Cyberbezpieczeństwo firmy – od analizy ryzyka do planu inwestycji

Najdroższy błąd w cyberbezpieczeństwie powstaje często przed wyborem technologii. Firma prosi dostawcę o ofertę na firewall, kopie zapasowe albo system monitorowania, zanim ustali, które procesy muszą działać, jakie dane trzeba chronić i ile godzin przestoju może zaakceptować. W rezultacie kupuje narzędzia, lecz nie buduje zdolności do zapobiegania incydentom, ich wykrywania i odtworzenia działalności.

Dobra inwestycja zaczyna się od ryzyka biznesowego. Łączy ludzi, procedury, architekturę IT i OT, zabezpieczenia techniczne, ciągłość działania oraz kontrolę dostawców. Dopiero z takiej analizy powstaje zakres projektu i budżet, który można ocenić również pod kątem dofinansowania.

Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Nie oznacza to, że każda firma w Polsce została automatycznie objęta identycznym zestawem obowiązków. O kwalifikacji decydują między innymi sektor, rodzaj działalności, wielkość przedsiębiorstwa oraz przewidziane w ustawie wyjątki. Niezależnie od statusu prawnego utrata systemów, danych albo sterowania produkcją pozostaje jednak realnym ryzykiem operacyjnym.

Artykuł przedstawia stan zweryfikowany 4 września 2026 r. i nie zastępuje indywidualnej kwalifikacji prawnej ani technicznego audytu bezpieczeństwa.

1. Cyberbezpieczeństwo trzeba tłumaczyć na język działalności firmy

Zarząd nie potrzebuje na początku listy skrótów i produktów. Potrzebuje odpowiedzi na cztery pytania:

1. Które procesy tworzą przychód albo warunkują bezpieczne działanie firmy. Może to być produkcja, wysyłka, obsługa zamówień, laboratorium, serwis, płatności lub dostęp do dokumentacji technicznej.
2. Od jakich zasobów te procesy zależą. Należy wskazać systemy, maszyny, sterowniki, sieć, konta uprzywilejowane, dane, usługi chmurowe i dostawców zdalnego serwisu.
3. Jaki skutek wywoła utrata poufności, integralności albo dostępności. Inaczej ocenia się wyciek cennika, zmianę receptury produkcyjnej, zatrzymanie linii i utratę kopii danych.
4. Ile zakłócenia firma potrafi przyjąć. Potrzebne są konkretne wartości, a nie deklaracja, że system jest „krytyczny”.

W tym miejscu pojawiają się dwa użyteczne parametry. RTO określa maksymalny akceptowalny czas przywrócenia procesu lub systemu. RPO wskazuje, jak duża utrata danych, mierzona czasem od ostatniej poprawnej kopii, jest jeszcze do przyjęcia. Jeżeli magazyn może pracować ręcznie przez osiem godzin, a system sterowania chłodnią tylko przez kilkanaście minut, oba zasoby nie powinny otrzymać takiego samego priorytetu ani budżetu.

Cyberbezpieczeństwo staje się projektem inwestycyjnym dopiero wtedy, gdy zagrożenie, podatność i skutek zostaną powiązane z procesem biznesowym. Bez tego nie da się racjonalnie porównać dwóch ofert ani wykazać, że wydatek jest proporcjonalny do ryzyka.

2. KSC i NIS2 nie obejmują wszystkich przedsiębiorstw w ten sam sposób

Znowelizowana ustawa KSC posługuje się kategoriami podmiotów kluczowych i podmiotów ważnych. W dużym uproszczeniu klasyfikacja uwzględnia sektor z załącznika nr 1 albo 2 oraz wielkość przedsiębiorstwa. Podmiot z sektora załącznika nr 1 przekraczający progi średniego przedsiębiorstwa jest co do zasady podmiotem kluczowym. Średni przedsiębiorca z tego sektora oraz średni lub większy podmiot z sektora załącznika nr 2 jest co do zasady podmiotem ważnym.

