Blog CCyber

Nasz blog to praktyczne artykuły o cyberbezpieczeństwie i regulacjach, pisane prostym językiem zrozumiałym dla właścicieli firm i menedżerów. Poruszamy konkretne tematy, takie jak wymagania NIS2, DORA, CRA, wdrożenia norm ISO 27001, analiza incydentów, phishing, ransomware czy dobre praktyki dla MŚP.

Zamiast technicznego żargonu - oferujemy wskazówki, które można od razu zastosować w biznesie. Stawiamy na treści „do wdrożenia od zaraz": publikujemy checklisty, analizy zagrożeń, poradniki dla sektora MŚP i regularne aktualizacje o nowych przepisach.

Bezpieczny zdalny dostęp do OT: najczęstsze błędy i dobre praktyki

Bezpieczny zdalny dostęp do OT nie polega na prostym włączeniu VPN, RDP albo narzędzia dostawcy. W środowisku przemysłowym zdalny dostęp musi być uzasadniony, czasowy, kontrolowany, monitorowany i możliwy do natychmiastowego odłączenia. Najczęstsze błędy to stały dostęp dostawców, brak MFA, współdzielone konta, bezpośredni dostęp z internetu do HMI, PLC lub stacji inżynierskich, brak segmentacji, brak logów, brak procedury akceptacji i brak testu awaryjnego odcięcia dostępu. Dobra praktyka to dostęp przez strefę pośrednią, jump server, MFA, konta imienne, least privilege, zatwierdzenie operacyjne, okno serwisowe, nagrywanie sesji, pełne logowanie i regularny przegląd uprawnień.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Bezpieczny zdalny dostęp do OT powinien być wyjątkiem kontrolowanym przez proces, a nie stałą furtką do zakładu. Firma powinna wiedzieć, kto łączy się do środowiska OT, po co, na jak długo, z jakiego urządzenia, przez jaki kanał, do jakiego systemu i kto zatwierdził tę sesję. Największe ryzyka pojawiają się wtedy, gdy dostawcy mają stały VPN, RDP jest wystawione do internetu, konta są współdzielone, nie ma MFA, dostęp prowadzi bezpośrednio do HMI, PLC lub stacji inżynierskiej, a nikt nie monitoruje sesji. Dobra praktyka to model: brak bezpośredniego dostępu z internetu do OT, segmentacja IT i OT, strefa pośrednia, jump server, MFA, konta imienne, dostęp czasowy, zatwierdzenie przez właściciela procesu, logowanie, nagrywanie sesji i możliwość szybkiego odłączenia zdalnego dostępu bez zatrzymania produkcji.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • zarządy firm produkcyjnych i przemysłowych
  • dyrektorzy zakładów, utrzymanie ruchu, automatyka i inżynierowie procesu
  • CISO, vCISO, CTO, CIO i dyrektorzy IT
  • osoby odpowiedzialne za OT, SCADA, PLC, DCS, MES, BMS i systemy przemysłowe
  • integratorzy automatyki, serwisanci i dostawcy systemów przemysłowych
  • firmy energetyczne, wodociągowe, logistyczne, chemiczne, spożywcze i produkcyjne
  • organizacje przygotowujące się do NIS2, IEC 62443, ISO 27001, audytu klienta lub cyberubezpieczenia
  • MŚP, które udostępniają zdalny dostęp dostawcom maszyn, linii produkcyjnych lub systemów OT

Najważniejsze wnioski

  1. Zdalny dostęp do OT powinien być udzielany tylko wtedy, gdy jest uzasadniony potrzebą biznesową lub serwisową.
  2. Stały, szeroki i niekontrolowany dostęp dostawcy do sieci OT jest jednym z najgroźniejszych błędów.
  3. VPN nie jest automatycznie bezpiecznym rozwiązaniem. Liczy się MFA, segmentacja, ograniczenie zakresu, logowanie i kontrola sesji.
  4. RDP, VNC, TeamViewer, AnyDesk, modemy, routery LTE i narzędzia producentów maszyn muszą być objęte jednym rejestrem i jedną procedurą.
  5. Najlepszy model to dostęp przez strefę pośrednią, jump server, konta imienne, czasowe okno serwisowe, zgodę właściciela OT i pełny zapis działań.

Czym jest zdalny dostęp do OT?

Zdalny dostęp do OT to możliwość połączenia się spoza lokalnej strefy przemysłowej z systemami, które wspierają produkcję, automatykę, proces technologiczny, infrastrukturę techniczną lub bezpieczeństwo obiektu. Może to być dostęp pracownika firmy, dostawcy IT, integratora automatyki, producenta maszyny, serwisanta, operatora SOC albo inżyniera pracującego z innej lokalizacji.

Zdalny dostęp może prowadzić do:

  • stacji inżynierskiej
  • HMI
  • SCADA
  • DCS
  • systemu MES
  • serwera historyka danych
  • PLC lub kontrolera
  • systemu BMS
  • serwera aplikacyjnego OT
  • komputera serwisowego dostawcy
  • routera przemysłowego lub bramy zdalnego dostępu
  • systemu monitoringu lub diagnostyki maszyn

Problem polega na tym, że zdalny dostęp może być bardzo użyteczny i bardzo ryzykowny jednocześnie. Ułatwia serwis, diagnostykę, wsparcie dostawcy, szybsze usuwanie awarii i pracę w wielu lokalizacjach. Ale jeśli jest źle zaprojektowany, staje się najkrótszą drogą do systemów, które mogą zatrzymać produkcję lub wpłynąć na bezpieczeństwo ludzi.

Dlaczego zdalny dostęp do OT jest bardziej ryzykowny niż typowy dostęp IT?

W IT skutkiem incydentu może być utrata danych, przestój systemu, wyciek informacji lub ransomware. W OT skutkiem może być także zatrzymanie linii, uszkodzenie maszyny, błędny parametr procesu, utrata widoczności, utrata kontroli, zagrożenie jakości produktu lub ryzyko dla bezpieczeństwa ludzi.

OT ma inne priorytety

  • ciągłość procesu jest często ważniejsza niż szybka aktualizacja
  • systemy mogą działać wiele lat bez dużych zmian
  • część urządzeń nie wspiera nowoczesnego MFA lub logowania
  • przerwa serwisowa może wymagać planowania z produkcją
  • błąd konfiguracji może mieć fizyczne skutki
  • część dostawców wymaga dostępu do własnych maszyn lub sterowników

Dlatego w OT nie wystarczy przenieść zasad z biurowego IT. Zdalny dostęp musi być projektowany z udziałem automatyki, utrzymania ruchu, IT, bezpieczeństwa, produkcji i dostawcy technologii.

Typowe przypadki użycia zdalnego dostępu do OT

Serwis producenta maszyny

Producent maszyny łączy się, aby sprawdzić alarmy, parametry, konfigurację, błędy napędu, logi lub wersję oprogramowania.

Wsparcie integratora automatyki

Integrator łączy się z systemem SCADA, PLC, HMI lub stacją inżynierską, aby wykonać zmianę, diagnostykę albo poprawkę.

Zdalna diagnostyka utrzymania ruchu

Inżynier zakładu lub centralny zespół techniczny łączy się z wielu lokalizacji, aby analizować stan instalacji.

Monitoring produkcji i danych procesowych

Dane z historian, MES, BMS lub systemów monitoringu są przeglądane zdalnie przez wybrane osoby lub systemy analityczne.

Awaria poza godzinami pracy

Zespół serwisowy potrzebuje pilnego dostępu w nocy, w weekend albo podczas przestoju produkcji.

Dostęp dostawcy usług bezpieczeństwa

SOC, MDR lub dostawca monitoringu OT potrzebuje dostępu do logów, sensorów, konsol lub danych telemetrycznych.

Najczęstsze błędy przy zdalnym dostępie do OT

Błąd 1: stały dostęp dostawcy bez kontroli

Najczęstszy problem to dostęp, który kiedyś został uruchomiony dla serwisu i nigdy nie został wyłączony. Dostawca ma konto, VPN, router LTE albo narzędzie zdalnego pulpitu, a zakład nie wie, kiedy i po co ktoś się łączy.

Ryzyko

  • atakujący przejmuje konto dostawcy
  • dostawca ma szerszy dostęp niż potrzebuje
  • brak wiedzy o aktywnych sesjach
  • brak dowodów działań po incydencie
  • trudność w odcięciu dostępu w kryzysie

Dobra praktyka

  • dostęp tylko na czas serwisu
  • zatwierdzenie przez właściciela OT
  • konto imienne
  • MFA
  • zakres ograniczony do konkretnego systemu
  • logowanie i nagrywanie sesji

Błąd 2: bezpośredni dostęp z internetu do HMI, PLC, SCADA lub stacji inżynierskiej

Bezpośrednie wystawienie systemu OT do internetu jest bardzo wysokim ryzykiem. Nawet jeśli dostęp jest chroniony hasłem, takie rozwiązanie zwiększa powierzchnię ataku.

Ryzyko

  • skanowanie przez internet
  • brute force
  • wykorzystanie podatności
  • dostęp bez wiedzy zakładu
  • atak na urządzenie, którego nie da się szybko załatać

Dobra praktyka

  • brak bezpośredniego dostępu z internetu do OT
  • dostęp przez VPN lub ZTNA do strefy pośredniej
  • jump server w DMZ
  • reguły firewall tylko do wymaganych systemów
  • monitoring połączeń

Błąd 3: RDP lub VNC jako domyślna droga serwisowa

RDP, VNC i narzędzia zdalnego pulpitu bywają wygodne, ale w OT mogą dawać zbyt szeroki dostęp. Jeśli użytkownik dostaje pulpit stacji inżynierskiej, może wykonać znacznie więcej niż tylko diagnostykę.

Ryzyko

  • pełny dostęp do systemu zamiast jednej funkcji
  • możliwość zmiany konfiguracji
  • kopiowanie plików projektu
  • uruchomienie niezatwierdzonych narzędzi
  • brak kontroli nad poleceniami użytkownika

Dobra praktyka

  • dostęp przez jump server
  • blokada kopiowania plików, jeśli nie jest potrzebne
  • nagrywanie sesji
  • separacja kont serwisowych
  • zatwierdzenie każdej sesji
  • możliwość natychmiastowego rozłączenia

Błąd 4: brak MFA

Hasło nie wystarcza. W środowiskach dostawców i serwisów hasła mogą być współdzielone, używane przez wiele osób lub zapisane w niebezpiecznych miejscach. Bez MFA przejęcie hasła może oznaczać wejście do OT.

Ryzyko

  • przejęcie konta dostawcy
  • credential stuffing
  • użycie starego hasła
  • dostęp byłego pracownika dostawcy
  • brak drugiej warstwy ochrony

Dobra praktyka

  • MFA dla VPN, jump servera i portalu dostępu
  • MFA dla kont dostawców
  • brak wspólnych kont serwisowych, jeśli można tego uniknąć
  • oddzielna polityka dla kont awaryjnych
  • regularny przegląd wyjątków

Błąd 5: współdzielone konta dostawców

Konto „serwis”, „vendor”, „automatyk” albo „support” jest wygodne, ale niszczy rozliczalność. Po incydencie firma nie wie, kto wykonał zmianę.

Ryzyko

  • brak odpowiedzialności indywidualnej
  • brak wiedzy, kto się łączył
  • hasło przekazywane między osobami
  • brak szybkiego odebrania dostępu jednej osobie
  • problem audytowy

Dobra praktyka

  • konta imienne
  • osobne konta dla dostawcy i pracowników zakładu
  • regularny przegląd kont
  • blokada kont po zakończeniu współpracy
  • logowanie działań na poziomie użytkownika

Błąd 6: dostęp do całej sieci OT zamiast do konkretnego celu

VPN często daje dostęp do całej podsieci. W OT to zbyt szerokie uprawnienie. Serwisant jednej maszyny nie powinien widzieć całej sieci produkcyjnej.

Ryzyko

  • lateral movement
  • skanowanie sieci OT
  • dostęp do niepowiązanych maszyn
  • atak na urządzenia legacy
  • trudność w analizie zakresu incydentu

Dobra praktyka

  • dostęp do konkretnego hosta lub aplikacji
  • reguły firewall między strefami
  • segmentacja według linii, procesu, krytyczności lub dostawcy
  • brak routingu do całej sieci OT
  • zasada minimalnego dostępu

Błąd 7: brak strefy pośredniej

Zdalny użytkownik nie powinien trafiać bezpośrednio do sterowania. Strefa pośrednia, DMZ lub jump server ogranicza ryzyko i daje miejsce na logowanie, kontrolę, skanowanie oraz egzekwowanie polityki.

Ryzyko

  • bezpośrednie połączenie z systemem krytycznym
  • brak punktu kontroli
  • brak nagrywania sesji
  • brak separacji IT i OT
  • łatwiejsze przejście atakującego do sterowania

Dobra praktyka

  • DMZ między IT i OT
  • jump server w strefie pośredniej
  • brak bezpośredniego tunelu do PLC
  • monitoring ruchu między strefami
  • reguły tylko dla jawnie zatwierdzonych przepływów

Błąd 8: brak rejestru narzędzi zdalnego dostępu

W wielu zakładach istnieją różne kanały zdalnego dostępu: VPN IT, router producenta maszyny, modem 4G, laptop serwisowy, TeamViewer, AnyDesk, portal chmurowy dostawcy i tunel do diagnostyki. Bez rejestru nikt nie widzi pełnego ryzyka.

Ryzyko

  • ukryte wejścia do OT
  • brak właściciela dostępu
  • brak aktualizacji narzędzia dostawcy
  • brak wiedzy o aktywnych połączeniach
  • problem z audytem i incydentem

Dobra praktyka

  • jeden rejestr zdalnych dostępów OT
  • właściciel każdego kanału
  • data ostatniego użycia
  • zakres dostępu
  • status MFA
  • decyzja o utrzymaniu, ograniczeniu lub usunięciu

Błąd 9: brak logów i nagrywania sesji

Jeżeli ktoś wykona zmianę w OT, firma powinna wiedzieć, kto, kiedy, z jakiego adresu, do jakiego systemu i co zrobił. Bez logów nie ma rozliczalności.

Ryzyko

  • brak osi czasu incydentu
  • brak dowodu działań dostawcy
  • trudna analiza zmian
  • problem przy reklamacji lub sporze
  • brak danych dla SOC lub audytu

Dobra praktyka

  • logowanie logowań i rozłączeń
  • logowanie poleceń administracyjnych
  • nagrywanie sesji zdalnych dla działań wysokiego ryzyka
  • centralne przechowywanie logów poza stacją OT
  • regularny przegląd nietypowych sesji

Błąd 10: brak przycisku awaryjnego odcięcia zdalnego dostępu

W sytuacji incydentu zakład musi umieć szybko zablokować zdalny dostęp. To nie może wymagać kilku godzin szukania administratora, dostawcy lub hasła do routera.

Ryzyko

  • atakujący utrzymuje dostęp
  • brak kontroli w kryzysie
  • rozłączenie wpływa nieprzewidywalnie na proces
  • operatorzy nie wiedzą, co wyłączyć
  • zbyt późna izolacja

Dobra praktyka

  • udokumentowana procedura disable remote access
  • test odcięcia dostępu
  • wskazany właściciel i zastępca
  • ocena wpływu na produkcję
  • szkolenie operatorów i utrzymania ruchu

Dobry model zdalnego dostępu do OT

Warstwa 1: decyzja biznesowa

Każdy kanał zdalnego dostępu powinien mieć uzasadnienie. Pytanie nie brzmi „czy da się połączyć?”, ale „czy naprawdę musimy utrzymywać ten dostęp i jaki problem biznesowy rozwiązuje?”.

Warstwa 2: architektura

Dostęp powinien przechodzić przez kontrolowaną strefę pośrednią. Użytkownik zdalny nie powinien łączyć się bezpośrednio z PLC, HMI ani stacją inżynierską.

Warstwa 3: tożsamość

Każda osoba powinna mieć konto imienne, MFA i przypisaną rolę. Konta dostawców powinny być oddzielone od kont pracowników zakładu.

Warstwa 4: zakres

Dostęp powinien być ograniczony do konkretnej maszyny, systemu, aplikacji lub strefy. Nie do całej sieci OT.

Warstwa 5: czas

Dostęp powinien być aktywny tylko w zatwierdzonym oknie serwisowym. Po zakończeniu prac powinien zostać wyłączony.

Warstwa 6: obserwowalność

Firma powinna mieć logi, alerty i w przypadku działań wysokiego ryzyka nagranie sesji.

Warstwa 7: awaryjne odcięcie

Zakład powinien potrafić odłączyć zdalny dostęp bez chaosu, bez zatrzymania niepotrzebnych systemów i bez ryzyka dla bezpieczeństwa ludzi.

Lista dobrych praktyk

1. Zbuduj rejestr zdalnych dostępów OT

  • nazwa kanału dostępu
  • dostawca lub użytkownik
  • system docelowy
  • zakres uprawnień
  • technologia połączenia
  • czy działa MFA
  • czy sesja jest logowana
  • czy dostęp jest stały czy czasowy
  • właściciel biznesowy
  • data ostatniego przeglądu

2. Usuń bezpośredni dostęp z internetu

HMI, PLC, SCADA, stacje inżynierskie i routery przemysłowe nie powinny być dostępne bezpośrednio z internetu. Każde takie wystawienie wymaga pilnej analizy i zwykle usunięcia.

3. Wprowadź MFA dla wszystkich punktów zdalnego dostępu

MFA powinno obejmować VPN, jump server, portal dostępu, konta dostawców i dostęp administratorów. Wyjątki powinny być opisane i zaakceptowane przez właściciela ryzyka.

4. Zastosuj jump server lub bastion

Jump server pozwala ograniczyć dostęp, logować sesje, nagrywać działania i odseparować użytkownika zdalnego od bezpośredniego dostępu do systemów przemysłowych.

5. Dziel sieć na strefy

Segmentuj OT według funkcji, linii, procesu, lokalizacji lub krytyczności. Dostęp dostawcy jednej maszyny nie powinien otwierać drogi do całego zakładu.

6. Ogranicz protokoły i porty

Zezwalaj tylko na komunikację potrzebną do konkretnej pracy. Blokuj niepotrzebne RDP, VNC, SSH, SMB, FTP, web management i inne usługi.

7. Ustal proces akceptacji sesji

Każda sesja serwisowa powinna mieć zgłoszenie, właściciela, cel, czas, zakres i potwierdzenie zakończenia. W przypadku działań wysokiego ryzyka wymagaj zgody utrzymania ruchu lub produkcji.

8. Ustal okna serwisowe

Nie każda praca może być wykonywana w dowolnym czasie. Zmiany w systemach OT powinny być uzgodnione z produkcją i ocenione pod kątem wpływu na bezpieczeństwo procesu.

9. Loguj i nagrywaj sesje

Logi powinny obejmować użytkownika, czas, źródło, cel, długość sesji, użyty protokół i wykonane działania. Dla dostępu dostawców i stacji inżynierskich warto nagrywać sesje.

10. Testuj procedurę odcięcia dostępu

Co najmniej raz w roku sprawdź, czy firma potrafi szybko wyłączyć zdalny dostęp dostawcy, VPN lub router przemysłowy. Test nie powinien zagrażać produkcji.

11. Uzgodnij wymagania z dostawcami

Umowy z dostawcami powinny opisywać MFA, konta imienne, zakres dostępu, logowanie, zgłaszanie incydentów, podwykonawców, aktualizacje narzędzi zdalnych i możliwość audytu.

12. Monitoruj dostęp poza godzinami pracy

Sesje nocne, weekendowe, długie, z nietypowej lokalizacji albo do nietypowego systemu powinny generować alert.

13. Nie używaj prywatnych urządzeń do OT

Komputer, z którego odbywa się dostęp do OT, powinien być kontrolowany, aktualny, chroniony, bez malware i zgodny z wymaganiami firmy. Prywatny laptop dostawcy nie powinien mieć swobodnego dostępu do OT bez kontroli.

