Zarządzanie ciągłością działania
Ta strona jest dla Ciebie, jeśli:
Zarządzasz ciągłością działania lub ryzykiem operacyjnym w instytucji finansowej objętej DORA i potrzebujesz udokumentowanych ram BCM oraz parametrów odtworzenia funkcji krytycznych wymaganych przez regulatora.
Wdrażasz lub aktualizujesz system zarządzania ciągłością działania zgodny z ISO 22301 i szukasz metodyki, która da wiarygodne wyniki — gotowe do obrony przed Zarządem i podczas audytu.
Zarządzasz ciągłością działania w podmiocie kluczowym lub ważnym objętym NIS2 i ustawą o KSC i musisz udokumentować gotowość operacyjną na zakłócenia, incydenty i awarie w łańcuchu dostaw.
Masz plany ciągłości działania, ale nie wiesz, czy parametry RTO i RPO są uzasadnione analizą wpływu — i obawiasz się, że audytor zapyta o tok rozumowania.
Dlaczego plany ciągłości działania
często nie działają w kryzysie?
Plan ciągłości działania (Business Continuity Plan, BCP) to dokument, który organizacja tworzy zwykle raz, a potem odkłada do szuflady. Gdy dochodzi do poważnego incydentu, okazuje się, że parametry odtworzenia były przyjęte intuicyjnie, właściciele procesów nie wiedzą, co mają robić, a zasoby wskazane w planie dawno przestały być aktualne. Taka dokumentacja nie chroni — tylko pozoruje gotowość.
Drugi powtarzający się problem to brak logicznego łańcucha między wymaganiami regulacyjnymi a operacyjnymi decyzjami w planie. Rozporządzenie DORA w artykule 11 nakłada na instytucje finansowe obowiązek identyfikacji funkcji krytycznych i istotnych oraz dokumentowania wymagań odtworzeniowych. Dyrektywa NIS2 i polska ustawa o Krajowym Systemie Cyberbezpieczeństwa stawiają analogiczne wymagania podmiotom kluczowym i ważnym. Audytor lub inspektor organu nadzoru nie pyta o to, czy plan istnieje — pyta, skąd wzięły się wartości RTO i RPO i dlaczego lista procesów krytycznych wygląda tak, a nie inaczej. Jeśli organizacja nie potrafi odpowiedzieć, mamy do czynienia z luką, którą wprawny audytor znajdzie bardzo szybko.
Skuteczne zarządzanie ciągłością działania zaczyna się od analizy wpływu biznesowego (Business Impact Analysis, BIA), która dostarcza obiektywnych danych do każdej kolejnej decyzji — od priorytetyzacji procesów, przez dobór zabezpieczeń, po zakres planów. Bez niej BCP jest dokumentem bez podstaw.
W jaki sposób budujemy system zarządzania ciągłością działania
Analiza kontekstu organizacji
Zaczynamy od Analizy Kontekstu Organizacji, identyfikacji wymagań interesariuszy zewnętrznych i wewnętrznych, które stają się kryteriami oceny wpływu w BIA. Bez tego etapu lista procesów krytycznych odzwierciedla wyobrażenia uczestników warsztatu, a nie rzeczywiste zobowiązania organizacji wobec regulatora, klientów i partnerów.
Analiza wpływu
Impact App
Analizę wpływu biznesowego przeprowadzamy z użyciem Impact App, aplikacji, która prowadzi właściciela procesu przez kolejne kroki w ustrukturyzowanej sekwencji: od scenariusza najgorszego przypadku, przez szacowanie wpływu w kilku kategoriach dla kolejnych przedziałów czasowych, po wyznaczenie parametrów RTO i RPO oraz identyfikację zasobów. Właściciele procesów pracują samodzielnie, we własnym rytmie, bez wielogodzinnych warsztatów angażujących cały zespół.
