Awaria wspólnego uwierzytelniania może w tej samej chwili zatrzymać urząd, szkołę, ośrodek pomocy społecznej i inną jednostkę organizacyjną. Technicznie problem może obsługiwać jeden zespół IT lub CUW, ale każda usługa ma własny wpływ, odbiorców, kierownika i bezpieczny tryb zastępczy. Brak rozdzielenia tych ról prowadzi do dwóch skrajności: każdy czeka na urząd albo każdy działa inaczej.
Ten artykuł nie powtarza ogólnej analizy ról i odpowiedzialności po zmianach KSC. Skupia się na operacyjnej ciągłości usług: kto ocenia skutek przerwy, kto koordynuje technikę, kto uruchamia obejście i kto potwierdza powrót konkretnej jednostki do pracy.
Wspólna obsługa nie oznacza wspólnej odpowiedzi na każde pytanie
Centralne IT może utrzymywać infrastrukturę, a CUW realizować uzgodnione zadania. Nie oznacza to automatycznie, że zna dopuszczalny czas przerwy w wypłacie świadczeń, zasady pracy szkoły bez dziennika albo kryteria akceptacji procesu w jednostce. Te informacje musi dostarczyć właściciel usługi po stronie obsługiwanej jednostki.
Zakres zadań jednostki obsługującej powinien wynikać z właściwych aktów, porozumień, regulaminów i umów. Aktualne FAQ KSC wskazuje możliwość wyznaczenia jednostki realizującej określone zadania, a jednocześnie wymaga współpracy podmiotów obsługiwanych. Dlatego mapę poniżej trzeba dostosować do statusu prawnego każdej jednostki i rzeczywiście powierzonych obowiązków.
Pięć ról, które trzeba nazwać dla każdej usługi
1. Kierownik jednostki lub osoba zatwierdzająca
Zapewnia, że jednostka ma właścicieli, zastępstwa, priorytety i zasoby. Otrzymuje informację o wpływie przerwy oraz zatwierdza decyzje organizacyjne w granicach swoich kompetencji. Nie musi prowadzić technicznej odbudowy, ale powinien wiedzieć, kto może ją uruchomić i na jakiej podstawie.
2. Właściciel usługi lub procesu
Określa minimalny poziom działania, wpływ przerwy, dopuszczalny czas, obejście i kryteria powrotu. To on potwierdza, że odtworzony system pozwala rzeczywiście obsłużyć zadanie, a nie tylko wyświetla ekran logowania.
3. Koordynator ciągłości lub bezpieczeństwa
Łączy informacje z kilku jednostek, pilnuje wspólnego sposobu kwalifikacji, eskalacji, dokumentowania i ćwiczeń. Może działać w urzędzie, CUW albo jednostce wyznaczonej, jeśli taki zakres został prawidłowo powierzony.
4. Zespół IT, CUW lub administrator techniczny
Diagnozuje wspólną infrastrukturę, zabezpiecza techniczne obejścia, odtwarza zależności i przedstawia realne czasy. Nie powinien sam ustalać priorytetu usług tylko na podstawie architektury lub liczby zgłoszeń.
5. Dostawca zewnętrzny
Wykonuje zadania określone w umowie, dostarcza diagnozę i dowody oraz działa według uzgodnionej eskalacji. Nie przejmuje automatycznie decyzji kierownika ani właściciela procesu. Jego granice i zależności warto przejrzeć przez moduł M11 — Dostawcy i łańcuch dostaw IT.
Sześć decyzji do przypisania
Dla każdej ważnej usługi zapisz, kto odpowiada, kto zatwierdza, kogo konsultuje się i kogo informuje w następujących punktach:
- rozpoznanie wpływu niedostępności na mieszkańców, pracowników i terminy;
- ustalenie priorytetu wobec innych usług korzystających ze wspólnej infrastruktury;
- uruchomienie procedury zastępczej i komunikacji;
- kwalifikacja zdarzenia jako awarii albo możliwego incydentu i właściwa eskalacja;
- zgoda na odtworzenie, kolejność zależności i warunki bezpieczeństwa;
- akceptacja działania usługi oraz rozliczenie spraw z trybu zastępczego.
