Dzienniki Urzędowe - rok 2026 poz. 24

Na podstawie art. 34 ust. 1 ustawy z dnia 8 sierpnia 1996 r. o Radzie Ministrów (Dz. U. z 2025 r. poz. 780 oraz z 2026 r. poz. 160) zarządza się, co następuje:

MINISTER FUNDUSZY
I POLITYKI REGIONALNEJ

¹⁾ Minister Funduszy i Polityki Regionalnej kieruje działem administracji rządowej - rozwój regionalny, na podstawie § 1 ust. 2 rozporządzenia Prezesa Rady Ministrów z dnia 18 grudnia 2023 r. w sprawie szczegółowego zakresu działania Ministra Funduszy i Polityki Regionalnej (Dz. U. poz. 2711).

Załącznik do zarządzenia
Ministra Funduszy i Polityki
Regionalnej z dnia 10 sierpnia 2026 r.
(Dz. Urz. Min. Fun. i Pol.
Reg. poz. 24)

Metodyka zarządzania ryzykiem bezpieczeństwa informacji

Rozdział 1

Przepisy ogólne

§ 1. 1. Metodyka zarządzania ryzykiem bezpieczeństwa informacji, zwana dalej „Metodyką”, jest elementem zarówno systemu zarządzania bezpieczeństwem informacji, jak i systemu zarządzania ryzykiem w Ministerstwie Funduszy i Polityki Regionalnej, zwanym dalej „Ministerstwem”.

2. Metodyka nie stanowi podstawy do szacowania ryzyka w ramach kontroli zarządczej, ale może stanowić wsparcie podczas realizacji działań związanych z tą kontrolą.

3. Metodyka stanowi podstawowy dokument w zakresie szacowania ryzyka, w tym ryzyka w cyberprzestrzeni w Ministerstwie.

4. Metodyka określa metodę szacowania ryzyka i sposób postępowania z tym ryzykiem.

5. Metodyka stanowi realizację § 19 ust. 2 pkt 3 rozporządzenia Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz. U. poz. 773) w zakresie konieczności przeprowadzania okresowych analiz ryzyka w obszarze bezpieczeństwa informacji oraz podejmowania działań minimalizujących to ryzyko.

6. Metodyka opracowana została z wykorzystaniem obowiązujących standardów i norm, w szczególności norm ISO z serii ISO/IEC 2700x, i obejmuje trzy główne atrybuty informacji:

1) poufność;

2) integralność;

3) dostępność.

7. Szacowanie ryzyka przeprowadza się wobec wszystkich aktywów informacyjnych użytkowanych w Ministerstwie, ze szczególnym uwzględnieniem aktywów zawierających dane osobowe.

8. Metodykę stosują wszystkie komórki organizacyjne Ministerstwa.

9. Metodyki nie stosuje się do informacji niejawnych. Ryzyko towarzyszące przetwarzaniu informacji niejawnych jest zarządzane z wykorzystaniem odrębnej metodyki.

§ 2. Użyte w Metodyce określenia i skróty oznaczają:

1) akceptacja ryzyka - decyzję uprawnionej osoby o zaniechaniu działań mających na celu zmianę poziomu ryzyka;

2) aktywa informacyjne - wszystko, co stanowi wartość informacyjną dla Ministerstwa i w związku z tym wymaga ochrony;

3) analiza ryzyka - proces mający na celu poznanie charakteru ryzyka oraz określenie jego istotności; analiza ryzyka stanowi podstawę do oceny ryzyka oraz podejmowania decyzji w zakresie postępowania z ryzykiem;

4) członek kierownictwa Ministerstwa - Ministra, sekretarza stanu, podsekretarza stanu oraz Dyrektora Generalnego;

5) dostępność informacji - właściwość polegającą na tym, że informacja jest możliwa do wykorzystania przez uprawniony podmiot na jego żądanie w założonym czasie;

6) Dyrektor Generalny - Dyrektora Generalnego Ministerstwa;

7) dyrektor komórki organizacyjnej - dyrektora departamentu lub biura albo osobę kierującą komórką organizacyjną oraz Szefa Gabinetu Politycznego;