Ocena ryzyka metodyką ERAMIS
Wyniki BIA zasilają bezpośrednio ocenę ryzyka prowadzoną metodyką ERAMIS oraz plany ciągłości działania i plany odtworzenia po awarii (Disaster Recovery Plan, DRP). Każdy etap dostarcza dane do kolejnego, więc organizacja nie powtarza tych samych analiz dla różnych celów. Efektem jest spójny system zarządzania ciągłością działania zgodny z ISO 22301, DORA i ustawą o KSC, z dokumentacją, która logicznie łączy wymagania interesariuszy z parametrami odtworzenia i właścicielami procesów. Wyniki poszczególnych analiz trafiają do zbiorczego rejestru dopiero po zatwierdzeniu wyników przez właściciela procesu.
We wszystkich projektach, poza modelem BPO, stosujemy podejście „train the trainer”: po zakończeniu projektu organizacja potrafi samodzielnie aktualizować BIA, prowadzić testy i utrzymywać system bez stałego wsparcia zewnętrznego.
Zakres usług zarządzania ciągłością działania
Przeprowadzamy analizę BIA zgodną z ISO 22301 §8.2 i wymaganiami DORA art. 11 z użyciem aplikacji Impact App . Dla każdego procesu szacujemy skutki przerwy w kilku kategoriach wpływu, finansowej, wizerunkowej, prawnej i operacyjnej, dla kolejnych przedziałów czasowych. Wynikiem jest lista procesów krytycznych z parametrami RTO i RPO opartymi na udokumentowanej analizie, gotowa do akceptacji przez Zarząd i weryfikacji przez audytora.
Dowiedz się więcejDefiniujemy strukturę systemu zarządzania ciągłością działania zgodną z ISO 22301, DORA i ustawą o KSC. Przygotowujemy politykę BCM, zakres systemu i dokumentację ram zarządzania dopasowaną do profilu regulacyjnego i operacyjnego organizacji. Dokumentacja wychodzi od analizy kontekstu organizacji, co eliminuje ryzyko pominięcia wymagań interesariuszy na późniejszych etapach.
Interesuje mnie toOpracowujemy plany ciągłości działania (BCP) i plany odtworzenia po awarii (DRP) dla procesów zaklasyfikowanych jako krytyczne. Każdy plan zawiera procedury eskalacji, przypisanie ról i odpowiedzialności, wymagania zasobowe i sekwencję działań. Plany są oparte na wynikach BIA i oceny ryzyka, więc zakres i priorytety mają uzasadnienie analityczne, a nie wynikają z założeń przyjętych podczas pisania dokumentu.
Interesuje mnie toOpracowujemy procedury zarządzania incydentami integrujące wymagania BCM z wymaganiami regulacyjnymi dotyczącymi zgłaszania poważnych incydentów. Procedury obejmują kryteria klasyfikacji incydentu, ścieżki eskalacji, role decyzyjne i szablony komunikacji. Dostosowujemy je do struktury organizacyjnej klienta i ewentualnych wymagań sektorowych.
Interesuje mnie toProjektujemy i przeprowadzamy testy planów ciągłości działania, od ćwiczeń konferencyjnych i testów struktury decyzyjnej, po symulacje pełnego scenariusza kryzysowego. Każde ćwiczenie ma zdefiniowany cel, scenariusz i kryteria oceny. Dokumentacja z testów, w tym zidentyfikowane luki i rekomendacje działań naprawczych, jest elementem wymaganym przez ISO 22301 i przydatnym podczas audytów nadzorczych.
Interesuje mnie toPrzejmujemy wybrane lub wszystkie zadania BCM w modelu stałej miesięcznej obsługi: przeprowadzanie cyklicznych analiz BIA, zarządzanie zmianą w systemie, organizację testów i utrzymywanie dokumentacji w aktualnym stanie. Model BPO jest szczególnie efektywny dla organizacji, które muszą zapewnić ciągłość procesu BCM bez angażowania dedykowanego wewnętrznego zasobu o pełnych kompetencjach.
Interesuje mnie toDwadzieścia lat projektów w sektorach o najwyższych wymaganiach odporności operacyjnej.
