Ignorowanie cyberbezpieczeństwa się nie opłaca. Co NIS2 oznacza dla kierownika jednostki?

Bezpieczeństwo Gospodarka IT Publikacje Zarządzanie

Niektórzy z nas pewnie kojarzą powieść Marca Elsberga „Blackout”. Autor niezwykle plastycznie opisuje w niej scenariusz, w którym skoordynowany cyberatak na systemy energetyczne w ciągu kilku dni paraliżuje całą Europę: bez prądu przestają działać wodociągi, szpitale, banki. To fikcja literacka, ale mechanizm, który opisuje, jest realny. Sieć gospodarcza jest tak silna, jak jej najsłabsze ogniwo. Jedno niedopatrzenie w niewielkim, pozornie nieistotnym podmiocie potrafi wywołać efekt domina: straty liczone w milionach, utratę reputacji, a czasem zapaść całej gałęzi gospodarki czy przerwanie usług, od których zależy funkcjonowanie lokalnej społeczności, a więc paraliż jakiegoś fragmentu naszej rzeczywistości. Zawsze polecam tę książkę osobom zarządzającym jako lekturę obowiązkową. Uczy patrzeć na zarządzany podmiot jako element większego systemu, a nie osobną wyspę. We wrześniu 2025 roku ten mechanizm zadziałał naprawdę, choć na mniejszą skalę.

Jak działa efekt domina w obszarze cyberbezpieczeństwa?

19 września 2025 cyberatak sparaliżował systemy odprawy pasażerów na kilku dużych europejskich lotniskach m.in. w Brukseli, Londynie i Berlinie. Celem nie były same lotniska, tylko wspólny dostawca kluczowego oprogramowania do obsługi pasażerów – firma Collins Aerospace. Automatyczne stanowiska check-in i drukarki bagażowe przestały działać na raz w trzech krajach, zmuszając personel do powrotu do odprawy ręcznej, a pasażerowie czekali w kolejkach nawet ponad dwie godziny. Bruksela odwołała około 50 lotów w niedzielę i poprosiła linie lotnicze o odwołanie połowy z ponad 200 zaplanowanych na poniedziałek. Dla dziesiątek tysięcy podróżnych oznaczało to zmianę planów z dnia na dzień. Na samym tylko Heathrow w sobotę do południa opóźnionych było już ponad 140 lotów.

Trzy miesiące później, 29 grudnia 2025 roku, podobny mechanizm uderzył w Polskę. Tego samego dnia, rano i po południu, zaatakowano jednocześnie dziesiątki farm wiatrowych i fotowoltaicznych, prywatną spółkę produkcyjną oraz elektrociepłownię zaopatrującą w ciepło blisko 500 tysięcy odbiorców – w środku zimowej fali mrozów. Atak miał charakter destrukcyjny: celem nie był okup, a zniszczenie danych i sparaliżowanie pracy urządzeń przemysłowych. Atak na farmy odciął je od łączności z operatorem sieci, ale nie wpłynął na bieżącą produkcję energii. Cyberatak na elektrociepłownię dotknął zarówno systemów IT, jak i urządzeń przemysłowych OT, ale próbę sabotażu zablokowało zainstalowane tam oprogramowanie zabezpieczające, zanim zdążyła wyrządzić szkodę. CERT Polska
i amerykańska agencja CISA potwierdziły: to nie był przypadek, tylko skoordynowana, wymierzona operacja.

Czy polskie samorządy są przygotowane na cyberataki?

To nie są problemy odległe i specyficzne dla ważnych sektorów gospodarki – dotyczą one także polskich urzędów i samorządów. Według CERT Polska połowa wszystkich zgłoszeń ataków ransomware w sektorze publicznym w 2025 roku dotyczyła właśnie samorządów. Raport NIK z 2025 roku wykazał, że w 71 procent skontrolowanych urzędów stwierdzono istotne luki w przygotowaniu do zapewnienia ciągłości działania systemów informatycznych.