To jednak nie jest wystarczający test do samodzielnej decyzji. Ustawa przewiduje kategorie i sytuacje, w których wielkość firmy nie rozstrzyga albo organ może wydać decyzję o uznaniu podmiotu za kluczowy lub ważny. Trzeba również poprawnie ustalić status przedsiębiorstwa z uwzględnieniem relacji partnerskich i powiązanych, a nie tylko liczby pracowników jednej spółki. Jeżeli próg został przekroczony wyłącznie po doliczeniu danych takich przedsiębiorstw, ustawa nakazuje dodatkowo zbadać zależność systemów informacyjnych i wspólne świadczenie usług. Mechaniczne zsumowanie zatrudnienia i obrotów może więc prowadzić do błędnej kwalifikacji.

Obszar	Przykładowe sektory wskazane w ustawie	Co trzeba sprawdzić
załącznik nr 1	energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda, infrastruktura cyfrowa, zarządzane usługi ICT, administracja publiczna, przestrzeń kosmiczna	dokładny rodzaj działalności, wielkość, przepisy szczególne i wyjątki
załącznik nr 2	poczta i kurierzy, odpady, chemikalia, wybrane przedsiębiorstwa spożywcze, określona produkcja, dostawcy cyfrowi i badania naukowe	zgodność faktycznie wykonywanej działalności z opisem ustawowym oraz progi wielkości
przypadki szczególne	między innymi wybrane usługi DNS, usługi zaufania, podmioty krytyczne i podmioty wskazane decyzją	przesłanki niezależne od zwykłego testu sektora i wielkości

Przykładowo sam fakt produkowania żywności nie wystarcza do automatycznej kwalifikacji. Załącznik odnosi się do przedsiębiorstw spożywczych prowadzących hurtową dystrybucję oraz przemysłową produkcję i przetwórstwo. Ostateczny wynik zależy więc od profilu działalności, wielkości i pozostałych przesłanek ustawy.

Pierwszym zadaniem firmy powinno być sporządzenie krótkiej notatki kwalifikacyjnej: kod i opis rzeczywistej działalności, sektor ustawowy, status MŚP, podmioty powiązane, zastosowane wyjątki oraz wniosek wraz z podstawą prawną. Sam kod PKD nie zastępuje analizy czynności wykonywanych w praktyce.

3. Terminy wdrożenia KSC tworzą harmonogram zarządczy

Ustawa zmienia nie tylko katalog zabezpieczeń, lecz także odpowiedzialność i terminy. Według informacji opublikowanej przez UKE podmioty objęte obowiązkiem samodzielnego zgłoszenia powinny dokonać wpisu do wykazu podmiotów kluczowych i ważnych do 3 października 2026 r. Podczas rejestracji wskazuje się co najmniej dwie osoby do kontaktu z podmiotami KSC, a mikro- i małe przedsiębiorstwa co najmniej jedną.

UKE wskazuje 3 kwietnia 2027 r. jako termin wdrożenia obowiązków z rozdziału 3 ustawy przez nowe podmioty. Obejmują one między innymi systematyczne szacowanie ryzyka, proporcjonalne środki techniczne i organizacyjne, gromadzenie informacji o zagrożeniach i podatnościach, zarządzanie incydentami oraz weryfikację bezpieczeństwa i ciągłości łańcucha dostaw. Dla podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych, termin pierwszego obowiązkowego audytu wskazano na 3 kwietnia 2028 r.

Obowiązek lub etap	Termin wskazywany dla nowych podmiotów	Znaczenie praktyczne
samoidentyfikacja i wpis do wykazu	do 3 października 2026 r.	klasyfikacji nie warto odkładać do czasu otrzymania pisma z urzędu
wdrożenie obowiązków z rozdziału 3	do 3 kwietnia 2027 r.	analiza luk, zakupy, procedury, testy i szkolenia muszą zmieścić się w harmonogramie
pierwszy obowiązkowy audyt części nowych podmiotów kluczowych	do 3 kwietnia 2028 r.	audyt powinien sprawdzać działający system, nie dopiero inicjować jego budowę

Zmiany w wykazie trzeba aktualizować w terminie 14 dni. Firma nie powinna jednak traktować wpisu jako początku prac nad bezpieczeństwem. Do kwietnia 2027 r. trzeba nie tylko kupić narzędzia, ale również wdrożyć procesy, przypisać odpowiedzialność, przeszkolić personel i przeprowadzić testy.

