Polityka bezpieczeństwa informacji - wzór z przykładem
Polityka bezpieczeństwa informacji to dokument najwyższego kierownictwa, który określa, po co firma chroni informacje, jakie cele sobie stawia i do czego się zobowiązuje. ISO/IEC 27001:2022 wymaga jej w pkt 5.2, a dyrektywa NIS2 (art. 21 ust. 2 lit. a) i znowelizowana w 2026 r. ustawa o krajowym systemie cyberbezpieczeństwa (art. 8) wymieniają polityki bezpieczeństwa wśród środków obowiązkowych dla podmiotów kluczowych i ważnych.
Przygotował: Ireneusz Kozera, audytor wiodący ISOStan prawny na: Następny przegląd: Licencja CC BY 4.0
Czym jest polityka bezpieczeństwa informacji (pkt 5.2 ISO/IEC 27001)
Pkt 5.2 ISO/IEC 27001 ma ten sam układ co pkt 5.2 innych norm systemów zarządzania o wspólnej strukturze. Najwyższe kierownictwo ustanawia politykę, która jest odpowiednia do celu organizacji, zawiera cele bezpieczeństwa informacji albo daje ramy do ich ustalania, zobowiązuje do spełniania mających zastosowanie wymagań dotyczących bezpieczeństwa informacji i do ciągłego doskonalenia systemu. Polityka jest udokumentowaną informacją, zakomunikowaną w organizacji i dostępną dla stron zainteresowanych w odpowiednim zakresie.
Polityka bezpieczeństwa informacji - wzór na tej stronie to dokument ogólny, a nie zbiór procedur. Rozstrzyga, które informacje i systemy są objęte ochroną, kto za co odpowiada, na jakiej podstawie firma ocenia ryzyko i jakie polityki tematyczne uzupełniają dokument główny. Szczegóły, takie jak zasady haseł, szyfrowania czy pracy zdalnej, przenosi się do polityk tematycznych i instrukcji, żeby dokument główny nie wymagał zmiany przy każdej zmianie technicznej.
Polityka ogólna i polityki tematyczne
Ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) wymaga od podmiotu kluczowego lub ważnego systemu zarządzania bezpieczeństwem informacji. Art. 8 ust. 1 pkt 2 lit. a wymienia wprost „polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne". Tabela łączy elementy, które warto opisać w politykach, z przepisami NIS2 i ustawy.
| Dokument | Co rozstrzyga | Podstawa |
|---|---|---|
| Polityka bezpieczeństwa informacji (ogólna) | Cel, zakres, zasady, cele bezpieczeństwa, role, zobowiązania kierownictwa | ISO/IEC 27001 pkt 5.2; art. 8 ust. 1 pkt 2 lit. a ustawy o KSC |
| Polityka szacowania ryzyka | Metoda, kryteria akceptacji ryzyka, częstotliwość szacowania | art. 21 ust. 2 lit. a NIS2; art. 8 ust. 1 pkt 1 i pkt 2 lit. a ustawy o KSC |
| Polityka kontroli dostępu i zarządzania aktywami | Kto ma dostęp do czego, nadawanie i odbieranie uprawnień, ewidencja aktywów | art. 21 ust. 2 lit. i NIS2; art. 8 ust. 1 pkt 2 lit. m i n ustawy o KSC |
| Polityka kryptografii | Kiedy i jak szyfrować dane, zarządzanie kluczami | art. 21 ust. 2 lit. h NIS2; art. 8 ust. 1 pkt 2 lit. k ustawy o KSC |
| Polityka oceny skuteczności środków | Jak i kiedy firma sprawdza, czy zabezpieczenia działają | art. 21 ust. 2 lit. f NIS2; art. 8 ust. 1 pkt 2 lit. h ustawy o KSC |
| Ciągłość działania | Plany ciągłości działania, plany awaryjne i plany odtworzenia, kopie zapasowe | art. 21 ust. 2 lit. c NIS2; art. 8 ust. 1 pkt 2 lit. f ustawy o KSC |
| Bezpieczeństwo łańcucha dostaw | Wymagania wobec dostawców sprzętu, oprogramowania i usług ICT | art. 21 ust. 2 lit. d NIS2; art. 8 ust. 1 pkt 2 lit. e ustawy o KSC |
Wzór polityki bezpieczeństwa informacji (struktura do wypełnienia)
To szablon struktury. Treść musi opisywać Twoją firmę, nie zakład wzorcowy.
