- Znaczenie
- Środki techniczne, operacyjne i organizacyjne
- Przykłady
- Szyfrowanie, uprawnienia dostępu, szkolenia
- Pochodzenie
- RODO, pasuje także do NIS2
- Powiązane
- Zabezpieczenia
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym są środki techniczne i organizacyjne?
Środki techniczne i organizacyjne – obejmujące także wymiar operacyjny – to wszystkie środki ochrony stosowane w organizacji: techniczne (np. szyfrowanie, MFA), organizacyjne (np. role, Polityki bezpieczeństwa, szkolenia) oraz operacyjne (np. monitorowanie, utrzymanie). To one są konkretnym wcieleniem bezpieczeństwa. W prawie ochrony danych sformułowanie to zna artykuł 32 RODO; w standardach międzynarodowych mówi się zamiast tego o tym, czym są Zabezpieczenia – treściowo oba pojęcia znaczą to samo.
Trzy wymiary
- Techniczne: Szyfrowanie, zapory sieciowe, kopie zapasowe, MFA, rejestrowanie zdarzeń.
- Organizacyjne: Role, polityki, szkolenia, umowy z usługodawcami.
- Operacyjne: bieżąca eksploatacja, monitorowanie, utrzymanie, regularne testy.
Środki techniczne a organizacyjne – porównanie
Granica jest prosta. Środki techniczne działają przez technikę, organizacyjne przez zasady i ludzi. Tam, gdzie jeden zawodzi sam z siebie, szkodę wyłapuje druga strona – dlatego art. 32 RODO i art. 21 NIS2 wymagają obu kolumn, nie tylko jednej.
| Środki techniczne | Środki organizacyjne |
|---|---|
| Szyfrowanie dysków i transmisji (TLS, VPN) | Model uprawnień z udokumentowanymi rolami |
| Uwierzytelnianie wieloskładnikowe (MFA) dla dostępów administracyjnych | Szkolenia i budowanie świadomości bezpieczeństwa wśród pracowników |
| Zapory sieciowe i segmentacja sieci | Umowy powierzenia przetwarzania danych z usługodawcami |
| Kopie zapasowe z przetestowanym odtwarzaniem | Proces awaryjny i zgłoszeniowy (24 h / 72 h / 1 miesiąc) |
| Rejestrowanie zdarzeń i ochrona logów przed manipulacją | Regularny przegląd i zatwierdzanie, jakim podlegają Polityki bezpieczeństwa |
Środki techniczne i organizacyjne a zabezpieczenia
Treściowo pokrywają się one niemal całkowicie z tym, czym są Zabezpieczenia znane ze świata standardów międzynarodowych, choćby z załącznika A normy ISO 27001. Skrót „TOM” jest jedynie określeniem zbiorczym utrwalonym w niemieckiej praktyce ochrony danych; polskie przepisy mówią wprost o środkach technicznych i organizacyjnych. Kto raz porządnie je udokumentuje, może posłużyć się tym samym dowodem w ochronie danych i w cyberbezpieczeństwie, zamiast prowadzić dwa osobne katalogi.
Te środki w RODO i w NIS2
Pojęcie pochodzi z artykułu 32 RODO, ale równie dobrze pasuje do dyrektywy NIS2, którą w Polsce wdraża ustawa o krajowym systemie cyberbezpieczeństwa obowiązująca od 3 kwietnia 2026 r.: oba akty wymagają odpowiednich środków technicznych i organizacyjnych chroniących dane i systemy. Wysokość sankcji zależy od klasyfikacji podmiotu. Podmiotom kluczowym grożą według NIS2 kary do 10 mln EUR albo 2 % rocznego obrotu światowego, podmiotom ważnym do 7 mln EUR albo 1,4 %. Termin samoidentyfikacji i wpisu do wykazu KSC upływa 3 października 2026 r., a podmioty, które spełnią kryteria później, mają na to 6 miesięcy.
Przykład: Przedsiębiorstwo energetyczne prowadzi jedno centralne zestawienie środków. W ochronie danych służy ono jako dowód wykonania artykułu 32 RODO; przy kontroli z zakresu NIS2 przedstawia tę samą listę – uzupełnioną o ścieżkę zgłoszeń: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe po miesiącu – jako dowód swojego zarządzania ryzykiem. Dzięki temu przed organem właściwym może bez luk pokazać, który środek odpowiada na które konkretne ryzyko. Jedna lista wystarcza do obu celów.
Co konkretnie trzeba zrobić?
- Zebrać istniejące środki z obszaru ochrony danych i IT w jedno wspólne zestawienie.
- Przypisać każdy środek do konkretnego ryzyka i do osoby pełniącej odpowiedzialną rolę.
- Zamknąć luki między kolumną techniczną a organizacyjną – udokumentowane muszą być obie strony.
- Testować skuteczność kopii zapasowych, MFA i procesu zgłoszeń co najmniej raz w roku, a nie tylko ją opisywać.
- Jeśli jeszcze tego nie zrobiono, dokonać samoidentyfikacji i wpisu do wykazu KSC oraz trzymać zestawienie środków w gotowości do kontroli.
Źródło uzupełniające: RODO, artykuł 32 (EUR-Lex)
Najczęstsze pytania
Co obejmują środki techniczne i organizacyjne?
Chodzi o środki techniczne, operacyjne i organizacyjne chroniące informacje i systemy. Do technicznych zalicza się szyfrowanie, zapory sieciowe i uwierzytelnianie wieloskładnikowe (MFA), do organizacyjnych role, polityki i szkolenia, a także umowy z usługodawcami. Środki operacyjne obejmują bieżącą eksploatację: monitorowanie, utrzymanie i regularne testy. Razem stanowią konkretne wcielenie bezpieczeństwa w życie.
Gdzie wymagane są te środki?
Pojęcie pochodzi z artykułu 32 RODO, który wymaga środków technicznych i organizacyjnych dla ochrony danych. W tym samym duchu artykuł 21 dyrektywy NIS2 wymaga odpowiednich środków chroniących sieci i systemy informatyczne; w Polsce wdraża ją ustawa o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r. Za naruszenia grożą kary do 10 mln EUR albo 2 % rocznego obrotu podmiotom kluczowym i do 7 mln EUR albo 1,4 % podmiotom ważnym.
Czym różnią się te środki od zabezpieczeń (controls)?
Treściowo różnicy prawie nie ma: „środki techniczne i organizacyjne” to sformułowanie prawa ochrony danych, a zabezpieczenia (ang. controls) to pojęcie utrwalone w standardach międzynarodowych, takich jak ISO 27001 i jej załącznik A. Jedno i drugie oznacza konkretne środki ochrony wyprowadzone z analizy ryzyka. Kto raz porządnie je udokumentuje, może posłużyć się tym samym dowodem w ochronie danych i w cyberbezpieczeństwie.