Regulacje i normy bezpieczeństwa informacji: katalog z odnośnikami do źródeł

Ochrona danych osobowych. Z perspektywy bezpieczeństwa informacji najistotniejsze są art. 24, 25 i 32 (środki techniczne i organizacyjne), art. 28 (powierzenie przetwarzania), art. 33 i 34 (naruszenia) oraz art. 35 (ocena skutków).

Ustawa z 10 maja 2018 r. uzupełnia RODO w zakresie krajowym: status i uprawnienia Prezesa UODO, tryb postępowania kontrolnego i sankcyjnego, warunki wyznaczania inspektora ochrony danych, zasady certyfikacji i akredytacji.

Wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI) i podstawa certyfikacji. Załącznik A zawiera 93 zabezpieczenia w czterech grupach. Zmiana Amd 1:2024 dodaje kwestie klimatyczne w pkt 4.1 i 4.2.

Przewodnik wdrożeniowy do zabezpieczeń z Załącznika A ISO 27001. Opisuje cel, sposób realizacji i atrybuty każdego zabezpieczenia. Nie podlega certyfikacji, służy jako materiał projektowy i uzasadnienie wyborów w SoA.

Wytyczne do zarządzania ryzykiem bezpieczeństwa informacji. Praktyczna podstawa metodyki oceny ryzyka wymaganej przez ISO 27001 pkt 6.1, a pośrednio także przez NIS2, DORA i rozporządzenie KRI.

Zasady, ramy i proces zarządzania ryzykiem dla całej organizacji, niezależnie od dziedziny. ISO/IEC 27005 jest jej uszczegółowieniem dla bezpieczeństwa informacji. Przydatna, gdy klient chce jednej metodyki ryzyka dla SZBI, ciągłości działania, DORA i CER zamiast kilku równoległych.

System zarządzania ciągłością działania. Określa wymagania dla BIA, strategii ciągłości, planów BCP i DRP oraz testowania. Wspiera wykazanie zgodności z art. 11 i 12 DORA oraz z wymogiem ciągłości w NIS2.

Zarządzanie incydentami bezpieczeństwa informacji. Część 1 opisuje zasady i proces w pięciu fazach, od planowania i przygotowania po wyciąganie wniosków. Część 2 to wytyczne do zbudowania polityki, planu i zespołu reagowania. Gotowy szkielet procedury IR wymaganej przez ISO 27001, DORA, NIS2 i RODO.

Bezpieczeństwo informacji w relacjach z dostawcami, z perspektywy nabywcy i dostawcy. Część 1 to przegląd i pojęcia, część 2 wymagania, część 3 bezpieczeństwo łańcucha dostaw ICT, część 4 bezpieczeństwo usług chmurowych. Podstawa metodyczna dla oceny dostawców wymaganej przez DORA, NIS2 i A.5.19 do A.5.23 w ISO 27001.

Gotowość ICT na potrzeby ciągłości działania. Druga edycja z maja 2025 zastąpiła wydanie z 2011 i uwzględnia usługi chmurowe i dostawców zewnętrznych. Łączy ISO 27001 z ISO 22301 po stronie technicznej: jak zapewnić, że systemy da się odtworzyć w uzgodnionych parametrach RTO i RPO.

Ustawa o zwalczaniu nieuczciwej konkurencji, art. 11. Ochrona prawna informacji wymaga wykazania, że uprawniony podjął rozsądne działania w celu zachowania jej poufności. W praktyce oznacza to realne zabezpieczenia, klasyfikację informacji i kontrolę dostępu.

Art. 22² reguluje monitoring wizyjny, art. 22³ monitoring służbowej poczty elektronicznej i odpowiednio innych form kontroli. Dla bezpieczeństwa informacji to podstawa prawna logowania, DLP, kontroli urządzeń i przeglądu korespondencji. Cele, zakres i sposób monitoringu ustala się w układzie zbiorowym, regulaminie pracy lub obwieszczeniu.

Osiemnaście kontroli i 153 zabezpieczenia podzielone na grupy wdrożeniowe. IG1 obejmuje 56 zabezpieczeń i stanowi minimum higieny dla małych organizacji, IG2 i IG3 dokładają kolejne. Wydanie 8.1 dodało funkcję Govern, spójną z NIST CSF 2.0.

Wdrożenie dyrektywy NIS2 do prawa polskiego. Wprowadza podział na podmioty kluczowe i ważne, obowiązek systemu zarządzania bezpieczeństwem informacji, zgłaszanie incydentów poważnych do właściwego CSIRT oraz odpowiedzialność kierownictwa za realizację zadań.

