Macierz ryzyka 5×5 i rejestr ryzyka: jak ocenić ryzyko w bezpieczeństwie informacji

Macierz ryzyka (nazywana też matrycą ryzyka) to tabela, w której jedna oś opisuje prawdopodobieństwo zdarzenia, a druga jego skutek. W bezpieczeństwie informacji najczęściej ma wymiar 5×5: ryzyko dostaje ocenę od 1 do 5 na obu osiach, a iloczyn tych ocen wskazuje pole w macierzy i poziom ryzyka. Wynik razem z decyzją, właścicielem i zabezpieczeniami trafia do rejestru ryzyka. Popularne poradniki o macierzy ryzyka dotyczą zwykle BHP, lotnictwa albo projektów. Ten tekst pokazuje, jak zbudować ją pod szacowanie ryzyka, którego wymagają ustawa o krajowym systemie cyberbezpieczeństwa, dyrektywa NIS2, RODO i norma ISO/IEC 27001:2022.

Po co macierz ryzyka w bezpieczeństwie informacji

Przepisy nie nakazują konkretnego narzędzia, ale wymagają tego, co macierz dostarcza: porównywalnej oceny prawdopodobieństwa i skutku oraz środków dobranych do wyniku.

Dyrektywa NIS2 definiuje ryzyko właśnie przez te dwie wielkości. Według art. 6 pkt 9 jest to możliwość strat lub zakłóceń spowodowanych incydentem, „wyrażoną jako wypadkową wielkości takiej straty lub takich zakłóceń oraz prawdopodobieństwo wystąpienia takiego incydentu”. Art. 21 ust. 1 wymaga środków odpowiednich i proporcjonalnych, a proporcjonalność ocenia się m.in. przez prawdopodobieństwo incydentów i ich dotkliwość.

Ustawa o KSC po nowelizacji (Dz.U. 2026 poz. 252) przenosi to do art. 8 ust. 1. System zarządzania bezpieczeństwem informacji ma zapewniać systematyczne szacowanie ryzyka (pkt 1) oraz wdrożenie środków „odpowiednich i proporcjonalnych do oszacowanego ryzyka”, uwzględniających m.in. prawdopodobieństwo incydentów, narażenie podmiotu na ryzyka oraz skutki społeczne i gospodarcze (pkt 2). W pkt 2 lit. a ustawa wymienia wprost „polityki szacowania ryzyka”. Czy organizacja jest podmiotem kluczowym lub ważnym, wyjaśnia artykuł NIS2 i ustawa o KSC: kogo dotyczy.

RODO w art. 24 ust. 1 i art. 32 ust. 1 każe uwzględnić ryzyko naruszenia praw lub wolności osób fizycznych „o różnym prawdopodobieństwie i wadze zagrożenia”. ISO/IEC 27001:2022 wymaga w klauzuli 6.1.2 procesu szacowania ryzyka z kryteriami, w tym kryteriami akceptacji, który daje spójne i porównywalne wyniki. Klauzula 6.1.3 dotyczy postępowania z ryzykiem, a klauzule 8.2 i 8.3 wykonywania obu procesów. Wskazówki do metodyki zawiera ISO/IEC 27005:2022, czyli wytyczne, nie wymagania. Miejsce szacowania ryzyka w całym systemie, deklarację stosowania i Załącznik A opisujemy w przewodniku SZBI i polityka bezpieczeństwa informacji. Tu zajmujemy się samą macierzą i rejestrem.

art. 8 ust. 1 pkt 1

systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem

Ustawa o KSC, Dz.U. 2026 poz. 252

10 mln euro

lub 2% przychodów (wyższa kwota): górna granica kary dla podmiotu kluczowego, m.in. za brak szacowania ryzyka

Art. 73 ust. 1 pkt 2 i ust. 3 ustawy o KSC

7 mln euro

lub 1,4% przychodów: górna granica kary dla podmiotu ważnego

Art. 73 ust. 4 ustawy o KSC

<10%

losowych par zagrożeń typowa macierz porównuje poprawnie i jednoznacznie

L.A. Cox, Risk Analysis 28(2), 2008

Zanim zaczniesz: co przygotować

• Zakres: procesy, systemy i lokalizacje objęte oceną. Podmiot objęty ustawą o KSC zaczyna od systemu informacyjnego wykorzystywanego do świadczenia usługi.
• Inwentarz aktywów z właścicielami: informacje, aplikacje, usługi chmurowe, dostawcy.
• Wiedzę o zagrożeniach i podatnościach: wyniki skanów i testów, rejestr incydentów, komunikaty CSIRT. Ustawa wymaga ich zbierania w art. 8 ust. 1 pkt 3.
• Decyzję kierownictwa: metodykę i progi zatwierdza kierownik podmiotu, który według art. 8d pkt 1 podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji.
• Właścicieli procesów: tylko oni wiedzą, co oznacza dzień przestoju albo wyciek konkretnej bazy.