4. Odpowiedzialności zarządu nie przenosi umowa z dostawcą IT

Zarządzanie cyberbezpieczeństwem można operacyjnie powierzyć pracownikowi albo usługodawcy, lecz kierownik podmiotu objętego KSC nadal odpowiada za wykonywanie obowiązków. Ustawa wiąże tę rolę między innymi z zapewnieniem środków finansowych, przypisaniem zadań, nadzorem i budowaniem świadomości.

Kierownik podmiotu ma także odbywać co najmniej raz w roku udokumentowane szkolenie z zakresu wykonywania ustawowych obowiązków i zarządzania ryzykiem cyberbezpieczeństwa. Nie należy utożsamiać tego z ogólnym szkoleniem phishingowym dla pracowników. Zarząd powinien rozumieć ryzyka, akceptować ich poziom, zatwierdzać priorytety i wiedzieć, jak podejmować decyzje podczas incydentu.

Umowa z zewnętrznym dostawcą nie wystarczy, jeżeli firma nie potrafi odpowiedzieć:

• kto może odłączyć system lub linię w sytuacji zagrożenia,
• kto podejmuje decyzję o uruchomieniu planu ciągłości,
• kto ma dostęp do kopii zapasowych i kluczy odzyskiwania,
• kto zgłasza incydent oraz pilnuje terminów,
• jakie logi i dowody mają zostać zabezpieczone,
• jakie czasy reakcji oraz przywrócenia gwarantuje dostawca,
• jak firma przejmie administrację po zakończeniu umowy.

W podmiotach objętych ustawą system zgłaszania poważnego incydentu jest wieloetapowy. Wczesne ostrzeżenie przekazuje się nie później niż w ciągu 24 godzin od wykrycia, zgłoszenie poważnego incydentu zasadniczo w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca. Żaden system bezpieczeństwa nie zastąpi przygotowanej listy kontaktów, procedury decyzyjnej i ćwiczenia tego procesu.

5. Analiza ryzyka, audyt KSC i diagnoza dotacyjna to trzy różne prace

Te pojęcia są często stosowane zamiennie, choć odpowiadają na inne pytania.

Rodzaj pracy	Główny cel	Typowy rezultat
analiza ryzyka i luk	ustalenie, co zagraża procesom firmy oraz których zabezpieczeń brakuje	rejestr aktywów, scenariusze ryzyka, mapa luk, priorytety i plan postępowania
ustawowy audyt KSC	niezależna ocena zgodności i skuteczności systemu podmiotu objętego obowiązkiem	raport audytowy wykonany w wymaganym trybie przez uprawnionego audytora
diagnoza do programu wsparcia	uzasadnienie zakresu inwestycji według dokumentacji konkretnego naboru	materiał o strukturze, kryteriach i okresie ważności wymaganym przez instytucję

Jeden dokument może dostarczyć danych do kolejnego etapu, ale nie jest automatycznie jego zamiennikiem. Audyt przeprowadzony przed wdrożeniem inwestycji nie potwierdzi skuteczności zabezpieczeń, których jeszcze nie ma. Z kolei analiza przygotowana przez dostawcę pod jego katalog produktów może nie spełnić wymogów niezależności ustawowego audytu ani formatu wymaganego w konkursie.

Przed zamówieniem usługi trzeba wpisać do zakresu co najmniej: standard odniesienia, badane lokalizacje i systemy, IT oraz OT, próbę testową, wymagane kompetencje wykonawcy, postać dowodów, zasady poufności, możliwość wykorzystania raportu we wniosku oraz plan usunięcia niezgodności.