Źródło wymagań wdrożonych ustawą o KSC. Art. 21 określa dziesięć obszarów środków zarządzania ryzykiem, art. 23 reżim zgłaszania incydentów, art. 20 obowiązki organu zarządzającego. Załączniki I i II definiują sektory.

Uszczegóławia wymogi techniczne i metodyczne NIS2 oraz kryteria incydentu poważnego dla dostawców usług cyfrowych. Załącznik porządkuje wymagania w kilkanaście obszarów i wprost odwołuje się do ISO/IEC 27001 oraz 27002. Dla dostawcy SaaS lub MSP to najbardziej konkretna lista wymagań w całym pakiecie NIS2.

Na podstawie art. 45 ust. 3 ustawy o KSC Ministerstwo Cyfryzacji publikuje zestawienie norm, wytycznych i innych dokumentów normalizacyjnych, których stosowanie wspiera realizację obowiązków ustawowych, w tym wdrożenie SZBI. Zestawienie przeszło konsultacje publiczne i jest aktualizowane.

Dyrektywa 2022/2557 to bliźniacza regulacja NIS2 nastawiona na odporność fizyczną i organizacyjną podmiotów świadczących usługi kluczowe. W Polsce wdrożona nowelizacją ustawy o zarządzaniu kryzysowym, która przebudowuje system ochrony infrastruktury krytycznej, wprowadza podmioty krytyczne, ocenę ryzyka i sankcje.

Sektorowe rozszerzenie ISO/IEC 27002:2022 dla przedsiębiorstw energetycznych. Zabezpieczenia dostosowane do systemów sterowania i monitorowania wytwarzania, przesyłu, magazynowania i dystrybucji energii elektrycznej, gazu, ropy i ciepła, w tym sterowników, telemetrii, inteligentnego opomiarowania i systemów zarządzania energią.

Podmioty kluczowe i ważne zgłaszają incydenty poważne do właściwego CSIRT poziomu krajowego. System S46 służy także do złożenia wniosku o wpis do wykazu. Konto i wyznaczone osoby warto przygotować przed wystąpieniem incydentu, a nie w jego trakcie.

Ramy operacyjnej odporności cyfrowej sektora finansowego. Pięć filarów: zarządzanie ryzykiem ICT (art. 5 do 16), obsługa i zgłaszanie incydentów (art. 17 do 23), testowanie odporności wraz z TLPT (art. 24 do 27), ryzyko zewnętrznych dostawców ICT i rejestr informacji (art. 28 do 44) oraz wymiana informacji o zagrożeniach.

Samo rozporządzenie nie wystarcza. Poziom drugi DORA tworzy jedenaście wiążących standardów, przyjętych w dwóch pakietach. To one określają, co konkretnie trzeba mieć wdrożone i w jakim formacie raportować.

DORA stosuje się bezpośrednio, natomiast wyznaczenie organu, uprawnienia kontrolne i sankcje wymagały zmian krajowych. Wprowadziła je ustawa z 25 czerwca 2025 r., głównie przez nowelizację ustawy o nadzorze nad rynkiem finansowym.

Rozporządzenie delegowane (UE) 2018/389 uzupełnia dyrektywę PSD2 o regulacyjne standardy techniczne silnego uwierzytelniania klienta oraz bezpiecznych otwartych standardów komunikacji. Określa, kiedy wymagane jest uwierzytelnianie co najmniej dwuskładnikowe, jakie wyłączenia są dopuszczalne i jak zabezpieczyć interfejsy dostępu do rachunków.

Każdy użytkownik sieci SWIFT corocznie atestuje zgodność z Customer Security Controls Framework przez portal KYC-SA. Atestacja musi być poparta niezależną oceną, a jej status widzą kontrahenci. Wersja v2026 zawiera 32 kontrole w trzech celach, w tym po raz pierwszy obowiązkową kontrolę 2.4 dotyczącą bezpieczeństwa przepływu danych z systemami back office.

Podstawowym kanałem zgłaszania poważnych incydentów ICT jest System Obsługi Incydentów DORA (SOID) prowadzony przez CSIRT KNF. Raportowanie ma trzy etapy: wstępne powiadomienie, sprawozdanie śródokresowe i sprawozdanie końcowe. Przewidziany jest też zapasowy kanał na wypadek niedostępności systemu.

Horyzontalne wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi, czyli sprzętu i oprogramowania udostępnianego na rynku UE. Obejmuje wymagania zasadnicze z Załącznika I, obsługę podatności, dokumentację techniczną z SBOM, ocenę zgodności i oznakowanie CE.

