TL;DR

• Podmiot kluczowy lub podmiot ważny prowadzi “systematyczne szacowanie ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem” (art. 8 ust. 1 pkt 1 ustawy o KSC).
• Wdrażane środki mają być odpowiednie i proporcjonalne do oszacowanego ryzyka - z uwzględnieniem stanu wiedzy, kosztów wdrożenia, wielkości podmiotu, prawdopodobieństwa incydentów i skutków społeczno-gospodarczych (art. 8 ust. 1 pkt 2).
• Trzeba mieć polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne (art. 8 ust. 1 pkt 2 lit. a).
• Wyniki szacowania ryzyka i plan postępowania z ryzykiem wchodzą w skład obowiązkowej dokumentacji (art. 10 ust. 3 pkt 2 lit. c i d).
• Ustawa NIE narzuca metodyki ani skal oceny. Macierz np. 5x5 to dobra praktyka (ISO/IEC 27005, PN-EN ISO/IEC 27001 pkt 6.1.2), nie przepis.

Co dokładnie nakazuje ustawa

Obowiązek składa się z czterech elementów, każdy z własną podstawą:

1. Systematyczność (art. 8 ust. 1 pkt 1). Szacowanie ryzyka ma być prowadzone systematycznie - nie jednorazowo na potrzeby “wdrożenia”, tylko jako powtarzalny proces. Ustawa nie definiuje interwału; systematyczność oznacza co najmniej: określony cykl, określone wyzwalacze (nowy system, nowy dostawca, incydent) i zapisy potwierdzające wykonanie.
2. Proporcjonalność środków (art. 8 ust. 1 pkt 2). Środki techniczne i organizacyjne mają być “odpowiednie i proporcjonalne do oszacowanego ryzyka”, z uwzględnieniem najnowszego stanu wiedzy, kosztów wdrożenia, wielkości podmiotu, prawdopodobieństwa wystąpienia incydentów, narażenia na ryzyka oraz skutków społecznych i gospodarczych. To jest przepis, który chroni małą firmę przed przeinwestowaniem: nikt nie wymaga od 60-osobowej spółki transportowej SOC-a klasy bankowej - wymaga się środków adekwatnych do jej ryzyka.
3. Polityki (art. 8 ust. 1 pkt 2 lit. a). “Polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne” - czyli dokument opisujący, JAK szacujesz (kryteria, skale, progi akceptacji) i polityki dziedzinowe tam, gdzie ryzyko tego wymaga.
4. Udokumentowane wyniki (art. 10 ust. 3 pkt 2 lit. c i d). Dokumentacja ochrony infrastruktury obejmuje szacowanie ryzyka dla obiektów infrastruktury oraz plan postępowania z ryzykiem. Zapisy potwierdzające wykonywanie czynności stanowią dokumentację operacyjną (art. 10 ust. 4).

Czego w ustawie NIE ma: obowiązkowej metodyki, obowiązkowej skali, obowiązkowego narzędzia. Prowadzony na bieżąco rejestr ryzyk z oceną i planem postępowania to standardowy nośnik tych wyników (dobra praktyka: PN-EN ISO/IEC 27001, pkt 6.1.3 i 8.3) - interpretacja praktyczna, nie cytat przepisu.

Jak to wygląda w praktyce małej firmy

Realny proces dla podmiotu ważnego bez działu bezpieczeństwa:

1. Zacznij od aktywów, nie od abstrakcji. Ryzyko “utrata danych” nic nie znaczy; ryzyko “utrata bazy zleceń w systemie TMS, bo backup nie był testowany od roku” - znaczy wszystko. Dlatego rejestr aktywów (art. 8 ust. 1 pkt 2 lit. m - osobny artykuł) powstaje przed rejestrem ryzyk.
2. Przyjmij prostą, jawną metodykę. Skala prawdopodobieństwa 1-5, skala skutku 1-5, wynik = iloczyn, próg akceptacji zapisany w polityce (art. 8 ust. 1 pkt 2 lit. a). Skale i progi to Twoja decyzja (zatwierdza kierownik - art. 8d pkt 1); ważne, żeby były spisane ZANIM zaczniesz oceniać.
3. Pierwszy przebieg: 5-15 ryzyk, nie 100. Typowa mała firma jest w stanie sensownie ocenić kilkanaście ryzyk: ransomware, utrata dostępu do M365/poczty, awaria kluczowego systemu, błąd lub odejście administratora, awaria dostawcy hostingu, phishing na księgowość, utrata laptopa z danymi. Sto wierszy wygenerowanych hurtowo to teatr tabelek, który kontrola rozbiera jednym pytaniem: “kiedy państwo ostatnio na to patrzyli?”.
4. Każde ryzyko ponadprogowe dostaje plan postępowania (art. 10 ust. 3 pkt 2 lit. d): co robimy, kto, do kiedy. Decyzja “akceptujemy” też jest decyzją - zapisaną i podpisaną.
5. Wracaj do rejestru na zdarzenia. Nowy dostawca krytyczny, poważny incydent, zmiana systemu - to wyzwalacze aktualizacji. Do tego cykliczny przegląd (nasza praktyka: co 12 miesięcy, razem z przeglądem SZBI).

