Moduł 2: Wspólne zarządzanie ICT, bezpieczeństwo i realizacja usług w instytucjach UE | ICT AD7

W skrócie

Architektura korporacyjna, interoperacyjność, zarządzanie usługami, bezpieczeństwo, prywatność, dostępność, zamówienia publiczne oraz uwarunkowania instytucjonalne UE.

Status modułu

•Ścieżka: Wspólne podstawy ICT
•Ostatnia weryfikacja: 2026-10-27
•Zakres: Niezależne szkolenie EPSOHQ powiązane z obowiązkami opisanymi w ogłoszeniu; pierwszeństwo mają źródła oficjalne.

Najpierw architektura, potem produkty

Administrator AD7 musi przekładać potrzeby instytucji na usługi, które można utrzymywać oraz które są bezpieczne i interoperacyjne. Należy zacząć od zdolności, przepływów informacji, poziomów usług, ograniczeń i ryzyka. Wybór produktu następuje po określeniu architektury docelowej i kryteriów oceny. Projekt, który jest technicznie elegancki, lecz niemożliwy do eksploatowania, zamówienia, audytowania lub wycofania, jest niekompletny.

W decyzjach architektonicznych należy dokumentować kontekst, warianty, wybrane rozwiązanie, konsekwencje i przesłanki do ponownego przeglądu. Istotna jest możliwość odwrócenia decyzji. Interfejsy i przenośne formaty danych ograniczają zależności. Radar technologiczny dzieli technologie na wdrożone, testowane, oceniane i wstrzymane, dzięki czemu eksperymenty nie stają się niepostrzeżenie częścią architektury produkcyjnej.

Interoperacyjność i uwarunkowania sektora publicznego

Akt w sprawie Interoperacyjnej Europy ustanawia ramy transgranicznej interoperacyjności sieci i systemów informacyjnych sektora publicznego. Interoperacyjność obejmuje warstwę prawną, organizacyjną, semantyczną i techniczną. Sam interfejs API nie rozwiązuje problemów wynikających z różnych podstaw prawnych, odpowiedzialności za procesy ani znaczeń danych.

Dostępność należy uwzględnić w kryteriach akceptacji. Bezpieczeństwo i ochronę danych należy uwzględnić już na etapie projektowania. Zamówienia publiczne wymagają mierzalnych wymagań, sprawiedliwej oceny i ścieżki wyjścia. Obowiązki dotyczące dokumentacji, przejrzystości i możliwości audytu wpływają na rejestrowanie zdarzeń, okresy przechowywania oraz materiały dowodowe uzasadniające decyzje.

Bezpieczeństwo i ochrona prywatności już w fazie projektowania

Środki kontroli należy dobierać na podstawie ryzyka. Wielowarstwowa ochrona obejmuje tożsamość, urządzenia końcowe, sieci, aplikacje, dane, monitorowanie i odtwarzanie zasobów. Zasada najmniejszych uprawnień ogranicza dostęp do tego, czego dany podmiot potrzebuje. Rozdzielenie obowiązków zmniejsza ryzyko, że jedna tożsamość będzie mogła zainicjować, zatwierdzić i ukryć wrażliwe działanie.

Uwzględnianie ochrony prywatności już w fazie projektowania oznacza określenie celu, podstawy prawnej, minimalizacji danych, okresu przechowywania, dostępu, przekazywania danych oraz praw osób, których dane dotyczą, jeszcze przed wdrożeniem. Szyfrowanie chroni poufność, lecz samo w sobie nie zapewnia zgodności przetwarzania z prawem. Pseudonimizacja ogranicza możliwość powiązania danych z osobą, ale nadal stanowi przetwarzanie danych osobowych, jeśli ponowna identyfikacja pozostaje możliwa.

Zarządzanie usługami

Należy określić właściciela usługi, właściciela produktu, właściciela technicznego i właściciela danych. Wskaźniki poziomu usług należy ustalić przed celami dotyczącymi poziomu usług. Oprócz dostępności należy monitorować efekty dla użytkowników. Usługa może być technicznie dostępna, a mimo to bezużyteczna z powodu awarii uwierzytelniania, opóźnień lub krytycznej zależności.

Każda usługa produkcyjna wymaga monitorowania, określenia ról na wypadek incydentu, dowodów skuteczności tworzenia i odtwarzania kopii zapasowych, założeń dotyczących ciągłości działania, procedury eskalacji do dostawcy oraz planu wycofania. Zatwierdzanie zmian powinno być proporcjonalne do ryzyka. Standardowe zmiany o niskim ryzyku można zatwierdzać z wyprzedzeniem; zmiany awaryjne nadal wymagają identyfikowalności i przeglądu po ich wprowadzeniu.

Podstawowy zestaw źródeł

•Akt w sprawie Interoperacyjnej Europy — Rozporządzenie (UE) 2024/903
•NIS2 — Dyrektywa (UE) 2022/2555
•RODO — Rozporządzenie (UE) 2016/679
•Dyrektywa w sprawie dostępności stron internetowych — Dyrektywa (UE) 2016/2102
•Metodyka PM² Komisji Europejskiej — portal PM²

Polityka cyfrowa UE: najpierw podmiot, potem obowiązek

Uzupełnienie sprawdzone 27 października 2026 r. Te rozróżnienia wspierają ocenę techniczną i pisanie o sprawach UE. Stanowią pomoc w powtórce, a nie prognozę pytań EPSO ani dossier EUFTE.

