Zarządzanie ryzykiem cybernetycznym przestało być domeną banków i operatorów infrastruktury krytycznej. Po wejściu w życie przepisów wdrażających dyrektywy NIS2 i CER regularna analiza ryzyka ISO 27001 (lub oparta na niej metodyka własna) dotyczy tysięcy polskich firm — od producentów, przez dostawców usług cyfrowych, po jednostki samorządu terytorialnego. Norma ISO/IEC 27001:2022 daje sprawdzony szkielet całego procesu, a prawo dopisuje do niego konkretne terminy i sankcje.
W tym przewodniku pokazujemy, jak w praktyce zbudować proces zarządzania ryzykiem cybernetycznym: jakie metodologie oceny ryzyka wybrać, jak prowadzić rejestr aktywów informacyjnych, jak działa matryca ryzyka cyber, które strategie traktowania ryzyka stosować oraz jakie narzędzia risk management — od darmowych szablonów oceny ryzyka po oprogramowanie GRC — sprawdzają się w MŚP. Wszystkie wymagania odnosimy do aktualnych przepisów: ustawy o zarządzaniu kryzysowym, ustawy o krajowym systemie cyberbezpieczeństwa (KSC), RODO i rozporządzenia DORA.
Analiza ryzyka w ISO 27001 – co trzeba wiedzieć przed rozpoczęciem?
Sercem normy ISO/IEC 27001:2022 są klauzule 6.1.2 (ocena ryzyka bezpieczeństwa informacji) i 6.1.3 (postępowanie z ryzykiem). Norma nie narzuca jednej metody — wymaga natomiast, aby organizacja sama zdefiniowała i udokumentowała proces, który zapewni: identyfikację ryzyk, ich analizę (skutki i prawdopodobieństwo), ocenę względem przyjętych kryteriów oraz wybór sposobów postępowania, zakończony opracowaniem Deklaracji Stosowania (SoA) względem 93 zabezpieczeń z Załącznika A.
Zanim zaczniesz, uporządkuj cztery elementy:
- Kontekst organizacji (klauzule 4.1–4.3) — jakie usługi świadczysz, jakie masz systemy informacyjne, kogo dotyczą obowiązki prawne. Uwaga: poprawka ISO/IEC 27001:2022/Amd 1:2024 wymaga dodatkowo ustalenia, czy zmiana klimatu jest istotnym zagadnieniem dla systemu zarządzania — audytorzy już o to pytają.
- Zakres SZBI — bez jasno zakreślonego zakresu analiza ryzyka ISO 27001 „rozleje się” na całą firmę i nigdy się nie skończy.
- Kryteria ryzyka — skala prawdopodobieństwa i wpływu, próg akceptowalności ryzyka, właściciele ryzyk (klauzula 5.3 przypisuje odpowiedzialności za role w bezpieczeństwie).
- Wymagania prawne — to one najczęściej wyznaczają realne terminy.
Co mówią przepisy? Terminy, których nie warto przegapić
Podmioty krytyczne (operatorzy infrastruktury krytycznej wpisani do wykazu) na mocy art. 6zt ust. 1 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (t.j. Dz. U. z 2026 r. poz. 574 i 815) muszą przeprowadzać ocenę ryzyka nie rzadziej niż raz na 2 lata, uwzględniając zagrożenia z Krajowej Oceny Ryzyka (KOR), zależności międzysektorowe i alternatywne łańcuchy dostaw. Pierwszą ocenę wykonuje się w terminie 9 miesięcy od wpisu do wykazu, a rozwiązania organizacyjno-techniczne wdraża w 3 miesiące od jej przeprowadzenia (art. 6zt ust. 3–4). Sektory bankowości i infrastruktury rynków finansowych mają na pierwszą ocenę 10 miesięcy (art. 6zze).
Co istotne, art. 6zt ust. 11 uznaje ocenę ryzyka wykonaną na podstawie odrębnych przepisów (np. w ramach SZBI zgodnego z ISO 27001) za spełniającą wymóg — w całości lub części. To mocny argument, by prowadzić jeden spójny proces, a nie kilka równoległych.
