Stan prawny: 21 października 2026 r.
Dla dyrektora teatru, muzeum, biblioteki lub domu kultury cyberbezpieczeństwo zaczyna się od ciągłości codziennej pracy. Czy sprzedamy bilety, wypłacimy wynagrodzenia, udostępnimy zbiory i skontaktujemy się z odbiorcami, gdy przestanie działać jeden z systemów? Właśnie te pytania pomagają przełożyć KSC i KRI na konkretne działania.
Pierwszym zadaniem jest ustalenie, jakie wymagania dotyczą danej instytucji. Kolejnym — podział pracy między kierownictwo, pracowników, administratorów i dostawców. Dobrze przygotowany zakres wsparcia pokazuje, kto zabezpiecza każdy ważny element oraz jak instytucja sprawdzi wykonanie zadania.
KSC i KRI regulują różne sprawy
KSC to ustawa o krajowym systemie cyberbezpieczeństwa. Kwalifikację podmiotu ocenia się według jego formy, działalności i właściwych przepisów, w tym załączników do ustawy. W sektorze podmiotów publicznych znaczenie mają również regulacje szczególne. Nie wystarczy porównać instytucji z inną placówką o podobnej liczbie pracowników. KSC, art. 5, art. 16d–16h i załączniki.
KRI, czyli Krajowe Ramy Interoperacyjności, obejmują wymagania związane z realizacją zadań publicznych i systemami teleinformatycznymi w zakresie wynikającym z właściwych przepisów. Rozporządzenie z 21 maja 2024 r. określa m.in. zarządzanie bezpieczeństwem informacji oraz prowadzenie dzienników systemowych. Przy jego stosowaniu należy sprawdzić zakres podmiotowy ustawy o informatyzacji. Rozporządzenie KRI, §§19–20.
Warto sporządzić jedną kartę kwalifikacji zawierającą formę prawną, organizatora, realizowane zadania, podstawę stosowania poszczególnych wymagań i datę oceny. Ułatwi to rozmowę z audytorem i wyeliminuje powtarzające się dyskusje o tym, „czy nas to dotyczy”.
Zacznij od usług, które utrzymują pracę instytucji
Inwentaryzacja komputerów jest potrzebna, ale dyrektor powinien najpierw zobaczyć zależności między technologią a działalnością instytucji. Jeden niedostępny system może utrudnić pracę bardziej niż awaria kilku stanowisk biurowych.
Poniższa tabela przedstawia przykład modelowy. Własną listę uzupełnij z pracownikami odpowiedzialnymi za poszczególne zadania.
| Usługa | Właściciel w instytucji | Zależności do sprawdzenia | Przydatny dowód |
|---|---|---|---|
| Sprzedaż biletów | Osoba kierująca obsługą widza | Operator, płatności, internet, stanowiska | Próba sprzedaży i procedura awaryjna |
| Wynagrodzenia | Osoba odpowiedzialna za kadry i płace | Program, dane, dostęp, dostawca | Test odtworzenia i lista uprawnień |
| Zbiory cyfrowe | Osoba odpowiedzialna za zbiory | Repozytorium, kopie, konta | Odczyt odzyskanych materiałów |
| Poczta | Właściciel procesu komunikacji | Tożsamość, domena, usługa chmurowa | Przegląd dostępów i zdarzeń |
| Informacja o wydarzeniach | Promocja lub komunikacja | Strona WWW, domena, hosting | Potwierdzona możliwość odzyskania dostępu |
Przy każdej usłudze ustal dopuszczalny czas przerwy. Dla kasy na godzinę przed spektaklem i archiwum materiałów promocyjnych mogą to być zupełnie inne wartości.
Przykład modelowy — kto odpowiada za sprzedaż biletów
Załóżmy, że system biletowy działa u zewnętrznego operatora. Instytucja ma dwa stanowiska kasowe, własne łącze internetowe i lokalną sieć. Operator wykonuje kopie bazy, lecz jego umowa nie obejmuje komputerów ani routera instytucji.
Jeżeli kasa nie może połączyć się z systemem, trzeba rozstrzygnąć, czy problem dotyczy operatora, łącza, konta kasjera czy lokalnego urządzenia. Bez uzgodnionych kontaktów pracownicy mogą długo przekazywać zgłoszenie między wykonawcami.
Dobry plan obejmuje wspólny numer sprawy, osobę koordynującą po stronie instytucji, kontakty do wykonawców oraz sposób pracy awaryjnej uzgodniony z właścicielem usługi. Test powinien sprawdzać również komunikację: czy pracownik wie, gdzie zgłosić problem i kto potwierdzi przyjęcie.
