Cyberbezpieczeństwo w administracji publicznej
Cyberbezpieczeństwo w administracji publicznej wymaga przeszkolonych osób i udokumentowanych czynności. W 17 modułach szkolenia VOD uczestnik przygotowuje się do walidacji kwalifikacji rynkowej „Zarządzanie cyberbezpieczeństwem – specjalista” na czwartym poziomie Polskiej Ramy Kwalifikacji. Zestawy zawierają wzory i arkusze, w których urząd wykonuje i dokumentuje przegląd uprawnień, test odtwarzania, audyt wewnętrzny i inne czynności wymagane przez ustawę o krajowym systemie cyberbezpieczeństwa (KSC) i rozporządzenie o Krajowych Ramach Interoperacyjności (KRI).
Szkolenie VOD w 17 modułach · 13 zestawów XLSX, DOCX, PPTX i PDF · Stan prawny na 19 października 2026 roku · Data aktualizacji 26.10.2026
Zestawy wzorów i arkuszy dla urzędu
Zestawy zawierają wzory i arkusze do dokumentacji SZBI urzędu, czyli zapisów z przeglądów, testów i audytów. Komplet 13 zestawów to 50 plików XLSX, DOCX, PPTX i PDF, a pliki XLSX mają razem 115 arkuszy. Każda karta zawiera link do strony zestawu z podglądem układu arkuszy i dokumentów oraz spisem zawartości w PDF.
Bezpieczeństwo IT
Przegląd uprawnień do systemów IT
Wykaz kont z pięcioma przesłankami do decyzji i formularz decyzji właściciela systemu. Wersja „Przegląd uprawnień i kontrola SoD” zawiera dodatkowo macierz rozdziału obowiązków, rejestr wyjątków i porównanie z poprzednim przeglądem.
Bezpieczeństwo IT · XLSX i DOCX · dwie wersje
Incydenty
Obsługa incydentu bezpieczeństwa w urzędzie
Sześć kart działań do wydruku, formularz zgłoszenia i arkusz z chronologią incydentu i terminami zgłoszeń wyliczanymi według statusu urzędu. Wersja „Obsługa incydentów i działania korygujące” zawiera dodatkowo macierz eskalacji, wzór raportu końcowego i rejestr incydentów i działań korygujących.
Incydenty · XLSX i DOCX · dwie wersje
Ciągłość działania
Test odtwarzania danych i systemów
Pomiar czasu odtworzenia, utraty danych i kompletności, porównany z parametrami procesów urzędu, oraz protokół testu z zatwierdzeniem. Wersja „Program testów odtwarzania” zawiera dodatkowo osiem wariantów scenariuszy, porównanie z poprzednim testem, rejestr usterek i raport dla kierownictwa.
Ciągłość działania · XLSX i DOCX · dwie wersje
Bezpieczeństwo IT
Ocena dostawcy usług IT
Kwestionariusz z 49 pytaniami, kryterium oceny przy każdym pytaniu i osobne pola na deklarację dostawcy i dowód sprawdzony przez urząd. Wersja „Ocena i nadzór nad dostawcą” zawiera dodatkowo porównanie z poprzednią oceną, rejestr dowodów z terminami ważności, zależności od usług i rekomendację.
Bezpieczeństwo IT · XLSX i DOCX · dwie wersje
KSC i KRI
Mapa dowodów KSC i KRI
Wymagania ustawy o KSC i rozporządzenia KRI dobrane do statusu urzędu, z rejestrem dowodów i wykazem braków.
KSC i KRI · XLSX
KSC i KRI
Audyt wewnętrzny bezpieczeństwa informacji
Audyt wewnętrzny według normy ISO/IEC 27001 (punkt 9.2), z kryteriami dodatkowymi z rozporządzenia KRI i ustawy o KSC. Wersja „Audyt wewnętrzny” obejmuje pojedynczy audyt, a wersja „Program audytów wewnętrznych” program audytów w cyklu.
KSC, KRI i ISO/IEC 27001 · XLSX i DOCX · dwie wersje
KSC i KRI
Przegląd skuteczności SZBI
Cele zabezpieczeń z miernikami, rejestr problemów z decyzjami o poprawie i podsumowanie przeglądu dla kierownictwa.