Opis techniczny kategorii produktów istotnych i krytycznych z elementami cyfrowymi w rozumieniu CRA. Od przypisania produktu do kategorii zależy tryb oceny zgodności, w tym to, czy konieczny będzie udział jednostki notyfikowanej. To pierwsza rzecz do ustalenia przy planowaniu zgodności z CRA.

Wdraża w Polsce ramy certyfikacji z Aktu o cyberbezpieczeństwie (rozporządzenie (UE) 2019/881). Minister Cyfryzacji jest krajowym organem ds. certyfikacji, Polskie Centrum Akredytacji nadzoruje jednostki oceniające zgodność. Obok programów europejskich, takich jak EUCC dla produktów ICT, przewidziano krajowe schematy certyfikacji, także dla osób i systemów zarządzania.

Ramy regulacyjne dla systemów AI. Harmonogram zmieniło rozporządzenie 2026/1744 (Digital Omnibus on AI): obowiązki dla samodzielnych systemów wysokiego ryzyka z Załącznika III przesunięto na 02.12.2027, a dla AI wbudowanej w produkty z Załącznika I na 02.08.2028. Pozostałe terminy pozostały bez zmian.

Krajowe ramy stosowania AI Act. Ustanawia Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organ nadzoru rynku i pojedynczy punkt kontaktowy, tworzy podstawę piaskownic regulacyjnych oraz ścieżkę skargową i opinie indywidualne.

System zarządzania sztuczną inteligencją (AIMS). Certyfikowalny, o strukturze zgodnej z ISO 27001, co ułatwia integrację. Uporządkowany sposób wykazania nadzoru nad AI wobec klientów i partnerów, choć nie zastępuje zgodności z AI Act.

Krajowe Ramy Interoperacyjności oraz minimalne wymagania dla rejestrów publicznych i systemów teleinformatycznych. Nakłada na podmioty realizujące zadania publiczne obowiązek ustanowienia i utrzymywania SZBI, w tym okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji.

Ustawa o informatyzacji działalności podmiotów realizujących zadania publiczne. Podstawa delegacji dla rozporządzenia KRI, określa ramy prowadzenia systemów i rejestrów publicznych oraz stosowania aktu w sprawie Interoperacyjnej Europy.

Odrębny reżim dla informacji o klauzulach od zastrzeżone do ściśle tajne. Określa klasyfikowanie, postępowania sprawdzające, bezpieczeństwo przemysłowe dla wykonawców oraz ochronę informacji niejawnych w systemach teleinformatycznych, które wymagają akredytacji bezpieczeństwa wydawanej przez ABW lub SKW.

Ustawa z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej. Art. 24 nakłada na dostawców poczty elektronicznej dla co najmniej 500 tysięcy użytkowników lub dla podmiotów publicznych obowiązek stosowania SPF, DKIM i DMARC, a na podmioty publiczne obowiązek korzystania z poczty wykorzystującej te mechanizmy. Dostawca poczty dla podmiotu publicznego ma też oferować uwierzytelnianie wieloskładnikowe.

Zbiór rekomendacji opracowany przez Departament Cyberbezpieczeństwa KPRM na podstawie publikacji NIST, przypisany do norm stosowanych przez podmioty krajowego systemu cyberbezpieczeństwa. Przewodniki metodyczne do budowy SZBI, w tym katalog zabezpieczeń, klasyfikacja systemów i zarządzanie ryzykiem.

Europejska przestrzeń danych dotyczących zdrowia. Reguluje dostęp pacjenta do elektronicznej dokumentacji medycznej, transgraniczną wymianę danych oraz wtórne wykorzystanie danych zdrowotnych. Stawia wymagania interoperacyjności i bezpieczeństwa systemom EDM.

Określa organizację i zasady działania systemu informacji w ochronie zdrowia, w tym prowadzenie elektronicznej dokumentacji medycznej, rejestry medyczne oraz zasady przetwarzania i udostępniania jednostkowych danych medycznych.

Reguluje prawo pacjenta do dokumentacji medycznej oraz obowiązki podmiotu udzielającego świadczeń w zakresie jej prowadzenia, zabezpieczenia, udostępniania i przechowywania. Wraz z rozporządzeniami wykonawczymi wyznacza wymogi techniczne dla dokumentacji elektronicznej.