Nie trzeba budować rozbudowanej macierzy dla całej organizacji naraz. Jedna karta na usługę, pięć ról i sześć decyzji wystarczą, aby ujawnić brak właściciela albo konflikt odpowiedzialności.
Przykład: szkoła bez wspólnego uwierzytelniania
Centralne IT potwierdza awarię mechanizmu tożsamości i ocenia zależności. Szkoła wskazuje, które czynności muszą być utrzymane, kto komunikuje się z pracownikami i jakie obejścia są dopuszczalne. Koordynator zbiera wpływ z innych jednostek i pomaga ustalić wspólny priorytet. Kierownik szkoły lub uprawniona osoba akceptuje tryb pracy jednostki, a po odtworzeniu właściciele procesów potwierdzają najważniejsze operacje.
Jeśli awaria może być incydentem, zespół działa według wspólnej ścieżki kwalifikacji i zgłoszenia. Organizację kontaktów, zastępstw i dyżurów wspiera moduł M07 — Organizacja zespołu reagowania.
Przykład: OPS i przerwa w systemie świadczeń
OPS określa wpływ na terminy, wypłaty i kontakt z mieszkańcami. IT lub dostawca ocenia system, bazę, integracje i kopie. Właściciel procesu wybiera minimalny zakres pracy zastępczej oraz zasady późniejszego wprowadzenia danych. Wspólna jednostka obsługująca może koordynować zadania, które rzeczywiście jej powierzono, lecz OPS nadal musi współpracować i dostarczyć informacje o własnej usłudze.
Warsztat 45 minut dla urzędu i dwóch jednostek
- 10 minut: wybierzcie jedną wspólną zależność i po jednej usłudze z każdej jednostki.
- 15 minut: nazwijcie pięć ról oraz zastępstwa dla każdej usługi.
- 10 minut: przypiszcie sześć decyzji i wskażcie podstawę powierzenia zadań wspólnych.
- 10 minut: przejdźcie przez scenariusz przerwy i zapiszcie trzy największe luki.
Wynikiem powinny być karty usług, nie ogólne stwierdzenie, że „odpowiada informatyk”. Karty warto połączyć z procedurami obejściowymi i testem stolikowym.
Najczęstsze błędy
- Centralizacja bez granic. Jednostki zakładają, że CUW lub IT podejmie również decyzje procesowe, których mu nie powierzono.
- Właściciel bez zastępcy. Wiedza o skutku i obejściu jest niedostępna podczas nieobecności jednej osoby.
- Dostawca jako jedyny plan. Umowa serwisowa zastępuje wewnętrzną komunikację, priorytety i akceptację usługi.
- Jedna kolejność dla wszystkich. Wspólna infrastruktura wraca technicznie, ale nie ma uzgodnienia, które usługi sprawdzać jako pierwsze.
- Brak podstawy powierzenia. Praktyka organizacyjna wykracza poza formalnie ustalony zakres współpracy.
Role, przeglądy i nadzór nad dokumentacją można uporządkować przez moduł M09 — System zarządzania bezpieczeństwem informacji, a karty usług, priorytety i ćwiczenia przez moduł M10 — Ciągłość działania IT.
Materiał ma charakter organizacyjny. Nie przesądza statusu konkretnego podmiotu ani zakresu ustawowych obowiązków. Te kwestie należy potwierdzić dla każdej jednostki na podstawie aktualnych przepisów, aktów organizacyjnych, porozumień i umów.
Źródła i data weryfikacji
Stan źródeł zweryfikowano 21 lipca 2026 r. FAQ KSC z aktualizacją z czerwca 2026 r. opisuje kierownika samorządowej jednostki budżetowej, możliwość wyznaczania jednostek do realizacji określonych zadań oraz obowiązek współpracy podmiotów obsługiwanych. Poradnik Cyberbezpiecznego Samorządu łączy aspekty prawne, planowanie rozwoju i zarządzanie bezpieczeństwem informacji w JST.