14. Oddziel diagnostykę od sterowania

Jeśli dostawca potrzebuje tylko odczytu alarmów lub danych, nie dawaj dostępu do funkcji zapisu, zmiany programu albo modyfikacji parametrów.

15. Regularnie rób access review

Co najmniej kwartalnie sprawdzaj, kto ma zdalny dostęp do OT. Usuwaj konta byłych pracowników, byłych serwisantów, nieaktywnych dostawców i stare tunele.

Model docelowy: jak powinno wyglądać połączenie?

Przykład bezpieczniejszego przepływu

  1. Dostawca zgłasza potrzebę serwisu.
  2. Właściciel OT zatwierdza cel, czas i zakres.
  3. Dostawca loguje się do portalu dostępu z MFA.
  4. Dostęp jest aktywowany tylko na czas okna serwisowego.
  5. Dostawca trafia na jump server w strefie pośredniej.
  6. Z jump servera może połączyć się tylko z zatwierdzonym systemem.
  7. Sesja jest logowana i nagrywana.
  8. Operator lub automatyk nadzoruje działania wysokiego ryzyka.
  9. Po zakończeniu dostęp jest wyłączany.
  10. Zgłoszenie zostaje zamknięte z opisem wykonanych działań.

Co to daje?

  • wiadomo, kto się łączy
  • wiadomo, po co się łączy
  • zakres jest ograniczony
  • czas jest ograniczony
  • działania są udokumentowane
  • można odciąć dostęp w incydencie
  • produkcja wie, kiedy dostawca pracuje

Lista kontrolna dla właściciela OT

  • czy znamy wszystkie kanały zdalnego dostępu do OT?
  • czy każdy kanał ma właściciela?
  • czy każdy dostęp ma uzasadnienie biznesowe?
  • czy dostęp jest stały czy czasowy?
  • czy działa MFA?
  • czy konta są imienne?
  • czy dostęp jest ograniczony do konkretnego systemu?
  • czy sesje są logowane?
  • czy działania dostawcy są nagrywane?
  • czy dostęp można szybko odłączyć?
  • czy procedura odcięcia była testowana?
  • czy dostawcy są objęci umową bezpieczeństwa?
  • czy wykonano access review w ostatnim kwartale?
  • czy zmiany wykonane zdalnie trafiają do rejestru zmian?
  • czy zdalny dostęp nie omija zasad bezpieczeństwa procesu?

Lista kontrolna dla dostawcy lub integratora

  • czy każdy serwisant ma konto imienne?
  • czy dostawca wymusza MFA?
  • czy dostawca wie, kto łączył się do klienta?
  • czy dostęp jest udzielany na czas konkretnej usługi?
  • czy dostawca zgłasza incydenty bezpieczeństwa klientowi?
  • czy dostawca kontroluje podwykonawców?
  • czy urządzenie serwisowe jest aktualne i chronione?
  • czy dostawca dokumentuje wykonane zmiany?
  • czy dostawca akceptuje nagrywanie sesji?
  • czy dostawca ma procedurę odebrania dostępu byłemu pracownikowi?

Jakie dokumenty i dowody przygotować?

Dokumenty

  • polityka zdalnego dostępu do OT
  • procedura zatwierdzania dostępu serwisowego
  • procedura awaryjnego odcięcia zdalnego dostępu
  • standard MFA dla dostępu OT
  • standard jump server i strefy pośredniej
  • procedura access review dla dostawców
  • procedura zmian wykonywanych zdalnie
  • wymagania bezpieczeństwa dla dostawców OT

Rejestry

  • rejestr zdalnych dostępów OT
  • rejestr kont dostawców
  • rejestr narzędzi zdalnego dostępu
  • rejestr routerów przemysłowych i modemów
  • rejestr wyjątków od MFA
  • rejestr sesji serwisowych
  • rejestr zmian w OT
  • rejestr incydentów i near miss

Dowody techniczne

  • raport MFA
  • raport aktywnych kont dostawców
  • raport reguł firewall
  • lista połączeń VPN lub ZTNA
  • logi jump servera
  • nagrania sesji wysokiego ryzyka
  • raport access review
  • raport testu odcięcia zdalnego dostępu

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela zdalnego dostępu do OT
  • zbierz wszystkie kanały zdalnego dostępu
  • zidentyfikuj dostawców z dostępem do OT
  • sprawdź, czy istnieje bezpośredni dostęp z internetu
  • sprawdź MFA na VPN, portalu i kontach dostawców
  • zablokuj nieużywane konta
  • przygotuj rejestr zdalnych dostępów
  • przedstaw zarządowi największe ryzyka

Dni 31 do 60

  • wdroż proces zatwierdzania sesji
  • ogranicz dostęp do konkretnych systemów
  • przenieś dostęp dostawców przez jump server
  • włącz logowanie i nagrywanie sesji wysokiego ryzyka
  • usuń lub ogranicz stałe tunele dostawców
  • sprawdź reguły firewall między IT i OT
  • uzgodnij wymagania z dostawcami
  • przygotuj procedurę awaryjnego odcięcia

Dni 61 do 90

  • wykonaj test awaryjnego odcięcia dostępu
  • przeprowadź access review dostawców
  • zaktualizuj umowy i SLA
  • przeszkol automatyke, IT i utrzymanie ruchu
  • przeprowadź tabletop incydentu przez zdalny dostęp
  • zamknij najważniejsze luki
  • przygotuj pakiet dowodów dla audytu
  • ustal kwartalny cykl przeglądu

Metryki dla zarządu i dyrektora zakładu

Metryki widoczności

  • liczba zidentyfikowanych kanałów zdalnego dostępu
  • liczba kanałów bez właściciela
  • liczba dostawców z aktywnym dostępem
  • liczba narzędzi zdalnego dostępu poza standardem

Metryki kontroli

  • procent dostępów z MFA
  • procent kont imiennych
  • procent dostępów czasowych
  • liczba kont współdzielonych
  • liczba stałych tuneli dostawców

Metryki monitorowania

  • procent sesji logowanych
  • procent sesji wysokiego ryzyka nagrywanych
  • liczba sesji poza oknem serwisowym
  • liczba nieudanych logowań
  • liczba nietypowych sesji dostawców

Metryki odporności

  • data ostatniego testu odcięcia dostępu
  • czas odcięcia zdalnego dostępu w ćwiczeniu
  • liczba systemów OT z priorytetem odtworzenia
  • liczba luk zamkniętych po przeglądzie

Scenariusz incydentu: atak przez zdalny dostęp dostawcy

Dostawca automatyki ma stały dostęp VPN do sieci zakładowej. Jedno z jego kont zostaje przejęte. Atakujący loguje się wieczorem, skanuje sieć OT, znajduje stację inżynierską i próbuje pobrać pliki projektu. Następnie pojawiają się błędy na HMI i nietypowe połączenia do kilku sterowników.

Co powinno zadziałać?

  • alert nietypowego logowania
  • MFA i wykrycie próby obejścia
  • ograniczenie dostępu tylko do zatwierdzonego systemu
  • brak możliwości skanowania całej sieci OT
  • logowanie i nagranie sesji
  • natychmiastowe odcięcie konta dostawcy
  • kontakt z dostawcą i właścicielem OT
  • sprawdzenie, czy nie doszło do zmiany w sterownikach
  • raport incydentu i działania naprawcze

Co zwykle wychodzi w ćwiczeniu?

  • nikt nie wie, kto jest właścicielem VPN dostawcy
  • konto jest współdzielone
  • MFA nie działa dla dostawcy
  • VPN daje dostęp do całej podsieci OT
  • brakuje logów z sesji
  • nie wiadomo, jak szybko odciąć dostęp
  • umowa nie opisuje obowiązków dostawcy po incydencie

Najczęstsze błędy w umowach z dostawcami OT

Brak wymagań bezpieczeństwa

Umowa opisuje serwis, ale nie opisuje MFA, kont imiennych, logów, nagrywania sesji, incydentów ani podwykonawców.

Brak prawa do audytu

Zakład nie może sprawdzić, czy dostawca zarządza kontami, urządzeniami serwisowymi i podwykonawcami.

Brak zasad zgłaszania incydentów

Dostawca może mieć incydent, ale klient nie dowie się o tym na czas.

Brak procedury odebrania dostępu

Po zakończeniu umowy konto, router lub tunel dostawcy nadal istnieje.

Brak odpowiedzialności za podwykonawców

Dostawca dopuszcza kolejną firmę do zdalnego serwisu, ale zakład nie wie, kto realnie ma dostęp.

Jak przygotować audyt zdalnego dostępu OT?

Zakres audytu

  • wszystkie kanały zdalnego dostępu
  • VPN, ZTNA, RDP, VNC, SSH i narzędzia zdalnego pulpitu
  • routery przemysłowe, modemy, bramy LTE i urządzenia dostawców
  • dostęp dostawców i integratorów
  • kontrola tożsamości i MFA
  • logi i monitoring
  • reguły firewall i segmentacja
  • umowy i procedury
  • awaryjne odcięcie dostępu

Rezultat audytu

  • mapa zdalnego dostępu
  • lista ryzyk
  • lista szybkich wyłączeń
  • lista dostępów do ograniczenia
  • rekomendowana architektura docelowa
  • plan działań 30, 60 i 90 dni
  • pakiet dowodów dla zarządu i audytu

Przykład biznesowy

Firma produkcyjna ma 6 linii technologicznych. Każda linia ma innego dostawcę maszyn. Przez lata dostawcy uruchamiali własne formy zdalnego dostępu: jeden ma VPN, drugi router LTE, trzeci TeamViewer na stacji HMI, a czwarty modem do diagnostyki. Zakład wie, że „dostawcy jakoś się łączą”, ale nie ma pełnej listy.

Audyt pokazuje 11 kanałów zdalnego dostępu, 4 stałe tunele, 3 konta współdzielone, 2 narzędzia bez MFA i jeden router, którego właściciel nie jest znany. Jeden dostawca ma dostęp do całej podsieci OT, mimo że serwisuje tylko jedną maszynę.

Firma wprowadza rejestr dostępów, zamyka nieużywane tunele, przenosi dostawców przez jump server, włącza MFA, ustala okna serwisowe i nagrywa sesje wysokiego ryzyka. Po 90 dniach zdalny dostęp nadal działa, ale jest widoczny, kontrolowany i możliwy do odcięcia. Produkcja nie traci wsparcia dostawców, a zarząd dostaje realny raport ryzyka.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom przemysłowym uporządkować i zabezpieczyć zdalny dostęp do OT bez paraliżowania serwisu i utrzymania ruchu. Łączymy perspektywę automatyki, IT, bezpieczeństwa, produkcji, dostawców i zarządu.

Możemy wesprzeć organizację w obszarach:

  • audyt zdalnego dostępu do OT
  • rejestr kanałów zdalnego dostępu
  • ocena VPN, RDP, VNC, TeamViewer, AnyDesk, routerów LTE i narzędzi dostawców
  • projekt architektury jump server, DMZ i segmentacji
  • MFA i konta imienne dla dostawców
  • procedura zatwierdzania sesji serwisowych
  • logowanie i nagrywanie sesji
  • procedura awaryjnego odcięcia zdalnego dostępu
  • wymagania bezpieczeństwa dla integratorów i dostawców maszyn
  • tabletop incydentu przez zdalny dostęp
  • roadmapa działań na 30, 60, 90 dni i 12 miesięcy

Najlepszym pierwszym krokiem jest OT Remote Access Readiness Workshop. W krótkim warsztacie można ustalić, kto ma dziś dostęp do OT, które kanały są najgroźniejsze, co trzeba wyłączyć natychmiast, a co przenieść do bezpieczniejszego modelu.

FAQ

Czy VPN wystarczy do bezpiecznego dostępu do OT?

Nie. VPN może być częścią rozwiązania, ale sam VPN nie wystarczy. Potrzebne są MFA, ograniczenie zakresu, segmentacja, logowanie, kontrola dostawców i możliwość odcięcia dostępu.

Czy dostawca może mieć stały dostęp do maszyny?

Stały dostęp powinien być wyjątkiem, dobrze uzasadnionym i kontrolowanym. Bezpieczniejszy model to dostęp czasowy, aktywowany na okno serwisowe i zatwierdzany przez właściciela OT.

Czy RDP do stacji inżynierskiej jest bezpieczne?

Może być bardzo ryzykowne, jeśli jest dostępne bezpośrednio lub bez kontroli. Lepiej używać jump servera, MFA, kont imiennych, nagrywania sesji i ograniczeń funkcji.

Czy producent maszyny może używać własnego routera LTE?

Może, ale tylko jeśli jest wpisany do rejestru, zatwierdzony, skonfigurowany zgodnie z wymaganiami bezpieczeństwa, objęty MFA, logowaniem i procedurą odcięcia.

Jak często przeglądać zdalne dostępy do OT?

Minimum kwartalnie oraz po każdej zmianie dostawcy, linii produkcyjnej, systemu, integratora lub incydencie.

Kto powinien zatwierdzać zdalny dostęp do OT?

Właściciel procesu lub systemu OT, najczęściej utrzymanie ruchu, automatyka lub produkcja, we współpracy z IT i bezpieczeństwem.

Czy trzeba nagrywać sesje dostawców?

Dla działań wysokiego ryzyka warto. Nagrania pomagają w rozliczalności, analizie zmian, audycie i wyjaśnianiu incydentów.

Od czego zacząć?

Zacznij od rejestru: kto ma zdalny dostęp do OT, przez co się łączy, do czego ma dostęp, czy działa MFA, czy sesja jest logowana i kto jest właścicielem dostępu.

Podsumowanie

Bezpieczny zdalny dostęp do OT jest potrzebny, ale musi być kontrolowany. Największym ryzykiem nie jest sam fakt zdalnego dostępu, tylko brak widoczności, brak MFA, stałe tunele, współdzielone konta, bezpośredni dostęp do systemów OT i brak procedury odcięcia.

Dobra architektura opiera się na segmentacji, strefie pośredniej, jump serverze, kontach imiennych, MFA, dostępie czasowym, logowaniu, nagrywaniu sesji i regularnym przeglądzie uprawnień.

Najlepsza zasada brzmi: zdalny dostęp do OT powinien być jak praca serwisowa w zakładzie. Musi mieć cel, zgodę, czas, zakres, nadzór, zapis działań i bezpieczne zakończenie.

Źródła

Czy tabletop to cyberatak „na sucho”? Jak sprawdzić, czy firma jest gotowa na cyberatak?

Tabletop to kontrolowane ćwiczenie scenariuszowe, w którym firma sprawdza, jak zareagowałaby na cyberatak bez realnego wyłączania systemów. To cyberatak „na sucho”, ale nie test techniczny typu pentest. Tabletop sprawdza decyzje, role, komunikację, eskalację, priorytety odtworzenia, zgłaszanie incydentów, współpracę z dostawcami i gotowość zarządu. Dobrze przeprowadzone ćwiczenie kończy się raportem, listą luk, właścicielami działań i terminami. Najważniejsze pytanie brzmi nie „czy mamy plan?”, ale „czy ludzie potrafią go użyć pod presją?”.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Tabletop to ćwiczenie cyberataku „na sucho”. Firma nie wyłącza systemów, nie szyfruje danych i nie prowadzi realnego ataku, ale przechodzi przez realistyczny scenariusz incydentu krok po kroku. Celem jest sprawdzenie, czy zarząd, IT, security, prawnik, DPO, HR, komunikacja, finanse, operacje i dostawcy wiedzą, co zrobić w pierwszych godzinach cyberataku. Tabletop nie zastępuje testów technicznych, takich jak pentest, test restore albo test SOC. Sprawdza coś innego: decyzje, role, komunikację, eskalację, priorytety, dokumenty, kontakty, dowody i zdolność do działania pod presją. Dobre ćwiczenie kończy się raportem, listą luk i planem naprawczym.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • zarząd i właściciele firm
  • CFO, COO, CEO i osoby odpowiedzialne za ciągłość działania
  • CISO, vCISO, CTO, CIO i dyrektorzy IT
  • compliance, risk, legal, DPO i audyt wewnętrzny
  • HR, komunikacja, PR, obsługa klienta, finanse i operacje
  • MŚP, które chcą sprawdzić gotowość na ransomware, phishing lub przejęcie konta
  • firmy przygotowujące się do NIS2, DORA, ISO 27001, cyberubezpieczenia albo audytu klienta
  • dostawcy IT, SOC, MDR, backupu, chmury i usług zarządzanych

Najważniejsze wnioski

  1. Tabletop to ćwiczenie decyzyjne i organizacyjne, a nie techniczny test włamania.
  2. Najlepsze tabletop sprawdza pierwsze 24 godziny incydentu: wykrycie, eskalację, izolację, komunikację, dowody, zgłoszenia i priorytety odtworzenia.
  3. W ćwiczeniu powinien uczestniczyć nie tylko dział IT, ale także zarząd, legal, DPO, komunikacja, finanse, HR, operacje i kluczowi dostawcy.
  4. Scenariusz musi być realistyczny dla firmy. Inny scenariusz ma zakład produkcyjny, inny kancelaria, SaaS, e-commerce, szpital, biuro rachunkowe albo dostawca IT.
  5. Ćwiczenie ma sens tylko wtedy, gdy kończy się raportem, listą luk, właścicielami działań i terminami zamknięcia.

Czym jest tabletop?

Tabletop to ćwiczenie scenariuszowe prowadzone w kontrolowanych warunkach. Uczestnicy siedzą przy stole lub spotykają się online i przechodzą przez symulowany cyberincydent. Moderator podaje kolejne informacje, tak zwane „injects”, a zespół decyduje, co robi.

W ćwiczeniu nie chodzi o udowodnienie, że ktoś zna definicję ransomware. Chodzi o sprawdzenie praktyki:

  • kto pierwszy kwalifikuje incydent?
  • kto informuje zarząd?
  • kto podejmuje decyzję o odłączeniu systemu?
  • kto kontaktuje dostawcę IT?
  • kto sprawdza backup?
  • kto komunikuje się z klientami?
  • kto ocenia obowiązki prawne?
  • kto dokumentuje oś czasu?
  • kto decyduje, które usługi odtwarzamy jako pierwsze?

Tabletop jest bezpieczny, bo nie ingeruje w produkcję. Jednocześnie może ujawnić bardzo realne problemy: brak numerów telefonów, niejasne role, nieaktualny plan, brak decyzji zarządu, niewiadome RTO, nietestowany backup, brak procedury zgłoszenia incydentu i sprzeczne oczekiwania między IT a biznesem.

Czy tabletop to cyberatak „na sucho”?

Tak, ale z ważnym zastrzeżeniem. Tabletop jest cyberatakiem „na sucho” w sensie organizacyjnym. Firma ćwiczy reakcję na atak, ale bez realnego atakowania systemów. To próba generalna decyzji, komunikacji i procesu.

Nie jest to jednak:

  • pentest
  • red team
  • skan podatności
  • test SOC
  • test restore
  • audyt konfiguracji
  • symulowany phishing wysłany do pracowników

Tabletop odpowiada na pytanie: czy wiemy, co zrobić, gdy atak już trwa? Test techniczny odpowiada na pytanie: czy technologia działa tak, jak powinna? Firma potrzebuje obu typów sprawdzeń.

Co tabletop sprawdza najlepiej?

1. Decyzje zarządu

Cyberatak szybko staje się problemem zarządczym. Trzeba decydować o przestoju, komunikacji, priorytetach klientów, zgłoszeniach, kosztach, pracy ręcznej i odtwarzaniu. Tabletop pokazuje, czy zarząd ma dane potrzebne do decyzji.

2. Role i odpowiedzialności

W planie może być zapisane, że „IT reaguje na incydent”. To za mało. Ćwiczenie pokazuje, kto konkretnie odbiera telefon, kto zatwierdza komunikat, kto kontaktuje prawnika i kto prowadzi log działań.