Krok 1: opisz skalę prawdopodobieństwa

Po tym kroku każdy oceniający będzie wiedział, co znaczy „3” na osi prawdopodobieństwa. Najlepiej łączyć częstotliwość z opisem sytuacji, bo dla wielu cyberzagrożeń organizacja nie ma własnej historii zdarzeń.

Tabela jest przykładem. Progi dopasuj do organizacji i zapisz w metodyce.

Sprawdzenie: daj dwóm osobom to samo zagrożenie, na przykład przejęcie skrzynki pocztowej przez phishing. Jeśli ich oceny różnią się o więcej niż jeden poziom, opisy są za ogólne.

Krok 2: opisz skalę skutku w kilku wymiarach

Po tym kroku skutek będzie oceniany według tych samych kategorii w każdym dziale. Awaria serwera uderza w dostępność, a wyciek bazy klientów w poufność i w prawa osób, więc jeden wymiar nie wystarcza. Ocenia się każdy wymiar osobno i bierze najwyższy wynik.

Tabela jest przykładem. Wymiary i progi ustala organizacja.

Kolumna o danych osobowych mierzy skutek dla osób, czego wymagają art. 24 i 32 RODO. Progi przestoju warto uzgodnić z analizą wpływu na działalność z planu ciągłości działania, żeby obie oceny posługiwały się tymi samymi liczbami.

Krok 3: policz wynik i ustaw strefy w macierzy 5×5

Po tym kroku każde ryzyko ma liczbę od 1 do 25 i strefę. Wynik to iloczyn prawdopodobieństwa (P) i skutku (S). Macierz poniżej pokazuje przykładowy podział: N (niski, 1–4), Ś (średni, 5–9), W (wysoki, 10–14) i K (krytyczny, 15–25).

Przykładowy podział stref. *Reguła korygująca: ryzyko o skutku 5 trafia co najmniej do strefy wysokiej.

Dwa pola mają wynik 5: zdarzenie prawie pewne o znikomym skutku i zdarzenie rzadkie, które może zatrzymać organizację. Iloczyn jest ten sam, decyzje zupełnie inne. Stąd reguła korygująca dla najwyższego skutku.

Progi stref zapisuje się w metodyce przed oceną i stosuje konsekwentnie. Organizacja z niską tolerancją na przestoje może przesunąć próg krytyczny niżej. Jeśli prowadzisz macierz ryzyka w Excelu, wystarczą lista rozwijana 1–5 w kolumnach P i S, formuła mnożenia i formatowanie warunkowe kolorujące strefę. Regułę korygującą zapiszesz jako warunek: jeśli S = 5, strefa nie może być niższa niż wysoka.

Krok 4: zapisz kryteria akceptacji ryzyka

Po tym kroku wiadomo, kto może zaakceptować ryzyko w danej strefie i co zrobić z resztą. ISO/IEC 27001 wymaga, by kryteria akceptacji były częścią kryteriów ryzyka z klauzuli 6.1.2. Odpowiadają one na trzy pytania: jaki poziom organizacja toleruje bez działań, kto decyduje o akceptacji i w jakim czasie trzeba zająć się ryzykiem powyżej progu.

Przykład. Terminy i role wpisz zgodnie ze swoją strukturą.

Akceptacja bez podpisu, daty i terminu ponownej oceny nie jest dowodem. Według klauzuli 6.1.3 właściciele ryzyka zatwierdzają plan postępowania i akceptują ryzyko rezydualne. W podmiocie objętym ustawą o KSC odpowiedzialność za obowiązki z art. 8 ponosi kierownik, także gdy powierzył je innej osobie (art. 8c ust. 1 i 3), więc ryzyka z najwyższych stref powinny trafiać do niego.

Krok 5: oceń ryzyko inherentne, a potem rezydualne

Po tym kroku rejestr pokazuje, ile ryzyka zdejmują zabezpieczenia. Ryzyko inherentne (pierwotne) to ocena bez zabezpieczeń. Ryzyko rezydualne (szczątkowe) to ocena po uwzględnieniu zabezpieczeń, które faktycznie działają, a nie tych zapisanych w planie.