6. Inwentaryzacja aktywów ujawnia zależności, których nie widać w księgach

Nie da się chronić zasobu, o którego istnieniu firma nie wie. Inwentaryzacja nie powinna jednak kończyć się na zestawieniu komputerów i licencji. Trzeba powiązać aktywa z procesami, właścicielami, lokalizacjami, dostawcami, wersjami oprogramowania, kontami administracyjnymi oraz zależnościami sieciowymi.

W zakładzie produkcyjnym lista może obejmować:

• serwery, stacje robocze, urządzenia sieciowe i usługi chmurowe,
• system ERP, MES, WMS, SCADA i systemy laboratoryjne,
• sterowniki PLC, panele operatorskie, roboty i bramy przemysłowe,
• urządzenia chłodnicze, energetyczne i środowiskowe,
• laptopy serwisowe oraz zdalne połączenia producentów maszyn,
• konta lokalne, domenowe, techniczne i współdzielone,
• repozytoria kodu, konfiguracje urządzeń, receptury i dokumentację techniczną,
• certyfikaty, klucze kryptograficzne oraz dane niezbędne do odtworzenia systemów.

Szczególnie niebezpieczne są zasoby „niczyje”: stary komputer obsługujący maszynę, połączenie VPN uruchomione lata temu przez integratora albo sterownik, którego nie można zaktualizować bez przestoju. Takie elementy rzadko są najdroższe, ale często tworzą najkrótszą drogę do krytycznego procesu.

7. Sieć produkcyjna nie jest zwykłym przedłużeniem sieci biurowej

Systemy IT przetwarzają dane i wspierają działalność, natomiast OT steruje procesem fizycznym. W OT liczy się nie tylko poufność danych, lecz przede wszystkim dostępność, integralność sterowania oraz bezpieczeństwo ludzi i urządzeń. Aktualizacji nie można zawsze zainstalować natychmiast, a niekontrolowane skanowanie może zakłócić starsze urządzenie.

Dlatego plan powinien obejmować architekturę, a nie tylko pojedyncze zabezpieczenia. Podstawowe działania to segmentacja sieci, kontrola przepływów między IT i OT, odseparowane strefy, bezpieczny zdalny serwis, rejestrowanie zdarzeń, ograniczenie kont uprzywilejowanych oraz przygotowanie procedur dla urządzeń, których nie można aktualizować.

Praktyczną wagę tych zależności pokazał atak na polski sektor energii z końca 2025 r. CERT Polska opisał pierwszą w kraju kampanię o charakterze czysto destrukcyjnym wymierzoną w ten sektor. Atak objął 30 farm wiatrowych i fotowoltaicznych oraz elektrociepłowni. W jednym z mniejszych zakładów zatrzymano turbinę parową i stację uzdatniania wody. Analiza wskazała także przypadek błędnej konfiguracji prywatnego APN, która pozwalała urządzeniom komunikować się ze sobą w sposób niezamierzony.

Wniosek dla zwykłego przedsiębiorstwa jest prosty: prywatna sieć, VPN albo wydzielony APN nie są bezpieczne wyłącznie z nazwy. Trzeba zweryfikować rzeczywiste reguły komunikacji, uwierzytelnianie, uprawnienia i możliwość ruchu między urządzeniami.

8. Kopia zapasowa ma wartość dopiero po udanym odtworzeniu

Ransomware coraz częściej próbuje usunąć albo zaszyfrować kopie przed atakiem na system produkcyjny. CERT Polska odnotował w 2025 r. 179 incydentów ransomware, o 21% więcej niż rok wcześniej. To średnio jeden zarejestrowany przypadek co około dwa dni.

Samo wykonywanie kopii nie oznacza odporności. Trzeba sprawdzić, czy obejmują one nie tylko pliki użytkowników, lecz także konfiguracje systemów, bazy danych, obrazy maszyn, sterowniki, klucze, dokumentację oraz dane potrzebne do uruchomienia usług w prawidłowej kolejności.

CERT Polska opisuje regułę 3-2-1: co najmniej trzy kopie danych, na dwóch różnych rodzajach nośników, z jedną kopią poza główną lokalizacją. Rozszerzenie 3-2-1-1-1 dodaje kopię niemodyfikowalną lub zapisywalną jednokrotnie oraz kopię odłączoną od sieci. Wariant 3-2-1-1-0 akcentuje brak błędów potwierdzony walidacją i próbami odtworzenia.