Podmioty kluczowe i ważne w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm. — po nowelizacji z 23 stycznia 2026 r. wdrażającej dyrektywę NIS2) wdrażają system zarządzania bezpieczeństwem informacji (art. 8 ust. 1), za którego zatwierdzenie i nadzorowanie odpowiada kierownictwo (art. 8e). Kary sięgają 10 mln EUR lub 2% obrotu (art. 73 ust. 3).
Każdy administrator danych osobowych — niezależnie od sektora — ma obowiązek dobrać środki bezpieczeństwa adekwatne do ryzyka i „regularnie testować, mierzyć i oceniać skuteczność” tych środków (art. 32 ust. 1 lit. d RODO), a przy operacjach wysokiego ryzyka wykonać ocenę skutków dla ochrony danych (DPIA, art. 35 ust. 1 RODO).
Podmioty finansowe podlegające rozporządzeniu DORA (UE) 2022/2554 budują kompleksowe, dobrze udokumentowane ramy zarządzania ryzykiem ICT (art. 6 ust. 1), a odpowiedzialność za nie ponosi organ zarządzający (art. 5 ust. 2).
W jednostkach przetwarzających informacje niejawne szacowanie ryzyka jest wprost zadaniem pełnomocnika ochrony (art. 15 ust. 1 pkt 3 ustawy o ochronie informacji niejawnych, t.j. Dz. U. z 2025 r. poz. 1209), która definiuje też szacowanie ryzyka jako „całościowy proces analizy i oceny ryzyka” (art. 2 pkt 16).
Wniosek praktyczny: dobrze zaprojektowane zarządzanie ryzykiem cybernetycznym w standardzie ISO 27001 „obsługuje” jednocześnie KSC, ustawę o zarządzaniu kryzysowym, RODO i — w sektorze finansowym — DORA. Jak to działa w całym cyklu życia systemu, opisujemy szerzej w tekście Zarządzanie ryzykiem w ISO 27001 – klucz do skutecznej ochrony danych.
Metodologie oceny ryzyka: NIST, OCTAVE, ISO 27005 – porównanie
Nie ma jednej „właściwej” metody. Najczęściej wybiera się spośród czterech rodzin metodyk:
| Kryterium | ISO/IEC 27005:2022 | NIST SP 800-30 Rev. 1 | OCTAVE (Allegro) | FAIR |
| Pochodzenie | ISO/IEC, spójna z ISO 31000 i ISO 27001 | NIST (USA), powiązana z NIST CSF 2.0 i SP 800-37 (RMF) | CERT Carnegie Mellon | FAIR Institute / The Open Group |
| Podejście | Procesowe: identyfikacja → analiza → ocena → traktowanie, scenariusze ryzyka | Strukturalne: zagrożenia × podatności × skutki, tabele kalibracyjne | Warsztatowe, scenariuszowe, nastawione na aktywa informacyjne | Ilościowe (finansowe): prawdopodobieństwo i strata w pieniądzu |
| Wynik | Rejestr ryzyk, plan traktowania, SoA | Raport oceny ryzyka z poziomami (bardzo niski–bardzo wysoki) | Lista scenariuszy i profil ryzyka organizacji | Rozkład strat (np. „90. percentyl: 1,2 mln zł rocznie”) |
| Dla kogo | Organizacje certyfikujące się w ISO 27001 | Firmy dojrzałe, dostawcy dla administracji USA, sektor publiczny | MŚP bez dużego działu bezpieczeństwa | Duże organizacje, ubezpieczenia cyber, rozmowy z zarządem o budżecie |
| Koszt wdrożenia | Niski–średni (norma płatna, metodyka „wbudowana” w ISO 27001) | Niski (dokumenty NIST są darmowe) | Niski–średni | Średni–wysoki (wymaga danych o incydentach) |
W praktyce certyfikowanego SZBI najbezpieczniejszym wyborem jest ISO/IEC 27005 — audytor nie zakwestionuje metodyki spójnej z normą, a sama analiza ryzyka ISO 27001 naturalnie zasila klauzule 6.1.2–6.1.3. NIST SP 800-30 bywa łączony z ISO (np. tabele prawdopodobieństwa), FAIR świetnie tłumaczy ryzyko zarządowi „językiem pieniędzy”, a OCTAVE sprawdza się przy pierwszych warsztatach w MŚP. Niezależnie od wyboru — metodologię trzeba udokumentować (klauzula 6.1.2 lit. a), bo „ryzyko w głowie administratora IT” nie przejdzie ani audytu certyfikującego, ani kontroli organu nadzorczego.