To nie tylko statystyka. Na początku 2026 roku ransomware sparaliżował systemy IT urzędu gminy w województwie świętokrzyskim – wśród zagrożonych danych znalazły się numery PESEL, adresy i numery dowodów osobistych, a wydawanie dokumentów stanęło na wiele dni. W gminie w województwie małopolskim, po podobnym ataku jesienią 2025 roku, przywrócenie pełnej obsługi mieszkańców zajęło dwa tygodnie, a władze gminy zaapelowały o zmianę haseł, monitorowanie kont bankowych i ostrożność wobec nieznanych numerów telefonu z uwagi na ryzyko kradzieży tożsamości mieszkańców i urzędników. Skutki bywają też bardziej namacalne: po ataku na Miejski Ośrodek Pomocy Społecznej w województwie łódzkim opóźnieniu uległy wypłaty świadczeń dla osób korzystających ze wsparcia socjalnego – pracownicy ośrodka zdołali nadrobić to w ciągu kilku dni, ale sama sytuacja pokazuje, że skutki takiego ataku nie kończą się na urzędzie. Podobna sprawa trafiła też przed Prezesa UODO: ośrodek pomocy społecznej i wójt gminy zostali ukarani grzywną między innymi za to, że kopia zapasowa leżała na tym samym dysku sieciowym, który również zaszyfrowano. UODO ustalił, że analiza ryzyka była niewystarczająca, a przyjęte zabezpieczenia techniczne
– nieadekwatne. Ten przypadek pokazuje jaskrawą różnicę między posiadaniem procedury, a rzeczywistym sprawdzeniem, czy zastosowane mechanizmy bezpieczeństwa działają.

Dlaczego wspólna ochrona przed cyberzagrożeniami jest konieczna?

Odpowiedzią na rosnącą skalę cyberataków, wynikającą z coraz silniejszych wzajemnych zależności między podmiotami, jest dyrektywa NIS2. Atak na jednego dostawcę, taki jak wrześniowy atak na Collins Aerospace, potrafi sparaliżować kilka krajów naraz – stąd też potrzeba takiej regulacji. Dzięki niej powstały mechanizmy pozwalające podmiotom, a także poszczególnym krajom członkowskim UE, wymieniać się w sposób skoordynowany informacjami o incydentach: zgłoszenie trafia do krajowego zespołu reagowania (CSIRT), a stamtąd, przez sieć współpracy międzynarodowej do innych firm i krajów, zanim ten sam atak powtórzy się gdzie indziej, co realnie przyspiesza reakcję na zagrożenie. Polska wdrożyła tę dyrektywę nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC), obowiązującą od 3 kwietnia 2026 roku. UKSC nałożyła określone obowiązki na wybrane podmioty zakwalifikowane w ustawie według ściśle określonych kryteriów jako kluczowe lub ważne. Co ciekawe, UKSC przypisuje odpowiedzialność za wykonywanie określonych obowiązków w zakresie cyberbezpieczeństwa (art. 8c, 8d UKSC) wprost do kierownika jednostki (w ustawie nazywanego kierownikiem podmiotu kluczowego lub podmiotu ważnego).

Czy kierownik jednostki może zrzucić cyberbezpieczeństwo na dział IT?