KSC i KRI · XLSX i DOCX
Bezpieczeństwo IT
Inspekcja serwerowni
Arkusz z 50 punktami kontroli, porównanie odczytów z parametrami urzędu i protokół inspekcji z planem usprawnień.
Bezpieczeństwo IT · XLSX i PDF
Ciągłość działania
Awaria zasilania i blackout w urzędzie
Zależności procesów od zasilania, czas pracy na zasilaniu rezerwowym w czterech scenariuszach i plan działań. Wersja „Zależności od zasilania i ćwiczenie” zawiera dodatkowo kartę ośmiu decyzji i grę sztabową.
Ciągłość działania · XLSX i DOCX · dwie wersje
Incydenty
Ćwiczenie ransomware dla urzędu
Scenariusz ataku w pięciu fazach, 12 komunikatów (injectów), osiem kart decyzji, lista obserwacji i wzór raportu z planem doskonalenia.
Incydenty · PPTX i DOCX
Bezpieczeństwo IT
Odbiór systemu IT
Kryteria bezpieczeństwa i eksploatacji, lista dokumentów i testów od dostawcy, rejestr odstępstw i protokół z decyzją komisji.
Bezpieczeństwo IT · XLSX i DOCX
Ciągłość działania
Praca urzędu bez systemów IT
Instrukcja warsztatu z komórkami, karta procesu, formularz procedury awaryjnej i rejestr z porównaniem czasu uruchomienia procedury z RTO procesu. Wersja „Procedury i rozwiązania awaryjne oraz ich sprawdzanie” zawiera dodatkowo kartę zasobów, rejestr sprawdzeń z terminami, scenariusz gry sztabowej i raport dla kierownictwa.
Ciągłość działania · XLSX i DOCX · dwie wersje
Zarządzanie
Raport cyberbezpieczeństwa dla kierownictwa
Katalog 41 mierników z wyników pozostałych zestawów i danych urzędu, ryzyka, działania z potrzebami budżetowymi, rejestr decyzji i raport na dwie strony A4 z prezentacją.
Zarządzanie · XLSX i PPTX
Zarządzanie
Komplet 13 zestawów
Wszystkie zestawy dla urzędu w jednym zamówieniu: zestawy dwuwersyjne w wersji pełnej i zestawy jednowersyjne.
Zarządzanie · XLSX, DOCX i PPTX · 13 zestawów
Ta strona jest dla Ciebie, jeśli
Odpowiadasz za systemy IT w starostwie, urzędzie gminy albo innej jednostce samorządu i przygotowujesz audyt wewnętrzny, wymagany przez rozporządzenie KRI nie rzadziej niż raz na rok (§ 19 ust. 2 pkt 14). W zestawie „Audyt wewnętrzny bezpieczeństwa informacji” audyt jest prowadzony według punktu 9.2 normy ISO/IEC 27001, z kryteriami dodatkowymi z rozporządzenia KRI i ustawy o KSC, a w „Mapie dowodów KSC i KRI” wymagania są połączone z dowodami, które masz już w urzędzie.
Wdrażasz SZBI w jednostce, która jest podmiotem ważnym i podmiotem publicznym. Taka jednostka musi mieć system zgodny z załącznikiem nr 4 do ustawy o KSC (art. 8 ust. 3), w tym testować kopie zapasowe, testować procedurę na wypadek awarii lub incydentu oraz przeglądać SZBI co najmniej raz w roku.
Koordynujesz przegląd uprawnień, ocenę dostawcy usług IT albo odbiór nowego systemu i potrzebujesz formularza decyzji do podpisu właściciela systemu albo komisji odbioru.
Przygotowujesz kierownika jednostki do decyzji o SZBI. Kierownik podmiotu kluczowego lub ważnego odpowiada za wykonywanie obowiązków z zakresu cyberbezpieczeństwa (art. 8c ustawy o KSC) i raz w roku kalendarzowym przechodzi szkolenie (art. 8e).