Krok 1: Identyfikacja aktywów informacyjnych – szablon rejestru
Nie zidentyfikujesz ryzyka, jeśli nie wiesz, co masz. Rejestr aktywów to fundament: wymaga go kontrola A.5.9 (inwentaryzacja informacji i innych powiązanych aktywów) ISO 27001:2022, a pośrednio także art. 30 RODO (rejestr czynności przetwarzania) i — dla podmiotów krytycznych — obowiązek identyfikacji i rejestrowania dostawców krytycznych (art. 6zzo ustawy o zarządzaniu kryzysowym).
Minimalny szablon rejestru aktywów powinien zawierać kolumny:
| Kolumna | Przykład |
| ID aktywa | A-014 |
| Nazwa | System ERP (produkcja, magazyn, księgowość) |
| Typ | Oprogramowanie / dane / sprzęt / usługa / ludzie / wartość niematerialna |
| Właściciel (business owner) | Dyrektor finansowy |
| Klasyfikacja (A.5.12) | Poufne |
| Wymagania CIA (poufność / integralność / dostępność, 1–5) | 4 / 5 / 5 |
| Lokalizacja / środowisko | Chmura (DC Frankfurt), produkcyjne |
| Zależności (sieć, dostawcy, integracje) | Hosting u dostawcy X, integracja z bramką płatności |
| Dane osobowe? (link do rejestru RODO) | Tak — pracownicy, kontrahenci |
| Powiązane ryzyka (ID z rejestru ryzyk) | R-003, R-011 |
Dobrą praktyką jest podział aktywów na sześć kategorii: sprzęt, oprogramowanie, dane/informacje, usługi (np. internet, chmura), ludzie oraz aktywa niematerialne (reputacja, znaki towarowe). Rejestr prowadź w jednym narzędziu z kontrolą wersji i ograniczonym dostępem — dokumentacja ryzyka to często informacje wrażliwe; nadzór nad nią wymagają klauzula 7.5 ISO 27001 oraz art. 6zu ust. 5 ustawy o zarządzaniu kryzysowym (dostępność wyłącznie dla osób upoważnionych, ochrona przed utratą integralności). O całej strukturze dokumentów piszemy w artykule Dokumentacja ISO 27001.
Krok 2-4: Ocena, traktowanie i monitorowanie ryzyka
Zgodnie z klauzulą 6.1.2 lit. b–c ISO 27001 po identyfikacji następuje analiza (oszacowanie skutków i prawdopodobieństwa) i ewaluacja (porównanie z kryteriami akceptacji i ustalenie priorytetów). Potem przychodzi czas na decyzję: co z każdym ryzykiem robimy (6.1.3) i jak sprawdzamy, czy działania działają (klauzule 9.1–9.3).
Matryca ryzyka – jak przypisać prawdopodobieństwo i wpływ?
