail, PESEL, numery kont, historia zakupów 3. Błąd zarządu: Brak oceny ryzyka i niewdrożenie środków zabezpieczających (art. 24, 25 RODO) 4. Ustalenie audytu: Brak testów penetracyjnych od 3 lat (złamanie art. 32 ust. 1 lit. d) 5. Kara UODO: 3 819 960 PLN (17.01.2024; kara 2 830 410 PLN z 2019 r. uchylona) LEKCJA: KOSZT AUDYTU I TESTÓW PENETRACYJNYCH TO UŁAMEK WYSOKOŚCI KAR Największym zaniedbaniem była ocena ryzyka i brak adekwatnych środków zabezpieczających
46/55
Studium przypadku 2: Paraliż szpitala publicznego (Casus KRI i NIS2)
  • Stan faktyczny:
    • Szpital miejski został sparaliżowany przez atak oprogramowania ransomware
    • Zaszyfrowano bazy danych z historiami chorób pacjentów, systemy laboratoryjne oraz stacje diagnostyczne
    • Kopie zapasowe podłączone na stałe do sieci lokalnej również uległy zaszyfrowaniu, co wskazuje na brak separacji środowiska odtwarzania od środowiska produkcyjnego
  • Ustalenia w świetle KRI:
    • brak okresowego audytu bezpieczeństwa informacji, nie rzadziej niż raz na rok, wymaganego przez § 19 ust. 2 pkt 14 KRI, w dwóch kolejnych latach
    • Naruszenie § 19 ust. 2 pkt 12 lit. b KRI (minimalizowanie ryzyka utraty informacji w wyniku awarii) oraz art. 32 ust. 1 lit. c RODO: brak odizolowanych, niezmiennych kopii zapasowych off-site (Immutable Backup)
    • Naruszenie § 19 ust. 2 pkt 12 lit. a i f KRI (dbałość o aktualizację oprogramowania oraz redukcja ryzyk z wykorzystania opublikowanych podatności): brak łatek bezpieczeństwa na stacjach roboczych w gabinetach lekarskich
  • Konsekwencje: odwołanie planowych operacji, ewakuacja pacjentów na oddziałach intensywnej terapii, zawiadomienie prokuratury o sprowadzeniu zagrożenia dla życia i zdrowia
Studium przypadku 2: Atak na szpital (KRI i NIS2) KAZUS: SP ZOZ POWIATOWY (SEKTOR PUBLICZNY / NIS2) 1. Incydent: Atak Ransomware na system szpitalny HIS (blokada kart pacjentów) 2. Skutek medyczny: Odwołanie planowych operacji, transport pacjentów do innych miast 3. Weryfikacja KRI: Kopie zapasowe były podłączone do sieci w trybie online (również zaszyfrowane!) 4. Ustalenie audytu: Szpital 2 lata bez corocznego audytu bezpieczeństwa informacji 5. Konsekwencje: Odwołanie operacji, zawiadomienie prokuratury, ewakuacja na OIT ZIGNOROWANIE AUDYTU KRI DOPROWADZIŁO DO KATASTROFY OPERACYJNEJ Szpitale jako podmioty kluczowe NIS2 podlegają szerszemu zakresowi środków nadzoru
47/55
Dokumentowanie zgodności regulacyjnej w raporcie audytowym
  • Wymogi formalne wobec raportu z audytu zgodności regulacyjnej:
    • Każde ustalenie musi posiadać precyzyjną podstawę prawną (numer artykułu, ustępu, litery i pełny tytuł aktu prawnego wraz z adresem publikacyjnym (Dz. U.))