3. Komunikację

Podczas incydentu poczta może nie działać. Telefon może być przeciążony. Komunikaty mogą wyciekać do klientów lub mediów. Tabletop sprawdza, czy firma ma alternatywne kanały i zasady komunikacji.

4. Eskalację

Wiele incydentów zaczyna się mało widocznie: podejrzane MFA, dziwne reguły poczty, alert EDR, problem z plikami. Ćwiczenie pokazuje, kiedy sprawa trafia do zarządu i kiedy uruchamia się formalny tryb incydentowy.

5. Priorytety odtworzenia

Nie da się odtworzyć wszystkiego naraz. Tabletop zmusza firmę do ustalenia, które usługi wracają pierwsze: poczta, ERP, CRM, produkcja, system finansowy, sklep internetowy, panel klienta albo backup.

6. Gotowość dostawców

Wiele firm zależy od zewnętrznego IT, SOC, chmury, hostingu, backupu, dostawcy systemu albo integratora OT. Tabletop pokazuje, czy dostawcy mają kontakt awaryjny, SLA, dostęp, role i procedury.

7. Dowody i dokumentowanie

Po incydencie firma musi odtworzyć oś czasu, decyzje, kontakty, logi, zakres danych i działania naprawcze. Tabletop pokazuje, czy ktoś prowadzi dokumentację w trakcie kryzysu.

Co tabletop nie sprawdzi?

Tabletop nie pokaże wszystkiego. Jeżeli firma chce sprawdzić techniczną skuteczność zabezpieczeń, potrzebuje dodatkowych testów.

Tabletop nie potwierdzi samodzielnie:

  • czy podatność jest możliwa do wykorzystania
  • czy EDR wykryje konkretną technikę ataku
  • czy backup realnie się odtworzy
  • czy SOC zauważy atak w czasie rzeczywistym
  • czy firewall jest poprawnie skonfigurowany
  • czy aplikacja ma podatności
  • czy pracownicy klikną w phishing

Dlatego po tabletop często warto zaplanować testy techniczne: restore test, test detekcji, pentest, purple team, przegląd Microsoft 365, test procedury phishingu albo test przełączenia na środowisko awaryjne.

Kiedy firma powinna zrobić tabletop?

Przed incydentem

Najlepszy moment jest przed incydentem. Wtedy błędy są tanie, a stres jest kontrolowany.

Po wdrożeniu planu incident response

Plan bez ćwiczenia jest hipotezą. Tabletop sprawdza, czy plan jest zrozumiały i użyteczny.

Przed audytem lub kontrolą

Ćwiczenie daje dobry dowód gotowości dla NIS2, DORA, ISO 27001, klientów i cyberubezpieczenia.

Po dużej zmianie w firmie

Zmiana chmury, dostawcy IT, systemu ERP, struktury organizacyjnej, modelu pracy albo procesu backupu powinna uruchomić aktualizację scenariuszy.

Po incydencie lub near miss

Jeżeli firma miała phishing, przejęcie konta, fałszywy przelew, awarię backupu albo incydent u dostawcy, warto przećwiczyć podobny scenariusz.

Kto powinien uczestniczyć?

Najczęstszy błąd to zaproszenie tylko IT. Cyberatak nie jest tylko problemem IT. Tabletop powinien obejmować osoby, które realnie podejmują decyzje i wykonują działania w kryzysie.

Minimalny skład

  • moderator ćwiczenia
  • właściciel incydentu
  • IT lub security
  • zarząd lub osoba decyzyjna
  • legal
  • DPO, jeśli firma przetwarza dane osobowe
  • komunikacja lub osoba odpowiedzialna za klientów
  • operacje lub właściciel procesu krytycznego
  • dostawca IT, jeśli ma rolę w reakcji

Skład rozszerzony

  • CFO i finanse
  • HR
  • sprzedaż i obsługa klienta
  • PR
  • SOC lub MDR
  • dostawca backupu
  • dostawca chmury
  • integrator OT
  • broker lub kontakt do cyberubezpieczenia
  • audyt wewnętrzny

W małej firmie jedna osoba może pełnić kilka ról. Ważne, aby role były nazwane i sprawdzone.

Jak przygotować ćwiczenie tabletop?

Krok 1: ustal cel ćwiczenia

Nie ćwicz wszystkiego naraz. Dobrze zaprojektowany tabletop ma jasny cel.

Przykładowe cele

  • sprawdzenie pierwszych 24 godzin po ransomware
  • sprawdzenie eskalacji przejęcia konta Microsoft 365
  • sprawdzenie procedury fałszywego przelewu
  • sprawdzenie komunikacji bez poczty firmowej
  • sprawdzenie decyzji zarządu o odtworzeniu systemów
  • sprawdzenie współpracy z dostawcą IT
  • sprawdzenie zgłoszenia incydentu do klienta lub organu

Krok 2: wybierz realistyczny scenariusz

Scenariusz powinien pasować do firmy. Dla e-commerce dobry będzie atak na sklep i płatności. Dla produkcji ransomware w systemie magazynowym. Dla kancelarii wyciek dokumentów. Dla SaaS incydent w chmurze i utrata zaufania klientów.

Krok 3: przygotuj uczestników

Nie trzeba zdradzać całego scenariusza, ale uczestnicy powinni znać cel, czas trwania, zasady i dokumenty, z których mogą korzystać.

Krok 4: przygotuj injects

Injects to kolejne informacje w scenariuszu. Na przykład: klient zgłasza niedostępność, EDR generuje alert, dostawca nie odbiera telefonu, media pytają o wyciek danych, backup nie działa zgodnie z planem.

Krok 5: obserwuj decyzje

W ćwiczeniu nie chodzi o idealne odpowiedzi. Chodzi o obserwację, gdzie firma ma luki.

Krok 6: zrób hot wash

Bezpośrednio po ćwiczeniu zbierz wnioski: co działało, co nie działało, czego brakowało, kto nie znał roli, które decyzje były opóźnione.

Krok 7: przygotuj raport i plan naprawczy

Najważniejszym efektem jest improvement plan, czyli lista działań naprawczych z właścicielami i terminami.

Najlepsze scenariusze tabletop dla firm

Scenariusz 1: Ransomware i niedostępność systemów

Firma rano odkrywa, że część plików ma dziwne rozszerzenia. Poczta działa niestabilnie, a pracownicy widzą komunikat o okupie. Dostawca IT sugeruje odłączenie części sieci.

Sprawdza:

  • izolację systemów
  • ochronę backupu
  • eskalację do zarządu
  • komunikację bez poczty
  • priorytety odtworzenia
  • decyzję o kontakcie z ubezpieczycielem
  • komunikację do klientów

Scenariusz 2: Przejęcie konta Microsoft 365 lub Google Workspace

Pracownik zgłasza nieoczekiwane powiadomienia MFA. Kilka godzin później klienci dostają fałszywe faktury z jego konta. W skrzynce pojawiają się reguły przekazywania poczty.

Sprawdza:

  • reakcję na podejrzane MFA
  • blokadę konta
  • sprawdzenie sesji i reguł poczty
  • ustalenie zakresu dostępu atakującego
  • komunikację do klientów
  • ryzyko naruszenia danych

Scenariusz 3: Fałszywy przelew i business email compromise

Finanse dostają wiadomość od dostawcy o zmianie rachunku. Wiadomość wygląda wiarygodnie, bo pochodzi z prawdziwego wątku. Przelew ma być wykonany pilnie.

Sprawdza:

  • procedurę drugiego kanału
  • zasadę dwóch osób
  • reakcję na presję czasu
  • kontakt z bankiem
  • komunikację z dostawcą
  • zakres cyberubezpieczenia dla BEC

Scenariusz 4: Wyciek danych klientów

Klient informuje, że znalazł swoje dane w publicznym miejscu. Zespół podejrzewa błędne udostępnienie folderu albo przejęcie konta.

Sprawdza:

  • ustalenie zakresu danych
  • rolę DPO
  • obowiązki zgłoszeniowe
  • komunikację do klienta
  • zabezpieczenie dowodów
  • decyzję o wyłączeniu linków publicznych

Scenariusz 5: Incydent u dostawcy

Dostawca chmury, hostingu, systemu ERP albo usług IT informuje o incydencie. Nie wiadomo, czy dane firmy są zagrożone. Usługa działa niestabilnie.

Sprawdza:

  • kontakt z dostawcą
  • umowne obowiązki zgłoszenia
  • plan wyjścia
  • alternatywne procesy
  • komunikację do klientów
  • ocenę zależności od dostawcy

Scenariusz 6: Atak na produkcję lub OT

System magazynowy, produkcyjny albo operatorski przestaje działać. Integrator OT nie jest dostępny od razu. Produkcja pyta, czy może pracować ręcznie.

Sprawdza:

  • zależności IT i OT
  • plan minimalnego działania zakładu
  • priorytety bezpieczeństwa ludzi
  • kontakt z integratorem
  • procedury ręczne
  • odtworzenie konfiguracji

Jak wygląda agenda ćwiczenia?

Przykładowe ćwiczenie 2-godzinne

  • 10 minut: wprowadzenie i zasady
  • 10 minut: przypomnienie ról i dokumentów
  • 25 minut: faza wykrycia
  • 25 minut: faza eskalacji i decyzji
  • 25 minut: faza komunikacji i odtworzenia
  • 15 minut: hot wash
  • 10 minut: podsumowanie działań naprawczych

Przykładowe ćwiczenie półdniowe

  • wprowadzenie do scenariusza
  • symulacja pierwszych 2 godzin
  • symulacja pierwszych 24 godzin
  • moduł prawny i komunikacyjny
  • moduł odtworzenia działania
  • moduł zarządczy
  • hot wash
  • wstępny plan działań naprawczych

Jakie dokumenty przygotować przed tabletop?

Dokumenty podstawowe

  • incident response plan
  • lista kontaktów awaryjnych
  • ransomware playbook
  • procedura przejęcia konta
  • procedura naruszenia danych
  • procedura zgłaszania incydentów
  • plan ciągłości działania
  • plan odtwarzania

Dokumenty techniczne

  • lista systemów krytycznych
  • mapa zależności
  • lista kont administratorów
  • raport MFA
  • raport backupu
  • ostatni test restore
  • lista źródeł logów
  • lista dostawców IT

Dokumenty biznesowe

  • lista usług krytycznych
  • RTO i RPO
  • koszt dnia przestoju
  • lista kluczowych klientów
  • szablony komunikatów
  • umowy z dostawcami krytycznymi
  • warunki cyberubezpieczenia

Jakie role sprawdzić podczas ćwiczenia?

  • Incident Commander lub właściciel incydentu
  • lider techniczny
  • osoba odpowiedzialna za backup i restore
  • osoba odpowiedzialna za komunikację
  • osoba odpowiedzialna za klientów
  • legal
  • DPO
  • CFO lub osoba od kosztów i płatności
  • HR
  • kontakt do dostawcy IT
  • kontakt do ubezpieczyciela
  • osoba prowadząca log działań

Jak ocenić, czy firma jest gotowa?

Obszar 1: wykrycie

  • czy firma wie, skąd przyjdzie pierwszy alert?
  • czy pracownicy wiedzą, gdzie zgłaszać podejrzane zdarzenia?
  • czy SOC lub IT wie, kiedy eskalować?
  • czy są logi potrzebne do analizy?

Obszar 2: eskalacja

  • czy wiadomo, kto jest właścicielem incydentu?
  • czy zarząd jest informowany na czas?
  • czy istnieje lista kontaktów awaryjnych?
  • czy role są jasne poza godzinami pracy?

Obszar 3: decyzje

  • czy firma wie, kiedy odłączyć system?
  • czy wiadomo, kto zatwierdza komunikat do klientów?
  • czy wiadomo, kto decyduje o odtworzeniu?
  • czy zarząd zna koszt przestoju?

Obszar 4: komunikacja

  • czy firma ma alternatywny kanał, jeśli poczta nie działa?
  • czy istnieją szablony komunikatów?
  • czy wiadomo, kto odpowiada klientom?
  • czy wiadomo, kto kontaktuje media, jeśli zajdzie taka potrzeba?

Obszar 5: odtworzenie

  • czy są znane systemy priorytetowe?
  • czy backup był testowany?
  • czy firma wie, co robić, jeśli backup jest podejrzany?
  • czy istnieje plan pracy ręcznej?

Obszar 6: zgodność i zgłoszenia

  • czy firma wie, czy musi zgłaszać incydent do organu?
  • czy istnieją obowiązki wobec klientów?
  • czy DPO zna swoją rolę?
  • czy dokumentowana jest oś czasu?

Jak punktować gotowość po tabletop?

Poziom 1: chaos

Nie ma jasnych ról, dokumentów, kontaktów ani decyzji. Firma działa intuicyjnie.

Poziom 2: plan istnieje, ale nie działa

Dokumenty są, ale ludzie ich nie znają. Kontakty są nieaktualne. Nie wiadomo, kto decyduje.

Poziom 3: podstawowa gotowość

Role są znane, plan działa częściowo, ale brakuje testów, szablonów, dostawców albo priorytetów odtworzenia.

Poziom 4: dobra gotowość

Zespół zna role, decyzje są szybkie, komunikacja działa, a większość luk ma plan naprawczy.

Poziom 5: odporność operacyjna

Firma potrafi działać w trybie awaryjnym, odtwarzać usługi według priorytetów, komunikować z klientami i dokumentować decyzje.

Najczęstsze luki wykrywane podczas tabletop

  • brak właściciela incydentu
  • nieaktualna lista kontaktów
  • brak kontaktu poza pocztą firmową
  • niejasna rola zarządu
  • brak decyzji o priorytetach odtworzenia
  • brak testu restore
  • brak planu komunikacji do klientów
  • brak procedury zgłaszania incydentów
  • brak wiedzy o obowiązkach prawnych
  • brak dostawcy reagowania
  • brak logu działań podczas incydentu
  • brak planu pracy ręcznej

Raport po ćwiczeniu: co powinien zawierać?

Elementy raportu

  • data i zakres ćwiczenia
  • uczestnicy i role
  • scenariusz
  • cele ćwiczenia
  • najważniejsze decyzje
  • co zadziałało dobrze
  • co nie zadziałało
  • luki i ryzyka
  • działania naprawcze
  • właściciele działań
  • terminy
  • wnioski dla zarządu

Najważniejsza część raportu

Najważniejsza jest lista działań naprawczych. Bez niej tabletop staje się rozmową, a nie narzędziem poprawy odporności.

Plan działania na 30, 60 i 90 dni po tabletop

Pierwsze 30 dni

  • zatwierdź raport z ćwiczenia
  • uzupełnij listę kontaktów awaryjnych
  • nazwij właściciela incydentu i zastępcę
  • popraw najważniejsze playbooki
  • ustal kanał komunikacji bez poczty firmowej
  • przygotuj log działań incydentowych
  • zaktualizuj listę systemów krytycznych
  • przedstaw zarządowi 5 najważniejszych luk

Dni 31 do 60

  • wykonaj test odtworzenia danych
  • uzupełnij szablony komunikatów
  • sprawdź umowy z dostawcami krytycznymi
  • ustal procedurę kontaktu z ubezpieczycielem
  • przeszkol role krytyczne
  • zrób access review dla kont administratorów
  • sprawdź źródła logów
  • zamknij działania wysokiego priorytetu

Dni 61 do 90

  • przeprowadź krótkie ćwiczenie follow-up
  • sprawdź, czy działania naprawcze są wykonane
  • zaktualizuj BCP i DRP
  • zaktualizuj procedury zgłoszeniowe
  • uzgodnij priorytety odtworzenia z biznesem
  • przygotuj pakiet dowodów dla audytu lub ubezpieczyciela
  • ustal datę kolejnego tabletop
  • dodaj ćwiczenia do rocznego kalendarza bezpieczeństwa

Jak często robić tabletop?

Dla większości firm dobrym minimum jest jedno większe ćwiczenie tabletop rocznie i jedno krótsze ćwiczenie kwartalne dla wybranego scenariusza. Firmy regulowane, dostawcy usług krytycznych, firmy finansowe, produkcyjne i technologiczne powinny ćwiczyć częściej.

Przykładowy rytm

  • raz w roku: pełny tabletop dla zarządu i kluczowych ról
  • raz na kwartał: krótkie ćwiczenie konkretnego scenariusza
  • po każdej dużej zmianie: aktualizacja planu i mini-ćwiczenie
  • po incydencie: lessons learned i ćwiczenie follow-up

Jakie metryki pokazać zarządowi?

Metryki gotowości

  • czas eskalacji do zarządu
  • czas uruchomienia zespołu incydentowego
  • czas znalezienia kontaktu do dostawcy
  • liczba decyzji bez właściciela
  • liczba brakujących dokumentów

Metryki odtworzenia

  • czy RTO i RPO są znane
  • data ostatniego testu restore
  • czas odtworzenia usługi krytycznej
  • liczba systemów bez priorytetu odtworzenia
  • liczba zależności od dostawców bez planu awaryjnego

Metryki komunikacji

  • czas przygotowania komunikatu do klientów
  • liczba brakujących szablonów
  • liczba niejasnych decyzji komunikacyjnych
  • czy działa alternatywny kanał komunikacji

Metryki poprawy

  • liczba działań naprawczych
  • liczba działań zamkniętych w terminie
  • liczba luk powtarzających się w kolejnym ćwiczeniu
  • trend gotowości po kolejnych tabletop

Najczęstsze błędy przy tabletop

Błąd 1: za techniczny scenariusz

Jeżeli ćwiczenie jest pełne technicznych szczegółów, zarząd i biznes przestają uczestniczyć. Tabletop powinien sprawdzać decyzje, nie tylko narzędzia.

Błąd 2: zaproszenie tylko IT

Cyberatak dotyka klientów, finansów, prawników, DPO, PR, HR i zarząd. Bez tych osób ćwiczenie jest niepełne.

Błąd 3: brak moderatora

Bez dobrego moderatora ćwiczenie zamienia się w luźną rozmowę albo spór techniczny.

Błąd 4: brak notatek i obserwatorów

Jeżeli nikt nie zapisuje decyzji, pytań i luk, firma traci najważniejszą wartość ćwiczenia.

Błąd 5: brak raportu

Ćwiczenie bez raportu i planu działań nie poprawia odporności.

Błąd 6: zbyt łatwy scenariusz

Scenariusz powinien być realistyczny i niewygodny. Ma pokazać luki, nie tylko potwierdzić, że wszystko jest dobrze.

Błąd 7: obwinianie uczestników

Tabletop ma znaleźć luki w systemie, nie winnych ludzi. Kultura obwiniania zmniejsza szczerość.

Błąd 8: brak follow-up

Największą wartość daje zamknięcie działań naprawczych i ponowne ćwiczenie wybranego fragmentu.

Przykład biznesowy

Firma usługowa zatrudnia 90 osób. Ma Microsoft 365, CRM, system fakturowania, chmurę plików, zewnętrznego dostawcę IT i backup. Zarząd uważa, że firma jest przygotowana, bo ma plan incident response i backup.

Podczas tabletop scenariusz zaczyna się od podejrzanych powiadomień MFA. Po godzinie pojawiają się reguły przekazywania poczty, a klienci otrzymują fałszywe faktury. Zespół IT wie, jak zablokować konto, ale nie wiadomo, kto informuje klientów, kto kontaktuje bank, kto sprawdza zakres danych i kto decyduje o komunikacie zarządu. Lista kontaktów do dostawcy IT zawiera numer do osoby, która już nie pracuje. Backup jest dostępny, ale nikt nie pamięta daty ostatniego testu restore.