8) identyfikowanie ryzyka - proces polegający na poszukiwaniu, ustalaniu, zestawianiu i charakteryzowaniu zjawisk mogących mieć wpływ na poufność, integralność i dostępność posiadanych aktywów informacyjnych;

9) incydent - pojedyncze niepożądane lub niespodziewane zdarzenie związane z bezpieczeństwem informacji lub seria takich zdarzeń, które stwarzają znaczne prawdopodobieństwo zakłócenia funkcjonowania Ministerstwa i zagrażają bezpieczeństwu informacji;

10) integralność informacji - właściwość polegającą na tym, że informacja nie została zmodyfikowana w sposób nieuprawniony;

11) istotność ryzyka - punktową (lub procentową) wartość ryzyka wyliczaną jako iloczyn prawdopodobieństwa wystąpienia danego ryzyka i jego wpływu na realizację celów i zadań komórki organizacyjnej;

12) komórka organizacyjna - departament, biuro lub Gabinet Polityczny Ministra, wchodzące w skład Ministerstwa zgodnie ze statutem Ministerstwa;

13) końcowa wartość istotności ryzyka - poziom ryzyka pozostający po procesie postępowania z ryzykiem;

14) materializacja ryzyka - stan, w którym zagrożenie oddziałuje na aktywa informacyjne;

15) Minister - ministra właściwego do spraw rozwoju regionalnego;

16) ocena ryzyka - proces porównywania istotności ryzyka z określonymi kryteriami w celu określenia poziomu ryzyka;

17) Pełnomocnik - Pełnomocnika do spraw Bezpieczeństwa Informacji w Ministerstwie;

18) podatność - słabość aktywa informacyjnego wynikającą z jego specyfiki lub dotyczącego go zabezpieczenia, która może być wykorzystana przez co najmniej jedno zagrożenie;

19) postępowanie z ryzykiem - proces wyboru i wdrażania środków sterowania ryzykiem mających na celu zmianę poziomu ryzyka;

20) poufność informacji - właściwość polegającą na tym, że informacja nie jest udostępniana ani ujawniana nieautoryzowanym osobom, podmiotom lub procesom;

21) poziom ryzyka - wynik oceny ryzyka uzyskany przez porównanie jego istotności z przyjętą w Ministerstwie skalą ryzyk;

22) ryzyko - możliwość wystąpienia zdarzenia, które będzie miało negatywny wpływ na realizację celów i zadań komórki organizacyjnej;

23) skutek - zmianę, najczęściej niekorzystną, w odniesieniu do oczekiwanego poziomu lub stanu aktywów informacyjnych, powstałą w wyniku oddziaływania zagrożenia;

24) szacowanie ryzyka - całościowy proces składający się z identyfikowania, analizy i oceny ryzyka;

25) tabela – tabelę szacowania i postępowania z ryzykiem;

26) właściciel aktywów informacyjnych - osobę lub komórkę organizacyjną posiadającą aktywa materialne stanowiące wartość informacyjną;

27) właściciel ryzyka ? osobę lub komórkę organizacyjną odpowiedzialną za ryzyko wobec posiadanych aktywów informacyjnych.

§ 3. Metodyka opiera się na identyfikowaniu aktywów informacyjnych, które mają wpływ na funkcjonowanie i realizację celów i zadań Ministerstwa oraz na szacowaniu i zarządzaniu ryzykami związanymi z tymi aktywami. Działania w tym zakresie prowadzą do opracowania zbiorczego dokumentu informującego członków kierownictwa Ministerstwa o stanie bezpieczeństwa informacji przetwarzanych w Ministerstwie.

§ 4. 1. Pełnomocnik nadzoruje proces zarządzania ryzykiem bezpieczeństwa informacji, w tym jego szacowania.

2. W procesie zarządzania ryzykiem bezpieczeństwa informacji biorą udział wszyscy pracownicy Ministerstwa, w tym członkowie kierownictwa Ministerstwa i dyrektorzy komórek organizacyjnych.

§ 5. Schemat procesu zarządzania ryzykiem bezpieczeństwa informacji stanowi załącznik nr 1 do Metodyki.