Matryca ryzyka cyber (klasyczna siatka 5×5) mnoży ocenę prawdopodobieństwa (P) przez ocenę wpływu (W): R = P × W.
| P \ W | 1 – znikomy | 2 – mały | 3 – umiarkowany | 4 – duży | 5 – krytyczny |
| 5 – niemal pewne (>1×/rok) | 5 | 10 | 15 | 20 | 25 |
| 4 – prawdopodobne (1×/2–3 lata) | 4 | 8 | 12 | 16 | 20 |
| 3 – możliwe (1×/3–5 lat) | 3 | 6 | 9 | 12 | 15 |
| 2 – mało prawdopodobne (1×/5–10 lat) | 2 | 4 | 6 | 8 | 10 |
| 1 – rzadkie (>10 lat) | 1 | 2 | 3 | 4 | 5 |
Klucze do poprawnej kalibracji:
- Wpływ oceniaj wielowymiarowo: finansowy (straty, przestoje), operacyjny (przerwanie usługi — dla podmiotu krytycznego to bezpośrednio „istotne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej”, czyli definicja incydentu istotnego z art. 3 pkt 1g ustawy o zarządzaniu kryzysowym), prawny (kary: do 10 mln EUR lub 2% obrotu w RODO — art. 83 ust. 4; do 10 mln EUR lub 2% w KSC — art. 73 ust. 3; do 200 000 zł za brak audytu czy 100 000 zł za brak oceny ryzyka w podmiocie krytycznym — art. 6zzr ust. 1 i 2) oraz reputacyjny. Przyjmij zasadę najwyższej składowej.
- Prawdopodobieństwo kalibruj danymi, nie intuicją: historia własnych incydentów, statystyki branżowe (np. raporty CSIRT NASK), threat intelligence (kontrola A.5.7), wyniki wcześniejszych testów i skanów podatności.
- Zdefiniuj próg akceptacji (np. ryzyka ≤ 6 akceptuje właściciel procesu, 8–12 wymaga planu traktowania zatwierdzonego przez zarząd, ≥ 15 trafia na poziom zarządu natychmiast). Bez progu matryca ryzyka cyber jest tylko kolorową tabelką.
- Dokumentuj ryzyko rezydualne — po wdrożeniu zabezpieczeń ryzyko spada, ale nie do zera; klauzula 6.1.3 lit. d wymaga, aby właściciele ryzyka zatwierdzili jego poziom pozostały.
Strategie traktowania ryzyka: unikanie, redukcja, transfer, akceptacja
ISO 27001 (klauzula 6.1.3 lit. a) zna cztery opcje postępowania z ryzykiem:
- Redukcja (mitygacja) — najczęstsza: wdrażasz zabezpieczenia z Załącznika A (np. MFA, segmentacja sieci, backupy, patchowanie w ramach A.8.8). Wymóg proporcjonalności wynika wprost z prawa: art. 6zt ust. 1 pkt 2 ustawy o zarządzaniu kryzysowym nakazuje rozwiązania „odpowiednie i proporcjonalne do wyników oceny ryzyka”, a art. 32 ust. 1 RODO każe uwzględnić „stan wiedzy technicznej, koszt wdrażania” oraz charakter i kontekst przetwarzania.
- Transfer (podział ryzyka) — ubezpieczenie cyber, outsourcing funkcji do dostawcy (np. MSSP, czyli — w definicji art. 2 pkt 4j KSC — dostawca usług zarządzanych w zakresie cyberbezpieczeństwa), klauzule umowne. Uwaga: transfer ryzyka finansowego nie zwalnia z obowiązków — podmiot krytyczny „przez cały czas ponosi odpowiedzialność” także za obszar powierzony dostawcom (por. art. 6zzo–6zzq ustawy o zarządzaniu kryzysowym: rejestr dostawców krytycznych, roczna ocena ryzyka łańcucha dostaw, minimalne wymagania bezpieczeństwa wobec dostawcy).
- Unikanie — wycofanie się z ryzykownej działalności: likwidacja przestarzałej aplikacji, rezygnacja z rynku, zamknięcie usługi. Rzadkie, ale bywa najtańsze.
- Akceptacja — świadoma decyzja właściciela ryzyka, że koszt zabezpieczeń przewyższa potencjalną stratę. Musi być udokumentowana (kto, kiedy, na jakiej podstawie, do jakiego poziomu) — ustna akceptacja „przy kawie” nie obroni się ani w audycie, ani przed organem.
