Nowe prawo: certyfikat cyberbezpieczeństwa dla małych firm. Po co ci „Firma Bezpieczna Cyfrowo” i co trzeba będzie spełnić?

• Cyberbezieczeństwo: stara nazwa, nowa ranga
• Kto może starać się o certyfikat
• Co musisz mieć w firmie
• Wniosek, umowa, ocena – jak wygląda procedura
• Po co ci certyfikat
• Certyfikat zobowiązuje
• Projekt:

Projekt rozporządzenia ministra cyfryzacji w sprawie krajowego schematu certyfikacji cyberbezpieczeństwa – Firma Bezpieczna Cyfrowo nosi datę 3 listopada 2026 r. Jak podał resort w komunikacie z 13 listopada, dzień wcześniej dokument trafił do uzgodnień międzyresortowych, konsultacji publicznych i opiniowania. Rozporządzenie ma wykonać upoważnienie z art. 15 ust. 1 ustawy z 25 czerwca 2025 r. o krajowym systemie certyfikacji cyberbezpieczeństwa, która obowiązuje od 28 sierpnia 2025 r.

Cyberbezieczeństwo: stara nazwa, nowa ranga

Sama nazwa nie jest nowa. Prywatny program certyfikacji „Firma Bezpieczna Cyfrowo” NASK – Państwowy Instytut Badawczy prowadzi od 2022 r. Teraz ma zyskać rangę krajowego schematu określonego w rozporządzeniu. Zmieni się też rola NASK: instytut ma autoryzować jednostki oceniające zgodność, a według uzasadnienia projektu sam nie będzie wydawał certyfikatów w nowym schemacie.

Kto może starać się o certyfikat

Schemat jest adresowany do mikroprzedsiębiorców, małych i średnich przedsiębiorców oraz podmiotów publicznych – jak podkreśla resort, niezależnie od sektora. Duże przedsiębiorstwa nie zostały nim objęte.

Certyfikat nie dotyczy produktu ani usługi, lecz procesu zarządzania cyberbezpieczeństwem, czyli tego, jak firma na co dzień chroni swoje systemy i dane. Ocena może objąć całą organizację albo jej określoną część. Certyfikat dla wyodrębnionej części firmy nie potwierdza, że wymogi spełniają pozostałe obszary jej działalności, dlatego kontrahent powinien sprawdzić zakres wskazany w dokumencie. Certyfikacja jest dobrowolna.

Co musisz mieć w firmie

Wymogi są dwojakiego rodzaju. Załącznik nr 1 wymienia trzy wymagania organizacyjne: musisz określić, jaką część firmy obejmuje certyfikacja, zidentyfikować zasoby związane z informacjami i ich przetwarzaniem oraz ustalić, z jakich usług chmurowych dostarczanych przez zewnętrzne firmy korzystasz. Wymogi techniczne projekt dzieli na siedem obszarów:

• zabezpieczenia brzegowe (firewall) – ochrona sieci i udokumentowane zasady konfiguracji zabezpieczeń,
• bezpieczna konfiguracja – m.in. zmiana domyślnych haseł natychmiast po instalacji i usuwanie zbędnego oprogramowania,
• zarządzanie aktualizacjami – w tym postępowanie z podatnościami i usuwanie niewspieranego oprogramowania,
• kontrola dostępu użytkowników – polityka haseł, bezpieczne logowanie i regularny przegląd uprawnień uprzywilejowanych,
• ochrona przed złośliwym oprogramowaniem – aktualizowany antywirus, listy dozwolonych aplikacji, blokowanie złośliwych stron i szkolenia użytkowników,
• kopie zapasowe – wykonywane regularnie, zgodnie z ustaloną polityką,
• ochrona oferowanych usług cyfrowych – zabezpieczenie przesyłanych i przechowywanych danych, uwierzytelnianie użytkowników.