Rozdział 2

Szacowanie ryzyka

§ 6. 1. Pełnomocnik inicjuje szacowanie ryzyka w Ministerstwie co najmniej raz w roku, nie później niż do końca trzeciego kwartału danego roku kalendarzowego.

2. Szacowanie ryzyka w Ministerstwie koordynuje Pełnomocnik, a szacowanie ryzyka w komórce organizacyjnej koordynuje dyrektor komórki organizacyjnej, wskazany przez niego zespół lub osoba, we współpracy z właścicielami aktywów informacyjnych. Właściciele aktywów informacyjnych są jednocześnie właścicielami ryzyk zidentyfikowanych wobec tych aktywów.

3. Wyniki szacowania ryzyka dokumentuje się w tabeli, której wzór stanowi załącznik nr 2 do Metodyki, oraz w raporcie z szacowania ryzyka, o którym mowa w § 30 ust. 2.

4. Pełnomocnik odpowiada za aktualizację tabeli i udostępnia ją w Intranecie w zakładce „Organizacja/Bezpieczeństwo/Zarządzanie Ryzykiem”.

§ 7. Szacując ryzyko należy brać pod uwagę kontekst w jakim funkcjonują aktywa informacyjne, w szczególności realizację zadań poza siedzibą Ministerstwa.

§ 8. 1. Pierwszym etapem szacowania ryzyka jest zidentyfikowanie wszystkich aktywów informacyjnych w komórkach organizacyjnych.

2. W ramach identyfikowania aktywów informacyjnych, o których mowa w ust. 1, dokonuje się ustalenia lub wskazania ich właścicieli.

§ 9. 1. Zidentyfikowane aktywa informacyjne należy wpisać do arkusza „Aktywa” w tabeli. Aktywa informacyjne wpisane w arkuszu „Aktywa” tabeli zostaną automatycznie podzielone i ujęte w jej kolejnych arkuszach (opisanych jako A1, A2, A3 itd.) w celu ich dalszej analizy.

2. Aktywa informacyjne, które podlegają identyfikowaniu, o którym mowa w § 8 ust. 1, obejmują w szczególności:

1) dane oraz wszelkie informacje wpływające na wartość Ministerstwa, w tym informacje udokumentowane elektronicznie oraz przetwarzane w formie papierowej;

2) zasoby ludzkie;

3) usługi i licencje, procesy zlecane na zewnątrz;

4) sprzęt informatyczny, w tym mobilny i stacjonarny, infrastruktura teleinformatyczna;

5) dane na nośnikach danych, w szczególności pendrive'ach, dyskach, płytach CD;

6) aplikacje, bazy danych;

7) urządzenia dostępowe i oprogramowanie;

8) systemy teleinformatyczne;

9) zabezpieczenia organizacyjne, techniczne oraz fizyczne i środowiskowe;

10) siedziba i nieruchomości oraz poszczególne pomieszczenia użytkowane przez Ministerstwo.

3. Przykładowy wykaz podstawowych aktywów informacyjnych stanowi załącznik nr 3 do Metodyki.

§ 10. 1. Identyfikowania zagrożeń wobec posiadanych aktywów informacyjnych dokonuje się z użyciem katalogu zagrożeń określonego w tabeli w arkuszu „Zagrożenia”. Katalog zagrożeń jest każdorazowo aktualizowany przez właściciela aktywów informacyjnych stosownie do posiadanej wiedzy i doświadczenia, w tym również zmieniającego się środowiska.

2. Identyfikowanie zagrożeń i podatności jest dokonywane przez właścicieli aktywów informacyjnych w szczególności w oparciu o posiadane informacje o tych zagrożeniach i podatnościach, w tym również o dotychczasowych incydentach mających związek z posiadanymi aktywami.

3. Poszczególne aktywa informacyjne mogą być związane z więcej niż jednym zagrożeniem, a każde zagrożenie może mieć inny wpływ na poufność, integralność i dostępność informacji.

4. Szacując prawdopodobieństwo zmaterializowania się zagrożenia oraz jego skutki dla poufności, integralności i dostępności informacji, należy uwzględnić zidentyfikowane podatności.