Jakie artefakty trzeba mieć

Najczęstsze błędy

1. Ocena ryzyka raz, przy wdrożeniu. Art. 8 ust. 1 pkt 1 mówi “systematyczne”. Rejestr z jedną datą modyfikacji sprzed roku sam w sobie jest ustaleniem kontrolnym.
2. Metodyka pożyczona, nieprzyjęta. Skopiowana z internetu macierz bez decyzji kierownika i bez progu akceptacji nie jest polityką z art. 8 ust. 1 pkt 2 lit. a - jest plikiem.
3. Ryzyka bez właścicieli i terminów. Plan postępowania “wdrożymy MFA” bez osoby i daty to życzenie, nie plan (art. 10 ust. 3 pkt 2 lit. d wymaga planu, a zapisy z art. 10 ust. 4 mają pokazać realizację).
4. Mylenie proporcjonalności z minimalizmem. Art. 8 ust. 1 pkt 2 pozwala dobrać środki do skali firmy - ale “proporcjonalnie” nie znaczy “nic”. Brak MFA na poczcie w 2026 r. trudno obronić stanem wiedzy, który ten przepis każe uwzględniać.
5. Sto ryzyk z generatora. Więcej nie znaczy lepiej: rejestr ma być narzędziem decyzji kierownika (art. 8d pkt 1), nie dowodem objętości.

Checklista do odhaczenia

• Mam spisaną politykę szacowania ryzyka: skale, kryteria, próg akceptacji (art. 8 ust. 1 pkt 2 lit. a)
• Metodykę zatwierdził kierownik (art. 8d pkt 1)
• Rejestr ryzyk istnieje i ma co najmniej ryzyka dla aktywów krytycznych (art. 8 ust. 1 pkt 1)
• Każde ryzyko ponad progiem ma plan postępowania z osobą i terminem (art. 10 ust. 3 pkt 2 lit. d)
• Decyzje o akceptacji ryzyka są zapisane i podpisane
• Mam zdefiniowane wyzwalacze aktualizacji (incydent, nowy system, nowy dostawca) i cykl przeglądu
• Zapisy z przeglądów trafiają do dokumentacji operacyjnej (art. 10 ust. 4)

Pytania i odpowiedzi

Czy ustawa wymaga konkretnej metodyki oceny ryzyka (np. ISO 27005)? Nie. Ustawa wymaga systematycznego szacowania (art. 8 ust. 1 pkt 1) i polityk szacowania ryzyka (art. 8 ust. 1 pkt 2 lit. a), ale nie wskazuje metodyki. ISO/IEC 27005 i macierz prawdopodobieństwo x skutek to dobra praktyka - wybór i parametry należą do podmiotu.

Ile ryzyk powinno być w rejestrze małej firmy? Ustawa nie podaje liczby. Praktycznie: pierwszy przebieg 5-15 ryzyk osadzonych na realnych aktywach daje się utrzymać i obronić; rejestr rośnie z systemem, nie odwrotnie.

Jak często aktualizować ocenę ryzyka? Ustawa mówi “systematycznie”, bez interwału (art. 8 ust. 1 pkt 1). Rekomendujemy przegląd co 12 miesięcy plus aktualizacje po zdarzeniach (incydent poważny, istotna zmiana systemu lub dostawcy) - to nasza praktyka, spójna z PN-EN ISO/IEC 27001 pkt 8.2, nie wymóg ustawowy.

Czy mogę zaakceptować ryzyko i nic nie robić? Możesz - jeżeli mieści się w progu akceptacji przyjętym w Twojej polityce i decyzja jest udokumentowana. Świadoma, zapisana akceptacja jest legalnym wynikiem zarządzania ryzykiem; brak jakiejkolwiek decyzji nie jest.

Źródła

• Ustawa o KSC - tekst ujednolicony Kancelarii Sejmu z 2026-07-07: isap.sejm.gov.pl (PDF)
• Ustawa z 23.01.2026 r. (Dz. U. 2026 poz. 252): ISAP
• PN-EN ISO/IEC 27001 pkt 6.1.2-6.1.3, 8.2-8.3; ISO/IEC 27005 - normy, dobra praktyka, nie przepis

Ten artykuł jest narzędziem informacyjnym, nie poradą prawną. Status treści: 0.9-draft, przed przeglądem kancelarii (TODO-LEGAL-REVIEW).