W 2026 roku cyberbezpieczeństwo w organizacjach przestało być wyłącznie zmartwieniem działu IT bądź informatyka. Dziś to strategiczny obowiązek zarządu, wprost wynikający z nowych regulacji, w tym dyrektywy NIS2 i ustawy o KSC. To właśnie kierownictwo ponosi bezpośrednią odpowiedzialność za ciągłość działania firmy oraz skutki ewentualnych cyberataków. Odpowiedzialność, której zgodnie z art. 8c ust. 3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa nie można skutecznie przenieść na osobę trzecią: „Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą”.
Jako członek zarządu powinieneś znać odpowiedzi na co najmniej następujące pytania:
- Status UoKSC/NIS2: czy wiemy, jaki jest nasz status na gruncie UoKSC/NIS2 i czy posiadamy aktualne sprawozdanie z audytu pokazujące, czego brakuje nam do spełnienia wymogów?
- Dostawcy IT/ICT: czy umowy z dostawcami technologii posiadają odpowiednie zapisy i realnie gwarantują nam bezpieczeństwo?
- Budżet: czy zaplanowane wydatki na cyberbezpieczeństwo wynikają z przeprowadzonej analizy ryzyka?
- BCP/DRP: czy plany ciągłości działania i odtwarzania systemów po ataku zostały przetestowane w praktyce, czy istnieją tylko na papierze?
- Szkolenia: czy osoby decyzyjne w firmie przeszły odpowiednie szkolenia z reagowania na cyberzagrożenia?
- Polisa cyber: czy posiadamy ubezpieczenie od cyberzagrożeń, które faktycznie zadziała, gdy dojdzie do incydentu?
- Incydent w 24 godziny: czy mamy gotową, przetestowaną ścieżkę zgłoszenia incydentu do organu nadzorczego i wiemy, kto konkretnie przygotuje zgłoszenie?
- Dług technologiczny: czy wiemy, ile krytycznych systemów nie posiada aktualnego wsparcia, poprawek bezpieczeństwa albo planu modernizacji?
Kiedy zarząd powinien zamówić audyt UoKSC/NIS2?
Jeżeli spółka nie posiada aktualnej analizy ryzyka, nie wie czy jest podmiotem kluczowym bądź ważnym, nie testowała BCP/DRP, nie posiada przypisanej osoby do zgłaszania incydentów w 24 godziny albo nie przeszkoliła zarządu — audyt zerowy UoKSC/NIS2 jest najszybszym sposobem ustalenia priorytetów działania.
Autodiagnoza zarządu: 2 minuty
Zaznacz obszary, w których spółka ma gotowy dowód, nie tylko deklarację. Im mniej zaznaczeń, tym większy sens ma audyt zerowy KSC/NIS2.
Wynik praktyczny: jeżeli nie da się zaznaczyć co najmniej czterech pól, zarząd nie ma jeszcze pełnego obrazu ryzyka i powinien zacząć od audytu luki oraz krótkiego planu 30/60/90 dni.
1. Problem zarządu: brak pewności przed kontrolą lub incydentem
Problemem zarządu jest pozorne bezpieczeństwo przed kontrolą bądź cyberatakiem. W wielu firmach panuje złudne poczucie bezpieczeństwa. Dokumentacja wprawdzie „jakaś” istnieje, ale zarząd wciąż nie ma pewności, czy organizacja jest realnie przygotowana na ewentualny kryzys. Procedury od dawna nie były aktualizowane, umowy z dostawcami nie posiadają odpowiednich zapisów, kopie zapasowe „podobno działają”, a na pytanie o to, co zrobić w razie ataku, pada odpowiedź: „Tym zajmuje się IT”.
