Cześć, nazywam się Paweł Rosół. Pełnię funkcję Inspektora Ochrony Danych (IOD) oraz pełnomocnika ds. cyberbezpieczeństwa - pomagam organizacjom spełnić wymagania RODO i ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża dyrektywę NIS2. Jestem auditorem wiodącym ISO/IEC 27001, a od kilkunastu lat zajmuję się rozwiązaniami internetowymi oraz bezpieczeństwem systemów informatycznych i webaplikacji.

Jeśli jesteś zainteresowana(-y) spotkaniem czy podjęciem współpracy, zapraszam do kontaktu.

Czym się zajmuję?

• Ochrona danych osobowych - pełnię funkcję IOD w modelu outsourcingu: doradzam, monitoruję zgodność z RODO, prowadzę szkolenia i wspieram administratora przy naruszeniach. Więcej o funkcji IOD.
• Cyberbezpieczeństwo (KSC / NIS2) - jako pełnomocnik ds. cyberbezpieczeństwa wspieram kierownictwo podmiotów kluczowych i ważnych we wdrożeniu i utrzymaniu systemu zarządzania bezpieczeństwem informacji. Więcej o roli pełnomocnika.

Oba obszary łączy to samo podejście: rzetelna analiza ryzyka, adekwatne zabezpieczenia i dokumentacja, która opisuje to, co organizacja faktycznie robi.

Inspektor Ochrony Danych (IOD)

Kim jest IOD?

Inspektor Ochrony Danych (ang. Data Protection Officer - DPO) to osoba wyznaczona przez administratora danych do nadzoru nad zgodnością przetwarzania danych osobowych z przepisami RODO. Obowiązek wyznaczenia IOD reguluje art. 37 ust. 1 RODO. Szczegółowe informacje dostępne są na stronie UODO.

Zakres zadań IOD

Podstawowe zadania IOD określone są w art. 39 ust. 1 oraz art. 38 ust. 4 RODO. W ramach współpracy świadczę w szczególności:

Zadania doradcze i nadzorcze:

• Monitorowanie zgodności z RODO i innymi przepisami o ochronie danych,
• Doradztwo w zakresie oceny skutków dla ochrony danych (DPIA) - art. 35 RODO,
• Współpraca z organem nadzorczym (UODO),
• Pełnienie funkcji punktu kontaktowego dla osób, których dane dotyczą.

Zadania operacyjne:

• Wsparcie w prowadzeniu i aktualizacji rejestru czynności przetwarzania - art. 30 RODO,
• Przeprowadzanie przeglądów i audytów bezpieczeństwa danych,
• Opiniowanie i pomoc w aktualizacji dokumentacji ochrony danych,
• Wsparcie administratora w obsłudze incydentów i ocenie naruszeń - art. 33-34 RODO (przewodnik po obowiązkach przy naruszeniu).

Zadania edukacyjne:

• Prowadzenie szkoleń dla pracowników,
• Podnoszenie świadomości w zakresie ochrony danych,
• Informowanie o obowiązkach wynikających z RODO.

Model współpracy i niezależność IOD

Zgodnie z art. 37 ust. 6 RODO IOD może być zarówno pracownikiem organizacji, jak i wykonawcą zewnętrznym. Świadczę usługi w modelu outsourcingu, co daje organizacji dostęp do specjalistycznej wiedzy bez zatrudniania pracownika na pełen etat i ułatwia zachowanie wymaganej niezależności.

RODO zapewnia IOD szczególne gwarancje niezależności: bezpośrednią podległość najwyższemu kierownictwu, zakaz wydawania instrukcji co do wykonywania zadań, ochronę przed odwołaniem lub karaniem za wykonywanie obowiązków, udział we wszystkich sprawach dotyczących ochrony danych oraz obowiązek zachowania tajemnicy i poufności.

Pełnomocnik ds. cyberbezpieczeństwa (KSC / NIS2)

Kim jest pełnomocnik ds. cyberbezpieczeństwa?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r., wdrożyła w Polsce dyrektywę NIS2 i objęła obowiązkami szeroką grupę podmiotów kluczowych i ważnych - także wiele jednostek sektora publicznego i spółek komunalnych.

„Pełnomocnik ds. cyberbezpieczeństwa” nie jest funkcją ustawową - to przyjęta w praktyce nazwa roli, która koordynuje wykonywanie obowiązków z ustawy. Ustawa pozwala realizować te zadania przez wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo na podstawie umowy z podmiotem zewnętrznym (art. 14). Jedno się nie zmienia: odpowiedzialność pozostaje przy kierowniku podmiotu, również wtedy, gdy obowiązki powierzono innej osobie (art. 8c ust. 3). Pełnomocnik jest wsparciem kierownictwa, a nie sposobem na przeniesienie odpowiedzialności.

