Polityka bezpieczeństwa informacji: wzór i co musi zawierać
Polityka bezpieczeństwa informacji to dokument, w którym firma zapisuje, jakie informacje chroni, przed czym, kto za to odpowiada i jakie zasady obowiązują pracowników. Obejmuje wszystkie informacje firmy, nie tylko dane osobowe, dla których prowadzi się osobną politykę ochrony danych. Niżej jest wzór do pobrania.
Czym polityka bezpieczeństwa informacji różni się od polityki ochrony danych osobowych?
Oba dokumenty różnią się zakresem chronionego zasobu. Polityka bezpieczeństwa informacji dotyczy wszystkich informacji o wartości dla firmy: know-how, cenników, kodu, danych klientów i danych osobowych. Polityka ochrony danych osobowych dotyczy wyłącznie danych osobowych i wynika wprost z RODO.
| Kryterium | Polityka bezpieczeństwa informacji | Polityka ochrony danych osobowych |
|---|---|---|
| Zakres | Wszystkie informacje firmy | Dane osobowe |
| Podstawa | Decyzja firmy, wymagania kontrahentów i norm | RODO, art. 24 ust. 2 |
| Chroniona wartość | Tajemnica przedsiębiorstwa, ciągłość działania | Prawa osób, których dane dotyczą |
| Typowe załączniki | Klasyfikacja informacji, zasady haseł, plan ciągłości | Rejestr czynności, procedura naruszeń, klauzule |
| Kto nadzoruje | Osoba wskazana w firmie | Administrator, w razie potrzeby inspektor ochrony danych |
W małej firmie oba dokumenty bywają połączone. To dopuszczalne, pod warunkiem że część dotycząca danych osobowych jest wyraźnie wydzielona i daje się pokazać przy kontroli osobno.
Co musi zawierać polityka bezpieczeństwa informacji?
Polityka bezpieczeństwa informacji powinna zawierać dziewięć elementów, które razem odpowiadają na pytanie, jak firma chroni informacje i czym to wykaże. RODO nie narzuca spisu treści, ale art. 32 ust. 1 wymienia wprost środki, których oczekuje: pseudonimizację i szyfrowanie, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, szybkie przywrócenie dostępu po incydencie oraz regularne testowanie skuteczności.
- Zakres i cel: jakie informacje obejmuje polityka i kogo dotyczy, łącznie ze współpracownikami i podwykonawcami.
- Klasyfikacja informacji: kategorie od jawnych po objęte tajemnicą przedsiębiorstwa, z zasadą postępowania dla każdej.
- Role i odpowiedzialność: kto zatwierdza, kto nadzoruje, kto nadaje dostępy.
- Kontrola dostępu: zasada minimalnego dostępu, nadawanie i odbieranie uprawnień, przegląd uprawnień.
- Zasady pracy: hasła, uwierzytelnianie dwuskładnikowe, sprzęt prywatny, praca zdalna, poczta.
- Zabezpieczenia techniczne: szyfrowanie, kopie zapasowe, testy odtworzenia, aktualizacje.
- Dostawcy: wymagania wobec podmiotów przetwarzających i powierzenie przetwarzania.
- Incydenty: jak zgłaszać, kto prowadzi, jakie terminy obowiązują.
- Przegląd i szkolenia: data przeglądu, zasady szkolenia i potwierdzanie zapoznania z polityką.
Jak polityka ma się do NIS2?
Dyrektywa NIS2 wymienia minimalny zestaw środków zarządzania ryzykiem, który dla podmiotów objętych jej zakresem w praktyce wyznacza spis treści polityki. Artykuł 21 ust. 2 wymaga co najmniej dziesięciu elementów, od polityki analizy ryzyka po uwierzytelnianie wieloskładnikowe.
- Polityka analizy ryzyka i bezpieczeństwa systemów informatycznych.
- Obsługa incydentu.
- Ciągłość działania, w tym zarządzanie kopiami zapasowymi, przywracanie działania i zarządzanie kryzysowe.
- Bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi dostawcami i usługodawcami.
- Bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemów, z postępowaniem w przypadku podatności.
- Polityki i procedury oceny skuteczności środków zarządzania ryzykiem.
- Podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa.
- Polityki i procedury stosowania kryptografii oraz szyfrowania.
- Bezpieczeństwo zasobów ludzkich, polityka kontroli dostępu i zarządzanie aktywami.
- W stosownych przypadkach uwierzytelnianie wieloskładnikowe lub ciągłe i zabezpieczona łączność wewnętrzna.