Odpowiedź jest krótka: nie. UKSC wprowadza mechanizm personalnych kar finansowych dla kierowników jednostek oraz – w przypadku podmiotów kluczowych z sektora prywatnego, jeśli zignorują wcześniejszy nakaz nadzorczy – opcję czasowego zakazu pełnienia funkcji zarządczych. Brak wiedzy technicznej nie oznacza, że kierownik jednostki może pozostawić cyberbezpieczeństwo wyłącznie specjalistom IT – jego prawnym obowiązkiem jest zarządzanie ryzykiem cybernetycznym, na równi z ryzykiem finansowym czy podatkowym i bezpośredni nadzór nad obszarem – co nie oznacza obowiązku konfiguracji firewalli. Tak jak nikt nie oczekuje, że kierownik jednostki osobiście sporządzi bilans – tak nikt nie oczekuje, że osobiście przeprowadzi audyt bezpieczeństwa – ale za oba te obowiązki odpowiada nadzorczo. Nawet jeśli kierownik jednostki zleci wykonanie zadań działowi IT albo zewnętrznej firmie, nadal odpowiada osobiście. Artykuł 8c UKSC przewiduje, że powierzenie obowiązków innej osobie, nawet za jej zgodą, nie zwalnia kierownika jednostki z odpowiedzialności. A jeśli organ zarządzający jest wieloosobowy i nikt konkretny nie został wyznaczony, odpowiadają wszyscy jego członkowie.

Artykuł 8d UKSC wskazuje te obowiązki wprost. Kierownik jednostki decyduje o wdrożeniu systemu zarządzania bezpieczeństwem informacji, planuje na niego realny budżet, przydziela zadania i nadzoruje ich wykonanie, dba o przeszkolenie personelu i odpowiada za zgodność firmy z przepisami. To nie są czynności, które można oddelegować i zapomnieć o nich do następnego audytu.

Co powinien zrobić kierownik jednostki na gruncie UKSC jeszcze w tym tygodniu?

Przez ponad jedenaście lat odpowiadałam operacyjnie za bezpieczeństwo informacji i ciągłość działania w dużym podmiocie infrastruktury krytycznej sektora energetycznego i wspierałam zarządy we wdrażaniu określonych wymagań bezpieczeństwa. Od czego więc dziś proponowałabym zacząć?

Kilka kwestii, które nie wymagają ogromnego budżetu na starcie, a uruchamiają realne działania:

Dopilnuj wpisu do Wykazu podmiotów kluczowych i ważnych. Jeśli jesteś podmiotem publicznym albo działasz w jednej ze szczególnych kategorii (telekomunikacja, dostawcy usług zaufania, podmioty krytyczne) – masz obowiązek uzupełnienia wpisu
w terminie 6 miesięcy od otrzymania wezwania; Jeśli jesteś podmiotem prywatnym: najpierw zleć analizę podlegania pod ustawę np. poproś prawnika o notatkę potwierdzającą, czy firma podlega zgłoszeniu do Wykazu KSC i pamiętaj, że wniosek składa się zasadniczo do 3 października 2026 przez Wykaz KSC (aplikację będącą częścią szerszego Systemu S46), a ministerstwo nie będzie o tym przypominało.
Zapewnij przypisanie odpowiedzialności za cyberbezpieczeństwo do konkretnych osób. W zarządzie wieloosobowym wyznacz w protokole albo uchwale konkretną osobę; wskaż administratora lub administratorów systemu S46 oraz osoby do kontaktów z CSIRT i zadbaj o uzupełnienie ich zakresów obowiązków. Pamiętaj, że S46 służy docelowo nie tylko do samego wpisu do Wykazu, ale też do zgłaszania incydentów – pełne podłączenie w tym zakresie ma osobny termin: 3 kwietnia 2027 roku, łatwy do pomylenia z terminem samego wpisu.
Zapewnij sobie i podległym pracownikom szkolenie z zakresu cyberbezpieczeństwa. To pewnie tez dobra okazja do zapoznania się z pozostałymi obowiązkami nałożonymi na kierownika jednostki, których tu nie omawiam. To również skuteczne działanie prewencyjne, bo uświadomieni pracownicy rzadziej klikają w podejrzane linki. Oprócz wypełniania obowiązku ustawowego, to także pomoc przy realizacji kolejnego punktu.
Możesz wprowadzić stały punkt cyklicznych spotkań kierownictwa poświęcony cyberbezpieczeństwu. Raz na kwartał odpytuj o ostatnie incydenty, wdrożone poprawki i działania zapobiegające. Po szkoleniu będziesz wiedział, o co pytać i jak nadzorować wdrożenie działań. Z doświadczenia wiem, że tematyka, która leży
w obszarze bezpośredniego i regularnego zainteresowania kierownictwa, z automatu wskakuje na listę priorytetów.
Zamień pytania o kopie zapasowe na realny test. Jak pokazał przykład wójta i GOPS ukaranych przez UODO, kopia zapasowa trzymana na tym samym dysku sieciowym, który może zostać zaszyfrowany razem z resztą danych, jest bezużyteczna. Zleć też próbne odtworzenie kluczowej bazy danych na fizycznie odizolowanym, czystym sprzęcie, z udokumentowanym czasem, ile trwał operacyjny paraliż. Dobrą praktyką dla kopii zapasowych jest np. zasada 3-2-1-1-0 (trzy kopie, dwa nośniki, jedna kopia poza siedzibą, jedna offline lub niezmienialna, zero błędów przy weryfikacji) – zapytaj swoje IT, jak realizowana jest ta zasada i kiedy ostatnio wykonano test odtworzenia.
Sprawdź umowy z kluczowymi dostawcami IT. Wprowadź do nich wymóg odpowiednich standardów bezpieczeństwa i zobowiąż dostawcę kontraktowo do powiadomienia Twojej firmy o własnym incydencie np. w ciągu 12 godzin (żebyś miał margines czasowy na zgłoszenie incydentu w 24h jeśli masz taki obowiązek). Przykład Collins Aerospace pokazał, że to nie teoria.
Przygotuj kartę awaryjną na papierze. Numery do kierownictwa, prawnika i zespołu CSIRT, wydrukowane, dołączone do planu awaryjnego. Podczas ataku ransomware służbowy e-mail i dyski sieciowe przestają działać jako pierwsze.