Wybór opcji dla każdego ryzyka wieńczy plan traktowania ryzyka i porównanie go z Załącznikiem A, czyli Deklaracja Stosowania (SoA) — dokument, który audytor certyfikujący czyta zwykle jako pierwszy.
Monitorowanie to klauzule 9.1 (monitorowanie i pomiary — wskaźniki skuteczności zabezpieczeń), 9.2 (audyt wewnętrzny) i 9.3 (przegląd zarządzania). Dobre narzędzia risk management automatyzują ten obieg: przypomnienia o przeglądach ryzyk, alerty o przekroczeniu progów, raporty dla zarządu. Ile kosztuje zbudowanie i certyfikowanie takiego systemu, policzyliśmy w artykule Koszty certyfikacji ISO 27001 – na co trzeba się przygotować.
Narzędzia wspierające zarządzanie ryzykiem cybernetycznym
Rynek narzędzi dzieli się dziś na trzy półki: szablony oceny ryzyka (arkusze), wyspecjalizowane aplikacje open source i komercyjne platformy GRC (Governance, Risk & Compliance). Wybór zależy od skali, dojrzałości i budżetu — ale kryteria są zawsze te same: udokumentowana metodyka (6.1.2), rejestr aktywów (A.5.9), plan traktowania i SoA (6.1.3), ślad rewizyjny zmian, kontrola dostępu (A.5.15–A.5.18) i raportowanie dla kierownictwa (9.3).
Darmowe szablony Excel/Google Sheets do analizy ryzyka
Na starcie arkusz kalkulacyjny w zupełności wystarczy — i nie ma w tym nic wstydliwego: także kontrolerzy widują rejestry ryzyka prowadzone w Excelu częściej niż w dedykowanych systemach. Dobry darmowy szablon oceny ryzyka powinien zawierać co najmniej cztery zakładki:
- Rejestr aktywów (kolumny jak w tabeli powyżej),
- Rejestr ryzyk (ID, opis w konwencji „zagrożenie wykorzystuje podatność aktywa, powodując skutek”, P, W, R = P×W, opcja traktowania, działanie, właściciel, termin, ryzyko rezydualne, status),
- Matrycę i kryteria (skale 1–5 z opisami, próg akceptacji),
- Plan traktowania + SoA (mapping na kontrole A.5–A.8).
Warto dodać formatowanie warunkowe (kolory R), listy rozwijane (walidacja danych — zapobiega „ryzyku wysokiemu” wpisanemu raz wielką, raz małą literą) oraz arkusz instrukcji z wersjonowaniem. Szukając gotowych wzorców metodycznych, sięgnij po darmowe publikacje NIST (SP 800-30 Rev. 1 jako podstawa skal) i ENISA — ale pamiętaj, że gotowy szablon trzeba dopasować do własnych kryteriów, bo klauzula 6.1.2 lit. a wymaga kryteriów „własnych”, a nie skopiowanych.
Ograniczenia arkuszy pojawiają się wraz ze skalą: brak historii zmian (kto i kiedy zmienił ocenę ryzyka?), trudne współdzielenie z wieloma właścicielami ryzyk, ręczne konsolidacje i — co najważniejsze — słaba realizacja obowiązku nadzoru nad dokumentacją (art. 6zu ust. 5 ustawy o zarządzaniu kryzysowym; klauzula 7.5.3 ISO 27001). W arkuszu Google Sheets współdzielonym „dla wszystkich” poufny rejestr ryzyk przestaje być poufny.
