Procedura obsługi incydentu w JST – wzór i najlepsze praktyki

Wymagania prawne i kontekst dla JST

Polskie jednostki samorządu terytorialnego – gminy, powiaty, województwa, ale też szkoły i spółki komunalne – zostały zaklasyfikowane jako operatorzy usług kluczowych w rozumieniu ustawy o Krajowym Systemie Cyberbezpieczeństwa. To nie jest etykietka do powieszenia na ścianie. To konkretny, prawny obowiązek.

Od 2026 roku, po pełnym wdrożeniu dyrektywy NIS2, wymagania jeszcze bardziej usztywniono. Każda JST musi mieć udokumentowaną, przetestowaną i aktualną procedurę obsługi incydentu. Bez niej – podczas kontroli lub po incydencie – grożą dotkliwe kary.

Co mówi ustawa o Krajowym Systemie Cyberbezpieczeństwa?

Ustawa (i jej nowelizacja implementująca NIS2) nakazuje jednoznacznie: procedura obsługi incydentu w JST to nie opcja, ale wymóg. Dokument musi określać, jak wykrywasz, zgłaszasz, analizujesz i usuwasz skutki incydentów. Kluczowe są terminy: zgłoszenie wstępne w ciągu 24 godzin, pełne zgłoszenie w 72 godziny, a raport końcowy w miesiąc.

Brzmi znajomo? Podobnie jak w RODO. Tylko że tutaj zgłaszasz do CSIRT NASK, a nie do UODO. I konsekwencje są inne – ale o tym za chwilę.

Obowiązki gmin, szkół i spółek komunalnych

Zakres obowiązków NIS2 dla gmin jest szeroki. Nie chodzi tylko o procedurę. Musisz też:

• wyznaczyć osobę odpowiedzialną za cyberbezpieczeństwo,
• prowadzić rejestr incydentów,
• przeprowadzać audyty,
• szkolić pracowników.

A szkoły? Wdrożenie NIS2 w szkole to często wyzwanie, bo brakuje tam etatowego informatyka. Podobnie NIS2 dla spółek komunalnych – wodociągi, ciepłownie, komunikacja miejska – one też podlegają pod te przepisy. Dla wszystkich tych podmiotów procedura obsługi incydentu jest fundamentem.

Krok 1: Zidentyfikuj zasoby i role w procedurze

Zanim napiszesz choć jedno zdanie w dokumencie, usiądź i zrób porządny audyt. Bo procedura bez znajomości własnych systemów to martwy papier.

Kto wchodzi w skład zespołu ds. incydentów?

Potrzebujesz konkretnych ludzi. Nie "ktoś z IT", ale osoby z imienia i nazwiska, z numerem telefonu (służbowym i prywatnym – incydenty nie pytają o godziny pracy).

Typowy zespół w JST to:

• zgłaszający – każdy pracownik, który widzi coś podejrzanego,
• analityk – osoba techniczna (informatyk, administrator),
• decydent – kierownik wydziału, sekretarz lub wójt/burmistrz,
• rzecznik prasowy – do komunikacji zewnętrznej (media, mieszkańcy).

Nie zapomnij o zastępcach. Ludzie chorują, wyjeżdżają na urlopy. Procedura musi działać 365 dni w roku.

Jak sklasyfikować aktywa informacyjne?

Sporządź listę systemów i danych. I nie chodzi o inwentaryzację "na oko". Określ, które systemy są krytyczne dla ciągłości działania urzędu. Dla gminy to np. system finansowo-księgowy, ewidencja ludności, platforma ePUAP. Dla spółki komunalnej – system sterowania siecią wodociągową.

Każdemu aktywu przypisz wagę: niska, średnia, wysoka. To pomoże w eskalacji – o tym w kolejnym kroku.

Krok 2: Opracuj schemat zgłaszania i eskalacji

Procedura obsługi incydentu w JST musi być prosta. Jeśli pracownik będzie musiał szukać instrukcji przez 15 minut, po prostu nie zgłosi incydentu. Albo zgłosi go na Facebooku do kolegi z IT. I tyle z procedury.

Kanały zgłoszeń i obowiązkowe formularze

Stwórz jeden, prosty formularz. Może być w intranecie, w systemie helpdesk, na dedykowanej platformie do zarządzania NIS2. Formularz powinien mieć maksymalnie 5-6 pól:

• kto zgłasza (imię, nazwisko, wydział),
• co się stało (krótki opis),
• kiedy to zauważono,
• jaki system/dane są zagrożone,
• czy są widoczne skutki (np. brak dostępu, wyciek danych).