Ćwiczenie trwa dwie godziny i ujawnia 14 luk. Firma nie traktuje tego jako porażki. W ciągu 60 dni aktualizuje kontakty, ćwiczy procedurę przejęcia konta, robi test restore, przygotowuje szablon komunikatu do klientów i ustala właściciela incydentu. Po trzech miesiącach robi krótkie ćwiczenie follow-up. Tym razem eskalacja jest szybsza, a decyzje są dużo bardziej uporządkowane.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom projektować i prowadzić ćwiczenia tabletop, które realnie sprawdzają gotowość na cyberatak. Nie robimy ćwiczeń dla samego odhaczenia. Budujemy scenariusze dopasowane do biznesu, systemów, dostawców, regulacji i ryzyk firmy.

Możemy wesprzeć organizację w obszarach:

  • przygotowanie scenariusza tabletop
  • tabletop ransomware dla zarządu
  • tabletop przejęcia Microsoft 365 lub Google Workspace
  • tabletop BEC i fałszywego przelewu
  • tabletop wycieku danych klientów
  • tabletop incydentu u dostawcy
  • tabletop OT i przestoju produkcji
  • moderacja ćwiczenia
  • raport po ćwiczeniu i plan działań naprawczych
  • aktualizacja incident response plan, BCP i DRP
  • ćwiczenie follow-up po zamknięciu luk
  • pakiet dowodów dla audytu, NIS2, DORA, ISO 27001 i cyberubezpieczenia

Najlepszym pierwszym krokiem jest Tabletop Readiness Workshop. W krótkim warsztacie można ustalić, który scenariusz jest najważniejszy dla firmy, kto powinien uczestniczyć, jakie dokumenty trzeba przygotować i jakie decyzje zarząd powinien przećwiczyć przed realnym atakiem.

FAQ

Czy tabletop to pentest?

Nie. Pentest sprawdza techniczne podatności. Tabletop sprawdza decyzje, role, komunikację, eskalację i zdolność firmy do działania podczas incydentu.

Czy tabletop wymaga wyłączania systemów?

Nie. To ćwiczenie kontrolowane. Systemy produkcyjne nie są celowo wyłączane ani atakowane.

Ile trwa tabletop?

Małe ćwiczenie może trwać 90 minut. Typowe ćwiczenie trwa 2 do 4 godzin. Rozbudowane ćwiczenia dla firm regulowanych mogą trwać cały dzień.

Kto powinien uczestniczyć?

Nie tylko IT. Powinien uczestniczyć zarząd, legal, DPO, komunikacja, operacje, finanse, HR, osoby od klientów i kluczowi dostawcy.

Jaki scenariusz wybrać na początek?

Najczęściej najlepszy jest ransomware, przejęcie poczty lub fałszywy przelew. Wybór zależy od profilu firmy i największego ryzyka biznesowego.

Czy tabletop daje dowód dla audytu?

Tak, jeśli powstaje raport, lista uczestników, cele, scenariusz, wnioski i plan działań naprawczych. Samo spotkanie bez dokumentacji jest słabym dowodem.

Jak często robić tabletop?

Minimum raz w roku. Firmy o większym ryzyku powinny robić krótsze ćwiczenia kwartalne i ćwiczenia po dużych zmianach lub incydentach.

Od czego zacząć?

Zacznij od jednego scenariusza, który realnie może zatrzymać firmę. Ustal cele, zaproś właściwe osoby, przygotuj dokumenty i zadbaj o raport po ćwiczeniu.

Podsumowanie

Tabletop to cyberatak „na sucho”, który pozwala sprawdzić, czy firma umie działać pod presją bez realnego wyłączania systemów. Nie zastępuje testów technicznych, ale pokazuje luki w decyzjach, komunikacji, rolach, eskalacji, dostawcach i odtwarzaniu działania.

Największą wartością tabletop jest to, że ujawnia problemy przed prawdziwym incydentem. Firma może poprawić kontakty, playbooki, backup, komunikację, zgłoszenia, role i priorytety odtworzenia wtedy, gdy nie płaci jeszcze kosztu realnego kryzysu.

Najlepsza zasada brzmi: nie pytaj tylko, czy firma ma plan incident response. Sprawdź, czy ludzie potrafią go użyć, gdy poczta nie działa, klient dzwoni, zarząd czeka na decyzję, a zegar incydentu już tyka.

Źródła

Cyberhigiena w firmie: program szkoleniowy na 12 miesięcy

Program cyberhigieny na 12 miesięcy powinien być krótkim, regularnym i praktycznym cyklem działań, a nie jedną prezentacją raz w roku. Każdy miesiąc powinien wzmacniać inne zachowanie: phishing, MFA, hasła, dane, urządzenia, płatności, AI, dostęp, dostawców, ransomware, zgłaszanie incydentów i pracę z klientami. Celem nie jest straszenie pracowników, ale zbudowanie prostych nawyków: zatrzymaj się, sprawdź drugim kanałem, nie podawaj kodów, używaj zatwierdzonych narzędzi, zgłaszaj szybko i nie obchodź procedur pod presją.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Cyberhigiena w firmie to zestaw prostych, powtarzalnych zachowań, które zmniejszają ryzyko codziennych incydentów. Program szkoleniowy na 12 miesięcy powinien obejmować krótkie lekcje, ćwiczenia scenariuszowe, komunikaty przypominające, szkolenia rolowe, symulacje phishingu, testy wiedzy i mierzenie zachowań. Najważniejsze tematy to phishing, MFA, hasła, menedżer haseł, ochrona danych, bezpieczne udostępnianie plików, urządzenia, aktualizacje, praca zdalna, fałszywe płatności, AI, zgłaszanie incydentów, ransomware, backup, dostęp i dostawcy. Celem programu nie jest odhaczenie szkolenia, ale zmiana zachowań pracowników przez cały rok.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • zarząd i właściciele firm
  • HR, compliance, risk, legal i osoby odpowiedzialne za szkolenia
  • CISO, vCISO, CTO, CIO i dyrektorzy IT
  • managerowie finansów, HR, sprzedaży, obsługi klienta, marketingu i operacji
  • MŚP, które chcą zbudować prosty program cyberświadomości
  • firmy przygotowujące się do NIS2, ISO 27001, cyberubezpieczenia lub audytu klienta
  • software house’y, firmy SaaS, e-commerce i organizacje pracujące z danymi klientów
  • zespoły, które chcą ograniczyć phishing, fałszywe przelewy, błędy wysyłki danych i incydenty wynikające z braku zgłoszeń

Najważniejsze wnioski

  1. Skuteczna cyberhigiena wymaga powtarzania. Jedno szkolenie rocznie nie zmienia zachowań na długo.
  2. Program powinien być praktyczny. Pracownicy muszą ćwiczyć decyzje, które podejmują w codziennej pracy.
  3. Najlepszy model to 12 miesięcy krótkich działań: mikro-lekcje, ćwiczenia, przypomnienia, symulacje i raportowanie.
  4. Szkolenia powinny być rolowe. Finanse, HR, sprzedaż, IT, zarząd i obsługa klienta mają inne ryzyka.
  5. Mierz nie tylko kliknięcia w symulację phishingu, ale także liczbę zgłoszeń, czas reakcji, użycie drugiego kanału i zamykanie luk procesowych.

Czym jest cyberhigiena w firmie?

Cyberhigiena to codzienne nawyki, które ograniczają ryzyko cyberincydentu. Tak jak higiena osobista nie polega na jednorazowym działaniu, tak cyberhigiena nie polega na jednej prezentacji szkoleniowej. To regularne zachowania, które powinny być proste, zrozumiałe i powtarzalne.

Cyberhigiena obejmuje:

  • rozpoznawanie phishingu
  • bezpieczne korzystanie z MFA
  • używanie menedżera haseł
  • zgłaszanie podejrzanych wiadomości
  • ochronę danych klientów
  • sprawdzanie odbiorców i załączników
  • aktualizowanie urządzeń
  • korzystanie z zatwierdzonych narzędzi
  • weryfikację płatności drugim kanałem
  • zgłaszanie błędów bez zwłoki
  • bezpieczną pracę zdalną
  • stosowanie procedur dostępu i offboardingu

Dobra cyberhigiena nie wymaga od pracownika bycia ekspertem. Wymaga jasnych zasad, prostych narzędzi i kultury, w której zgłoszenie problemu jest normalne.

Dlaczego program powinien trwać 12 miesięcy?

Ludzie zapominają. Procesy się zmieniają. Pojawiają się nowe narzędzia, nowi pracownicy, nowe oszustwa i nowe presje biznesowe. Dlatego cyberświadomość nie może być jednorazowym wydarzeniem.

Program 12-miesięczny pozwala:

  • utrwalić nawyki
  • powtarzać najważniejsze komunikaty
  • dopasować szkolenia do ról
  • mierzyć zmianę zachowań
  • reagować na nowe zagrożenia
  • włączać nowych pracowników
  • budować kulturę zgłaszania
  • przygotować dowody dla audytu, klienta lub ubezpieczyciela

Najlepiej działa rytm: raz w miesiącu krótki temat, raz na kwartał ćwiczenie, raz na pół roku głębsza symulacja, raz w roku podsumowanie i plan na kolejny cykl.

Zasady dobrego programu cyberhigieny

1. Krótko, ale regularnie

Lepiej zrobić 12 krótkich lekcji po 10 minut niż jedną dwugodzinną prezentację raz w roku. Cyberhigiena działa wtedy, gdy jest obecna w codziennej pracy.

2. Scenariusze zamiast teorii

Pracownik powinien ćwiczyć realne sytuacje: fałszywa faktura, prośba o kod MFA, link do logowania, błędny odbiorca, telefon od „prezesa”, plik klienta w niezatwierdzonym narzędziu AI.

3. Role zamiast jednego szkolenia dla wszystkich

Finanse potrzebują ćwiczeń z płatności. HR potrzebuje ochrony danych kandydatów i pracowników. Sprzedaż potrzebuje bezpiecznej pracy z klientami. IT potrzebuje kont administratorów, logów i podatności. Zarząd potrzebuje decyzji, ryzyka i incydentów.

4. Bez obwiniania

Publiczne zawstydzanie pracowników zmniejsza liczbę zgłoszeń. Program powinien wzmacniać szybkie zgłaszanie, nawet jeśli ktoś kliknął, podał hasło albo wysłał plik do złego odbiorcy.

5. Mierz zachowania

Najważniejsze pytanie nie brzmi „czy ludzie obejrzeli szkolenie?”. Ważniejsze jest, czy zgłaszają phishing, czy używają drugiego kanału, czy nie podają kodów MFA i czy managerowie nie naciskają na obchodzenie procedur.

Fundament przed startem programu

Zanim firma uruchomi 12-miesięczny program, powinna przygotować podstawy organizacyjne. Bez nich szkolenie będzie oderwane od rzeczywistości.

Przygotuj:

  • właściciela programu cyberhigieny
  • listę grup wysokiego ryzyka
  • prosty kanał zgłaszania phishingu i incydentów
  • politykę haseł i MFA
  • procedurę płatności i drugiego kanału
  • zasady korzystania z narzędzi AI
  • zasady pracy z danymi klientów
  • checklistę offboardingu
  • plan komunikacji do pracowników
  • metryki startowe

Metryki startowe

  • ile osób ma aktywne MFA
  • ile osób używa menedżera haseł
  • ile phishingów jest zgłaszanych miesięcznie
  • ile trwa średnie zgłoszenie podejrzanej wiadomości
  • ile kont współdzielonych istnieje
  • ile procedur jest znanych managerom
  • ile działów przeszło szkolenie rolowe

Program szkoleniowy na 12 miesięcy

Miesiąc 1: Start programu i minimum cyberhigieny

Pierwszy miesiąc powinien wyjaśnić, dlaczego program istnieje, czego firma oczekuje od pracowników i jak zgłaszać podejrzane sytuacje.

Tematy

  • czym jest cyberhigiena
  • najczęstsze incydenty w firmach
  • kanał zgłaszania phishingu i błędów
  • zasada: zatrzymaj się, sprawdź, zgłoś
  • rola pracownika w ochronie firmy

Ćwiczenie

Krótki quiz: „co robisz w tej sytuacji?” z przykładami phishingu, fałszywej płatności, podejrzanego MFA i błędnego odbiorcy wiadomości.

Dowody

  • lista uczestników
  • wyniki quizu
  • komunikat zarządu o kulturze zgłaszania
  • uruchomiony kanał zgłoszeń

Miesiąc 2: Phishing, smishing i QR phishing

Drugi miesiąc skupia się na rozpoznawaniu wiadomości, które próbują wymusić kliknięcie, logowanie, pobranie pliku, podanie danych lub wykonanie płatności.

Tematy

  • phishing w e-mailu
  • SMS i komunikatory
  • QR kody prowadzące do fałszywych stron
  • przejęte konta dostawców i klientów
  • presja czasu jako sygnał ostrzegawczy

Ćwiczenie

Pracownicy oceniają 5 wiadomości i decydują: zgłosić, zweryfikować drugim kanałem, usunąć, otworzyć albo eskalować.

Dowody

  • raport ćwiczenia
  • liczba zgłoszeń phishingu po lekcji
  • lista najczęstszych błędów

Miesiąc 3: MFA, hasła i menedżer haseł

Trzeci miesiąc powinien zmniejszyć ryzyko przejęcia kont. Najważniejsze komunikaty: nie podawaj kodów MFA, nie zatwierdzaj nieoczekiwanych logowań, nie używaj tych samych haseł, korzystaj z menedżera haseł.

Tematy

  • czym jest MFA
  • dlaczego kod MFA jest jak hasło jednorazowe
  • nieoczekiwane powiadomienie MFA
  • menedżer haseł
  • zakaz współdzielenia haseł
  • konto firmowe kontra konto prywatne

Ćwiczenie

Symulacja telefonu od „IT” z prośbą o kod MFA oraz ćwiczenie tworzenia bezpiecznego wpisu w menedżerze haseł.

Dowody

  • raport aktywacji MFA
  • raport użycia menedżera haseł
  • liczba zgłoszonych podejrzanych MFA

Miesiąc 4: Dane klientów i bezpieczne udostępnianie plików

Czwarty miesiąc dotyczy błędów, które nie zawsze wyglądają jak atak: zły odbiorca, zły załącznik, zbyt szeroki link, dane w prywatnym narzędziu lub dokument z ukrytymi kolumnami.

Tematy

  • jakie dane firma chroni
  • dane klientów, dane osobowe i tajemnice firmy
  • bezpieczne udostępnianie plików
  • sprawdzanie odbiorcy i załącznika
  • zasady linków publicznych
  • co zrobić po wysłaniu danych do złej osoby

Ćwiczenie

Scenariusz: pracownik wysłał plik klienta do złego odbiorcy. Zespół ćwiczy zgłoszenie, ograniczenie skutków i komunikację wewnętrzną.

Dowody

  • procedura błędnej wysyłki danych
  • raport ćwiczenia
  • lista działań poprawiających udostępnianie plików

Miesiąc 5: Urządzenia, aktualizacje i praca zdalna

Piąty miesiąc wzmacnia podstawy pracy na laptopach, telefonach i zdalnych połączeniach. Pracownik powinien wiedzieć, że aktualizacja, blokada ekranu i zgłoszenie zgubionego urządzenia są elementem bezpieczeństwa firmy.

Tematy

  • aktualizacje systemu i aplikacji
  • blokada ekranu
  • szyfrowanie urządzeń
  • ochrona antywirusowa lub EDR
  • bezpieczne Wi-Fi
  • praca zdalna
  • zgubiony laptop lub telefon

Ćwiczenie

Checklista pracownika zdalnego: urządzenie, sieć, dane, rozmowy, ekran, dokumenty i zgłoszenia.

Dowody

  • raport urządzeń zgodnych z minimum
  • lista urządzeń wymagających aktualizacji
  • potwierdzenie zapoznania się z zasadami pracy zdalnej

Miesiąc 6: Fałszywe płatności, BEC i drugi kanał

Szósty miesiąc powinien być szczególnie praktyczny dla finansów, zarządu, administracji i osób zatwierdzających zamówienia. Celem jest ograniczenie ryzyka fałszywego przelewu i zmiany rachunku dostawcy.

Tematy

  • business email compromise
  • fałszywe faktury
  • zmiana rachunku dostawcy
  • pilny przelew od „zarządu”
  • deepfake i phishing głosowy
  • weryfikacja drugim kanałem
  • zasada dwóch osób

Ćwiczenie

Symulacja: dostawca wysyła nowy numer rachunku. Zespół finansów ćwiczy weryfikację, dokumentowanie i decyzję.

Dowody

  • procedura płatności
  • raport z ćwiczenia finansów
  • rejestr potwierdzeń drugim kanałem

Miesiąc 7: Ransomware i co robi pracownik w pierwszych minutach

Siódmy miesiąc uczy zachowań po zauważeniu zaszyfrowanych plików, dziwnego komunikatu, niedostępności systemów lub podejrzanego działania urządzenia.

Tematy

  • jak wygląda ransomware
  • czego nie robić po zauważeniu problemu
  • kiedy odłączyć urządzenie
  • kogo powiadomić
  • dlaczego backup i test restore są ważne
  • jak działa komunikacja kryzysowa

Ćwiczenie

Tabletop dla pracowników i managerów: „rano nie działa poczta, pliki mają dziwne rozszerzenia, a na ekranie jest żądanie okupu”.

Dowody

  • raport z tabletop
  • lista luk w komunikacji
  • aktualizacja ransomware playbook

Miesiąc 8: Shadow IT, Shadow AI i zatwierdzone narzędzia

Ósmy miesiąc skupia się na używaniu narzędzi poza kontrolą organizacji. To obejmuje prywatny dysk, prywatną pocztę, niezatwierdzone aplikacje, transkrypcje spotkań i publiczne narzędzia AI.

Tematy

  • czym jest Shadow IT
  • czym jest Shadow AI
  • jakich danych nie wolno wklejać do narzędzi AI
  • zatwierdzone narzędzia w firmie
  • jak zgłosić potrzebę nowego narzędzia
  • ryzyko prywatnych kont i prywatnych dysków

Ćwiczenie

Pracownicy oceniają 6 przypadków użycia AI i decydują, czy są dozwolone, ograniczone, zakazane lub wymagają zgody.

Dowody

  • lista zatwierdzonych narzędzi
  • zasady użycia AI
  • wyniki ćwiczenia decyzyjnego

Miesiąc 9: Dostęp, role, onboarding i offboarding

Dziewiąty miesiąc jest szczególnie ważny dla managerów. Uczy, że zmiana roli, projekt, odejście pracownika i zakończenie współpracy z dostawcą muszą oznaczać przegląd dostępów.

Tematy

  • zasada minimalnego dostępu
  • kto zatwierdza dostęp
  • kiedy odbierać dostęp
  • konta współdzielone
  • dostęp dostawców
  • checklista offboardingu

Ćwiczenie

Managerowie analizują listę dostępów przykładowego pracownika po zmianie roli i wskazują, co zostaje, co trzeba odebrać, a co wymaga wyjaśnienia.

Dowody

  • raport access review
  • wypełnione checklisty offboardingu
  • lista usuniętych kont współdzielonych

Miesiąc 10: Dostawcy, klient regulowany i bezpieczeństwo w umowach

Dziesiąty miesiąc pokazuje pracownikom i managerom, że cyberbezpieczeństwo dotyczy także relacji z dostawcami oraz klientami. Szczególnie ważne są firmy obsługujące klientów regulowanych lub przetwarzające dane klientów.

Tematy

  • który dostawca ma dostęp do danych
  • który dostawca ma dostęp administratora
  • jak zgłaszać incydenty u dostawcy
  • co sprawdzić przed zakupem narzędzia
  • wymagania klientów dotyczące bezpieczeństwa
  • ankiety bezpieczeństwa i dowody

Ćwiczenie

Scenariusz: nowy dostawca SaaS ma przetwarzać dane klientów. Zespół ocenia ryzyko, umowę, MFA, lokalizację danych, podwykonawców i plan wyjścia.

