Przepisy dotyczące cyberbezpieczeństwa są skuteczne? Pozytywnie oceniają je aż 3 na 4 organizacje

W lipcu 2026 roku CERT Polska, zespół monitorujący zagrożenia cybernetyczne, zarejestrował 31,2 tys. incydentów bezpieczeństwa. To o 12 proc. więcej niż w analogicznym miesiącu przed rokiem^[1]. Lokalne dane wpisują się w globalny krajobraz ryzyka, wynikający głównie z niestabilnej sytuacji geopolitycznej na świecie. Skuteczne cyberataki nie zawsze są wyzwaniem konkretnego przedsiębiorstwa. W przypadku organizacji działających w najważniejszych sektorach problem może dotyczyć całego kraju, a nawet kontynentu. Jednym z narzędzi ograniczających zagrożenia są regulacje prawne. Na poziomie Unii Europejskiej są to, m.in. dyrektywa NIS2 i rozporządzenie DORA. Według globalnych badań aż 74 proc. organizacji pozytywnie ocenia efektywność tych norm prawnych^[2].

Co regulacje zmieniły w przedsiębiorstwach?

Ponad połowa organizacji (55 proc.) zauważyła poprawę stanu bezpieczeństwa i ograniczyła ryzyko IT dzięki regulacjom prawnym z tego obszaru. Jednocześnie aż 58 proc. badanych przyznaje, że główną korzyścią, wynikającą z nowych przepisów jest zwiększenie świadomości kadry managerskiej i zespołów w zakresie zagrożeń^[3]. Niespełna co trzecia firma (30 proc.) wskazuje ponadto, że wymogi regulacyjne pomagają zwiększyć zaufanie klientów i poprawić wizerunek marki^[4].

Jak wyjaśnia Dariusz Świąder, Prezes Linux Polska, osiągnięte cele wynikają przede wszystkim ze zmiany kultury organizacyjnej wywołanej koniecznością wdrożenia nowych przepisów.

– Regulacje takie jak NIS2 czy DORA nakładają na organizacje liczne obowiązki związane z budowaniem odporności cyfrowej i zarządzaniem ryzykiem. Konieczność przygotowania nowych strategii bezpieczeństwa IT, planów ciągłości działania oraz mechanizmów ochrony przed zagrożeniami z pewnością zwiększyły świadomość na temat ryzyk w całym przedsiębiorstwie, w tym przede wszystkim wśród kadry kierowniczej, która jest bezpośrednio odpowiedzialna za dopełnienie wymogów, wynikających z unijnych regulacji. Istotnym czynnikiem zwiększającym poziom wiedzy pracowników jest również konieczność przeprowadzenia szkoleń dla całej kadry – mówi Dariusz Świąder, Prezes Linux Polska.

Ekspert zauważa jednak, że wielu organizacjom nadal nie udało się osiągnąć podstawowego celu.

– Brak postępów w zakresie poprawy bezpieczeństwa wynika, między innymi z błędów podczas wdrażania systemu zarządzania ryzykiem. Główną kwestią, na którą należy zwrócić uwagę, jest integracja. Informacje pochodzące z różnych źródeł powinny być połączone w jeden spójny zbiór. Dopiero wtedy możliwa jest pełna analiza incydentów oraz ich wpływu na procesy biznesowe – dodaje Dariusz Świąder, Prezes Linux Polska.

Odpowiedzialność nie tylko za siebie

Choć większość firm widzi korzyści z regulacji prawnych z zakresu cyberbezpieczeństwa, to co czwarta (26 proc.) ocenia je sceptycznie. Przyczyną odmiennej opinii jest przede wszystkim zbyt duży zakres obowiązków nakładanych na firmy. Najwięcej badanych (18 proc.) przyznaje, że głównym wyzwaniem jest spełnienie odpowiednich wymogów przez kontrahentów^[5]. Tomasz Dziedzic, CTO w Linux Polska, zauważa, że to jeden z filarów rozporządzenia DORA.