Co zyskuje podmiot, który właściwie wdroży wymagania NIS2?

Wszystkie omawiane przykłady: paraliż europejskich lotnisk, atak na polską energetykę, luki bezpieczeństwa w samorządach czy kary dla wójta i GOPS, pokazują jeden mechanizm: im szybciej podmiot wykrywa zagrożenie i na nie reaguje, tym mniejsze są straty, zarówno finansowe, jak i wizerunkowe. Odporność nie bierze się z samego posiadania procedur zapisanych na papierze, tylko z tego, że ktoś konkretny regularnie sprawdza, czy one faktycznie działają.

Cyberbezpieczeństwo nie polega na tym, że ataku nie będzie. Polega także na tym, że organizacja potrafi wykryć atak, przetrwać go, ograniczyć jego skutki i odtworzyć działalność – jak elektrociepłownia przywołana na wstępie, która potrafiła wykryć i zatrzymać atak, zanim wyrządził szkodę

Dla kierownika jednostki oznacza to coś bardziej osobistego: dokumentację, która w razie kontroli albo zarzutów braku staranności pokazuje, że nadzór był realny, a nie tylko deklarowany na papierze. To różnica między „zajmowaliśmy się tym” a dowodem,
że rzeczywiście tak było.

Czy ustawodawca, wprowadzając osobistą odpowiedzialność kierownika, świadomie odwoływał się do przysłowia „pańskie oko konia tuczy”? Tego nie wiem. Wiem natomiast, że mechanizm jest zaskakująco aktualny: to, czym kierownictwo interesuje się regularnie i osobiście, zwykle szybciej staje się organizacyjnym priorytetem.

Renata Cybula-Szwajkowska

Artykuł ma charakter informacyjny i edukacyjny. Ze względu na przyjętą formę redakcyjną może zawierać pewne uproszczenia i nie omawiać wszystkich wyjątków. Nie zastępuje analizy przepisów ani indywidualnej porady prawnej.

Renata Cybula-Szwajkowska — radczyni prawna, prowadząca Kancelarię Radcy Prawnego Renata Cybula-Szwajkowska, specjalizującą się m.in. w prawie nowych technologii i wspierającą zarządy we wdrożeniach NIS2/KSC