W 2024 r. 70 proc. polskich firm odnotowało przynajmniej jeden incydent naruszenia cyberbezpieczeństwa, podczas gdy w 2025 r. incydenty dotknęły już prawie 80 proc. podmiotów. Według raportu ENISA (Europejska Agencja Bezpieczeństwa Sieci i Informacji) w 2025 r. najczęstsze zdarzenia to ransomware i szyfrowanie systemów oraz phishing. Co gorsza, w roku 2025 ponad 80 proc. kampanii phishingowych na świecie wspierały narzędzia AI.

Kolejnym wnioskiem z raportu jest rosnąca liczba incydentów związanych z kompromitacją dostawców usług IT i oprogramowania, a polska administracja publiczna znalazła się w gronie pięciu najczęściej atakowanych w Unii Europejskiej.

W obliczu rosnącego zagrożenia atakami hakerskimi i trudnej sytuacji geopolitycznej należy wskazać, że jeszcze nigdy zarządzanie ryzykiem cyber nie miało tak istotnego znaczenia dla funkcjonowania przedsiębiorstw.

Jak przepisy UKSC kształtują odpowiedzialność zarządzających?

Nowelizacja ustawy o krajowym systemie bezpieczeństwa (UKSC), obowiązująca od 3 kwietnia 2026 r., implementująca dyrektywę NIS2, w istotny sposób zmienia podejście do odpowiedzialności za cyberbezpieczeństwo w organizacjach. Podmioty objęte regulacją stoją przed nowymi obowiązkami, które mają bezpośredni wpływ na decyzje strategiczne firm w obszarze ładu korporacyjnego, zarządzania ryzykiem i ciągłości działania.

Przepisy formułują odejście od modelu, w którym bezpieczeństwo systemów informatycznych jest wyłącznie domeną działu IT. Ciężar odpowiedzialności zostaje przeniesiony również na poziom zarządczy, a cyberbezpieczeństwo staje się elementem należytego zarządzania spółką.

Nowe przepisy wprowadzają również zmianę w podejściu do sankcji administracyjnych w zakresie cyberbezpieczeństwa. System kar ma realnie odstraszać poprzez powiązanie sankcji z obrotem oraz rozszerzenie odpowiedzialności na osoby zarządzające.

Warto zaznaczyć, że administracyjna kara pieniężna nakładana na kierownika podmiotu kluczowego lub ważnego może zostać wymierzona niezależnie od kary nałożonej na sam podmiot i co warte podkreślenia, jest powiązana z wynagrodzeniem osoby ukaranej. Kara może sięgać do 300 proc. indywidualnego wynagrodzenia kierownika, w przypadku kierowników podmiotów publicznych – do 100 proc. W sytuacji gdy kierownikiem podmiotu jest organ wieloosobowy i nie została wskazana osoba odpowiedzialna, odpowiedzialność ponoszą wszyscy członkowie tego organu.

Możemy mieć również do czynienia z tzw. niefinansowymi środkami nadzorczymi, w tym z najdalej idącym – zakazem pełnienia funkcji zarządczych w podmiocie kluczowym do czasu usunięcia niezgodności z ustawą, które niejednokrotnie mogą okazać się dla zarządzających bardziej dotkliwe niż kara pieniężna.

Warto w tym miejscu wyjaśnić, czy delegowanie zadań technicznych do dyrektora IT, zewnętrznej firmy doradczej lub kancelarii prawnej oznacza możliwość delegowania odpowiedzialności? Ustawa jasno wskazuje, że kierownik podmiotu kluczowego lub ważnego odpowiada także wtedy, gdy obowiązki zostały powierzone innej osobie za jej zgodą.

Zarząd nie musi być zespołem ekspertów IT, ale powinien być w stanie wykazać, że rozumie istotne ryzyka cyber, zapewnia odpowiednie zasoby, nadzoruje system bezpieczeństwa i reaguje na informacje o zagrożeniach.

Jaka jest rola CFO w budowaniu odporności na cyberzagrożenia i podejmowania decyzji o transferze ryzyka?