| Nr | Pole | Co wpisać | Podstawa |
|---|---|---|---|
| 1 | Organizacja i zakres systemu | Kogo i czego dotyczy polityka: lokalizacje, usługi, systemy i informacje objęte systemem zarządzania bezpieczeństwem informacji. | ISO/IEC 27001 pkt 4.3 |
| 2 | Cel polityki i znaczenie informacji dla firmy | Dlaczego firma chroni informacje: jakie usługi i dane klientów od tego zależą. Ma pasować do celu organizacji. | ISO/IEC 27001 pkt 5.2 a |
| 3 | Cele bezpieczeństwa informacji albo ramy ich ustalania | Dwa do czterech mierzalnych celów albo zasada, według której zarząd ustala je co roku. | ISO/IEC 27001 pkt 5.2 b i 6.2 |
| 4 | Chronione właściwości informacji | Poufność, integralność i dostępność, a dla podmiotu kluczowego lub ważnego także autentyczność danych. | art. 8 ust. 1 pkt 5 lit. a ustawy o KSC |
| 5 | Zobowiązanie do spełniania wymagań | Przepisy, umowy i normy, które firma uznała za mające zastosowanie. | ISO/IEC 27001 pkt 5.2 c |
| 6 | Szacowanie ryzyka i kryteria jego akceptacji | Jak często i według jakiej metody firma szacuje ryzyko oraz kto akceptuje ryzyko pozostałe. Szczegóły w polityce szacowania ryzyka. | ISO/IEC 27001 pkt 6.1.2; art. 8 ust. 1 pkt 1 ustawy o KSC |
| 7 | Role i odpowiedzialności | Kto odpowiada za system, kto za poszczególne obszary i jaka jest rola każdego pracownika. | ISO/IEC 27001 pkt 5.3 |
| 8 | Polityki tematyczne | Lista polityk, które rozwijają dokument główny, z numerami i właścicielami. | art. 8 ust. 1 pkt 2 lit. a ustawy o KSC |
| 9 | Zobowiązanie do ciągłego doskonalenia | Na jakiej podstawie firma doskonali system: incydenty, audyty, testy, ocena skuteczności zabezpieczeń. | ISO/IEC 27001 pkt 5.2 d i 10.1 |
| 10 | Komunikowanie, przegląd i zatwierdzenie | Gdzie polityka jest dostępna, jak poznają ją pracownicy i dostawcy, kto ją zatwierdził i kiedy będzie przeglądana. | ISO/IEC 27001 pkt 5.2 i 7.5 |
Przykład wypełnienia: firma usług IT i hostingu
Przykład sp. z o.o. to fikcyjna firma, która zarządza infrastrukturą IT klientów i świadczy usługi hostingu, zatrudnia 45 osób i wdraża ISO/IEC 27001. Wartości celów są przykładowe - własne wyprowadza się z oceny ryzyka i umów z klientami.