Dowody

  • rejestr dostawców
  • karta oceny dostawcy
  • lista pytań bezpieczeństwa do zakupów

Miesiąc 11: Incident response i szybkie zgłaszanie

Jedenasty miesiąc wzmacnia najważniejszy nawyk: zgłaszaj szybko. Pracownik musi wiedzieć, że szybkie zgłoszenie kliknięcia, podania hasła, utraty telefonu albo błędnej wysyłki pliku chroni firmę.

Tematy

  • co jest incydentem
  • co jest near miss
  • gdzie zgłaszać problem
  • co zgłosić po kliknięciu linku
  • co zgłosić po podaniu hasła
  • jak zachować dowody
  • dlaczego nie ukrywamy błędów

Ćwiczenie

Ćwiczenie „kliknąłem, co dalej?”. Pracownicy przechodzą przez pierwsze 15 minut po błędzie.

Dowody

  • raport z ćwiczenia
  • aktualizacja procedury zgłoszeń
  • metryka czasu zgłaszania

Miesiąc 12: Podsumowanie, audyt zachowań i plan na kolejny rok

Ostatni miesiąc powinien zamknąć cykl. Firma podsumowuje metryki, najczęstsze błędy, skuteczność zgłoszeń, luki procesowe i potrzeby na kolejny rok.

Tematy

  • co poprawiło się w ciągu roku
  • które działy wymagają dodatkowego wsparcia
  • które procedury nie działały
  • jakie zagrożenia pojawiły się w roku
  • jakie tematy wracają w kolejnym cyklu

Ćwiczenie

Roczna symulacja mieszana: phishing, MFA, fałszywy przelew, błędna wysyłka danych i incydent u dostawcy.

Dowody

  • raport roczny cyberświadomości
  • dashboard metryk
  • plan szkoleń na kolejny rok
  • lista działań naprawczych

Kwartalne ćwiczenia w programie

Kwartał 1: phishing, MFA i hasła

  • symulacja phishingu
  • ćwiczenie nieoczekiwanego MFA
  • przegląd użycia menedżera haseł
  • komunikat o szybkim zgłaszaniu

Kwartał 2: dane, płatności i praca zdalna

  • ćwiczenie błędnej wysyłki danych
  • ćwiczenie fałszywej faktury
  • przegląd zasad pracy zdalnej
  • sprawdzenie drugiego kanału w finansach

Kwartał 3: ransomware, AI i dostęp

  • tabletop ransomware
  • ćwiczenie Shadow AI
  • access review
  • checklista offboardingu

Kwartał 4: dostawcy, incydenty i podsumowanie

  • ćwiczenie incydentu u dostawcy
  • ćwiczenie zgłaszania incydentu
  • roczna symulacja mieszana
  • raport dla zarządu

Ścieżki rolowe w programie

Wszyscy pracownicy

  • phishing
  • MFA
  • hasła
  • dane
  • urządzenia
  • zgłaszanie incydentów

Finanse

  • fałszywe faktury
  • zmiana rachunku dostawcy
  • drugi kanał
  • BEC
  • deepfake i phishing głosowy

HR

  • dane kandydatów
  • dane pracowników
  • onboarding
  • offboarding
  • socjotechnika wobec HR

Sprzedaż i obsługa klienta

  • załączniki od klientów
  • udostępnianie ofert i umów
  • ochrona danych klientów
  • fałszywe zapytania
  • bezpieczne użycie CRM

IT, administratorzy i deweloperzy

  • konta uprzywilejowane
  • logi
  • podatności
  • secure coding
  • sekrety i klucze API
  • incident response

Zarząd i managerowie

  • ryzyko cyber jako ryzyko biznesowe
  • decyzje w incydencie
  • NIS2 i odpowiedzialność
  • komunikacja kryzysowa
  • budżet i akceptacja ryzyka

Jak mierzyć skuteczność programu?

Nie wystarczy mierzyć obecności na szkoleniu. Firma powinna mierzyć zmianę zachowań i jakość procesów.

Metryki udziału

  • procent pracowników po szkoleniu
  • procent nowych pracowników po onboardingu cyber
  • frekwencja na szkoleniach rolowych
  • wyniki testów wiedzy

Metryki zachowań

  • liczba zgłoszeń phishingu
  • czas od otrzymania wiadomości do zgłoszenia
  • liczba zgłoszonych nieoczekiwanych MFA
  • liczba potwierdzeń drugim kanałem w finansach
  • liczba zgłoszonych błędów bez zwłoki

Metryki ryzyka

  • liczba kont współdzielonych
  • liczba pracowników bez MFA
  • liczba urządzeń bez aktualizacji
  • liczba linków publicznych bez właściciela
  • liczba narzędzi używanych poza zatwierdzoną listą

Metryki zarządcze

  • najczęstsze błędy pracowników
  • działy o najwyższym ryzyku
  • działania naprawcze po ćwiczeniach
  • status programu 12-miesięcznego
  • luki wymagające decyzji budżetowej

Jakie dokumenty i dowody warto przygotować?

Dokumenty programu

  • roczny plan szkoleń
  • kalendarz mikro-lekcji
  • mapa szkoleń rolowych
  • lista tematów i właścicieli
  • plan komunikacji wewnętrznej
  • zasady mierzenia skuteczności

Procedury wspierające

  • procedura zgłaszania phishingu
  • procedura podejrzanego MFA
  • procedura płatności i zmiany rachunku
  • zasady korzystania z AI
  • polityka haseł i dostępu
  • checklista offboardingu
  • procedura incydentowa

Dowody szkoleniowe

  • listy uczestników
  • materiały szkoleniowe
  • wyniki quizów
  • raporty ćwiczeń
  • raporty symulacji phishingu
  • raporty szkoleń rolowych

Dowody zachowań

  • rejestr zgłoszeń phishingu
  • rejestr near miss
  • metryka czasu zgłaszania
  • raport drugiego kanału w finansach
  • raport access review
  • lista działań naprawczych

Plan wdrożenia programu w pierwsze 90 dni

Pierwsze 30 dni

  • wyznacz właściciela programu
  • ustal grupy wysokiego ryzyka
  • uruchom kanał zgłaszania phishingu i incydentów
  • przygotuj roczny kalendarz tematów
  • przygotuj zasady MFA, haseł, danych i płatności
  • wykonaj krótką ankietę startową
  • przeszkol wszystkich z minimum cyberhigieny
  • przygotuj pierwszy raport dla zarządu

Dni 31 do 60

  • przeprowadź szkolenie phishing i MFA
  • przygotuj szkolenia rolowe dla finansów i HR
  • wdroż lub uporządkuj menedżer haseł
  • sprawdź kanał zgłaszania w praktyce
  • przygotuj procedurę płatności
  • przygotuj zasady użycia AI
  • zmierz pierwsze zgłoszenia i czas reakcji
  • zaktualizuj plan po pierwszych wnioskach

Dni 61 do 90

  • przeprowadź pierwszą symulację phishingu
  • omów wyniki bez zawstydzania pracowników
  • przećwicz fałszywą płatność
  • przećwicz zgłoszenie podejrzanego MFA
  • wykonaj pierwszy raport cyberświadomości
  • zamknij najważniejsze luki procesowe
  • ustal kwartalny cykl raportowania
  • włącz szkolenie do onboardingu nowych osób

Najczęstsze błędy w programach cyberhigieny

Błąd 1: jedno szkolenie raz w roku

Jednorazowe szkolenie daje dokument do audytu, ale rzadko zmienia nawyki. Cyberhigiena wymaga powtarzania.

Błąd 2: za dużo teorii

Definicje phishingu i ransomware są mniej ważne niż decyzja, co zrobić po otrzymaniu podejrzanej wiadomości.

Błąd 3: brak szkoleń rolowych

Finanse, HR, sprzedaż, IT i zarząd mają inne ryzyka. Jeden materiał dla wszystkich pomija realne scenariusze.

Błąd 4: obwinianie pracowników

Strach przed karą powoduje opóźnione zgłoszenia. A w incydencie czas jest kluczowy.

Błąd 5: mierzenie tylko kliknięć

Kliknięcia w symulację phishingu są tylko jedną metryką. Ważniejsze jest szybkie zgłaszanie i poprawa procesów.

Błąd 6: brak prostego kanału zgłaszania

Jeżeli zgłoszenie jest trudne, pracownik odłoży je na później albo nie zgłosi problemu.

Błąd 7: managerowie obchodzą procedury

Jeżeli manager wymaga szybkiego działania mimo ryzyka, szkolenie nie zadziała. Procedury muszą obowiązywać także pod presją.

Błąd 8: brak aktualizacji programu

Program musi reagować na nowe ryzyka: deepfake, AI, QR phishing, przejęte konta dostawców i nowe narzędzia pracy.

Przykład biznesowy

Firma usługowa zatrudnia 75 osób. Ma Microsoft 365, CRM, system fakturowania, chmurę plików, zewnętrzną księgowość i kilku dostawców IT. Zarząd chce „szkolenie z phishingu”, bo pracownicy dostają coraz więcej podejrzanych wiadomości.

Krótki przegląd pokazuje, że problem jest szerszy. Pracownicy nie wiedzą, gdzie zgłaszać phishing. Finanse nie mają procedury zmiany rachunku dostawcy. MFA działa, ale pracownicy nie wiedzą, co zrobić przy nieoczekiwanym powiadomieniu. HR wysyła dane kandydatów przez zbyt szerokie linki. Część zespołu używa prywatnych narzędzi AI do podsumowań dokumentów.

Firma uruchamia program 12-miesięczny. Każdy miesiąc ma jeden temat, jedno krótkie ćwiczenie i jedną metrykę. Po pół roku rośnie liczba zgłoszeń phishingu, spada liczba niezweryfikowanych próśb o płatność, a managerowie zaczynają pytać o access review przy zmianie roli pracownika. Firma nie tylko szkoli ludzi, ale zmienia sposób pracy.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom budować programy cyberhigieny, które zmieniają zachowania i dają dowody do audytu, NIS2, ISO 27001, cyberubezpieczenia oraz wymagań klientów. Nie tworzymy szkolenia dla odhaczenia. Budujemy roczny program oparty na realnych scenariuszach, rolach, procedurach i metrykach.

Możemy wesprzeć organizację w obszarach:

  • program cyberhigieny na 12 miesięcy
  • audyt cyberświadomości i zachowań pracowników
  • szkolenia phishing, MFA, hasła, ransomware, AI i płatności
  • szkolenia rolowe dla finansów, HR, sprzedaży, IT i zarządu
  • symulacje phishingu z omówieniem
  • procedura zgłaszania phishingu i incydentów
  • procedura płatności i drugiego kanału
  • ćwiczenia deepfake, vishing, smishing i MFA fatigue
  • dashboard cyberświadomości dla zarządu
  • pakiet dowodów szkoleniowych do audytu i cyberubezpieczenia

Najlepszym pierwszym krokiem jest Cyber Hygiene Programme Workshop. W krótkim warsztacie można ustalić, jakie zachowania są najważniejsze dla firmy, które działy mają największe ryzyko i jak zaplanować 12 miesięcy szkoleń bez przeciążania pracowników.

FAQ

Czy program cyberhigieny musi trwać cały rok?

Nie musi, ale powinien być cykliczny. 12 miesięcy to praktyczny rytm, który pozwala utrwalać zachowania, mierzyć efekty i dopasować szkolenia do sezonu biznesowego.

Czy wystarczy szkolenie phishingowe?

Nie. Phishing jest ważny, ale cyberhigiena obejmuje też MFA, hasła, dane, płatności, urządzenia, AI, dostęp, dostawców i zgłaszanie incydentów.

Jak długo powinno trwać jedno szkolenie?

Mikro-lekcja może trwać 5 do 15 minut. Szkolenia rolowe i ćwiczenia scenariuszowe zwykle trwają dłużej, ale powinny być konkretne i praktyczne.

Czy warto robić symulacje phishingu?

Tak, jeśli są połączone z omówieniem, procedurą zgłaszania i poprawą procesów. Symulacja bez nauki może tylko stresować ludzi.

Jak szkolić zarząd?

Zarząd powinien ćwiczyć decyzje: ransomware, zgłoszenie incydentu, komunikacja z klientami, koszt przestoju, priorytety odtworzenia i akceptacja ryzyka.

Jak mierzyć skuteczność programu?

Mierz frekwencję, wyniki quizów, zgłoszenia phishingu, czas zgłoszenia, liczbę zgłoszonych podejrzanych MFA, potwierdzenia drugim kanałem i działania naprawcze po ćwiczeniach.

Czy karać pracowników za kliknięcie?

Nie powinno się budować programu na karaniu. Ważniejsze jest szybkie zgłaszanie, nauka i poprawa procesu. Konsekwencje powinny dotyczyć świadomego, powtarzalnego obchodzenia zasad.

Od czego zacząć?

Zacznij od właściciela programu, kanału zgłaszania, krótkiego szkolenia z minimum cyberhigieny i planu 12 miesięcy z tematami, ćwiczeniami i metrykami.

Podsumowanie

Cyberhigiena w firmie nie jest jednorazowym szkoleniem. To roczny rytm krótkich działań, które budują nawyki pracowników i zmniejszają ryzyko codziennych incydentów.

Dobry program 12-miesięczny obejmuje phishing, MFA, hasła, dane, urządzenia, płatności, ransomware, AI, dostęp, dostawców, zgłaszanie incydentów i podsumowanie efektów. Powinien być rolowy, praktyczny, mierzony i wspierany przez managerów.

Najlepsza zasada brzmi: nie oczekuj od pracowników perfekcji. Daj im jasne zasady, proste narzędzia, regularne ćwiczenia i bezpieczną ścieżkę zgłaszania, zanim mały błąd stanie się dużym incydentem.

Źródła

Jak przygotować firmę na pytania brokera ds. ubezpieczenia cybernetycznego?

Broker ds. ubezpieczenia cybernetycznego będzie pytał nie tylko o polisę, ale przede wszystkim o realny stan cyberbezpieczeństwa firmy. Przed rozmową warto przygotować odpowiedzi i dowody dotyczące MFA, backupu, testu odtworzenia, EDR, aktualizacji, kont administratorów, dostępu zdalnego, phishingu, procedury płatności, incident response, BCP, dostawców, historii incydentów, regulacji i zakresu oczekiwanej ochrony. Najważniejsze jest, aby nie odpowiadać „tak” na podstawie założeń. Każda deklaracja powinna mieć zakres, właściciela i dowód.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Firmę do rozmowy z brokerem ds. ubezpieczenia cybernetycznego trzeba przygotować tak samo jak do mini-audytu cyberbezpieczeństwa. Broker będzie chciał zrozumieć, jakie ryzyka ma firma, jakie dane i systemy są krytyczne, czy działają podstawowe zabezpieczenia, czy firma potrafi odtworzyć dane po ransomware i czy odpowiedzi w ankiecie ubezpieczeniowej są zgodne z rzeczywistością. Najważniejsze obszary to MFA, backup i test restore, ochrona urządzeń, aktualizacje, konta administratorów, dostęp zdalny, ochrona poczty, szkolenia, procedura płatności, dostawcy, incident response, ciągłość działania, historia incydentów i zgodność z regulacjami. Dobrze przygotowana firma nie zgaduje odpowiedzi. Pokazuje dowody.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • zarządy i właściciele firm planujących cyberubezpieczenie
  • CFO, COO, CEO i osoby odpowiedzialne za ryzyko oraz budżet
  • CISO, vCISO, CTO, CIO i dyrektorzy IT
  • compliance, risk, legal, DPO i audyt wewnętrzny
  • MŚP przygotowujące się do pierwszej rozmowy z brokerem
  • firmy odnawiające polisę cyber
  • organizacje po incydencie, które chcą poprawić swoją ubezpieczalność
  • dostawcy IT, firmy SaaS, software house’y i podmioty przetwarzające dane klientów
  • firmy przygotowujące się do NIS2, ISO 27001, audytu klienta albo cyber risk assessment

Najważniejsze wnioski

  1. Rozmowa z brokerem ds. ubezpieczenia cybernetycznego to nie tylko rozmowa o cenie polisy. To rozmowa o realnym ryzyku cyber firmy.
  2. Broker może pytać o kontrole techniczne, procesy, ludzi, dostawców, historię incydentów, ciągłość działania i dowody.
  3. Najważniejsze pytania zwykle dotyczą MFA, backupu, testu odtworzenia, EDR, ransomware, aktualizacji, administratorów, dostępu zdalnego i incident response.
  4. Nie należy deklarować zabezpieczeń, które nie są wdrożone albo działają tylko częściowo. Lepiej opisać stan faktyczny, wyjątki i plan naprawczy.
  5. Najlepsze przygotowanie to pakiet dowodów: raport MFA, test restore, access review, raport EDR, rejestr dostawców, plan incydentu, szkolenia i raport dla zarządu.

Dlaczego broker zadaje tyle pytań?

Broker pomaga dobrać polisę do ryzyka firmy. Żeby to zrobić, musi zrozumieć, co firma robi, jakie dane przetwarza, od jakich systemów zależy, jakie ma przychody, jakich ma klientów, czy była już po incydencie i czy ma podstawowe zabezpieczenia.

W praktyce broker może pełnić rolę tłumacza między firmą a ubezpieczycielem. Firma mówi językiem biznesu i IT. Ubezpieczyciel mówi językiem ryzyka, limitów, wyłączeń, ankiet i wymogów ochrony. Dobry broker pomaga przygotować odpowiedzi, ale nie powinien zgadywać stanu zabezpieczeń za firmę.

Broker będzie chciał ustalić:

  • czy firma jest ubezpieczalna w obecnym stanie
  • jakiego zakresu ochrony potrzebuje
  • jakie scenariusze szkody są najbardziej realne
  • czy firma spełnia minimalne wymagania ubezpieczyciela
  • które odpowiedzi w ankiecie wymagają dowodów
  • czy trzeba poprawić zabezpieczenia przed złożeniem wniosku
  • czy polisa powinna obejmować przerwy w działalności, dostawców, BEC, ransomware i koszty reakcji

Najważniejsza zasada: broker nie powinien dostawać życzeniowych odpowiedzi

Największym problemem przy cyberubezpieczeniu nie jest brak idealnych zabezpieczeń. Problemem jest deklarowanie czegoś, czego firma nie potrafi udowodnić. Jeżeli firma odpowie, że ma MFA, a MFA działa tylko dla części użytkowników, odpowiedź jest niepełna. Jeżeli firma odpowie, że ma backup, ale nigdy nie wykonała testu odtworzenia, to odpowiedź też może być myląca.

Każda odpowiedź powinna mieć trzy elementy

  • Stan: wdrożone, częściowo wdrożone, planowane, nie dotyczy
  • Zakres: które systemy, użytkownicy, lokalizacje i dostawcy są objęci
  • Dowód: raport, konfiguracja, procedura, test, protokół, zrzut albo decyzja zarządu

Przykład

Słaba odpowiedź: „Mamy MFA”.

Dobra odpowiedź: „MFA działa dla Microsoft 365, VPN, kont administratorów i systemu finansowego. Nie obejmuje dwóch kont technicznych opisanych w rejestrze wyjątków. Ostatni raport MFA pochodzi z czerwca 2026 r.”.

Jakie informacje przygotować przed pierwszą rozmową?

1. Profil firmy

Broker będzie potrzebował podstawowego obrazu firmy. To nie jest formalność, bo branża, przychody, liczba pracowników i rodzaj danych wpływają na ocenę ryzyka.

Przygotuj:

  • branżę i główne usługi
  • liczbę pracowników
  • roczne przychody
  • kraje działalności
  • liczbę klientów
  • udział sprzedaży online
  • najważniejsze systemy
  • najważniejszych dostawców IT
  • informację, czy firma działa w sektorze regulowanym

2. Dane i systemy krytyczne

Ubezpieczyciel chce wiedzieć, co może zostać utracone, zaszyfrowane, skradzione albo zatrzymane.