To katalog podstawowych zabezpieczeń. Załączniki z wymaganiami dla firmy ubiegającej się o certyfikat nie przewidują np. odrębnego obowiązku posiadania procedury obsługi incydentów ani planu ciągłości działania.

Wniosek, umowa, ocena – jak wygląda procedura

Certyfikat wyda jednostka oceniająca zgodność, która ma akredytację Polskiego Centrum Akredytacji w zakresie tego schematu oraz autoryzację NASK–PIB. Procedura składa się z czterech kroków:

1. Składasz do jednostki wniosek o ocenę zgodności. Podajesz w nim m.in. dane firmy, osoby do kontaktu i zakres organizacji objęty oceną. Dołączasz dokumenty potwierdzające spełnienie wymogów.
2. Podpisujesz z jednostką umowę o ocenę zgodności.
3. Jednostka analizuje wniosek, dokumenty i politykę bezpieczeństwa, bada stosowane zabezpieczenia i sprawdza, czy polityka jest faktycznie wykonywana.
4. Po pomyślnej ocenie jednostka wydaje certyfikat – w ciągu 30 dni od podpisania umowy.

Certyfikat ma być ważny trzy lata. Wniosek o przedłużenie, z dokumentacją potwierdzającą dalsze spełnianie wymogów, trzeba będzie złożyć najpóźniej miesiąc przed upływem ważności.

Po co ci certyfikat

Najmocniejszy argument dotyczy relacji z kontrahentami. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która od 3 kwietnia 2026 r. wdraża dyrektywę NIS2, wymaga od podmiotów kluczowych i ważnych m.in. dbania o bezpieczeństwo łańcucha dostaw. Współpraca z takim podmiotem nie nakłada na dostawcę jego obowiązków, ale klient może stawiać mu dodatkowe wymagania. W dokumentach dołączonych do projektu resort wskazuje, że certyfikaty będzie można wykorzystywać przy weryfikacji kontrahentów i bezpieczeństwa łańcucha dostaw.

Drugi argument to przetargi: według uzasadnienia schemat będzie mógł zostać wykorzystany w postępowaniach o udzielenie zamówienia publicznego. O jego przydatności zdecydują jednak wymagania konkretnego zamówienia – sam nie zapewnia dodatkowych punktów. Trzeci to wizerunek. Ministerstwo zapowiada, że certyfikat będzie można wykorzystywać w marketingu, a dla konsumentów ma on być wskazówką, czy firma dba o ich dane. Ze standardu może też skorzystać firma, która o certyfikat nie wystąpi.

Certyfikat zobowiązuje

Z ustawy wynika, że przez cały okres ważności certyfikatu firma musi spełniać wymogi schematu i przekazywać jednostce istotne informacje, w tym o wykrytych podatnościach. Jednostka będzie to monitorować. Gdy stwierdzi niezgodność, masz 14 dni od otrzymania informacji o niej na przedstawienie propozycji, jak ją usunąć, i dwa miesiące od akceptacji tych propozycji na ich wykonanie. Brak propozycji, niedotrzymanie terminu albo uniemożliwienie sprawdzenia efektów kończą się cofnięciem certyfikatu.

Jednostka może też zawiesić certyfikat, najwyżej na trzy miesiące – m.in. gdy firma nie wywiązuje się z umowy albo niewłaściwie powołuje się na certyfikat. Uważaj na marketing: przed wydaniem certyfikatu nie wolno promować się jako firma certyfikowana, a po zawieszeniu lub cofnięciu trzeba tego zaprzestać. Posiadaczy certyfikatów może ponadto kontrolować minister cyfryzacji. Za uniemożliwianie lub utrudnianie kontroli ustawa przewiduje karę do 20-krotności przeciętnego wynagrodzenia.

Projekt:

• projekt rozporządzenia ministra cyfryzacji w sprawie krajowego schematu certyfikacji cyberbezpieczeństwa – Firma Bezpieczna Cyfrowo, wersja z 3 listopada 2026 r.