    • Zakaz stosowania skrótów myślowych i niejednoznacznych sformułowań w opisie naruszeń prawnych
    • Kwalifikacja wagi naruszenia: bezpośrednie naruszenie prawa powszechnego (Niezgodność Krytyczna) vs luka proceduralna (Niezgodność Mniejsza)
  • Sześć elementów karty ustalenia audytowego:
    1. 1. Tytuł uchybienia (krótki, precyzyjny opis)
    2. 2. Naruszony przepis prawa powszechnego (artykuł, ustęp, litera)
    3. 3. Naruszona norma międzynarodowa lub polityka wewnętrzna
    4. 4. Dowód obiektywny z audytu (stan faktyczny poparty próbkowaniem)
    5. 5. Ryzyko prawne i finansowe dla jednostki (zagrożenie sankcją)
    6. 6. Rekomendacja naprawcza w standardzie SMART
Karta Ustalenia Prawnego w Raporcie Audytowym WZÓR KARTY USTALENIA NIEZGODNOŚCI PRAWNEJ 1. KRYTERIUM PRAWNE: Art. 32 ust. 1 lit. a RODO oraz § 19 ust. 2 pkt 12 KRI 2. STAN FAKTYCZNY: Stacje robocze kadry kierowniczej nie posiadają włączonego BitLockera 3. DOWÓD AUDYTOWY: Raport z konsoli Microsoft Intune z dnia 2026-09-20 (Próbka 15 laptopów) 4. OCENA RYZYKA: Krytyczne: Kradzież laptopa = naruszenie poufności i sankcja UODO 5. REKOMENDACJA: Wymuszenie polisy szyfrowania GPO/MDM w terminie 14 dni ŻELAZNA STRUKTURA RAPORTU AUDYTOWEGO DLA PRAWNIKÓW I ZARZĄDU Każde ustalenie musi mieć podaną dokładną podstawę prawną, artykuł, ustęp i dowód techniczny
48/55
Etyka i pułapki doradztwa w audycie zgodności
  • Zasada niezależności audytora w audycie zgodności:
    • Audytor ocenia obiektywny stan faktyczny względem prawa, ale nie występuje w roli adwokata broniącego klienta przed sądem
    • Audytor nie może projektować ani konfigurować rozwiązań, które w kolejnym kroku będzie sam poddawał ocenie (zakaz samoweryfikacji)
  • Pułapka fałszywego poczucia bezpieczeństwa („Certyfikat RODO”):
    • RODO nie wprowadza certyfikatu zwalniającego z odpowiedzialności: art. 42 ust. 1 zachęca jedynie do ustanawiania mechanizmów certyfikacji, a administrator czy procesor, który uzyskał certyfikację, nadal pozostaje odpowiedzialny za zapewnienie i wykazanie zgodności z RODO (art. 42 ust. 4)
    • Żadna profesjonalna jednostka audytowa nie ma prawa gwarantować: „po naszym audycie na pewno unikną Państwo kar z UODO”
  • Uczciwość zawodowa: audytor określa stopień zgodności i luki prawne na dzień badania, a nie sprzedaje immunitetu regulacyjnego
Etyka audytora: Bezstronność vs Doradztwo PUŁAPKA: SELF-REVIEW „Audytuję własne wdrożenie” • Audytor wdrażał system, a potem sam go ocenia • Całkowita utrata obiektywizmu ZŁAMANIE KODEKSU ETYKI PUŁAPKA: 100% GWARANCJI „Gwarancja braku kar UODO” • Fałszywe poczucie bezp. • Decyzję podejmuje organ, a nie audytor prywatny ZAKAZ GWARANTOWANIA ETYKA ZAWODOWA AUDYTORA ZGODNOŚCI Audytor ocenia stan faktyczny, nie może obiecywać bezkarności ani czerpać zysków ze sprzedaży rozwiązań
49/55
Przyszłość regulacji: Akt o sztucznej inteligencji (AI Act) i DORA
  • Dynamiczny rozwój unijnego prawodawstwa cyfrowego:
  • DORA (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego):
    • przepisy stosuje się co do zasady od 17 stycznia 2025 r. (art. 64 — wejście w życie i stosowanie)
    • Obowiązkowe zaawansowane testy penetracyjne oparte na zagrożeniach (TLPT – Threat-Led Penetration Testing)
    • Ścisły nadzór nad krytycznymi zewnętrznymi dostawcami usług ICT (w szczególności dostawcami chmurowymi)
  • AI Act (Rozporządzenie UE 2024/1689):
    • wymogi bezpieczeństwa, przejrzystości, odporności na cyberataki, jakości danych i dokumentacji systemów AI wysokiego ryzyka; rozporządzenie stosuje się od 2 sierpnia 2026 r., przy czym rozdziały I i II od 2 lutego 2025 r., a przepisy o modelach ogólnego przeznaczenia, karach i niektórych obowiązkach dotyczących ładu od 2 sierpnia 2025 r.; systemy wysokiego ryzyka wbudowane w regulowane produkty są objęte obowiązkami od 2 sierpnia 2027 r. Daty te wymagają potwierdzenia w konsolidowanym tekście po zmianach dokonanych w 2026 r.
