Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wprowadziła dla podmiotów objętych regulacją szereg obowiązków związanych z zarządzaniem cyberbezpieczeństwem. Jednym z najważniejszych jest wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI).
Dla resellera domen pojawia się jednak praktyczne pytanie:
Czy reseller musi stworzyć i utrzymywać własny SZBI, czy może oprzeć bezpieczeństwo na infrastrukturze operatora, rejestratora lub dostawcy technologii?
Odpowiedź nie jest tak prosta, jak mogłoby się wydawać.
Przede wszystkim trzeba ustalić, czy konkretny reseller jest podmiotem objętym obowiązkami KSC. Sama sprzedaż lub odsprzedaż domen nie oznacza automatycznie, że każda firma działająca w tym modelu podlega wszystkim obowiązkom ustawy.
Jeżeli jednak dany podmiot jest objęty KSC, obowiązki dotyczące bezpieczeństwa informacji trzeba analizować również w kontekście jego własnej organizacji, procesów i odpowiedzialności.
Czym właściwie jest SZBI?
SZBI, czyli System Zarządzania Bezpieczeństwem Informacji, nie jest pojedynczym programem komputerowym ani konkretnym serwerem.
To zestaw zasad, procedur, odpowiedzialności oraz środków organizacyjnych i technicznych, które mają zapewnić odpowiedni poziom bezpieczeństwa informacji i systemów wykorzystywanych przez organizację.
W praktyce SZBI może obejmować między innymi:
* analizę i zarządzanie ryzykiem,
* zasady nadawania dostępów,
* ochronę systemów informatycznych,
* zarządzanie incydentami,
* procedury reagowania na zagrożenia,
* bezpieczeństwo dostawców,
* ciągłość działania,
* tworzenie i przechowywanie dokumentacji,
* szkolenia pracowników,
* okresowe przeglądy zastosowanych zabezpieczeń.
Znowelizowana ustawa KSC przewiduje dla podmiotów objętych regulacją m.in. systematyczne szacowanie ryzyka, stosowanie odpowiednich środków technicznych i organizacyjnych, zarządzanie incydentami oraz uwzględnienie bezpieczeństwa łańcucha dostaw.
Czy każdy reseller domen musi mieć SZBI?
Nie.
Pierwszym krokiem nie powinno być więc kupowanie dokumentacji SZBI ani rozpoczynanie audytu.
Najpierw trzeba odpowiedzieć na pytanie:
Czy moja firma jest podmiotem kluczowym albo ważnym w rozumieniu ustawy o KSC?
Ustawa określa konkretne kryteria kwalifikacji. W przypadku infrastruktury cyfrowej obejmuje ona m.in. rejestry nazw domen najwyższego poziomu oraz podmioty świadczące usługi rejestracji nazw domen. Jednocześnie status konkretnego przedsiębiorcy zależy od tego, jak jego działalność mieści się w ustawowych definicjach i kryteriach.
Dlatego nie należy stosować prostego założenia:
„Mam konto resellerskie u rejestratora, więc automatycznie podlegam KSC”.
Tak samo nie można przyjąć odwrotnego założenia:
„Nie mam własnych serwerów, więc KSC mnie nie dotyczy”.
Decydujące znaczenie ma rzeczywisty zakres działalności i status prawny danego podmiotu.
Reseller nieposiadający własnej infrastruktury
To jeden z najważniejszych przypadków w praktyce.
Załóżmy, że firma:
* nie posiada własnego centrum danych,
* nie utrzymuje własnych serwerów DNS,
* korzysta z API operatora,
* korzysta z systemu rejestratora,
* wykorzystuje zewnętrzny hosting,
* a domeny rejestruje za pośrednictwem dostawcy hurtowego.
Czy oznacza to, że może całkowicie przenieść odpowiedzialność za cyberbezpieczeństwo na dostawców?
Nie należy tak tego interpretować.
Outsourcing infrastruktury może znacząco ograniczyć zakres własnych zabezpieczeń technicznych, ale nie oznacza automatycznego przeniesienia wszystkich obowiązków organizacyjnych.
Jeżeli firma podlega KSC, nadal musi odpowiednio zarządzać bezpieczeństwem swojej działalności.
Może natomiast korzystać z rozwiązań i usług zewnętrznych jako elementu realizacji tych obowiązków.
SZBI nie oznacza, że musisz posiadać własne serwery
To bardzo ważne rozróżnienie.
Własny SZBI ≠ własna infrastruktura IT.
Firma może korzystać z:
* zewnętrznego operatora domen,
* zewnętrznego DNS,
* chmury,
* hostingu,
* zewnętrznych systemów bezpieczeństwa,
* usług monitoringu,
* usług backupu,
* zewnętrznego SOC,
* zewnętrznych narzędzi do obsługi incydentów.