Plan inwestycji powinien zatem obejmować:

• odseparowanie systemu kopii i użycie osobnych kont administracyjnych,
• wieloskładnikowe uwierzytelnianie dostępu do infrastruktury backupowej,
• kopię odporną na zmianę lub usunięcie przez administratora domeny,
• szyfrowanie i kontrolę dostępu do kopii,
• automatyczną walidację wykonania zadań,
• cykliczne odtwarzanie wybranych systemów w środowisku testowym,
• pełny test odtworzenia krytycznego procesu według RTO i RPO,
• procedurę działania, gdy zwykłe konta, sieć i dokumentacja są niedostępne.

Raport „backup zakończony powodzeniem” potwierdza zapis danych. Dopiero próba odtworzenia pokazuje, czy firma potrafi wrócić do pracy w wymaganym czasie.

9. Łańcuch dostaw trzeba zabezpieczyć technicznie i umownie

Dostawca oprogramowania, chmury, zdalnego serwisu albo automatyki otrzymuje dostęp do procesów firmy. Jego konto, laptop, aktualizacja lub połączenie mogą stać się drogą ataku. Ocena dostawców nie może ograniczać się do podpisania umowy o poufności.

Przed zawarciem lub odnowieniem umowy warto ustalić:

• dokładny zakres i sposób dostępu, w tym dostęp uprzywilejowany,
• obowiązek stosowania MFA i kont imiennych,
• rejestrowanie sesji administracyjnych oraz okres przechowywania logów,
• czas zgłoszenia incydentu i sposób współpracy przy analizie,
• odpowiedzialność za aktualizacje i usuwanie podatności,
• lokalizację danych, podwykonawców i warunki dalszego powierzania,
• wykonywanie oraz testowanie kopii zapasowych,
• prawo do uzyskania dowodów, testów lub audytu,
• zwrot danych, konfiguracji i uprawnień po zakończeniu współpracy,
• procedurę awaryjnego odcięcia dostępu bez zatrzymania procesu.

Największe ryzyko tworzą stałe, szerokie uprawnienia używane sporadycznie. Dostęp serwisowy powinien być uruchamiany na określony czas, zatwierdzany, monitorowany i zamykany po wykonaniu zadania.

10. Plan inwestycji powinien obejmować dziewięć warstw

Technologie należy dobierać po analizie luk. Poniższa struktura pomaga sprawdzić, czy projekt nie chroni jednego fragmentu kosztem pozostałych.

Warstwa	Przykładowe działania	Dowód zakończenia
aktywa i ryzyko	inwentaryzacja, klasyfikacja, analiza zależności, rejestr ryzyk	zatwierdzony rejestr aktywów i plan postępowania z ryzykiem
architektura IT i OT	segmentacja, kontrola komunikacji, bezpieczny zdalny dostęp	test reguł, aktualny schemat i protokół odbioru
tożsamość i dostęp	MFA, IAM, PAM, konta imienne, zasada najmniejszych uprawnień	przegląd uprawnień i test odebrania dostępu
ochrona stacji i serwerów	hardening, EDR/XDR, filtrowanie, zarządzanie urządzeniami	pokrycie aktywów, scenariusz detekcji i reakcji
podatności i aktualizacje	skanowanie, priorytetyzacja, obsługa wyjątków, łatki	raport czasu usuwania i lista kontrolowanych wyjątków
logi i monitoring	centralne logowanie, korelacja, alerty, retencja	test wykrycia i ścieżka obsługi alertu
kopie i odtwarzanie	kopie odizolowane, niemodyfikowalne lub offline, testy	protokół odtworzenia zgodny z RTO i RPO
incydenty i ciągłość	procedury, BCP, DR, kontakty, ćwiczenia	raport z ćwiczenia i lista działań korygujących
ludzie i dostawcy	szkolenia, role, wymagania umowne, kontrola dostępu	wyniki ćwiczeń, przegląd umów i okresowa ocena dostawców

Każda pozycja powinna mieć właściciela, termin, koszt inwestycyjny, koszt utrzymania oraz mierzalny efekt. Zakup licencji bez wdrożenia reguł, integracji, strojenia alertów i przypisania zespołu może jedynie zwiększyć liczbę komunikatów, których nikt nie obsługuje.

