政策、程序与主体登记

该法要求关键主体和重要主体建立信息安全管理体系（SZBI）。对您而言，这是一套成文的规则和角色，规定谁负责什么，以确保数据和系统安全运行，同时还包括规则得到执行的证据。我们用波兰语编写，依照现有岗位，篇幅控制在能够通读的范围内。在2026年4月3日已属于关键主体或重要主体的公司，须在2027年4月3日前落实这些义务；之后才被纳入的公司有十二个月时间。

政策是公司在该法和指令所指领域作出的决定。访问权限：谁授予和收回权限，谁进行核查。备份：备份哪些内容，备份存放在哪里，多久尝试恢复一次。业务连续性：主系统停机时怎么办。在系统中强制执行这些规则的安全措施，以及对供应商的条款，属于另外的服务范围：IT项目中的技术措施和供应商合同。

事件是指威胁信息安全或系统运行的事情，例如入侵或数据泄露。程序规定由谁识别事件、由谁评估是否严重、由谁对外报告、由谁通知管理层；每个步骤都有负责人、替补人和小时时限。该法对行业CSIRT（即您所在行业负责事件响应的团队）规定了三个期限。早期预警：最迟在发现重大事件后24小时内。事件通报：最迟在72小时内。最终报告：最迟在通报后一个月内。根据指令，重大事件是指造成或可能造成服务严重中断、经济损失或对他人造成重大损害的事件。

关键主体和重要主体名录是受该法约束的企业和机构的清单，由各行业的主管机关负责维护。我们准备列入名录申请，并附书面说明，负责人据此作出声明。该法规定的期限：

• 在2026年4月3日已受该法约束的公司，最迟须于2026年10月3日提交申请；
• 之后才满足条件的公司，自满足条件之日起有六个月时间；信息变更须在14天内报告；
• 提交申请即完成登记；如果未在期限内提交，主管机关可自行将公司列入名录。

我们以工作中的实际例子，培训在程序中担任角色的人员。该法要求主体负责人每个日历年接受一次培训，指令则鼓励对员工进行培训。政策和程序的审查作为一项制度确定下来：在固定时间以及每次重大事件之后进行，并指定负责人。团队具备法律背景；如果申请说明需要法律意见，由律师事务所出具。

1. 检查公司已有的内容：规章和操作说明。成果：需要编写、修改和废止的文件清单，按该法规定的期限排序。
2. 与将来执行的人员共同编写。每项政策和程序都与相关部门讨论，并用过去一年发生的情况进行检验。成果：一整套待管理层批准的文件。
3. 启动程序并提交申请。负责人收到待签署的申请，担任角色的人员接受培训，事件程序通过一次模拟事件进行检验，审查纳入日历。成果：申请已提交，程序投入使用，文件由指定人员负责维护。