Chcesz potwierdzić wiedzę z zarządzania cyberbezpieczeństwem kwalifikacją rynkową włączoną do Zintegrowanego Systemu Kwalifikacji. Szkolenie VOD „Zarządzanie cyberbezpieczeństwem – poziom Specjalista” obejmuje zakres wiedzy tej kwalifikacji.
Jakie błędy w bezpieczeństwie informacji wykrywa NIK w urzędach gmin i starostwach?
Najwyższa Izba Kontroli stwierdziła nieprawidłowości w organizacji bezpieczeństwa informacji i ciągłości działania systemów w 22 z 24 skontrolowanych urzędów. NIK skontrolowała 17 urzędów gmin i siedem starostw powiatowych, a 17 kwietnia 2025 roku opublikowała informację o wynikach kontroli. W pięciu urzędach Izba oceniła ten obszar negatywnie.
Najwięcej braków dotyczyło ciągłości działania. W 17 urzędach brakowało polityki ciągłości działania, a połowa urzędów nie opracowała planów zapewnienia ciągłości ani planów odtworzeniowych. W urzędach, które miały takie plany, nie testowano pięćdziesięciu ośmiu procent z nich. NIK wskazała, że bez testu brakuje potwierdzenia, że po awarii da się szybko przywrócić działanie systemów.
Podobnie wyglądała sytuacja kopii zapasowych i kont. W siedmiu urzędach kopie przechowywano w serwerowni, czyli w miejscu wytwarzania danych, albo w miejscu dostępnym dla osób nieupoważnionych, a w sześciu nie testowano kopii. W 15 urzędach nie zablokowano kont 52 byłym pracownikom spośród 240 osób z próby, które zakończyły zatrudnienie. Plan odtworzenia bez testu i przegląd uprawnień bez zapisu decyzji nie są dowodem oczekiwanym przez kontrolerów.
Wyniki kontroli dotyczą stanu sprzed 3 kwietnia 2026 roku. Od tego dnia, na mocy znowelizowanej ustawy o KSC, podmioty publiczne należą do podmiotów kluczowych i ważnych, a urząd, który wtedy spełniał przesłanki, ma 12 miesięcy na wdrożenie obowiązków, czyli czas do 3 kwietnia 2027 roku (art. 33 ust. 1 ustawy nowelizującej). Starostwo powiatowe jest podmiotem kluczowym niezależnie od wielkości, a urząd gminy wtedy, gdy na 1 stycznia danego roku zatrudnia co najmniej 50 osób w przeliczeniu na pełne etaty. Opisujemy status urzędu, terminy i przepisy na stronie Obowiązki urzędu z ustawy o KSC i rozporządzenia KRI.
Zestawy odpowiadają obowiązkom z ustawy o KSC i rozporządzenia KRI
Cyberbezpieczeństwo w administracji publicznej jest uregulowane w dwóch aktach. Starostwa i urzędy gmin zatrudniające co najmniej 50 osób są podmiotami kluczowymi na mocy ustawy o krajowym systemie cyberbezpieczeństwa. Każdy podmiot realizujący zadania publiczne musi mieć system zarządzania bezpieczeństwem informacji (SZBI) i co roku przeprowadzać audyt wewnętrzny zgodnie z rozporządzeniem o Krajowych Ramach Interoperacyjności.
Każdy zestaw dotyczy czynności, którą urząd wykonuje i dokumentuje w SZBI, na przykład testu odtworzenia z kopii zapasowej (załącznik nr 4 do ustawy o KSC, część I pkt 11) albo audytu wewnętrznego (§ 19 ust. 2 pkt 14 rozporządzenia KRI). Strona Obowiązki urzędu z ustawy o KSC i rozporządzenia KRI zawiera tabelę przepisów dla każdego zestawu, osobno dla podmiotu kluczowego, podmiotu ważnego publicznego i rozporządzenia KRI. Rozporządzenie KRI obowiązuje do 22 lutego 2027 roku, a licencjobiorcy otrzymają bez dopłaty zaktualizowane pliki zestawów w ciągu dziesięciu dni od ogłoszenia rozporządzenia, które je zastąpi. W zestawie dokumentuje się wykonanie czynności, a ocena, czy urząd spełnia obowiązek, należy do jednostki.