W obliczu rygorystycznych wymogów dyrektywy NIS2 oraz ustawy o KSC, takie podejście to za mało. Odpowiedzialność za bezpieczeństwo nie spoczywa już tylko na dziale informatyki – spoczywa na Zarządzie. Aby spać spokojnie, osoby decyzyjne potrzebują twardych dowodów, a nie słownych zapewnień. Wymagane są konkretne dowody podjętych działań. Intencja zakupowa jest w tym zakresie bardzo konkretna. Firma nie szuka „wiedzy o cyberbezpieczeństwie”, tylko odpowiedzi na pytanie – Co trzeba kupić lub wdrożyć, żeby zarząd mógł podjąć odpowiednią decyzję. Dlatego poniższe osiem pytań prowadzi nie do teorii, ale do konkretnych usług i dokumentów, których zarząd realnie potrzebuje.
Macierz decyzji zarządu
co kupić lub wdrożyć najpierwPierwszy krok: kwalifikacja podmiotu i audyt luki. Bez tego budżet i harmonogram są oparte na założeniach.
Pierwszy krok: ćwiczenie reakcji na incydent oraz test BCP/DRP z protokołem dla zarządu.
Pierwszy krok: przegląd i aneksowanie umów ICT o klauzule audytowe, incydentowe i bezpieczeństwa.
Pierwszy krok: szkolenie zarządu NIS2/KSC z decyzji, odpowiedzialności i reakcji w pierwszych 24 godzinach.
2. Osiem pytań audytowych z UoKSC/NIS2 dla zarządu
Poniższe pytania stanowią praktyczną agendę na posiedzenie zarządu. Każde pytanie powinno kończyć się jednym z trzech wyników tj. dokumentem, decyzją bądź testem. Jeżeli odpowiedź kończy się stwierdzeniem „musimy to sprawdzić”, to znaczy, że temat powinien wejść do analizy luk i harmonogramu wdrożenia.
8 pytań zarządu
audyt KSC/NIS2, ryzyko, odpowiedzialność2.1Czy wiemy jaki jest nasz status na gruncie UoKSC/NIS2? Czy posiadamy aktualne sprawozdanie z audytu wykazujące, czego nam brakuje do spełnienia wymogów UoKSC/NIS2 (tzw. analiza luk)?
Pierwsza decyzja zarządu powinna dotyczyć kwalifikacji. Spółka powinna zweryfikować, czy podlega obowiązkom UoKSC/NIS2, w jakiej roli występuje i czy konieczna jest rejestracja. Brak tej decyzji (z doświadczenia) często blokuje podjęcie dalszych działań.
W tym miejscu odsyłamy do naszego artykułu kogo dotyczy ustawa ksc nis2. Natomiast najlepszym narzędziem weryfikacji poziomu spełnienia wymogów jest audyt luk UoKSC/NIS2, czyli tzw. gap analysis. Raport powinien pokazać wymaganie, stan obecny, lukę, rekomendowane działanie, właściciela i termin podjęcia działania korekcyjnego bądź korygującego. Dla zarządu ważna jest nie sama liczba braków, ale ustalenie ich priorytetów. Co grozi sankcją? Co grozi przestojem przedsiębiorstwa? A co jest kwestią uporządkowania dokumentacji.
2.2Czy umowy z naszymi dostawcami technologii (IT/ICT) posiadają odpowiednie zapisy i gwarantują nam bezpieczeństwo?
W czasie rosnącej skali zagrożeń, atak na przedsiębiorstwo może nie nastąpić bezpośrednio ale poprzez zewnętrzny software house, dostawcę chmury, helpdesk, integratora systemów albo firmę utrzymującą aplikację produkcyjną. Dlatego audyt cyberbezpieczeństwa powinien obejmować nie tylko wewnętrzne polityki, ale również umowy z dostawcami ICT. Kluczowe są klauzule weryfikacyjne, obowiązki informowania o incydentach, standardy poufności i bezpieczeństwa, zasady podwykonawstwa i odpowiedzialność za naruszenia.
Jeżeli umowy były podpisywane kilka lat temu, najczęściej nie odpowiadają już wymaganiom aktualnych standardów ryzyka. Niezbędnym może okazać się przegląd już podpisanych kontraktów i opracowanie do nich aneksów, które zamienią ogólne zobowiązania do „należytej staranności”, w konkretne obowiązki bezpieczeństwa.