Różnica mówi zarządowi, które zabezpieczenia niosą największy ciężar i co się stanie, gdy zawiodą. Zwykle zabezpieczenie przesuwa jedną oś. Uwierzytelnianie wieloskładnikowe i aktualizacje obniżają prawdopodobieństwo, a testowane kopie zapasowe i plan odtworzenia obniżają skutek, bo skracają przestój. Ryzyko rezydualne rzadko spada do 1. Taki wynik zwykle oznacza, że ktoś ocenił plan zamiast stanu faktycznego.

Krok 6: wybierz sposób postępowania z ryzykiem

Po tym kroku każde ryzyko powyżej progu ma decyzję. Opcje są cztery.

Ubezpieczenie może pokryć część strat, ale nie zwalnia z obowiązków z ustawy o KSC ani z RODO. Przekazanie usługi dostawcy tworzy z kolei ryzyko łańcucha dostaw, które ustawa każe uwzględnić w art. 8 ust. 1 pkt 2 lit. e. Jak wygląda taki incydent, opisujemy w artykule atak na łańcuch dostaw.

Krok 7: zapisz wynik w rejestrze ryzyka

Po tym kroku cała ocena jest w jednym dokumencie dla audytora i zarządu. Rejestr ryzyka (ang. risk register) to tabela, w której każdy wiersz opisuje jedno ryzyko od identyfikacji do decyzji.

Wiersz jest wymyślonym przykładem, nie opisem rzeczywistej organizacji.

Zabezpieczenia obniżyły tu prawdopodobieństwo z 4 do 2, ale skutek został bez zmian, bo przejęte konto nadal dawałoby dostęp do tych samych danych. Dalsze ograniczenie musiałoby dotyczyć skutku, na przykład przez zawężenie uprawnień administratorów.

Zagrożenie i podatność zapisuj osobno, bo jedna podatność bywa wykorzystywana przez kilka zagrożeń. Zamkniętych wierszy nie usuwaj, tylko zmieniaj ich status. Historia ocen w rejestrze ryzyk pokazuje, że szacowanie jest systematyczne.

Krok 8: przeglądaj rejestr w ustalonym rytmie i po zmianach

Ustawa o KSC mówi o szacowaniu „systematycznym”, a klauzula 8.2 ISO/IEC 27001 wymaga oceny w zaplanowanych odstępach i przy istotnych zmianach. Rytm przeglądów ustala metodyka. Dodatkową ocenę warto uruchamiać po:

1. incydencie u siebie albo u dostawcy,
2. wdrożeniu nowego systemu, migracji do chmury lub zmianie dostawcy,
3. pojawieniu się aktywnie wykorzystywanej podatności w używanym oprogramowaniu,
4. zmianie przepisów lub zakresu działalności,
5. audycie albo teście, który podważa skuteczność zabezpieczeń.

Dowodem dla audytora są daty przeglądów, uczestnicy i uzasadnienie zmian ocen. Czego audytor szuka w dokumentacji, opisujemy w tekście audyt cyberbezpieczeństwa: jak wygląda.

Ograniczenia macierzy ryzyka

Wady macierzy wynikają z jej prostoty. Louis Anthony Cox opisał je w artykule „What's Wrong with Risk Matrices?” (Risk Analysis, t. 28, nr 2, 2008, s. 497–512):

• Słaba rozdzielczość: typowa macierz poprawnie i jednoznacznie porównuje tylko niewielką część par zagrożeń, w analizowanych przykładach poniżej 10%. Bardzo różne ryzyka mogą dostać tę samą ocenę.
• Błędy w kolejności: mniejsze ryzyko może wyjść jako poważniejsze. Gdy prawdopodobieństwo i skutek są ujemnie skorelowane, wskazania bywają według autora gorsze niż losowe.
• Nieoptymalny podział zasobów: strefa nie mówi, które zabezpieczenie zdejmie najwięcej ryzyka przy danym nakładzie.
• Niejednoznaczne dane wejściowe: przy niepewnych skutkach różne osoby mogą temu samemu ryzyku przypisać przeciwne oceny.

Cox zaleca korzystać z macierzy ostrożnie i jawnie opisywać oceny, które się w niej kryją. W praktyce oznacza to pięć reguł:

1. Opisz każdy poziom obu skal słowami, jak w krokach 1 i 2.
2. Dodaj regułę korygującą dla najwyższego skutku.
3. Nie porównuj ryzyk z dokładnością do punktu. Wynik 15 nie jest „o jedną czwartą większy” od 12.
4. Przy wyborze zabezpieczeń zestawiaj redukcję ryzyka z nakładem pracy.
5. Oceniaj na warsztacie z kilkoma osobami i zapisuj uzasadnienie każdej oceny.

