Blog CCyber

Nasz blog to praktyczne artykuły o cyberbezpieczeństwie i regulacjach, pisane prostym językiem zrozumiałym dla właścicieli firm i menedżerów. Poruszamy konkretne tematy, takie jak wymagania NIS2, DORA, CRA, wdrożenia norm ISO 27001, analiza incydentów, phishing, ransomware czy dobre praktyki dla MŚP.

Zamiast technicznego żargonu - oferujemy wskazówki, które można od razu zastosować w biznesie. Stawiamy na treści „do wdrożenia od zaraz": publikujemy checklisty, analizy zagrożeń, poradniki dla sektora MŚP i regularne aktualizacje o nowych przepisach.

Czy moja firma podlega NIS2? Prosty przewodnik dla MŚP

MŚP nie powinno odpowiadać na pytanie o NIS2 wyłącznie na podstawie liczby pracowników albo kodu PKD. Trzeba sprawdzić pięć rzeczy: sektor działalności, wielkość firmy, wyjątki niezależne od wielkości, rolę w łańcuchu dostaw oraz aktualne przepisy krajowe wdrażające NIS2. Mała firma często nie będzie bezpośrednio podmiotem kluczowym lub ważnym, ale może być pośrednio objęta wymaganiami klientów, jeśli dostarcza IT, software, chmurę, usługi zarządzane, komponenty, serwis, dane albo procesy dla podmiotów regulowanych.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Nie każda mała lub średnia firma w Polsce podlega NIS2 bezpośrednio. Sama informacja, że firma jest MŚP, nie wystarczy. Trzeba sprawdzić sektor działalności, rodzaj świadczonych usług, wielkość przedsiębiorstwa, powiązania kapitałowe, wyjątki niezależne od wielkości oraz to, czy firma jest dostawcą dla podmiotu regulowanego. Co do zasady NIS2 obejmuje głównie średnie i duże podmioty z określonych sektorów. Małe i mikrofirmy mogą jednak zostać objęte w wyjątkowych przypadkach albo odczuć NIS2 pośrednio przez wymagania klientów, umowy, ankiety bezpieczeństwa i audyty dostawców. Najbezpieczniejszym podejściem jest przygotowanie krótkiej analizy podlegania z datą, źródłami, decyzją zarządu i planem minimum cyberbezpieczeństwa.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • właściciele małych i średnich firm
  • zarządy MŚP sprawdzające obowiązki NIS2
  • software house’y, firmy SaaS i dostawcy aplikacji
  • dostawcy IT, chmury, hostingu, backupu, SOC, MDR i usług zarządzanych
  • firmy produkcyjne, logistyczne, medyczne, spożywcze, chemiczne i technologiczne
  • integratorzy, serwisanci, dostawcy OT i automatyki przemysłowej
  • firmy obsługujące klientów z sektorów regulowanych
  • compliance, risk, legal, IT, security, CFO, COO, CTO i osoby odpowiedzialne za audyty klientów

Najważniejsze wnioski

  1. NIS2 nie obejmuje automatycznie każdej małej firmy. Najpierw trzeba sprawdzić sektor, usługę, wielkość i wyjątki.
  2. Średnia firma w sektorze objętym NIS2 powinna bardzo poważnie przeanalizować bezpośrednie podleganie.
  3. Mała lub mikro firma może być objęta bezpośrednio w wybranych przypadkach, na przykład ze względu na szczególny rodzaj usługi lub znaczenie dla państwa, gospodarki albo bezpieczeństwa publicznego.
  4. Nawet jeśli firma nie podlega bezpośrednio, może być pośrednio dotknięta NIS2 jako dostawca podmiotu kluczowego lub ważnego.
  5. Najlepszy pierwszy krok to analiza podlegania, lista klientów regulowanych, mapa usług i pakiet podstawowych dowodów cyberbezpieczeństwa.

Najpierw ważne zastrzeżenie

NIS2 jest dyrektywą Unii Europejskiej. Oznacza to, że dla praktycznej odpowiedzi w Polsce trzeba patrzeć na dyrektywę, ale także na krajowe przepisy wdrażające, czyli przede wszystkim nowelizację przepisów dotyczących krajowego systemu cyberbezpieczeństwa. Dlatego odpowiedź na pytanie „czy moja firma podlega NIS2?” powinna mieć datę i wskazanie wersji przepisów, na której została oparta.

Ten przewodnik pomaga przygotować praktyczną analizę. Nie zastępuje indywidualnej opinii prawnej, ale pokazuje, jak zarząd MŚP powinien uporządkować temat przed rozmową z prawnikiem, audytorem, klientem lub dostawcą cyberbezpieczeństwa.

Najprostsza odpowiedź dla MŚP

Jeżeli firma jest mikro lub mała, nie działa w szczególnym sektorze i nie świadczy usług krytycznych dla większych podmiotów, prawdopodobnie nie będzie bezpośrednio podmiotem kluczowym lub ważnym. Nie oznacza to jednak, że może zignorować temat.

Jeżeli firma jest średnia, działa w jednym z sektorów NIS2 albo obsługuje klientów z takich sektorów, powinna wykonać formalną analizę podlegania.

Jeżeli firma świadczy usługi IT, chmurowe, zarządzane, bezpieczeństwa, DNS, hostingowe, telekomunikacyjne, zaufania, rejestracji domen albo utrzymuje systemy klientów regulowanych, powinna potraktować NIS2 jako temat priorytetowy niezależnie od tego, czy finalnie będzie objęta bezpośrednio.

5 pytań, które rozstrzygają temat

  1. Czy firma działa w sektorze objętym NIS2?
  2. Czy firma spełnia kryterium wielkości średniego lub dużego przedsiębiorstwa?
  3. Czy firma wpada w wyjątek niezależny od wielkości?
  4. Czy firma jest dostawcą dla podmiotu regulowanego?
  5. Co mówią aktualne przepisy krajowe i wymagania klientów?

Dopiero odpowiedź na te pytania pozwala przygotować rozsądny wniosek. Sam kod PKD, sama liczba pracowników albo sama branżowa etykieta „IT” nie wystarczą.

Krok 1: sprawdź sektor działalności

NIS2 obejmuje sektory wysokiej krytyczności oraz pozostałe sektory krytyczne. Dla MŚP najważniejsze jest sprawdzenie, czy rzeczywista działalność firmy pasuje do jednego z tych sektorów lub czy firma świadczy usługi dla klientów z tych sektorów.

Sektory wysokiej krytyczności

  • energia
  • transport
  • bankowość
  • infrastruktura rynków finansowych
  • ochrona zdrowia
  • woda pitna
  • ścieki
  • infrastruktura cyfrowa
  • zarządzanie usługami ICT
  • administracja publiczna
  • przestrzeń kosmiczna

Pozostałe sektory krytyczne

  • usługi pocztowe i kurierskie
  • gospodarowanie odpadami
  • chemikalia
  • produkcja, przetwarzanie i dystrybucja żywności
  • produkcja wybranych produktów, w tym wyrobów medycznych, komputerów, elektroniki, maszyn, pojazdów i sprzętu transportowego
  • dostawcy usług cyfrowych
  • organizacje badawcze

Co to oznacza dla MŚP?

Mała firma produkcyjna może myśleć, że NIS2 jej nie dotyczy, ale jeśli produkuje komponenty dla sektora medycznego, transportowego, energetycznego lub technologicznego, może zostać objęta wymaganiami klientów. Software house może nie być oczywistym podmiotem kluczowym, ale jeśli utrzymuje system dla szpitala, operatora infrastruktury, banku albo dostawcy usług zarządzanych, może dostać wymagania NIS2 w umowie.

Krok 2: sprawdź wielkość firmy

Co do zasady NIS2 obejmuje podmioty średnie i duże z sektorów wskazanych w dyrektywie. W praktyce trzeba sprawdzić liczbę pracowników, obrót, sumę bilansową oraz powiązania z innymi podmiotami.

Progi MŚP według definicji UE

  • mikroprzedsiębiorstwo: mniej niż 10 pracowników oraz obrót lub suma bilansowa do 2 mln euro
  • małe przedsiębiorstwo: mniej niż 50 pracowników oraz obrót lub suma bilansowa do 10 mln euro
  • średnie przedsiębiorstwo: mniej niż 250 pracowników oraz obrót do 50 mln euro lub suma bilansowa do 43 mln euro

W NIS2 szczególnie ważne jest to, czy firma kwalifikuje się jako średnie przedsiębiorstwo albo przekracza progi średniego przedsiębiorstwa. Trzeba też uważać na firmy partnerskie i powiązane, bo grupa kapitałowa może wpływać na kwalifikację.

Praktyczna zasada

Jeżeli firma ma mniej niż 50 pracowników i nie świadczy szczególnych usług, często będzie poza bezpośrednim zakresem NIS2. Jeżeli firma ma od 50 do 249 pracowników i działa w sektorze objętym NIS2, analiza podlegania jest obowiązkowym zadaniem zarządu.

Krok 3: sprawdź wyjątki niezależne od wielkości

Niektóre podmioty mogą być objęte NIS2 niezależnie od wielkości. To szczególnie ważne dla firm technologicznych, telekomunikacyjnych, domenowych, usług zaufania i podmiotów o szczególnym znaczeniu dla społeczeństwa lub gospodarki.

Przykładowe kategorie, które trzeba sprawdzić niezależnie od wielkości

  • dostawcy publicznych sieci łączności elektronicznej
  • dostawcy publicznie dostępnych usług łączności elektronicznej
  • dostawcy usług zaufania
  • rejestry nazw domen najwyższego poziomu
  • dostawcy usług DNS
  • podmioty świadczące usługi rejestracji nazw domen
  • podmioty będące jedynym dostawcą usługi istotnej dla krytycznych aktywności społecznych lub gospodarczych w państwie
  • podmioty, których zakłócenie mogłoby mieć istotny wpływ na bezpieczeństwo publiczne, zdrowie publiczne lub ryzyko systemowe

Co to oznacza dla MŚP?

Mała firma nie powinna automatycznie uznawać, że jest poza zakresem. Jeżeli świadczy usługę o szczególnym znaczeniu, działa w obszarze infrastruktury cyfrowej albo jest niezbędna dla krytycznej usługi klienta, potrzebna jest dokładniejsza analiza.

Krok 4: ustal, czy firma może być podmiotem kluczowym czy ważnym

NIS2 dzieli podmioty na kluczowe i ważne. Różnica ma znaczenie dla nadzoru i egzekwowania obowiązków. Dla MŚP najważniejsze jest jednak najpierw ustalić, czy firma w ogóle jest bezpośrednio w zakresie.

Podmiot kluczowy

Podmiot kluczowy to zasadniczo organizacja o większym znaczeniu, często większa i działająca w sektorach wysokiej krytyczności albo spełniająca szczególne kryteria. Podmioty kluczowe są zwykle objęte silniejszym nadzorem.

Podmiot ważny

Podmiot ważny to organizacja objęta NIS2, która nie kwalifikuje się jako podmiot kluczowy. Obowiązki zarządzania ryzykiem i zgłaszania incydentów nadal mają znaczenie, ale reżim nadzorczy może być inny.

Wniosek dla MŚP

Dla większości MŚP najpierw trzeba odpowiedzieć: czy jesteśmy bezpośrednio w zakresie. Dopiero później warto rozstrzygać, czy status będzie kluczowy czy ważny.

Krok 5: sprawdź wpływ pośredni przez klientów

To najważniejsza część dla wielu MŚP. Firma może nie być bezpośrednio podmiotem kluczowym lub ważnym, ale może obsługiwać klientów, którzy podlegają NIS2. Wtedy wymagania pojawią się w umowach, ankietach bezpieczeństwa, audytach, postępowaniach zakupowych i wymaganiach dostępowych.

Pośredni wpływ NIS2 może dotyczyć firmy, jeśli:

  • utrzymuje system klienta regulowanego
  • dostarcza oprogramowanie dla sektora zdrowia, energii, transportu, finansów lub produkcji krytycznej
  • ma dostęp administratora do środowiska klienta
  • przechowuje dane klienta regulowanego
  • świadczy usługi IT, chmury, hostingu, backupu, SOC, MDR lub helpdesku
  • obsługuje systemy OT, produkcyjne lub logistyczne
  • jest podwykonawcą większego dostawcy ICT
  • dostarcza komponenty lub usługi, których awaria zatrzyma usługę klienta

Typowe wymagania od klienta regulowanego

  • MFA dla dostępu dostawcy
  • kontrola kont administratorów
  • zgłaszanie incydentów w krótkim czasie
  • prawo do audytu
  • testy backupu i odtwarzania
  • procedura incident response
  • szkolenia pracowników
  • ocena podwykonawców
  • logi i monitoring
  • dowody zamknięcia podatności

Czy kod PKD wystarczy?

Nie. PKD może być pomocnym punktem startu, ale nie zastępuje analizy rzeczywistej działalności. NIS2 dotyczy typów usług, sektorów, znaczenia działalności, skali i roli organizacji. Firma może mieć kod PKD ogólny, ale w praktyce świadczyć usługę krytyczną dla klienta regulowanego. Może też mieć kod technologiczny, ale wykonywać działalność poza zakresem NIS2.

Co sprawdzić oprócz PKD?

  • rzeczywiste usługi świadczone klientom
  • sektory klientów
  • dane i systemy, do których firma ma dostęp
  • umowy i SLA
  • zależność klienta od usługi firmy
  • powiązania kapitałowe
  • obsługę podmiotów publicznych lub sektorów regulowanych

Prosta decyzja: 4 możliwe wyniki analizy

Wynik 1: prawdopodobnie bezpośrednio objęta NIS2

Firma działa w sektorze NIS2, spełnia próg wielkości albo wyjątek niezależny od wielkości. W takim przypadku trzeba przygotować pełniejszy program zgodności i dowodów.

Wynik 2: wymaga pogłębionej analizy prawnej

Firma działa blisko sektora regulowanego, ma nietypową rolę, jest częścią grupy, świadczy usługę o szczególnym znaczeniu albo jej kwalifikacja zależy od krajowych przepisów.

Wynik 3: nie jest bezpośrednio objęta, ale jest pośrednio dotknięta

To bardzo częsty scenariusz dla MŚP. Firma nie musi być formalnym podmiotem regulowanym, ale klienci będą wymagać konkretnych zabezpieczeń i dowodów.

Wynik 4: obecnie poza zakresem, ale wymaga monitorowania

Firma nie działa w sektorze objętym, nie spełnia progu wielkości i nie ma klientów regulowanych. Warto jednak monitorować zmiany przepisów, klientów i modelu działalności.

Praktyczna lista pytań dla MŚP

O firmie

  • ile firma ma pracowników?
  • jaki ma obrót i sumę bilansową?
  • czy należy do grupy kapitałowej?
  • czy ma spółki powiązane lub partnerskie?
  • w jakich krajach działa?

O usługach

  • jakie usługi firma faktycznie świadczy?
  • czy usługi są cyfrowe lub technologiczne?
  • czy firma dostarcza usługę zarządzaną lub bezpieczeństwa?
  • czy firma świadczy usługi chmurowe, hostingowe, DNS, domenowe lub komunikacyjne?
  • czy firma utrzymuje systemy klientów?

O klientach

  • czy klienci działają w sektorach NIS2?
  • czy klient wymaga ankiet bezpieczeństwa?
  • czy klient wymaga zgłaszania incydentów?
  • czy klient ma prawo do audytu?
  • czy firma jest podwykonawcą większego dostawcy dla sektora regulowanego?

O dostępie i danych

  • czy firma ma dostęp administratora do systemów klienta?
  • czy przechowuje dane klientów?
  • czy przetwarza dane osobowe lub poufne?
  • czy ma dostęp do środowisk produkcyjnych klientów?
  • czy awaria firmy może zatrzymać usługę klienta?

Przykłady dla MŚP

Software house tworzący aplikację dla szpitala

Software house może nie być bezpośrednio podmiotem kluczowym lub ważnym, jeśli nie spełnia kryteriów NIS2. Może jednak być ważnym dostawcą dla podmiotu z sektora zdrowia. Klient może wymagać bezpiecznego SDLC, testów, zarządzania podatnościami, SLA, zgłaszania incydentów i kontroli podwykonawców.

Mała firma IT obsługująca średnią firmę produkcyjną

Jeżeli klient produkcyjny podlega NIS2, dostawca IT może zostać objęty wymaganiami umownymi. Szczególnie jeśli ma dostęp administratora, obsługuje backup, konta użytkowników, sieć lub systemy krytyczne.

Sklep internetowy B2C

Typowy mały sklep internetowy zwykle nie będzie bezpośrednio objęty tylko dlatego, że działa online. Trzeba jednak sprawdzić skalę, typ usługi, ewentualny status platformy, dane klientów, dostawców płatności i wymagania umów.

Firma SaaS z 80 pracownikami dla sektora finansowego i zdrowia

Taka firma powinna wykonać analizę podlegania. Może być średnim przedsiębiorstwem, dostawcą usług cyfrowych lub ICT, a jednocześnie dostawcą dla klientów regulowanych. Nawet jeśli ostateczna kwalifikacja wymaga analizy prawnej, wymagania klientów są bardzo prawdopodobne.

Mała firma produkcyjna z 35 osobami

Sama wielkość może wskazywać na brak bezpośredniego podlegania. Jeżeli jednak firma dostarcza krytyczne komponenty do sektora medycznego, energetycznego, transportowego albo dla dużych klientów regulowanych, może odczuć NIS2 przez łańcuch dostaw.

Co zrobić, jeśli firma prawdopodobnie podlega NIS2?

Jeżeli analiza wskazuje, że firma może być bezpośrednio objęta NIS2, nie należy czekać na audyt albo pismo od klienta. Trzeba przygotować plan gotowości.

Minimalne działania

  • potwierdź podleganie z prawnikiem lub doradcą regulacyjnym
  • wyznacz właściciela programu NIS2
  • przygotuj rejestr ryzyk cyber
  • zidentyfikuj systemy i usługi krytyczne
  • wdroż MFA dla kont krytycznych
  • sprawdź backup i wykonaj test odtworzenia
  • przygotuj incident response plan
  • przygotuj procedurę zgłaszania incydentów
  • oceń dostawców krytycznych
  • przeszkol zarząd i pracowników

Co zrobić, jeśli firma nie podlega bezpośrednio, ale jest dostawcą?

To najczęstszy scenariusz dla MŚP. Wtedy firma powinna przygotować „NIS2 supplier readiness”, czyli pakiet dowodów i kontroli, których będą oczekiwać klienci regulowani.

Przygotuj minimum dostawcy

  • opis usługi i granic odpowiedzialności
  • politykę bezpieczeństwa informacji
  • raport MFA
  • raport backupu i testu restore
  • incident response plan
  • procedurę zgłaszania incydentów klientowi
  • rejestr podwykonawców
  • ocenę ryzyka dostawców własnych
  • raport szkoleń pracowników
  • plan działań naprawczych

Korzyść biznesowa

Dostawca, który potrafi szybko odpowiedzieć na ankietę NIS2, pokazać dowody i wyjaśnić swój model bezpieczeństwa, ma przewagę w sprzedaży do większych klientów.

Jakie dokumenty przygotować?