Jak pracujesz z zestawem?
Sprawdzasz zawartość przed zakupem.
Na każdej stronie zestawu jest podgląd układu arkuszy i dokumentów oraz spis zawartości w PDF z listą plików i arkuszy.
Zamawiasz formularzem na stronie zestawu.
Wystawiamy fakturę proforma na licencjobiorcę wskazanego w zamówieniu, a po zaksięgowaniu wpłaty wysyłamy link do paczki z plikami i przewodnikiem.
Wypełniasz arkusz według instrukcji.
W instrukcji kolejne kroki są opisane po kolei. Wiersze z identyfikatorem „PRZYKŁAD” są wzorem wypełniania i nie są wliczane do podsumowania, a nadpisujesz je, zaczynając od identyfikatora. Wypełniasz pole bez wartości słowem „BRAK”, bo puste pole jest liczone jako brak danych.
Zachowujesz ślad.
W formularzach decyzji i protokołach w DOCX zapisujesz, kto, kiedy i na jakiej podstawie zdecydował. W arkuszu podsumowania wskaźniki są liczone z wpisanych danych, a formuły są zabezpieczone przed przypadkowym nadpisaniem ochroną arkuszy bez hasła.
Co urząd dostaje razem z plikami zestawu?
Każde zamówienie zawiera przewodnik po zestawach, czyli jeden plik HTML przygotowany dla licencjobiorcy. W przewodniku są opisane sytuacje, w których warto sięgnąć po zestaw, i kolejne kroki pracy, a przy każdym kroku jest przycisk do otwarcia właściwego pliku. Przewodnik zawiera dla każdego zestawu podpowiedzi z instrukcji, opis tego, czego zestaw nie obejmuje, oraz definicje pojęć z wyszukiwarką.
- Od razu po rozpakowaniu. Otwierasz przewodnik z udziału sieciowego, z intranetu albo z dysku, bez instalacji, zakładania kont użytkowników i wprowadzania struktury organizacyjnej.
- Dane zostają w urzędzie. Korzystasz z przewodnika bez połączenia z internetem, a informacje wpisane do arkuszy nie są w nim zapisywane.
- Jedna paczka na licencję. Przy kolejnym zamówieniu otrzymujesz przewodnik, który obejmuje wszystkie zestawy z licencji urzędu.
- Instrukcja dla informatyka. Paczka zawiera opis udostępnienia przewodnika pracownikom, także w urzędzie, który przechowuje dokumenty w SharePoincie.
Licencja, zamówienie i dostosowanie plików
- Licencjobiorca. Licencja obejmuje jeden podmiot wskazany w zamówieniu i na fakturze (nazwa i NIP). Jego pracownicy i komórki wewnętrzne korzystają z plików, a licencja jednostki samorządu terytorialnego obejmuje urząd, który ją obsługuje. Jednostki podległe, nadzorowane i powiązane potrzebują własnej licencji. Nie można przekazywać plików ani ich zmienionych wersji innym jednostkom, odsprzedawać ich, użyczać ani publikować jako niewypełnionych wzorów, także w Biuletynie Informacji Publicznej. Licencja nie obejmuje świadczenia usług doradczych ani szkoleniowych z użyciem zestawu.
- Edycja. Możesz zmieniać pliki na użytek wewnętrzny. Zdejmujesz ochronę arkusza bez hasła, a w instrukcji każdego zestawu opisano, które elementy zmieniać ostrożnie.
- Ceny. Każdy zestaw ma cenę dla jednostek sektora publicznego oraz cenę standardową. Stosujemy cenę dla jednostek sektora publicznego wobec jednostek sektora finansów publicznych, w tym szkół i uczelni publicznych, a sprawdzamy status licencjobiorcy po NIP w rejestrach publicznych (§ 4 regulaminu). Szkoły i uczelnie niepubliczne oraz instytuty badawcze płacą cenę standardową.