| Pole | Przykład wypełnienia |
|---|---|
| 1. Organizacja i zakres systemu | Przykład sp. z o.o., usługi zarządzania infrastrukturą IT i hostingu dla klientów biznesowych; biuro w Mieście i serwerownia w kolokacji |
| 2. Cel polityki i znaczenie informacji dla firmy | Klienci powierzają nam dane i systemy, od których zależy ich działalność. Chronimy je tak, żeby usługi działały bez przerw, a dane nie trafiły do osób nieuprawnionych. |
| 3. Cele bezpieczeństwa informacji albo ramy ich ustalania | Dostępność usług hostingowych co najmniej 99,9% w roku; 100% pracowników po rocznym szkoleniu z cyberhigieny; odtworzenie krytycznego systemu z kopii w teście raz na kwartał |
| 4. Chronione właściwości informacji | Chronimy poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemach firmy i klientów. |
| 5. Zobowiązanie do spełniania wymagań | Spełniamy wymagania umów z klientami, przepisów o krajowym systemie cyberbezpieczeństwa w zakresie, w jakim nas dotyczą, oraz normy ISO/IEC 27001. |
| 6. Szacowanie ryzyka i kryteria jego akceptacji | Ryzyko szacujemy raz w roku i przy każdej istotnej zmianie systemów; ryzyko pozostałe powyżej progu akceptuje zarząd. |
| 7. Role i odpowiedzialności | Zarząd zatwierdza politykę i akceptuje ryzyko; pełnomocnik ds. bezpieczeństwa informacji koordynuje system; kierownicy zespołów odpowiadają za uprawnienia w swoich systemach; każdy pracownik zgłasza incydenty. |
| 8. Polityki tematyczne | PB-01 Szacowanie ryzyka, PB-02 Kontrola dostępu, PB-03 Kryptografia, PB-04 Ciągłość działania i kopie zapasowe, PB-05 Dostawcy ICT, PB-06 Zarządzanie incydentami |
| 9. Zobowiązanie do ciągłego doskonalenia | Doskonalimy system na podstawie incydentów, audytów wewnętrznych i wyników testów, a wyniki co roku omawia zarząd na przeglądzie. |
| 10. Komunikowanie, przegląd i zatwierdzenie | Polityka jest w intranecie i w umowach z dostawcami ICT; nowi pracownicy poznają ją w pierwszym dniu pracy. Wydanie 1, zatwierdził zarząd 15.01.2027; przegląd raz w roku i po każdej istotnej zmianie. |
NIS2 i ustawa o KSC: co wymaga nowelizacja z 2026 r.
Art. 21 dyrektywy NIS2 wymaga, żeby podmioty kluczowe i ważne stosowały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne, oparte na podejściu uwzględniającym wszystkie zagrożenia. Proporcjonalność ocenia się z uwzględnieniem narażenia podmiotu na ryzyko, jego wielkości, prawdopodobieństwa incydentów i ich dotkliwości. Ust. 2 wymienia minimalny zakres środków, od polityki analizy ryzyka po uwierzytelnianie wieloskładnikowe.
W Polsce obowiązki te przenosi nowe brzmienie art. 8 ustawy o krajowym systemie cyberbezpieczeństwa. System zarządzania bezpieczeństwem informacji ma zapewnić systematyczne szacowanie ryzyka incydentu, środki proporcjonalne do oszacowanego ryzyka, zbieranie informacji o cyberzagrożeniach i podatnościach, zarządzanie incydentami oraz środki chroniące poufność, integralność, dostępność i autentyczność danych. Rada Ministrów może określić szczegółowe wymagania w rozporządzeniu (art. 8a).
Polityka nie rozstrzyga, czy firma jest podmiotem kluczowym albo ważnym - to wynika z przepisów ustawy i jej załączników z wykazem sektorów. Jeśli firma nie jest objęta ustawą, polityka według ISO/IEC 27001 nadal porządkuje bezpieczeństwo informacji i ułatwia odpowiedź na wymagania klientów, którzy sami podlegają NIS2 i oceniają bezpieczeństwo dostawców.
Czego unikać przy wypełnianiu wzoru
Polityka skopiowana z innej firmy
- Skutek
- Nie odpowiada celowi organizacji i nie mówi, które informacje i systemy firma faktycznie chroni.
- Jak uniknąć
- Zacznij od zakresu systemu i listy usług, od których zależą klienci.
- Podstawa
- ISO/IEC 27001 pkt 4.3 i 5.2 a
Brak zobowiązań wymaganych przez normę
- Skutek
- Polityka bez zobowiązania do spełniania wymagań albo do ciągłego doskonalenia nie spełnia pkt 5.2.
