Kto w firmie tłumaczy cyberbezpieczeństwo z języka IT na język zarządu?

Aktualizacje, ochrona komputerów i wymiana sprzętu brzmią jak sprawy działu IT. Jak pełnomocnik ds. cyberbezpieczeństwa zamienia je w decyzje zarządu.

Autor: Paweł Rosół
Data: 14.10.2026
Czytanie: 10 min
Kategoria: Pełnomocnik ds. cyberbezpieczeństwa

Stan prawny sprawdzony: 14.10.2026

Spis treści

Co pokazało badanie IBRiS?
Co znaczy wzrost o 150 %?
Dlaczego „aktualizacja” nie trafia na posiedzenie zarządu?
Co mówi o tym ustawa o KSC?
Gdzie w tym miejsce dla pełnomocnika?
Jak to wygląda w miesiącu pracy?
Co, jeśli firma nie podlega ustawie o KSC?
Od czego zacząć?

Dział IT wie, który komputer nie dostaje poprawek i ile kosztuje nowy serwer. Zarząd wie, bez czego firma przestaje zarabiać i komu musi dotrzymać umowy. Ktoś musi przełożyć jedną wiedzę na drugą, a w podmiocie kluczowymPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. albo ważnym to zadanie najczęściej trafia do osoby, której kierownik powierzył cyberbezpieczeństwo. Nazywam ją pełnomocnikiem ds. cyberbezpieczeństwaPełnomocnik ds. cyberbezpieczeństwa Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań., choć ustawa takiej funkcji nie zna.

14 października 2026 r. CyberDefence24 opublikował relację z debaty o badaniu IBRiS wśród małych i średnich firm. Najbardziej zgadzam się z tym, co powiedział Sebastian Ruciński z AB S.A.: firmy przez lata traktowały aktualizacje systemów, ochronę urządzeń końcowych i modernizację infrastruktury jako zadania działu IT, a zmiana przychodzi wtedy, gdy te same sprawy przełoży się na język biznesu.

„Jeżeli zaczniemy mówić o cyberbezpieczeństwie z punktu widzenia ciągłości działania firmy, bezpieczeństwa danych, bezpieczeństwa łańcucha dostaw czy efektywności pracowników, to temat automatycznie staje się tematem biznesowym”.

Z jednym słowem bym się spierał: automatycznie. Temat staje się biznesowy dopiero wtedy, gdy ktoś usiądzie z informatykiem, zamieni jego listę zaległości na listę skutków dla firmy i zaniesie ją zarządowi razem z decyzją do podjęcia. Ten tekst jest o tej pracy.

Co pokazało badanie IBRiS?

IBRiS przepytał na zlecenie CyberDefence24.pl 300 przedstawicieli małych i średnich firm, między 21 a 28 września 2026 r., telefonicznie i przez internet. To nie są wielkie spółki. Mała firma co do zasady ustawie o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nie podlega, poza wyjątkami z art. 5, a średnia może być podmiotem ważnymPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy., jeśli działa w sektorze z załącznika nr 1 lub nr 2 do ustawy. Wyniki pokazują jednak problem, który znam też z dużych organizacji.

Na pytanie, czym jest cyberbezpieczeństwo w firmie, 47 % badanych odpowiedziało, że to ochrona danych, systemów i ciągłości działaniaCiągłość działania Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane. przed atakami, a 43 %, że to codzienne nawyki pracowników. Tylko 7 % uznało je za sprawę działu IT albo zewnętrznego dostawcy, więc w deklaracjach firmy mówią już językiem biznesu.

Gorzej z tym, kto za to odpowiada. Raport pyta, czy w firmie jest „konkretna osoba lub firma odpowiedzialna za aktualizacje systemów i bezpieczeństwo komputerów”. W 26 % firm odpowiada za to zewnętrzna firma albo dostawca usług IT, w 23 % wyznaczona osoba w firmie. W 33 % zajmuje się tym właściciel albo pracownicy, bez wskazania jednej osoby, a w 19 % nikt.

Nawet w ankiecie odpowiedzialność za cyberbezpieczeństwo zamieniła się w odpowiedzialność za aktualizacje i komputery.

Nie zarzucam tego autorom badania, bo tak w większości firm wygląda rzeczywistość: kto dba o komputery, ten „robi bezpieczeństwo”. Badanie nie pytało natomiast, kto decyduje, które ryzyko firma przyjmuje, a które usuwa i za ile. W podmiocie objętym ustawą o KSC na to pytanie musi być odpowiedź na piśmie.

Kilka innych liczb z raportu przyda się w rozmowie z zarządem. 61 % firm dostało w ostatnim roku co najmniej jedną wiadomość, która próbowała wyłudzić hasło, dane albo kliknięcie w link, a 66 % uznało pracownika i jego komputer za najsłabsze ogniwo. 75 % deklaruje, że aktualizacje odbywają się automatycznie i na bieżąco. To samoocena, więc traktuję ją jako górną granicę, nie jako stan faktyczny.