Przygotuj:

  • listę danych klientów
  • listę danych osobowych
  • listę danych finansowych
  • listę tajemnic przedsiębiorstwa
  • system poczty
  • CRM
  • ERP lub system finansowy
  • systemy produkcyjne lub operacyjne
  • chmurę plików
  • backup

3. Historia incydentów

Broker prawdopodobnie zapyta o wcześniejsze incydenty, roszczenia, ransomware, naruszenia danych, przejęcia kont, fałszywe przelewy i near miss. Warto przygotować uczciwy opis oraz działania naprawcze.

Przygotuj:

  • rejestr incydentów z ostatnich lat
  • informacje o zgłoszeniach do organów, jeśli były
  • informacje o roszczeniach klientów, jeśli były
  • informacje o fałszywych przelewach, jeśli były
  • działania naprawcze po incydentach
  • obecny status luk

20 pytań, na które firma powinna znać odpowiedź

1. Czy MFA działa na kontach krytycznych?

To jedno z najczęściej pojawiających się pytań. Broker może zapytać, czy MFA działa na poczcie, VPN, kontach administratorów, chmurze, systemach finansowych, backupie i dostępie dostawców.

Przygotuj odpowiedź:

  • gdzie MFA jest wdrożone
  • gdzie MFA nie jest wdrożone
  • czy są wyjątki
  • kto zaakceptował wyjątki
  • kiedy był ostatni przegląd MFA

Dowód: raport MFA, lista wyjątków i decyzje akceptujące ryzyko.

2. Czy backup jest testowany?

Broker może zapytać, czy firma wykonuje kopie zapasowe, ale ważniejsze jest pytanie, czy firma potrafi odtworzyć dane i systemy. Backup bez testu restore jest słabym dowodem odporności.

Przygotuj odpowiedź:

  • co jest objęte backupem
  • jak często wykonywane są kopie
  • gdzie są przechowywane
  • czy są odseparowane od produkcji
  • kiedy był ostatni test odtworzenia
  • jaki był wynik testu

Dowód: raport backupu, raport testu odtworzenia i lista działań naprawczych.

3. Czy firma ma plan ransomware?

Ransomware jest jednym z najważniejszych scenariuszy ubezpieczeniowych. Broker może pytać, jak firma wykrywa, izoluje, odtwarza i komunikuje incydent ransomware.

Przygotuj odpowiedź:

  • kto uruchamia sztab kryzysowy
  • jak izolowane są urządzenia
  • jak chronione są kopie zapasowe
  • kto podejmuje decyzje zarządcze
  • jak działa komunikacja bez poczty firmowej
  • czy scenariusz był ćwiczony

Dowód: ransomware playbook i raport z ćwiczenia tabletop.

4. Czy firma ma EDR, antywirus lub ochronę urządzeń?

Broker może pytać, czy urządzenia są chronione, kto widzi alerty i czy ochrona obejmuje wszystkie laptopy, serwery i stacje robocze.

Przygotuj odpowiedź:

  • jakie narzędzie chroni urządzenia
  • jaki procent urządzeń jest objęty
  • kto reaguje na alerty
  • czy są urządzenia poza ochroną
  • czy dostawca IT ma dostęp do konsoli

Dowód: raport pokrycia EDR lub antywirusa, raport alertów i lista wyjątków.

5. Czy aktualizacje są zarządzane?

Ubezpieczyciele interesują się podatnościami, bo wiele incydentów zaczyna się od niezałatanych systemów, VPN, serwerów, urządzeń sieciowych lub aplikacji internetowych.

Przygotuj odpowiedź:

  • czy aktualizacje są automatyczne
  • jak szybko łatane są podatności krytyczne
  • czy skanowane są systemy zewnętrzne
  • czy są wyjątki
  • kto odpowiada za patch management

Dowód: raport podatności, raport aktualizacji i rejestr wyjątków.

6. Czy konta administratorów są kontrolowane?

Konta administratorów są jednym z największych źródeł ryzyka. Broker może pytać, ilu jest administratorów, czy mają MFA, czy używają kont imiennych i czy dostęp jest przeglądany.

Przygotuj odpowiedź:

  • lista administratorów
  • czy administratorzy mają MFA
  • czy konta są imienne
  • czy konta administracyjne są oddzielone od zwykłych
  • kiedy był ostatni przegląd

Dowód: raport kont administratorów i raport access review.

7. Czy dostęp zdalny jest zabezpieczony?

Dostęp zdalny, VPN, RDP i narzędzia wsparcia technicznego są częstym przedmiotem pytań brokera. Szczególnie ważny jest dostęp dostawców.

Przygotuj odpowiedź:

  • jakie kanały dostępu zdalnego istnieją
  • czy działa MFA
  • czy RDP jest wystawione do internetu
  • czy dostęp dostawców jest ograniczony
  • czy sesje są logowane
  • czy dostęp jest czasowy czy stały

Dowód: opis dostępu zdalnego, raport MFA, lista dostawców z dostępem i logi administracyjne.

8. Czy poczta jest zabezpieczona przed phishingiem i podszyciem?

Poczta jest jednym z głównych wektorów ataku. Broker może pytać o ochronę antyphishingową, filtrowanie malware, reguły przekazywania poczty, SPF, DKIM, DMARC i szkolenia.

Przygotuj odpowiedź:

  • jakie zabezpieczenia poczty są włączone
  • czy działa MFA
  • czy skonfigurowano SPF, DKIM i DMARC
  • czy sprawdzane są reguły przekazywania poczty
  • jak pracownicy zgłaszają phishing

Dowód: raport konfiguracji poczty, raport phishingu i status SPF, DKIM oraz DMARC.

9. Czy firma ma procedurę płatności?

Broker powinien wiedzieć, czy firma ma ryzyko business email compromise i fałszywych przelewów. Nie każda polisa obejmuje taki scenariusz, więc trzeba omówić to wprost.

Przygotuj odpowiedź:

  • czy zmiana rachunku dostawcy wymaga drugiego kanału
  • czy większe przelewy zatwierdzają dwie osoby
  • czy finanse są szkolone z fałszywych faktur
  • czy prośby od zarządu też podlegają procedurze
  • czy firma miała wcześniej próby oszustw płatniczych

Dowód: procedura płatności, rejestr zmian rachunków i potwierdzenia drugim kanałem.

10. Czy firma ma incident response plan?

Broker może pytać, co firma zrobi w pierwszej godzinie po incydencie. Plan reagowania nie musi mieć 100 stron, ale musi być aktualny i znany osobom decyzyjnym.

Przygotuj odpowiedź:

  • kto kwalifikuje incydent
  • kto informuje zarząd
  • kto kontaktuje ubezpieczyciela
  • kto kontaktuje prawnika i dostawcę reagowania
  • gdzie są kontakty awaryjne
  • czy plan był ćwiczony

Dowód: incident response plan, lista kontaktów awaryjnych i raport ćwiczenia.

11. Czy firma ma plan ciągłości działania?

Polisa może obejmować przerwy w działalności, ale broker musi rozumieć, ile kosztuje przestój i czy firma umie ograniczyć jego czas.

Przygotuj odpowiedź:

  • które procesy są krytyczne
  • ile kosztuje dzień przestoju
  • jakie są RTO i RPO
  • które systemy wracają jako pierwsze
  • czy istnieje plan pracy ręcznej
  • czy plan był testowany

Dowód: BCP, DRP, test restore i analiza kosztu przestoju.

12. Czy dane są klasyfikowane i chronione?

Broker może zapytać, jakie dane firma przetwarza i czy są one zabezpieczone. Im więcej danych osobowych, finansowych, medycznych, klientów lub tajemnic przedsiębiorstwa, tym ważniejsze są kontrole dostępu i szyfrowanie.

Przygotuj odpowiedź:

  • jakie dane przetwarza firma
  • gdzie są przechowywane
  • kto ma do nich dostęp
  • czy dane są szyfrowane
  • czy dostęp jest przeglądany
  • czy dane są bezpiecznie usuwane

Dowód: klasyfikacja danych, raport szyfrowania i raport dostępu do danych.

13. Czy pracownicy są szkoleni?

Broker może pytać o szkolenia z phishingu, haseł, MFA, ransomware, ochrony danych i płatności. Dla działów finansów, HR i zarządu warto mieć szkolenia rolowe.

Przygotuj odpowiedź:

  • kiedy było ostatnie szkolenie
  • jakie tematy objęło
  • kto uczestniczył
  • czy były testy wiedzy
  • czy są szkolenia dla nowych pracowników
  • czy finanse mają szkolenie z BEC

Dowód: lista uczestników, materiały, wyniki testów i plan szkoleń.

14. Czy dostawcy są kontrolowani?

Broker może zapytać o chmurę, hosting, IT, backup, SOC, MDR, księgowość, CRM, ERP i innych dostawców, którzy mają dostęp do danych lub systemów.

Przygotuj odpowiedź:

  • lista dostawców krytycznych
  • który dostawca ma dostęp do danych
  • który dostawca ma dostęp administratora
  • czy dostawcy mają MFA
  • czy umowy zawierają obowiązek zgłaszania incydentów
  • czy istnieje plan wyjścia dla dostawców krytycznych

Dowód: rejestr dostawców, oceny ryzyka i klauzule bezpieczeństwa w umowach.

15. Czy firma wie, czego oczekuje od polisy?

Broker nie powinien dobierać zakresu w ciemno. Firma powinna wiedzieć, jakie scenariusze chce objąć ochroną.

Przygotuj odpowiedź:

  • czy potrzebna jest ochrona pierwszej strony
  • czy potrzebna jest ochrona odpowiedzialności wobec osób trzecich
  • czy firma chce ochrony dla przerw w działalności
  • czy istotny jest BEC i fałszywe przelewy
  • czy ważne są incydenty u dostawców
  • czy firma potrzebuje dostępu do breach hotline

Dowód: lista scenariuszy ryzyka i rekomendowany zakres ochrony.

16. Czy firma rozumie wyłączenia?

Nie wystarczy wiedzieć, co polisa obejmuje. Trzeba też wiedzieć, czego nie obejmuje. To często najważniejszy element rozmowy z brokerem.

Zapytaj brokera o:

  • wyłączenia dotyczące braku wymaganych zabezpieczeń
  • wyłączenia dotyczące wojny i działań państw
  • wyłączenia dotyczące znanych incydentów
  • wyłączenia dotyczące BEC i social engineering fraud
  • wyłączenia dotyczące dostawców
  • limity podlimitów
  • udział własny
  • obowiązki po incydencie

Dowód: notatka z analizy warunków polisy i lista pytań do brokera.

17. Czy firma wie, kiedy kontaktować ubezpieczyciela po incydencie?

W wielu polisach ważne są procedury zgłaszania szkody i korzystania z zatwierdzonych dostawców. Firma powinna wiedzieć, kto dzwoni, kiedy i pod jaki numer.

Przygotuj:

  • kontakt do brokera
  • kontakt do breach hotline
  • numer polisy
  • instrukcję zgłoszenia szkody
  • listę osób uprawnionych do kontaktu
  • zasady korzystania z dostawców incident response

Dowód: karta kontaktu ubezpieczeniowego w planie incident response.

18. Czy odpowiedzi w ankiecie mają właścicieli?

Ankieta ubezpieczeniowa nie powinna być wypełniana przez jedną osobę z pamięci. Każdy obszar powinien mieć właściciela, który potwierdza odpowiedź.

Przypisz właścicieli dla:

  • MFA i tożsamości
  • backupu
  • EDR
  • aktualizacji
  • poczty
  • incident response
  • dostawców
  • płatności
  • zgodności regulacyjnej
  • historii incydentów

Dowód: macierz odpowiedzialności do ankiety.

19. Czy firma ma plan zamknięcia luk przed polisą lub odnowieniem?

Nie każda luka musi blokować polisę. Ważne, aby była znana, opisana, priorytetyzowana i miała właściciela oraz termin.

Plan powinien zawierać:

  • opis luki
  • wpływ na ryzyko
  • właściciela
  • termin
  • koszt
  • status
  • dowód zamknięcia

Dowód: plan działań naprawczych do polisy lub odnowienia.

20. Czy zarząd rozumie ryzyko i zakres polisy?

Cyberubezpieczenie jest decyzją zarządczą. Zarząd powinien znać ryzyka, limity, wyłączenia, wymagane zabezpieczenia i działania, które trzeba wykonać po zakupie polisy.

Raport dla zarządu powinien zawierać:

  • najważniejsze ryzyka cyber
  • zakres rekomendowanej polisy
  • limity i podlimity
  • najważniejsze wyłączenia
  • wymagania ubezpieczyciela
  • luki do zamknięcia
  • koszt działań naprawczych
  • rekomendację decyzji

Dowód: raport dla zarządu i decyzje budżetowe.

Jak przygotować pakiet dla brokera?

Pakiet podstawowy

  • opis firmy i branży
  • przychody i liczba pracowników
  • lista systemów krytycznych
  • lista danych krytycznych
  • historia incydentów
  • obecne polisy i zakres ochrony
  • oczekiwany zakres nowej polisy

Pakiet techniczny

  • raport MFA
  • raport backupu
  • raport testu odtworzenia
  • raport EDR lub antywirusa
  • raport podatności
  • lista kont administratorów
  • opis dostępu zdalnego
  • status SPF, DKIM i DMARC

Pakiet procesowy

  • incident response plan
  • ransomware playbook
  • procedura płatności
  • procedura phishingu
  • BCP i DRP
  • access review
  • rejestr dostawców
  • plan szkoleń

Pakiet zarządczy

  • rejestr ryzyk cyber
  • analiza kosztu przestoju
  • raport luk wobec ankiety
  • plan działań naprawczych
  • notatka o wyłączeniach i limitach
  • decyzje zarządu o akceptacji ryzyka

Jak nie wpaść w pułapkę ankiety?

Nie odpowiadaj „tak”, gdy odpowiedź brzmi „częściowo”

Jeżeli MFA działa tylko dla poczty, ale nie działa dla VPN i administratorów, odpowiedź powinna wskazywać zakres. „Częściowo” z planem naprawczym jest bezpieczniejsze niż „tak” bez pokrycia.

Nie myl narzędzia z działającym procesem

Firma może mieć EDR, ale nikt nie reaguje na alerty. Może mieć backup, ale nikt go nie testuje. Może mieć plan incydentu, ale nikt go nie zna.

Nie pomijaj wyjątków

Wyjątki powinny być opisane i zaakceptowane. Ukryte wyjątki mogą wrócić jako problem po incydencie.

Nie pozwól, aby ankietę wypełnił sam dostawca IT

Dostawca IT może znać konfigurację, ale nie zna wszystkich procesów biznesowych, historii incydentów, płatności, danych, umów i ryzyk zarządczych.

Nie traktuj brokera jak audytora technicznego

Broker może pomóc w pytaniach i rynku polis, ale firma powinna sama potwierdzić stan zabezpieczeń albo skorzystać z niezależnego przeglądu.

Pytania, które firma powinna zadać brokerowi

  • jakie minimalne zabezpieczenia są wymagane przez ubezpieczycieli?
  • które odpowiedzi w ankiecie są krytyczne dla uzyskania ochrony?
  • czy polisa obejmuje ransomware?
  • czy polisa obejmuje business email compromise i fałszywe przelewy?
  • czy polisa obejmuje przerwy w działalności?
  • czy polisa obejmuje incydenty u dostawców?
  • czy polisa obejmuje koszty prawne, PR i forensic?
  • czy firma musi korzystać z dostawców wskazanych przez ubezpieczyciela?
  • jaki jest termin zgłoszenia szkody?
  • jakie są najważniejsze wyłączenia?
  • czy są podlimity na konkretne scenariusze?
  • co trzeba utrzymać przez cały okres polisy?

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela przygotowania do rozmowy z brokerem
  • zbierz podstawowe dane o firmie, systemach, danych i przychodach
  • poproś brokera o przykładową ankietę lub listę pytań
  • sprawdź MFA na kontach krytycznych
  • sprawdź zakres backupu
  • sprawdź EDR lub ochronę urządzeń
  • przygotuj historię incydentów i near miss
  • stwórz listę odpowiedzi pewnych, częściowych i bez dowodów

Dni 31 do 60

  • wykonaj test odtworzenia danych
  • wykonaj access review
  • sprawdź konta administratorów i dostawców
  • uzupełnij incident response plan
  • przygotuj procedurę płatności i zmiany rachunku dostawcy
  • przeszkol pracowników z phishingu, MFA i BEC
  • oceń dostawców krytycznych
  • zbierz pakiet dowodów dla brokera

Dni 61 do 90

  • przeprowadź ćwiczenie ransomware albo przejęcia poczty
  • zamknij najważniejsze luki z ankiety
  • przygotuj raport dla zarządu
  • porównaj zakres polisy z realnymi scenariuszami ryzyka
  • omów z brokerem wyłączenia i podlimity
  • ustal procedurę kontaktu po incydencie
  • uruchom repozytorium dowodów
  • zaplanuj działania przed odnowieniem polisy

Jak mierzyć gotowość do rozmowy z brokerem?

Metryki techniczne

  • procent kont krytycznych z MFA
  • data ostatniego testu odtworzenia
  • procent urządzeń objętych EDR lub antywirusem
  • liczba kont administratorów
  • liczba podatności wysokiego ryzyka po terminie
  • liczba systemów bez właściciela

Metryki procesowe

  • data ostatniego access review
  • liczba kont byłych pracowników
  • liczba dostawców bez oceny ryzyka
  • liczba pracowników po szkoleniu
  • data ostatniego ćwiczenia incydentowego
  • liczba otwartych działań naprawczych

Metryki ubezpieczeniowe

  • liczba pytań z odpowiedzią „tak” bez dowodu
  • liczba odpowiedzi „częściowo”
  • liczba wyjątków do opisania brokerowi
  • liczba luk wymagających zamknięcia przed odnowieniem
  • liczba wyłączeń w polisie dotyczących realnych scenariuszy firmy

Najczęstsze błędy firm przed rozmową z brokerem

Błąd 1: rozmowa tylko o cenie

Najtańsza polisa może mieć wyłączenia, podlimity i warunki, które nie pasują do realnego ryzyka firmy.

Błąd 2: brak zespołu do ankiety

Ankietę wypełnia jedna osoba, chociaż odpowiedzi wymagają wiedzy IT, finansów, legal, zarządu i dostawców.

Błąd 3: brak dowodów

Firma deklaruje MFA, backup, EDR i szkolenia, ale nie ma raportów ani testów.

Błąd 4: pomijanie dostawców

Incydent u dostawcy IT, chmury albo backupu może zatrzymać firmę, a polisa może mieć szczególne warunki dotyczące dostawców.

Błąd 5: nieuwzględnienie BEC

Fałszywe przelewy i social engineering fraud nie zawsze są objęte standardową polisą cyber. Trzeba zapytać o to wprost.

Błąd 6: brak testu backupu

Backup jest wpisany w ankiecie jako działający, ale firma nie wie, czy potrafi odtworzyć dane po ransomware.

Błąd 7: brak procedury kontaktu po incydencie

Po incydencie firma dopiero szuka numeru do brokera, ubezpieczyciela, prawnika i dostawcy reagowania.

Błąd 8: brak aktualizacji informacji przy zmianach

Firma zmienia chmurę, dostawcę, model pracy albo zakres systemów, ale nie aktualizuje informacji przekazanych brokerowi.

Przykład biznesowy

Firma e-commerce zatrudnia 55 osób. Korzysta z platformy sklepowej, systemu płatności, magazynu, Microsoft 365, CRM, narzędzi marketingowych i zewnętrznego dostawcy IT. Zarząd chce kupić cyberubezpieczenie, bo rosną wymagania klientów i pojawiły się próby phishingu.