- Jak uniknąć
- Sprawdź tekst pod kątem wszystkich elementów pkt 5.2 przed zatwierdzeniem.
- Podstawa
- ISO/IEC 27001 pkt 5.2 c i d
Polityka oderwana od szacowania ryzyka
- Skutek
- Zabezpieczenia nie są dobrane do oszacowanego ryzyka, a tego wymagają NIS2 i ustawa o KSC.
- Jak uniknąć
- Odwołaj się w polityce do metody szacowania ryzyka i do decyzji o akceptacji ryzyka pozostałego.
- Podstawa
- art. 21 ust. 1 NIS2; art. 8 ust. 1 pkt 1 i 2 ustawy o KSC
Jeden dokument zamiast polityk tematycznych w podmiocie kluczowym lub ważnym
- Skutek
- Ogólna polityka nie pokrywa obszarów, które ustawa wymienia osobno: kontroli dostępu, kryptografii, ciągłości działania i łańcucha dostaw.
- Jak uniknąć
- Dołącz listę polityk tematycznych z właścicielami i terminami przeglądu.
- Podstawa
- art. 8 ust. 1 pkt 2 lit. a, e, f, k i n ustawy o KSC
Polityka niezakomunikowana pracownikom
- Skutek
- Pracownicy nie znają zasad, a polityka nie jest zakomunikowana w organizacji ani wsparta szkoleniem z cyberhigieny.
- Jak uniknąć
- Wprowadź politykę do szkolenia wstępnego i corocznego szkolenia z cyberhigieny.
- Podstawa
- ISO/IEC 27001 pkt 5.2; art. 21 ust. 2 lit. g NIS2; art. 8 ust. 1 pkt 2 lit. i i j ustawy o KSC
Brak oceny, czy zabezpieczenia działają
- Skutek
- Firma nie wie, czy polityka działa w praktyce, a ocena skuteczności środków jest osobnym wymaganiem.
- Jak uniknąć
- Zapisz w polityce, kto i jak często ocenia skuteczność zabezpieczeń i komu raportuje wyniki.
- Podstawa
- art. 21 ust. 2 lit. f NIS2; art. 8 ust. 1 pkt 2 lit. h ustawy o KSC
Kiedy wzór nie wystarczy
- firma nie wie, czy jest podmiotem kluczowym albo ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa
- system ma objąć kilka spółek, lokalizacji albo usług chmurowych u różnych dostawców
- klienci podlegający NIS2 wymagają od firmy dowodów bezpieczeństwa w łańcuchu dostaw
- przygotowanie do certyfikacji ISO/IEC 27001 i dobór zabezpieczeń do oszacowanego ryzyka
Najczęstsze pytania
Czy polityka bezpieczeństwa informacji jest obowiązkowa?
Dla certyfikacji ISO/IEC 27001 tak, bo wymaga jej pkt 5.2. Podmioty kluczowe i ważne w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa muszą wdrożyć polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne (art. 8 ust. 1 pkt 2 lit. a).
Kto zatwierdza politykę bezpieczeństwa informacji?
Najwyższe kierownictwo, bo według pkt 5.2 ISO/IEC 27001 to ono ustanawia politykę. Polityki tematyczne mogą zatwierdzać właściciele obszarów, jeśli polityka ogólna tak stanowi.
Czym różni się polityka od procedury bezpieczeństwa?
Polityka mówi, co firma chce osiągnąć i jakie zasady przyjmuje. Procedura albo instrukcja opisuje krok po kroku, jak wykonać czynność, np. nadać uprawnienia albo odtworzyć system z kopii. Polityka odsyła do procedur, ale ich nie zastępuje.
Jak często przeglądać politykę?
Przepisy cytowane na tej stronie nie podają stałego terminu. Politykę przegląda się w ramach przeglądu zarządzania i przy istotnych zmianach: nowych usługach, systemach, dostawcach albo wynikach szacowania ryzyka.