Czy pojęcie systemu informacyjnego należy odnosić do całego środowiska teleinformatycznego organizacji czy do każdego systemu oddzielnie?

System informacyjne zgodnie z przewidzianą definicją to każdy z systemów, przy pomocy którego jest świadczona usługa, w tym realizowane zadanie publiczne. W tym zakresie każdy z tych systemów powinien być zinwentaryzowany oraz powinien zostać uwzględniony w SZBI na podstawie art. 8 ustawy o KSC. Zgodnie z art. 8 ustawy o KSC, podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot. W przypadku występowania kilku lub większej liczby systemów, SZBI może zostać wdrożone na poziomie całego podmiotu kluczowego

lub podmiotu ważnego, a poszczególne odwołania do systemów informacyjnych z uwagi na ich specyfikę mogą stanowić poszczególne elementy SZBI.