Karo-it Roman Kamiński

24/08/2026

Czy każda firma zewnętrzna powinna podpisać umowę powierzenia danych?
Nie.

Dobrym przykładem jest firma sprzątająca. Jej pracownicy przebywają w pomieszczeniach, w których znajdują się dokumenty i komputery, więc mogą przypadkowo zetknąć się z danymi. Jeżeli jednak wykonanie usługi nie wymaga dostępu do tych danych, firma nie przetwarza ich w imieniu administratora.

Taką sytuację opisuje Europejska Rada Ochrony Danych w Wytycznych 07/2020, w przykładzie „Cleaning services”. Firma sprzątająca i jej personel są wówczas traktowani jako strona trzecia, a nie podmiot przetwarzający. Nie ma więc podstaw do automatycznego zawierania umowy powierzenia z art. 28 RODO.

Nie oznacza to jednak braku obowiązków. Potrzebne są inne zabezpieczenia:
- odpowiednie postanowienia w umowie;
- zobowiązanie personelu do poufności;
- zasady dostępu do pomieszczeń i korzystania z kluczy;
- zakaz przeglądania, przenoszenia i niszczenia dokumentów;
- procedura zgłaszania incydentów;
- zasady czystego biurka i czystego ekranu po stronie zleceniodawcy.

Odrębną sprawą jest przetwarzanie danych identyfikacyjnych samych pracowników wykonawcy - tutaj potrzebna jest zwykle odpowiednia klauzula informacyjna.

KARO-IT przygotowało ostatnio kompleksowe opracowanie dla takiego przypadku: od oceny ról stron, przez zapisy umowne, po zasady bezpieczeństwa dla wykonawcy i pracowników zamawiającego.

Jeżeli przygotowujesz podobną umowę i nie masz pewności, czy mamy do czynienia z powierzeniem, udostępnieniem czy jedynie ryzykiem przypadkowego dostępu, możemy pomóc to prawidłowo ocenić i udokumentować.

09/07/2026

KSC/NIS2 już obowiązuje, a jednym z istotnych tematów dla JST jest aktualnie zarządzanie incydentami - czyli co robimy, gdy pojawia się podejrzany mail, niedostępność systemu, ransomware albo inne zdarzenie cyber.

To dobry moment, żeby sprawdzić, czy procedury incydentowe są aktualne i czy nie ograniczają się wyłącznie do naruszeń RODO.

KARO-IT pomaga w przeglądzie, aktualizacji i wdrażaniu takich procedur - prosto, praktycznie i z uwzględnieniem realiów JST.

23/06/2026

Czy RODO nieświadomie „wypchnęło” SZBI z dokumentacji JST?

Podczas audytów, przeglądów i wdrożeń zmian w obszarze bezpieczeństwa informacji coraz częściej spotykamy się z podobną sytuacją.

Jednostka posiada rozbudowaną dokumentację RODO: politykę ochrony danych osobowych (PODO), rejestry, upoważnienia, klauzule, procedury naruszeń i instrukcje. Na pierwszy rzut oka wygląda to kompletnie.

Problem pojawia się wtedy, gdy okazuje się, że dokumentacja RODO zastąpiła dawną dokumentację bezpieczeństwa informacji.

Po 2018 r. wiele jednostek dostosowywało stare polityki bezpieczeństwa do RODO. W praktyce często sprowadzało się to do zastąpienia funkcji Administratora bezpieczeństwa informacji (ABI) funkcją Inspektora ochrony danych (IOD). Część obowiązków rzeczywiście przeszła do obszaru ochrony danych osobowych, ale nie wszystkie.

Z czasem IOD uporządkowali dokumentację PODO. Natomiast SZBI - czyli system zarządzania bezpieczeństwem informacji - w wielu miejscach pozostał niedostosowany, szczątkowy albo zniknął z praktyki organizacyjnej.

A SZBI to nie tylko ochrona danych osobowych. To także role i odpowiedzialności, zarządzanie ryzykiem, uprawnienia, systemy teleinformatyczne, kopie zapasowe, incydenty, dostawcy, ciągłość działania, audyty i aktualizacja regulacji wewnętrznych.

Dlatego obecny nacisk na SZBI, KRI i KSC nie jest wyłącznie dodatkową formalnością. W wielu JST to próba odbudowania obszaru, który przy przejściu na RODO mógł zostać nieświadomie pominięty.

Warto więc zadać sobie proste pytanie: czy w naszej jednostce PODO i SZBI są dwoma świadomie powiązanymi obszarami, czy jeden z nich niepostrzeżenie zastąpił drugi?

08/06/2026

Dziś Dzień Informatyka, więc życzę wszystkim koleżankom i kolegom z branży IT:
- żeby systemy działały,
- backupy się odtwarzały,
- hasła nie były na karteczkach,
- drukarki nie obrażały się bez powodu,
- a zgłoszenia zaczynały się od czegoś więcej niż „nie działa”.