Po nowelizacji UKSC art. 8d pkt 2 stanowi, że kierownik podmiotu kluczowego lub ważnego „planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa”. Ustawa nie mówi jedynie o obowiązku „zatwierdzenia budżetu IT”. Chodzi tu o zaplanowanie odpowiednich środków finansowych pozwalających spółce faktycznie realizować obowiązki KSC. Jeżeli CFO świadomie nie uwzględnia w planie finansowym środków niezbędnych do realizacji obowiązków KSC, pomimo posiadania informacji o ryzyku i konieczności poniesienia tych wydatków, można twierdzić, że jego działania lub zaniechania przyczyniły się do niewykonania obowiązków przez spółkę.

Rola CFO w budowaniu odporności spółki na cyberzagrożenia jest dziś znacznie szersza niż zapewnienie budżetu na IT. Powinien on traktować cyberbezpieczeństwo jako zarządzanie ryzykiem biznesowym, finansowym i operacyjnym, a wydatki oceniać nie tylko pod względem kosztu, ale przede wszystkim redukowania ryzyka. Powinien uczestniczyć w ocenie krytycznych dostawców, zwłaszcza tych mających dostęp do danych finansowych, systemów, infrastruktury IT, bowiem cyberatak na dostawcę może stać się problemem finansowym spółki. Jego zadaniem jest również informowanie zarządu o ekonomicznym wymiarze ryzyka.

Jakie narzędzia pozwolą ochronić wartość przedsiębiorstwa i reputację organizacji?

UKSC przewiduje określone obowiązki odnośnie zgłaszania i obsługi incydentów, co może mieć wpływ na ograniczenie ryzyka reputacyjnego. Incydenty cyber ze względu na swoją specyfikę wymagają podjęcia natychmiastowych działań, które pomogą uniknąć zwiększenia rozmiarów szkody. Dlatego kluczowe dla ochrony reputacji podmiotu może okazać się zawarcie polisy cyber i w sytuacji kryzysowej skorzystanie ze świadczeń z polisy. Ubezpieczyciel pokrywa bowiem koszty ochrony reputacji po zdarzeniu cyber, poprzez opłacenie honorarium agencji PR, która zadba o utrzymanie dobrych relacji z klientami, dobre imię firmy i osób zarządzających, poprzez wdrożenie strategii komunikacji z rynkiem.

Z perspektywy ochrony wartości przedsiębiorstwa szczególnego znaczenia nabierają mechanizmy, które mają utrzymać działalność po incydencie lub ją szybko i sprawnie odtworzyć. Plan ciągłości działania (BCP), plan odtworzenia po awarii, kopie zapasowe, procedury awaryjne, alternatywne kanały komunikacji stanowią bezpośrednie powiązanie z obowiązkami wynikającymi z omawianej ustawy, dotyczącymi zapewnienia ciągłości działania i zminimalizowania wpływu incydentów na świadczone usługi.

Ustawa wskazuje na szereg koniecznych do podjęcia działań i procedur, takich jak:

  • obowiązek wdrożenia odpowiednich środków zarządzania ryzykiem;
  • System Zarządzania Bezpieczeństwem Informacji (SZBI);
  • zarządzanie cyberbezpieczeństwem jako element procesu zarządzania przedsiębiorstwem;
  • procedury reagowania na incydenty;
  • ciągłość działania i zarządzanie kryzysowe;
  • bezpieczeństwo łańcucha dostaw;
  • bezpieczeństwo dostawców i usługodawców;
  • audyty i kontrola wewnętrzna.

Czy transfer ryzyka na ubezpieczyciela zapewni ochronę spółki i osób zarządzających?

MFA, Firewall i inne zabezpieczenia mają za zadanie zmniejszyć prawdopodobieństwo incydentu. Nie eliminują jednak kosztów, gdy incydent się wydarzy. Podstawowe pytania, które należy sobie zadać to: kto poniesie finansowe konsekwencje, jeżeli zabezpieczenia mimo wszystko zawiodą, kto pokryje koszty reakcji na incydent czy przywrócenia systemów, co z roszczeniami klientów i kontrahentów, kosztami prawnymi i komunikacyjnymi.