Broker przesyła ankietę. Firma początkowo odpowiada „tak” na większość pytań, bo ma dostawcę IT i backup. Po wewnętrznym przeglądzie okazuje się, że MFA działa tylko w Microsoft 365, ale nie obejmuje panelu sklepu i kont dostawcy IT. Backup sklepu istnieje, ale test restore nie był wykonany od ponad roku. Nie ma formalnej procedury zmiany rachunku dostawcy. EDR obejmuje tylko laptopy, a nie serwer aplikacyjny. Incident response plan jest w wersji roboczej.

Firma nie wysyła ankiety od razu. W ciągu 60 dni uzupełnia MFA, wykonuje test restore, porządkuje konta administratorów, wdraża procedurę płatności, szkoli finanse i przygotowuje pakiet dowodów. Rozmowa z brokerem zmienia się z negocjacji ceny w rozmowę o realnym ryzyku, zakresie polisy i warunkach, które firma potrafi spełnić.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom przygotować się do rozmowy z brokerem ds. ubezpieczenia cybernetycznego w sposób praktyczny, oparty na ryzyku i dowodach. Sprawdzamy, czy odpowiedzi w ankiecie są zgodne z rzeczywistością, gdzie są luki i jakie działania warto wykonać przed zakupem lub odnowieniem polisy.

Możemy wesprzeć organizację w obszarach:

  • cyber insurance readiness assessment
  • przegląd ankiety brokera lub ubezpieczyciela
  • weryfikacja MFA, backupu, EDR, dostępu zdalnego i kont administratorów
  • test odtworzenia danych
  • access review i przegląd dostawców
  • incident response plan i ransomware playbook
  • procedura płatności i business email compromise
  • pakiet dowodów dla brokera
  • raport dla zarządu z lukami, ryzykami i planem działań
  • roadmapa na 30, 60, 90 dni i do odnowienia polisy

Najlepszym pierwszym krokiem jest Cyber Insurance Broker Readiness Workshop. W krótkim warsztacie można sprawdzić, które odpowiedzi są pewne, gdzie brakuje dowodów, które luki mogą wpływać na polisę i jakie pytania trzeba zadać brokerowi przed wyborem ochrony.

FAQ

Czy broker ds. ubezpieczenia cybernetycznego będzie sprawdzał techniczne zabezpieczenia?

Broker może pytać o techniczne zabezpieczenia, ale zwykle nie wykonuje pełnego audytu technicznego. Firma powinna sama przygotować dowody albo wykonać niezależny przegląd przed złożeniem ankiety.

Co przygotować przed pierwszą rozmową z brokerem?

Profil firmy, listę systemów i danych krytycznych, historię incydentów, obecne zabezpieczenia, raport MFA, informacje o backupie, dostawcach, incident response i oczekiwanym zakresie polisy.

Czy można odpowiedzieć „tak”, jeśli zabezpieczenie działa tylko częściowo?

Nie powinno się tak robić. Lepiej opisać zakres, wyjątki i plan naprawczy. Odpowiedź „tak” bez doprecyzowania może być myląca.

Jakie pytanie jest najważniejsze w ankiecie?

Najczęściej kluczowe są pytania o MFA, backup i ransomware. W praktyce bardzo ważne są też EDR, dostęp zdalny, konta administratorów, aktualizacje, dostawcy i incident response.

Czy polisa cyber obejmuje fałszywe przelewy?

Nie zawsze. Business email compromise, social engineering fraud i fałszywe przelewy mogą wymagać osobnego zakresu lub mieć podlimity oraz szczególne warunki.

Czy trzeba mieć test restore?

Tak, warto go mieć. Backup bez testu odtworzenia jest słabym dowodem. Broker i ubezpieczyciel mogą pytać nie tylko o kopie, ale też o zdolność odzyskania danych.

Kto powinien uczestniczyć w przygotowaniu ankiety?

IT, security, finanse, legal, risk, HR, zarząd i kluczowi dostawcy IT. Jedna osoba rzadko zna pełny obraz zabezpieczeń i ryzyk.

Od czego zacząć?

Zacznij od porównania pytań brokera z faktami: co jest wdrożone, co działa częściowo, czego nie ma i jakie dowody potwierdzają odpowiedzi.

Podsumowanie

Przygotowanie do rozmowy z brokerem ds. ubezpieczenia cybernetycznego powinno być krótkim, praktycznym przeglądem cyberodporności firmy. Broker będzie pytał o ryzyka, zabezpieczenia, dowody, dostawców, incydenty i oczekiwany zakres ochrony.

Najważniejsze obszary to MFA, backup z testem odtworzenia, EDR, aktualizacje, administratorzy, dostęp zdalny, poczta, phishing, płatności, incident response, ciągłość działania, dostawcy i historia incydentów.

Najlepsza zasada brzmi: nie przygotowuj się do polisy przez zgadywanie odpowiedzi. Przygotuj fakty, dowody i plan zamknięcia luk. Wtedy rozmowa z brokerem staje się elementem zarządzania ryzykiem, a nie tylko zakupem kolejnej usługi.

Źródła

  • NCSC: Cyber insurance guidance - źródło dotyczące pytań przed zakupem cyberubezpieczenia, zabezpieczeń, wpływu incydentu, zakresu polisy, wyłączeń, usług incident response, roszczeń i odnowień.
  • NCSC: Mitigating malware and ransomware attacks - źródło dotyczące ransomware, odseparowanych kopii zapasowych, MFA, aktualizacji, ochrony dostępu zdalnego, przygotowania planu incydentu i ćwiczeń.
  • FTC: Cybersecurity for Small Business - źródło dotyczące podstaw cyberbezpieczeństwa dla małych firm, MFA, backupu, aktualizacji, ograniczania dostępu, szyfrowania, szkoleń, cyber insurance, phishingu, ransomware i bezpieczeństwa dostawców.
  • NIST Cybersecurity Framework 2.0 - źródło pomocnicze dla zarządzania ryzykiem cyber przez funkcje Govern, Identify, Protect, Detect, Respond i Recover.
  • CIS Critical Security Controls Version 8.1 - źródło pomocnicze dla priorytetowych kontroli: inwentaryzacji, ochrony danych, zarządzania kontami, kontroli dostępu, podatności, logów, odzyskiwania danych, szkoleń, dostawców i incident response.
  • ISO/IEC 27001:2022 - Information security management systems - źródło pomocnicze dla systemowego zarządzania bezpieczeństwem informacji, ryzykiem, kontrolami, dowodami, audytami i ciągłym doskonaleniem.

Cyber Resilience Act: co producenci produktów cyfrowych muszą przygotować w 2026 i 2027

Cyber Resilience Act oznacza, że producenci oprogramowania, sprzętu i produktów z elementami cyfrowymi muszą przygotować bezpieczeństwo produktu jako proces, a nie jednorazowy test. W 2026 roku kluczowe jest przygotowanie obsługi podatności, raportowania aktywnie wykorzystywanych podatności i poważnych incydentów, rejestru produktów, klasyfikacji produktów, SBOM, procesu aktualizacji, kontaktu do zgłoszeń i dowodów. W 2027 roku trzeba domknąć ocenę ryzyka, dokumentację techniczną, ocenę zgodności, instrukcje dla użytkowników, okres wsparcia, oznakowanie CE i gotowość do kontroli rynku.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Cyber Resilience Act, czyli CRA, zmienia podejście do bezpieczeństwa produktów cyfrowych w Unii Europejskiej. Producent oprogramowania, sprzętu, aplikacji, komponentu albo produktu połączonego z siecią musi przygotować nie tylko bezpieczny produkt na dzień sprzedaży, ale też proces utrzymania bezpieczeństwa w całym okresie wsparcia. W 2026 roku najważniejsze jest przygotowanie obsługi podatności i raportowania aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu. W 2027 roku producenci muszą domknąć pełną gotowość: ocenę ryzyka cyberbezpieczeństwa, zasadnicze wymagania, dokumentację techniczną, ocenę zgodności, deklarację zgodności UE, oznakowanie CE, instrukcje dla użytkowników, okres wsparcia, SBOM, aktualizacje bezpieczeństwa i dowody na wypadek kontroli rynku.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • producenci oprogramowania i sprzętu
  • software house’y budujące produkty własne lub produkty dla klientów
  • firmy SaaS, platformy cyfrowe i dostawcy aplikacji
  • producenci IoT, urządzeń smart, automatyki, elektroniki i systemów wbudowanych
  • firmy tworzące komponenty, biblioteki, firmware, systemy operacyjne, narzędzia bezpieczeństwa i urządzenia sieciowe
  • zarządy, CTO, CISO, vCISO, product ownerzy, engineering managerowie i compliance
  • działy prawne, jakości, certyfikacji, zakupów i sprzedaży B2B
  • firmy przygotowujące się do CRA, NIS2, ISO 27001, IEC 62443, audytu klienta albo wejścia na rynek UE

Najważniejsze wnioski

  1. CRA dotyczy produktów z elementami cyfrowymi, czyli w praktyce wielu produktów software, hardware, IoT, urządzeń sieciowych, aplikacji i komponentów udostępnianych na rynku UE.
  2. Rok 2026 jest rokiem przygotowania do raportowania podatności i incydentów, ponieważ obowiązki z art. 14 zaczynają być stosowane od 11 września 2026 r.
  3. Rok 2027 jest rokiem pełnej gotowości produktowej, ponieważ główne obowiązki CRA będą stosowane od 11 grudnia 2027 r.
  4. Producent musi przygotować proces bezpieczeństwa produktu: ocenę ryzyka, secure by design, secure by default, SBOM, obsługę podatności, aktualizacje, dokumentację, ocenę zgodności i dowody.
  5. Największym błędem jest traktowanie CRA jak jednorazowej certyfikacji. To proces życia produktu, od projektu i rozwoju, przez sprzedaż, po aktualizacje oraz koniec wsparcia.

Czym jest Cyber Resilience Act?

Cyber Resilience Act to unijne rozporządzenie, które wprowadza horyzontalne wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Jego celem jest ograniczenie liczby podatnych produktów na rynku, poprawa przejrzystości dla użytkowników oraz zobowiązanie producentów do dbania o bezpieczeństwo produktu przez cały okres jego przewidywanego użycia.

W praktyce CRA oznacza, że bezpieczeństwo produktu staje się warunkiem wejścia na rynek UE. Producent nie powinien myśleć tylko o funkcjonalności, sprzedaży i UX. Musi także pokazać, że produkt został zaprojektowany, rozwinięty, udokumentowany, oceniony i utrzymywany zgodnie z wymaganiami cyberbezpieczeństwa.

Dlaczego 2026 i 2027 są kluczowe?

2026: raportowanie i infrastruktura zgodności

Od 11 września 2026 r. zaczną być stosowane obowiązki raportowania aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu z elementami cyfrowymi. To oznacza, że producent powinien mieć już działający proces wykrywania, kwalifikacji, eskalacji i zgłaszania zdarzeń.

2027: pełne wymagania dla produktów

Od 11 grudnia 2027 r. będą stosowane główne obowiązki CRA. Nowe produkty z elementami cyfrowymi udostępniane na rynku UE będą musiały spełniać zasadnicze wymagania cyberbezpieczeństwa. Producent będzie musiał mieć gotową dokumentację techniczną, ocenę ryzyka, ocenę zgodności, instrukcje, okres wsparcia i deklarację zgodności.

Wniosek praktyczny

Firmy, które zaczną przygotowania dopiero pod koniec 2027 roku, będą spóźnione. Proces CRA wymaga zmian w produkcie, kodzie, architekturze, dokumentacji, umowach z dostawcami, procesie aktualizacji, obsłudze podatności i pracy zespołów produktowych.

Kogo dotyczy CRA?

CRA dotyczy produktów z elementami cyfrowymi udostępnianych na rynku UE. To obejmuje zarówno produkty końcowe, jak i komponenty udostępniane osobno. Produkt z elementami cyfrowymi może być sprzętem, oprogramowaniem albo połączeniem sprzętu i oprogramowania.

Przykłady produktów, które mogą być w zakresie CRA

  • aplikacje desktopowe i mobilne
  • oprogramowanie instalowane lokalnie
  • oprogramowanie wbudowane
  • firmware
  • urządzenia IoT
  • routery, modemy, przełączniki i urządzenia sieciowe
  • systemy operacyjne
  • menedżery haseł
  • oprogramowanie antywirusowe i bezpieczeństwa
  • systemy IAM, PAM, VPN i SIEM
  • inteligentne urządzenia domowe
  • zabawki połączone z internetem
  • wearables i produkty zdrowotne, jeśli nie są wyłączone przez inne przepisy sektorowe
  • komponenty software lub hardware udostępniane osobno

Czy CRA dotyczy SaaS?

To wymaga ostrożnej analizy. CRA dotyczy produktów z elementami cyfrowymi, a definicja obejmuje także rozwiązania zdalnego przetwarzania danych, jeśli są projektowane lub rozwijane przez producenta albo pod jego odpowiedzialnością i jeśli bez nich produkt nie wykonywałby jednej ze swoich funkcji. Dlatego firma SaaS powinna sprawdzić, czy oferuje produkt z elementami cyfrowymi, komponent, aplikację kliencką, agent, oprogramowanie instalowane, urządzenie lub usługę zdalnego przetwarzania niezbędną do funkcji produktu.

Czy CRA dotyczy software house’u?

Software house nie zawsze będzie producentem w rozumieniu CRA. Jeżeli tworzy oprogramowanie na zamówienie i klient wprowadza produkt na rynek pod własną marką, trzeba ustalić role w umowie. Jeżeli software house rozwija i sprzedaje produkt pod własną nazwą lub znakiem towarowym, może być producentem i powinien przygotować się do obowiązków CRA.

Role w CRA: producent, importer, dystrybutor i inne podmioty

Najważniejszą rolą z perspektywy tego artykułu jest producent. To podmiot, który rozwija lub produkuje produkt z elementami cyfrowymi albo zleca jego projektowanie, rozwój lub produkcję i wprowadza go na rynek pod swoją nazwą lub znakiem towarowym.

Producent

Producent odpowiada za bezpieczeństwo produktu, ocenę ryzyka, spełnienie wymagań, dokumentację techniczną, ocenę zgodności, deklarację zgodności, CE, okres wsparcia, aktualizacje i obsługę podatności.

Importer

Importer wprowadza na rynek UE produkt producenta spoza UE. Musi upewnić się, że produkt spełnia wymagania i że producent wykonał wymagane działania.

Dystrybutor

Dystrybutor udostępnia produkt na rynku bez wpływania na jego właściwości. Musi działać z należytą starannością i sprawdzać podstawowe elementy zgodności.

Ważna praktyczna zasada

Jeżeli firma zmienia produkt, sprzedaje go pod własną marką, integruje go w większe rozwiązanie albo dokonuje istotnej modyfikacji, powinna sprawdzić, czy nie przejmuje obowiązków producenta.

Co trzeba przygotować w 2026 roku?

1. Rejestr produktów i komponentów

Producent powinien zacząć od pełnej listy produktów z elementami cyfrowymi. Bez rejestru nie da się ocenić zakresu CRA, klasy produktu, okresu wsparcia, podatności, komponentów i dokumentacji.

W rejestrze zapisz:

  • nazwa produktu
  • wersje i warianty
  • typ produktu: software, hardware, firmware, komponent, usługa zdalnego przetwarzania
  • właściciel produktu
  • rynek docelowy
  • czy produkt jest udostępniany na rynku UE
  • czy produkt ma połączenie z urządzeniem lub siecią
  • czy produkt jest komponentem dla innych produktów
  • czy produkt może być ważny lub krytyczny według CRA
  • status dokumentacji i oceny ryzyka

Dowód do przygotowania: rejestr produktów CRA z właścicielami i klasyfikacją.

2. Klasyfikacja produktów

Nie każdy produkt będzie miał taką samą ścieżkę oceny zgodności. Wiele produktów będzie mogło korzystać z samooceny producenta, ale produkty ważne i krytyczne mogą wymagać surowszej procedury, w tym udziału jednostki notyfikowanej.

Sprawdź, czy produkt należy do kategorii:

  • domyślnej
  • ważnej klasy I
  • ważnej klasy II
  • krytycznej
  • wyłączonej lub objętej szczególnymi przepisami sektorowymi

Dowód do przygotowania: karta klasyfikacji produktu z uzasadnieniem.

3. Proces obsługi podatności

To najważniejszy obszar na 2026 rok. Producent musi wiedzieć, jak przyjmuje zgłoszenia podatności, jak je kwalifikuje, jak eskaluje, jak naprawia, jak informuje użytkowników i jak raportuje aktywnie wykorzystywane podatności.

Proces powinien obejmować:

  • adres kontaktowy do zgłaszania podatności
  • politykę coordinated vulnerability disclosure
  • triage podatności
  • ocenę wpływu na produkt
  • priorytetyzację i terminy naprawy
  • przygotowanie aktualizacji bezpieczeństwa
  • komunikację do użytkowników
  • dowody działań naprawczych
  • proces raportowania do właściwych kanałów

Dowód do przygotowania: procedura vulnerability handling i rejestr podatności.

4. Procedura raportowania od 11 września 2026 r.

Od 11 września 2026 r. producent powinien być gotowy do raportowania aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu. Trzeba przygotować role, ścieżkę eskalacji, szablony i decyzje, zanim pojawi się incydent.

Procedura powinna obejmować:

  • kryteria aktywnie wykorzystywanej podatności
  • kryteria poważnego incydentu wpływającego na bezpieczeństwo produktu
  • wczesne ostrzeżenie w 24 godziny
  • pełniejsze zgłoszenie w 72 godziny
  • raport końcowy po działaniach naprawczych
  • kontakt z CSIRT i ENISA przez platformę raportowania CRA
  • informowanie użytkowników produktu
  • zabezpieczenie dowodów

Dowód do przygotowania: playbook raportowania CRA, szablony zgłoszeń i ćwiczenie ścieżki eskalacji.

5. SBOM i zarządzanie komponentami

CRA wymaga identyfikacji i dokumentowania podatności oraz komponentów zawartych w produktach, w tym przygotowania software bill of materials w powszechnie używanym i maszynowo czytelnym formacie, co najmniej dla zależności najwyższego poziomu.

Przygotuj:

  • wykaz zależności open source
  • wykaz komponentów komercyjnych
  • wykaz bibliotek i wersji
  • powiązanie komponentów z wersjami produktu
  • monitoring podatności w komponentach
  • proces aktualizacji zależności
  • zasady licencyjne i bezpieczeństwa komponentów

Dowód do przygotowania: SBOM, polityka komponentów i raport podatności zależności.

6. Secure SDLC

Producent powinien pokazać, że bezpieczeństwo jest częścią rozwoju produktu, a nie testem na końcu. Secure SDLC powinien obejmować wymagania bezpieczeństwa, architekturę, kod, testy, przeglądy i aktualizacje.

Minimum Secure SDLC

  • wymagania bezpieczeństwa w backlogu
  • threat modeling dla funkcji wysokiego ryzyka
  • code review
  • SAST, DAST, SCA lub inne testy adekwatne do produktu
  • kontrola sekretów
  • testy konfiguracji
  • kryteria bezpieczeństwa przed wydaniem
  • proces obsługi podatności po wydaniu

Dowód do przygotowania: polityka secure SDLC, wyniki testów i dowody przeglądów.

7. Proces aktualizacji bezpieczeństwa

CRA wymaga skutecznych mechanizmów dystrybucji aktualizacji, tak aby podatności były naprawiane lub łagodzone terminowo. Dla wielu produktów aktualizacje bezpieczeństwa powinny być łatwe dla użytkownika, bezpieczne i oddzielone od aktualizacji funkcjonalnych, jeśli to technicznie możliwe.

Przygotuj:

  • kanał dystrybucji aktualizacji
  • podpisywanie aktualizacji
  • walidację integralności
  • procedurę awaryjnej aktualizacji bezpieczeństwa
  • komunikację do użytkowników
  • rollback lub plan awaryjny
  • dowody udostępnienia aktualizacji

Dowód do przygotowania: procedura aktualizacji bezpieczeństwa i raport testu procesu aktualizacji.