Ponad 250 projektów dla instytucji finansowych, operatorów infrastruktury krytycznej, podmiotów administracji publicznej i organizacji przemysłowych w Polsce i Europie.
Certyfikacje zespołu
Nasi eksperci posiadają certyfikacje PECB — organizacji certyfikującej uznawanej przez ISO i akredytowanej przez międzynarodowe organy normalizacyjne.
Treść strony opracowała
Renata Davidson
i Prezes Zarządu
PECB ISO 22301:2012 Master oraz certyfikat PECB Lead Cybersecurity Manager. Piastowała funkcję eksperta w zakresie zarządzania ciągłością działania przy Ministerstwie Infrastruktury, aktualnie ekspert techniczny ds. normy ISO 22301 w Polskim Centrum Akredytacji.
Najczęściej zadawane pytania o zarządzanie ciągłością działania
Czym jest system zarządzania ciągłością działania (BCM) i czym różni się od planu ciągłości działania?
System zarządzania ciągłością działania (Business Continuity Management, BCM) to całościowy proces obejmujący analizę wpływu biznesowego, ocenę ryzyka, opracowanie planów, testowanie gotowości i ciągłe doskonalenie. Plan ciągłości działania (BCP) jest jednym z elementów tego systemu — dokumentem operacyjnym, który opisuje, co robić, gdy proces zostanie przerwany. Organizacja, która ma plan, ale nie ma systemu, zwykle nie jest w stanie utrzymać tego planu w aktualnym stanie ani zweryfikować, czy nadal odpowiada rzeczywistości operacyjnej.
Jakie regulacje wymagają wdrożenia BCM i planów ciągłości działania?
Norma ISO 22301:2019 definiuje wymagania dla systemów zarządzania ciągłością działania i jest podstawą certyfikacji. Rozporządzenie DORA (UE 2022/2554) w artykule 11 nakłada na instytucje finansowe obowiązek identyfikacji funkcji krytycznych i istotnych oraz dokumentowania wymagań odtworzeniowych dla wspierających je systemów ICT. Dyrektywa NIS2 (UE 2022/2555) i polska ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) stawiają analogiczne wymagania podmiotom kluczowym i ważnym w sektorach krytycznych. System BCM zgodny z ISO 22301 dostarcza dokumentacji odpowiadającej tym wymaganiom bez konieczności tworzenia osobnych opracowań dla każdej regulacji.
Jak długo trwa wdrożenie systemu BCM i od czego zależy harmonogram projektu?
Czas zależy od zakresu organizacji, liczby procesów objętych analizą BIA i stanu istniejącej dokumentacji. Dla organizacji z dobrze udokumentowaną listą procesów kluczowych i dostępnymi właścicielami procesów etap BIA zajmuje zwykle dwa do czterech tygodni. Opracowanie planów i procedur realizujemy równolegle. Dla organizacji, które dopiero budują system od podstaw, pełne wdrożenie zajmuje od trzech do sześciu miesięcy — zależnie od złożoności regulacyjnej i liczby lokalizacji. Indywidualny harmonogram ustalamy podczas konsultacji wstępnej.
Czy analiza BIA i parametry RTO są weryfikowane podczas audytu ISO 22301?
Tak. Audytorzy certyfikujący ISO 22301 i inspektorzy organów nadzorczych sprawdzają, czy parametry RTO i RPO mają uzasadnienie w udokumentowanej analizie wpływu. Regularnie spotykamy organizacje, które mają gotowe plany ciągłości działania, ale nie są w stanie wyjaśnić, skąd wzięły się wartości RTO i dlaczego wybrały te, a nie inne procesy do objęcia planem. To luka, którą audytor znajdzie szybko. Dokumentacja BIA przeprowadzanej przez Davidson Consulting zawiera profil wpływu dla każdego procesu z uzasadnieniem parametrów odtworzenia i logicznym śladem audytowym od wymagania interesariusza do decyzji o klasyfikacji procesu jako krytycznego.
Czy w modelu BPO Davidson przejmuje pełną odpowiedzialność za system BCM?