2.3Budżet: czy wydatki wynikają z analizy ryzyka?
Budżet cyberbezpieczeństwa dla zarządu powinien odpowiadać na pytanie, które ryzyka ograniczamy i dlaczego właśnie teraz. Inwestycja w MFA, kopie zapasowe, segmentację sieci, monitoring, szkolenia albo testy BCP/DRP mają sens wtedy, gdy wynikają z określonego planu postępowania i realnego wpływu na działalność przedsiębiorstwa zgodnie z zapotrzebowaniem.
Najgorszy model to budżet tworzony pod presją incydentu albo po pytaniu organu nadzorczego. Zdecydowanie lepiej sprawdza się model opracowanego budżet po sprawozdaniu z audytu luk. Zarząd posiada wówczas świadomość, które działania zamykają największe ryzyka prawne, które ograniczają przestój działalności firmy, a które są warunkiem zdobycia nowego kontraktu.
2.4Czy nasze plany ciągłości działania i odtwarzania systemów po ataku (BCP/DRP) zostały przetestowane w praktyce, czy istnieją tylko na papierze?
Plan ciągłości działania i plan odtwarzania po awarii dają prawdziwą wartość dopiero po przeprowadzonym teście. Zarząd powinien zweryfikować protokół tj. jaki system odtwarzano, ile trwało przywrócenie, kto podejmował decyzje, czego zabrakło i czy założony czas powrotu do działania okazał się realny.
Jeżeli firma deklaruje, że po udanym ataku ransomware wróci do pracy w 24 godziny, musi wiedzieć, czy kopie zapasowe są odseparowane, czy dane w ogóle da się przywrócić, czy dostęp do backupu nie zależy od tych samych kont, które atakujący może przejąć podczas ataku. Audyt BCP/DRP powinien więc prowadzić do dowodów z przeprowadzonych w praktyce ćwiczeń, a nie jedynie do spisanych deklaracji.
2.5Czy osoby decyzyjne w firmie przeszły odpowiednie szkolenia z reagowania na cyberzagrożenia?
Szkolenie zarządu z cyberbezpieczeństwa nie powinno być jedynie powieleniem szkolenia dla wszystkich pracowników z zasad cyberbezpieczeństwa. Zarząd potrzebuje zakresu dopasowanego do rodzaju ponoszonej odpowiedzialności tj. odpowiedzialność za nadzór, zatwierdzanie środków zarządzania ryzykiem, decyzje w pierwszych godzinach incydentu, komunikacja z organami, relacja z ubezpieczycielem i skutki operacyjne przestoju.
Po szkoleniu powinien zostać materiał dowodowy: agenda, lista uczestników, data, zakres i rekomendacje. To ważne, bo NIS2 wprost podkreśla rolę organów zarządzających w zatwierdzaniu i nadzorowaniu środków zarządzania ryzykiem cyberbezpieczeństwa.
2.6Czy posiadamy ubezpieczenie od cyberzagrożeń, które faktycznie zadziała, gdy dojdzie do incydentu?
Polisa od cyberzagrożeń jest potrzebna, ale nie zastępuje samego wdrożenia środków bezpieczeństwa. Ubezpieczyciel może zapytać o MFA, aktualizacje, kopie zapasowe, testy odtwarzania, procedurę incydentów i wcześniejsze deklaracje spółki. Jeżeli rzeczywisty stan bezpieczeństwa różni się od tego, co podano we wniosku, wypłata może stać się przedmiotem sporu.
Dlatego przegląd polisy powinien być częścią rozmowy zarządu o UoKSC/NIS2. Należy sprawdzić nie tylko sumę ubezpieczenia, ale także wyłączenia, obowiązki po incydencie, wymagania prewencyjne i warunki zgłoszenia ewentualnej szkody.
