Zestawienie norm do KSC: certyfikat ISO/IEC 27001 nie oznacza zgodności z ustawą

Co zawiera zestawienie

Zestawienie obejmuje ponad 120 pozycji: normy ISO i IEC, ich polskie wydania, publikacje NIST i ENISA, branżowe modele ramowe i metodyki testów. Każdą pozycję przypisano do co najmniej jednego z sześciu obszarów obowiązków KSC: zarządzania ryzykiem, obsługi incydentów, łańcucha dostaw, ciągłości działania, testów i audytów oraz bezpieczeństwa systemów. Dokumenty podzielono również według trzech poziomów dojrzałości: podstawowego, średniego i zaawansowanego. Przy każdym wskazano jego rodzaj, właściwy sektor oraz informację, czy jest dostępny bezpłatnie, czy odpłatnie.

Wersja ostateczna powstała po konsultacjach publicznych prowadzonych od 11 maja do 10 czerwca 2026 r. Piętnaście podmiotów i dwie osoby fizyczne zgłosiły łącznie 124 uwagi. Ministerstwo uwzględniło 90 uwag w całości, a trzy częściowo, i znacznie rozszerzyło listę dokumentów.

ISO/IEC 27001 obejmuje dwa z sześciu obszarów

PN-EN ISO/IEC 27001:2023 przypisano w zestawieniu do zarządzania ryzykiem i bezpieczeństwa systemów. Dla pozostałych obszarów ministerstwo wskazuje inne dokumenty: ISO/IEC 27035 dla obsługi incydentów, serię ISO/IEC 27036 dla łańcucha dostaw, PN-EN ISO 22301:2020 dla ciągłości działania oraz ISO/IEC 27007 i ISO 19011 dla testów i audytów. ISO/IEC 27002 przypisano wyłącznie do obszaru bezpieczeństwa systemów.

Załącznik A normy ISO/IEC 27001 zawiera zabezpieczenia dotyczące incydentów, dostawców i ciągłości działania. Ministerstwo przypisało jednak tym obszarom KSC dokumenty bardziej szczegółowe. Organizacja, która wdrożyła wyłącznie ISO/IEC 27001, nie ma więc w świetle zestawienia punktu odniesienia dla czterech z sześciu obszarów.

Norma nie zwalnia z obowiązków ustawowych

Zestawienie ma charakter referencyjny, pomocniczy i informacyjny. Nie jest źródłem prawa, a ujęcie w nim dokumentu nie oznacza obowiązku jego stosowania. Podmiot może stosować inne dokumenty, jeżeli zapewniają co najmniej równoważny poziom realizacji wymagań. W raporcie z konsultacji podpisanym przez Ministra Cyfryzacji wskazano, że "wdrożenie określonej normy, standardu lub uzyskanie certyfikatu odnoszącego się wyłącznie do części obowiązków wynikających z uKSC nie zwalnia podmiotu z obowiązku realizacji pozostałych wymagań przewidzianych przepisami uKSC".

Pod tym względem KSC różni się od Krajowych Ram Interoperacyjności. W KRI § 19 ust. 3 wymagania dotyczące SZBI uznaje się za spełnione, jeżeli system opracowano na podstawie PN-ISO/IEC 27001, a zabezpieczenia, zarządzanie ryzykiem i audytowanie oparto na normach z nią związanych. KSC takiego domniemania nie przewiduje.

Co to oznacza w praktyce

Certyfikat ISO/IEC 27001 potwierdza zgodność z wymaganiami tej normy, ale nie jest dowodem zgodności z KSC i nie zastępuje oceny przeprowadzonej na podstawie art. 8 oraz pozostałych przepisów ustawy. Trzeba porównać zakres certyfikatu z zakresem usług i systemów objętych ustawą oraz odrębnie wykazać spełnienie wymagań dotyczących obsługi incydentów, łańcucha dostaw, ciągłości działania oraz testów i audytów. Zestawienie pomaga przy tym dobrać normy, ale kryterium oceny pozostaje ustawa. Więcej informacji o badaniu zgodności znajduje się w artykule Audyt KSC/NIS2, natomiast relację między normą a przepisami wyjaśnia artykuł ISO/IEC 27001.