W modelu BPO przejmujemy operacyjną odpowiedzialność za wyznaczone zadania BCM — prowadzenie analiz BIA, organizację testów, zarządzanie dokumentacją i monitorowanie zmian regulacyjnych wpływających na system. Odpowiedzialność zarządcza i decyzyjna pozostaje po stronie organizacji — Zarząd zatwierdza listę procesów krytycznych i wymagania odtworzeniowe, co jest wymagane zarówno przez ISO 22301, jak i przez regulacje finansowe. Nasi eksperci wspierają Zarząd merytorycznie przez cały czas trwania umowy BPO.
Jak testy planów ciągłości działania powinny wyglądać, żeby spełniały wymagania regulacyjne?
ISO 22301 wymaga regularnych testów, ale nie narzuca jednego formatu. Skuteczny program testów obejmuje co najmniej ćwiczenia konferencyjne (desk-top exercises), które weryfikują kompletność i spójność procedur, oraz symulacje scenariuszowe angażujące rzeczywisty zespół decyzyjny. Testy powinny mieć zdefiniowany cel, scenariusz i kryteria oceny — a ich wyniki, w tym zidentyfikowane luki i rekomendacje naprawcze, powinny być udokumentowane. DORA w artykule 11 dodatkowo wymaga testowania planów ciągłości w zakresie ICT co najmniej raz w roku. Projektujemy testy tak, żeby ich dokumentacja była użyteczna zarówno operacyjnie, jak i podczas audytu.
Co zyskuje organizacja po wdrożeniu rzetelnego systemu BCM
Dobrze zbudowany system zarządzania ciągłością działania skraca czas kolejnych etapów pracy. Gdy dojdzie do incydentu, organizacja nie szuka procedur, uruchamia te, które zostały przetestowane. Podczas audytu ma gotowy ślad audytowy, od wymagania interesariusza, przez wyniki BIA, po zatwierdzone przez Zarząd parametry odtworzenia. A w komunikacji z regulatorem, partnerami i klientami może pokazać udokumentowaną gotowość jako argument, a nie deklarację.
Pytanie brzmi rzadko „czy mamy plan ciągłości działania”, bo zwykle jakaś forma planu istnieje. Pytanie brzmi raczej: czy ten plan zadziała, gdy zajdzie taka potrzeba, i czy jesteśmy w stanie to udowodnić.
Umów się na bezpłatną konsultację.
Interesują Cię nasze usługi w zakresie ciągłości działania?
A może chcesz dobrać szkolenia odpowiednie dla Twojej kadry? Skontaktuj się z nami i umów na bezpłatną konsultację.
Interesuje Cię ciągłość działania?
NIS2 a Ciągłość Działania w Energetyce – Od Zgodności do Rzeczywistej Odporności Operacyjnej
NIS2 to nie kolejny zestaw wymogów – to wezwanie do działania. W energetyce stawką jest nie tylko cyberbezpieczeństwo, ale zdolność…
LIPIEC 2024: Cyberataki nie znają granic. Dlaczego odporność organizacyjna musi zaczynać się od cyberbezpieczeństwa
W ciągu jednego miesiąca celem cyberataków padły tak różnorodne organizacje jak: Disney, Virgin Media, AT&T, Formula1, Evolve Bank, BMW Hong…
Zarządzanie cyberbezpieczeństwem łańcucha dostaw
Patrząc na obecną skalę zagrożeń, trudno nie zauważyć, że cyberbezpieczeństwo łańcuchów dostaw przestało być tematem zastrzeżonym dla działów IT. Stało…
Susza 2025 – kluczowe ryzyko dla biznesu i gospodarki w erze zmian klimatu
W 2025 roku świat zmaga się z najpoważniejszą suszą od setek lat, która szczególnie dotyka Europę, ale ma też globalne…
Scenariusz: Infrastrukturalna katastrofa miasta rzecznego
Przedstawiamy realistyczny scenariusz całkowitego załamania infrastruktury miejskiej podczas przedłużającej się suszy.