2.7Czy mamy gotową, przetestowaną ścieżkę zgłoszenia incydentu do organu nadzorczego w rygorystycznym czasie 24 godzin? i wiemy kto konkretnie w razie potrzeby przygotuje zgłoszenie?
W pierwszych godzinach incydentu nie ma czasu na ustalanie odpowiedzialności. Procedura powinna wskazywać osoby, zastępców, kanały komunikacji, wzory zgłoszeń, ścieżkę decyzji zarządu i kryteria kwalifikacji incydentu. Jeżeli odpowiedź brzmi „zajmie się tym IT”, to procedura nie jest gotowa na realny kryzys.
Prawo przewiduje krótki, kaskadowy model raportowania incydentów, w tym wczesne ostrzeżenie zasadniczo w ciągu 24 godzin od uzyskania wiedzy o istotnym incydencie oraz dalsze zgłoszenie w terminie 72 godzin. Zarząd powinien mieć pewność, że firma potrafi rozpoznać incydent, nadać mu właściwą kwalifikację i uruchomić procedurę bez improwizacji.
2.8Czy wiemy jaki jest nasz bieżący dług technologiczny? Czyli ile z naszych krytycznych systemów nie posiada aktualnego wsparcia?
Dług technologiczny jest problemem zarządczym, nie tylko technicznym. Jeżeli firma opiera kluczową produkcję na niewspieranym systemie, starych sterownikach OT, przestarzałej aplikacji albo serwerze bez łatek bezpieczeństwa, to właśnie sam zarząd podejmuje decyzję o akceptacji takiego ryzyka — nawet wtedy, gdy nikt tak tej decyzji nie nazwał.
Dlatego zarząd powinien otrzymać rejestr krytycznych systemów z informacją o wersji, wsparciu producenta, właścicielu biznesowym, ryzyku i planie migracji. Dopiero wtedy można ustalić, czy modernizacja jest kosztem technicznym, czy warunkiem bieżącej ciągłości działania przedsiębiorstwa.
3. Dowody i decyzje po audycie UoKSC/NIS2
Właściwy raport dla zarządu nie kończy się listą ogólnych zaleceń. Powinien jasno wskazać, jaki dowód należy posiadać, jakie ryzyko minimalizuje i jaka decyzja zarządu jest potrzebna w kolejnym kroku.
| Obszar | Dowód dla zarządu | Decyzja po audycie |
|---|---|---|
| Status KSC/NIS2 | kwalifikacja podmiotu, uzasadnienie, mapa obowiązków | czy i kiedy rozpocząć wdrożenie SZBI oraz rejestrację |
| Gap analysis | tabela luk: wymaganie, stan obecny, priorytet, właściciel | harmonogram zamknięcia luk i budżet |
| Dostawcy ICT | rejestr dostawców, ryzyka, braki w umowach | aneksy, nowe klauzule, zmiana dostawcy lub audyt dostawcy |
| BCP/DRP | protokół testu odtwarzania i scenariusz ransomware | plan ćwiczeń, poprawa backupu, decyzje o RTO/RPO |
| Zarząd | szkolenie NIS2/KSC, lista obecności, zakres i rekomendacje | cykl nadzoru, raportowanie do zarządu, przeglądy roczne |
| Dług technologiczny | lista niewspieranych systemów i krytycznych podatności | modernizacja, segmentacja, akceptacja ryzyka albo wycofanie systemu |
3.1Co powinien zawierać raport z audytu cyberbezpieczeństwa dla zarządu?
Raport z audytu cyberbezpieczeństwa powinien łączyć dla zarządu język prawny, techniczny i biznesowy. Sam skan podatności nie odpowie na pytanie o status przedsiębiorstwa w UoKSC/NIS2. Sama analiza prawna nie pokaże, czy kopie zapasowe działają w praktyce. Natomiast sama prezentacja IT nie wystarczy, jeżeli nie prowadzi do decyzji zarządczej.