  • Wniosek dla audytora: konieczność ciągłego poszerzania warsztatu inżynierskiego o audyt modeli AI oraz odporności operacyjnej DORA
Ewolucja europejskiego prawa cyfrowego 2018 RODO Prywatność danych osób 2024 NIS2 / KSC Odporność sektorowa 2025 DORA Finanse i bankowość 2026+ AI ACT / CRA Audyt modeli AI oraz IoT/HW DYNAMICZNY ROZWÓJ PRAWA CYFROWEGO W UNII EUROPEJSKIEJ Audytor przyszłości musi badać również algorytmy sztucznej inteligencji pod kątem stronniczości i bezpieczeństwa
50/55
Podsumowanie części 4: kluczowe przesłania
  • Audyt zgodności regulacyjnej bada bezwzględnie obowiązujące przepisy prawa powszechnego pod rygorem surowych sankcji finansowych i karnych
  • RODO (art. 32 ust. 1 lit. d) nakłada prawny obowiązek cyklicznego testowania, mierzenia i oceny skuteczności stosowanych zabezpieczeń, bez wskazywania formy ani częstotliwości tych testów
  • Krajowe Ramy Interoperacyjności (§ 19 ust. 2 pkt 14 KRI) wymagają zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok, u podmiotów realizujących zadania publiczne
  • Dyrektywa NIS2 wzmacnia odpowiedzialność organów zarządczych, w tym przez możliwość zakazu pełnienia funkcji zarządczych, wymaga uwierzytelniania wieloskładnikowego w stosownych przypadkach, rozszerza nadzór nad łańcuchem dostaw oraz nakłada obowiązkowe raportowanie poważnych incydentów w 24 i 72 godziny
  • Polska architektura KSC opiera się na krajowym zespole CSIRT NASK oraz zespołach właściwych dla poszczególnych sektorów, m.in. CSIRT GOV i CSIRT MON
  • Zintegrowany audyt zgodności w oparciu o ISO/IEC 27001 pozwala na jednoczesne wykazanie spełnienia wymogów wielu nakładających się reżimów prawnych
Podsumowanie Wykładu 4 – Trzy filary prawa FILAR 1: RODO Ochrona Osób • Zasada rozliczalności • Techniczny art. 32 • Zgłoszenia 72h Prawa obywatela FILAR 2: KRI Sektor Publiczny • § 19 – coroczny audyt • Uprawnienia audytora • Rejestry i PESEL Dyscyplina państwowa FILAR 3: NIS2 Infrastruktura • Odpowiedzialność zarz. • 10 środków art. 21 • Raportowanie 24h Odporność państwa AUDYT ZGODNOŚCI: STRAŻNIK LEGALNOŚCI CYFROWEGO BIZNESU Zintegrowane podejście łączy twarde testy inżynierskie z przepisami prawa europejskiego i polskiego
51/55
Słownik pojęć prawno-regulacyjnych (Część A – RODO)
Administrator Danych Osobowych (ADO): osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.
Podmiot przetwarzający (Procesor): osoba fizyczna lub prawna, która przetwarza dane osobowe w imieniu administratora na podstawie pisemnej umowy powierzenia przetwarzania danych (DPA) (art. 28 RODO).
Dane szczególnych kategorii: dane ujawniające pochodzenie rasowe, poglądy polityczne, przekonania religijne, dane genetyczne, biometryczne lub dane dotyczące zdrowia, podlegające szczególnym rygorom ochrony (art. 9 RODO).
Privacy by Design: uwzględnianie ochrony danych w fazie projektowania systemów, aplikacji, rejestrów i procesów technologicznych (art. 25 ust. 1 RODO).
DPIA (Data Protection Impact Assessment): ocena skutków planowanego przetwarzania dla ochrony danych, wymagana, gdy przetwarzanie z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw i wolności osób fizycznych (art. 35 ust. 1 RODO); rodzaje przetwarzania wymagające DPIA wskazuje art. 35 ust. 3.
Naruszenie ochrony danych osobowych: naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych (art. 4 pkt 12 RODO).