Dokumenty do analizy podlegania

  • opis działalności firmy
  • lista usług
  • lista sektorów klientów
  • dane o liczbie pracowników, obrocie i sumie bilansowej
  • informacje o spółkach powiązanych i partnerskich
  • lista krajów, w których firma świadczy usługi
  • analiza sektorów NIS2
  • wniosek: bezpośrednio objęta, pośrednio dotknięta, poza zakresem lub wymaga analizy prawnej

Dokumenty cyber minimum

  • rejestr systemów i aktywów
  • rejestr ryzyk cyber
  • polityka haseł i dostępu
  • raport MFA
  • raport przeglądu uprawnień
  • procedura backupu i raport testu odtworzenia
  • incident response plan
  • procedura zgłaszania incydentów
  • rejestr dostawców
  • raport szkoleń

Dokumenty dla klientów

  • security one-pager
  • opis kontroli bezpieczeństwa
  • opis backupu i odtwarzania
  • opis procesu incident response
  • opis zarządzania podatnościami
  • lista certyfikatów lub audytów, jeśli firma je posiada
  • zasady podwykonawstwa
  • kontakt do osoby odpowiedzialnej za bezpieczeństwo

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela tematu NIS2
  • zbierz dane o wielkości firmy i powiązaniach
  • przygotuj listę usług i klientów
  • sprawdź sektory NIS2
  • sprawdź wyjątki niezależne od wielkości
  • zidentyfikuj klientów regulowanych
  • przygotuj wstępny wniosek o podleganiu
  • przedstaw zarządowi krótką notatkę decyzyjną

Dni 31 do 60

  • wykonaj pogłębioną analizę prawną, jeśli jest potrzebna
  • przygotuj rejestr ryzyk cyber
  • sprawdź MFA, backup, dostęp administratorów i dostawców
  • wykonaj test odtworzenia danych
  • przygotuj incident response plan
  • przygotuj procedurę zgłaszania incydentów klientowi
  • zbierz wymagania NIS2 z umów klientów
  • przygotuj plan działań naprawczych

Dni 61 do 90

  • wykonaj pierwszy access review
  • oceń dostawców krytycznych
  • przeszkol zarząd i pracowników
  • przygotuj pakiet dowodów dla klientów
  • przeprowadź ćwiczenie incydentu
  • zamknij najważniejsze luki
  • zaktualizuj analizę podlegania
  • ustal kwartalny przegląd wymagań klientów i przepisów

Najczęstsze błędy MŚP przy NIS2

Błąd 1: założenie, że „jesteśmy mali, więc nas to nie dotyczy”

Mała firma może być pośrednio objęta przez klientów albo bezpośrednio przez wyjątek. Najpierw trzeba sprawdzić fakty.

Błąd 2: opieranie się tylko na PKD

PKD nie pokazuje pełnego obrazu usług, klientów, dostępu do systemów i znaczenia firmy w łańcuchu dostaw.

Błąd 3: brak analizy powiązań kapitałowych

Wielkość firmy może zależeć od spółek partnerskich i powiązanych. To może zmienić kwalifikację.

Błąd 4: pominięcie klientów regulowanych

Firma może być poza bezpośrednim zakresem, ale klient z sektora regulowanego może narzucić wymagania umowne.

Błąd 5: brak dowodu decyzji

Ustna odpowiedź „NIS2 nas nie dotyczy” jest słaba. Potrzebna jest notatka lub analiza z uzasadnieniem.

Błąd 6: czekanie na pełną pewność

Nawet jeśli kwalifikacja wymaga doprecyzowania, firma może już wdrożyć minimum: MFA, backup, incident response, access review i szkolenia.

Błąd 7: traktowanie NIS2 jako projektu prawnego

NIS2 to nie tylko analiza prawna. To także ryzyko cyber, dostawcy, incydenty, ciągłość działania i dowody.

Błąd 8: brak przygotowania do ankiet klientów

Większe firmy będą pytać dostawców o zabezpieczenia. MŚP powinno mieć gotowe odpowiedzi i dowody.

Jakie minimum cyberbezpieczeństwa warto wdrożyć niezależnie od podlegania?

Nawet jeśli firma nie podlega bezpośrednio NIS2, podstawowe zabezpieczenia są potrzebne. Chronią przed ransomware, phishingiem, przejęciem poczty, utratą danych i problemami w relacjach z klientami.

Minimum dla MŚP

  • MFA dla poczty, administratorów, chmury i dostępu zdalnego
  • menedżer haseł
  • backup z testem odtworzenia
  • ochrona urządzeń końcowych
  • aktualizacje i zarządzanie podatnościami
  • procedura phishingu
  • procedura płatności i drugiego kanału
  • przegląd uprawnień
  • offboarding pracowników
  • incident response plan
  • rejestr dostawców
  • szkolenia pracowników

Przykład biznesowy

Firma SaaS zatrudnia 42 osoby. Dostarcza platformę do obsługi dokumentów dla klientów z produkcji, ochrony zdrowia i administracji lokalnej. Zarząd pyta, czy firma podlega NIS2, bo sama firma jest mała i nie uważa się za podmiot krytyczny.

Analiza pokazuje, że bezpośrednie podleganie wymaga sprawdzenia szczegółów usługi, wielkości, klientów i przepisów krajowych. Jednocześnie widać, że firma jest pośrednio dotknięta NIS2, bo kilku klientów może być podmiotami regulowanymi. Klienci już pytają o MFA, backup, zgłaszanie incydentów, testy bezpieczeństwa i podwykonawców.

Firma nie czeka na ostateczną interpretację. W 90 dni przygotowuje analizę podlegania, pakiet dowodów dla klientów, MFA, test restore, incident response plan, procedurę zgłaszania incydentów klientom i ocenę dostawców. Dzięki temu jest gotowa zarówno na wymagania klientów, jak i na dalszą analizę prawną.

Jak ccyber.io może pomóc?

ccyber.io pomaga MŚP ustalić, czy NIS2 może dotyczyć firmy bezpośrednio lub pośrednio. Łączymy perspektywę prawną, techniczną, dostawczą i biznesową. Nie kończymy na odpowiedzi „tak” lub „nie”. Przygotowujemy praktyczny plan działań i pakiet dowodów, który pomaga w rozmowach z klientami, audytorami i ubezpieczycielami.

Możemy wesprzeć organizację w obszarach:

  • NIS2 applicability assessment dla MŚP
  • analiza podlegania pod KSC
  • mapa sektorów, usług i klientów regulowanych
  • ocena wpływu NIS2 na dostawcę lub software house
  • NIS2 supplier readiness
  • pakiet dowodów dla klientów regulowanych
  • gap analysis podstawowych kontroli cyber
  • rejestr ryzyk cyber
  • incident response plan i procedura zgłaszania incydentów
  • roadmapa działań na 30, 60, 90 dni i 12 miesięcy

Najlepszym pierwszym krokiem jest NIS2 Applicability Workshop dla MŚP. W krótkim warsztacie można ustalić, czy firma może być bezpośrednio objęta, czy jest pośrednio dotknięta przez klientów i jakie minimum warto wdrożyć niezależnie od finalnej kwalifikacji.

FAQ

Czy każda mała firma podlega NIS2?

Nie. Mała firma zwykle nie podlega bezpośrednio tylko dlatego, że prowadzi działalność gospodarczą. Trzeba jednak sprawdzić sektor, usługę, wyjątki i klientów.

Czy każda średnia firma podlega NIS2?

Nie. Średnia firma podlega wtedy, gdy działa w sektorze lub świadczy usługę objętą NIS2 albo spełnia szczególne kryteria. Sama wielkość nie wystarczy.

Czy wystarczy sprawdzić PKD?

Nie. PKD może pomóc, ale nie zastępuje analizy rzeczywistej działalności, klientów, usług, danych, dostępu do systemów i roli w łańcuchu dostaw.

Czy dostawca IT dla firmy objętej NIS2 też podlega NIS2?

Nie zawsze bezpośrednio. Może jednak zostać objęty wymaganiami klienta w umowie, audycie, ankiecie bezpieczeństwa i procedurach zgłaszania incydentów.

Czy software house może być objęty NIS2?

Tak, jeśli spełnia kryteria sektora, wielkości albo szczególnej usługi. Nawet jeśli nie jest objęty bezpośrednio, może być pośrednio dotknięty jako dostawca systemów dla podmiotów regulowanych.

Co zrobić, jeśli nie mamy pewności?

Przygotuj analizę podlegania, zbierz dane o firmie, usługach i klientach, sprawdź sektory NIS2 i skonsultuj wynik z prawnikiem lub doradcą. Równolegle wdrażaj podstawowe zabezpieczenia.

Jakie dowody będą potrzebne klientom?

Najczęściej: MFA, backup, test odtworzenia, incident response plan, access review, szkolenia, zarządzanie podatnościami, bezpieczeństwo dostawców i procedura zgłaszania incydentów.

Od czego zacząć?

Zacznij od pięciu rzeczy: lista usług, lista klientów z sektorów regulowanych, dane o wielkości firmy, analiza wyjątków niezależnych od wielkości i szybki przegląd podstawowych zabezpieczeń.

Podsumowanie

Pytanie „czy moja firma podlega NIS2?” wymaga praktycznej analizy. Nie wystarczy sprawdzić wielkości firmy albo kodu PKD. Trzeba ocenić sektor, usługę, wyjątki, klientów, powiązania kapitałowe, dostęp do danych i systemów oraz aktualne przepisy krajowe.

Dla wielu MŚP najważniejszy będzie wpływ pośredni. Firma może nie być formalnym podmiotem kluczowym lub ważnym, ale jako dostawca dla podmiotu regulowanego będzie musiała pokazać zabezpieczenia, procedury i dowody.

Najlepsza zasada brzmi: nie czekaj na ankietę klienta albo kontrolę. Przygotuj analizę podlegania, wdroż minimum cyberbezpieczeństwa i zbierz dowody, które pokażą, że firma zarządza ryzykiem w praktyce.

Źródła

Finansowanie cyberbezpieczeństwa: na co powinny zwrócić uwagę polskie firmy w 2026 roku

W 2026 roku polskie firmy powinny patrzeć na finansowanie cyberbezpieczeństwa szerzej niż tylko na „dotację na firewall”. Największe szanse pojawiają się tam, gdzie cyberbezpieczeństwo jest częścią cyfryzacji, automatyzacji, Przemysłu 4.0, zgodności z NIS2, przygotowania produktów pod CRA, odporności operacyjnej, chmury, AI, backupu, zarządzania dostępem i testów bezpieczeństwa. Najlepiej przygotowane projekty mają diagnozę ryzyka, zakres techniczny, budżet, harmonogram, dowody potrzeby, powiązanie z regulacjami i mierzalne efekty biznesowe.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

W 2026 roku polskie firmy powinny szukać finansowania cyberbezpieczeństwa nie tylko w programach nazwanych wprost „cyber”. W praktyce cyberbezpieczeństwo może być częścią projektów cyfryzacji, automatyzacji, transformacji cyfrowej, Przemysłu 4.0, rozwoju produktów cyfrowych, zgodności z NIS2, przygotowania pod Cyber Resilience Act, odporności operacyjnej, chmury, AI, backupu, zarządzania tożsamością, testów bezpieczeństwa i szkoleń. Najważniejsze jest dobre przygotowanie projektu: diagnoza ryzyka, lista systemów, uzasadnienie biznesowe, budżet, harmonogram, mierzalne efekty, powiązanie z regulacjami i dowody, że firma potrafi wdrożyć oraz utrzymać zakupione rozwiązania. Sama lista narzędzi rzadko wystarczy. Instytucje finansujące chcą widzieć cel, efekt i trwałość.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • właściciele i zarządy firm planujących inwestycje w cyberbezpieczeństwo
  • MŚP szukające dotacji, grantów, pożyczek preferencyjnych lub usług doradczych
  • firmy produkcyjne i usługowe planujące cyfryzację oraz automatyzację
  • software house’y, firmy SaaS i producenci produktów cyfrowych
  • dostawcy IT, chmury, backupu, SOC, MDR i usług zarządzanych
  • firmy przygotowujące się do NIS2, CRA, DORA, ISO 27001 albo cyberubezpieczenia
  • CFO, COO, CTO, CISO, vCISO, compliance, legal i osoby odpowiedzialne za wnioski grantowe
  • organizacje, które chcą połączyć cyberbezpieczeństwo z rozwojem biznesu, odpornością i zgodnością

Najważniejsze wnioski

  1. W 2026 roku cyberbezpieczeństwo najczęściej będzie finansowane jako część większej transformacji cyfrowej, a nie jako pojedynczy zakup narzędzia.
  2. Najlepiej rokują projekty, które łączą bezpieczeństwo z konkretnym ryzykiem: ransomware, przerwa w produkcji, ochrona danych klientów, NIS2, CRA, DORA, dostęp uprzywilejowany albo bezpieczeństwo produktu.
  3. Firmy powinny monitorować programy krajowe, regionalne, EDIH, FENG, KPO, Digital Europe, instrumenty pożyczkowe i finansowanie unijne bezpośrednie.
  4. Instytucje finansujące często wymagają nie tylko budżetu, ale też diagnozy potrzeb, planu wdrożenia, efektów, trwałości i zdolności organizacyjnej.
  5. Największym błędem jest pisanie wniosku od listy zakupów. Dobry projekt zaczyna się od problemu biznesowego, ryzyka i oczekiwanego efektu.

Dlaczego 2026 rok jest ważny dla finansowania cyberbezpieczeństwa?

Rok 2026 jest szczególny, bo firmy jednocześnie mierzą się z kilkoma trendami. Rosną wymagania klientów, ubezpieczycieli, audytorów i regulatorów. NIS2 zwiększa presję na zarządzanie ryzykiem cyber i dostawcami. Cyber Resilience Act wymaga przygotowania producentów software i hardware do bezpieczeństwa produktów cyfrowych. DORA wpływa na sektor finansowy i dostawców ICT. AI zwiększa tempo cyfryzacji, ale też tworzy nowe ryzyka. Ransomware i phishing nadal powodują realne przestoje oraz straty.

To oznacza, że cyberbezpieczeństwo przestaje być wyłącznie kosztem IT. Staje się elementem konkurencyjności, odporności operacyjnej, zgodności regulacyjnej i dostępu do większych klientów. Z tego powodu finansowanie cyberbezpieczeństwa warto planować nie jako „projekt bezpieczeństwa”, ale jako projekt rozwoju firmy.

Najważniejsza zmiana: finansowanie nie zawsze będzie nazwane „cyberbezpieczeństwo”

Polskie firmy często szukają programów pod hasłem „dotacja na cyberbezpieczeństwo”. To zbyt wąskie podejście. W praktyce koszty cyber mogą pojawić się w projektach dotyczących cyfryzacji, automatyzacji, wdrożenia systemów IT, chmury, AI, Przemysłu 4.0, e-usług, bezpieczeństwa produktu, zgodności z regulacjami albo odporności operacyjnej.

Cyberbezpieczeństwo może być elementem projektu:

  • wdrożenia ERP, MES, SCADA, CRM albo platformy B2B
  • migracji do chmury
  • automatyzacji produkcji
  • wdrożenia AI w procesach biznesowych
  • budowy lub modernizacji produktu cyfrowego
  • wdrożenia systemu backupu i odtwarzania
  • zarządzania tożsamością i dostępem
  • segmentacji sieci OT i IT
  • testów bezpieczeństwa aplikacji
  • wdrożenia procesu vulnerability management
  • przygotowania do audytu klienta, NIS2, CRA albo ISO 27001

Dlatego dobra strategia finansowania polega na znalezieniu właściwego celu programu, a dopiero potem pokazaniu, dlaczego cyberbezpieczeństwo jest niezbędnym elementem tego celu.

Gdzie szukać finansowania w 2026 roku?

1. Fundusze Europejskie na cyfryzację firm

Portal Funduszy Europejskich wskazuje, że cyfryzacja firm może być wspierana przez dotacje, granty i preferencyjne pożyczki. W praktyce wsparcie może obejmować gotowe rozwiązania, licencje, technologie, prace programistyczne oraz doradztwo przedwdrożeniowe. To ważne, bo cyberbezpieczeństwo często jest częścią bezpiecznej cyfryzacji, a nie osobnym produktem.

Na co zwrócić uwagę?

  • czy program finansuje wdrożenie technologii cyfrowych
  • czy koszty bezpieczeństwa są kwalifikowane jako element wdrożenia
  • czy możliwe jest finansowanie doradztwa, audytu lub diagnozy
  • czy projekt musi mieć komponent produkcyjny, usługowy, B+R albo innowacyjny
  • czy wymagany jest wkład własny
  • czy koszty są refundowane po realizacji, czy możliwa jest zaliczka

Przykładowe koszty do rozważenia

  • bezpieczna konfiguracja nowego systemu
  • integracja MFA i SSO
  • backup i odtwarzanie dla wdrażanego rozwiązania
  • testy bezpieczeństwa systemu
  • zarządzanie dostępem
  • monitoring i logowanie
  • szkolenia użytkowników

2. Dig.IT i granty na transformację cyfrową

Dig.IT jest przykładem instrumentu, w którym cyberbezpieczeństwo może pojawić się jako element wdrażania nowoczesnych technologii cyfrowych. Program jest skierowany do mikro, małych i średnich przedsiębiorstw z sektora przetwórstwa przemysłowego oraz usług produkcyjnych. W jego opisie pojawiają się między innymi big data, AI i cyberbezpieczeństwo.

Dlaczego to ważne?

Dla firm produkcyjnych cyberbezpieczeństwo często jest powiązane z automatyzacją, integracją systemów, danymi produkcyjnymi, chmurą, IoT, systemami klasy MES, ERP albo SCADA. Jeżeli projekt cyfryzacji zwiększa zależność firmy od systemów cyfrowych, to bezpieczeństwo powinno być częścią zakresu.

Przykładowe elementy projektu

  • bezpieczne wdrożenie systemu produkcyjnego
  • segmentacja sieci dla nowych technologii
  • kontrola dostępu do danych produkcyjnych
  • backup konfiguracji i danych
  • monitoring dostępności i bezpieczeństwa
  • szkolenia pracowników z bezpiecznego użycia technologii

3. Pożyczki na cyfrową i zieloną transformację przedsiębiorstw

Instrumenty pożyczkowe mogą być dobrym rozwiązaniem dla większych projektów, w których cyberbezpieczeństwo jest częścią szerokiej modernizacji cyfrowej. Pożyczki na cyfrową i zieloną transformację przedsiębiorstw są kierowane do firm z całej Polski, a w części cyfrowej mogą dotyczyć między innymi transformacji w kierunku Przemysłu 4.0, automatyzacji, robotyzacji, chmury, analizy danych i systemów cyfrowych.

Kiedy warto rozważyć pożyczkę?

  • projekt jest zbyt duży na mały grant
  • firma planuje transformację procesów, a nie pojedynczy zakup
  • wdrożenie wymaga sprzętu, systemów, usług i integracji
  • cyberbezpieczeństwo jest częścią modernizacji operacyjnej
  • firma ma zdolność do obsługi finansowania zwrotnego

Przykładowe komponenty cyber w takim projekcie

  • cyberbezpieczeństwo infrastruktury Przemysłu 4.0
  • bezpieczna chmura i architektura hybrydowa
  • ochrona systemów produkcyjnych i logistycznych
  • zarządzanie tożsamością
  • bezpieczna integracja systemów
  • backup i odtwarzanie usług krytycznych

4. EDIH, czyli Europejskie Centra Innowacji Cyfrowych

EDIH to szczególnie ważna ścieżka dla MŚP, które nie są jeszcze gotowe na duży projekt inwestycyjny. Centra EDIH oferują audyty, doradztwo, test before invest, szkolenia, rozwój kompetencji, wsparcie w pozyskaniu finansowania, networking i dostęp do ekosystemu innowacji. W polskiej ofercie EDIH pojawia się także cyberbezpieczeństwo.

Dlaczego warto zacząć od EDIH?

  • firma może zweryfikować potrzeby przed dużym wydatkiem
  • można uzyskać diagnozę dojrzałości cyfrowej
  • można skorzystać z usług doradczych i szkoleniowych
  • MŚP mogą korzystać z usług nieodpłatnie w formule pomocy de minimis
  • EDIH może pomóc w określeniu kolejnych źródeł finansowania

Jak użyć EDIH w projekcie cyber?

  • wykonać audyt dojrzałości cyfrowej i bezpieczeństwa
  • sprawdzić ryzyka przed wdrożeniem nowej technologii
  • przetestować rozwiązanie przed inwestycją
  • przeszkolić zespół
  • przygotować mapę drogową cyfryzacji i cyberbezpieczeństwa

5. Programy regionalne

W 2026 roku warto monitorować programy regionalne, bo część wsparcia na cyfryzację i rozwój MŚP jest dostępna na poziomie województw. Portal Funduszy Europejskich wskazuje przykłady pożyczek i instrumentów regionalnych na cyfryzację przedsiębiorstw.

Na co zwrócić uwagę?