Instrument	Główne pytanie	Praktyczne dowody, o które należy poprosić	Pułapka zakresu
Akt w sprawie sztucznej inteligencji (Akt w sprawie sztucznej inteligencji)	Jakie jest zamierzone przeznaczenie systemu, jego klasyfikacja ryzyka i rola organizacji?	Wykaz przypadków użycia, uzasadnienie klasyfikacji, dokumentacja nadzoru i ewaluacji	Etykieta dostawcy „zgodny z przepisami o AI” nie rozstrzyga kwestii każdego wdrożenia
NIS2	Czy organizacja jest podmiotem objętym zakresem dyrektywy i odpowiednich przepisów krajowych?	Zarządzanie ryzykiem, proces obsługi incydentów, kontrole łańcucha dostaw i ład	Nie należy domyślnie stosować dyrektywy skierowanej do państw członkowskich do każdej instytucji UE
Rozporządzenie (UE, Euratom) 2023/2841	Które obowiązki w zakresie cyberbezpieczeństwa dotyczą instytucji, organów i jednostek organizacyjnych Unii?	Instytucjonalne ramy zarządzania ryzykiem, podział odpowiedzialności i koordynacja incydentów	Reżim instytucjonalny wymaga odrębnej analizy zakresu
DORA	Czy chodzi o objęty przepisami podmiot finansowy lub istotne ustalenie z zewnętrznym dostawcą usług ICT?	Kontrole ryzyka ICT, rejestr umów, testy odporności i strategie wyjścia	DORA ma charakter sektorowy; nie jest ogólną regułą dla każdego projektu IT w sektorze publicznym
Akt o cyberodporności	Czy produkt z elementami cyfrowymi i podmiot gospodarczy mieszczą się w zakresie?	Obsługa podatności, informacje o wsparciu i dowody zgodności	Operacyjna kontrola bezpieczeństwa i zgodność produktu odpowiadają na różne pytania
GDPR (RODO) / Rozporządzenie (UE) 2018/1725	Który reżim ochrony danych osobowych i jakie role administratora/podmiotu przetwarzającego mają zastosowanie?	Dokumentacja celu, podstawy prawnej, minimalizacji, przechowywania i dostępu	Sama lokalizacja chmury lub ustawienie szyfrowania nie czyni przetwarzania zgodnym z prawem
Akt w sprawie danych	Która zasada dotycząca dostępu do danych lub zmiany dostawcy usług przetwarzania danych ma znaczenie?	Formaty eksportu, zależności, umowne warunki wyjścia i testy przejścia	Przenoszalność nie oznacza, że każdą aplikację da się przenieść bez dostosowania
Akt w sprawie zarządzania danymi / dyrektywa w sprawie otwartych danych	Czy chodzi o ponowne wykorzystanie chronionych danych sektora publicznego, pośrednika w udostępnianiu danych czy informacje sektora publicznego nadające się do ponownego wykorzystania?	Warunki zezwoleń, zabezpieczenia dostępu i klasyfikacja zbiorów danych	Instrumenty te nie zamieniają wszystkich posiadanych danych w nieograniczone otwarte dane
Program polityki „Droga ku cyfrowej dekadzie”	Do jakiej zdolności lub jakiego rezultatu w zakresie usług na rok 2030 się dąży?	Wskaźniki dotyczące umiejętności, łączności, przedsiębiorstw lub usług publicznych	Cel polityczny nie jest certyfikatem bezpieczeństwa konkretnego systemu

Przed zapamiętaniem daty wdrożenia należy przeczytać obowiązujący tekst i aktualne zmiany. Wejście w życie, ogólne stosowanie, obowiązki wprowadzane etapami i faktyczne obowiązki sprawozdawcze danego podmiotu mogą się różnić. Przykładowo Komisja odróżnia obowiązki zgłaszania wynikające z CRA od późniejszych obowiązków głównych. Obowiązki prawne, cele polityczne, normy techniczne i dobrowolne ramy zarządzania należy traktować jako odrębne rodzaje źródeł.

Gaia-X może zapewnić kontekst dla ekosystemów chmurowych i danych. Nie jest to rozporządzenie UE ani ogólna certyfikacja prawna. Deklaracja suwerenności nadal wymaga dowodów dotyczących kontroli nad kluczami, dostępu, podwykonawców, przenoszalności i ryzyka prawnego. Europejski akt w sprawie czipów dotyczy mocy produkcyjnych półprzewodników i odporności dostaw; nie certyfikuje pojedynczego obciążenia w chmurze. Instrument należy dopasować do podejmowanej decyzji.

Cztery oryginalne decyzje dotyczące zakresu

Infrastruktura: producent oferuje podłączone urządzenie z oznakowaniem CE. Nie dowodzi to przetestowanego odtworzenia usługi instytucji. Należy osobno zażądać dowodów dotyczących produktu i dowodów lokalnego odtworzenia.
Zarządzanie projektami: dostawca obiecuje „zgodność ze wszystkimi przepisami UE”. Przed zatwierdzeniem wymagania należy poprosić o mapę zakresu w układzie podmiot–instrument, właścicieli, dowody odbioru i nierozwiązane zależności.
Chmury i sieci: dwaj dostawcy korzystają z różnych usług tożsamości i zarządzanych baz danych. Sam eksport danych nie dowodzi wykonalności planu wyjścia. Należy przetestować zależności, czas odtworzenia, dostęp i integralność danych.
Nauka o danych: wynik testu porównawczego dokładności nie potwierdza zgodnego z prawem wykorzystania danych ani odpowiedniego nadzoru. Należy osobno zapytać o zamierzone przeznaczenie, mające zastosowanie przepisy, pochodzenie danych, skuteczność w podgrupach i decyzje podejmowane przez ludzi.

Wspólne zarządzanie ICT, bezpieczeństwo i realizacja usług w instytucjach UE