- Komplet i rabaty. Komplet 13 zestawów kosztuje 2699 zł + VAT (cena dla jednostek sektora publicznego) albo 8097 zł + VAT (cena standardowa). Przy 3–5 różnych zestawach w jednym zamówieniu rabat wynosi 10 procent, a od 6 zestawów 20 procent. Kolejne jednostki tej samej gminy lub powiatu, które kupują ten sam zestaw w jednym zamówieniu, płacą od drugiej jednostki połowę ceny. Subskrybenci Davidson.pl mają 10 procent rabatu na zestawy i zestaw „Inspekcja serwerowni” za 49 zł + VAT, zaliczane na kolejny zakup w ciągu 90 dni (subskrypcja Davidson.pl). Rabaty się nie łączą, obowiązuje najwyższy (§ 4 regulaminu).
- Zamówienie. Wysyłamy fakturę proforma w ciągu dwóch dni roboczych od złożenia zamówienia, a link do paczki z plikami i przewodnikiem w ciągu dwóch dni roboczych od zaksięgowania wpłaty. Link jest aktywny przez 30 dni, a przez 12 miesięcy możesz poprosić o ponowne pobranie plików. Jednostka, która wymaga innej formy zamówienia albo umowy, może napisać na zapytania@davidson.pl.
- Aktualizacja. Po ogłoszeniu rozporządzenia, które zastąpi rozporządzenie KRI, licencjobiorcy otrzymają zaktualizowane pliki bez dopłaty.
- Dostosowanie. Wykonujemy odpłatnie, z indywidualną wyceną, automatyzację wykraczającą poza zestaw, na przykład wykrywanie konfliktów rozdziału obowiązków na podstawie listy funkcji uzgodnionej z jednostką.
Dwadzieścia lat projektów w sektorach o najwyższych wymaganiach odporności operacyjnej.
Ponad 250 projektów dla instytucji finansowych, operatorów infrastruktury krytycznej, podmiotów administracji publicznej i organizacji przemysłowych w Polsce i Europie.
Treść strony opracowała
Renata Davidson
i Prezes Zarządu
Renata Davidson jest ekspertką do spraw ciągłości działania i cyberbezpieczeństwa w Davidson Consulting. Posiada certyfikaty PECB ISO 22301:2012 Master i PECB Lead Cybersecurity Manager. Jest ekspertką techniczną do spraw normy ISO 22301 w Polskim Centrum Akredytacji i wykładowczynią Akademii Marynarki Wojennej.
Pytania i odpowiedzi
Od którego zestawu zacząć?
Jeśli urząd nie wie, które wymagania go dotyczą i jakie dowody już ma, Mapa dowodów KSC i KRI jest pierwszym zestawem. W Mapie wymagania ustawy o KSC i rozporządzenia KRI są dobrane do statusu urzędu, a braki trafiają do wykazu. Urząd usuwa część braków, na przykład brak testu odtworzenia albo przeglądu uprawnień, z pomocą pozostałych zestawów. Status urzędu i terminy są opisane na stronie o obowiązkach urzędu z ustawy o KSC.
Czy zakup zestawu oznacza spełnienie obowiązku z ustawy o KSC?
Zestaw zawiera arkusze i wzory, w których urząd wykonuje czynność i zapisuje jej wynik. Urząd spełnia obowiązek przez wykonanie przeglądu, testu albo audytu i zachowanie dokumentów. Osoby odpowiedzialne w urzędzie podejmują decyzje merytoryczne, na przykład o tym, jakie uprawnienia są właściwe dla stanowiska, a w zestawie zapisuje się je razem z uzasadnieniem.
Czym zestawy różnią się od szkolenia VOD?
Zestaw jest przeznaczony do wykonania jednej czynności w urzędzie, na przykład przeglądu uprawnień albo inspekcji serwerowni. Szkolenie VOD jest przeznaczone dla jednej osoby: uczestnik zdobywa wiedzę z zarządzania cyberbezpieczeństwem i przygotowuje się do walidacji kwalifikacji rynkowej „Zarządzanie cyberbezpieczeństwem – specjalista”. Można łączyć obie formy, a licencja zestawu i dostęp do szkolenia są zamawiane osobno.
