Czy jednostka samorządowa musi przeprowadzać szacowanie ryzyka?

Podmiot ważny będący podmiotem publicznym, stosujący załącznik nr 4 formalnie nie ma obowiązku przeprowadzania szacowania ryzyka. Jednakże należy podkreślić, że analiza ryzyka nie jest jakkolwiek zakazana – zgodnie z pkt II.9 załącznika nr 4 do ustawy o KSC, podmiot ważny będący podmiotem publicznym może stosować dodatkowe środki techniczne i organizacyjne, jeżeli jest to konieczne dla zapewnienia odpowiedniego poziomu bezpieczeństwa systemów informacyjnych.

Niezależnie od tego należy pamiętać o innych przepisach – jako przykład należy wskazać art. 32 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietna 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zgodnie z którym „Uwzględniając stan

wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku (…)”. Do prawidłowego zastosowania tego przepisu niezbędne jest przeprowadzenie analizy ryzyka. Przepis ten stosuje się także do podmiotów publicznych niezależnie od ich wielkości.