Leksykon pojęć audytowych: Blok RODO DEFINICJE USTAWOWE: ROZPORZĄDZENIE RODO (UE 2016/679) ADO (Art. 4 pkt 7): Podmiot decydujący samodzielnie o celach i sposobach przetwarzania Procesor (Art. 4 pkt 8): Podmiot przetwarzający dane w imieniu i na polecenie administratora DPIA (Art. 35): Ocena skutków dla ochrony danych przy operacjach wysokiego ryzyka PbD (Art. 25): Uwzględnianie ochrony danych już w fazie projektowania architektury IT Rozliczalność (art. 5 ust. 2): Ciężar dowodowy wykazania zgodności spoczywający na organizacji Naruszenie (Art. 4 pkt 12): Przypadkowe lub bezprawne zniszczenie, utrata, modyfikacja lub ujawnienie PRECYZJA POJĘCIOWA TO WARUNEK POPRAWNEGO RAPORTU Z AUDYTU Polonista i audytor przypomina: mylenie pojęcia ADO z Procesorem jest kardynalnym błędem prawnym
52/55
Słownik pojęć prawno-regulacyjnych (Część B – KRI i NIS2)
Interoperacyjność: zdolność różnych systemów teleinformatycznych, procedur i rejestrów do współdziałania oraz bezpiecznej, zautomatyzowanej wymiany informacji na szczeblu semantycznym i technicznym.
Podmiot kluczowy (Essential Entity): organizacja z sektora o krytycznym znaczeniu, podlegająca szerszemu zakresowi środków nadzoru, o których mowa w art. 32 ust. 2 i 4 NIS2, oraz obowiązkom z art. 20 (odpowiedzialność organów zarządzających) i art. 21 (zarządzanie ryzykiem).
Podmiot ważny (Important Entity): organizacja z sektora kluczowego pozostałego, podlegająca węższemu zakresowi środków nadzoru, o których mowa w art. 33 ust. 2 i 4 NIS2, przy czym nie przysługuje możliwość nakazania wyznaczenia nadzorcy (art. 32 ust. 4 lit. g) ani czasowego zawieszenia certyfikacji (art. 32 ust. 5); obowiązek publicznego ostrzegania o naruszeniu obejmuje natomiast obie kategorie (art. 32 ust. 4 lit. h oraz art. 33 ust. 4 lit. g).
Poważny incydent (significant incident): incydent spełniający co najmniej jedno z kryteriów art. 23 ust. 3 NIS2, czyli spowodowany lub mogący spowodować zakłócenie świadczenia usług lub straty finansowe (lit. a) albo wpływający lub mogący wpłynąć na inne osoby fizyczne lub prawne, powodując poważną szkodę materialną lub niematerialną (lit. b); znaczenie incydentu ustala się w oparciu o art. 22, a obowiązki zgłoszenia wynikają z art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, raport końcowy do miesiąca).
Właściwy CSIRT: zespół wyznaczony w ustawie o KSC, właściwy dla danego podmiotu; dla podmiotów kluczowych i ważnych sektora cywilnego jest nim CSIRT NASK, dla podmiotów administracji rządowej CSIRT GOV, a dla podmiotów resortu obrony CSIRT MON; ustawa wymienia także sektorowe zespoły CSIRT.
Audyt KRI: okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji, zapewniany przez kierownictwo podmiotu realizującego zadania publiczne, nie rzadziej niż raz na rok (§ 19 ust. 2 pkt 14 KRI 2024; dawniej § 20 ust. 2 pkt 14 KRI 2012).
Leksykon pojęć audytowych: Blok KRI i NIS2 DEFINICJE USTAWOWE: ROZPORZĄDZENIE KRI ORAZ DYREKTYWA NIS2 Interoperacyjność: Zdolność systemów do wymiany danych i współdziałania bez barier Audyt KRI (§ 19): Okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji Podmiot Kluczowy: Organizacja sektora o krytycznym znaczeniu, szerszy zakres nadzoru Incydent Poważny: Zdarzenie powodujące zakłócenie usług, straty lub poważną szkodę Wczesne ostrzeżenie: Zgłoszenie wstępne poważnego incydentu w ciągu 24 godzin Cyberhigiena: Zestaw podstawowych praktyk i nawyków personelu chroniących sieć APARAT POJĘCIOWY NIEZBĘDNY DO PRACY AUDYTORA W POLSCE I UE Znajomość terminologii pozwala na precyzyjne formułowanie zaleceń i dialog z audytowanymi
53/55
Kazusy audytowe do samodzielnej analizy
Kazus 1: Podczas audytu w szpitalu miejskim audytor ustala, że ostatni audyt KRI odbył się przed 2,5 laty, a serwery z historiami chorób nie posiadają kopii zapasowej poza budynkiem szpitala. Jakie przepisy KRI i RODO zostały naruszone?