Jednym z narzędzi finansowego zarządzania ryzykiem jest ubezpieczenie cyber. Posiadanie polisy cyber umożliwia skorzystanie z szeregu świadczeń, które uruchamiają się w pierwszych godzinach po cyberataku. Umowa ubezpieczenia przewiduje powołanie tzw. incydent managera, który koordynuje pracę zespołu dedykowanych ekspertów z zakresu prawa ochrony danych osobowych, informatyki śledczej, negocjacji, public relations itp.

Polisa pozwala również ograniczyć skutki naruszenia bezpieczeństwa danych osobowych (wyciek lub utrata) oraz pokryć kary administracyjne wynikające z przepisów RODO. Tym samym polisa cyber staje się elementem planu ciągłości, a nie tylko kolejnym ubezpieczeniem.

Zabezpieczenie polisowe powinno mieć parametry, które pozwolą na optymalną ochronę ryzyk, z którymi może zmierzyć się podmiot. Dlatego, analizując ofertę rynkową, należy zwrócić szczególną uwagę na to, aby zawierała ona szeroko zdefiniowany katalog usług z zakresu informatyki śledczej oraz związanych z odzyskaniem lub odtworzeniem danych elektronicznych. Towarzystwa ubezpieczeniowe oferujące polisy cyber współpracują na stałe z wyspecjalizowanymi firmami reagowania na zdarzenie, które zajmują się przyjmowaniem zgłoszeń i analizą incydentów, specjalistami informatyki śledczej w celu ustalenia sprawcy, podjęcia się negocjacji z przestępcami w sytuacji ataku ransomware, wydania rekomendacji i zgromadzenia dokumentów w celu wykorzystania ich w późniejszym postępowaniu sądowym.

Tym samym niezbędna pomoc fachowców pozwala dynamicznie zarządzić sytuacją kryzysową, co sprawia, że likwidacja szkody jest realizowana w sposób sprawny – możliwość skorzystania z usługi assistance poprzez infolinię dostępną 24 godziny na dobę 7 dni w tygodniu.

Natomiast w przypadku roszczeń dotyczących utraty danych osobowych (np. roszczeń dotyczących ujawnienia informacji handlowej, roszczeń związanych z bezpieczeństwem sieci) kluczowe w obszarze świadczeń są usługi prawne, zarządzania kryzysowego oraz public relations (np. koszty agencji PR, która będzie dbała o przekaz medialny w sytuacji cyberincydentu). Sprawne przygotowanie zawiadomień o naruszeniu bezpieczeństwa danych (zarówno w stosunku do osób, których dane osobowe zostały ujawnione, jak i do regulatora), usługi prawne związane z postępowaniami prowadzonymi przez organy nadzoru (np. PUODO) czy wreszcie zapłata kar administracyjnych za naruszenie danych, to obszary, które w sytuacji posiadania ubezpieczenia cyber są finansowane z polisy.

Podsumowując, należy wskazać, że z punktu widzenia zarządzania cyberbezpieczeństwem kluczową kwestią jest to, czy spółka i jej organy zastosowały adekwatne środki zarządzania ryzykiem.

Zakup polisy cyber może być jednym z elementów zarządzania ryzykiem, bo oczywiście nie zastąpi wdrożenia środków technicznych, organizacyjnych i finansowych. Jednak jeżeli zarząd przeprowadził analizę, zidentyfikował ryzyko cyber, zapewnił określone środki techniczne i organizacyjne, kupił polisę ubezpieczeniową pokrywającą adekwatne ryzyka, regularnie – samodzielnie lub przy pomocy brokera ubezpieczeniowego – dokonuje weryfikacji zakresu ubezpieczenia, to zakup polisy może być dowodem na aktywne działanie zarządu w kwestiach zarządzania cyberbezpieczeństwem.