  • czy program dotyczy konkretnego województwa
  • czy firma ma siedzibę lub projekt w kwalifikowanym regionie
  • czy wsparcie jest dotacją, pożyczką, instrumentem mieszanym albo usługą doradczą
  • czy cyberbezpieczeństwo może być częścią cyfryzacji
  • czy wymagane są wskaźniki cyfryzacji, innowacji lub efektywności

6. Digital Europe Programme i projekty międzynarodowe

Digital Europe Programme jest ważnym źródłem finansowania projektów dotyczących cyberbezpieczeństwa, AI, kompetencji cyfrowych i infrastruktury cyfrowej. Dla wielu firm będzie to ścieżka trudniejsza niż programy krajowe, bo często wymaga konsorcjum, partnerów międzynarodowych, większego zakresu i zgodności z celami programu.

Dla kogo to może być dobre?

  • dostawcy technologii cyberbezpieczeństwa
  • firmy rozwijające produkty cyber lub AI security
  • firmy uczestniczące w konsorcjach europejskich
  • ośrodki kompetencji, klastry i partnerstwa technologiczne
  • dostawcy rozwiązań dla sektorów krytycznych
  • organizacje budujące zdolności cyber na poziomie branżowym lub ponadnarodowym

Jak się przygotować?

  • monitorować Funding and Tenders Portal
  • szukać partnerów z wyprzedzeniem
  • mieć gotowy opis technologii i wartości europejskiej
  • przygotować doświadczenie zespołu i referencje
  • pokazać skalowalność, interoperacyjność i wpływ na bezpieczeństwo rynku

7. Finansowanie z EIB, BGK, PFR i instrumenty zwrotne

Nie każdy projekt cyberbezpieczeństwa musi być finansowany dotacją. W większych projektach warto rozważyć finansowanie zwrotne, pożyczki preferencyjne, gwarancje, leasing technologiczny lub finansowanie inwestycyjne. W 2026 roku szczególnie istotne będzie łączenie cyberbezpieczeństwa z odpornością biznesu, technologią, automatyzacją i cyfrową suwerennością.

Kiedy instrument zwrotny może mieć sens?

  • firma inwestuje w duży program modernizacji IT
  • projekt zwiększa przychody lub ogranicza koszty przestoju
  • firma potrzebuje szybszej decyzji niż w dotacji
  • wydatki obejmują infrastrukturę, licencje, wdrożenia i usługi
  • projekt jest zbyt operacyjny lub zbyt szeroki dla typowego konkursu grantowego

Na co można próbować finansować cyberbezpieczeństwo?

1. Diagnoza i audyt

  • cyber risk assessment
  • NIS2 readiness assessment
  • CRA readiness dla produktów cyfrowych
  • audyt Microsoft 365 albo Google Workspace
  • audyt backupu i odtwarzania
  • audyt OT lub przemysłowy
  • ocena dostawców ICT

2. Technologie ochronne

  • MFA, SSO i IAM
  • PAM dla kont uprzywilejowanych
  • EDR lub XDR
  • backup i disaster recovery
  • SIEM lub log management
  • ochrona poczty
  • DLP i szyfrowanie
  • segmentacja sieci
  • bezpieczna konfiguracja chmury

3. Bezpieczeństwo produktów cyfrowych

  • secure SDLC
  • threat modeling
  • SBOM
  • zarządzanie podatnościami
  • testy bezpieczeństwa aplikacji
  • proces aktualizacji produktu
  • obsługa zgłoszeń podatności
  • dokumentacja zgodności pod CRA

4. Odporność operacyjna

  • business continuity plan
  • disaster recovery plan
  • testy odtwarzania
  • ćwiczenia ransomware
  • plan komunikacji kryzysowej
  • redundancja systemów krytycznych
  • plan działania ręcznego

5. Ludzie i procesy

  • szkolenia phishingowe
  • szkolenia NIS2 dla zarządu
  • szkolenia secure coding
  • szkolenia dla administratorów
  • procedury incident response
  • procedura płatności i drugiego kanału
  • polityka haseł i dostępu
  • program cyberświadomości

Jak przygotować projekt, żeby miał większą szansę?

1. Zacznij od diagnozy ryzyka

Wniosek nie powinien zaczynać się od „chcemy kupić narzędzie”. Powinien zaczynać się od problemu: firma ma ryzyko ransomware, brak testowanego backupu, zbyt szerokie dostępy, wymagania klienta, NIS2, CRA, ryzyko OT albo brak bezpiecznego procesu aktualizacji produktu.

2. Pokaż związek z biznesem

Cyberbezpieczeństwo finansuje się łatwiej, gdy jest powiązane z konkretnym efektem biznesowym.

  • mniejszy przestój
  • większa odporność produkcji
  • możliwość obsługi większych klientów
  • spełnienie wymagań regulacyjnych
  • bezpieczne wdrożenie chmury
  • bezpieczny produkt cyfrowy
  • mniejszy koszt incydentu

3. Ustal zakres kwalifikowany i niekwalifikowany

Nie każdy koszt cyber będzie kwalifikowany w każdym programie. Trzeba sprawdzić regulamin, katalog kosztów, pomoc publiczną, limity, wkład własny, terminy, sposób płatności i wymagania trwałości.

4. Przygotuj mierzalne efekty

Instytucje finansujące chcą widzieć rezultat. Dla cyberbezpieczeństwa warto używać wskaźników praktycznych.

  • liczba systemów objętych MFA
  • czas odtworzenia systemu krytycznego
  • liczba przeszkolonych pracowników
  • liczba podatności wysokiego ryzyka zamkniętych po wdrożeniu
  • liczba systemów objętych backupem
  • liczba przeprowadzonych testów bezpieczeństwa
  • liczba dostawców po ocenie ryzyka

5. Pokaż trwałość projektu

Jednorazowy zakup nie wystarczy. Trzeba pokazać, kto będzie utrzymywał rozwiązanie, kto będzie reagował na alerty, kto będzie aktualizował procedury, kto będzie wykonywał testy i jak firma utrzyma efekty po zakończeniu finansowania.

Najważniejsze pytania przed złożeniem wniosku

  • czy projekt odpowiada na realne ryzyko cyber?
  • czy mamy diagnozę obecnego stanu?
  • czy wiemy, które systemy i dane są krytyczne?
  • czy projekt pasuje do celu programu?
  • czy cyberbezpieczeństwo jest kosztem kwalifikowanym?
  • czy mamy wkład własny?
  • czy projekt wymaga refundacji po zakończeniu?
  • czy mamy dostawców i oferty?
  • czy wiemy, kto będzie właścicielem wdrożenia?
  • czy mamy wskaźniki i dowody efektów?

Jakie dokumenty przygotować?

Dokumenty strategiczne

  • diagnoza cyberbezpieczeństwa
  • rejestr ryzyk cyber
  • mapa systemów krytycznych
  • analiza wpływu incydentu na biznes
  • roadmapa cyberbezpieczeństwa
  • uzasadnienie powiązania z NIS2, CRA, DORA, ISO 27001 albo wymaganiami klientów

Dokumenty techniczne

  • opis obecnej architektury
  • zakres planowanego wdrożenia
  • opis integracji
  • opis danych i systemów objętych projektem
  • wymagania bezpieczeństwa
  • harmonogram techniczny
  • plan testów i odbiorów

Dokumenty finansowe

  • budżet projektu
  • oferty lub szacowanie kosztów
  • uzasadnienie kosztów
  • plan finansowania wkładu własnego
  • analiza kosztu przestoju lub kosztu incydentu
  • plan utrzymania po zakończeniu projektu

Dokumenty wdrożeniowe

  • harmonogram
  • kamienie milowe
  • role i odpowiedzialności
  • plan zarządzania zmianą
  • plan szkoleń
  • plan komunikacji wewnętrznej
  • plan utrzymania rezultatów

Jakie projekty mogą być trudne do sfinansowania?

Zakup narzędzia bez diagnozy

Jeżeli firma chce kupić narzędzie, ale nie pokazuje ryzyka, celu i efektu, projekt może wyglądać jak zwykły koszt operacyjny.

Wymiana licencji bez zmiany bezpieczeństwa

Sama wymiana jednego narzędzia na drugie może być trudna do uzasadnienia, jeśli nie pokazuje poprawy odporności, zgodności albo dojrzałości.

Projekt bez właściciela biznesowego

Cyberbezpieczeństwo finansowane z grantów powinno mieć właściciela po stronie firmy, nie tylko dostawcę technologii.

Projekt bez trwałości

Jeżeli firma nie pokaże, kto będzie utrzymywał rozwiązanie po wdrożeniu, projekt może być oceniony słabiej.

Projekt oderwany od celu programu

Nie każdy program finansuje wszystko. Nawet dobry projekt cyber może nie pasować do programu, jeśli nie realizuje jego celu.

Najczęstsze błędy firm w finansowaniu cyberbezpieczeństwa

Błąd 1: szukanie dotacji dopiero po wyborze narzędzia

Najpierw trzeba sprawdzić cel programu, kwalifikowalność kosztów i wymagania. Dopiero potem dobierać zakres techniczny.

Błąd 2: brak diagnozy

Bez audytu lub oceny ryzyka trudno uzasadnić, dlaczego projekt jest potrzebny.

Błąd 3: zbyt ogólny zakres

Hasło „poprawa cyberbezpieczeństwa” jest za szerokie. Lepiej wskazać konkretne ryzyka, systemy, kontrole i efekty.

Błąd 4: brak mierzalnych wskaźników

Projekt powinien pokazywać, jak firma zmierzy poprawę bezpieczeństwa.

Błąd 5: nieuwzględnienie utrzymania

Wdrożenie EDR, SIEM albo backupu bez ludzi, procesów i utrzymania może nie dać trwałego efektu.

Błąd 6: zbyt późne zbieranie ofert

Przygotowanie dobrego budżetu wymaga czasu, porównania opcji i dopasowania zakresu do programu.

Błąd 7: pominięcie regulacji

NIS2, CRA, DORA, ISO 27001 i wymagania klientów mogą być silnym uzasadnieniem projektu. Warto je pokazać.

Błąd 8: brak współpracy między IT, finansami i zarządem

Wniosek cyberbezpieczeństwa wymaga perspektywy technicznej, finansowej i biznesowej. Jedna osoba rzadko ma pełny obraz.

Prosty model projektu cyber do finansowania

1. Problem

Firma ma ryzyko ransomware, brak testowanego backupu, brak MFA na kontach krytycznych, wymagania klienta albo obowiązki regulacyjne.

2. Cel

Zwiększenie odporności cyfrowej, ograniczenie ryzyka przestoju, spełnienie wymagań NIS2 lub CRA, bezpieczne wdrożenie technologii cyfrowych.

3. Zakres

Diagnoza, wdrożenie technologii, procedury, testy, szkolenia, dokumentacja i dowody.

4. Efekt

MFA na systemach krytycznych, test restore, skrócony czas odtworzenia, zamknięte podatności, bezpieczniejszy produkt, przeszkolony zespół.

5. Trwałość

Właściciel kontroli, cykliczne testy, budżet utrzymaniowy, procedury, raportowanie do zarządu.

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela finansowania cyberbezpieczeństwa
  • sprawdź aktualne nabory krajowe, regionalne, EDIH, FENG, KPO i programy unijne
  • przygotuj krótką diagnozę cyberbezpieczeństwa
  • zidentyfikuj 3 największe ryzyka cyber dla firmy
  • sprawdź wymagania klientów, NIS2, CRA, DORA albo ISO 27001
  • wybierz 2 lub 3 scenariusze projektu
  • zrób wstępny budżet i listę kosztów
  • skontaktuj się z EDIH, punktem informacyjnym funduszy albo doradcą

Dni 31 do 60

  • wybierz najlepsze źródło finansowania
  • dopasuj projekt do celu programu
  • zbierz oferty i opisy techniczne
  • przygotuj harmonogram i kamienie milowe
  • zdefiniuj wskaźniki efektu
  • przygotuj plan utrzymania rezultatów
  • uzyskaj decyzję zarządu o wkładzie własnym
  • przygotuj dokumenty do wniosku

Dni 61 do 90

  • uzupełnij wniosek i załączniki
  • sprawdź kwalifikowalność kosztów
  • wykonaj kontrolę spójności budżetu, harmonogramu i efektów
  • przygotuj odpowiedzi na pytania oceniających
  • ustal plan wdrożenia po uzyskaniu finansowania
  • przygotuj repozytorium dowodów
  • zaplanuj raportowanie postępu do zarządu
  • zbuduj plan alternatywny, jeśli wniosek nie uzyska dofinansowania

Jakie metryki warto pokazać we wniosku?

Metryki ryzyka

  • liczba systemów krytycznych bez MFA
  • liczba systemów bez testowanego backupu
  • liczba podatności wysokiego ryzyka
  • czas odtworzenia systemu krytycznego
  • koszt dnia przestoju
  • liczba dostawców z dostępem administracyjnym

Metryki efektu

  • procent kont krytycznych objętych MFA po projekcie
  • liczba systemów objętych backupem i testem restore
  • liczba zamkniętych podatności
  • liczba przeszkolonych pracowników
  • skrócenie czasu odtworzenia
  • liczba procedur wdrożonych i przetestowanych

Metryki biznesowe

  • zmniejszenie ryzyka przestoju
  • możliwość spełnienia wymagań klientów
  • gotowość do audytu
  • bezpieczniejsze wdrożenie nowej technologii
  • odporność na ransomware
  • gotowość produktu do wymagań CRA

Jak połączyć finansowanie z NIS2, CRA i DORA?

NIS2

Dla firm objętych NIS2 lub współpracujących z podmiotami regulowanymi projekt może dotyczyć zarządzania ryzykiem, incident response, backupu, dostawców, szkoleń, logów, MFA, podatności i dowodów zgodności.

CRA

Dla producentów oprogramowania i hardware projekt może dotyczyć bezpieczeństwa produktu: SBOM, secure SDLC, testów, zarządzania podatnościami, procesu aktualizacji, obsługi zgłoszeń i dokumentacji technicznej.

DORA

Dla firm finansowych i dostawców ICT projekt może dotyczyć odporności cyfrowej, testów, rejestru dostawców, umów ICT, incident reporting, backupu, ciągłości działania i audytowalności.

ISO 27001

Dla firm przygotowujących się do certyfikacji projekt może dotyczyć rejestru ryzyk, polityk, kontroli, audytów, szkoleń, zarządzania dostawcami i repozytorium dowodów.

Przykład biznesowy

Firma produkcyjna zatrudnia 120 osób. Planuje wdrożyć system MES, integrację z ERP, automatyczne zbieranie danych produkcyjnych i panel klienta B2B. Początkowo projekt jest opisany jako cyfryzacja produkcji. Po analizie okazuje się jednak, że nowe rozwiązanie zwiększy zależność firmy od chmury, sieci przemysłowej, kont użytkowników, integracji API i danych produkcyjnych.

Firma rozszerza projekt o cyberbezpieczeństwo: segmentację sieci, MFA dla kont krytycznych, backup konfiguracji, test odtworzenia, monitoring, szkolenie administratorów i procedurę incydentową. Wniosek nie opisuje cyber jako dodatku, ale jako warunek bezpiecznej transformacji cyfrowej.

Dzięki temu projekt jest spójny: automatyzacja poprawia efektywność, a cyberbezpieczeństwo ogranicza ryzyko przestoju, utraty danych i błędów operacyjnych. Firma przygotowuje też wskaźniki: liczba systemów objętych MFA, czas odtworzenia, liczba przeszkolonych osób i test restore po wdrożeniu.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom przygotować projekty cyberbezpieczeństwa do finansowania z dotacji, grantów, pożyczek i programów cyfryzacji. Łączymy perspektywę bezpieczeństwa, regulacji, finansowania, technologii i biznesu.

Możemy wesprzeć organizację w obszarach:

  • diagnoza potrzeb cyberbezpieczeństwa do wniosku
  • zakres projektu cyber do programu finansowania
  • mapowanie projektu do NIS2, CRA, DORA, ISO 27001 albo wymagań klienta
  • budżet i harmonogram cyberbezpieczeństwa
  • opis techniczny projektu
  • uzasadnienie biznesowe i analiza ryzyka
  • wskaźniki efektów i trwałości
  • pakiet dowodów do wniosku
  • roadmapa cyberbezpieczeństwa na 30, 60, 90 dni i 12 miesięcy
  • wsparcie w przygotowaniu projektu dla EDIH, FENG, programów regionalnych i finansowania zwrotnego

Najlepszym pierwszym krokiem jest Cyber Funding Readiness Workshop. W krótkim warsztacie można ustalić, co firma chce sfinansować, które źródła finansowania pasują do projektu, jakie koszty mogą być problematyczne i jak przygotować projekt, który ma sens biznesowo oraz technicznie.

FAQ

Czy w 2026 roku można dostać dotację wyłącznie na cyberbezpieczeństwo?

To zależy od naboru. Często cyberbezpieczeństwo nie występuje jako osobny cel, ale może być częścią cyfryzacji, transformacji cyfrowej, Przemysłu 4.0, zgodności regulacyjnej albo rozwoju produktu cyfrowego.

Czy zakup firewalla może być kosztem kwalifikowanym?

Może, ale tylko wtedy, gdy pasuje do zasad konkretnego programu i jest uzasadniony w projekcie. Sam zakup narzędzia bez diagnozy i efektu może być trudniejszy do obrony.

Czy MŚP może skorzystać z EDIH?

Tak. EDIH oferują MŚP usługi związane z transformacją cyfrową, w tym audyty, doradztwo, test before invest, szkolenia, wsparcie w pozyskaniu finansowania oraz usługi dotyczące cyberbezpieczeństwa.

Czy cyberbezpieczeństwo można połączyć z projektem produkcyjnym?

Tak. Wdrożenia ERP, MES, SCADA, IoT, AI, chmury i automatyzacji powinny zawierać element bezpieczeństwa, bo zwiększają zależność firmy od technologii cyfrowych.

Czy przygotowanie pod NIS2 może być finansowane?

W wielu przypadkach elementy przygotowania pod NIS2 mogą być częścią projektu cyfryzacji, odporności, zarządzania ryzykiem, szkoleń, backupu, incydentów albo dostawców. Trzeba sprawdzić zasady konkretnego programu.

Co jest najważniejsze we wniosku?

Najważniejsze jest dopasowanie projektu do celu programu, jasne uzasadnienie ryzyka, mierzalne efekty, realistyczny budżet, harmonogram i trwałość rezultatów.

Od czego zacząć?

Zacznij od diagnozy cyberbezpieczeństwa, listy ryzyk, mapy systemów krytycznych i sprawdzenia aktualnych naborów. Potem dopasuj projekt do źródła finansowania, a nie odwrotnie.

Czy warto mieć plan alternatywny?

Tak. Nabory są konkurencyjne, a terminy się zmieniają. Firma powinna mieć plan minimum do wdrożenia z własnych środków, pożyczki albo etapowego finansowania.

Podsumowanie

Finansowanie cyberbezpieczeństwa w 2026 roku wymaga szerokiego spojrzenia. Polskie firmy powinny szukać nie tylko programów nazwanych „cyber”, ale też instrumentów cyfryzacji, transformacji, Przemysłu 4.0, EDIH, FENG, programów regionalnych, Digital Europe, pożyczek i finansowania zwrotnego.

Najlepsze projekty cyber są konkretne: wynikają z diagnozy, odpowiadają na realne ryzyko, są powiązane z biznesem, regulacjami i technologią, mają mierzalne efekty oraz plan utrzymania. Najsłabsze projekty są listą zakupów bez uzasadnienia.

Najlepsza zasada brzmi: nie pytaj najpierw „na co jest dotacja?”. Zapytaj, jakie ryzyko cyber ograniczasz, jaki efekt biznesowy osiągasz i które źródło finansowania najlepiej pasuje do tego celu.