W Polsce dyrektywę wdraża ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r. Czy firma jest podmiotem kluczowym albo ważnym, rozstrzyga się na podstawie tej ustawy, nie samej dyrektywy. Firma spoza zakresu może potraktować listę z art. 21 jako sprawdzoną strukturę dokumentu. Motywy dyrektywy wskazują przy tym normy europejskie i międzynarodowe, w tym serię ISO/IEC 27000, jako punkt odniesienia dla środków bezpieczeństwa.
Jak wdrożyć politykę, żeby nie została na dysku?
Politykę wdraża się przez potwierdzenie zapoznania, przegląd w wyznaczonej dacie i powiązanie z konkretnymi procedurami. Dokument, którego nikt nie potwierdził i do którego nic nie odsyła, nie jest dowodem wdrożenia środków organizacyjnych.
- 1
Zatwierdzenie
Polityka wchodzi w życie z datą i wersją. Wersja jest potrzebna, żeby dało się wykazać, co obowiązywało w danym dniu.
- 2
Zapoznanie
Każda osoba potwierdza zapoznanie. Zapis potwierdzenia z datą jest częścią rozliczalności.
- 3
Przełożenie na procedury
Zasada z polityki ma mieć odpowiednik w procedurze: nadawanie dostępów, zgłaszanie incydentu, kopie zapasowe.
- 4
Szkolenie
Krótkie, przy wdrożeniu i po każdej istotnej zmianie. Cyberhigiena jest wymieniona wprost w NIS2.
- 5
Przegląd
Raz w roku i po każdym incydencie. RODO wymaga poddawania środków przeglądom i uaktualniania ich w razie potrzeby.
Jak prowadzić to w EXCORE?
W EXCORE moduł Polityki firmowe trzyma regulaminy, politykę RODO, instrukcje BHP i politykę bezpieczeństwa IT razem z potwierdzeniami zapoznania. System zapisuje potwierdzenie z datą, wersją i adresem IP, a zmiana wersji ustawia wszystkim status do zapoznania.
- Polityka ma tytuł, kategorię, wersję, datę obowiązywania, datę ostatniej aktualizacji i przełącznik, czy wymaga zapoznania.
- Nowa polityka i nowa wersja wysyłają zespołowi powiadomienie, a osoby, które nie potwierdziły zapoznania, dostają przypomnienia. Administrator widzi listę potwierdzeń: ilu jest wszystkich, ilu zaakceptowało i kto został.
- Załączniki do 20 MB, notatki wewnętrzne widoczne tylko dla administratorów.
- Politykę można dezaktywować bez utraty dotychczasowych potwierdzeń albo usunąć trwale razem z nimi.
- Przy polityce można założyć zadanie, na przykład przegląd roczny z terminem.
Obok stoją rejestr ryzyk, rejestr systemów i audyty, w których zapisuje się kontrole wynikające z polityki. Przegląd roczny warto założyć jako zadanie przy polityce, z terminem i osobą odpowiedzialną.
Wzór do pobrania
Polityka bezpieczeństwa informacji
POLITYKA BEZPIECZEŃSTWA INFORMACJI
[nazwa firmy], NIP [NIP], z siedzibą w [miejscowość]
- Wersja: [v1]
- Obowiązuje od: [data]
- Zatwierdził: [imię i nazwisko, funkcja]
- Data następnego przeglądu: [data]
§ 1. Cel i zakres
- Polityka określa zasady ochrony informacji przetwarzanych w [nazwa firmy], niezależnie od formy i nośnika.
- Polityka obowiązuje pracowników, współpracowników, stażystów oraz podwykonawców mających dostęp do informacji firmy.
- Ochronie podlegają w szczególności: informacje stanowiące tajemnicę przedsiębiorstwa, dane osobowe, dane kontrahentów, dokumentacja handlowa i dokumentacja techniczna.
§ 2. Klasyfikacja informacji
- Jawne: przeznaczone do publikacji.
- Wewnętrzne: dostępne dla osób w firmie, nieprzeznaczone na zewnątrz.
- Poufne: dostępne wyłącznie wskazanym rolom; obejmują dane osobowe i warunki handlowe.
- Tajemnica przedsiębiorstwa: objęte działaniami w celu utrzymania w poufności; lista w załączniku nr 1.
§ 3. Role i odpowiedzialność
- Za politykę odpowiada: [imię i nazwisko, funkcja].
- Nadawanie i odbieranie uprawnień: [rola].
- Zgłoszenia incydentów przyjmuje: [imię i nazwisko lub adres].
- Każdy pracownik odpowiada za przestrzeganie zasad z § 4 i § 5.
§ 4. Kontrola dostępu
- Dostęp nadaje się w zakresie minimalnym, niezbędnym do wykonywania obowiązków.
- Uprawnienia są przeglądane nie rzadziej niż [raz na rok] oraz przy każdej zmianie stanowiska.
