Dyrektywa NIS2 zmieniła jedną rzecz, która powinna spędzać sen z powiek każdemu zarządowi: za cyberbezpieczeństwo odpowiada teraz kierownictwo osobiście, a nie „informatycy".
To zarząd ma zatwierdzać i nadzorować środki zarządzania ryzykiem cybernetycznym. W praktyce oznacza to, że stwierdzenie „IT mówi, że jesteśmy bezpieczni" nie jest już wystarczającą obroną. Potrzebny jest dowód: udokumentowane procesy, oceny ryzyka i niezależna weryfikacja.
Skala, której nie widać z fotela zarządu
W Polsce ustawa o KSC wdrażająca NIS2 obejmie według szacunków Ministerstwa Cyfryzacji około 38 tysięcy podmiotów — wcześniej obowiązki dotyczyły zaledwie ok. 400 operatorów usług kluczowych. W całej UE to ok. 160 tysięcy podmiotów w 18 sektorach. Dla większości firm to pierwsze zetknięcie z takimi wymogami.
Kary są realne: dla podmiotów kluczowych do 10 mln € lub 2% światowego obrotu (w zależności co wyższe), a dla ważnych — do 7 mln € lub 1,4% obrotu.
Trzy pytania, które zarząd powinien zadać już dziś
- Czy w ogóle podlegamy NIS2 — jako podmiot kluczowy czy ważny?
- Czy mamy udokumentowany, zatwierdzony przez zarząd proces zarządzania ryzykiem?
- Czy ktoś niezależny potwierdził nasz stan zgodności — czy tylko nasz własny dział IT?
Dlaczego niezależny audyt, a nie samoocena
Niezależny audyt NIS2 nie jest formalnością. To dokument, którym zarząd wykazuje należytą staranność — zanim zrobi to za niego kontrola albo incydent. Samoocena działu IT jest obarczona oczywistym konfliktem: trudno bezstronnie oceniać własną pracę.
Zobacz, jak wygląda audyt NIS2 w mKlub →
Źródła: Dyrektywa NIS2 (art. 34), Komisja Europejska, Ministerstwo Cyfryzacji, IBM Cost of a Data Breach 2025.