Źródła

10 błędów pracowników, które najczęściej prowadzą do incydentów

Najczęstsze incydenty nie zaczynają się od spektakularnego włamania, ale od małych błędów: kliknięcia w phishing, podania kodu MFA, użycia tego samego hasła, wysłania danych do złego odbiorcy, zatwierdzenia fałszywej płatności, zignorowania aktualizacji albo niezgłoszenia podejrzanego zdarzenia. Celem szkolenia nie powinno być straszenie pracowników, ale nauczenie prostych zachowań: zatrzymaj się, sprawdź drugim kanałem, nie podawaj kodów, zgłaszaj szybko, używaj zatwierdzonych narzędzi i pytaj, gdy coś wygląda nietypowo.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Najczęstsze błędy pracowników prowadzące do incydentów to kliknięcie w phishing, podanie hasła lub kodu MFA, ponowne używanie haseł, korzystanie z niezatwierdzonych narzędzi, wysyłanie danych do złych odbiorców, ignorowanie aktualizacji i alertów, obchodzenie procedur płatności, praca na prywatnych urządzeniach bez zasad, brak zgłaszania podejrzanych zdarzeń oraz zbyt duże zaufanie do wiadomości, telefonów i poleceń wyglądających „normalnie”. Nie chodzi o obwinianie ludzi. Większość takich błędów wynika z presji czasu, słabych procesów, braku jasnych zasad, źle zaprojektowanych narzędzi i szkolenia, które uczy teorii zamiast zachowań. Dobra cyberświadomość polega na tym, że pracownik wie, kiedy się zatrzymać, jak zweryfikować prośbę, czego nie podawać, gdzie zgłosić problem i że szybkie zgłoszenie błędu jest lepsze niż milczenie.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • zarząd i właściciele firm
  • HR, compliance, risk, legal i osoby odpowiedzialne za szkolenia
  • CISO, vCISO, CTO, CIO i dyrektorzy IT
  • managerowie zespołów sprzedaży, finansów, obsługi klienta, HR i marketingu
  • MŚP, które chcą ograniczyć liczbę incydentów wynikających z codziennych błędów
  • organizacje przygotowujące szkolenia phishingowe i program cyberświadomości
  • firmy przygotowujące się do NIS2, ISO 27001, cyberubezpieczenia albo audytu klienta
  • software house’y, firmy SaaS, e-commerce i organizacje pracujące z danymi klientów

Najważniejsze wnioski

  1. Pracownicy nie są „najsłabszym ogniwem”. Są ostatnią linią obrony, ale tylko wtedy, gdy mają jasne zasady, dobre narzędzia i bezpieczną kulturę zgłaszania.
  2. Najbardziej ryzykowne błędy dotyczą poczty, haseł, MFA, płatności, danych klientów, dostępu zdalnego, prywatnych narzędzi i zbyt późnego zgłaszania problemu.
  3. Szkolenia powinny uczyć konkretnych decyzji w pracy, a nie tylko definicji phishingu, ransomware i malware.
  4. Najważniejsza zasada dla pracownika brzmi: zatrzymaj się, sprawdź, zgłoś. Presja czasu jest częścią wielu ataków.
  5. Firma powinna mierzyć nie tylko liczbę kliknięć w symulacji phishingu, ale też czas zgłaszania, jakość reakcji, powtarzalne błędy i skuteczność procedur.

Dlaczego błędy pracowników prowadzą do incydentów?

Większość pracowników nie popełnia błędów dlatego, że ignoruje bezpieczeństwo. Błędy pojawiają się, bo codzienna praca wymaga szybkości, reagowania na wiadomości, obsługi klientów, akceptowania płatności, pracy z dokumentami, korzystania z wielu systemów i podejmowania decyzji pod presją.

Atakujący to wykorzystują. Nie zawsze próbują „zhakować system”. Często próbują przekonać człowieka, aby zrobił coś za nich: kliknął link, podał kod, otworzył załącznik, zatwierdził płatność, udostępnił plik, zresetował hasło albo zignorował nietypowy sygnał.

Typowe mechanizmy wykorzystywane przez atakujących

  • presja czasu
  • autorytet przełożonego, klienta, dostawcy albo banku
  • strach przed konsekwencjami
  • ciekawość
  • rutyna
  • zmęczenie alertami
  • nadmiar wiadomości
  • niejasne procedury
  • brak prostego kanału zgłaszania

Dlatego program szkoleń powinien być projektowany jak system bezpieczeństwa, a nie jak jednorazowa prezentacja.

10 błędów pracowników, które najczęściej prowadzą do incydentów

Błąd 1: Kliknięcie w link lub otwarcie załącznika bez sprawdzenia

Phishing nadal jest jednym z najczęstszych sposobów rozpoczęcia incydentu. Wiadomość może udawać bank, dostawcę, klienta, kuriera, urząd, dział IT, zarząd albo znaną platformę. Coraz częściej nie wygląda już jak klasyczny podejrzany e-mail z literówkami. Może być poprawna językowo, dopasowana do kontekstu i wysłana z przejętego konta prawdziwej osoby.

Jak wygląda błąd?

  • kliknięcie linku do fałszywego logowania
  • otwarcie załącznika z makrem lub malware
  • pobranie pliku z nieznanej strony
  • zalogowanie się przez link z wiadomości
  • zeskanowanie kodu QR bez weryfikacji
  • wejście w link z SMS-a lub komunikatora

Co może się stać?

  • przejęcie konta pocztowego
  • kradzież hasła
  • instalacja malware
  • uruchomienie ransomware
  • wyciek danych klientów
  • fałszywe wiadomości wysłane z konta pracownika

Jak szkolić?

  • nie ucz tylko „rozpoznaj phishing po literówkach”
  • ucz sprawdzania nadawcy, kontekstu i celu wiadomości
  • ucz wchodzenia na stronę ręcznie, a nie przez link
  • ucz zasady drugiego kanału przy prośbach o pieniądze, dane i dostęp
  • ucz szybkiego zgłoszenia po kliknięciu

Prosta zasada dla pracownika

Jeżeli wiadomość wymaga logowania, płatności, pobrania pliku, podania danych albo szybkiej reakcji, zatrzymaj się i sprawdź ją drugim kanałem.

Błąd 2: Podanie hasła, kodu MFA albo zatwierdzenie nieoczekiwanego logowania

Hasło nie jest już jedynym celem atakującego. Coraz częściej celem jest kod MFA, zatwierdzenie powiadomienia w aplikacji lub przekonanie pracownika, że „dział IT” potrzebuje kodu do rozwiązania problemu.

Jak wygląda błąd?

  • podanie kodu MFA przez telefon
  • podanie kodu MFA w komunikatorze
  • zatwierdzenie powiadomienia MFA, którego pracownik sam nie rozpoczął
  • podanie hasła na stronie podszywającej się pod firmowy system
  • udostępnienie kodu odzyskiwania konta

Co może się stać?

  • przejęcie poczty
  • przejęcie chmury plików
  • przejęcie CRM
  • dostęp do danych klientów
  • przejęcie konta administratora
  • obejście wielu innych zabezpieczeń

Jak szkolić?

  • powtarzaj, że kod MFA jest jak hasło jednorazowe
  • ćwicz scenariusz telefonu od „IT” z prośbą o kod
  • ucz odrzucania nieoczekiwanych powiadomień MFA
  • ustal jasny kanał kontaktu z prawdziwym IT
  • ucz natychmiastowego zgłoszenia podejrzanego MFA

Prosta zasada dla pracownika

Nigdy nie podawaj kodu MFA i nigdy nie zatwierdzaj logowania, którego sam nie rozpocząłeś.

Błąd 3: Używanie tego samego hasła w wielu miejscach

Ponowne używanie haseł sprawia, że wyciek z jednego serwisu może otworzyć dostęp do innych kont. Problem rośnie, gdy pracownik używa tego samego hasła w pracy i prywatnie.

Jak wygląda błąd?

  • to samo hasło do poczty, CRM i prywatnego sklepu online
  • proste schematy typu nazwa firmy plus rok
  • zapisywanie haseł w arkuszu
  • wysyłanie haseł przez komunikator
  • współdzielone hasło do social media albo systemu fakturowania

Co może się stać?

  • credential stuffing
  • przejęcie wielu kont naraz
  • dostęp byłego pracownika do konta współdzielonego
  • brak możliwości ustalenia, kto wykonał działanie
  • utrata kontroli nad kontami firmowymi

Jak szkolić?

  • wdroż menedżer haseł zamiast wymagać zapamiętywania wielu haseł
  • ucz unikalnych haseł dla każdego systemu
  • nie zmuszaj do okresowej zmiany haseł bez powodu
  • usunąć współdzielone konta tam, gdzie to możliwe
  • sprawdzaj konta byłych pracowników

Prosta zasada dla pracownika

Jedno konto, jedno hasło. Hasła firmowe przechowuj tylko w zatwierdzonym menedżerze haseł.

Błąd 4: Wysłanie danych do złego odbiorcy lub niezatwierdzonego narzędzia

Incydent nie zawsze zaczyna się od ataku. Czasem jest to omyłkowe wysłanie pliku, nieuważne użycie autouzupełniania adresu, dodanie złej osoby do wątku, udostępnienie folderu zbyt szeroko albo wklejenie danych do publicznego narzędzia AI.

Jak wygląda błąd?

  • wysłanie pliku klienta do złego adresata
  • odpowiedź „do wszystkich” z poufnymi informacjami
  • udostępnienie folderu wszystkim z linkiem
  • wklejenie danych osobowych do niezatwierdzonego narzędzia AI
  • wysłanie arkusza z ukrytymi kolumnami
  • przekazanie danych przez prywatny komunikator

Co może się stać?

  • naruszenie danych osobowych
  • naruszenie umowy z klientem
  • ujawnienie tajemnicy przedsiębiorstwa
  • utrata zaufania klienta
  • obowiązek zgłoszenia incydentu

Jak szkolić?

  • ucz klasyfikacji danych prostym językiem
  • ustal, czego nie wolno wysyłać e-mailem
  • ucz sprawdzania odbiorcy przed wysłaniem
  • wprowadź zasady użycia narzędzi AI
  • ćwicz scenariusze: pomyłka adresata, za szeroki link, zły załącznik

Prosta zasada dla pracownika

Przed wysłaniem danych klienta sprawdź odbiorcę, załącznik, zakres udostępnienia i kanał komunikacji.

Błąd 5: Zatwierdzenie płatności lub zmiany rachunku pod presją

Ataki na płatności często nie wymagają malware. Wystarczy fałszywy e-mail od dostawcy, przejęta skrzynka klienta, telefon od osoby podszywającej się pod zarząd albo wiadomość z prośbą o „pilny przelew”.

Jak wygląda błąd?

  • zmiana rachunku dostawcy na podstawie e-maila
  • pilny przelew bez drugiej akceptacji
  • użycie numeru telefonu podanego w podejrzanej wiadomości
  • ominięcie procedury, bo „zarząd prosi”
  • zatwierdzenie płatności bez sprawdzenia faktury i danych dostawcy

Co może się stać?

  • utrata pieniędzy
  • spór z prawdziwym dostawcą
  • problem z płynnością
  • eskalacja do zarządu i banku
  • incydent reputacyjny

Jak szkolić?

  • ćwicz fałszywe faktury i zmianę rachunku dostawcy
  • ustal zasadę dwóch osób przy przelewach powyżej progu
  • ucz drugiego kanału weryfikacji
  • zakazuj podejmowania decyzji pod presją
  • ucz, że prośby od zarządu też podlegają procedurze

Prosta zasada dla pracownika

Nowy rachunek, pilny przelew albo nietypowa prośba o płatność zawsze wymagają drugiego kanału i drugiej osoby.

Błąd 6: Ignorowanie aktualizacji, restartów i ostrzeżeń bezpieczeństwa

Pracownicy często odkładają aktualizacje, bo przeszkadzają w pracy. Czasem ignorują komunikaty o podejrzanym logowaniu, blokadzie konta, ryzyku pliku lub ostrzeżeniu przeglądarki. To może otwierać drogę do wykorzystania znanych podatności lub utraty konta.

Jak wygląda błąd?

  • odkładanie aktualizacji przez wiele tygodni
  • ignorowanie alertu o logowaniu z nietypowego miejsca
  • kliknięcie „kontynuuj” mimo ostrzeżenia przeglądarki
  • wyłączenie ochrony antywirusowej, bo „przeszkadza”
  • instalacja nieznanej aplikacji bez zgody

Co może się stać?

  • wykorzystanie znanej podatności
  • przejęcie urządzenia
  • wyciek danych
  • ransomware
  • brak wykrycia incydentu na czas

Jak szkolić?

  • wyjaśniaj, po co są aktualizacje
  • ustal okna aktualizacji i restartów
  • uprość zgłaszanie fałszywych lub niezrozumiałych alertów
  • ucz, że ostrzeżenie bezpieczeństwa to nie przeszkoda, tylko sygnał
  • mierz urządzenia bez aktualizacji

Prosta zasada dla pracownika

Nie wyłączaj zabezpieczeń i nie ignoruj ostrzeżeń. Jeśli komunikat przeszkadza w pracy, zgłoś go zamiast omijać.

Błąd 7: Korzystanie z prywatnych urządzeń, kont i narzędzi bez zasad

Pracownik może używać prywatnej poczty, prywatnego dysku, komunikatora, telefonu albo niezatwierdzonego narzędzia, bo chce szybciej wykonać zadanie. To często tworzy Shadow IT i Shadow AI, czyli obszar poza kontrolą organizacji.

Jak wygląda błąd?

  • wysyłanie plików firmowych na prywatny e-mail
  • trzymanie dokumentów klienta na prywatnym dysku
  • używanie prywatnego telefonu bez PIN-u do poczty firmowej
  • kopiowanie danych do niezatwierdzonej aplikacji
  • korzystanie z prywatnego konta AI do pracy z danymi firmowymi

Co może się stać?

  • brak kontroli nad danymi
  • utrata danych po odejściu pracownika
  • wyciek przez prywatne konto
  • brak możliwości wykonania audytu
  • naruszenie umowy z klientem

Jak szkolić?

  • ustal zatwierdzone narzędzia do pracy
  • daj pracownikom bezpieczną alternatywę
  • opisz zasady BYOD i pracy zdalnej
  • ucz, że „szybciej” nie znaczy „bezpiecznie”
  • wyjaśnij, których danych nie wolno wynosić poza narzędzia firmowe

Prosta zasada dla pracownika

Dane firmowe i dane klientów przetwarzaj tylko w zatwierdzonych narzędziach i na urządzeniach zgodnych z zasadami firmy.

Błąd 8: Nieprawidłowa obsługa dostępu i kont po zmianie roli lub odejściu

Ten błąd często nie jest spektakularny, ale jest bardzo częsty. Pracownik zmienia rolę, projekt się kończy, dostawca zakończył usługę, ale dostęp zostaje. Były pracownik nadal ma konto, a osoba z poprzedniego projektu nadal widzi dane klienta.

Jak wygląda błąd?

  • brak zgłoszenia zmiany roli
  • pozostawienie dostępu po projekcie
  • brak odebrania dostępu dostawcy
  • konto byłego pracownika nadal aktywne
  • współdzielone hasła bez zmiany po odejściu osoby

Co może się stać?

  • nieuprawniony dostęp do danych
  • wyciek informacji klienta
  • działania z konta osoby, która już nie pracuje
  • nadużycie uprawnień
  • brak zgodności z wymaganiami audytu

Jak szkolić?

  • ucz managerów, że zmiana roli to zmiana dostępu
  • wprowadź checklistę offboardingu
  • ćwicz proces odejścia pracownika
  • przeglądaj dostępy co kwartał
  • ucz pracowników, że nie powinni korzystać z dostępu, którego już nie potrzebują

Prosta zasada dla pracownika i managera

Dostęp jest potrzebny tylko tak długo, jak istnieje realna potrzeba biznesowa.

Błąd 9: Nie zgłaszanie podejrzanego zdarzenia albo własnego błędu

To jeden z najgroźniejszych błędów, bo zamienia mały incydent w duży. Pracownik kliknął link, podał hasło, wysłał plik do złego odbiorcy albo zatwierdził podejrzane MFA, ale boi się konsekwencji i milczy.

Jak wygląda błąd?

  • pracownik nie zgłasza kliknięcia w phishing
  • pracownik nie mówi, że podał hasło
  • pracownik sam usuwa wiadomość i uznaje sprawę za zamkniętą
  • pracownik nie zgłasza zgubionego telefonu
  • pracownik czeka do końca dnia, mimo że zdarzenie jest pilne

Co może się stać?

  • atakujący ma więcej czasu
  • incydent rozprzestrzenia się na inne systemy
  • trudniej ustalić zakres zdarzenia
  • firma traci dowody
  • koszt reakcji rośnie

Jak szkolić?

  • buduj kulturę zgłaszania bez obwiniania
  • nagradzaj szybkie zgłoszenia
  • mów jasno, gdzie zgłaszać incydenty
  • używaj prostych kanałów zgłoszeń
  • ćwicz scenariusz „kliknąłem, co dalej?”

Prosta zasada dla pracownika

Szybkie zgłoszenie błędu chroni firmę. Ukrycie błędu pomaga atakującemu.

Błąd 10: Zbyt duże zaufanie do wiadomości, telefonu, głosu lub obrazu

Ataki socjotechniczne nie kończą się na e-mailu. Pracownik może dostać telefon od „prezesa”, wiadomość od „dostawcy”, nagranie głosowe, prośbę w komunikatorze, zaproszenie do spotkania albo materiał wyglądający jak prawdziwy. AI i deepfake zwiększają wiarygodność takich prób.

Jak wygląda błąd?

  • wykonanie polecenia po telefonie bez weryfikacji
  • zaufanie wiadomości z przejętego konta dostawcy
  • akceptacja nietypowej prośby, bo wygląda jak od przełożonego
  • zmiana danych klienta bez potwierdzenia
  • udzielenie informacji osobie podszywającej się pod IT

Co może się stać?

  • fałszywy przelew
  • wyciek danych
  • reset konta dla atakującego
  • udostępnienie plików
  • obejście procedur bezpieczeństwa

Jak szkolić?

  • ucz, że wiarygodny wygląd nie jest dowodem prawdziwości
  • wprowadź hasła telefoniczne lub drugi kanał dla operacji wysokiego ryzyka
  • ćwicz scenariusze deepfake, vishing i smishing
  • zabroń obchodzenia procedur przez autorytet
  • ucz, że presja i tajemnica są czerwonymi flagami

Prosta zasada dla pracownika

Nietypowa prośba od ważnej osoby nadal wymaga weryfikacji. Autorytet nie znosi procedury.

Jak zamienić błędy w program szkoleniowy?

Skuteczne szkolenie nie powinno zaczynać się od slajdu „czym jest phishing”. Powinno zaczynać się od realnych sytuacji z pracy. Pracownik musi ćwiczyć decyzje, które podejmuje w codziennych procesach.

Szkolenie powinno obejmować:

  • phishing w poczcie, SMS-ach, QR kodach i komunikatorach
  • MFA i nieoczekiwane powiadomienia
  • hasła i menedżer haseł
  • wysyłanie danych i udostępnianie plików
  • procedurę płatności i zmiany rachunku
  • zasady użycia narzędzi AI i prywatnych aplikacji
  • zgłaszanie błędów bez obawy przed karą
  • reakcję po kliknięciu w link lub podaniu hasła

Najlepsze formy szkolenia

  • krótkie scenariusze zamiast długich prezentacji
  • ćwiczenia dla działów wysokiego ryzyka
  • symulacje phishingu z omówieniem
  • mikrolekcje po 5 do 10 minut
  • ćwiczenia „co robisz w tej sytuacji?”
  • tabletop dla finansów, HR, sprzedaży i zarządu

Lista kontrolna dla pracownika

  • czy ta wiadomość jest oczekiwana?
  • czy nadawca i domena są prawidłowe?
  • czy link prowadzi tam, gdzie powinien?
  • czy ktoś prosi o hasło, kod MFA, dane lub płatność?
  • czy prośba jest pilna, tajna albo nietypowa?
  • czy trzeba sprawdzić ją drugim kanałem?
  • czy załącznik jest spodziewany?
  • czy wysyłam dane do właściwej osoby?
  • czy używam zatwierdzonego narzędzia?
  • czy powinienem zgłosić to bezpieczeństwu lub IT?