– Zgodnie z Digital Operational Resilience Act organizacje muszą zarządzać ryzykiem związanym ze współpracą z zewnętrznymi dostawcami usług ICT. Działania te obejmują, między innymi ocenę kontrahentów przed nawiązaniem współpracy oraz stały monitoring bezpieczeństwa wykorzystywanych rozwiązań. Konieczne jest także opracowanie planu wyjścia, czyli strategii zmiany dostawcy na wypadek wystąpienia nieoczekiwanych problemów. W praktyce obowiązki te oznaczają konieczność audytu dotychczasowych umów, a często również dostosowania kontraktów do wymagań rozporządzenia. W przypadku komponentów open source nieobjętych wsparciem warto skorzystać z eksperckiej opieki zastępczej, która zapewni utrzymanie i poprawki bezpieczeństwa wykorzystywanych rozwiązań – tłumaczy Tomasz Dziedzic, CTO w Linux Polska.

Cyberbezpieczeństwo a organizacyjny chaos

Regulacje w zakresie cyberbezpieczeństwa pokazały również problemy organizacji z reagowaniem na zmiany. Co szósta firma (17 proc.) nie rozumie, jak stosować przepisy w całym obszarze działalności. Wyzwaniem są także ograniczone zasoby wewnętrzne i brak wiedzy specjalistycznej (16 proc.), a także trudności w spójnym wdrożeniu zmian w poszczególnych działach firmy (11 proc.)^[6]. Sebastian Jaworski, wiceprezes Linux Polska, zauważa, że skala wyzwań jest zależna od zdolności organizacji do zapobiegania zagrożeniom cyfrowym.

– Co trzecia firma o niskiej odporności (34 proc.) uznaje regulacje za nieefektywne ze względu na luki kompetencyjne (w przypadku organizacji o wysokiej odporności odsetek ten wynosi zaledwie 6 proc.)^[7]. Brak wiedzy i możliwości sprawia, że głównym celem wdrażanych zmian jest zapewnienie na papierze zgodności z regulacjami, a nie rzeczywista ochrona organizacji. Przyczyną takiej sytuacji jest deficyt kwalifikacji i środków finansowych. Badania pokazują, że aż 53 proc. organizacji o niskiej odporności cyfrowej mierzy się z brakiem umiejętności w zakresie cyberbezpieczeństwa^[8] – mówi Sebastian Jaworski, wiceprezes Linux Polska.

Ekspert wskazuje również na inne przyczyny problemów.

– Poszczególne działy w organizacji często funkcjonują niezależnie. Każdy z nich może mieć osobne procesy dotyczące bezpieczeństwa. Dlatego wdrożenie zmian powinno rozpocząć się od audytu obowiązujących procedur i aktualnych systemów, co pozwoli na wytypowanie obszarów wymagających poprawy. Wyzwaniem jest także stworzenie polityki bezpieczeństwa. Uniwersalny wzór nie istnieje – poszczególne organizacje funkcjonują inaczej, mają własne potrzeby, a także mierzą się z różnymi zagrożeniami. Wybór odpowiedniej metodyki oceny skutków incydentów na infrastrukturę IT czy narzędzi służących do monitoringu jest zatem kwestią indywidualną – podsumowuje Sebastian Jaworski, wiceprezes Linux Polska.

Choć większość organizacji dostrzega korzyści z regulacji prawnych dotyczących cyberbezpieczeństwa, wielu przedsiębiorstwom ich wdrożenie przysparza spore trudności. Szczegółowe badania pokazują, że problem dotyczy przede wszystkim firm o niskiej odporności cyfrowej. Dla części z nich nowe wymogi stają się kolejnym obowiązkiem formalnym, a nie szansą na uporządkowanie procesów dotyczących przeciwdziałania zagrożeniom. To jeden z powodów, dla których organizacje te rzadziej dostrzegają korzyści płynące z regulacji prawnych. Ich osiągnięcie zależy w dużym stopniu od otwartości na rzeczywistą zmianę strategii bezpieczeństwa oraz dostępności specjalistów z tego obszaru. Dla organizacji o niskiej odporności spełnienie tych warunków jest sporym wyzwaniem.