11. Przykładowy budżet 300 tys. zł pokazuje sposób myślenia

Poniższy budżet jest przykładem planistycznym dla średniego zakładu produkcyjnego. Nie stanowi katalogu kosztów kwalifikowanych żadnego naboru ani wyceny rynkowej dla konkretnej firmy.

Pozycja	Przykładowa wartość	Zakładany rezultat
inwentaryzacja, analiza ryzyka i luk	30 000 zł	mapa procesów, aktywów, zagrożeń i priorytetów
segmentacja sieci IT i OT	70 000 zł	ograniczenie niekontrolowanego ruchu i zdalnego dostępu
zarządzanie tożsamością i MFA	35 000 zł	ochrona kont użytkowników i administratorów
EDR oraz centralny monitoring	55 000 zł	wykrywanie zdarzeń i uporządkowana reakcja
kopie odizolowane i test odtworzenia	65 000 zł	potwierdzona możliwość odzyskania systemów
procedury incydentowe, BCP i DR	20 000 zł	gotowy i przećwiczony sposób działania
testy bezpieczeństwa i szkolenia	25 000 zł	weryfikacja zabezpieczeń i kompetencji zespołu
Razem	300 000 zł	spójny minimalny zakres inwestycji

Do tej kwoty trzeba dodać przyszłe koszty operacyjne: odnowienie licencji, retencję danych, utrzymanie monitoringu, testy, aktualizacje, obsługę alertów i szkolenia nowych pracowników. Jeżeli projekt jest dofinansowany, wydatki ponoszone po okresie kwalifikowalności mogą pozostać w całości po stronie firmy.

Budżet należy również rozdzielić na koszty jednorazowe i cykliczne. Oferta z niską ceną wdrożenia może być droższa w całym okresie używania, jeżeli wymaga wysokich opłat za dane, urządzenia, użytkowników, wsparcie albo rozbudowę. Porównanie powinno obejmować co najmniej trzy do pięciu lat i scenariusz wzrostu firmy.

12. Studium przypadku średniego producenta żywności

Firma prowadzi przemysłową produkcję i przetwórstwo żywności, zatrudnia 120 osób i należy do grupy kapitałowej. System ERP obsługuje zamówienia i partie produkcyjne, MES zbiera dane z linii, WMS steruje magazynem, a zewnętrzni integratorzy łączą się z automatyką przez kilka niezależnych rozwiązań.

Najpierw należy ustalić status przedsiębiorstwa razem z danymi podmiotów powiązanych oraz sprawdzić, czy działalność odpowiada opisowi sektora w załączniku nr 2 ustawy KSC. Dopiero wtedy można rozstrzygnąć, czy firma jest podmiotem ważnym. Nie wolno wyciągać wniosku wyłącznie z nazwy branży.

Analiza operacyjna pokazuje natomiast ryzyko niezależne od kwalifikacji prawnej: ransomware może zablokować identyfikowalność partii i wysyłkę, przejęte konto serwisowe może umożliwić zmianę parametrów, a utrata systemu chłodzenia może spowodować straty surowca.

Plan inwestycji obejmuje więc:

1. pełną inwentaryzację IT, OT i zdalnych połączeń,
2. podział sieci na strefy i kontrolę komunikacji między nimi,
3. konta imienne, MFA oraz czasowe otwieranie dostępu serwisowego,
4. EDR na wspieranych systemach oraz centralne zbieranie kluczowych logów,
5. kopie ERP, MES, WMS, konfiguracji automatyki i dokumentacji odtworzeniowej,
6. odizolowaną kopię odporną na zmianę oraz test odtworzenia,
7. procedurę pracy awaryjnej dla identyfikowalności partii i wysyłki,
8. ćwiczenie incydentu obejmujące produkcję, jakość, logistykę, IT i zarząd.