Lista kontrolna dla managera

  • czy nowy pracownik dostał szkolenie startowe?
  • czy pracownik po zmianie roli ma właściwe uprawnienia?
  • czy były pracownik stracił dostęp tego samego dnia?
  • czy zespół zna procedurę phishingu?
  • czy zespół wie, jak zgłaszać błędy?
  • czy finanse znają procedurę płatności?
  • czy zespół używa zatwierdzonych narzędzi?
  • czy ktoś omija procedury pod presją czasu?
  • czy powtarzalne błędy są omawiane bez obwiniania?
  • czy wnioski ze szkoleń trafiają do procesów?

Jak mierzyć skuteczność szkoleń?

Wiele firm mierzy tylko, ile osób kliknęło w symulację phishingu. To za mało. Celem jest zmiana zachowania, a nie samo obniżenie procentu kliknięć.

Lepsze metryki

  • liczba zgłoszonych podejrzanych wiadomości
  • czas od otrzymania wiadomości do zgłoszenia
  • liczba szybkich zgłoszeń po kliknięciu
  • liczba nieoczekiwanych powiadomień MFA zgłoszonych przez pracowników
  • liczba potwierdzeń drugim kanałem w finansach
  • liczba błędów wysyłki danych
  • liczba kont współdzielonych usuniętych po szkoleniu
  • liczba pracowników po szkoleniu rolowym
  • liczba działań naprawczych po ćwiczeniach

Co powinien widzieć zarząd?

  • najczęstsze błędy w organizacji
  • działy o najwyższym ryzyku
  • trendy zgłoszeń phishingu
  • status szkoleń
  • najważniejsze luki procesowe
  • działania naprawcze i ich terminy

Jakie dokumenty i dowody warto przygotować?

Dokumenty

  • polityka akceptowalnego użycia systemów
  • polityka haseł i dostępu
  • procedura zgłaszania phishingu
  • procedura podejrzanego MFA
  • procedura płatności i zmiany rachunku dostawcy
  • zasady korzystania z narzędzi AI
  • procedura zgłaszania incydentów
  • checklista offboardingu

Dowody szkoleniowe

  • plan szkoleń
  • lista uczestników
  • materiały szkoleniowe
  • wyniki krótkich testów
  • potwierdzenie zapoznania się z procedurami
  • raport ćwiczeń scenariuszowych

Dowody zachowań

  • rejestr zgłoszonych wiadomości
  • rejestr zgłoszonych incydentów i near miss
  • raport symulacji phishingu
  • raport zgłoszeń podejrzanego MFA
  • raport potwierdzeń drugim kanałem
  • lista działań naprawczych

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela programu cyberświadomości
  • zidentyfikuj działy wysokiego ryzyka: finanse, HR, sprzedaż, obsługa klienta, IT i zarząd
  • przygotuj listę 10 najważniejszych błędów dla firmy
  • uruchom prosty kanał zgłaszania phishingu i incydentów
  • przygotuj zasady: hasła, MFA, phishing, płatności i dane
  • przeszkol pracowników z najważniejszych zasad
  • przygotuj komunikat: zgłaszanie błędów nie jest karane
  • zacznij mierzyć zgłoszenia i czas reakcji

Dni 31 do 60

  • przeprowadź szkolenia rolowe dla finansów, HR, sprzedaży i zarządu
  • przećwicz scenariusz podania kodu MFA
  • przećwicz fałszywą zmianę rachunku dostawcy
  • przećwicz wysyłkę danych do złego odbiorcy
  • wdroż menedżer haseł albo popraw jego użycie
  • usuń lub ogranicz konta współdzielone
  • wykonaj przegląd uprawnień w działach wysokiego ryzyka
  • przygotuj pierwszy raport dla zarządu

Dni 61 do 90

  • przeprowadź kontrolowaną symulację phishingu
  • omów wyniki bez publicznego zawstydzania pracowników
  • zaktualizuj procedury po wnioskach
  • zamknij najczęstsze luki procesowe
  • przygotuj mikrolekcje przypominające
  • zbuduj dashboard cyberświadomości
  • ustal kwartalny cykl szkoleń i ćwiczeń
  • włącz szkolenie do onboardingu i offboardingu

Najczęstsze błędy w szkoleniach cyberświadomości

Błąd 1: straszenie zamiast uczenia zachowań

Pracownik po szkoleniu powinien wiedzieć, co zrobić, a nie tylko czego się bać.

Błąd 2: jedno szkolenie dla wszystkich

Finanse, HR, sprzedaż, IT i zarząd mają różne ryzyka. Szkolenie powinno uwzględniać role.

Błąd 3: obwinianie klikających

Publiczne zawstydzanie zmniejsza zgłaszanie błędów. A szybkie zgłoszenie jest kluczowe.

Błąd 4: mierzenie tylko kliknięć

Ważniejsze jest, czy pracownicy zgłaszają podejrzane sytuacje i czy procedury działają.

Błąd 5: brak prostego kanału zgłoszeń

Jeżeli zgłoszenie jest trudne, pracownik odłoży je na później albo nie zgłosi wcale.

Błąd 6: brak wsparcia managerów

Jeżeli manager wymaga szybkości kosztem procedury, szkolenie nie zadziała.

Błąd 7: brak aktualizacji scenariuszy

Ataki zmieniają się. Szkolenia muszą obejmować SMS-y, telefony, QR kody, deepfake, AI i przejęte konta dostawców.

Błąd 8: brak połączenia z procedurami

Szkolenie bez procedury phishingu, płatności, MFA i zgłaszania incydentów zostaje teorią.

Przykład biznesowy

Firma usługowa zatrudnia 60 osób. Ma Microsoft 365, CRM, system fakturowania, chmurę plików i zewnętrzną księgowość. Po dwóch incydentach: kliknięciu w fałszywy link do logowania i próbie zmiany rachunku dostawcy, zarząd prosi o „szkolenie z phishingu”.

Krótki przegląd pokazuje jednak, że problem nie dotyczy samego phishingu. Pracownicy nie wiedzą, gdzie zgłaszać podejrzane wiadomości. Finanse nie mają procedury drugiego kanału. MFA jest włączone, ale pracownicy nie wiedzą, co zrobić przy nieoczekiwanym powiadomieniu. Hasła do niektórych kont marketingowych są współdzielone. Managerowie naciskają na szybkie wykonanie zadań, nawet gdy prośba jest nietypowa.

Firma przygotowuje program na 90 dni. Wprowadza kanał zgłoszeń, szkoli pracowników na scenariuszach, wdraża procedurę płatności, ćwiczy podejrzane MFA, ogranicza konta współdzielone i raportuje do zarządu nie tylko kliknięcia, ale też zgłoszenia i czas reakcji. Po trzech miesiącach liczba zgłoszeń rośnie, co początkowo wygląda jak więcej problemów. W praktyce firma widzi więcej ryzyk wcześniej i może szybciej reagować.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom budować programy cyberświadomości, które zmieniają zachowania, a nie tylko odhaczają szkolenie. Łączymy szkolenia, procedury, symulacje, metryki i raportowanie dla zarządu.

Możemy wesprzeć organizację w obszarach:

  • audyt cyberświadomości i zachowań pracowników
  • program szkoleń cyber dla MŚP i firm regulowanych
  • szkolenia phishing, MFA, hasła, ransomware i płatności
  • szkolenia rolowe dla finansów, HR, sprzedaży, IT i zarządu
  • symulacje phishingu z omówieniem
  • procedura zgłaszania phishingu i incydentów
  • procedura płatności i zmiany rachunku dostawcy
  • ćwiczenia deepfake, vishing, smishing i MFA fatigue
  • dashboard cyberświadomości dla zarządu
  • pakiet dowodów szkoleń do audytu, ISO 27001, NIS2 i cyberubezpieczenia

Najlepszym pierwszym krokiem jest Cyber Awareness Risk Workshop. W krótkim warsztacie można ustalić, które błędy są najgroźniejsze dla firmy, które działy wymagają szkoleń rolowych i jakie procedury trzeba poprawić, aby pracownicy mogli działać bezpiecznie.

FAQ

Czy pracownicy są najsłabszym ogniwem cyberbezpieczeństwa?

Nie warto tak tego ujmować. Pracownicy są częścią systemu bezpieczeństwa. Jeżeli nie mają jasnych zasad, prostych narzędzi i kultury zgłaszania, będą popełniać błędy częściej.

Jaki błąd pracownika jest najgroźniejszy?

Najgroźniejsze jest szybkie wykonanie nietypowej prośby bez weryfikacji: kliknięcie linku, podanie kodu MFA, zmiana rachunku dostawcy albo wysłanie danych do niewłaściwej osoby.

Czy symulacje phishingu działają?

Działają najlepiej wtedy, gdy są połączone z omówieniem, procedurą zgłaszania i szkoleniem. Sama symulacja bez nauki zachowań może tylko stresować pracowników.

Jak często szkolić pracowników?

Najlepiej krócej, ale częściej. Szkolenie startowe przy onboardingu, krótkie przypomnienia kwartalne i szkolenia rolowe dla działów wysokiego ryzyka są praktyczniejsze niż jedna długa prezentacja rocznie.

Co zrobić, gdy pracownik kliknie w phishing?

Powinien zgłosić zdarzenie natychmiast, bez obawy przed karą. Firma powinna zmienić hasło, sprawdzić sesje, MFA, logowania, reguły poczty i zakres ewentualnego dostępu atakującego.

Czy trzeba karać pracowników za błędy?

Karanie zwykle zmniejsza zgłaszanie. Lepsze są jasne zasady, szybka reakcja, szkolenie i konsekwencje tylko dla świadomego, powtarzalnego obchodzenia procedur.

Jak mierzyć cyberświadomość?

Mierz zgłoszenia, czas reakcji, liczbę zgłoszonych podejrzanych MFA, skuteczność drugiego kanału, błędy wysyłki danych, wyniki ćwiczeń i działania naprawcze.

Od czego zacząć?

Zacznij od trzech rzeczy: prosty kanał zgłaszania, szkolenie z phishingu i MFA oraz procedura drugiego kanału dla płatności, danych i zmian dostępu.

Podsumowanie

Najczęstsze incydenty często zaczynają się od codziennych decyzji pracowników: kliknięcia linku, podania kodu, wysłania pliku, zatwierdzenia płatności, użycia prywatnego narzędzia albo zignorowania nietypowego sygnału. To nie oznacza, że winny jest tylko człowiek. Oznacza, że firma musi projektować procesy tak, aby bezpieczne zachowanie było proste.

Najważniejsze działania to szkolenia rolowe, procedura zgłaszania, MFA, menedżer haseł, drugi kanał weryfikacji, jasne zasady dla danych i narzędzi, bezpieczny offboarding oraz kultura, w której szybkie zgłoszenie błędu jest doceniane.

Najlepsza zasada brzmi: nie oczekuj od pracowników doskonałości. Daj im jasne zasady, proste narzędzia, możliwość zatrzymania procesu i bezpieczną ścieżkę zgłaszania, zanim mały błąd stanie się dużym incydentem.

Źródła

  • NCSC: Small organisations guide to cyber security - źródło dotyczące praktycznych działań dla małych i średnich organizacji, kopii zapasowych, ochrony urządzeń, poczty, kont online, rozpoznawania oszustw i roli całego zespołu w cyberbezpieczeństwie.
  • NCSC: Spotting cyber attacks - źródło dotyczące nietypowych wiadomości, alertów logowania, dziwnego zachowania urządzeń, nieautoryzowanych płatności, phishingu i weryfikacji podejrzanych wiadomości bez używania linków z wiadomości.
  • NCSC: Password policy - updating your approach - źródło dotyczące przeciążenia hasłami, ponownego używania haseł, niebezpiecznego przechowywania, MFA, menedżerów haseł, monitoringu logowań i nowoczesnego podejścia do polityki haseł.
  • Verizon: Data Breach Investigations Report 2026 - źródło dotyczące roli czynnika ludzkiego, socjotechniki, phishingu, skradzionych danych logowania, podatności, ransomware, MFA, aktualizacji, szkoleń i planu reagowania.
  • CIS Control 14: Security Awareness and Skills Training - źródło dotyczące programu świadomości i szkoleń, który ma wpływać na zachowania pracowników i zmniejszać ryzyko cyber dla organizacji.
  • CIS Critical Security Controls Version 8.1 - źródło pomocnicze dla kontroli takich jak zarządzanie kontami, kontrola dostępu, ochrona poczty i przeglądarek, odzyskiwanie danych, zarządzanie dostawcami, szkolenia i incident response.
  • FTC: Cybersecurity for Small Business - źródło dotyczące aktualizacji, kopii zapasowych, silnych haseł, MFA, szyfrowania, szkoleń pracowników, planu reakcji i NIST Cybersecurity Framework dla małych firm.
  • NIST Cybersecurity Framework 2.0 - źródło pomocnicze dla uporządkowania programu cyberbezpieczeństwa i cyberświadomości przez funkcje Govern, Identify, Protect, Detect, Respond i Recover.

Ubezpieczenie cybernetyczne: co trzeba mieć wdrożone, zanim ubezpieczyciel zada pytania

Cyberubezpieczenie nie zastępuje cyberbezpieczeństwa. Zanim ubezpieczyciel zada pytania, firma powinna mieć wdrożone i udokumentowane minimum: MFA, backup z testem odtworzenia, ochronę poczty, aktualizacje, EDR lub ochronę urządzeń, kontrolę kont administratorów, przegląd uprawnień, szkolenia, procedurę incident response, plan ciągłości działania, rejestr dostawców, procedurę płatności i pakiet dowodów. Najważniejsze jest, aby odpowiedzi w ankiecie ubezpieczeniowej były zgodne z rzeczywistością, bo deklaracje bez dowodów mogą być problemem przy odnowieniu polisy albo przy likwidacji szkody.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

Przed rozmową z ubezpieczycielem firma powinna mieć wdrożone podstawowe zabezpieczenia i dowody ich działania. Najważniejsze są: MFA dla poczty, kont administratorów, chmury i dostępu zdalnego, testowane kopie zapasowe, ochrona urządzeń, aktualizacje, zarządzanie podatnościami, procedura reagowania na incydenty, plan ciągłości działania, szkolenia pracowników, przegląd uprawnień, kontrola dostawców, procedura płatności oraz uporządkowany pakiet dowodów. Cyberubezpieczenie może pomóc pokryć część kosztów incydentu, ale nie zapobiega atakowi i nie zastępuje obowiązku wdrożenia rozsądnych zabezpieczeń. Największym błędem jest wpisanie w ankiecie ubezpieczeniowej, że kontrola działa, jeśli w praktyce nie jest wdrożona albo nie ma na nią dowodu.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • zarząd i właściciele firm
  • CFO, COO, CEO i osoby odpowiedzialne za ryzyko oraz budżet
  • CISO, vCISO, CTO, CIO i dyrektorzy IT
  • compliance, risk, legal, DPO i audyt wewnętrzny
  • MŚP przygotowujące się do pierwszej polisy cyber
  • firmy odnawiające cyberubezpieczenie
  • organizacje po incydencie, które chcą poprawić warunki ubezpieczenia
  • dostawcy IT, software house’y, firmy SaaS i podmioty przetwarzające dane klientów
  • firmy przygotowujące się do audytu klienta, NIS2, ISO 27001 albo cyber risk assessment

Najważniejsze wnioski

  1. Cyberubezpieczenie nie jest zamiennikiem cyberbezpieczeństwa. Jest elementem zarządzania ryzykiem, który działa lepiej, gdy firma ma wdrożone podstawowe kontrole.
  2. Ubezpieczyciel będzie pytał nie tylko o narzędzia, ale też o procesy, dowody, testy, historię incydentów, dostawców, backup i reakcję na incydent.
  3. Najczęstsze pytania dotyczą MFA, backupu, EDR, aktualizacji, podatności, szkoleń, phishingu, kont administratorów, dostępu zdalnego i planu incident response.
  4. Odpowiedzi w ankiecie muszą być zgodne z rzeczywistością. Jeżeli firma deklaruje zabezpieczenie, powinna mieć dowód: raport, konfigurację, test, procedurę albo protokół przeglądu.
  5. Najlepsze przygotowanie to pakiet dowodów ubezpieczeniowych: rejestr aktywów, raport MFA, test restore, access review, szkolenia, incident response plan i lista działań naprawczych.

Po co firmie cyberubezpieczenie?

Cyberubezpieczenie ma pomóc firmie ograniczyć finansowe skutki cyberincydentu. Może obejmować koszty reakcji, usług ekspertów, prawników, odzyskiwania danych, komunikacji kryzysowej, przestoju, roszczeń osób trzecich albo innych kosztów wskazanych w polisie. Zakres zależy od umowy, wyłączeń, limitów, udziałów własnych i warunków spełnionych przez firmę.

Cyberubezpieczenie może być szczególnie przydatne, gdy firma nie ma wewnętrznego zespołu reagowania, nie ma dużego działu prawnego albo chce mieć dostęp do sprawdzonych dostawców po incydencie. Nie oznacza to jednak, że polisa rozwiązuje problem bezpieczeństwa.

Cyberubezpieczenie może pomóc przy:

  • ransomware
  • naruszeniu danych
  • przejęciu poczty
  • przestoju systemów
  • kosztach ekspertów forensic
  • kosztach prawnych
  • komunikacji kryzysowej
  • roszczeniach klientów lub osób trzecich, jeśli polisa to obejmuje
  • odtwarzaniu działania po incydencie

Cyberubezpieczenie nie zastępuje:

  • MFA
  • kopii zapasowych
  • ochrony poczty
  • kontroli dostępu
  • aktualizacji
  • szkoleń
  • incident response planu
  • zarządzania dostawcami
  • decyzji zarządu o ryzyku

Dlaczego ubezpieczyciel zadaje pytania techniczne?

Ubezpieczyciel ocenia ryzyko. Tak jak przy ubezpieczeniu budynku może pytać o alarm, zabezpieczenia przeciwpożarowe i stan instalacji, tak przy cyberubezpieczeniu pyta o zabezpieczenia systemów, danych i procesów. Celem jest ustalenie, czy firma jest narażona na wysokie ryzyko i czy potrafi ograniczyć skutki incydentu.

Pytania techniczne nie są tylko formalnością. Odpowiedzi mogą wpływać na:

  • możliwość uzyskania polisy
  • wysokość składki
  • limity odpowiedzialności
  • udział własny
  • wyłączenia
  • wymagania przed odnowieniem polisy
  • ocenę roszczenia po incydencie

Dlatego ankietę ubezpieczeniową powinny wypełniać wspólnie: zarząd, IT, security, legal, finanse i osoba odpowiedzialna za ryzyko. Nie powinna robić tego jedna osoba na podstawie przypuszczeń.

Najważniejsza zasada: deklaruj tylko to, co możesz udowodnić

Największe ryzyko przy cyberubezpieczeniu to rozjazd między deklaracją a rzeczywistością. Firma może napisać, że ma MFA, backup, EDR i incident response plan, ale po incydencie okazuje się, że MFA nie obejmuje administratorów, backup nie był testowany, EDR nie działa na wszystkich urządzeniach, a plan incydentu nigdy nie był ćwiczony.

Dobra odpowiedź w ankiecie powinna mieć trzy elementy:

  • status: wdrożone, częściowo wdrożone, w planie, nie dotyczy
  • zakres: które systemy, konta, lokalizacje i użytkownicy są objęci
  • dowód: raport, konfiguracja, test, procedura, protokół albo zrzut z systemu

Przykład słabej odpowiedzi

„Mamy MFA”.

Przykład dobrej odpowiedzi

„MFA jest włączone dla Microsoft 365, kont administratorów, VPN, systemu finansowego i menedżera haseł. Wyjątki są opisane w rejestrze. Ostatni raport MFA pochodzi z 15 czerwca 2026 r.”.

O co najczęściej pyta ubezpieczyciel?

Zakres ankiety zależy od ubezpieczyciela, branży, wielkości firmy, przychodów, danych i historii incydentów. W praktyce większość pytań dotyczy kilkunastu powtarzalnych obszarów.