Nie oznacza to jednak, że nie potrzebuje żadnych własnych zasad.
Jeżeli firma podlega KSC, powinna wiedzieć między innymi:
jakie systemy wykorzystuje, kto ma do nich dostęp, jakie ryzyka występują, kto odpowiada za bezpieczeństwo, jak reaguje na incydent oraz jak wygląda zależność od dostawców.
To właśnie dlatego SZBI należy traktować przede wszystkim jako system zarządzania bezpieczeństwem, a nie jako zakup konkretnego produktu.
Co powinien zrobić reseller?
Jeżeli po analizie okaże się, że firma jest objęta KSC, warto przejść przez kilka podstawowych obszarów.
1. Określić zakres działalności
Najpierw trzeba ustalić, jakie usługi firma rzeczywiście świadczy i które systemy są wykorzystywane do ich realizacji.
W przypadku resellera mogą to być np.:
* panel klienta,
* system automatycznej rejestracji domen,
* API,
* system płatności,
* system fakturowania,
* DNS,
* poczta,
* system zgłoszeń,
* systemy administracyjne.
Nie wszystkie muszą być traktowane identycznie.
2. Zidentyfikować zależności od dostawców
Reseller powinien wiedzieć, które elementy działalności zależą od zewnętrznych dostawców.
Przykładowo:
klient → panel resellera → API → operator domeny → rejestr → DNS
Jeżeli któryś z tych elementów przestanie działać, trzeba wiedzieć:
* co się stanie,
* jak długo firma może działać bez danego systemu,
* kto odpowiada za usunięcie problemu,
* czy istnieje rozwiązanie awaryjne.
Bez takiej wiedzy trudno mówić o rzeczywistym zarządzaniu ryzykiem.
3. Określić uprawnienia
W przypadku resellera domen bezpieczeństwo dostępu ma szczególne znaczenie.
Trzeba przeanalizować między innymi:
* kto ma dostęp do panelu,
* kto może rejestrować domeny,
* kto może zmieniać DNS,
* kto może wykonywać operacje przez API,
* kto może zarządzać klientami,
* kto ma dostęp administracyjny,
* czy dostęp jest chroniony MFA,
* czy uprawnienia są odbierane po odejściu pracownika.
To obszar, który powinien być częścią szerszego systemu bezpieczeństwa.
4. Przygotować procedurę incydentów
Co się stanie, jeśli:
* ktoś przejmie konto administratora,
* wycieknie klucz API,
* dojdzie do nieautoryzowanej zmiany DNS,
* system rejestracji domen przestanie działać,
* dostawca będzie niedostępny,
* firma wykryje cyberatak?
Nie wystarczy wiedzieć, że „administrator się tym zajmie”.
Potrzebna jest określona ścieżka postępowania, odpowiedzialności i eskalacji.
KSC przewiduje obowiązki dotyczące zarządzania incydentami oraz przygotowania procedur ich obsługi i zgłaszania.
A co z dokumentacją SZBI?
Dokumentacja jest ważnym elementem systemu, ale sama dokumentacja nie jest SZBI.
To bardzo istotne.
Można kupić gotowy zestaw kilkudziesięciu dokumentów i nadal nie mieć prawidłowo funkcjonującego systemu bezpieczeństwa.
Dlatego prawidłowa kolejność powinna wyglądać mniej więcej tak:
analiza działalności → identyfikacja ryzyk → określenie zabezpieczeń → procedury → odpowiedzialności → dokumentacja → wdrożenie → przegląd.
Dokument powinien odzwierciedlać rzeczywisty sposób działania firmy, a nie odwrotnie.
Czy można korzystać z gotowych dokumentów?
Tak, gotowe materiały mogą znacząco ułatwić przygotowanie organizacji.
Trzeba jednak dostosować je do rzeczywistej działalności przedsiębiorstwa.
Dotyczy to szczególnie resellera domen, ponieważ jego model działania może znacząco różnić się od:
* firmy hostingowej,
* software house’u,
* operatora telekomunikacyjnego,
* dużej organizacji posiadającej własne centrum danych.
Inne będą systemy, inne zależności i inne ryzyka.
Czy operator może „zrobić SZBI za resellera”?
Nie w prostym znaczeniu tego słowa.
Operator lub dostawca technologii może zapewnić określone elementy bezpieczeństwa, np.:
* zabezpieczenie infrastruktury,
* monitoring,
* backup,
* ochronę przed atakami,
* redundancję,
* mechanizmy kontroli dostępu,
* bezpieczeństwo platformy API.
Może więc ograniczyć zakres infrastruktury, którą reseller musi samodzielnie zabezpieczać.