§ 11. Kolejny etap szacowania ryzyka stanowi analiza ryzyka, w ramach której:

1) przeprowadza się szacowanie poziomu prawdopodobieństwa materializacji ryzyka;

2) przeprowadza się szacowanie poziomu skutków materializacji ryzyka;

3) dokonuje się określenia pierwotnej wartości istotności ryzyka.

§ 12. 1. Szacowanie poziomu prawdopodobieństwa materializacji ryzyka, o którym mowa w § 11 pkt 1, związanego z analizowanym zagrożeniem przeprowadza się z wykorzystaniem skali, o której mowa w § 14.

2. Szacowanie poziomu skutków materializacji ryzyka, o którym mowa w § 11 pkt 2, związanego z analizowanym zagrożeniem wobec poufności, integralności i dostępności informacji przeprowadza się z wykorzystaniem skali, o której mowa w § 15.

3. W sposób opisany w ust. 1 i 2 analizę ryzyka przeprowadza się wobec wszystkich zidentyfikowanych aktywów informacyjnych (w kolejnych arkuszach tabeli). Analiza ryzyka kończy się określeniem pierwotnej (początkowej) wartości istotności ryzyka dla zidentyfikowanych aktywów informacyjnych.

§ 13. Pierwotna wartość istotności ryzyka (Rp), o której mowa w § 12 ust. 3, obliczana jest według wzoru:

R_p = P*(S_d+S_i+S_p)

gdzie:

R_p ? (od 0 do 48);

P - wartość przypisana prawdopodobieństwu materializacji ryzyka, P ? {0,1,2,3,4};

S_d - skutki dla dostępności informacji, Sd ? {0,1,2,3,4};

S_i - skutki dla integralności informacji, Si ? {0,1,2,3,4};

S_p - skutki dla poufności informacji, S_p ? {0,1,2,3,4}.

§ 14. Do szacowania poziomu prawdopodobieństwa materializacji ryzyka, o którym mowa w § 11 pkt 1, związanego z analizowanym zagrożeniem stosuje się metodę punktową, zgodnie z poniższą skalą:

§ 15. Do szacowania poziomu skutków materializacji ryzyka, o którym mowa w § 11 pkt 2, stosuje się metodę punktową, zgodnie z poniższą skalą:

§ 16. 1. W celu określenia pierwotnej wartości istotności ryzyka, o której mowa w § 12 ust. 3, w tabeli należy wykonać poniższe czynności:

1) dla aktywa ujętego w arkuszu „A-1” dokonuje się szacowania poziomu prawdopodobieństwa materializacji ryzyka związanego z zagrożeniem zidentyfikowanym i ujętym w kolumnie B tabeli. Następnie przyjęty poziom prawdopodobieństwa, zgodnie z opisem zawartym w § 14, wpisuje się w kolumnie C tabeli i wierszu odpowiadającym rozpatrywanemu zagrożeniu. Podczas szacowania prawdopodobieństwa należy uwzględnić posiadaną wiedzę na temat aktywa informacyjnego i związanych z nim podatności oraz charakteru zagrożenia. W tym celu należy w szczególności korzystać z dostępnych informacji dotyczących zaistniałych już zdarzeń związanych z analizowanym zagrożeniem w Ministerstwie lub innym podmiocie organizacyjnie podobnym do Ministerstwa lub funkcjonującym w sąsiedztwie Ministerstwa. Uwzględnić należy zmiany zachodzące w środowisku wewnętrznym i zewnętrznym Ministerstwa, mające wpływ na zwiększenie lub obniżenie poziomu prawdopodobieństwa materializacji ryzyka związanego z zagrożeniem;

2) w kolumnach D, E i F w arkuszu „A-1” szacuje się poziomy skutków (negatywnych następstw) materializacji ryzyka odpowiednio dla utraty poufności, integralności i dostępności informacji w odniesieniu do analizowanego aktywa informacyjnego, korzystając z wartości punktowych określonych w § 15;

3) po wykonaniu czynności, o których mowa w pkt 1 i 2, w kolumnie G tabeli dla arkusza „A-1” zostanie obliczona pierwotna wartość istotności ryzyka według wzoru określonego w § 13.