Typowe obszary pytań

  • MFA
  • backup i odtwarzanie
  • ransomware readiness
  • EDR, antywirus i ochrona urządzeń
  • aktualizacje i podatności
  • kontrola dostępu
  • konta administratorów
  • dostęp zdalny
  • ochrona poczty
  • szkolenia phishingowe
  • incident response
  • ciągłość działania
  • szyfrowanie i ochrona danych
  • dostawcy i chmura
  • historia incydentów
  • zgodność z regulacjami

20 rzeczy, które warto mieć wdrożone przed ankietą ubezpieczyciela

1. MFA dla kont krytycznych

MFA jest jedną z pierwszych kontroli, o które pyta ubezpieczyciel. Szczególnie ważne są konta poczty, administratorów, VPN, chmury, bankowości, CRM, systemów finansowych, backupu i dostępu zdalnego.

Minimum

  • MFA dla poczty
  • MFA dla administratorów
  • MFA dla dostępu zdalnego
  • MFA dla chmury i systemów krytycznych
  • rejestr wyjątków
  • proces odbierania dostępu po odejściu pracownika

Dowód: raport MFA z systemu tożsamości, lista wyjątków i decyzje o ich akceptacji.

2. Backup z testem odtworzenia

Ubezpieczyciel będzie chciał wiedzieć nie tylko, czy backup istnieje, ale czy firma potrafi odzyskać dane. Test restore jest ważniejszy niż sama deklaracja, że kopie się wykonują.

Minimum

  • backup danych krytycznych
  • backup poczty, plików, CRM i systemów finansowych, jeśli są krytyczne
  • kopie odseparowane od produkcji
  • ochrona kont backupu
  • test odtworzenia
  • raport błędów backupu

Dowód: raport backupu, raport testu odtworzenia i lista działań naprawczych.

3. Ochrona przed ransomware

Ransomware to jeden z najważniejszych scenariuszy dla ubezpieczycieli. Firma powinna umieć pokazać, że ogranicza prawdopodobieństwo ataku i wpływ ewentualnego incydentu.

Minimum

  • MFA
  • backup
  • EDR albo ochrona urządzeń
  • aktualizacje
  • ograniczenie administratorów
  • blokada niepotrzebnego RDP i dostępu zdalnego
  • plan ransomware
  • ćwiczenie scenariuszowe

Dowód: plan ransomware, raport ćwiczenia, raport EDR i test restore.

4. EDR, antywirus lub ochrona urządzeń

Ubezpieczyciel może pytać, czy firma ma ochronę urządzeń końcowych, kto monitoruje alerty i czy ochrona działa na wszystkich laptopach, serwerach i stacjach roboczych.

Minimum

  • ochrona wszystkich urządzeń firmowych
  • aktualne sygnatury lub mechanizmy wykrywania
  • alerty dla zdarzeń wysokiego ryzyka
  • wyjaśniony proces reakcji
  • lista urządzeń bez ochrony

Dowód: raport pokrycia EDR lub antywirusa, lista wyjątków i raport alertów.

5. Aktualizacje i zarządzanie podatnościami

Pytania o aktualizacje dotyczą systemów operacyjnych, aplikacji, urządzeń sieciowych, serwerów, VPN, firewalla, chmury i systemów internetowych. Firma powinna mieć proces, a nie tylko deklarację.

Minimum

  • automatyczne aktualizacje tam, gdzie to możliwe
  • monitorowanie podatności wysokiego ryzyka
  • terminy naprawy
  • wyjątki z akceptacją ryzyka
  • skanowanie systemów internetowych
  • retest po naprawie

Dowód: raport podatności, raport patch management i lista wyjątków.

6. Kontrola kont administratorów

Konta administratorów są szczególnie interesujące dla ubezpieczycieli, bo ich przejęcie może prowadzić do szerokiego incydentu.

Minimum

  • lista administratorów
  • MFA dla administratorów
  • konta imienne
  • brak współdzielonych kont, jeśli można ich uniknąć
  • oddzielne konta do administracji i codziennej pracy
  • przegląd kwartalny

Dowód: raport kont administratorów i raport przeglądu uprawnień.

7. Przegląd uprawnień

Access review pokazuje, że firma kontroluje, kto ma dostęp do danych i systemów. To dobry dowód do ankiety, audytu i likwidacji szkody.

Minimum

  • przegląd kont użytkowników
  • przegląd administratorów
  • przegląd dostawców
  • usunięcie kont byłych pracowników
  • decyzje: zostaje, ograniczyć, odebrać, wyjaśnić

Dowód: raport access review i lista odebranych uprawnień.

8. Bezpieczny dostęp zdalny

Dostęp zdalny jest częstą drogą wejścia atakujących. Ubezpieczyciel może pytać o VPN, RDP, narzędzia zdalnego wsparcia i dostęp dostawców.

Minimum

  • MFA dla dostępu zdalnego
  • brak publicznie wystawionego RDP, jeśli nie jest konieczny
  • kontrola dostępu dostawców
  • logowanie sesji administracyjnych
  • dostęp czasowy dla dostawców
  • regularny przegląd kont zdalnych

Dowód: opis modelu dostępu zdalnego, raport MFA, lista dostawców z dostępem i logi sesji.

9. Ochrona poczty i phishingu

Poczta jest jednym z najważniejszych punktów ryzyka. Ubezpieczyciel może pytać o MFA, zabezpieczenia antyphishingowe, SPF, DKIM, DMARC i szkolenia.

Minimum

  • MFA dla poczty
  • filtrowanie phishingu i malware
  • SPF, DKIM i DMARC
  • kontrola reguł przekazywania poczty
  • procedura zgłaszania phishingu
  • szkolenie pracowników

Dowód: raport konfiguracji poczty, status SPF/DKIM/DMARC, raport szkoleń i rejestr zgłoszeń.

10. Procedura płatności i business email compromise

Nie każda polisa obejmuje straty z oszustw płatniczych. Dlatego firma powinna mieć procedurę ograniczającą ryzyko fałszywego przelewu i zmiany rachunku dostawcy.

Minimum

  • potwierdzanie zmiany rachunku drugim kanałem
  • zasada dwóch osób dla większych płatności
  • zakaz decyzji pod presją
  • brak używania numeru z podejrzanej wiadomości
  • rejestr zmian danych dostawców
  • szkolenie finansów

Dowód: procedura płatności, rejestr zmian rachunków i potwierdzenia drugim kanałem.

11. Incident response plan

Ubezpieczyciel może pytać, czy firma ma plan reagowania, kto go uruchamia i czy był testowany. Plan powinien być prosty, aktualny i znany osobom decyzyjnym.

Minimum

  • role i odpowiedzialności
  • lista kontaktów awaryjnych
  • playbook ransomware
  • playbook przejęcia poczty
  • procedura zabezpieczenia logów
  • ścieżka eskalacji do zarządu
  • kontakt do ubezpieczyciela

Dowód: incident response plan i raport z ćwiczenia tabletop.

12. Plan ciągłości działania i odtwarzania

Cyberubezpieczenie często dotyczy kosztów przestoju, ale firma musi umieć pokazać, że ogranicza jego długość i wpływ.

Minimum

  • lista usług krytycznych
  • RTO i RPO
  • plan odtworzenia systemów
  • plan komunikacji kryzysowej
  • procedury ręczne, jeśli potrzebne
  • test planu

Dowód: BCP, DRP, raport testu odtworzenia i lista działań po teście.

13. Inwentaryzacja systemów i danych

Ubezpieczyciel może pytać, co firma chroni, jakie dane przetwarza, gdzie są systemy i które są krytyczne. Bez inwentaryzacji odpowiedzi są zgadywaniem.

Minimum

  • lista systemów
  • lista danych krytycznych
  • właściciele systemów
  • właściciele danych
  • dostawcy
  • status backupu
  • status MFA

Dowód: rejestr aktywów, systemów i danych.

14. Ochrona danych i szyfrowanie

Jeśli firma przetwarza dane osobowe, dane klientów, informacje finansowe albo tajemnice przedsiębiorstwa, ubezpieczyciel może pytać o szyfrowanie i kontrolę dostępu do danych.

Minimum

  • klasyfikacja danych
  • szyfrowanie laptopów
  • szyfrowanie transmisji
  • ograniczenie dostępu do danych wrażliwych
  • bezpieczne usuwanie danych
  • rejestr udostępnień

Dowód: polityka klasyfikacji danych, raport szyfrowania urządzeń i raport dostępu do danych.

15. Szkolenia pracowników

Ubezpieczyciel może pytać o szkolenia z phishingu, MFA, ransomware, haseł i procedur płatności. Sama prezentacja nie wystarczy. Potrzebne są dowody udziału i skuteczności.

Minimum

  • szkolenie startowe
  • szkolenie phishingowe
  • szkolenie dla finansów
  • szkolenie dla zarządu
  • krótkie testy wiedzy
  • cykliczne przypomnienia

Dowód: lista uczestników, materiały, wyniki testu i raport zgłoszeń phishingu.

16. Zarządzanie dostawcami

Atak lub awaria dostawcy może być źródłem szkody. Ubezpieczyciel może pytać o dostawców IT, chmury, hostingu, backupu, systemów finansowych i usług zarządzanych.

Minimum

  • rejestr dostawców krytycznych
  • ocena ryzyka dostawcy
  • umowy z wymaganiami bezpieczeństwa
  • zasady zgłaszania incydentów przez dostawcę
  • kontrola dostępu dostawcy
  • plan wyjścia

Dowód: rejestr dostawców, oceny ryzyka i klauzule bezpieczeństwa w umowach.

17. Historia incydentów i near miss

Ubezpieczyciel może pytać o wcześniejsze incydenty, zgłoszenia, szkody, ransomware, naruszenia danych, fałszywe przelewy i działania naprawcze.

Minimum

  • rejestr incydentów
  • rejestr near miss
  • raporty przyczyn
  • działania naprawcze
  • dowody zamknięcia działań
  • wnioski dla zarządu

Dowód: rejestr incydentów i raport działań po incydencie.

18. Zgodność z regulacjami

Firma powinna wiedzieć, czy podlega NIS2, DORA, KSC, RODO, wymaganiom klientów albo standardom branżowym. Ubezpieczyciel może pytać o obowiązki prawne i potencjalne kary.

Minimum

  • analiza podlegania
  • rejestr wymagań prawnych i umownych
  • procedura naruszenia danych
  • procedura zgłaszania incydentów
  • kontakt do legal i DPO
  • dowody szkoleń i przeglądów

Dowód: analiza podlegania, rejestr wymagań i procedury zgłoszeniowe.

19. Raport dla zarządu

Cyberubezpieczenie jest decyzją zarządczą. Zarząd powinien znać ryzyka, zakres polisy, wyłączenia, limity, wymagania ubezpieczyciela i luki, które mogą wpływać na ochronę.

Minimum

  • status zabezpieczeń
  • największe ryzyka
  • luki wobec ankiety ubezpieczeniowej
  • koszt działań naprawczych
  • zakres polisy
  • wyłączenia
  • rekomendacja decyzji

Dowód: raport dla zarządu i decyzje budżetowe.

20. Repozytorium dowodów

Przy ubezpieczeniu liczy się czas i spójność. Firma powinna mieć jedno miejsce, w którym trzyma dowody dla brokera, ubezpieczyciela, audytora i zespołu likwidacji szkody.

Minimum

  • raport MFA
  • raport backupu
  • raport testu restore
  • raport EDR
  • access review
  • procedury
  • szkolenia
  • rejestr dostawców
  • rejestr incydentów
  • raport działań naprawczych

Dowód: macierz dowodów z właścicielami, datami i statusem aktualności.

Co sprawdzić w samej polisie?

Przy cyberubezpieczeniu nie wystarczy spojrzeć na cenę i limit. Trzeba zrozumieć, co jest objęte ochroną, co jest wyłączone, jakie są warunki wypłaty i jakie obowiązki ma firma przed oraz po incydencie.

Sprawdź:

  • czy polisa obejmuje koszty własne firmy
  • czy obejmuje roszczenia osób trzecich
  • czy obejmuje ransomware
  • czy obejmuje business email compromise i fałszywe przelewy
  • czy obejmuje przerwy w działalności
  • czy obejmuje incydenty u dostawców
  • czy obejmuje koszty prawne i regulacyjne
  • czy obejmuje PR i komunikację kryzysową
  • czy obejmuje forensic i incident response
  • czy ma breach hotline dostępny całodobowo

Sprawdź wyłączenia:

  • wojna i działania państw
  • brak wymaganych zabezpieczeń
  • niezgodne lub niepełne deklaracje w ankiecie
  • incydenty znane przed zawarciem polisy
  • kary administracyjne, jeśli są wyłączone lub nieubezpieczalne
  • fałszywe przelewy, jeśli nie są objęte
  • incydenty u określonych dostawców, jeśli są wyłączone

Jak przygotować odpowiedzi do ankiety ubezpieczeniowej?

Krok 1: zbierz zespół

W ankiecie powinny uczestniczyć osoby od IT, bezpieczeństwa, finansów, legal, ryzyka, HR i zarządu. Jedna osoba zwykle nie zna pełnego obrazu.

Krok 2: odpowiedz zgodnie z faktycznym stanem

Nie wpisuj „tak”, jeśli kontrola działa tylko częściowo. Lepiej wskazać zakres, wyjątki i plan naprawczy.

Krok 3: zbierz dowody

Każda odpowiedź „tak” powinna mieć dowód. Każda odpowiedź „częściowo” powinna mieć plan poprawy.

Krok 4: opisz wyjątki

Wyjątki nie muszą przekreślać polisy, ale muszą być jawne, uzasadnione i zarządzane.

Krok 5: zaktualizuj odpowiedzi przy zmianie sytuacji

Zmiana dostawcy, systemu, backupu, incydent albo istotna zmiana zakresu działania może wymagać rozmowy z brokerem lub ubezpieczycielem.

Minimalny pakiet dowodów przed rozmową z ubezpieczycielem

Dowody techniczne

  • raport MFA
  • raport EDR lub antywirusa
  • raport backupu
  • raport testu odtworzenia
  • raport podatności
  • raport aktualizacji
  • raport szyfrowania urządzeń
  • lista kont administratorów

Dowody organizacyjne

  • polityka bezpieczeństwa informacji
  • polityka haseł i dostępu
  • procedura incident response
  • procedura backupu
  • procedura płatności
  • procedura zgłaszania phishingu
  • plan ciągłości działania
  • lista kontaktów awaryjnych

Dowody procesowe

  • access review
  • checklisty offboardingu
  • rejestr dostawców
  • oceny ryzyka dostawców
  • rejestr incydentów
  • raport tabletop
  • lista działań naprawczych
  • raport dla zarządu

Dowody szkoleniowe

  • plan szkoleń
  • lista uczestników
  • materiały szkoleniowe
  • wyniki testu wiedzy
  • raport symulacji phishingu, jeśli firma je prowadzi
  • potwierdzenie szkolenia finansów z fałszywych przelewów

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela przygotowania do cyberubezpieczenia
  • zbierz ostatnią ankietę lub listę pytań od brokera
  • sprawdź MFA na kontach krytycznych
  • sprawdź zakres backupu
  • przygotuj rejestr systemów i danych krytycznych
  • sprawdź konta administratorów
  • sprawdź ochronę urządzeń
  • przygotuj listę luk i działań pilnych

Dni 31 do 60

  • wykonaj test odtworzenia danych
  • wykonaj przegląd uprawnień
  • usuń konta byłych pracowników
  • zaktualizuj incident response plan
  • przygotuj procedurę płatności i zmiany rachunku
  • przeszkol pracowników z phishingu i MFA
  • oceń dostawców krytycznych
  • zbierz pierwszy pakiet dowodów

Dni 61 do 90

  • przeprowadź ćwiczenie ransomware lub przejęcia poczty
  • zamknij najważniejsze luki wobec ankiety
  • przygotuj raport dla zarządu
  • porównaj zakres polisy z realnymi scenariuszami ryzyka
  • sprawdź wyłączenia i obowiązki po incydencie
  • ustal procedurę kontaktu z ubezpieczycielem po incydencie
  • uruchom repozytorium dowodów
  • przygotuj plan działań do odnowienia polisy

Jak mierzyć gotowość do cyberubezpieczenia?

Metryki techniczne

  • procent kont krytycznych z MFA
  • procent urządzeń z ochroną EDR lub antywirusową
  • data ostatniego testu restore
  • liczba podatności wysokiego ryzyka po terminie
  • liczba kont administratorów
  • liczba systemów bez właściciela

Metryki procesowe

  • data ostatniego access review
  • czas odebrania dostępu po odejściu pracownika
  • liczba otwartych działań naprawczych
  • liczba dostawców bez oceny ryzyka
  • liczba incydentów i near miss
  • data ostatniego ćwiczenia incydentowego

Metryki ubezpieczeniowe

  • liczba pytań z ankiety z odpowiedzią „częściowo”
  • liczba deklaracji bez dowodu
  • liczba wyjątków wymagających akceptacji
  • liczba wyłączeń w polisie, które dotyczą realnych scenariuszy
  • liczba wymagań do spełnienia przed odnowieniem

Najczęstsze błędy firm

Błąd 1: traktowanie ankiety jako formalności

Ankieta ubezpieczeniowa jest dokumentem ryzyka. Odpowiedzi powinny być sprawdzone i zgodne z rzeczywistością.

Błąd 2: deklarowanie MFA bez sprawdzenia zakresu

MFA może działać dla użytkowników, ale nie dla administratorów, VPN, dostawców albo kont awaryjnych. To duża różnica.

Błąd 3: backup bez testu

Ubezpieczyciel może pytać o backup, ale po incydencie ważne będzie, czy firma potrafi odtworzyć dane i systemy.

Błąd 4: brak procedury po incydencie

Po ataku firma dopiero szuka numeru do ubezpieczyciela, prawnika i dostawcy reagowania. To wydłuża chaos.

Błąd 5: nieuwzględnienie business email compromise

Nie każda polisa cyber obejmuje fałszywe przelewy. Trzeba to sprawdzić osobno.

Błąd 6: brak kontroli dostawców

Dostawca może mieć dostęp administratora, backupu albo danych klientów. Ubezpieczyciel może pytać, czy firma zarządza tym ryzykiem.

Błąd 7: brak raportu dla zarządu

Zarząd kupuje polisę, ale nie zna wyłączeń, luk, wymagań i działań potrzebnych do odnowienia.

Błąd 8: brak aktualizacji przy zmianie sytuacji

Firma zmienia chmurę, dostawcę, backup albo model pracy, ale nie aktualizuje informacji przekazanych brokerowi lub ubezpieczycielowi.

Przykład biznesowy

Firma usługowa zatrudnia 80 osób i chce wykupić cyberubezpieczenie. W ankiecie pojawiają się pytania o MFA, backup, EDR, ransomware, szkolenia, incydenty, dostawców i plan reagowania. Zarząd początkowo zakłada, że większość odpowiedzi brzmi „tak”, bo firma ma zewnętrznego dostawcę IT.

Po krótkim przeglądzie okazuje się, że MFA działa w Microsoft 365, ale nie obejmuje kont administratorów dostawcy. Backup istnieje, ale nie był testowany od ponad roku. EDR nie obejmuje wszystkich laptopów. Przegląd uprawnień nie był robiony. Procedura płatności nie istnieje, a szkolenia phishingowe odbyły się tylko raz.

Firma nie wpisuje niepewnych odpowiedzi do ankiety. W ciągu 60 dni poprawia MFA, wykonuje test odtworzenia, przygotowuje access review, uzupełnia EDR, tworzy procedurę płatności i szkoli pracowników. Do ankiety dołącza plan działań naprawczych i dowody. Efekt: rozmowa z brokerem i ubezpieczycielem jest oparta na faktach, a nie na przypuszczeniach.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom przygotować się do cyberubezpieczenia w sposób praktyczny, oparty na ryzyku i dowodach. Nie zaczynamy od samej ankiety. Zaczynamy od sprawdzenia, czy firma ma wdrożone zabezpieczenia, które deklaruje, i czy potrafi je udowodnić.