Nie oznacza to jednak automatycznie, że reseller nie musi posiadać własnych zasad dotyczących bezpieczeństwa swojej organizacji — jeżeli sam podlega KSC.
To różnica między:
„dostawca zabezpiecza swoją usługę”
a
„moja firma zarządza bezpieczeństwem swojej działalności”.
Własny SZBI a korzystanie z usług zewnętrznych
W praktyce można więc wyróżnić dwa modele.
Model 1: własna infrastruktura
Reseller posiada znaczną część infrastruktury samodzielnie.
Wtedy zakres odpowiedzialności obejmuje więcej elementów:
* serwery,
* sieć,
* DNS,
* backup,
* monitoring,
* zabezpieczenia,
* aktualizacje,
* konta administracyjne,
* procedury awaryjne.
Wdrożenie SZBI może być bardziej rozbudowane.
Model 2: infrastruktura zewnętrzna
Reseller korzysta z infrastruktury operatora lub innych dostawców.
Wtedy część ryzyk technicznych jest związana z usługami zewnętrznymi.
Nie oznacza to jednak braku obowiązków. Przeciwnie — bardzo ważnym elementem staje się zarządzanie dostawcami i łańcuchem dostaw.
UKE wskazuje wprost na obowiązek uwzględnienia bezpieczeństwa i ciągłości działania łańcuchów dostaw w ramach obowiązków KSC.
Czy mały reseller też może mieć obowiązki?
Tak, wielkość firmy nie powinna być traktowana jako jedyny argument przesądzający o braku obowiązków.
Przepisy przewidują kryteria dotyczące m.in. wielkości przedsiębiorstwa i rodzaju prowadzonej działalności. W niektórych przypadkach również mikro- i małe przedsiębiorstwa mogą podlegać określonym wymaganiom, a UKE wskazuje np. na szczególne zasady dotyczące liczby osób wyznaczonych do kontaktu z podmiotami KSC.
Dlatego argument:
„Mam tylko kilku pracowników, więc KSC mnie nie dotyczy”
nie jest wystarczającą podstawą do oceny sytuacji.
Co z resellerem, który korzysta z HRD?
Jeżeli reseller korzysta z infrastruktury zewnętrznego operatora, powinien przede wszystkim ustalić, które elementy bezpieczeństwa są zapewniane przez operatora, a które pozostają po jego stronie.
Warto mieć jasno określone:
* kto odpowiada za infrastrukturę,
* kto zapewnia backup,
* kto monitoruje systemy,
* jak zgłaszane są incydenty,
* kto odpowiada za bezpieczeństwo API,
* jak wygląda zarządzanie dostępami,
* jakie są procedury awaryjne,
* jakie informacje dotyczące bezpieczeństwa są dostępne dla resellera.
To pozwala uniknąć sytuacji, w której firma zakłada, że „wszystkim zajmuje się dostawca”, podczas gdy część odpowiedzialności pozostaje po jej stronie.
Czy SZBI musi być skomplikowany?
Nie ma sensu budować systemu bardziej skomplikowanego niż wymaga tego rzeczywisty poziom ryzyka.
KSC przewiduje stosowanie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych.
Dla małego resellera posiadającego niewielki zespół i korzystającego z zewnętrznej infrastruktury model bezpieczeństwa może wyglądać zupełnie inaczej niż w dużej firmie posiadającej własną serwerownię.
Najważniejsze jest, aby system był:
* rzeczywiście wdrożony,
* adekwatny do ryzyka,
* znany osobom odpowiedzialnym,
* udokumentowany,
* regularnie przeglądany.
Terminy, o których powinien pamiętać reseller
Dla podmiotów, które spełniały przesłanki uznania za podmiot kluczowy lub ważny w dniu wejścia w życie nowych przepisów, istotne są trzy daty.
3 października 2026 r. – termin wpisu do Wykazu KSC dla podmiotów objętych obowiązkiem samorejestracji.
3 kwietnia 2027 r. – termin wdrożenia obowiązków wynikających z nowych przepisów, w tym dotyczących SZBI i rozpoczęcia korzystania z S46.
3 kwietnia 2028 r. – termin pierwszego obowiązkowego audytu dla określonych podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych.
Nie oznacza to jednak, że każdy reseller domen automatycznie podlega wszystkim tym terminom. Najpierw należy ustalić status konkretnego przedsiębiorstwa.
SZBI to nie tylko koszt
W dyskusjach o KSC SZBI często pojawia się jako kolejny koszt dla przedsiębiorcy.
Warto jednak spojrzeć na niego również od strony organizacyjnej.
