Praca zdalna w małej firmie: jak przygotować IT bez chaosu

Laptop handlowca zostaje w samochodzie, samochód zostaje otwarty. Po tygodniu okazuje się, że na pulpicie były oferty z ostatnich dwóch lat, dysk nie był zaszyfrowany, a poczta na tym komputerze nadal jest zalogowana. To typowy początek rozmowy o pracy zdalnej w małej firmie, choć sama praca z domu działa w niej od dawna.

Uporządkowanie IT dla zespołu, który pracuje poza biurem, nie wymaga dużego budżetu. Wymaga decyzji w pięciu obszarach i spisania ich tak, żeby nowy pracownik dostał ten sam zestaw co poprzedni. Zaczynamy od przepisów, bo od nich zależy, kto za co płaci.

Praca zdalna w Kodeksie pracy: co dotyczy IT

Przepisy o pracy zdalnej obowiązują od 7 kwietnia 2023 roku. Wprowadziła je ustawa z 1 grudnia 2022 roku o zmianie Kodeksu pracy (Dz.U. 2023 poz. 240). Poniżej tylko fragmenty, które dotyczą IT i stanowiska. Kwestie umowne, regulamin pracy zdalnej i ekwiwalenty to temat dla działu kadr albo prawnika i tutaj ich nie interpretujemy.

Narzędzia i pomoc techniczna. Zgodnie z art. 67²⁴ § 1 pracodawca zapewnia pracownikowi zdalnemu materiały i narzędzia pracy, w tym urządzenia techniczne, a także ich instalację, serwis i konserwację. Pokrywa koszty energii elektrycznej i usług telekomunikacyjnych niezbędnych do pracy zdalnej oraz zapewnia szkolenia i pomoc techniczną. Strony mogą też ustalić, że pracownik korzysta z własnego sprzętu; Ministerstwo Rodziny, Pracy i Polityki Społecznej wskazuje, że przysługuje mu wtedy ekwiwalent pieniężny.

Ochrona danych. Art. 67²⁶ zobowiązuje pracodawcę do określenia procedur ochrony danych osobowych i przeprowadzenia instruktażu, a pracownik potwierdza, że się z nimi zapoznał. Z punktu widzenia IT to dobry moment, żeby procedura opisywała konkretne ustawienia: szyfrowanie dysku, blokadę ekranu, sposób logowania i postępowanie po zgubieniu sprzętu.

Kontrola. Art. 67²⁸ pozwala pracodawcy kontrolować w miejscu pracy zdalnej między innymi przestrzeganie wymogów bezpieczeństwa i ochrony informacji, w porozumieniu z pracownikiem i w godzinach jego pracy.

BHP stanowiska. Według art. 67³¹ pracodawca przygotowuje ocenę ryzyka zawodowego dla pracy zdalnej, uwzględniającą między innymi wpływ na wzrok, układ mięśniowo-szkieletowy i czynniki psychospołeczne. Pracownik potwierdza zapoznanie się z nią i składa oświadczenie, że w wybranym miejscu zapewnione są bezpieczne i higieniczne warunki pracy. Dla IT oznacza to także pytania o monitor, klawiaturę i oświetlenie.

Praca okazjonalna. Praca zdalna wykonywana okazjonalnie, na wniosek pracownika, jest ograniczona do 24 dni w roku kalendarzowym i rządzi się częściowo innymi zasadami. Zabezpieczenia IT powinny jednak być takie same, bo dane wychodzą z biura niezależnie od trybu.

Dostęp do firmowych zasobów: VPN czy chmura

Pierwsze pytanie brzmi: gdzie są dane, z których pracownicy korzystają. Jeśli poczta, pliki i kalendarze są w Microsoft 365 albo Google Workspace, a faktury wystawiacie w aplikacji przez przeglądarkę, VPN do tych usług nie jest potrzebny. Bezpieczeństwo zapewniają tam konto, drugi składnik logowania i zasady dostępu.

VPN (wirtualna sieć prywatna, czyli szyfrowany tunel z laptopa do sieci firmy) jest potrzebny, gdy w biurze stoi serwer z programem księgowym lub magazynowym, dysk sieciowy albo system, który nie ma wersji chmurowej. Zasada jest prosta: nic, co służy do zdalnej pracy na komputerach w biurze, nie powinno być wystawione bezpośrednio do internetu. CERT Polska w poradniku o ransomware zaleca udostępnianie zdalnego pulpitu wyłącznie przez firmowy VPN z dwuskładnikowym uwierzytelnianiem.

