Cyberbezpieczeństwo w jednostkach samorządu terytorialnego nie jest już wyłącznie tematem działu IT. Po nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa stało się obszarem, który wymaga odpowiedzialnego zarządzania, dokumentowania działań oraz przygotowania zespołu do reagowania na incydenty.

Coraz więcej placówek JST otrzymuje obecnie korespondencję z Ministerstwa Cyfryzacji dotyczącą statusu podmiotu ważnego lub kluczowego oraz uzupełnienia danych w Wykazie KSC. Taka wiadomość może budzić niepokój, szczególnie tam, gdzie nie ma własnego działu cyberbezpieczeństwa, etatowego administratora IT albo gotowej dokumentacji SZBI.

Dlatego w Sun Capital wspieramy jednostki JST i ich placówki w przygotowaniu do nowych obowiązków: od audytu zero, przez dokumentację SZBI, po szkolenia, procedury incydentowe i stałe wsparcie. Obecnie prowadzimy proces przygotowania dla kilkunastu placówek oświatowych jednej gminy, dlatego dobrze znamy realne problemy takich jednostek: ograniczony budżet, przeciążony sekretariat, brak specjalistycznych zasobów i odpowiedzialność, która ostatecznie spoczywa na kierowniku podmiotu.

📩 Co oznacza pismo z Ministerstwa Cyfryzacji?

Pismo najczęściej dotyczy procesu wpisu do Wykazu KSC albo uzupełnienia danych wymaganych do tego wpisu. W przypadku podmiotów publicznych wpis może następować z urzędu, natomiast brakujące dane trzeba uzupełnić w terminie wskazanym w wezwaniu.

Co ważne, samo uzupełnienie danych nie kończy sprawy. To raczej formalny początek procesu, który powinien doprowadzić do uporządkowania obowiązków, odpowiedzialności, dokumentacji, procedur i szkoleń.

Następnie placówka powinna przeanalizować, jakie działania są konieczne w pierwszej kolejności. Dzięki temu można uniknąć chaosu, przypadkowych zakupów i dokumentacji przygotowywanej tylko po to, żeby „coś było”.

Najgorszym rozwiązaniem jest potraktowanie pisma jako kolejnej formalności do odłożenia. Terminy biegną bowiem niezależnie od tego, czy placówka ma już przygotowany plan działania.

⚖️ Podmiot ważny, kluczowy czy krytyczny?

W rozmowach potocznych często pojawia się określenie „podmiot krytyczny”. W kontekście UKSC i NIS2 podstawowe kategorie są jednak inne: podmiot ważny oraz podmiot kluczowy.

To właśnie do tych kategorii przypisywane są jednostki objęte nowymi obowiązkami. W przypadku wielu placówek JST mówimy przede wszystkim o statusie podmiotu ważnego, ale każdą sytuację należy ocenić indywidualnie.

Dzięki temu placówka nie działa na podstawie domysłów, lecz na podstawie konkretnego statusu i realnego zakresu obowiązków. To szczególnie ważne wtedy, gdy organ prowadzący odpowiada za kilka lub kilkanaście jednostek jednocześnie.

🧩 UKSC i NIS2 w JST. Nie chodzi o dokumenty do szuflady

Największym błędem byłoby potraktowanie nowych obowiązków jako kolejnego segregatora z procedurami.

UKSC wymaga wdrożenia i utrzymania Systemu Zarządzania Bezpieczeństwem Informacji, czyli SZBI. W praktyce oznacza to, że placówka powinna mieć opisane i działające zasady dotyczące bezpieczeństwa informacji, systemów, dostępów, incydentów, kopii zapasowych, odpowiedzialności i szkoleń.

Nie chodzi jednak o tworzenie nadmiarowej dokumentacji, której nikt nie rozumie i nikt nie stosuje. Przeciwnie, dokumenty powinny wspierać codzienną pracę placówki oraz pomagać w podejmowaniu decyzji wtedy, gdy pojawi się incydent albo kontrola.

To szczególnie ważne w szkołach, przedszkolach, żłobkach i instytucjach kultury. Cyberbezpieczeństwo nie powinno oznaczać rewolucji organizacyjnej ani zakupów sprzętu „na zapas”. Najpierw trzeba sprawdzić stan faktyczny, następnie zamknąć najważniejsze luki, a dopiero później planować dalszy rozwój systemu.

👤 Dlaczego dyrektorzy i kierownicy jednostek czują presję?

Odpowiedzialność za realizację obowiązków nie jest abstrakcyjna. Za przygotowanie, wdrożenie i nadzorowanie systemu bezpieczeństwa odpowiada kierownik podmiotu.

W placówkach oświatowych i jednostkach JST oznacza to najczęściej dyrektora lub osobę zarządzającą jednostką. To ona musi wykazać, że podjęła działania, zaplanowała środki, wyznaczyła odpowiedzialności i zapewniła pracownikom podstawową wiedzę.

Jednocześnie dyrektor nie musi samodzielnie zostać specjalistą od cyberbezpieczeństwa. Powinien jednak mieć uporządkowany proces, dokumentację decyzji, raport z luk oraz dowody tego, że placówka rozpoczęła działania dostosowawcze.