Miarą powodzenia nie jest liczba zakupionych urządzeń. Jest nią między innymi zamknięcie nieautoryzowanych połączeń, objęcie wszystkich krytycznych aktywów monitoringiem, odtworzenie systemu w czasie wynikającym z RTO oraz przeprowadzenie ćwiczenia bez niejasności decyzyjnych.

13. Dofinansowanie nie zwalnia z dopasowania kosztu do naboru

Ustawa KSC nakłada obowiązki, ale sama nie jest źródłem dotacji. Cyberbezpieczeństwo może być elementem projektu cyfryzacyjnego, inwestycyjnego albo osobnego instrumentu wsparcia, jeżeli regulamin danego naboru to przewiduje. Nie istnieje jednak uniwersalna lista urządzeń i usług kwalifikowanych we wszystkich programach.

Przed wpisaniem kosztu do wniosku trzeba sprawdzić:

• czy projekt może obejmować wyłącznie cyberbezpieczeństwo, czy musi ono wspierać szerszą transformację,
• czy diagnoza jest obowiązkowa i w jakim momencie ma powstać,
• czy kwalifikowany jest zakup, amortyzacja, leasing, usługa lub abonament,
• czy licencja i utrzymanie mogą wykraczać poza okres realizacji,
• czy koszty zgodności z prawem nie zostały wyłączone lub ograniczone,
• czy wydatek nie został poniesiony przed momentem kwalifikowalności,
• czy podatek VAT, koszty operacyjne i wkład własny mają zabezpieczone finansowanie,
• czy wskaźnik opisuje rezultat bezpieczeństwa, a nie tylko liczbę zakupów.

Dobrym uzasadnieniem nie jest zdanie „firma potrzebuje nowoczesnego systemu”. Wniosek powinien pokazać proces, ryzyko, lukę, dobrany środek, test skuteczności i wpływ na ciągłość działalności. Jeżeli plan cyberbezpieczeństwa jest częścią szerszej transformacji, warto połączyć go z mapą procesów i danych opisaną w artykule Dig.IT – od diagnozy cyfrowej do planu transformacji firmy.

Przed wyborem naboru należy policzyć nie tylko dotację, ale także pełne zapotrzebowanie na gotówkę. Pomaga w tym poradnik Wkład własny w projekcie unijnym – jak zaplanować finansowanie.

14. Mierniki powinny potwierdzać odporność, nie sam zakup

Liczba licencji, urządzeń i szkoleń jest łatwa do policzenia, ale słabo opisuje efekt. Lepsze mierniki pokazują, czy zmniejszyło się prawdopodobieństwo lub skutek incydentu.

Obszar	Słaby miernik	Miernik użyteczny zarządczo
kopie zapasowe	zakup macierzy backupowej	odtworzenie krytycznego systemu w zadanym RTO przy utracie danych nie większej niż RPO
dostęp	wdrożenie MFA	odsetek kont uprzywilejowanych i zdalnych chronionych MFA oraz liczba kont współdzielonych
podatności	zakup skanera	czas usunięcia podatności krytycznych i liczba wyjątków zaakceptowanych przez właściciela ryzyka
monitoring	liczba źródeł logów	czas od wystąpienia zdarzenia do detekcji i rozpoczęcia reakcji
szkolenia	liczba uczestników	wynik ćwiczenia, odsetek prawidłowych zgłoszeń i czas eskalacji
dostawcy	liczba podpisanych umów	odsetek krytycznych dostawców ocenionych oraz liczba zamkniętych luk umownych

Każdy miernik powinien mieć wartość bazową, wartość docelową, metodę pomiaru, właściciela i termin. Bez wartości bazowej firma nie wykaże, czy inwestycja rzeczywiście coś zmieniła.