Nie każ pracownikowi wypełniać arkusza kalkulacyjnego z 30 kolumnami. To odstrasza.

Progi eskalacji incydentów

Zdefiniuj trzy poziomy. Albo cztery, jeśli macie rozbudowaną strukturę. Przykład:

• Poziom niski – awaria lokalna, np. nie działa drukarka w jednym pokoju. Zgłaszasz do informatyka, on naprawia.
• Poziom średni – zagrożenie danych, np. podejrzany e-mail z załącznikiem, który ktoś otworzył. Eskalacja do analityka i decydenta.
• Poziom wysoki – paraliż urzędu, atak ransomware, wyciek danych mieszkańców. Natychmiastowa eskalacja do wójta/burmistrza, CSIRT NASK, a jeśli są dane osobowe – też do UODO.

Ustal ścieżkę: od kierownika komórki, przez dyrektora wydziału, aż do najwyższego kierownictwa. Każdy poziom eskalacji musi mieć wyznaczoną osobę i czas reakcji.

Krok 3: Wdróż procedurę reagowania – krok po kroku

Tu przechodzimy do konkretów. Procedura obsługi incydentu w JST to nie tylko papier, ale sekwencja działań. Zapisz je w formie checklisty.

Detekcja i weryfikacja incydentu

Pracownik zgłasza incydent. Analityk (lub dyżurny) weryfikuje w ciągu 15-30 minut. Jeśli potwierdzi – izoluje zagrożony system. Odłącza od sieci, wyłącza, blokuje dostęp. I robi kopię dowodów: logi, zrzuty ekranu, pliki podejrzane.

Ostrzeżenie: nie kasuj niczego. Nawet jeśli myślisz, że to "tylko spam". Dowody mogą być kluczowe dla CSIRT NASK lub w postępowaniu karnym.

Działania naprawcze i przywracanie ciągłości

Przeprowadź analizę przyczyn (root cause analysis). Dlaczego doszło do incydentu? To może być błąd ludzki (ktoś kliknął w link), luka w oprogramowaniu, słabe hasło. Wdróż łatki, zmień konfigurację, zresetuj hasła.

Przywracanie systemów z backupów – tylko jeśli masz pewność, że backup nie jest skażony. I pamiętaj o testach: przywróć najpierw na maszynie testowej, żeby sprawdzić, czy działa.

Raportowanie i dokumentacja powdrożeniowa

Po zakończeniu działań napisz raport końcowy. W nim: opis zdarzenia, podjęte działania, czas reakcji, co poszło dobrze, co źle, rekomendacje na przyszłość. To nie jest biurokracja dla zasady. To materiał do nauki i dowód dla audytora, że procedura działa.

Krok 4: Zintegruj procedurę z wymogami RODO i NIS2

Tu często pojawia się błąd. Gminy mają osobną procedurę na naruszenia danych osobowych (RODO) i osobną na incydenty cyber (NIS2). A one się zazębiają. Jeden incydent – na przykład wyciek danych z systemu – podlega pod obie regulacje.

Zgłaszanie naruszeń danych osobowych do PUODO

Jeśli incydent dotyczy danych osobowych (a w JST prawie każdy incydent ich dotyczy – dane mieszkańców, pracowników, uczniów), musisz zgłosić to do Prezesa UODO w ciągu 72 godzin. I to liczy się od momentu, kiedy dowiedziałeś się o naruszeniu, nie od zakończenia analizy.

Procedura obsługi incydentu w JST powinna zawierać osobny podpunkt: "Jeśli incydent obejmuje dane osobowe – niezwłocznie powiadom inspektora ochrony danych (IOD) i przygotuj zgłoszenie do UODO".

Zgłaszanie incydentów do CSIRT NASK

Incydenty cyber – ataki, awarie systemów, wycieki danych – zgłaszasz do CSIRT NASK. Najlepiej przez platformę na gov.pl. Terminy: wstępne w 24h, pełne w 72h, końcowe w miesiąc. I prowadź rejestr incydentów – może być wspólny dla RODO i NIS2, ale z odpowiednimi polami.