O tym, dlaczego te wymagania są potrzebne, pisałem we wpisie o implementacji NIS2 w przedsiębiorstwie. Ustawie o KSC i NIS2 z perspektywy pełnomocnika poświęciłem też osobny serwis, pelnomocnikcyber.pl.

Zakres wsparcia

Wejście do krajowego systemu cyberbezpieczeństwa:

• Ustalenie, czy i w jakim charakterze organizacja podlega ustawie (podmiot kluczowy czy ważny),
• Wpis i aktualizacja danych w wykazie podmiotów kluczowych i ważnych, osoby kontaktowe, system S46,
• Analiza luk względem wymagań ustawy i harmonogram dojścia do zgodności.

System zarządzania bezpieczeństwem informacji (SZBI):

• Inwentaryzacja aktywów IT i OT oraz mapowanie świadczonej usługi,
• Metodyka i przeprowadzenie analizy ryzyka, plan postępowania z ryzykiem,
• Przegląd, urealnienie i uzupełnienie polityk oraz procedur - w oparciu o ISO/IEC 27001,
• Bezpieczeństwo łańcucha dostaw: ocena dostawców ICT i klauzule umowne.

Incydenty i ciągłość działania:

• Procedura obsługi i zgłaszania incydentów do właściwego CSIRT (wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, sprawozdanie końcowe w ciągu miesiąca) - spójna ze zgłaszaniem naruszeń ochrony danych do UODO,
• Plany ciągłości działania i odtwarzania (BCP/DRP), testy odtworzenia kopii zapasowych,
• Ćwiczenia z reagowania na incydent.

Kierownictwo i pracownicy:

• Coroczne szkolenie kierownika podmiotu wymagane ustawą (art. 8e) oraz szkolenia z cyberhigieny dla pracowników,
• Rejestr zgodności, plan naprawczy i okresowe raporty dla zarządu,
• Wsparcie podczas kontroli organu właściwego i audytu bezpieczeństwa,
• Monitorowanie zmian w prawie i wymaganiach technicznych.

Kwalifikacje

RODO wymaga od IOD odpowiedniej wiedzy i fachowości w zakresie prawa i praktyk ochrony danych; rola pełnomocnika ds. cyberbezpieczeństwa wymaga dodatkowo znajomości norm i praktyki technicznej.

• Posiadam certyfikat auditora wiodącego ISO/IEC 27001 (system zarządzania bezpieczeństwem informacji),
• Mam wieloletnie doświadczenie techniczne: infrastruktura, kopie zapasowe, poczta elektroniczna, sieci, bezpieczeństwo webaplikacji,
• Regularnie uczestniczę w szkoleniach i spotkaniach środowiska IOD oraz śledzę zmiany w przepisach o cyberbezpieczeństwie.

Czy można łączyć funkcję IOD i pełnomocnika ds. cyberbezpieczeństwa?

To pytanie warto zadać każdemu, kto oferuje obie usługi. IOD może wykonywać inne zadania tylko wtedy, gdy nie powodują one konfliktu interesów (art. 38 ust. 6 RODO). Konflikt pojawia się, gdy ta sama osoba decyduje o zabezpieczeniach, a potem jako IOD ocenia ich adekwatność.

Dlatego tam, gdzie obie role spotykają się w jednej organizacji, stosuję stałe zasady:

• Rekomenduję - kierownictwo decyduje. Przedstawiam warianty, ryzyko i koszty; decyzje o środkach bezpieczeństwa podejmuje i dokumentuje kierownik podmiotu,
• Bez uprawnień wykonawczych. Nie administruję systemami klienta, nie zatwierdzam dostępów ani odstępstw, nie jestem właścicielem ryzyka,
• Odrębne umowy i zakresy dla każdej z funkcji,
• Ocena skuteczności poza mną. Audyt wewnętrzny SZBI i weryfikację środków, które sam rekomendowałem, wykonuje ktoś inny,
• Udokumentowana ocena konfliktu interesów, zatwierdzona przez kierownictwo i przeglądana co roku.

Jeśli w danej organizacji takiego rozdziału nie da się utrzymać, właściwym rozwiązaniem jest powierzenie obu funkcji różnym osobom.

Współpraca

Pracuję przede wszystkim z jednostkami sektora publicznego, spółkami komunalnymi, placówkami oświatowymi oraz małymi i średnimi firmami. Zaczynam od rozmowy o tym, które obowiązki faktycznie dotyczą Twojej organizacji - zapraszam do kontaktu.

To, jak powstają wpisy na tej stronie, skąd biorę źródła i co oznacza data stanu prawnego pod wpisem, opisałem w zasadach publikacji.

Stan prawny: wrzesień 2026 r.