Co znaczy wzrost o 150 %?

Paweł Olszewski, sekretarz stanu w Ministerstwie Cyfryzacji, mówił w debacie o wzroście zagrożeń i incydentów rzędu 150 % rok do roku. Wymienił kilka źródeł danych, w tym NASK, a jedno łatwo sprawdzić: CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK., działający w NASK, zarejestrował w 2025 r. 260 783 unikalne incydenty, o 152 % więcej niż rok wcześniej, z 658 320 zgłoszeń.

Tę liczbę warto czytać uczciwie. Według tego samego raportu 97 % obsłużonych zdarzeń to oszustwa komputerowe, a 96,1 % incydentów dotyczyło osób fizycznych. Wzrost jest prawdziwy, ale w dużej części dotyczy obywateli, nie firm. Jeśli ktoś pokaże zarządowi „+152 %” jako argument za zakupem nowej zaporyZapora sieciowa Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników., zarząd za rok przestanie wierzyć liczbom.

Dla mnie ciekawsze jest co innego: 51 % badanych przez IBRiS szacowało, że CERT Polska obsługuje rocznie kilkadziesiąt tysięcy incydentów, a 27 % nie wiedziało. Prawdziwa liczba jest kilka razy wyższa.

Dlaczego „aktualizacja” nie trafia na posiedzenie zarządu?

Bo w tej formie nie jest decyzją. Raport działu IT mówi zwykle o liczbie zainstalowanych poprawek, odsetku komputerów z programem ochronnym, wieku sprzętu. To prawdziwe dane, tylko zarząd nie ma ich do czego przyłożyć. Porównuje wydatki z innymi wydatkami, w złotówkach i w dniach przestoju.

Płk Paweł Doniec z Komponentu Wojsk Obrony Cyberprzestrzeni opisał w tej samej debacie, jak rozmawiać z zarządem: pokazać ekspozycję, konkretne zagrożenie i wynikające z nich ryzyko biznesowe.

„Tu są nasze podatności, tu są zagrożenia, a to jest ryzyko z tym związane. Może się skończyć tak, że firma przestanie działać operacyjnie”.

Ta sama myśl jest w NIST Cybersecurity Framework 2.0, gdzie autorzy piszą, że ramy mają pomóc organizacjom przełożyć terminologię cyberbezpieczeństwa „into general risk management language that executives will understand”. Brytyjskie NCSC w poradniku dla zarządów ujmuje to ostrzej: jeśli cyberbezpieczeństwo zostawiono w całości zespołom technicznym, to znak, że potrzeba lepszego dopasowania i inwestycji.

Tak wygląda takie tłumaczenie w praktyce. Przykłady są typowe, nie z konkretnej firmy:

Co mówi dział IT	Co powinien usłyszeć zarząd	Decyzja do podjęcia
12 komputerów zostało na Windows 10 bez rozszerzonego wsparcia	na tych komputerach pracuje księgowość i dział zamówień; przejęcie jednego z nich może zatrzymać fakturowanie na kilka dni	wymiana w tym kwartale albo zapisana akceptacja ryzyka z datą przeglądu
serwer plików nie ma kopii poza siedzibą	ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. albo pożar oznacza utratę dokumentacji projektów z kilku lat	budżet na kopię poza siedzibą i test odtworzenia
dostawca systemu ERP łączy się zdalnie bez MFA	czyjeś wykradzione hasło otwiera system ze wszystkimi zamówieniami i danymi klientów	wymóg MFA w umowie z dostawcą i termin jego wdrożenia
poczta nie ma uwierzytelniania wieloskładnikowego	fałszywa faktura może przyjść z prawdziwej skrzynki naszego księgowego	włączenie MFA, nawet kosztem kilku dni skarg pracowników

Najważniejsza jest ostatnia kolumna, bo bez niej tłumaczenie daje tylko ładniejszy raport.

Pierwszy wiersz nie jest wymyślony na wyrost. Microsoft zakończył wsparcie Windows 10 14 października 2025 r., a niespełna rok później, w badaniu IBRiS, 14 % firm wskazało, że większość ich komputerów nadal na nim pracuje, a 3 % na jeszcze starszym Windows 7 albo 8.

Co mówi o tym ustawa o KSC?

Ustawa sama mówi językiem usługi, nie komputerów. Art. 8 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawy o KSC) nakazuje wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) „w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi”. Zakres wyznacza więc usługa, a nie lista sprzętu.