Ile kosztują zestawy i jak je zamówić?
Cena dla jednostek sektora publicznego wynosi od 149 do 359 zł + VAT, a cena standardowa od 447 do 1077 zł + VAT. Stosujemy cenę dla jednostek sektora publicznego wobec jednostek sektora finansów publicznych, w tym szkół i uczelni publicznych, a sprawdzamy status licencjobiorcy po NIP (§ 4 regulaminu). Szkoły i uczelnie niepubliczne oraz instytuty badawcze płacą cenę standardową. Zestawy w dwóch wersjach mają osobną cenę każdej wersji. Komplet 13 zestawów kosztuje 2699 zł + VAT (cena dla jednostek sektora publicznego), a przy kilku różnych zestawach w jednym zamówieniu i przy kolejnych jednostkach tej samej gminy lub powiatu obowiązują rabaty (§ 4 regulaminu). Składasz zamówienie formularzem na stronie zestawu, wysyłamy fakturę proforma w ciągu dwóch dni roboczych, a link do paczki z plikami i przewodnikiem w ciągu dwóch dni roboczych od zaksięgowania wpłaty.
Czy jedna licencja obejmuje jednostki podległe?
Nie. Licencja obejmuje jeden podmiot wskazany na fakturze, jego pracowników i komórki wewnętrzne, na przykład wydziały i referaty. Jednostki podległe, nadzorowane i powiązane, odrębne organizacyjnie, potrzebują własnej licencji. Licencja jednostki samorządu terytorialnego obejmuje urząd, który ją obsługuje, a jednostka bez własnego NIP, korzystająca z NIP podmiotu macierzystego, jest objęta jego licencją. Możesz zmieniać pliki i łączyć je z własnymi dokumentami, ale wyłącznie na potrzeby wewnętrzne licencjobiorcy. Nie możesz przekazywać plików ani ich zmienionych wersji innym jednostkom, odsprzedawać ich, użyczać ani publikować jako niewypełnionych wzorów, także w Biuletynie Informacji Publicznej. Możesz okazać wypełnione dokumenty audytorom i organom kontroli. Warunki są opisane w regulaminie zamówień i licencji.
Czy przewodnik po zestawach trzeba instalować albo konfigurować?
Przewodnik to jeden plik HTML, który otwierasz w przeglądarce razem z folderem plików zestawów. Informatyk kopiuje paczkę na udział sieciowy albo do intranetu i udostępnia pracownikom skrót do przewodnika. Nie potrzebujesz kont użytkowników, logowania ani połączenia z internetem. Jeśli w SharePoincie urzędu pliki HTML się nie wyświetlają, uruchamiasz przewodnik z udziału sieciowego, a pliki zestawów mogą leżeć w bibliotece SharePoint.
Uzgadniamy indywidualnie dopasowanie zestawu do procedur jednostki i licencje dla kilku jednostek.
Rozmowa trwa 30–45 minut. Bez zobowiązań i bez szablonowych prezentacji.
Zapytanie o konsultację
Rozmowa trwa 30–45 minut. Bez zobowiązań i bez szablonowych prezentacji.
Powiązania
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20), art. 5, art. 8, art. 8c–8e, art. 10, art. 11, art. 12c, załączniki nr 1, 2 i 4
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 33
- Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. 2024 poz. 773), § 15, § 19 i § 20, w brzmieniu obowiązującym do 22 lutego 2027 roku
- Projekt rozporządzenia Rady Ministrów w sprawie szczegółowych sposobów realizacji obowiązków w zakresie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych, minimalnych wymagań dla systemów teleinformatycznych używanych do realizacji zadań publicznych i wymiany danych z podmiotami publicznymi (RD313, projekt z 29 lipca 2026 roku, w konsultacjach)
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2)
- ISO/IEC 27001:2022, Systemy zarządzania bezpieczeństwem informacji, punkt 9.2 (Audyt wewnętrzny); w wersji polskiej PN-ISO/IEC 27001, do której odsyła § 19 ust. 3 rozporządzenia KRI
Przeczytaj też
Data aktualizacji 26.10.2026. Stan prawny na 19 października 2026 roku.