Co trzeba przygotować w 2027 roku?

1. Ocena ryzyka cyberbezpieczeństwa produktu

Każdy produkt w zakresie CRA powinien mieć ocenę ryzyka cyberbezpieczeństwa. Ocena powinna wskazywać ryzyka, środowisko użycia, użytkowników, interfejsy, dane, możliwe nadużycia, podatności, komponenty i wymagania, które są stosowane.

Ocena ryzyka powinna obejmować:

  • przeznaczenie produktu
  • przewidywalne użycie i nadużycie
  • interfejsy i połączenia
  • dane przetwarzane przez produkt
  • uprawnienia i konta
  • komponenty i zależności
  • scenariusze ataku
  • wpływ na użytkownika i inne systemy
  • wymagania bezpieczeństwa i dowody ich spełnienia

Dowód do przygotowania: product cybersecurity risk assessment.

2. Zasadnicze wymagania cyberbezpieczeństwa

Producent musi pokazać, jak produkt spełnia zasadnicze wymagania cyberbezpieczeństwa z załącznika I. W praktyce chodzi o to, aby produkt był projektowany bez znanych możliwych do wykorzystania podatności, miał bezpieczne ustawienia domyślne, ograniczoną powierzchnię ataku, kontrolę dostępu, ochronę danych, aktualizacje bezpieczeństwa i obsługę podatności.

Obszary do przygotowania

  • secure by design
  • secure by default
  • brak znanych możliwych do wykorzystania podatności przy udostępnianiu produktu
  • ochrona przed nieautoryzowanym dostępem
  • szyfrowanie danych, jeśli adekwatne
  • integralność danych i konfiguracji
  • minimalizacja danych
  • odporność i dostępność podstawowych funkcji
  • ograniczenie powierzchni ataku
  • mechanizmy ograniczania skutków incydentu
  • rejestrowanie i monitorowanie aktywności istotnej dla bezpieczeństwa
  • bezpieczne usuwanie danych i ustawień

Dowód do przygotowania: matryca wymagań CRA z kontrolami, testami i dowodami.

3. Dokumentacja techniczna

Dokumentacja techniczna będzie jednym z najważniejszych dowodów zgodności. Powinna umożliwiać wykazanie, że produkt spełnia wymagania CRA i że producent prowadzi procesy bezpieczeństwa produktu.

Dokumentacja powinna obejmować:

  • opis produktu
  • architekturę
  • ocenę ryzyka cyberbezpieczeństwa
  • wymagania bezpieczeństwa
  • wyniki testów
  • SBOM lub informacje o komponentach
  • proces obsługi podatności
  • proces aktualizacji
  • instrukcje dla użytkownika
  • ocenę zgodności
  • dowody spełnienia wymagań

Dowód do przygotowania: komplet dokumentacji technicznej zgodnej z CRA.

4. Ocena zgodności

Producent musi dobrać właściwą procedurę oceny zgodności. Dla wielu produktów możliwa będzie samoocena. Dla produktów ważnych lub krytycznych może być wymagana surowsza procedura lub udział jednostki notyfikowanej.

Sprawdź:

  • czy produkt jest w kategorii domyślnej
  • czy produkt jest ważny klasy I
  • czy produkt jest ważny klasy II
  • czy produkt jest krytyczny
  • czy zastosowano normy zharmonizowane
  • czy potrzebna jest jednostka notyfikowana
  • czy istnieją certyfikaty lub schematy, które mogą pomóc w wykazaniu zgodności

Dowód do przygotowania: decyzja o ścieżce oceny zgodności i komplet dowodów.

5. Deklaracja zgodności UE i oznakowanie CE

Po pozytywnej ocenie zgodności producent będzie mógł wystawić deklarację zgodności UE i oznaczyć produkt CE. To nie jest tylko formalność. CE oznacza, że producent deklaruje spełnienie wymagań mających zastosowanie do produktu.

Przygotuj:

  • wzór deklaracji zgodności UE
  • identyfikację produktu i wersji
  • wskazanie producenta
  • podstawę zgodności
  • normy, specyfikacje lub schematy użyte do wykazania zgodności
  • proces kontroli wersji deklaracji
  • proces kontroli oznakowania CE

Dowód do przygotowania: deklaracja zgodności UE i procedura oznakowania CE.

6. Instrukcje i informacje dla użytkownika

CRA wymaga, aby użytkownik dostał informacje potrzebne do bezpiecznego użycia produktu. Chodzi między innymi o kontakt do zgłaszania podatności, przeznaczenie produktu, właściwości bezpieczeństwa, okres wsparcia, aktualizacje bezpieczeństwa, bezpieczne uruchomienie i bezpieczne wycofanie z użycia.

Przygotuj informacje o:

  • producencie i punkcie kontaktowym
  • zgłaszaniu podatności
  • identyfikacji produktu i wersji
  • przeznaczeniu produktu
  • właściwościach bezpieczeństwa
  • znanych okolicznościach mogących powodować ryzyko
  • okresie wsparcia
  • instalacji aktualizacji bezpieczeństwa
  • bezpiecznej konfiguracji
  • bezpiecznym usunięciu danych i wycofaniu produktu

Dowód do przygotowania: instrukcja bezpieczeństwa produktu i publiczne informacje o wsparciu.

Lista kontrolna CRA na 2026 rok

  • czy mamy rejestr produktów z elementami cyfrowymi?
  • czy wiemy, które produkty są w zakresie CRA?
  • czy każdy produkt ma właściciela po stronie biznesu i techniki?
  • czy mamy klasyfikację produktów: domyślne, ważne, krytyczne?
  • czy mamy proces zgłaszania podatności?
  • czy mamy politykę coordinated vulnerability disclosure?
  • czy mamy adres kontaktowy do podatności?
  • czy mamy rejestr podatności produktu?
  • czy mamy procedurę raportowania w 24 i 72 godziny?
  • czy mamy proces informowania użytkowników?
  • czy mamy SBOM albo plan jego przygotowania?
  • czy monitorujemy podatności w komponentach?
  • czy mamy proces aktualizacji bezpieczeństwa?
  • czy mamy secure SDLC?
  • czy ćwiczyliśmy aktywnie wykorzystywaną podatność?

Lista kontrolna CRA na 2027 rok

  • czy każdy produkt ma ocenę ryzyka cyberbezpieczeństwa?
  • czy mamy matrycę zasadniczych wymagań CRA?
  • czy mamy dowody spełnienia wymagań secure by design i secure by default?
  • czy produkt nie jest udostępniany z domyślnymi słabymi hasłami?
  • czy aktualizacje bezpieczeństwa są bezpiecznie dystrybuowane?
  • czy okres wsparcia jest określony i uzasadniony?
  • czy dokumentacja techniczna jest kompletna?
  • czy ustalono właściwą ścieżkę oceny zgodności?
  • czy potrzebna jest jednostka notyfikowana?
  • czy przygotowano deklarację zgodności UE?
  • czy instrukcje dla użytkowników obejmują bezpieczeństwo?
  • czy proces CE jest gotowy?
  • czy importerzy, dystrybutorzy i partnerzy mają wymagane informacje?
  • czy mamy repozytorium dowodów na wypadek kontroli rynku?
  • czy zarząd zatwierdził ryzyka, budżet i roadmapę CRA?

Jakie dokumenty i dowody warto przygotować?

Dokumenty strategiczne

  • analiza podlegania produktu pod CRA
  • rejestr produktów z elementami cyfrowymi
  • klasyfikacja produktów
  • roadmapa CRA na 2026 i 2027
  • rejestr ryzyk produktowych
  • decyzje zarządu o zakresie, budżecie i ryzyku

Dokumenty produktowe

  • ocena ryzyka cyberbezpieczeństwa produktu
  • matryca zasadniczych wymagań CRA
  • opis architektury produktu
  • opis interfejsów i zależności
  • opis danych przetwarzanych przez produkt
  • opis mechanizmów bezpieczeństwa
  • instrukcja bezpiecznego użycia
  • okres wsparcia i jego uzasadnienie

Dokumenty inżynieryjne

  • polityka secure SDLC
  • threat modeling
  • raporty SAST, DAST, SCA i testów bezpieczeństwa
  • SBOM
  • rejestr komponentów i zależności
  • procedura zarządzania podatnościami
  • procedura aktualizacji bezpieczeństwa
  • dowody code review i testów

Dokumenty zgodności

  • dokumentacja techniczna CRA
  • decyzja o ścieżce oceny zgodności
  • raport oceny zgodności
  • deklaracja zgodności UE
  • procedura oznakowania CE
  • komunikacja dla importerów i dystrybutorów
  • repozytorium dowodów zgodności

Dokumenty operacyjne

  • procedura przyjmowania zgłoszeń podatności
  • polityka coordinated vulnerability disclosure
  • playbook aktywnie wykorzystywanej podatności
  • playbook poważnego incydentu wpływającego na bezpieczeństwo produktu
  • szablon powiadomienia użytkowników
  • szablon zgłoszenia 24-godzinnego
  • szablon zgłoszenia 72-godzinnego
  • szablon raportu końcowego

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela programu CRA
  • utwórz rejestr produktów z elementami cyfrowymi
  • ustal, które produkty są udostępniane na rynku UE
  • ustal role: producent, importer, dystrybutor, integrator, wykonawca
  • zrób wstępną klasyfikację produktów
  • sprawdź, które produkty wymagają szczególnej ścieżki oceny zgodności
  • uruchom adres do zgłaszania podatności
  • przygotuj plan działań przed 11 września 2026 r.

Dni 31 do 60

  • przygotuj procedurę vulnerability handling
  • przygotuj playbook raportowania CRA
  • zacznij budować SBOM dla produktów priorytetowych
  • sprawdź proces aktualizacji bezpieczeństwa
  • wykonaj pierwszą ocenę ryzyka produktu
  • uruchom raportowanie podatności w komponentach
  • zidentyfikuj braki w secure SDLC
  • przygotuj pierwszy raport dla zarządu

Dni 61 do 90

  • przećwicz scenariusz aktywnie wykorzystywanej podatności
  • przećwicz poważny incydent wpływający na bezpieczeństwo produktu
  • przygotuj matrycę wymagań CRA dla produktu priorytetowego
  • wykonaj testy bezpieczeństwa produktu priorytetowego
  • przygotuj wzór dokumentacji technicznej
  • zdecyduj o ścieżce oceny zgodności
  • określ okres wsparcia produktu
  • zatwierdź roadmapę CRA na 12 miesięcy

Plan strategiczny na 2026 i 2027

Do 11 września 2026 r.

  • proces raportowania aktywnie wykorzystywanych podatności
  • proces raportowania poważnych incydentów wpływających na bezpieczeństwo produktu
  • kontakt do zgłoszeń podatności
  • triage podatności
  • rejestr podatności
  • szablony zgłoszeń
  • ścieżka decyzyjna
  • ćwiczenie raportowania

Do końca 2026 r.

  • rejestr produktów i klasyfikacja
  • SBOM dla produktów priorytetowych
  • secure SDLC dla nowych wydań
  • proces aktualizacji bezpieczeństwa
  • pierwsze oceny ryzyka produktów
  • plan oceny zgodności
  • analiza dostawców komponentów
  • raport zarządczy CRA

Pierwsza połowa 2027 r.

  • matryca zasadniczych wymagań CRA
  • pełne testy bezpieczeństwa produktów priorytetowych
  • komplet dokumentacji technicznej
  • instrukcje dla użytkowników
  • okres wsparcia i polityka aktualizacji
  • przygotowanie oceny zgodności
  • uzgodnienia z jednostką notyfikowaną, jeśli jest potrzebna

Druga połowa 2027 r.

  • domknięcie oceny zgodności
  • deklaracja zgodności UE
  • proces CE
  • repozytorium dowodów
  • przegląd umów z importerami, dystrybutorami i partnerami
  • przygotowanie na kontrole rynku
  • plan utrzymania zgodności po 11 grudnia 2027 r.

Najczęstsze błędy producentów

Błąd 1: traktowanie CRA jak problemu prawnego

CRA ma skutki prawne, ale jego wdrożenie jest głównie zadaniem produktowym, inżynieryjnym i operacyjnym. Bez zmian w procesie rozwoju produktu sama analiza prawna nie wystarczy.

Błąd 2: brak rejestru produktów

Firma nie wie, które produkty są w zakresie, które są komponentami, które są ważne lub krytyczne i które wersje są nadal wspierane.

Błąd 3: brak procesu obsługi podatności

Od 2026 roku raportowanie aktywnie wykorzystywanych podatności wymaga szybkiej ścieżki decyzyjnej. Bez procesu firma może nie zdążyć z oceną i zgłoszeniem.

Błąd 4: SBOM bez procesu

Lista komponentów nie wystarczy. Trzeba mieć proces aktualizacji, monitorowania podatności i powiązania komponentów z wersjami produktu.

Błąd 5: test bezpieczeństwa dopiero przed premierą

CRA wymaga bezpieczeństwa w cyklu życia produktu. Test na końcu nie zastąpi secure SDLC, threat modeling i kontroli zależności.

Błąd 6: niejasny okres wsparcia

Użytkownik musi wiedzieć, jak długo będzie otrzymywał wsparcie bezpieczeństwa. Producent musi to uzasadnić i udokumentować.

Błąd 7: brak decyzji o ścieżce oceny zgodności

Jeżeli produkt okaże się ważny lub krytyczny, producent może potrzebować udziału jednostki notyfikowanej. To wymaga czasu i planowania.

Błąd 8: brak dowodów

Dokumentacja, testy, aktualizacje, decyzje ryzyka i obsługa podatności muszą zostawiać ślad. Bez dowodów trudno wykazać zgodność.

Przykład biznesowy

Firma SaaS i software house rozwija produkt do zarządzania dostępem dla klientów B2B. Produkt składa się z aplikacji webowej, agenta instalowanego u klienta, API, komponentów open source, modułu logowania i integracji z usługami chmurowymi. Firma początkowo zakłada, że CRA dotyczy głównie urządzeń IoT, więc odkłada temat.

Po analizie okazuje się, że agent instalowany u klienta i produkt zarządzania dostępem mogą być produktem z elementami cyfrowymi w zakresie CRA. Firma musi przygotować rejestr produktu, ocenę ryzyka, SBOM, proces zgłaszania podatności, obsługę aktualizacji bezpieczeństwa, instrukcje dla klientów i analizę ścieżki oceny zgodności.

W 2026 roku firma uruchamia kontakt do podatności, CVD, rejestr podatności, SBOM i playbook raportowania. W 2027 roku domyka dokumentację techniczną, testy, ocenę zgodności, instrukcje i proces CE. Dzięki temu CRA staje się elementem dojrzałości produktu, a nie panicznym projektem pod koniec 2027 roku.

Jak ccyber.io może pomóc?

ccyber.io pomaga producentom produktów cyfrowych przygotować się do Cyber Resilience Act w sposób praktyczny, produktowy i dowodowy. Łączymy perspektywę regulacyjną, security engineering, secure SDLC, testów bezpieczeństwa, SBOM, podatności, aktualizacji i dokumentacji zgodności.

Możemy wesprzeć organizację w obszarach:

  • CRA applicability assessment
  • rejestr produktów z elementami cyfrowymi
  • klasyfikacja produktów CRA
  • ocena ryzyka cyberbezpieczeństwa produktu
  • matryca zasadniczych wymagań CRA
  • secure SDLC i threat modeling
  • SBOM i zarządzanie komponentami
  • procedura vulnerability handling i CVD
  • playbook raportowania aktywnie wykorzystywanych podatności
  • proces aktualizacji bezpieczeństwa
  • dokumentacja techniczna i pakiet dowodów
  • przygotowanie do oceny zgodności i CE
  • roadmapa CRA na 2026, 2027 i okres po wejściu obowiązków

Najlepszym pierwszym krokiem jest CRA Product Readiness Workshop. W krótkim warsztacie można ustalić, które produkty są w zakresie, które obowiązki są najpilniejsze w 2026 roku, jaka ścieżka oceny zgodności może być potrzebna i jakie dowody trzeba przygotować przed 2027 rokiem.

FAQ

Czy CRA dotyczy tylko urządzeń IoT?

Nie. CRA dotyczy produktów z elementami cyfrowymi, czyli wielu produktów hardware i software, w tym aplikacji, komponentów, firmware, urządzeń sieciowych, produktów bezpieczeństwa, systemów wbudowanych i produktów połączonych z siecią.

Co jest najważniejsze w 2026 roku?

Najważniejsze jest przygotowanie procesu obsługi podatności i raportowania aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu.

Co jest najważniejsze w 2027 roku?

Najważniejsze jest pełne przygotowanie produktu do wymagań CRA: ocena ryzyka, zasadnicze wymagania, dokumentacja techniczna, ocena zgodności, instrukcje, okres wsparcia, CE i repozytorium dowodów.

Czy każdy produkt wymaga jednostki notyfikowanej?

Nie. Wiele produktów będzie mogło przejść samoocenę zgodności. Produkty ważne lub krytyczne mogą wymagać surowszej ścieżki, a w określonych przypadkach udziału jednostki notyfikowanej.

Czy produkty sprzed 11 grudnia 2027 r. są objęte?

Produkty wprowadzone na rynek przed 11 grudnia 2027 r. co do zasady będą podlegały wymaganiom tylko wtedy, gdy od tej daty zostaną istotnie zmodyfikowane. Obowiązki raportowania z art. 14 mają jednak zastosowanie do produktów w zakresie CRA także wtedy, gdy były wprowadzone przed tą datą.

Czy SBOM musi być publiczny?

CRA wymaga przygotowania SBOM jako elementu identyfikacji komponentów i podatności. Publiczne udostępnienie użytkownikom to osobny temat. Producent powinien przygotować SBOM oraz procedury udostępniania właściwym podmiotom, jeśli będzie to wymagane.

Jak długo trzeba wspierać produkt?

Okres wsparcia powinien być określony przez producenta i co do zasady wynosić co najmniej 5 lat, chyba że przewidywany czas użycia produktu jest krótszy. Trzeba go jasno wskazać użytkownikowi i uzasadnić w dokumentacji.

Od czego zacząć?

Zacznij od rejestru produktów, klasyfikacji CRA, oceny, czy produkt jest w zakresie, procesu obsługi podatności, SBOM i roadmapy działań przed 11 września 2026 r. oraz 11 grudnia 2027 r.

Podsumowanie

Cyber Resilience Act wymaga od producentów produktów cyfrowych przejścia od myślenia „wydaliśmy produkt” do myślenia „utrzymujemy bezpieczny produkt przez cały okres wsparcia”. To oznacza zmiany w procesach produktowych, inżynieryjnych, prawnych, jakościowych i operacyjnych.

W 2026 roku producent powinien skupić się na raportowaniu, obsłudze podatności, SBOM, aktualizacjach i podstawach secure SDLC. W 2027 roku musi domknąć pełną gotowość: ocenę ryzyka, wymagania, dokumentację, ocenę zgodności, deklarację zgodności, CE i informacje dla użytkowników.

Najlepsza zasada brzmi: nie czekaj na 2027 rok. Produkt, którego architektura, komponenty, aktualizacje i dokumentacja nie są przygotowane już dziś, może wymagać znacznie więcej pracy niż sama formalna deklaracja zgodności.

Źródła

Piszemy o regulacjach takich jak NIS2, DORA, CRA i ISO 27001, o bezpieczeństwie MŚP i infrastruktury krytycznej, a także o cyberhigienie, cyberzagrożeniach i budowaniu świadomości bezpieczeństwa w organizacji.

Każdy artykuł to praktyczna wiedza - bez żargonu i z konkretnymi wskazówkami do wdrożenia, które pomagają firmom skutecznie chronić dane, ludzi i ciągłość działania.