Platforma do zarządzania NIS2, jak nis2panel.pl, automatyzuje ten proces. Generuje raporty w odpowiednim formacie, przypomina o terminach, prowadzi rejestr. To ogromne ułatwienie, szczególnie dla mniejszych gmin i szkół, które nie mają etatowego specjalisty od cyberbezpieczeństwa.

Narzędzia i wzory dokumentów dla JST

Nie musisz pisać procedury od zera. Są gotowe wzory. Ale uwaga: gotowiec z internetu to dopiero punkt wyjścia. Musisz go dostosować do swojej struktury, systemów i ludzi.

Gotowe szablony procedur

Pobierz wzór procedury obsługi incydentu (w PDF lub Word) dostosowany do ustawy o KSC i NIS2. Szukaj takich, które zawierają:

• definicje incydentów,
• schemat zgłaszania,
• matrycę eskalacji,
• wzory formularzy,
• instrukcję postępowania krok po kroku.

Pamiętaj: procedura musi być zatwierdzona przez kierownictwo jednostki. To nie jest dokument do podpisu przez informatyka. To dokument zarządczy.

Systemy wspomagające – nis2panel.pl

Papierowa procedura to podstawa. Ale w praktyce – przy codziennym natłoku obowiązków – łatwo o niej zapomnieć. Dlatego warto wesprzeć się narzędziem.

nis2panel.pl to platforma SaaS zaprojektowana specjalnie dla JST, szkół i spółek komunalnych. Automatyzuje obieg zgłoszeń, eskalację i generowanie raportów dla CSIRT NASK i UODO. Działa w chmurze – nie potrzebujesz własnego serwera. Wdrożenie skraca czas reakcji na incydent średnio o 40% i minimalizuje ryzyko kar finansowych. A to nie są moje słowa – to dane z wdrożeń pilotażowych w polskich gminach.

Platforma integruje procedurę obsługi incydentu w JST z wymogami RODO i NIS2 w jednym miejscu. Masz rejestr, formularze, przypomnienia, raporty. I spokój, że nic ci nie umknie.

Częste błędy i jak ich uniknąć

Z doświadczenia – większość JST popełnia te same błędy. Oto trzy najczęstsze.

Brak testów procedury

Procedura leży w szufladzie. Nikt jej nie testował. A potem przychodzi prawdziwy incydent i okazuje się, że numery telefonów są nieaktualne, a formularz nie działa.

Rozwiązanie: przeprowadzaj ćwiczenia symulacyjne (tabletop exercises) co najmniej raz na kwartał. Symuluj atak ransomware, wyciek danych, awarię systemu. Sprawdzaj, czy procedura działa w praktyce.

Nieaktualne dane kontaktowe

Zmienił się informatyk. Odeszła sekretarka. A w procedurze wciąż stare numery. W kryzysowej sytuacji tracisz cenne godziny na szukanie ludzi.

Rozwiązanie: regularnie weryfikuj listę kontaktów do zespołu reakcyjnego i osób zastępujących. Co kwartał – przypomnienie do wszystkich o aktualizacji danych.

Pomijanie komunikacji wewnętrznej

Incydent jest, zespół reaguje, ale reszta pracowników nie wie, co się dzieje. Krążą plotki, panika, ludzie sami zaczynają "naprawiać" – często pogarszając sytuację.

Rozwiązanie: opracuj szablon komunikatu dla pracowników i mediów. Krótki, rzeczowy: "Mamy incydent, pracujemy nad rozwiązaniem, nie podejmujcie samodzielnych działań". To minimalizuje chaos informacyjny.

Podsumowanie i rekomendacje

Procedura obsługi incydentu w JST to nie tylko wymóg prawny. To fundament cyberodporności całego urzędu. Bez niej – nawet najlepsze firewalle i antywirusy nie ochronią cię przed chaosem po ataku.

Najważniejsze kroki w skrócie:

1. Zidentyfikuj zasoby i wyznacz role w zespole.
2. Opracuj prosty schemat zgłaszania i eskalacji.
3. Wdróż procedurę reagowania krok po kroku – od detekcji po raport.
4. Zintegruj ją z wymogami RODO i NIS2.
5. Testuj, aktualizuj, szkol ludzi.

Wdrożenie procedury z użyciem nis2panel.pl zapewnia pełną zgodność z NIS2 i RODO oraz gotowość audytową. Zacznij od audytu obecnych procesów – sprawdź, co już masz, czego brakuje. A potem wdroż wzór procedury krok po kroku. Nie odkładaj tego na później. Incydent nie czeka na dogodny moment.