Luki można wykazać, opisać i zamknąć etapami. Braku reakcji trudno natomiast bronić. Dlatego najskuteczniejszą ochroną placówki i jej kierownika jest rozpoczęty, zaplanowany i udokumentowany proces dostosowania.

🏛️ Dobra wiadomość dla JST: nie wszystko trzeba budować od zera

Samorządowe podmioty publiczne mogą korzystać z rozwiązań, które ułatwiają wdrożenie obowiązków. Dotyczy to między innymi uproszczonych wymagań dla mniejszych jednostek oraz możliwości organizowania wspólnej obsługi cyberbezpieczeństwa.

Oznacza to, że nie każda szkoła, przedszkole czy instytucja kultury musi samodzielnie tworzyć pełny model bezpieczeństwa od początku. Część działań można przygotować na poziomie gminy, powiatu albo jednostki obsługującej, a następnie dopasować je do konkretnych placówek.

W Sun Capital wspieramy właśnie taki sposób pracy. Najpierw projektujemy model dla organu prowadzącego, później dopasowujemy go do realiów poszczególnych placówek, a na końcu pomagamy utrzymać dokumentację i procedury w aktualności.

🛡️ Nasz plan wsparcia dla JST i placówek

Przygotowaliśmy proces, który pozwala przejść przez obowiązki UKSC spokojnie i etapowo. Bez straszenia, bez nadmiarowych zakupów i bez dokumentacji pisanej językiem, którego nikt w placówce nie będzie używał.

Całość zaczyna się od rozpoznania stanu faktycznego. Dopiero później rekomendujemy dokumenty, procedury, szkolenia i działania techniczne. Dzięki temu placówka zachowuje kontrolę nad zakresem prac oraz kosztami.

🔎 Audyt zero — najrozsądniejszy pierwszy krok

Jeżeli placówka otrzymała pismo z Ministerstwa Cyfryzacji albo organ prowadzący chce przygotować kilka jednostek jednocześnie, najlepszym początkiem jest audyt zero.

Audyt zero nie jest kontrolą. Jest wewnętrznym uporządkowaniem sytuacji, które pozwala sprawdzić, co już działa, czego brakuje i jakie decyzje należy podjąć w pierwszej kolejności.

Dopiero po takim rozpoznaniu można rozsądnie planować wdrożenie. Bez zgadywania, bez przypadkowych zakupów i bez dokumentacji tworzonej tylko po to, żeby „coś było”.

Co więcej, raport z audytu zero może stać się ważnym elementem wykazania należytej staranności. Pokazuje bowiem, że placówka nie ignoruje obowiązków, tylko identyfikuje luki i pracuje nad ich zamknięciem.

📊 Co zyskuje placówka JST?

Dobrze poprowadzony proces wdrożenia daje placówce przede wszystkim kontrolę. Zamiast działać pod presją i reagować dopiero wtedy, gdy pojawi się problem, jednostka otrzymuje plan, harmonogram i konkretne priorytety.

🚫 Czego nie warto robić po otrzymaniu pisma?

Po otrzymaniu pisma najłatwiej popełnić błędy wynikające z pośpiechu albo przeciwnie: z odkładania tematu. Dlatego warto od początku trzymać się uporządkowanego procesu.

Właśnie dlatego rekomendujemy, aby nie zaczynać od zakupu narzędzi ani tworzenia dokumentów „w ciemno”. Najpierw trzeba wiedzieć, jaki jest punkt wyjścia, a dopiero później wybierać działania, które faktycznie mają sens.

🤝 Jak Sun Capital wspiera JST?

Specjalizujemy się w bezpieczeństwie informacji, cyberbezpieczeństwie i ochronie danych w jednostkach samorządu terytorialnego. Wspieramy szkoły, przedszkola, żłobki, instytucje kultury oraz organy prowadzące w przygotowaniu do obowiązków wynikających z UKSC i NIS2.

Ponadto możemy wspierać zarówno pojedynczą placówkę, jak i większą grupę jednostek jednego organu prowadzącego. Taki model pozwala lepiej kontrolować koszty, ujednolicić dokumentację i ograniczyć obciążenie dyrektorów.

✅ Jak zacząć?

Wystarczą trzy proste kroki. Dzięki nim placówka może szybko przejść od niepewności do konkretnego planu działania.

Następnie placówka może rozpocząć wdrożenie w uporządkowany sposób: od najważniejszych ryzyk, przez dokumentację i procedury, aż po szkolenia oraz stałe wsparcie.

✨ Podsumowanie

Nowe obowiązki wynikające z UKSC i NIS2 są dla wielu JST dużym wyzwaniem. Szczególnie odczuwają to mniejsze placówki, które nie mają własnych działów cyberbezpieczeństwa ani wolnych zasobów kadrowych.

Mimo to sytuacja jest możliwa do opanowania. Kluczowe jest jednak szybkie rozpoczęcie działań, ponieważ terminy ustawowe biegną niezależnie od tego, czy placówka ma już gotowy plan.

Najpierw warto sprawdzić status placówki i uporządkować dane do Wykazu KSC. Następnie należy wykonać audyt zero, przygotować raport oraz rozpocząć dokumentowany proces dostosowania.

Dzięki temu braki można usuwać etapami, procedury wdrażać w sposób kontrolowany, a zespół szkolić bez niepotrzebnego chaosu.