Dobrze przygotowany system pozwala odpowiedzieć na podstawowe pytania:
* kto ma dostęp do najważniejszych systemów,
* gdzie znajdują się dane,
* jakie są najważniejsze zależności,
* co zrobić w przypadku awarii,
* jak reagować na incydent,
* kto podejmuje decyzję,
* którzy dostawcy są krytyczni,
* jak przywrócić działalność po awarii.
Dla resellera domen są to kwestie szczególnie istotne, ponieważ domeny, DNS, API i systemy automatycznej obsługi są bezpośrednio związane z ciągłością usług świadczonych klientom.
Czy reseller powinien zacząć od SZBI?
Nie.
Najpierw powinien ustalić, czy KSC rzeczywiście go obejmuje.
Dopiero później warto przejść do:
1. określenia zakresu działalności,
2. identyfikacji systemów,
3. analizy ryzyka,
4. określenia odpowiedzialności,
5. oceny dostawców,
6. przygotowania procedur,
7. przygotowania dokumentacji,
8. wdrożenia zabezpieczeń,
9. testowania procedur,
10. okresowego przeglądu.
Jeżeli chcesz zobaczyć szerszą listę działań przygotowawczych, warto zacząć od naszego poradnika „KSC dla resellera domen – checklista przygotowania firmy krok po kroku”.
Następnym krokiem jest natomiast policzenie, ile takie przygotowanie może realnie kosztować.
Podsumowanie
Czy reseller domen musi mieć własny SZBI?
Jeżeli konkretny reseller jest podmiotem objętym obowiązkami KSC, powinien wdrożyć wymagany system zarządzania bezpieczeństwem informacji.
Nie oznacza to jednak konieczności budowania własnej infrastruktury IT.
Reseller może korzystać z zewnętrznych operatorów, chmury, hostingu, DNS czy innych usług. Powinien jednak wiedzieć, które elementy bezpieczeństwa zapewnia dostawca, a za które odpowiada jego własna organizacja.
Najważniejsze jest więc nie pytanie:
„Czy mam własne serwery?”
ale:
„Za jakie elementy procesu świadczenia usług odpowiada moja firma i jak zarządzam związanym z nimi ryzykiem?”
To właśnie od tego powinno rozpocząć się podejście do SZBI w firmie resellerskiej.
FAQ
Czy każdy reseller domen musi wdrożyć SZBI?
Nie. Najpierw należy ustalić, czy konkretny podmiot spełnia ustawowe kryteria objęcia KSC.
Czy brak własnych serwerów oznacza brak obowiązków KSC?
Nie. Korzystanie z zewnętrznej infrastruktury nie jest samo w sobie podstawą do wyłączenia z KSC.
Czy SZBI oznacza konieczność posiadania własnej infrastruktury?
Nie. SZBI jest systemem zarządzania bezpieczeństwem informacji, a nie konkretną infrastrukturą techniczną.
Czy operator może zapewnić część zabezpieczeń wymaganych przez KSC?
Tak. Dostawca może zapewniać określone zabezpieczenia techniczne i organizacyjne, ale zakres odpowiedzialności resellera należy oceniać indywidualnie.
Czy gotowa dokumentacja oznacza, że firma ma wdrożony SZBI?
Nie. Dokumentacja jest jednym z elementów systemu. Musi odpowiadać rzeczywistemu sposobowi działania firmy i być faktycznie stosowana.
Do kiedy należy wdrożyć SZBI?
Dla podmiotów objętych okresem przejściowym, które spełniały przesłanki KSC w dniu wejścia w życie nowelizacji, termin wdrożenia obowiązków upływa 3 kwietnia 2027 r.
Anna Szulkowska
Anna Szulkowska od wielu lat związana jest z branżą domen internetowych i usług cyfrowych. Jako ekspert HRD.pl zajmuje się tematyką rejestracji i zarządzania domenami, bezpieczeństwa DNS, automatyzacji procesów oraz rozwoju usług dla partnerów i resellerów.
Na blogu HRD.pl publikuje praktyczne poradniki i analizy dotyczące zarządzania portfelami domen, bezpieczeństwa infrastruktury internetowej, zmian regulacyjnych oraz dobrych praktyk wykorzystywanych przez firmy, operatorów hostingowych i software house’y.
HRD.pl
HRD.pl to jedna z najdłużej działających w Polsce platform hurtowej rejestracji domen internetowych, działająca nieprzerwanie od 2004 roku.
Platforma wspiera resellerów, operatorów hostingowych, software house’y oraz firmy zarządzające dużymi portfelami domen. Oferuje hurtową rejestrację domen, rozbudowane API, integracje z popularnymi systemami do automatyzacji sprzedaży oraz profesjonalne narzędzia do zarządzania infrastrukturą domenową.