2. Czynności, o których mowa w ust. 1, należy wykonać dla wszystkich zidentyfikowanych aktywów informacyjnych ujętych w kolejnych arkuszach tabeli.

§ 17. 1. Ryzyka, dla których pierwotna wartość istotności ryzyka jest niższa lub równa 20% poziomu maksymalnego (R_p ≤ 9,6), podlegają automatycznej akceptacji. Ryzyka te pozostają pod nadzorem dyrektora komórki organizacyjnej przeprowadzającej szacowanie ryzyka jako właściciela ryzyka w ramach komórki organizacyjnej, w celu ich monitorowania.

2. Ryzyka, dla których pierwotna wartość istotności ryzyka zawiera się w przedziale więcej niż 20% i mniej lub równo 40% poziomu maksymalnego (9,6 < R_p ≤ 19,2), podlegają akceptacji przez dyrektora komórki organizacyjnej przeprowadzającej szacowanie ryzyka. Ryzyka te podlegają monitorowaniu oraz cyklicznej - nie rzadziej niż raz do roku - analizie.

3. Ryzyka, dla których pierwotna wartość istotności ryzyka jest większa od 40% poziomu maksymalnego (R_p > 19,2), przedstawiane są do akceptacji członków kierownictwa Ministerstwa reprezentowanych przez Dyrektora Generalnego.

4. Poziomy ryzyka określa się z wykorzystaniem skali stanowiącej załącznik nr 4 do Metodyki.

5. Ryzyka, o których mowa w ust. 1, automatycznie uznaje się za ryzyka końcowe (R_k).

§ 18. Wartości istotności ryzyka określone są liczbowo i procentowo.

§ 19. 1. W przypadku wprowadzania istotnej zmiany zakresu działania Ministerstwa lub danej komórki organizacyjnej, lub zaistnienia istotnych okoliczności mogących wpływać na realizację celów i zadań Ministerstwa lub danej komórki organizacyjnej, przeprowadza się ponowne szacowanie ryzyka i aktualizuje tabelę.

2. W sytuacji gdy wprowadzone zmiany lub zaistniałe okoliczności, o których mowa w ust. 1, dotyczą wyłącznie wybranych komórek organizacyjnych, szacowanie ryzyka inicjują i realizują te komórki organizacyjne.

3. W sytuacji uzasadnionej bezpieczeństwem informacji komórki organizacyjne są obowiązane do przeprowadzenia szacowania ryzyka na wniosek Biura Polityki Bezpieczeństwa lub Departamentu Informatyki.

§ 20. Za terminowe i poprawne szacowanie ryzyka w komórce organizacyjnej odpowiada dyrektor komórki organizacyjnej.

§ 21. Biuro Polityki Bezpieczeństwa i Departament Informatyki udzielają merytorycznej pomocy pozostałym komórkom organizacyjnym w zakresie szacowania ryzyka przez prowadzenie szkoleń i konsultacji.

Rozdział 3

Postępowanie z ryzykiem

§ 22. 1. Za postępowanie z ryzykiem odpowiada właściciel ryzyka.

2. Do planowania postępowania z ryzykiem korzysta się narzędzi określonych w arkuszu ,,Zabezpieczenia” w tabeli.

§ 23. 1. Dla każdego ryzyka, którego poziom oceniono jako progowy albo wysoki, należy wybrać co najmniej jeden z poniższych sposobów postępowania z ryzykiem:

1) sterowanie ryzykiem - ograniczanie poziomu ryzyka przez zastosowanie środka sterowania ryzykiem w postaci zabezpieczenia dobranego adekwatnie do charakteru tego ryzyka;

2) transfer ryzyka do strony trzeciej - w szczególności przez ubezpieczenie ryzyka lub podpisanie innych umów (z dostawcą, partnerem);

3) uniknięcie ryzyka przez zaprzestanie działań, które mogą to ryzyko powodować ? o ile prowadzenie tych działań nie jest obligatoryjnym wymogiem wynikającym z przepisów prawa;

4) akceptację ryzyka - dopuszczalną jedynie wtedy, gdy wybór innej opcji postępowania z ryzykiem wiązałby się z kosztami wyższymi niż skutki finansowe wystąpienia incydentu związanego z tym ryzykiem.