Kazus 2: Zarząd średniej spółki produkującej wyroby medyczne (podmiot ważny NIS2) odmawia udziału w szkoleniu z cyberbezpieczeństwa, twierdząc, że „to strata czasu”. Jakie konsekwencje osobiste grożą członkom zarządu w świetle art. 20 ust. 2 oraz art. 32 ust. 4 lit. i i ust. 5 lit. b NIS2?
Kazus 3: Firma hostingowa przetwarzająca dane osobowe na zlecenie banku odmawia wpuszczenia audytora banku, twierdząc, że „regulamin zabrania wstępu obcym osobom do serwerowni”. Jak rozwiązać ten spór w oparciu o art. 28 RODO?
Polecenie seminaryjne: W oparciu o poznane przepisy (RODO art. 28 i 32, KRI § 19 ust. 2, NIS2 art. 20, 23 i 32) sporządź wstępną Kartę Ustalenia Niezgodności dla wybranego kazusu.
Kazusy problemowe do analizy laboratoryjnej KAZUS 1 (RODO) Chmura zagraniczna • Przychodnia przenosi dane do chmury w USA • Brak umowy DPA • Brak SCC (Standard) Oceń legalność! KAZUS 2 (KRI) Brak audytu w gminie • Wójt nie zlecał audytu od 3 lat z braku kasy • Hasła urzędników na kartkach na monitorach Sformułuj zarzut! KAZUS 3 (NIS2) Atak na wodociągi • Wyciek chloru przez włamanie do SCADA • Zgłoszenie po 5 dniach • Brak szkoleń zarządu Oszacuj sankcje! STUDIUM PRZYPADKÓW JAKO PRZYGOTOWANIE DO ZAJĘĆ LABORATORYJNYCH Student wciela się w rolę audytora wiodącego sporządzającego formalną Kartę Niezgodności
54/55
Pytania kontrolne sprawdzające wiedzę z części 4
  1. Wyjaśnij, w jaki sposób art. 32 ust. 1 lit. d RODO nakłada obowiązek cyklicznego testowania i oceny skuteczności zabezpieczeń, skoro nie określa formy ani częstotliwości tych testów.
  2. W jakich terminach i do jakich organów organizacja podlegająca pod dyrektywę NIS2 ma prawny obowiązek zgłosić poważny incydent bezpieczeństwa?
  3. Jakich kwalifikacji wymaga się od podmiotu przeprowadzającego okresowy audyt bezpieczeństwa informacji, o którym mowa w § 19 ust. 2 pkt 14 KRI, oraz od podmiotu wykonującego audyt bezpieczeństwa systemów informacyjnych na podstawie art. 15 ustawy o KSC?
  4. Scharakteryzuj zasadę rozliczalności (Accountability – art. 5 ust. 2 RODO) i wskaż rolę raportu audytowego w jej dokumentowaniu.
  5. Czym różni się zakres środków nadzoru, których mogą użyć organy nadzorcze wobec podmiotów kluczowych oraz podmiotów ważnych zgodnie z art. 32 NIS2 (podmioty kluczowe) i art. 33 NIS2 (podmioty ważne); kary art. 34 NIS2?
Wskazówka dydaktyczna: Pytania problemowe sprawdzają umiejętność łączenia przepisów prawa powszechnego z konkretnymi testami technicznymi i procedurami audytorskimi.
Pytania kontrolne i egzaminacyjne – Wykład 4 ZESTAW PYTAŃ KONTROLNYCH DLA STUDENTA 1. Na czym polega zasada rozliczalności (art. 5 ust. 2 RODO) w audycie IT? 2. Jakie cztery wymagania techniczne stawia art. 32 ust. 1 RODO? 3. W jakich terminach należy zgłosić incydent w reżimie RODO (72h) i NIS2 (24h)? 4. Jakie podmioty mają obowiązek corocznego audytu wg § 19 KRI? 5. Jakie certyfikaty uprawniają do przeprowadzania audytu KRI? 6. Na czym polega odpowiedzialność organów zarządczych wg NIS2 i KSC? WYMAGANIA ZALICZENIOWE Z MODUŁU COMPLIANCE PRAWNEGO Pytania odzwierciedlają realne pytania z egzaminów certyfikacyjnych CISA i audytora wiodącego
55/55
Literatura, akty prawne i orzecznictwo

Akty prawne Unii Europejskiej i Rzeczypospolitej Polskiej:

  • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – RODO) – Dz. Urz. UE L 119 z 4.5.2016, str. 1–88.
  • Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (Dyrektywa NIS2) – Dz. Urz. UE L 333 z 27.12.2022, str. 80–152.
  • Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych – Dz. U. z 2024 r. poz. 773 (zastępujące rozporządzenie z dnia 12 kwietnia 2012 r., Dz. U. z 2017 r. poz. 2247).
  • Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa – t.j. Dz. U. z 2026 r. poz. 20, w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz. U. z 2026 r. poz. 252), wdrażającą dyrektywę NIS2.
  • Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych – Dz. U. z 2019 r. poz. 1781 z późn. zm.
  • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) – Dz. Urz. UE L 333 z 27.12.2022, str. 1–79.
  • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (Akt o sztucznej inteligencji – AI Act) – Dz. Urz. UE L 2024/1689 z 12.07.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj.

Literatura i monografie akademickie:

  • J. Lisiak-Felicka, M. Szmit, „Cyberbezpieczeństwo administracji publicznej w Polsce”, Wydawnictwo EAS, Kraków 2016.
  • P. Fajgielski, „Komentarz do RODO i ustawy o ochronie danych osobowych”, Wolters Kluwer, Warszawa 2022.
  • A. Mednis, „Ustawa o krajowym systemie cyberbezpieczeństwa. Komentarz”, C.H. Beck, Warszawa 2019.
  • Uzupełniająco: ustawa z dnia 6 czerwca 1997 r. – Kodeks karny, t.j. Dz. U. z 2025 r. poz. 383 ze zm.; ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20 ze zm.); ustawa z dnia 22 listopada 2024 r. o systemach sztucznej inteligencji (Dz. U. z 2026 r. poz. 1003); ustawa z dnia 25 lipca 2024 r. o krajowym systemie certyfikacji cyberbezpieczeństwa (Dz. U. z 2025 r. poz. 1017); orzecznictwo: NSA III OSK 3945/21, WSA II SA/Wa 2559/19 oraz II SA/Wa 430/24, TSUE C-453/21 (9.02.2023, X-FAB Dresden), C-300/21 (4.05.2023, UI v Österreichische Post) i C-340/21 (14.12.2023, VB v Natsionalna agentsia za prihodite); stanowiska i biuletyny Europejskiej Rady Ochrony Danych oraz Urzędu Ochrony Danych Osobowych.
Dostępność aktów prawnych: Akty prawne Rzeczypospolitej Polskiej są publikowane w Dzienniku Ustaw i dostępne w Internetowym Systemie Aktów Prawnych (ISAP), a prawodawstwo unijne w oficjalnym serwisie EUR-Lex. Oficjalne wytyczne interpretacyjne publikują portale UODO oraz CSIRT NASK.
Literatura i źródła normatywno-prawne AKTY PRAWNE UE • Rozporządzenie RODO (UE 2016/679) • Dyrektywa NIS2 (UE 2022/2555) • Rozporządzenie DORA (UE 2022/2554) • Akt o AI (AI Act) PRAWO POLSKIE • Ustawa o ochr. danych (Dz.U. 2019 poz. 1781) • Rozporządzenie KRI (Dz.U. 2017 poz. 2247) • Ustawa o KSC (Dz.U. 2018 poz. 1560) • Kodeks karny rozdz. 33 WYTYCZNE I DOKTRYNA • Wytyczne EROD / WP29 • Biuletyny UODO i NASK • Orzecznictwo NSA i TSUE • J. Barta, P. Fajgielski • M. Sakowska-Baryła Biblioteka uczelniana KOMPLETNA BAZA ŹRÓDŁOWA DLA INŻYNIERA BEZPIECZEŃSTWA INFORMACJI Akty prawne dostępne są bezpłatnie w Internetowym Systemie Aktów Prawnych (ISAP) oraz EUR-Lex
← Część 3: Badanie SZBI (ISO 27001/27002) Część 5: Audyt oparty na ryzyku →