Możemy wesprzeć organizację w obszarach:

  • cyber insurance readiness assessment
  • przegląd ankiety ubezpieczeniowej
  • weryfikacja MFA, backupu, EDR i dostępu zdalnego
  • test odtworzenia danych
  • przegląd kont administratorów i access review
  • incident response plan i playbook ransomware
  • procedura płatności i business email compromise
  • rejestr i ocena dostawców krytycznych
  • pakiet dowodów dla brokera i ubezpieczyciela
  • raport dla zarządu z lukami, ryzykami i planem działań
  • roadmapa na 30, 60, 90 dni i do odnowienia polisy

Najlepszym pierwszym krokiem jest Cyber Insurance Readiness Workshop. W krótkim warsztacie można sprawdzić, które odpowiedzi w ankiecie są pewne, gdzie brakuje dowodów, które luki mogą wpływać na polisę i co wdrożyć przed rozmową z ubezpieczycielem.

FAQ

Czy cyberubezpieczenie zastępuje cyberbezpieczeństwo?

Nie. Cyberubezpieczenie może pomóc po incydencie, ale nie zapobiega atakowi. Firma nadal musi mieć podstawowe zabezpieczenia, procedury, testy i dowody.

Co ubezpieczyciel sprawdza najczęściej?

MFA, backup, test odtworzenia, EDR, aktualizacje, konta administratorów, dostęp zdalny, szkolenia, incident response, historię incydentów, dostawców i ochronę danych.

Czy trzeba mieć MFA?

W praktyce MFA jest jednym z najważniejszych oczekiwań. Powinno obejmować pocztę, konta administratorów, chmurę, dostęp zdalny i systemy krytyczne.

Czy backup wystarczy?

Nie. Trzeba mieć test odtworzenia, ochronę kont backupu, kopie odseparowane od produkcji i plan przywrócenia systemów krytycznych.

Co jeśli firma nie ma wszystkich zabezpieczeń?

Nie należy udawać, że są wdrożone. Trzeba wskazać stan faktyczny, wyjątki, plan naprawczy i terminy. To lepsze niż deklaracje bez pokrycia.

Czy polisa obejmuje fałszywe przelewy?

Nie zawsze. Business email compromise, social engineering fraud i fałszywe przelewy mogą wymagać osobnego zakresu lub mieć szczególne warunki. Trzeba to sprawdzić w polisie.

Jakie dowody przygotować przed rozmową z brokerem?

Raport MFA, raport backupu, test restore, raport EDR, access review, listę kont administratorów, plan incident response, szkolenia, rejestr dostawców i raport działań naprawczych.

Od czego zacząć?

Zacznij od porównania ankiety ubezpieczeniowej z rzeczywistym stanem zabezpieczeń. Oznacz odpowiedzi pewne, częściowe i bez dowodów, a potem zamknij najważniejsze luki.

Podsumowanie

Cyberubezpieczenie jest ważnym elementem zarządzania ryzykiem, ale działa najlepiej wtedy, gdy firma ma realne zabezpieczenia i dowody. Polisa nie zastąpi MFA, backupu, EDR, szkoleń, procedur, kontroli dostępu i planu reagowania.

Zanim ubezpieczyciel zada pytania, firma powinna przygotować minimum: MFA, testowany backup, ochronę urządzeń, aktualizacje, kontrolę administratorów, access review, ochronę poczty, procedurę płatności, incident response, BCP, szkolenia, dostawców i repozytorium dowodów.

Najlepsza zasada brzmi: nie kupuj polisy na podstawie życzeniowych odpowiedzi. Najpierw sprawdź stan faktyczny, zbierz dowody i pokaż ubezpieczycielowi, że firma realnie zarządza ryzykiem cyber.

Źródła

DORA w praktyce: co oznacza odporność cyfrowa dla firm finansowych i dostawców ICT

DORA oznacza, że firmy finansowe muszą udowodnić, że potrafią działać mimo awarii, cyberataku, błędu dostawcy ICT albo niedostępności kluczowego systemu. Odporność cyfrowa nie polega tylko na posiadaniu zabezpieczeń technicznych. Obejmuje zarządzanie ryzykiem ICT, ciągłość działania, testy odporności, zgłaszanie incydentów, kontrolę dostawców, rejestr umów ICT, nadzór zarządu i dowody działania. Dla dostawców ICT DORA oznacza większe wymagania umowne, audyty, obowiązki informacyjne, kontrolę podwykonawców i w wybranych przypadkach bezpośredni nadzór jako krytyczny dostawca ICT.

Opracowanie: Zespół redakcyjny CCyber

Odpowiedź w skrócie

DORA, czyli Digital Operational Resilience Act, to unijne rozporządzenie dotyczące cyfrowej odporności operacyjnej sektora finansowego. W praktyce oznacza, że banki, ubezpieczyciele, firmy inwestycyjne, instytucje płatnicze, dostawcy usług związanych z kryptoaktywami i inne podmioty finansowe muszą zarządzać ryzykiem ICT w sposób udokumentowany, testowany i nadzorowany. Firma finansowa musi wiedzieć, które usługi i systemy są krytyczne, jak reaguje na incydent, jak odtwarza działanie, jak kontroluje dostawców ICT i jak raportuje poważne incydenty. Dla dostawców ICT DORA oznacza, że klienci z sektora finansowego będą wymagać większej przejrzystości, lepszych umów, audytowalności, raportowania incydentów, kontroli podwykonawców i dowodów odporności.

Ostatnia aktualizacja

Lipiec 2026

Dla kogo jest ten artykuł

  • zarząd i rady nadzorcze firm finansowych
  • CISO, vCISO, CTO, CIO i dyrektorzy IT
  • compliance, risk, legal, DPO i audyt wewnętrzny
  • banki, ubezpieczyciele, firmy inwestycyjne, instytucje płatnicze i fintechy
  • dostawcy usług chmurowych, hostingu, SaaS, SOC, MDR, backupu i usług zarządzanych
  • software house’y i integratorzy pracujący dla sektora finansowego
  • firmy utrzymujące systemy krytyczne dla podmiotów finansowych
  • organizacje przygotowujące się do DORA, NIS2, ISO 27001, audytu klienta albo cyberubezpieczenia

Najważniejsze wnioski

  1. DORA nie jest tylko regulacją cyberbezpieczeństwa. To regulacja odporności operacyjnej, czyli zdolności firmy finansowej do działania mimo poważnego zakłócenia ICT.
  2. Najważniejsze filary DORA to zarządzanie ryzykiem ICT, obsługa i zgłaszanie incydentów, testowanie odporności, ryzyko dostawców ICT, wymiana informacji oraz nadzór nad krytycznymi dostawcami ICT.
  3. Dla zarządu kluczowe pytanie brzmi: czy wiemy, które usługi są krytyczne, jak długo mogą nie działać i czy mamy dowody, że potrafimy je odtworzyć?
  4. Dla dostawców ICT DORA oznacza mocniejsze wymagania umowne, rejestr informacji, prawo do audytu, kontrolę podwykonawstwa, obowiązki zgłaszania incydentów i większą presję na dowody bezpieczeństwa.
  5. Najlepsze przygotowanie to jeden program odporności: mapa usług krytycznych, rejestr ryzyk ICT, testy, procedury incydentowe, umowy z dostawcami, raportowanie do zarządu i repozytorium dowodów.

Co oznacza DORA w praktyce?

DORA zmienia sposób myślenia o cyberbezpieczeństwie w sektorze finansowym. Nie wystarczy powiedzieć, że firma ma zabezpieczenia, polityki i dostawcę IT. Trzeba pokazać, że organizacja potrafi utrzymać lub odtworzyć działanie usług finansowych po zakłóceniu cyfrowym.

W praktyce DORA wymaga, aby firma finansowa:

  • znała swoje krytyczne lub istotne funkcje
  • zarządzała ryzykiem ICT w sposób formalny
  • miała procedury wykrywania, obsługi i zgłaszania incydentów
  • testowała odporność cyfrową
  • zarządzała ryzykiem dostawców ICT
  • prowadziła rejestr informacji o umowach z dostawcami ICT
  • kontrolowała podwykonawstwo w usługach krytycznych
  • posiadała plany ciągłości działania i odtwarzania
  • raportowała ryzyko zarządowi
  • utrzymywała dowody działania kontroli

Najprościej: DORA wymaga, aby sektor finansowy był odporny nie tylko na typowy cyberatak, ale też na awarię dostawcy, błąd operacyjny, niedostępność chmury, problemy z centrum danych, utratę łączności, błędną zmianę, ransomware i inne zakłócenia ICT.

Czym jest odporność cyfrowa?

Odporność cyfrowa to zdolność organizacji do utrzymania, ochrony, wykrywania, reagowania, odtwarzania i uczenia się po zakłóceniu cyfrowym. W sektorze finansowym chodzi o to, aby incydent ICT nie zatrzymał świadczenia usług, które są ważne dla klientów, rynku i stabilności systemu finansowego.

Odporność cyfrowa obejmuje:

  • zapobieganie zakłóceniom
  • wczesne wykrywanie incydentów
  • szybką reakcję
  • działanie w trybie awaryjnym
  • bezpieczne odtworzenie usług
  • komunikację z klientami, dostawcami i organami
  • analizę przyczyn
  • usuwanie luk
  • ciągłe doskonalenie

To oznacza, że odporność cyfrowa nie jest jednym narzędziem. To system zarządzania ryzykiem, ciągłością działania, dostawcami i dowodami.

Kogo dotyczy DORA?

DORA dotyczy szerokiego katalogu podmiotów finansowych działających w Unii Europejskiej oraz wpływa na dostawców usług ICT obsługujących sektor finansowy. Dokładną kwalifikację zawsze trzeba sprawdzić na podstawie rozporządzenia, przepisów wykonawczych i stanowisk właściwych organów.

Przykładowe podmioty finansowe

  • banki
  • instytucje płatnicze
  • instytucje pieniądza elektronicznego
  • firmy inwestycyjne
  • zarządzający funduszami
  • zakłady ubezpieczeń i reasekuracji
  • pośrednicy ubezpieczeniowi, jeśli są w zakresie
  • centralne depozyty papierów wartościowych
  • kontrahenci centralni
  • systemy obrotu
  • repozytoria transakcji
  • dostawcy usług w zakresie kryptoaktywów, jeśli są objęci właściwymi przepisami

Dostawcy ICT

DORA wpływa także na dostawców ICT, czyli firmy dostarczające technologie informacyjno-komunikacyjne dla sektora finansowego. Nie każdy dostawca ICT staje się automatycznie podmiotem bezpośrednio nadzorowanym przez unijne organy. Większość dostawców odczuje DORA przez wymagania umowne klientów finansowych. Dostawcy uznani za krytycznych mogą podlegać szczególnemu nadzorowi na poziomie europejskim.

Przykłady dostawców ICT

  • dostawcy chmury
  • centra danych
  • dostawcy hostingu
  • dostawcy systemów bankowych i ubezpieczeniowych
  • firmy SaaS
  • dostawcy SOC i MDR
  • dostawcy backupu i odtwarzania
  • integratorzy systemów
  • software house’y
  • dostawcy narzędzi do monitoringu, tożsamości i płatności

Najważniejsze filary DORA

1. Zarządzanie ryzykiem ICT

Firma finansowa musi mieć ramy zarządzania ryzykiem ICT. Nie chodzi tylko o dokument, ale o działający proces: identyfikację aktywów, ocenę ryzyka, zabezpieczenia, monitoring, reagowanie, odtwarzanie i raportowanie.

W praktyce oznacza to:

  • rejestr aktywów ICT
  • mapę systemów krytycznych
  • rejestr ryzyk ICT
  • właścicieli ryzyk
  • polityki i procedury bezpieczeństwa
  • kontrolę dostępu
  • MFA dla kont krytycznych
  • ochronę danych
  • monitoring i logi
  • plany ciągłości i odtwarzania
  • raportowanie do zarządu

2. Incydenty ICT i raportowanie

DORA wymaga zarządzania incydentami ICT, ich klasyfikacji i raportowania poważnych incydentów do właściwych organów. Firma musi mieć procedurę, role, szablony, ścieżkę eskalacji i dowody reakcji.

W praktyce oznacza to:

  • kryteria klasyfikacji incydentów
  • rejestr incydentów ICT
  • proces eskalacji
  • szablony zgłoszeń
  • role w zespole reagowania
  • zabezpieczanie logów
  • raport przyczyn i działań naprawczych
  • ćwiczenia scenariuszowe

3. Testowanie odporności cyfrowej

DORA wymaga testowania odporności cyfrowej. Testy nie powinny ograniczać się do jednego testu technicznego. Powinny obejmować procedury, systemy, dostawców, odtwarzanie i scenariusze kryzysowe.

Przykładowe testy

  • testy kopii zapasowych
  • testy odtworzenia systemu krytycznego
  • testy planu ciągłości działania
  • testy bezpieczeństwa aplikacji
  • skanowanie podatności
  • testy penetracyjne
  • ćwiczenia tabletop
  • testy oparte na scenariuszu zagrożeń, jeśli firma jest do tego zobowiązana

4. Ryzyko dostawców ICT

To jeden z najważniejszych obszarów DORA. Sektor finansowy jest silnie zależny od dostawców technologii. DORA wymaga, aby te zależności były widoczne, kontrolowane i opisane w umowach.

W praktyce oznacza to:

  • rejestr umów z dostawcami ICT
  • identyfikację funkcji krytycznych lub istotnych
  • ocenę ryzyka dostawców
  • wymagania bezpieczeństwa w umowach
  • prawo do audytu
  • zasady zgłaszania incydentów przez dostawcę
  • kontrolę podwykonawców
  • plan wyjścia z usługi
  • monitoring jakości usługi

5. Wymiana informacji

DORA przewiduje możliwość wymiany informacji i wiedzy o cyberzagrożeniach między podmiotami finansowymi. W praktyce firmy powinny rozważyć, jak korzystają z informacji o zagrożeniach, ostrzeżeń sektorowych i współpracy branżowej.

W praktyce oznacza to:

  • monitorowanie ostrzeżeń sektorowych
  • korzystanie z informacji o zagrożeniach
  • aktualizację scenariuszy ryzyka
  • uwzględnianie nowych zagrożeń w testach
  • współpracę z właściwymi organizacjami branżowymi, jeśli dotyczy

6. Nadzór nad krytycznymi dostawcami ICT

DORA przewiduje szczególny nadzór nad dostawcami ICT uznanymi za krytycznych dla sektora finansowego. Dla takich dostawców oznacza to wyższe oczekiwania dotyczące ryzyka, kontroli, przejrzystości i współpracy z organami nadzoru.

W praktyce oznacza to:

  • większą widoczność koncentracji ryzyka
  • wymagania wobec kontroli i odporności dostawcy
  • możliwość nadzoru na poziomie europejskim
  • wymagania dotyczące informacji i współpracy
  • większą presję na dowody bezpieczeństwa i odporności

Co DORA oznacza dla zarządu?

DORA wymaga, aby odporność cyfrowa była tematem zarządczym, a nie wyłącznie technicznym. Zarząd powinien rozumieć, które funkcje są krytyczne, jakie ryzyka ICT im zagrażają, jakie działania ograniczające ryzyko są wdrożone i jakie są największe zależności od dostawców.

Zarząd powinien wiedzieć:

  • które usługi są krytyczne dla klientów i rynku
  • które systemy wspierają te usługi
  • jakie są największe ryzyka ICT
  • które incydenty wymagają raportowania
  • które dostawcy wspierają funkcje krytyczne lub istotne
  • czy kopie zapasowe były testowane
  • czy plan ciągłości działania był ćwiczony
  • czy rejestr informacji o umowach ICT jest aktualny
  • czy istnieją luki wymagające decyzji budżetowej

Zarząd powinien zatwierdzić:

  • ramy zarządzania ryzykiem ICT
  • apetyt na ryzyko ICT
  • priorytety odporności cyfrowej
  • budżet działań krytycznych
  • plan ciągłości działania i odtwarzania
  • plan testów odporności cyfrowej
  • zasady zarządzania dostawcami ICT
  • akceptacje ryzyka i wyjątki

Co DORA oznacza dla firm finansowych?

Dla firm finansowych DORA oznacza konieczność przejścia od podejścia „mamy IT i bezpieczeństwo” do podejścia „umiemy udowodnić odporność cyfrową”. To duża różnica.

Firma finansowa powinna przygotować:

  • ramy zarządzania ryzykiem ICT
  • mapę usług krytycznych lub istotnych
  • rejestr aktywów ICT
  • rejestr ryzyk ICT
  • procedury incydentów ICT
  • proces raportowania poważnych incydentów
  • program testowania odporności
  • plan ciągłości działania
  • plan odtwarzania po incydencie
  • rejestr informacji o umowach ICT
  • ocenę ryzyka dostawców ICT
  • plan wyjścia dla krytycznych dostawców
  • repozytorium dowodów

Co DORA oznacza dla dostawców ICT?

Dostawcy ICT obsługujący sektor finansowy powinni traktować DORA jako istotną zmianę oczekiwań klientów. Nawet jeśli dostawca nie jest bezpośrednio nadzorowany jako krytyczny dostawca ICT, jego klienci finansowi będą musieli wykazać, że kontrolują ryzyko dostawców.

Dostawca ICT powinien spodziewać się pytań o:

  • ciągłość działania
  • plan odtwarzania
  • czasy RTO i RPO
  • zgłaszanie incydentów
  • podwykonawców
  • lokalizację danych
  • testy bezpieczeństwa
  • kontrolę dostępu
  • MFA dla kont administratorów
  • szyfrowanie
  • logi i monitoring
  • prawo do audytu
  • plan wyjścia
  • dowody zgodności

Dostawca ICT powinien przygotować:

  • opis usług i granic odpowiedzialności
  • pakiet dowodów bezpieczeństwa
  • raport z testów odporności
  • procedurę incydentową dla klientów finansowych
  • listę podwykonawców
  • procedurę zmiany podwykonawcy
  • plan wyjścia i migracji
  • model raportowania SLA i incydentów
  • opis architektury bezpieczeństwa
  • dowody szkoleń i kontroli dostępu

Funkcje krytyczne lub istotne: serce DORA

W DORA bardzo ważne jest rozróżnienie funkcji krytycznych lub istotnych. To one wskazują, które procesy, systemy i dostawcy mają największe znaczenie dla odporności firmy finansowej.

Funkcja może być krytyczna lub istotna, jeśli jej zakłócenie:

  • może istotnie wpłynąć na ciągłość usług finansowych
  • może narazić klientów na szkodę
  • może utrudnić spełnienie obowiązków regulacyjnych
  • może wpłynąć na stabilność operacyjną firmy
  • może spowodować istotne straty finansowe lub reputacyjne

Przykłady funkcji i systemów

  • bankowość elektroniczna
  • systemy płatności
  • obsługa polis i szkód
  • systemy transakcyjne
  • rozliczenia
  • systemy ryzyka
  • tożsamość i dostęp
  • systemy chmurowe wspierające usługi finansowe
  • systemy cyberbezpieczeństwa i monitoringu

Rejestr informacji o umowach ICT

Jednym z praktycznych wymagań DORA jest rejestr informacji o umowach z dostawcami ICT. To nie jest zwykła lista dostawców. To uporządkowany zestaw danych o tym, jakie usługi ICT wspierają firmę, które funkcje są nimi objęte i jakie ryzyko wynika z tych zależności.

Rejestr powinien pomagać odpowiedzieć na pytania:

  • kto jest dostawcą ICT?
  • jaka usługa jest świadczona?
  • czy usługa wspiera funkcję krytyczną lub istotną?
  • gdzie są przetwarzane dane?
  • czy występują podwykonawcy?
  • jakie są warunki rozwiązania umowy?
  • czy istnieje plan wyjścia?
  • jak dostawca zgłasza incydenty?
  • czy firma ma prawo do audytu?
  • kto jest właścicielem relacji z dostawcą?

Dowód do przygotowania: aktualny rejestr informacji o umowach ICT, powiązany z funkcjami krytycznymi lub istotnymi.

Umowy z dostawcami ICT: co musi się zmienić?

DORA sprawia, że umowy z dostawcami ICT muszą być bardziej precyzyjne. Szczególnie wtedy, gdy dostawca wspiera funkcję krytyczną lub istotną.