§ 24. W Ministerstwie przyjmuje się za nieakceptowalne ryzyka o pierwotnej wartości istotności większej niż 40% poziomu maksymalnego (19,2).

§ 25. W ramach postępowania z ryzykiem na poziomie nieakceptowalnym, dokonuje się jego ponownego szacowania z uwzględnieniem zaplanowanych do implementacji zabezpieczeń (przedsięwzięć mitygujących), zgodnie ze wzorem:

R_k = P×(S_d/?C_d+S_i/?C_i+S_p/?C_p)

gdzie:

R_k ? (od 0 do 48);

P - wartość przypisana prawdopodobieństwu materializacji ryzyka, P ? {0,1,2,3,4};

C - skuteczność zabezpieczenia, C_d, C_i, C_p ? {1,2,3,4}.

§ 26. Poziomy skuteczności zabezpieczeń określone są w następujący sposób:

§ 27. W celu wyznaczenia końcowej wartości istotności ryzyka w tabeli należy wykonać poniższe czynności:

1) w kolumnach H, L i P w arkuszach dotyczących poszczególnych aktywów informacyjnych należy wstawić po jednym z zadeklarowanych wcześniej w arkuszu „Zabezpieczenia” środków ograniczających ryzyko wraz z parametrami ich skuteczności na zachowanie poufności, integralności i dostępności informacji, które mają wpływ na ograniczenie ryzyka w zależności od wybranych zagrożeń;

2) po wykonaniu czynności, o których mowa w pkt 1, w kolumnie W („Końcowa wartość istotności ryzyka”) zostanie wyliczona końcowa wartość istotności ryzyka według wzoru określonego w § 25.

Rozdział 4

Właściciele ryzyka

§ 28. 1. W przypadku gdy dane ryzyko występuje w kilku komórkach organizacyjnych jego właścicielem jest komórka organizacyjna, w której dane ryzyko jest największe lub która ma największy wpływ na zarządzanie tym ryzykiem.

2. W przypadku trudności w zakresie określenia właściciela ryzyka w sposób, o którym mowa w ust. 1, właściciela ryzyka wskazuje Pełnomocnik.

3. W przypadku współdzielenia aktywów informacyjnych przez komórkę organizacyjną z podmiotem zewnętrznym, dyrektor komórki organizacyjnej przeprowadza szacowanie ryzyka z uwzględnieniem zasad opisanych w Metodyce.

4. W przypadku uzasadnionej potrzeby przeprowadzenia szacowania ryzyka z wykorzystaniem innych narzędzi i regulacji niż Metodyka, dyrektor komórki organizacyjnej jest obowiązany przed przystąpieniem do szacowania ryzyka uzyskać akceptację Pełnomocnika.

Rozdział 5

Monitorowanie i przeglądy ryzyk

§ 29. 1. Biuro Polityki Bezpieczeństwa i Departament Informatyki we współpracy z właścicielami ryzyk dokonują przeglądów istniejących ryzyk, identyfikacji nowych ryzyk oraz aktualizują tabelę.

2. Czynności, o których mowa w ust. 1, należy dokonywać co najmniej raz w roku, w szczególności w przypadku znaczących zmian organizacyjnych, zmian w stosowanych technologiach, celach i zadaniach Ministerstwa czy otoczeniu działania Ministerstwa.

3. Niezbędne jest stałe monitorowanie ryzyk przez właścicieli ryzyk w celu wykrycia zachodzących zmian i terminowego podejmowania działań w sytuacji wzrostu zagrożenia dla bezpieczeństwa aktywów informacyjnych. Monitorując ryzyka właściciele ryzyk uwzględniają w szczególności następujące czynniki:

1) nowe aktywa informacyjne, które zostały włączone w zakres zarządzania ryzykiem bezpieczeństwem informacji;

2) konieczne modyfikacje wartości aktywów informacyjnych, w szczególności z powodu zmian organizacyjnych lub zmian celów i zadań Ministerstwa;

3) nowe zagrożenia, które mogą być aktywne zarówno na zewnątrz, jak i wewnątrz Ministerstwa, i które dotąd nie zostały oszacowane;

4) nowe podatności pod kątem możliwości ich wpływu na istniejące podatności;

5) zidentyfikowane rodzaje podatności w celu określenia tych, które są narażone na nowe lub pojawiające się powtórnie zagrożenia;

6) większe skutki lub następstwa oszacowanych zagrożeń, rodzajów podatności i typów ryzyka, które razem powodują nieakceptowalny poziom ryzyka;

7) incydenty związane z bezpieczeństwem informacji.