Nawet aktualizacje ustawa opisuje przez usługę. Wśród środków z art. 8 ust. 1 pkt 5 jest pod lit. b „regularne przeprowadzanie aktualizacji oprogramowania, stosownie do zaleceń producenta, z uwzględnieniem analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz poziomu krytyczności poszczególnych aktualizacji”. Informatyk wie, które poprawki są krytyczne technicznie. Wpływu na usługę sam zwykle nie oceni, bo nie zna jej tak, jak zna ją biznes.

Decyzje są przy kierowniku. Art. 8d stanowi, że kierownik podmiotu podejmuje decyzje o SZBI, planuje adekwatne środki finansowe, przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie. Art. 8c ust. 3 dodaje, że odpowiada także wtedy, gdy obowiązki powierzył innej osobie.

Kierownik nie zaplanuje adekwatnych środków finansowych, jeśli dostaje listę poprawek zamiast listy ryzyk.

Dyrektywa NIS2 mówi to wprost przy szkoleniach. Art. 20 ust. 2 wymaga, żeby członkowie organu zarządzającego zdobyli wiedzę i umiejętności, które pozwolą im „rozpoznać ryzyko i ocenić praktyki zarządzania ryzykiem w cyberbezpieczeństwie oraz ich wpływ na usługi świadczone przez dany podmiot”. W Polsce odpowiada temu coroczne szkolenie kierownika z art. 8e ustawy o KSC. Szkolenie daje zarządowi słownik, ale co miesiąc ktoś musi mówić do niego tym słownikiem.

Gdzie w tym miejsce dla pełnomocnika?

Ustawa nie wymaga pełnomocnika. Art. 14 nakazuje podmiotowi powołać wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Ministerstwo Cyfryzacji w odpowiedzi 3.44 z października 2026 r. potwierdza, że ustawa nie nakłada obowiązku powołania pełnomocnika ds. SZBI i zostawia kierownikowi swobodę w organizacji tych zadań. Szerzej piszę o tym w tekście o tym, co kierownik może powierzyć, a co zostaje przy nim.

Proponuję kierownikom podział na trzy role:

Dział IT albo jego dostawca wdraża i utrzymuje zabezpieczenia: aktualizuje, konfiguruje, robi kopie, reaguje na alarmy. Decyzje techniczne są jego.
Pełnomocnik prowadzi szacowanie ryzyka w odniesieniu do usługi, przekłada stan techniczny na skutki dla firmy, przygotowuje decyzje dla kierownika i sprawdza, czy to, co zdecydowano, zostało zrobione.
Kierownik podmiotu decyduje: przyjmuje ryzyko, przyznaje budżet, wyznacza termin.

Pełnomocnik nie zabiera działowi IT decyzji technicznych i nie podejmuje decyzji za zarząd.

Czy kierownik działu IT może tę rolę pełnić sam? W małej firmie często musi i nie widzę w tym nic złego, jeśli zarząd wie, na czym polega konflikt. Szef IT, który raportuje ryzyka, raportuje o własnych zaległościach i własnym budżecie. Jest też rozliczany z dostępności systemów i szybkiej pomocy dla użytkowników, a bezpieczeństwo często to spowalnia.

ENISA w przewodniku dla MŚP zaleca, żeby osoba odpowiedzialna za cyberbezpieczeństwo zapewniała mu „odpowiednie zasoby”, a audytorzy byli „niezależni od codziennych operacji informatycznych”. Ten drugi wymóg dotyczy audytu, nie bieżącej pracy, ale pokazuje kierunek: ocena nie powinna należeć do tego, kogo ocenia.

Nie będę udawał, że współpraca z IT zawsze jest łatwa. Dla części informatyków pełnomocnik to kolejna osoba, która „przychodzi z Excelem i każe”. Moim zdaniem najlepiej działa zasada, że pełnomocnik nie przynosi do IT żadnego wymagania bez uzasadnienia w ryzyku i nie zanosi do zarządu żadnej oceny IT bez pokazania jej najpierw informatykom. Wtedy IT zyskuje kogoś, kto wywalczy mu budżet, a nie kontrolera.

Jak to wygląda w miesiącu pracy?

Tak ułożyłbym stały rytm pracy pełnomocnika z IT:

raz na kwartał pełnomocnik przegląda z informatykami systemy, od których zależy usługa, i przy każdym dopisuje, co się stanie w firmie, gdy przestanie działać na dzień i na tydzień;
raz w miesiącu pełnomocnik dostaje od IT stan aktualizacji i listę wyjątków, czyli systemów, których nie da się zaktualizować, z powodem; każdy wyjątek ma właściciela i datę przeglądu;
z tego powstaje jedna strona dla zarządu: najważniejsze ryzyka, skutek, koszt usunięcia i decyzja do podjęcia;
decyzja zarządu wraca do IT z terminem, a pełnomocnik sprawdza wykonanie.