Dobry audyt kończy się pakietem decyzyjnym, w postaci udokumentowanego statusu spółki, mapy luk, priorytetów działania, harmonogramu na 30/60/90 dni, listy decyzji zarządu, orientacyjnych kosztów najważniejszych działań i wskazaniem dowodów, które należy zgromadzić przed kontrolą bądź incydentem.
Plan po audycie KSC/NIS2
30 / 60 / 90 dni4. Najczęściej zadawane pytania przed zakupem audytu lub szkolenia
+4.1 Kiedy zamówić audyt KSC/NIS2, a kiedy od razu wdrożenie SZBI?
Audyt jest właściwy, gdy spółka nie zna statusu zgodności, nie ma mapy luk albo potrzebuje decyzji budżetowej dla zarządu. Wdrożenie SZBI ma sens od razu wtedy, gdy mapa luk już istnieje i wiadomo, które procedury, umowy oraz środki techniczne trzeba uzupełnić.
+4.2 Ile trwa audyt cyberbezpieczeństwa dla zarządu?
W typowej organizacji pierwszy raport decyzyjny można przygotować w ciągu kilku tygodni, jeżeli spółka sprawnie przekazuje dokumenty, listę systemów i umowy z kluczowymi dostawcami. Dłużej trwa audyt obejmujący wiele spółek, zakładów produkcyjnych, środowiska OT albo rozbudowany łańcuch dostaw.
+4.3 Czy szkolenie zarządu można zrobić przed audytem?
Tak. Szkolenie zarządu NIS2/KSC może być pierwszym krokiem, jeżeli celem jest szybkie zrozumienie odpowiedzialności i decyzji, które trzeba podjąć. Największą wartość ma jednak szkolenie połączone z wynikami audytu, bo wtedy zarząd pracuje na realnych lukach własnej spółki.
+4.4 Czy audyt obejmuje umowy z dostawcami i polisę cyber?
Powinien obejmować co najmniej kluczowe umowy ICT oraz podstawowy przegląd polisy cyber pod kątem wymagań bezpieczeństwa, obowiązków po incydencie i istotnych wyłączeń. Bez tego zarząd nie zna pełnego ryzyka: część odpowiedzialności i ciągłości działania zależy od dostawców oraz warunków ubezpieczenia.
+4.5 Co dostaje zarząd po audycie?
Zarząd powinien otrzymać raport decyzyjny, mapę luk, listę priorytetów, harmonogram 30/60/90 dni, rekomendacje budżetowe i wykaz dokumentów lub testów, które trzeba przygotować. Raport techniczny może być załącznikiem, ale główny dokument powinien pozwalać podjąć decyzje bez tłumaczenia języka IT na język zarządczy.
+4.6 Czy ISO 27001 zastępuje audyt KSC/NIS2?
Nie w pełni. ISO 27001 jest bardzo dobrą podstawą zarządzania bezpieczeństwem informacji, ale audyt KSC/NIS2 powinien dodatkowo sprawdzić krajowe obowiązki prawne, status podmiotu, rejestrację, zgłaszanie incydentów, nadzór zarządu i relacje z właściwymi organami.Podstawa: dyrektywa NIS2, w szczególności art. 20, 21 i 23.
Jeżeli zarząd potrzebuje jednej odpowiedzi na pytanie „od czego zacząć”, najbezpieczniejszym pierwszym krokiem jest audyt zerowy KSC/NIS2. Dopiero po nim wiadomo, czy priorytetem jest szkolenie zarządu, procedura zgłoszenia incydentu, aneksowanie umów z dostawcami, test odtwarzania po ransomware czy modernizacja krytycznych systemów.
Następny krok
Zamów audyt KSC/NIS2 dla zarządu
Sprawdzę status spółki, luki w procedurach, ryzyka dostawców, gotowość do zgłoszenia incydentu i decyzje, które zarząd powinien podjąć w pierwszej kolejności.
Zapytaj o audyt KSC/NIS2 Bezpłatnie. Bez zobowiązań.