Szacowanie ryzyka a RODO

Ta sama macierz może służyć ocenie ryzyka z RODO, ale skutek mierzy się wtedy dla osób, których dane dotyczą. Motyw 76 RODO zaleca, by prawdopodobieństwo i wagę ryzyka określać przez odniesienie do charakteru, zakresu, kontekstu i celów przetwarzania, w drodze obiektywnej oceny. Punktem wyjścia jest rejestr czynności przetwarzania, który pokazuje, jakie dane i w jakich systemach organizacja przetwarza. Gdy przetwarzanie może powodować wysokie ryzyko, art. 35 RODO wymaga osobnej oceny skutków dla ochrony danych (DPIA), której wiersz w rejestrze nie zastąpi. Miejsce oceny ryzyka w przeglądzie zgodności opisujemy w tekście audyt RODO krok po kroku.

Jak SelfAudyt łączy luki z rejestrem ryzyk

W SelfAudycie organizacja odpowiada na pytania audytowe dotyczące ustawy o KSC, NIS2, RODO i ISO/IEC 27001:2022. Każda luka trafia do rejestru ryzyk z oceną prawdopodobieństwa i wpływu na matrycy 5×5. Matryca priorytetów zestawia nakład pracy z redukcją ryzyka, czyli odpowiada na trzecie zastrzeżenie Coxa. Z luk powstaje plan naprawczy z terminami w horyzontach 14, 90 i 365 dni, osobami odpowiedzialnymi i statusem. Tak wygląda wynik: przykładowy raport.

SelfAudyt to samoocena. Pomaga zebrać luki i ułożyć je według ryzyka, ale nie zastępuje metodyki zatwierdzonej przez kierownictwo, audytu zewnętrznego ani analizy prawnej. Wsparcie przy metodyce i dowodach do audytu ZeroLayer oferuje w usłudze wirtualnego CISO.

Najczęściej zadawane pytania

Czym różni się macierz ryzyka od rejestru ryzyka?

Macierz ryzyka to skala ocen: tabela prawdopodobieństwa i skutku, która przypisuje ryzyku wynik i strefę. Rejestr ryzyka to lista zidentyfikowanych ryzyk, w której przy każdym zapisuje się ocenę z macierzy, właściciela, decyzję, zabezpieczenia, termin, ryzyko rezydualne i datę przeglądu.

Czy ustawa o KSC wymaga macierzy 5×5?

Nie. Art. 8 ust. 1 pkt 1 ustawy o KSC wymaga systematycznego szacowania ryzyka wystąpienia incydentu i zarządzania tym ryzykiem, a pkt 2 lit. a polityk szacowania ryzyka, ale nie narzuca metody. Macierz 5×5 jest popularna, bo przy prostych skalach daje wystarczającą rozdzielczość. Inna metoda też jest dopuszczalna, jeśli organizacja opisze ją w metodyce i stosuje konsekwentnie.

Jakie progi akceptacji ryzyka ustawić?

Progi ustala organizacja w metodyce, a zatwierdza kierownictwo. ISO/IEC 27001 wymaga zdefiniowania kryteriów akceptacji, ale nie podaje liczb. Przykładowy podział z tego artykułu: niski 1–4, średni 5–9, wysoki 10–14, krytyczny 15–25, z regułą, że ryzyko o najwyższym skutku trafia co najmniej do strefy wysokiej.

Jak często aktualizować rejestr ryzyka?

W rytmie zapisanym w metodyce oraz po każdej istotnej zmianie: incydencie, wdrożeniu systemu, zmianie dostawcy lub nowej, aktywnie wykorzystywanej podatności. Klauzula 8.2 ISO/IEC 27001 wymaga oceny w zaplanowanych odstępach i przy istotnych zmianach, a ustawa o KSC mówi o szacowaniu systematycznym.

Zastrzeżenie

Artykuł ma charakter informacyjny i opisuje stan prawny na 24 października 2026 r. Nie jest poradą prawną. Skale, strefy i kryteria akceptacji w tabelach są przykładami do dostosowania, a nie wymaganiami przepisów ani normy. Samoocena, również w SelfAudycie, nie zastępuje audytu zewnętrznego, certyfikacji ISO/IEC 27001 ani opinii prawnej.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw RP; art. 8 ust. 1, art. 8c, art. 8d, art. 73 ust. 1 pkt 2, ust. 3 i 4
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) — EUR-Lex; art. 6 pkt 9, art. 21 ust. 1
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — EUR-Lex; motyw 76, art. 24, art. 32, art. 35
• ISO/IEC 27001:2022 Information security management systems — Requirements — ISO
• ISO/IEC 27005:2022 Guidance on managing information security risks — ISO
• Cox, L.A. (2008). What's Wrong with Risk Matrices? Risk Analysis, 28(2), 497–512 — Wiley