政策、程序與實體登記

該法要求關鍵實體和重要實體建立資訊安全管理系統（SZBI）。對您來說，這是一套成文的規則和角色，說明誰負責甚麼，讓數據和系統安全運作，並附有規則確實獲執行的證據。我們以波蘭文撰寫，按現有職位編排，篇幅以能夠完整讀完為限。於2026年4月3日已屬關鍵實體或重要實體的公司，須在2027年4月3日前落實這些義務；其後才納入規管的公司則有十二個月時間。

政策是公司在該法和指令所指範疇內作出的決定。存取權：由誰授予和收回權限，由誰檢查。備份：備份甚麼、備份存放在哪裏、多久試行還原一次。業務持續：主要系統停頓時怎麼辦。在系統中強制執行這些規則的保安措施，以及對供應商的條款，屬另外的範圍：IT 項目中的技術措施，以及供應商合約。

事故是指威脅資訊安全或系統運作的事件，例如入侵或數據外洩。程序說明由誰識別事件、由誰評估是否嚴重、由誰對外通報、由誰通知管理層；每一步都有負責人、替代人和時限。該法對行業 CSIRT，即您所屬行業的事故應變小組，訂下三個期限。早期預警：發現嚴重事故後最遲24小時內。通報：最遲72小時內。最終報告：通報後最遲一個月內。按指令定義，嚴重事故是指造成或可能造成服務嚴重中斷、財務損失或對他人造成重大損害的事故。

關鍵實體及重要實體名冊，是受該法規管的公司和機構的名單，由各行業的主管機關備存。我們準備列入名冊的申請，並附書面理據，供負責人作出聲明時依據。該法訂下的期限：

• 於2026年4月3日已受該法規管的公司，最遲須在2026年10月3日提交申請；
• 其後才符合條件的公司，自該日起有六個月時間；資料變更須在14日內通報；
• 提交申請即告列入名冊；如未在期限內提交，主管機關可自行把公司列入名冊。

我們以參與者日常工作中的例子，培訓程序中各角色的人員。該法要求實體負責人每個公曆年接受一次培訓，指令則鼓勵為員工提供培訓。我們把檢視政策和程序定為規則：在固定日期及每次嚴重事故後進行，並指定負責人。團隊具備法律支援；如申請理據需要法律意見，則由律師事務所出具。

1. 我們檢查公司已有的東西：規章和指引。成果：需要撰寫、修訂和撤回的文件清單，按該法的期限排序。
2. 我們與將會執行的同事一起撰寫。每份政策和程序都與相關部門討論，並以過去一年的實際情況檢驗。成果：一整套供管理層批准的文件。
3. 我們啟動程序和申請。負責人收到申請以供簽署，各角色的人員完成培訓，事故程序以模擬事件檢驗，檢視日期列入時間表。成果：申請已提交、程序投入使用、文件由指定人員負責。