Przy kilku osobach zdalnych wystarczy VPN uruchomiony na firmowym routerze lub zaporze, z osobnym kontem dla każdego pracownika. Wspólne konto VPN dla całego zespołu to błąd, który wychodzi przy pierwszym odejściu pracownika: nie da się zablokować jednej osoby bez zmiany hasła wszystkim.

Sieć domowa pracownika

Na sieć w domu pracownika firma nie ma wpływu. Ten sam router obsługuje laptop służbowy, konsolę dzieci, telewizor i telefony gości, a hasło administratora często jest fabryczne. Zamiast próbować tę sieć kontrolować, załóżcie, że jest niezaufana. Laptop ma mieć włączoną zaporę systemową, zaszyfrowany dysk i dostęp do firmowych zasobów wyłącznie przez VPN lub usługi chmurowe z MFA. To samo dotyczy pracy z hotelu, pociągu czy kawiarni. Jeśli pracownik regularnie pracuje z miejsca o słabym łączu, rozważcie służbowy modem LTE lub 5G: koszt telekomunikacyjny i tak, zgodnie z Kodeksem pracy, pokrywa pracodawca.

MFA dla wszystkich kont, od poczty po VPN

MFA (uwierzytelnianie wieloskładnikowe) wymaga przy logowaniu czegoś więcej niż hasła, najczęściej potwierdzenia w aplikacji na telefonie albo klucza sprzętowego. Przy pracy zdalnej ma większe znaczenie niż w biurze, bo logowania z domowych sieci i hoteli wyglądają tak samo jak logowania kogoś, kto ukradł hasło.

CERT Polska w rekomendacjach dla systemów uwierzytelniania zaleca wsparcie dla uwierzytelniania dwuskładnikowego i hasła o długości co najmniej 14 znaków. Kolejność wdrożenia w małej firmie: konta administratorów, poczta wszystkich pracowników, VPN, a na końcu aplikacje branżowe, jeśli to obsługują.

Kod SMS jest lepszy niż samo hasło, ale aplikacja uwierzytelniająca jest wygodniejsza i trudniejsza do przechwycenia. Przy wdrożeniu przygotujcie procedurę na zgubiony telefon: kto może zresetować drugi składnik i jak potwierdza tożsamość pracownika. Bez niej pierwsza zgubiona komórka kończy się telefonem do szefa w sobotę.

Laptop służbowy czy prywatny komputer pracownika

To decyzja, od której zależy reszta zabezpieczeń. Porównanie z perspektywy IT:

Kryterium	Laptop służbowy	Prywatny komputer pracownika
Szyfrowanie dysku	Włączone i kontrolowane przez firmę	Zależy od pracownika, trudne do sprawdzenia
Aktualizacje i ochrona	Zarządzane centralnie	Poza kontrolą firmy
Odejście pracownika	Zwrot sprzętu, dane zostają w firmie	Dane firmowe mogą zostać na prywatnym dysku
Zgubienie lub kradzież	Zdalna blokada i wymazanie danych	Zwykle brak takiej możliwości
Koszty według Kodeksu pracy	Zapewnia pracodawca	Ekwiwalent pieniężny dla pracownika

Rozsądny standard dla małej firmy: laptop służbowy z zaszyfrowanym dyskiem (BitLocker w Windows, FileVault w macOS), kontem użytkownika bez uprawnień administratora, automatycznymi aktualizacjami i ochroną antywirusową zarządzaną centralnie. Jeśli ktoś pracuje na prywatnym sprzęcie, ograniczcie mu dostęp do aplikacji w przeglądarce, bez pobierania plików i bez zapisanych haseł.

Klucz odzyskiwania szyfrowania musi być zapisany po stronie firmy. Bez niego awaria płyty głównej oznacza utratę danych z laptopa nawet wtedy, gdy dysk jest sprawny.

Kopie danych z laptopów pracowników zdalnych

Laptopy są najsłabiej chronionym miejscem danych w małej firmie. Pracownik zapisuje ofertę na pulpicie, bo tak szybciej, i przez pół roku nie ma tego pliku nigdzie indziej.

Najprostsze rozwiązanie to przeniesienie folderów Pulpit i Dokumenty do firmowego OneDrive lub Dysku Google, tak żeby zapisywały się w chmurze automatycznie. Pamiętajcie, że synchronizacja to nie to samo co kopia zapasowa. Plik usunięty albo zaszyfrowany na laptopie zostaje usunięty albo zaszyfrowany także w chmurze. Potrzebna jest więc osobna kopia danych z chmury, z historią wersji i okresem przechowywania dłuższym niż kosz. Dotyczy to także skrzynek pocztowych, w których w małych firmach często leży jedyna kopia umów i ustaleń z klientami.

CERT Polska przypomina w poradniku o ransomware regułę 3-2-1 i potrzebę regularnych testów odtworzenia. Dla zespołu zdalnego test jest prosty: raz na kwartał odtwórzcie losowy plik z laptopa jednej osoby z kopii sprzed tygodnia. Szerzej piszemy o tym w tekście o kopiach zapasowych w firmie.

Komunikacja i zgłaszanie problemów w zespole zdalnym

W biurze problem z drukarką załatwia się pytaniem przez biurko. Zdalnie trzeba ustalić trzy kanały: jeden komunikator do pracy, jedno miejsce zgłaszania problemów IT i jeden numer na sprawy pilne. Gdy zgłoszenia przychodzą SMS-em, mailem i na czacie, część z nich ginie.

Pilne sprawy warto opisać jedną kartką: co zrobić po zgubieniu laptopa lub telefonu (kogo powiadomić, w jakim czasie, kto blokuje konta), co zrobić po kliknięciu w podejrzany link i jak potwierdzać nietypowe polecenia przelewu. Zmiana numeru konta kontrahenta przekazana mailem powinna być zawsze potwierdzana telefonicznie, na numer z wcześniejszej korespondencji.

Jak wygląda obsługa zgłoszeń, gdy pracownik siedzi w domu, a serwer w biurze, opisaliśmy w tekście o obsłudze IT zdalnej i na miejscu.

Lista kontrolna przed wysłaniem zespołu do pracy zdalnej

Przejdźcie ją przed pierwszym dniem pracy zdalnej każdej nowej osoby i powtórzcie raz w roku dla całego zespołu, bo sprzęt, ludzie i usługi się zmieniają.

• każdy pracownik ma własne konta, bez kont współdzielonych;
• MFA włączone dla poczty, VPN i kont administratorów;
• laptopy z zaszyfrowanym dyskiem i kluczem odzyskiwania zapisanym w firmie;
• automatyczne aktualizacje i ochrona antywirusowa na każdym urządzeniu;
• pulpit i dokumenty synchronizowane z chmurą oraz osobna kopia danych z chmury;
• zdalny pulpit dostępny wyłącznie przez VPN;
• procedura na zgubiony sprzęt i podejrzaną wiadomość, znana wszystkim;
• procedura ochrony danych potwierdzona przez pracownika zgodnie z Kodeksem pracy.

Jeśli chcecie sprawdzić, ile z tej listy macie już ustawione, umówcie bezpłatny przegląd IT. Wdrożenie MFA, szyfrowania i kopii dla zespołu zdalnego realizujemy w ramach usług cyberbezpieczeństwa.

---

Przepisy omawiamy tu wyłącznie w zakresie narzędzi IT i stanowiska pracy. To nie jest porada prawna. Porozumienie lub regulamin pracy zdalnej, ekwiwalenty i ocenę ryzyka zawodowego przygotujcie z działem kadr, specjalistą BHP lub prawnikiem.

Źródła

• Ministerstwo Rodziny, Pracy i Polityki Społecznej, Praca zdalna, https://www.gov.pl/web/rodzina/praca-zdalna (dostęp 2.10.2026)
• Sejm RP, Ustawa z dnia 1 grudnia 2022 r. o zmianie ustawy - Kodeks pracy oraz niektórych innych ustaw, Dz.U. 2023 poz. 240, https://api.sejm.gov.pl/eli/acts/DU/2023/240/text.html (dostęp 2.10.2026)
• CERT Polska, Poradnik ransomware, https://cert.pl/uploads/docs/CERT_Polska_Poradnik_ransomware.pdf (dostęp 2.10.2026)
• CERT Polska, Rekomendacje techniczne CERT Polska dla systemów uwierzytelniania, publikacja 10.01.2022, aktualizacja 2025, https://cert.pl/posts/2022/01/rekomendacje-techniczne-systemow-uwierzytelniania/ (dostęp 2.10.2026)

Stan na 2 października 2026 r.