A tak całkiem serio - dużo satysfakcji, spokojnych wdrożeń, udanych projektów i użytkowników, którzy pamiętają, że za każdym działającym systemem stoi czyjaś praca, wiedza i cierpliwość.

Wszystkiego dobrego dla całej branży IT!

28/05/2026

Od kwietnia weszły nowe obowiązki związane z Krajowym Systemem Cyberbezpieczeństwa (KSC/NIS2).
To ważny temat, ale warto pamiętać, że Krajowe Ramy Interoperacyjności (KRI) nadal obowiązują i dalej wymagają regularnego „domykania” bezpieczeństwa informacji w praktyce - m.in. przez audyty i przeglądy.

W KARO-IT zaczynamy właśnie kolejną pracę audytową w obszarze KRI - tym razem dla bardziej złożonej, rozproszonej organizacji. W takich strukturach najważniejsza jest spójność zasad i praktyk wielu lokalizacji.

Nowe wymagania nie zastępują starych - trzeba je mądrze połączyć, żeby nie dublować dokumentów, tylko realnie podnosić odporność.

Jeśli planujecie audyt w tym roku - to dobry moment aby ułożyć odpowiedni harmonogram, zanim „wejdą tzw. terminy”.

23/04/2026

Czy urząd, który ma informatyka na etacie, ma już w pełni „ogarnięte IT”?

Niekoniecznie.

W wielu JST informatyk ogarnia codzienną operacyjność: komputery, drukarki, sieć, konta, awarie, użytkowników.
Ale to jeszcze nie cały obszar ICT. Pozostają m.in.: bezpieczeństwo informacji, KRI, ryzyka, incydenty, testy backupu, ciągłość działania, uporządkowanie odpowiedzialności.

Dlatego coraz częściej najlepszym rozwiązaniem nie jest dokładanie kolejnych obowiązków jednej osobie, tylko mądrze ułożona współpraca: informatyk lokalny + wsparcie zewnętrzne + dobra koordynacja zakresu.

Właśnie takie modele pomagamy układać w Karo-IT.
Jeżeli chcesz sprawdzić, czy w Twojej jednostce zakres ICT jest naprawdę kompletny - to jest dobry moment, żeby o tym porozmawiać.

03/04/2026

Wesołego Alleluja! 🐣🌿
Niech w te święta sprawdzi się najlepszy plan ciągłości działania - odpoczynek, czas z bliskimi i pełne baterie na poświąteczny tydzień.
KARO-IT

Po świętach wracamy do działania - już w realiach nowelizacji KSC/NIS2 obowiązujących od początku kwietnia.

01/04/2026

Dziś KARO-IT „zmienia nazwę” na: Kancelaria Autentykacji, Rozsądku i Ostrożności.
Mały ukłon w stronę prima aprilis 😉

A teraz już serio: właśnie dziś w skrzynkach mailowych jest więcej „żartów”, kartek i linków typu „zobacz koniecznie” - i to niestety świetne tło dla phishingu.

Na dziś prosta zasada:
• sprawdź nadawcę (adres/domena/literówki),
• nie otwieraj niespodziewanych linków i załączników,
• w razie wątpliwości - zapytaj IT/administratora.

27/03/2026

Ostatnio w KARO-IT mamy sporo pracy przy audytach zgodności z KRI w JST. W tym kontekście mocno wybrzmiała informacja z ostatnich dni - 19 lutego 2026r. podpisano nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która ma wejść w życie na początku kwietnia 2026r.
Pojawiło się jedno praktyczne pytanie: czy KRI zostanie „zastąpione” przez KSC?

Na dziś wygląda na to, że nie - KRI nadal obowiązuje (minimalne wymagania dla systemów i zasady interoperacyjności), a KSC dokłada równoległy poziom wymagań „cyber” - podejście ryzykowe i reagowanie na incydenty.

Pytanie na najbliższe miesiące brzmi więc raczej: jak JST sensownie połączy KRI i KSC w jedną spójną praktykę - bez dublowania dokumentów, ale z realnym wzrostem odporności?

26/02/2026

W tym roku w Śląskiem ferie zimowe przypadły na luty.
A że KARO-IT jest 6 lat na rynku - to nadal „wiek szkolny” 😉 Skorzystaliśmy więc z zimowej przerwy, żeby podładować baterie.

Ale już wracamy prężnie! W najbliższych tygodniach domykamy jeden z projektów w ramach „Cyberbezpiecznego Samorządu”, a równolegle przygotowujemy nowe oferty:
• audyty dla JST w tym samym programie,
• analizy zgodności z RODO - tym razem również dla sektora prywatnego.

Jeśli Twoja organizacja planuje audyt bezpieczeństwa (KRI/KSC), uporządkowanie SZBI (ISO/IEC 27001; ISO 22301) albo przegląd RODO - napisz do KARO-IT.

KARO-IT to usługi związane z technologią informatyczną w tym zarządzanie ryzykiem IT, bezpiecze