Oprogramowanie GRC – przegląd rozwiązań dla MŚP
Oprogramowanie do zarządzania ryzykiem klasy GRC rozwiązuje problemy arkuszy: centralny rejestr z rolami i uprawnieniami, pełny audit trail, automatyczne przypomnienia o przeglądach, wbudowane biblioteki wymagań (ISO 27001, NIS2/KSC, RODO, DORA), integracje ze skanerami podatności i systemami ticketowymi oraz raporty dla zarządu generowane jednym kliknięciem. W segmencie MŚP najczęściej rozważa się: darmowy rdzeń SimpleRisk (z płatnymi modułami), Isora (wygodne kwestionariusze i oceny ryzyka), a półkę wyżej — platformy Riskonnect, RSA Archer, ServiceNow IRM czy MetricStream. Pełne porównanie funkcji, cen i modeli licencjonowania — wraz z kryteriami wyboru i planem wdrożenia — znajdziesz w naszym odrębnym przewodniku: Oprogramowanie do zarządzania ryzykiem – klucz do cyberbezpieczeństwa w ISO 27001.
Niezależnie od półki cenowej, przy wyborze zadaj trzy pytania: czy narzędzie pozwala udokumentować całą metodykę 6.1.2–6.1.3 (a nie tylko przechowywać tabelki), czy generuje dowody dla audytora (historia ocen, zatwierdzenia, SoA) oraz czy jego własne bezpieczeństwo jest adekwatne do danych, które w nim przechowasz (w końcu rejestr ryzyk to mapa najsłabszych punktów Twojej firmy — art. 32 RODO dotyczy także narzędzia, w którym prowadzisz analizę ryzyka ISO 27001).
Podsumowanie: proces, nie projekt
Zarządzanie ryzykiem cybernetycznym działa wtedy, gdy jest cyklem: identyfikacja aktywów → ocena (matryca ryzyka cyber) → traktowanie (redukcja, transfer, unikanie, akceptacja) → monitorowanie (9.1–9.3) → ponowna ocena. Prawo dopisuje do tego cyklu twarde ramy: co najmniej raz na 2 lata w podmiotach krytycznych (art. 6zt ust. 1 pkt 1 ustawy o zarządzaniu kryzysowym), „regularnie” w RODO (art. 32 ust. 1 lit. d), w programie testowania i co 3 lata w formie TLPT w DORA (art. 24 i 26). Zacznij od arkusza i prostej matrycy 5×5, udokumentuj metodykę, a wraz ze wzrostem skali przenieś proces do narzędzia GRC.
Skontaktuj się z Kancelarią Cyberpolex. Zweryfikujemy, czy Twoja firma podlega pod NIS2, i pomożemy Ci zbudować odporny, zgodny z prawem system bezpieczeństwa, zanim termin upłynie.
Kancelaria Cyberpolex
Kamil Kołodziejczak, radca prawny
📞 (+48) 665 805 912
✉️ kontakt@cyberpolex.pl
🌐 cyberpolex.pl
📍 ul. Stare Miasto 29/32 lok. 3, 10-026 Olsztyn
Źródła prawne i normatywne
- Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (t.j. Dz. U. z 2026 r. poz. 574 i 815) — art. 3 pkt 1a, 1b, 1g; art. 6zt; art. 6zu; art. 6zze; art. 6zzo–6zzq; art. 6zzr.
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm.) — art. 2 pkt 4j; art. 5; art. 8 ust. 1; art. 8e; art. 73 ust. 3–4.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — art. 30; art. 32 ust. 1 lit. d i ust. 2–3; art. 35; art. 83 ust. 4.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) — art. 5 ust. 2; art. 6 ust. 1; art. 24–26.
- Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (t.j. Dz. U. z 2025 r. poz. 1209) — art. 2 pkt 16–17; art. 15 ust. 1 pkt 3.
- Normy: ISO/IEC 27001:2022 (z Amd 1:2024) — klauzule 4.1–4.3, 5.3, 6.1.2–6.1.3, 7.5, 9.1–9.3, Załącznik A (A.5.7, A.5.9, A.5.12); ISO/IEC 27005:2022; ISO 31000:2018; NIST SP 800-30 Rev. 1; NIST CSF 2.0; OCTAVE Allegro (CERT); FAIR (FAIR Institute / The Open Group).
Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani rekomendacji wdrożeniowej — konkretne obowiązki zależą od sektora, wielkości i statusu organizacji.