4. Działanie, o którym mowa w ust. 3, może być wspierane przez usługi zewnętrzne, które mogą w szczególności dostarczać informacji dotyczących nowych zagrożeń lub nowych rodzajów podatności.

Rozdział 6

Raportowanie

§ 30. 1. Komórki organizacyjne przeprowadzające szacowanie ryzyka dokumentują, z wykorzystaniem tabeli, wyniki tego szacowania, sposób postępowania z ryzykiem oraz wszystkie kolejne przeglądy.

2. Dyrektorzy komórek organizacyjnych przeprowadzających szacowanie ryzyka monitorują postępy we wdrażaniu planów postępowania z ryzykiem oraz - co najmniej raz w roku - raportują do Pełnomocnika wyniki postępowania z ryzykiem. Dyrektor komórki organizacyjnej, która przeprowadziła szacowanie ryzyka, sporządza raport z szacowania ryzyka i przesyła go wraz z tabelą Pełnomocnikowi.

3. Raport z szacowania ryzyka, o którym mowa w ust. 2, powinien co najmniej:

1) zawierać:

a) podsumowanie wyników szacowania ryzyka,

b) wnioski wynikające z wyników, o których mowa w pkt 1;

2) opisywać:

a) charakter podatności zidentyfikowanych wobec analizowanych aktywów informacyjnych oraz

b) inne istotne w ocenie komórki organizacyjnej informacje dotyczące ryzyk i skuteczności zarządzania nimi.

4. Pełnomocnik, co najmniej raz w roku, przeprowadza analizę w zakresie ryzyka w Ministerstwie, uwzględniając informacje przekazane przez komórki organizacyjne. Na podstawie przekazanych informacji Pełnomocnik opracowuje informację zbiorczą i przekazuje ją Dyrektorowi Generalnemu. Pełnomocnik może przekazać Dyrektorowi Generalnemu raporty z szacowania ryzyka, o których mowa w ust. 2, niezwłocznie po ich otrzymaniu, jeśli wymaga tego sytuacja wynikająca z wyników zawartych w tych raportach.

Rozdział 7

Zarządzanie dokumentacją

§ 31. 1. Zarządzanie dokumentacją w zakresie szacowania ryzyka określa załącznik nr 5 do Metodyki.

2. Pełnomocnik oraz dyrektorzy komórek organizacyjnych przeprowadzających szacowanie ryzyka mogą przyznawać dostęp do tabeli lub raportu z szacowania ryzyka, o którym mowa w § 30 ust. 2, oraz planu postępowania z ryzykiem także pracownikom, którzy nie przeprowadzali danego szacowania.

Rozdział 8

Konsultowanie ryzyka

§ 32. 1. Konsultowanie szacowania ryzyka przez komórki organizacyjne pozostaje w zakresie działania Biura Polityki Bezpieczeństwa i Departamentu Informatyki, które udzielają niezbędnej pomocy na wniosek komórki organizacyjnej.

2. Osoby uczestniczące w zarządzaniu ryzykiem bezpieczeństwa informacji mogą na bieżąco konsultować się z Pełnomocnikiem oraz wyznaczonymi pracownikami Biura Polityki Bezpieczeństwa i Departamentu Informatyki w zakresie postępowania z ryzykiem.

3. Ostateczną decyzję dotyczącą poziomów zidentyfikowanych ryzyk i sposobu postępowania z nimi podejmuje dyrektor komórki organizacyjnej będącej właścicielem aktywów informacyjnych. Przyjęte wyniki szacowania ryzyka komórki organizacyjne przekazują do wiadomości Pełnomocnika.