W umowie warto sprawdzić:

  • opis usługi
  • lokalizację świadczenia usługi i przetwarzania danych
  • poziomy usług
  • wymagania bezpieczeństwa
  • obowiązki zgłaszania incydentów
  • prawo do audytu
  • zasady podwykonawstwa
  • warunki rozwiązania umowy
  • obowiązki pomocy przy migracji
  • dostęp do danych i ich zwrot
  • testy ciągłości działania
  • plan wyjścia

Czerwone flagi

  • brak prawa do audytu
  • brak jasnych czasów zgłaszania incydentów
  • niejasne podwykonawstwo
  • brak informacji o lokalizacji danych
  • brak planu wyjścia
  • brak obowiązku wsparcia przy odtwarzaniu
  • brak dowodów testów odporności
  • niejasne granice odpowiedzialności

Testowanie odporności cyfrowej

Testowanie w DORA powinno odpowiadać na pytanie: czy firma potrafi działać, gdy coś pójdzie źle? Nie chodzi tylko o test techniczny. Chodzi o sprawdzenie ludzi, procesów, dostawców, kopii, komunikacji i decyzji zarządu.

Minimalny program testów

  • test odtworzenia z kopii zapasowej
  • ćwiczenie ransomware
  • test awarii dostawcy chmurowego
  • test niedostępności systemu płatniczego
  • test przejęcia konta administratora
  • test komunikacji bez poczty firmowej
  • test eskalacji incydentu do zarządu
  • test zgłoszenia poważnego incydentu ICT

Dowody testów

  • scenariusz testu
  • data i uczestnicy
  • wynik testu
  • wykryte luki
  • działania naprawcze
  • właściciele działań
  • terminy zamknięcia
  • raport dla zarządu

Incydenty ICT: co trzeba przygotować?

DORA wymaga, aby firma potrafiła identyfikować, klasyfikować i raportować incydenty ICT. To wymaga wcześniejszego przygotowania, bo w trakcie incydentu nie ma czasu na tworzenie procesu od zera.

Przygotuj:

  • definicję incydentu ICT
  • kryteria poważnego incydentu ICT
  • rejestr incydentów
  • ścieżkę eskalacji
  • szablon zgłoszenia początkowego
  • szablon raportu pośredniego
  • szablon raportu końcowego
  • listę właściwych kontaktów
  • proces powiadamiania klientów, jeśli jest wymagany
  • procedurę działań naprawczych

Najczęstszy błąd

Firma ma plan reagowania na incydenty, ale nie ma procedury klasyfikacji i raportowania zgodnej z DORA. Wtedy w kryzysie ludzie wiedzą, że „coś się stało”, ale nie wiedzą, czy i jak raportować.

DORA a NIS2: jak to rozumieć?

DORA i NIS2 mają wspólny cel: większą odporność cyfrową i cyberbezpieczeństwo. Różnią się jednak zakresem. DORA jest szczególną regulacją dla sektora finansowego i ryzyka ICT. NIS2 dotyczy szerokiego katalogu sektorów krytycznych i ważnych.

Dla firm finansowych

Jeżeli firma finansowa podlega DORA, wymagania DORA będą podstawową regulacją dla obszaru cyfrowej odporności operacyjnej. Nie oznacza to, że można ignorować inne regulacje, ale dla ryzyka ICT w sektorze finansowym DORA jest kluczowym punktem odniesienia.

Dla dostawców ICT

Dostawca ICT może jednocześnie odczuwać wymagania DORA od klientów finansowych i wymagania NIS2, jeśli sam jest objęty NIS2 albo obsługuje podmioty z innych sektorów regulowanych. Dlatego dostawcy powinni budować jeden program bezpieczeństwa, który obsłuży wiele regulacji i audytów.

DORA a ISO 27001

ISO 27001 może bardzo pomóc w przygotowaniu do DORA, ale nie zastępuje DORA. ISO 27001 daje system zarządzania bezpieczeństwem informacji, rejestr ryzyk, kontrole, audyty, przeglądy zarządzania i działania korygujące. DORA dodaje szczegółowe wymagania sektora finansowego, zwłaszcza w zakresie ryzyka ICT, incydentów, testów odporności i dostawców ICT.

Najlepsze podejście

  • użyj ISO 27001 jako systemu zarządzania
  • dodaj wymagania DORA do mapy kontroli
  • rozszerz rejestr ryzyk o ryzyka ICT DORA
  • uzupełnij umowy z dostawcami ICT
  • dodaj procedury raportowania incydentów ICT
  • prowadź jedno repozytorium dowodów

Lista kontrolna DORA dla firmy finansowej

Governance

  • czy zarząd zatwierdził ramy zarządzania ryzykiem ICT?
  • czy są właściciele funkcji krytycznych lub istotnych?
  • czy jest raport ryzyka ICT dla zarządu?
  • czy istnieje plan odporności cyfrowej?
  • czy ryzyko dostawców jest raportowane zarządowi?

Ryzyko ICT

  • czy istnieje rejestr ryzyk ICT?
  • czy ryzyka są powiązane z usługami i systemami?
  • czy kontrole mają właścicieli?
  • czy istnieją akceptacje ryzyka?
  • czy działania naprawcze mają terminy?

Incydenty

  • czy istnieje procedura klasyfikacji incydentów ICT?
  • czy istnieją szablony zgłoszeń?
  • czy ludzie wiedzą, kto eskaluje incydent?
  • czy firma ćwiczy poważny incydent ICT?
  • czy incydenty kończą się raportem i działaniami naprawczymi?

Testy i odtwarzanie

  • czy istnieje program testów odporności cyfrowej?
  • czy kopie zapasowe są testowane?
  • czy RTO i RPO są znane?
  • czy testowano awarię dostawcy?
  • czy wyniki testów trafiają do zarządu?

Dostawcy ICT

  • czy istnieje rejestr informacji o umowach ICT?
  • czy zidentyfikowano dostawców wspierających funkcje krytyczne lub istotne?
  • czy umowy zawierają wymagane klauzule bezpieczeństwa?
  • czy podwykonawcy są kontrolowani?
  • czy istnieją plany wyjścia?

Lista kontrolna DORA dla dostawcy ICT

Dowody dla klienta finansowego

  • opis usługi i granic odpowiedzialności
  • opis architektury bezpieczeństwa
  • raport ciągłości działania
  • raport testów odtwarzania
  • procedura zgłaszania incydentów
  • lista podwykonawców
  • informacja o lokalizacji danych
  • certyfikaty i raporty audytowe, jeśli istnieją

Kontrole operacyjne

  • MFA dla kont administratorów
  • konta imienne dla dostępu administracyjnego
  • logowanie działań administracyjnych
  • monitoring dostępności usługi
  • proces zarządzania podatnościami
  • plan ciągłości działania
  • plan odtwarzania po incydencie
  • testy odporności

Umowy i podwykonawcy

  • jasne SLA
  • warunki zgłaszania incydentów
  • prawo klienta do audytu
  • zasady korzystania z podwykonawców
  • procedura zmiany podwykonawcy
  • zasady zwrotu lub usuwania danych
  • plan wyjścia i wsparcie migracji

Jak przygotować praktyczny program DORA?

Krok 1: ustal zakres

Najpierw trzeba ustalić, które podmioty, usługi, systemy, lokalizacje, dostawcy i funkcje są objęte DORA.

Wynik: zakres DORA i mapa funkcji krytycznych lub istotnych.

Krok 2: zrób analizę luk

Porównaj obecny stan z wymaganiami DORA. Sprawdź nie tylko dokumenty, ale też dowody działania.

Wynik: DORA gap analysis z właścicielami i priorytetami.

Krok 3: przygotuj rejestr ryzyk ICT

Rejestr ryzyk powinien łączyć ryzyka technologiczne z usługami finansowymi, klientami, dostawcami i ciągłością działania.

Wynik: rejestr ryzyk ICT zatwierdzony przez właściwe forum zarządcze.

Krok 4: uporządkuj incydenty i raportowanie

Przygotuj procedury klasyfikacji, eskalacji i raportowania poważnych incydentów ICT.

Wynik: procedura incydentów ICT, szablony i test ścieżki zgłoszeniowej.

Krok 5: uruchom program testów odporności

Testuj nie tylko technologię, ale także ludzi, dostawców, odtwarzanie i komunikację.

Wynik: harmonogram testów, raporty i lista działań naprawczych.

Krok 6: zbuduj rejestr informacji o umowach ICT

Rejestr powinien pokazywać pełny obraz zależności od dostawców ICT.

Wynik: rejestr informacji gotowy do raportowania i przeglądu.

Krok 7: zaktualizuj umowy z dostawcami

Najpierw skup się na dostawcach wspierających funkcje krytyczne lub istotne.

Wynik: plan aneksowania umów, nowe klauzule i oceny ryzyka.

Krok 8: przygotuj zarząd

Zarząd powinien rozumieć DORA, ryzyka ICT, funkcje krytyczne, dostawców i scenariusze zakłóceń.

Wynik: szkolenie zarządu, raport ryzyka i decyzje budżetowe.

Krok 9: zbuduj repozytorium dowodów

DORA wymaga dowodów. Dowody powinny być uporządkowane i aktualne.

Wynik: macierz dowodów DORA z właścicielami, datami i statusem.

Krok 10: wykonaj próbny audyt

Próbny audyt pokazuje, czy firma ma realną gotowość, czy tylko dokumenty.

Wynik: raport audytu, lista luk i plan działań korygujących.

Plan działania na 30, 60 i 90 dni

Pierwsze 30 dni

  • wyznacz właściciela programu DORA
  • ustal zakres podmiotów, usług i systemów
  • zidentyfikuj funkcje krytyczne lub istotne
  • zbierz istniejące polityki i procedury ICT
  • rozpocznij rejestr ryzyk ICT
  • sprawdź obecny rejestr dostawców ICT
  • sprawdź MFA, backup i plany odtwarzania
  • przygotuj pierwszy raport dla zarządu

Dni 31 do 60

  • wykonaj analizę luk DORA
  • uruchom rejestr informacji o umowach ICT
  • przygotuj procedurę incydentów ICT
  • przygotuj szablony raportowania incydentów
  • oceń dostawców wspierających funkcje krytyczne lub istotne
  • zaplanuj aktualizację umów z dostawcami
  • wykonaj test odtworzenia dla systemu krytycznego
  • przeszkol zarząd i właścicieli procesów

Dni 61 do 90

  • przeprowadź ćwiczenie poważnego incydentu ICT
  • przetestuj awarię dostawcy krytycznego
  • uzupełnij luki w umowach ICT
  • wykonaj przegląd dostępu dostawców
  • uruchom repozytorium dowodów DORA
  • zamknij działania wysokiego priorytetu
  • przygotuj próbny audyt DORA
  • zatwierdź roadmapę na 12 miesięcy

Jakie dokumenty i dowody warto przygotować?

Dokumenty zarządcze

  • zakres programu DORA
  • mapa funkcji krytycznych lub istotnych
  • ramy zarządzania ryzykiem ICT
  • rejestr ryzyk ICT
  • raport ryzyka dla zarządu
  • decyzje budżetowe
  • akceptacje ryzyka

Dokumenty operacyjne

  • procedura incydentów ICT
  • procedura raportowania poważnych incydentów ICT
  • plan ciągłości działania
  • plan odtwarzania
  • procedura testowania odporności
  • procedura zarządzania podatnościami
  • procedura dostępu uprzywilejowanego

Dokumenty dostawców

  • rejestr informacji o umowach ICT
  • rejestr dostawców krytycznych
  • oceny ryzyka dostawców
  • umowy i aneksy bezpieczeństwa
  • plan wyjścia
  • lista podwykonawców
  • raport przeglądu dostawców

Dowody testów

  • raport testu odtworzenia
  • raport testu ciągłości działania
  • raport ćwiczenia incydentowego
  • raport testów bezpieczeństwa
  • raport podatności
  • lista działań naprawczych
  • dowody zamknięcia luk

Jakie metryki powinien widzieć zarząd?

Metryki odporności

  • procent funkcji krytycznych z określonym RTO i RPO
  • data ostatniego testu odtworzenia
  • czas odtworzenia usługi krytycznej
  • liczba testów odporności w roku
  • liczba otwartych działań po testach

Metryki incydentowe

  • liczba incydentów ICT
  • liczba poważnych incydentów ICT
  • czas wykrycia
  • czas eskalacji
  • czas przygotowania zgłoszenia
  • liczba działań naprawczych po incydentach

Metryki dostawców

  • liczba dostawców ICT w rejestrze
  • liczba dostawców wspierających funkcje krytyczne lub istotne
  • procent umów po przeglądzie DORA
  • liczba dostawców bez planu wyjścia
  • liczba podwykonawców wysokiego ryzyka

Metryki ryzyka

  • liczba ryzyk ICT wysokiego poziomu
  • liczba ryzyk bez właściciela
  • liczba akceptacji ryzyka po terminie
  • liczba działań naprawczych po terminie
  • status roadmapy DORA

Najczęstsze błędy firm

Błąd 1: traktowanie DORA jak projektu dokumentacyjnego

DORA wymaga realnej odporności i dowodów działania. Sama dokumentacja bez testów, rejestrów i decyzji nie wystarczy.

Błąd 2: brak mapy funkcji krytycznych lub istotnych

Firma nie wie, które procesy są najważniejsze, więc nie potrafi dobrze ustalić priorytetów testów, dostawców i odtwarzania.

Błąd 3: rejestr dostawców bez powiązania z ryzykiem

Lista dostawców nie wystarczy. Trzeba wiedzieć, który dostawca wspiera którą funkcję i jaki wpływ ma jego awaria.

Błąd 4: umowy bez prawa do audytu i planu wyjścia

To duże ryzyko, szczególnie dla usług wspierających funkcje krytyczne lub istotne.

Błąd 5: testy tylko techniczne

Odporność cyfrowa wymaga testowania także decyzji zarządu, komunikacji, dostawców i pracy w trybie awaryjnym.

Błąd 6: brak procedury raportowania incydentów

Plan reagowania na incydenty nie wystarczy, jeśli nie ma klasyfikacji, szablonów i ścieżki raportowania zgodnej z DORA.

Błąd 7: dostawca ICT nie zna oczekiwań DORA

Dostawca może technicznie świadczyć dobrą usługę, ale nie być gotowy na raportowanie, audyt, podwykonawstwo i dowody wymagane przez klientów finansowych.

Błąd 8: zarząd nie widzi metryk odporności

Zarząd widzi projekty IT, ale nie widzi realnej odporności: testów, RTO, RPO, dostawców krytycznych, incydentów i ryzyk po terminie.

Przykład biznesowy

Firma finansowa korzysta z kilku kluczowych usług ICT: chmury, systemu transakcyjnego, systemu obsługi klienta, usługi SOC, backupu i zewnętrznego dostawcy oprogramowania. Przed DORA traktowała te umowy głównie jako temat zakupów i IT. Po analizie okazuje się, że część dostawców wspiera funkcje krytyczne lub istotne, a umowy nie zawierają jasnych zasad audytu, zgłaszania incydentów, podwykonawstwa i planu wyjścia.

Firma uruchamia program DORA. Tworzy mapę funkcji krytycznych, rejestr ryzyk ICT, rejestr informacji o umowach ICT i plan testów. Przeprowadza test odtworzenia, ćwiczenie poważnego incydentu ICT i przegląd dostawców. Zarząd otrzymuje pierwszy raport z metrykami odporności, a dostawcy dostają wymagania do aneksów.

Największa zmiana nie polega na stworzeniu nowej polityki. Polega na tym, że firma zaczyna widzieć zależności technologiczne jako ryzyko biznesowe i potrafi pokazać dowody odporności.

Jak ccyber.io może pomóc?

ccyber.io pomaga firmom finansowym i dostawcom ICT przygotować się do DORA w sposób praktyczny, oparty na ryzyku i dowodach. Nie zaczynamy od dokumentacji dla dokumentacji. Zaczynamy od funkcji krytycznych, dostawców, incydentów, testów, zarządu i realnej zdolności do działania po zakłóceniu.

Możemy wesprzeć organizację w obszarach:

  • DORA readiness assessment
  • mapa funkcji krytycznych lub istotnych
  • rejestr ryzyk ICT
  • rejestr informacji o umowach ICT
  • przegląd umów z dostawcami ICT
  • program testowania odporności cyfrowej
  • procedury incydentów ICT i raportowania
  • ćwiczenia poważnego incydentu ICT dla zarządu
  • testy odtwarzania i ciągłości działania
  • pakiet dowodów DORA dla audytu i nadzoru
  • program DORA dla dostawców ICT obsługujących sektor finansowy
  • roadmapa działań na 30, 60, 90 dni i 12 miesięcy

Najlepszym pierwszym krokiem jest DORA Operational Resilience Workshop. W krótkim warsztacie można ustalić, które funkcje są krytyczne, którzy dostawcy są najważniejsi, jakie umowy wymagają zmian, które testy trzeba wykonać i jakie dowody przygotować przed audytem.

FAQ

Czym jest DORA?

DORA to unijne rozporządzenie o cyfrowej odporności operacyjnej sektora finansowego. Dotyczy zarządzania ryzykiem ICT, incydentów, testów odporności, dostawców ICT i nadzoru nad krytycznymi dostawcami.

Od kiedy DORA ma zastosowanie?

DORA stosuje się od 17 stycznia 2025 r. Firmy finansowe powinny już działać według jej wymagań i posiadać dowody przygotowania.

Czy DORA dotyczy dostawców ICT?

Tak, ale w różny sposób. Większość dostawców ICT odczuwa DORA przez wymagania klientów finansowych w umowach, audytach i raportowaniu. Krytyczni dostawcy ICT mogą podlegać szczególnemu nadzorowi.

Czym jest odporność cyfrowa?

To zdolność firmy do utrzymania lub odtworzenia działania usług mimo incydentu ICT, awarii, cyberataku, błędu dostawcy albo zakłócenia technologicznego.

Co jest najważniejsze w DORA?

Najważniejsze są funkcje krytyczne lub istotne, ryzyko ICT, incydenty, testy odporności, dostawcy ICT, rejestr informacji i dowody działania.

Czy ISO 27001 wystarczy do DORA?

Nie automatycznie. ISO 27001 bardzo pomaga, ale DORA ma szczegółowe wymagania sektorowe dotyczące incydentów ICT, testowania odporności, dostawców, rejestru informacji i nadzoru zarządu.

Co powinien przygotować dostawca ICT dla klienta finansowego?

Opis usługi, granice odpowiedzialności, dowody bezpieczeństwa, procedurę incydentową, plan ciągłości, testy odtwarzania, listę podwykonawców, zasady audytu i plan wyjścia.

Od czego zacząć?

Zacznij od mapy funkcji krytycznych lub istotnych, rejestru ryzyk ICT, rejestru dostawców ICT i przeglądu umów z dostawcami wspierającymi najważniejsze usługi.

Podsumowanie

DORA w praktyce oznacza przejście od ochrony IT do odporności cyfrowej całej organizacji finansowej. Firma musi wiedzieć, które usługi są krytyczne, jakie systemy je wspierają, którzy dostawcy są niezbędni, jak działają kopie, jak raportowane są incydenty i czy zarząd widzi realny poziom ryzyka.

Dla firm finansowych DORA oznacza zarządzanie ryzykiem ICT, testowanie odporności, raportowanie incydentów, kontrolę dostawców i dowody. Dla dostawców ICT oznacza większą przejrzystość, silniejsze umowy, audyty, raportowanie, kontrolę podwykonawców i konieczność pokazania, że usługa jest odporna.

Najlepsza zasada brzmi: odporności cyfrowej nie da się udowodnić samą polityką. Trzeba mieć testy, raporty, metryki, decyzje zarządu, rejestr dostawców i dowody, że firma potrafi działać mimo zakłócenia.

Źródła

Piszemy o regulacjach takich jak NIS2, DORA, CRA i ISO 27001, o bezpieczeństwie MŚP i infrastruktury krytycznej, a także o cyberhigienie, cyberzagrożeniach i budowaniu świadomości bezpieczeństwa w organizacji.

Każdy artykuł to praktyczna wiedza - bez żargonu i z konkretnymi wskazówkami do wdrożenia, które pomagają firmom skutecznie chronić dane, ludzi i ciągłość działania.