Dokument opisuje, jak proces powinien działać. Dowód pokazuje, że został wykonany. Skuteczny SZBI musi łączyć wymaganie, właściciela, czynność, zapis i przegląd — bo w kontroli i audycie dokumentacja operacyjna (dowody działania) waży więcej niż sama warstwa normatywna.
Materiał edukacyjny
Wymagania dotyczące zakresu i okresu przechowywania dowodów wynikają z przepisów i powinny zostać zweryfikowane dla konkretnego podmiotu. Materiał nie stanowi opinii prawnej.
Łańcuch, który musi się domykać
Organizacja powinna potrafić przedstawić spójny łańcuch: wymaganie → polityka/procedura → właściciel → wykonanie → zapis → przegląd → działanie naprawcze. Przerwanie go w dowolnym miejscu (np. procedura bez zapisów albo zapis bez przeglądu) to typowa luka ujawniana w kontroli.
Katalog dowodów wg obszaru
| Obszar | Przykładowe dowody |
|---|---|
| Governance | uchwały, mandaty i protokoły zarządcze, zatwierdzony zakres, decyzje budżetowe |
| Ryzyko | rejestr ryzyka, akceptacje ryzyka, plan postępowania, wyniki BIA |
| Dostęp | wnioski, przeglądy uprawnień, odebranie dostępu (Joiner–Mover–Leaver) |
| Podatności i aktualizacje | skany, SLA usunięcia, zarejestrowane wyjątki |
| Monitoring | raporty SOC/SIEM, alerty i zapis reakcji |
| Incydenty | oś czasu, zgłoszenia, aktualizacje, sprawozdanie końcowe, post-mortem |
| Ciągłość | wyniki testów backupu i odtworzenia, protokoły ćwiczeń BCP/DRP |
| Dostawcy | oceny ryzyka, klauzule umowne, przeglądy, prawa audytu |
| Szkolenia | listy obecności, zakres, wynik testu wiedzy, coroczne szkolenie kierownictwa |
| Doskonalenie | audyty, niezgodności i działania korygujące, przeglądy skuteczności |
Wymagania jakości dowodu
- odnosi się do właściwego zakresu,
- ma datę i właściciela,
- jest kompletny i można ustalić jego źródło,
- pokazuje wynik, nie tylko wykonanie czynności,
- jest chroniony przed nieuprawnioną zmianą,
- podlega retencji,
- prowadzi do reakcji, gdy wynik jest negatywny.
Nie twórz dowodów wstecz
Uzupełnianie zapisów „pod kontrolę” i fikcyjne zamykanie działań to poważne ryzyko — także wiarygodności wobec organu. Dowód ma powstawać z realnego wykonania procesu, nie na jego pozór.
Dokument (polityka, procedura) opisuje zasadę. Dowód (rejestr, protokół, raport z testu, log) pokazuje, że zasada została zastosowana. W kontroli KSC to dowody działania decydują o ocenie skuteczności, nie sama liczba dokumentów.
Źródła: ustawa z 23.01.2026 r. o zmianie ustawy o KSC (Dz.U. 2026 poz. 252) oraz materiały Ministerstwa Cyfryzacji. Materiał ma charakter edukacyjny i nie stanowi opinii prawnej.
Chcesz wiedzieć, których dowodów Ci brakuje?
Audyt zerowy i przegląd dokumentacji pokażą, gdzie łańcuch dowodowy się rwie — i jak go domknąć przed kontrolą.
Przewodnik po ustawie KSC 2026 (PDF)