Najczęstsze błędy w projektach cyberbezpieczeństwa

Projekt traci skuteczność, gdy firma:

• zaczyna od ofert produktowych zamiast od procesów, aktywów i ryzyka,
• uznaje, że KSC obejmuje albo nie obejmuje jej wyłącznie na podstawie kodu PKD,
• nie uwzględnia podmiotów partnerskich i powiązanych przy ustalaniu wielkości,
• myli analizę luk, ustawowy audyt i diagnozę wymaganą w naborze,
• chroni sieć biurową, pomijając automatykę, maszyny i zdalny serwis,
• pozostawia dostawcom stałe konta współdzielone bez MFA i rejestrowania sesji,
• kupuje system monitorowania bez zespołu, procedur i czasu na obsługę alertów,
• wykonuje kopie w tej samej domenie i nie testuje pełnego odtworzenia,
• mierzy projekt liczbą urządzeń, zamiast czasem detekcji, reakcji i odzyskania,
• traktuje szkolenie pracowników jako zamiennik zabezpieczeń technicznych,
• nie ćwiczy decyzji zarządu i komunikacji podczas incydentu,
• pomija ryzyko dostawców chmurowych, integratorów i podwykonawców,
• nie planuje kosztów licencji, retencji, serwisu i testów po zakończeniu dotacji,
• zakłada kwalifikowalność kosztu bez sprawdzenia regulaminu i momentu rozpoczęcia projektu,
• próbuje spełnić obowiązek prawny samym zakupem technologii bez wdrożenia systemu zarządzania.

Checklista gotowości inwestycji w cyberbezpieczeństwo

Przed złożeniem zamówienia albo wniosku o dofinansowanie firma powinna potwierdzić, że:

• sklasyfikowała swój status na gruncie KSC albo udokumentowała, dlaczego ustawa nie ma bezpośredniego zastosowania,
• wskazała właścicieli procesów, systemów i ryzyk,
• posiada aktualną inwentaryzację IT, OT, danych, kont i połączeń zewnętrznych,
• ustaliła procesy krytyczne oraz wartości RTO i RPO,
• zidentyfikowała luki techniczne, organizacyjne, osobowe i umowne,
• przypisała każdemu ryzyku decyzję: ograniczenie, unikanie, przeniesienie albo świadomą akceptację,
• przygotowała architekturę docelową i kolejność wdrożenia,
• uwzględniła kopie odizolowane oraz praktyczne testy odtworzenia,
• zaplanowała bezpieczny dostęp dostawców i przegląd umów,
• określiła role, kontakty i procedurę reakcji na incydent,
• przewidziała ćwiczenie techniczne i decyzyjne po wdrożeniu,
• zdefiniowała mierniki z wartościami bazowymi i docelowymi,
• policzyła koszty inwestycyjne, operacyjne, wkład własny, VAT i płynność,
• sprawdziła kwalifikowalność każdej pozycji w dokumentacji właściwego naboru,
• zaplanowała utrzymanie zabezpieczeń po zakończeniu projektu.

Odporność jest zdolnością firmy, a nie katalogiem produktów

Cyberbezpieczeństwo firmy nie kończy się na zapobieganiu włamaniu. Obejmuje szybkie wykrycie zdarzenia, ograniczenie jego zasięgu, podjęcie właściwych decyzji, odtworzenie procesów oraz wyciągnięcie wniosków. Dlatego plan inwestycji musi łączyć technologię z odpowiedzialnością, dokumentacją, testami i finansowaniem utrzymania.

Najbardziej dojrzały projekt nie obiecuje wyeliminowania wszystkich zagrożeń. Pokazuje, które ryzyka są najważniejsze, dlaczego wybrano konkretne środki, jak zostanie sprawdzona ich skuteczność i ile będzie kosztować utrzymanie osiągniętej odporności.

FSL Consulting pomaga przełożyć diagnozę cyfrową i analizę ryzyka na spójny zakres inwestycji: porządkuje cele, etapy, koszty, wskaźniki oraz wymagania dokumentacji konkursowej. Jeżeli planujesz modernizację systemów IT lub OT i chcesz sprawdzić możliwości finansowania, skorzystaj z bezpłatnej analizy projektu albo zobacz usługę Przygotowanie wniosku o dofinansowanie.