Ta jedna strona jest tym samym dokumentem, który opisuję w tekście o tym, skąd zarząd ma wiedzieć, że zabezpieczeń jest dość. Protokół, w którym zarząd ją przyjął, jest potem dowodem nadzoru z art. 8d.

Czwarta perspektywa Rucińskiego, efektywność pracowników, też ma tu miejsce. Włączenie uwierzytelniania wieloskładnikowego albo blokada nośników USB kosztuje ludzi czas i cierpliwość. Zarząd powinien o tym wiedzieć przed decyzją, a nie dowiedzieć się z reklamacji działu sprzedaży.

Co, jeśli firma nie podlega ustawie o KSC?

Tomasz Hodakowski z Polskiej Izby Informatyki i Telekomunikacji zadał w debacie pytanie, które przytoczyć:

„Nawet jeżeli jestem firmą, która nie jest objęta ustawą, to czy czasem nie znajduję się w łańcuchu dostaw podmiotu objętego?”

Podmiot kluczowy lub ważny musi zapewnić bezpieczeństwo łańcucha dostaw produktów, usług i procesów ICT (art. 8 ust. 1 pkt 2 lit. e ustawy o KSC) i uwzględnić przy tym m.in. podatności związane z dostawcą i ogólną jakość jego produktów i usług (art. 8 ust. 2). Wymagania trafiają więc do umów i ankiet, które dostaje mała firma, choć sama ustawie nie podlega. Jak to wygląda od strony zamawiającego, opisałem w tekście o łańcuchu dostaw.

Ankieta bezpieczeństwa od klienta to dokument handlowy, nie formularz dla informatyka.

W małej firmie taka ankieta zwykle ląduje u informatyka albo u firmy, która obsługuje komputery. Odpowiedzi są wtedy poprawne technicznie i nic nie mówią o tym, czy dostawca dotrzyma umowy po incydencie. Tu też ktoś musi przetłumaczyć: z „mamy antywirusa na wszystkich stacjach” na „po ataku odtwarzamy system zamówień w dwa dni i wiemy to, bo sprawdziliśmy w marcu”, oczywiście tylko jeśli to prawda.

Od czego zacząć?

Od jednego spotkania, na którym siedzą obok siebie informatyk, osoba odpowiedzialna za cyberbezpieczeństwo i ktoś z zarządu. Informatyk przynosi dziesięć spraw, które najbardziej go niepokoją. Przy każdej zapisujecie trzy rzeczy: który proces firmy stanie, na jak długo i ile to kosztuje, a potem kto i do kiedy decyduje, co z tym zrobić.

Jeśli przy którejś sprawie nikt nie potrafi powiedzieć, który proces stanie, to jest pierwsze zadanie dla pełnomocnika. Jeśli przy którejś nikt nie chce zdecydować, to pierwsze zadanie dla zarządu.

Pojęcia w tym tekście (18)

Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
Pełnomocnik ds. cyberbezpieczeństwa: Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Podmiot ważny: Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
Ciągłość działania: Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
CERT Polska: Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
Zapora sieciowa: Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników.
Ransomware: Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
Uwierzytelnianie wieloskładnikowe: Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
Dyrektywa NIS2: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.
Zarządzanie ryzykiem: To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie.
Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa: Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.
Szacowanie ryzyka: Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.
Łańcuch dostaw: Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Najczęściej zadawane pytania

Czy za aktualizacje i ochronę komputerów odpowiada dział IT, czy kierownik podmiotu?

Wykonuje je zwykle dział IT albo dostawca usług informatycznych, ale w podmiocie kluczowym lub ważnym odpowiedzialność za obowiązki z art. 8 ustawy o KSC, w tym za regularne aktualizacje z art. 8 ust. 1 pkt 5 lit. b, ponosi kierownik podmiotu (art. 8c ust. 1). Odpowiada także wtedy, gdy obowiązki powierzył innej osobie (art. 8c ust. 3).

Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa albo pełnomocnika ds. SZBI?

Nie. Ministerstwo Cyfryzacji w odpowiedzi 3.44 z października 2026 r. potwierdza, że ustawa nie nakłada takiego obowiązku. Art. 14 ustawy o KSC wymaga natomiast, żeby podmiot do realizacji zadań z art. 8 i art. 9 do 13 powołał wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawarł umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, a art. 8d pkt 3 nakazuje kierownikowi przydzielić zadania i nadzorować ich wykonanie.

Czy ustawa o KSC mówi coś o tym, jak przeprowadzać aktualizacje?

Tak. Art. 8 ust. 1 pkt 5 lit. b wymaga regularnego przeprowadzania aktualizacji oprogramowania stosownie do zaleceń producenta, z uwzględnieniem analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz poziomu krytyczności poszczególnych aktualizacji. Przepis wiąże więc aktualizacje z usługą, którą podmiot świadczy, a nie tylko ze stanem komputerów.

Źródła

Stan prawny sprawdzony: 14.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).