Prawo o adwokaturze (art. 6) oraz ustawa o radcach prawnych (art. 3) ustanawiają tajemnicę zawodową. Art. 5a do 5c ustawy o radcach prawnych ograniczają stosowanie wybranych praw z RODO w zakresie, w jakim naruszałyby tajemnicę, i wyłączają żądanie ujawnienia informacji przez Prezesa UODO.

Ustawa obejmuje między innymi adwokatów i radców prawnych w określonych czynnościach oraz instytucje finansowe. Z perspektywy bezpieczeństwa informacji istotne są wymogi retencji dokumentacji, rozliczalności dostępu i poufności zgłoszeń do GIIF.

Standard bezpieczeństwa danych kart płatniczych. Dwanaście grup wymagań dla środowiska przetwarzania danych posiadaczy kart. Wersja 4.0.1 z czerwca 2024 jest jedyną obowiązującą, a wymagania wcześniej oznaczone jako future-dated podlegają ocenie od 31.03.2025 bez okresu przejściowego.

Raport z atestacji wykonywanej przez firmę CPA według kryteriów Trust Services. Typ I ocenia projekt zabezpieczeń na dany dzień, Typ II ich skuteczność w okresie. Najczęściej wymagany przez klientów z USA i Wielkiej Brytanii, obok lub zamiast certyfikatu ISO 27001.

Ramy organizacji programu cyberbezpieczeństwa wokół sześciu funkcji: Govern, Identify, Protect, Detect, Respond, Recover. Bezpłatne. Przydatne przy odpowiedziach na kwestionariusze amerykańskich kontrahentów i jako język komunikacji z zarządem.

Mechanizm oceny i wymiany wyników bezpieczeństwa informacji w branży motoryzacyjnej, prowadzony przez ENX na podstawie katalogu VDA ISA. Producenci wymagają go od dostawców części, usług inżynieryjnych i IT. Ocena obejmuje bezpieczeństwo informacji, ochronę prototypów i ochronę danych, z poziomami zależnymi od wrażliwości informacji.

Cloud Security Alliance prowadzi publiczny rejestr STAR, w którym dostawcy chmury publikują samoocenę (poziom 1, kwestionariusz CAIQ) lub wynik certyfikacji przez stronę trzecią (poziom 2). Podstawą jest Cloud Controls Matrix, katalog kontroli z mapowaniem na ISO 27001, 27017, 27018, NIST CSF 2.0 i inne ramy.

Zabezpieczenia specyficzne dla chmury oraz rozdział odpowiedzialności między dostawcą a odbiorcą usługi. Rozszerza zakres certyfikatu ISO 27001 i porządkuje odpowiedzi na pytania chmurowe w kwestionariuszach klientów.

Wytyczne ochrony danych osobowych przetwarzanych w chmurze publicznej przez podmiot działający jako przetwarzający. W 2025 r. ukazała się nowa edycja, która zastępuje wydanie z 2019 r. Przed powołaniem się w dokumentacji warto sprawdzić, do której edycji odnosi się certyfikat dostawcy.

System zarządzania informacjami o prywatności (PIMS). Edycja z 2025 r. przekształciła normę w standard samodzielny, certyfikowalny niezależnie od ISO 27001, zamiast dotychczasowego rozszerzenia. Nie stanowi dowodu zgodności z RODO, ale porządkuje role administratora i przetwarzającego.

Rozporządzenie 910/2014 określa skutki prawne podpisów, pieczęci i znaczników czasu oraz obowiązki dostawców usług zaufania. Nowelizacja 2024/1183, tak zwany eIDAS 2, dodaje europejski portfel tożsamości cyfrowej (EUDI Wallet), nowe usługi zaufania i obowiązek akceptacji portfela przez wskazane strony ufające, w tym banki i duże platformy.

Zastąpiło Prawo telekomunikacyjne i wdraża Europejski kodeks łączności elektronicznej. Obejmuje także usługi komunikacji interpersonalnej niewykorzystujące numerów, czyli komunikatory i usługi poczty. Zawiera odrębny reżim bezpieczeństwa sieci i usług, zgłaszania incydentów do Prezesa UKE oraz tajemnicy komunikacji elektronicznej.

Akt w sprawie danych. Dla dostawców usług przetwarzania danych, w tym chmury i SaaS, wprowadza obowiązki ułatwiające zmianę dostawcy i przenoszenie danych, wymogi interoperacyjności oraz obowiązek publicznego wskazania jurysdykcji infrastruktury i środków chroniących przed niezgodnym z prawem dostępem organów państw trzecich. Producentom produktów podłączonych nakazuje udostępnianie danych użytkownikom.