- Dostęp odbiera się w dniu zakończenia współpracy.
- Konta są imienne. Kont współdzielonych nie stosuje się.
§ 5. Zasady pracy z informacją
- Hasła: minimalna długość [12] znaków, unikalne dla każdej usługi, przechowywane w menedżerze haseł.
- Uwierzytelnianie dwuskładnikowe jest obowiązkowe dla: [wykaz systemów].
- Nośniki przenośne: [zasada].
- Praca zdalna: [zasada dotycząca sieci i urządzeń].
- Korzystanie z narzędzi AI: [zasada; jakich danych nie wolno wprowadzać].
§ 6. Zabezpieczenia techniczne
- Szyfrowanie: [zakres, np. dyski stacji roboczych, transmisja].
- Kopie zapasowe: częstotliwość [dzienna], miejsce [opis], okres przechowywania [okres].
- Test odtworzenia kopii wykonuje się nie rzadziej niż [raz na pół roku] i dokumentuje.
- Aktualizacje systemów i oprogramowania: [zasada i odpowiedzialny].
§ 7. Dostawcy i powierzenie przetwarzania
- Przed rozpoczęciem współpracy weryfikuje się zabezpieczenia dostawcy w zakresie [opis].
- Powierzenie przetwarzania danych osobowych następuje wyłącznie na podstawie umowy.
- Rejestr dostawców mających dostęp do informacji prowadzi: [rola].
§ 8. Incydenty
- Każdy zgłasza podejrzenie naruszenia niezwłocznie do [adres lub osoba].
- Zgłoszenie w dobrej wierze nie jest podstawą do negatywnych konsekwencji.
- Naruszenie ochrony danych osobowych obsługuje się zgodnie z procedurą naruszeń, z uwzględnieniem terminu zgłoszenia do organu nadzorczego.
- Rejestr incydentów prowadzi: [rola].
§ 9. Szkolenia i potwierdzenia
- Każda osoba potwierdza zapoznanie z polityką przed uzyskaniem dostępu do systemów.
- Szkolenie z zasad bezpieczeństwa odbywa się przy wdrożeniu oraz po każdej istotnej zmianie polityki.
- Potwierdzenia przechowuje: [rola].
§ 10. Przegląd
- Polityka jest przeglądana nie rzadziej niż raz w roku oraz po każdym incydencie o istotnym znaczeniu.
- Zmiana wersji polityki wymaga ponownego potwierdzenia zapoznania przez wszystkich.
Załączniki
- Wykaz informacji stanowiących tajemnicę przedsiębiorstwa.
- Wykaz systemów i osób odpowiedzialnych.
- Procedura zgłaszania incydentów.
---
Dokument wymaga dostosowania do sytuacji firmy. Treść i zgodność z przepisami warto potwierdzić z prawnikiem lub inspektorem ochrony danych.
W EXCORE ten wzór działa jako szablon dokumentu. Umów prezentację
Pytania
Czy polityka bezpieczeństwa informacji jest obowiązkowa?
Nie ma przepisu nakazującego dokument o tej nazwie każdej firmie. RODO w art. 24 ust. 2 wymaga wdrożenia odpowiednich polityk ochrony danych, jeżeli jest to proporcjonalne do czynności przetwarzania, a podmioty objęte NIS2 muszą mieć środki z art. 21 ust. 2 dyrektywy.
Polityka bezpieczeństwa informacji a polityka ochrony danych osobowych: czy można mieć jeden dokument?
Można, jeśli część dotycząca danych osobowych jest wyraźnie wydzielona. Przy kontroli trzeba pokazać, jak realizowane są obowiązki z RODO, więc rozdzielenie ułatwia wykazanie zgodności.
Jak często aktualizować politykę?
Raz w roku i po każdym istotnym incydencie lub zmianie w systemach. RODO wymaga, aby środki były w razie potrzeby poddawane przeglądom i uaktualniane.
Czy wystarczy, że polityka leży na dysku?
Nie. Bez potwierdzeń zapoznania i bez procedur, które ją wykonują, trudno wykazać, że środki organizacyjne zostały faktycznie wdrożone. Tekst ma charakter informacyjny i nie zastępuje porady prawnika ani inspektora ochrony danych.
Źródła
- RODO, rozporządzenie (UE) 2016/679, art. 24, 30, 32 (EUR-Lex)
- Dyrektywa (UE) 2022/2555 (NIS2), art. 21 ust. 2 (EUR-Lex)
- Ustawa o zwalczaniu nieuczciwej konkurencji, art. 11 (tekst jednolity Dz.U. 2026 poz. 85)
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
- UODO: przewodnik EROD dla MŚP
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację