Menedżerowie muszą nauczyć się cyberbezpieczeństwa
Cyberatak może zatrzymać produkcję, zablokować sprzedaż, odciąć firmę od kluczowych systemów albo doprowadzić do wycieku danych klientów. Dlatego cyberbezpieczeństwo przestaje być tematem, którym zajmuje się wyłącznie dział IT. Menedżer nie musi wiedzieć, jak skonfigurować zabezpieczenia, ale powinien rozumieć, jakie zagrożenia dotyczą jego firmy, jak organizacja jest na nie przygotowana i co zrobić, gdy dojdzie do ataku. Umiejętność zarządzania ryzykiem cyfrowym staje się dziś częścią zarządzania biznesem.
3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża do polskiego prawa unijną dyrektywę NIS2. Nowe regulacje znacząco rozszerzyły katalog organizacji objętych obowiązkami dotyczącymi cyberbezpieczeństwa. Według szacunków Ministerstwa Cyfryzacji przepisy mogą objąć około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych[1].
Zmiana jest istotna nie tylko dla specjalistów IT. Nowe regulacje wymagają od organizacji systemowego podejścia do zarządzania ryzykiem cybernetycznym. Podmioty kluczowe i ważne będą musiały m.in. wdrożyć System Zarządzania Bezpieczeństwem Informacji, zarządzać incydentami i zgłaszać poważne incydenty właściwym zespołom CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego). Dla podmiotów objętych obowiązkiem samorejestracji, które spełniały ustawowe kryteria w dniu wejścia w życie nowych regulacji, termin na złożenie wniosku o wpis do Wykazu KSC upływa 3 października 2026 r.
Menedżer musi rozumieć ryzyko
Przez lata bezpieczeństwo cyfrowe było w wielu przedsiębiorstwach traktowane przede wszystkim jako domena informatyków. Dziś takie podejście staje się niewystarczające. Menedżer nie musi umieć konfigurować zabezpieczeń sieciowych, ale powinien rozumieć, jakie ryzyko dla działalności firmy wiąże się z technologią, danymi, dostawcami czy zachowaniami pracowników.
– Cyberbezpieczeństwo nie jest już wyłącznie zagadnieniem technicznym. To kwestia ciągłości działania, odpowiedzialności organizacji i zarządzania ryzykiem. Menedżer nie musi zastępować specjalisty IT, ale musi potrafić zadać mu właściwe pytania, zrozumieć konsekwencje biznesowe określonego ryzyka i na tej podstawie podjąć decyzję. NIS2 bardzo wyraźnie pokazuje, że bezpieczeństwo cyfrowe powinno być elementem zarządzania organizacją, a nie tematem pozostawionym wyłącznie zespołom technicznym – mówi Cyprian Gutkowski, prawnik specjalizujący się w cyberbezpieczeństwie, wykładowca MBA Cybersecurity Management Szkoły Biznesu Politechniki Warszawskiej, wiceprezes Fundacji Bezpieczna Cyberprzestrzeń.
Firma może kupić technologię. Kompetencji ludzi kupić się nie da
Nowe regulacje pokazują jeszcze jeden problem: wraz z cyfryzacją przedsiębiorstw rośnie zapotrzebowanie nie tylko na specjalistów technicznych, ale również na osoby, które potrafią łączyć świat technologii ze światem biznesu.
Znajomość regulacji, zarządzania ryzykiem, finansów czy organizacji procesów musi coraz częściej iść w parze ze zrozumieniem technologii. Cyberbezpieczeństwo staje się więc kompetencją interdyscyplinarną.
Samo wdrożenie kolejnego systemu zabezpieczeń nie wystarczy, jeżeli organizacja nie ma procedur, pracownicy nie wiedzą, jak reagować na zagrożenia, a osoby podejmujące decyzje nie potrafią właściwie ocenić ryzyka.
Dlatego zmienia się również sposób kształcenia osób odpowiedzialnych za bezpieczeństwo organizacji. Potrzebni są zarówno eksperci techniczni rozumiejący biznes, jak i menedżerowie potrafiący rozmawiać ze specjalistami od technologii, prawa i bezpieczeństwa.
– Cyberbezpieczeństwa nie da się dziś skutecznie oddzielić od zarządzania organizacją. Osoba odpowiedzialna za ten obszar powinna rozumieć nie tylko techniczne mechanizmy zabezpieczeń, ale także potrafić analizować ryzyko, planować ciągłość działania, oceniać ekonomiczne skutki incydentów, poruszać się w otoczeniu regulacyjnym i wiedzieć, jak organizacja powinna reagować na zagrożenia. Równie istotny jest czynnik ludzki, bo nawet najlepsze zabezpieczenia nie będą skuteczne bez odpowiednich procesów i świadomości pracowników. Dlatego w kształceniu w obszarze cyberbezpieczeństwa tak ważne jest dziś łączenie wiedzy technologicznej z kompetencjami biznesowymi i menedżerskimi – wyjaśnia Cyprian Gutkowski, prawnik specjalizujący się w cyberbezpieczeństwie, wykładowca MBA Cybersecurity Management Szkoły Biznesu Politechniki Warszawskiej, wiceprezes Fundacji Bezpieczna Cyberprzestrzeń.
Skalę wyzwania pokazują dane za 2025 r. Zespoły CSIRT poziomu krajowego otrzymały łącznie ponad 682 tys. zgłoszeń i obsłużyły blisko 273 tys. incydentów. Liczba obsłużonych incydentów była o 144,4% wyższa niż rok wcześniej.[2].
Co istotne, nowe regulacje nie pozostawiają cyberbezpieczeństwa wyłącznie w sferze odpowiedzialności zespołów technicznych. Odpowiedzialność za realizację ustawowych obowiązków w tym obszarze została przypisana kierownikowi podmiotu, co dodatkowo podkreśla zarządczy charakter cyberbezpieczeństwa.
Dla przedsiębiorstw oznacza to konieczność przygotowania nie tylko infrastruktury i procedur, ale przede wszystkim ludzi zdolnych do podejmowania decyzji w sytuacji zagrożenia.
[1] https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc—kogo-obejmuje
[2] https://www.gov.pl/web/cyfryzacja/krajobraz-cyberprzestrzeni-sprawozdanie-o-stanie-cyberbezpieczenstwa-polski-za-rok-2025