W monitoringu można połączyć dostępne informacje o urządzeniach i sieci. Dane z aplikacji zewnętrznej będą dostępne w takim zakresie, jaki operator umożliwia technicznie i umownie. Sam fakt posiadania SIEM nie daje dostępu do wszystkich zdarzeń systemu biletowego.
Jak podzielić zadania między dyrektora, IT i dostawców
Dyrektor wyznacza priorytety, zatwierdza zasoby i nadzoruje wykonanie. Właściciel usługi określa, jaki poziom przestoju jest akceptowalny i co ma działać po odtworzeniu. Administrator wykonuje prace techniczne. Dostawca odpowiada za uzgodniony fragment usługi. IOD uczestniczy w sprawach ochrony danych osobowych w ramach swoich zadań.
W praktyce dobrze działa prosta tabela: zadanie, wykonawca, osoba podejmująca decyzję, termin, rezultat i sposób sprawdzenia. Przy zadaniu „odebranie dostępu pracownikowi” warto wskazać zarówno osobę zgłaszającą zmianę zatrudnienia, jak i administratora wykonującego blokadę. Bez pierwszej informacji drugi może nie wiedzieć, że powinien działać.
Powierzenie obsługi zewnętrznej firmie wymaga utrzymania nadzoru. Dla kierowników podmiotów kluczowych i ważnych KSC wprost określa odpowiedzialność również przy powierzeniu obowiązków innym osobom. Art. 8c–8d KSC.
Co przygotować do audytu i codziennego nadzoru
Uporządkuj dokumentację według spraw, które trzeba potwierdzić. Przy kontroli dostępów przydadzą się aktualny wykaz kont, zatwierdzenia uprawnień i przykładowe zgłoszenie odejścia pracownika. Przy kopiach zapasowych — zakres ochrony, ostatnie wyniki zadań i protokół odtworzenia. Przy monitoringu — lista źródeł, przerwy w dostarczaniu danych i przykłady obsłużonych alarmów.
Jedno miejsce na dokumenty nie oznacza dostępu dla wszystkich. Raporty mogą zawierać informacje ułatwiające atak lub dane osobowe. Dyrektor potrzebuje podsumowania i decyzji, a administrator — szczegółów niezbędnych do wykonania pracy.
Jeżeli KRI ma zastosowanie, uwzględnij coroczny audyt wewnętrzny bezpieczeństwa informacji wynikający z §19 ust. 2 pkt 14. Dzienniki systemów objęte §20 przechowuje się przez okres określony w przepisach odrębnych, a przy ich braku przez dwa lata. Krótszy okres szybkiego wyszukiwania w SIEM wymaga odpowiednio zaprojektowanego archiwum. KRI, §§19–20.
O co zapytać przed podpisaniem umowy na monitoring
Poproś o wskazanie objętych systemów, sposobu kontroli dopływu danych i godzin pracy specjalistów. Ustal, kto może blokować konto lub odłączać urządzenie, kto odtwarza usługę i jak rozliczane są prace poza abonamentem.
Sprawdź też, jak otrzymasz własne dane i dokumentację po zakończeniu współpracy. Instytucja powinna znać zasady eksportu, terminy, formaty oraz sposób usunięcia dostępów dostawcy. Te ustalenia pomagają utrzymać ciągłość obsługi przez cały okres umowy.
Co uwzględnić w planie na 2027 rok
Na dzień aktualizacji artykułu rozporządzenie KRI z 2024 r. obowiązuje, a karta aktu w ELI wskazuje 23 lutego 2027 r. jako datę uchylenia. W harmonogramie należy więc zaplanować przegląd podstawy prawnej i aktualizację zakresu audytu. Nie warto kopiować starej checklisty na kolejny rok bez sprawdzenia zmian. Status aktu KRI w ELI.
Jak DataOne może pomóc instytucji kultury
Rozmowę możemy rozpocząć od usług, które muszą działać w Twojej instytucji, oraz od zaleceń z ostatniego audytu. Uzgodnimy, które źródła danych można objąć monitoringiem, jakie informacje powinien otrzymywać dyrektor i jak podzielić działania z obecnym administratorem oraz dostawcami aplikacji.
Porozmawiaj z DataOne o ochronie instytucji. Przygotuj ogólną listę systemów i trzy najważniejsze trudności. Na tej podstawie łatwiej ustalimy zakres prac, kolejność i potrzebne zasoby, w tym zadania wykraczające poza sam monitoring.