sierpień 2026

NIS2 a odpowiedzialność zarządu to zagadnienie, które wykracza poza kwestie techniczne i pracę działów IT. W przypadku poważnego cyberataku znaczenie ma nie tylko sam incydent, ale również to, czy organizacja właściwie identyfikowała ryzyka, informowała zarząd o zagrożeniach i była przygotowana na sytuację kryzysową. Cyberbezpieczeństwo coraz trudniej traktować wyłącznie jako odpowiedzialność działu IT. Wraz z wymaganiami wynikającymi z NIS2 coraz większego znaczenia nabiera sposób, w jaki organizacja identyfikuje ryzyka, zarządza nimi i przygotowuje się na możliwość wystąpienia poważnego incydentu. W tym kontekście NIS2 a odpowiedzialność zarządu stają się zagadnieniem dotyczącym nie tylko technologii, lecz również należytej staranności osób zarządzających przedsiębiorstwem. Po cyberataku istotne może być bowiem nie tylko ustalenie jego przyczyn i skutków, ale również ocena działań podejmowanych przez organizację przed wystąpieniem incydentu. Czy ryzyka związane z cyberbezpieczeństwem były wcześniej identyfikowane? Czy zarząd otrzymywał informacje o najważniejszych zagrożeniach? Czy w organizacji funkcjonowały procedury pozwalające odpowiednio reagować na incydent i ograniczać jego konsekwencje? Pytania te pokazują, dlaczego cyberbezpieczeństwo staje się również elementem corporate governance. Samo wystąpienie skutecznego cyberataku nie przesądza jeszcze o odpowiedzialności zarządu. Ocenie mogą podlegać przede wszystkim decyzje oraz działania podejmowane przed incydentem, w tym sposób identyfikowania ryzyka i przygotowania organizacji na możliwe zagrożenia. W tym miejscu NIS2 spotyka się z business judgement rule oraz problematyką należytej staranności osób zarządzających spółką. Perspektywa ta kieruje uwagę nie tylko na rezultat podjętej decyzji, ale również na proces, który do niej doprowadził. Dla przedsiębiorstwa oznacza to potrzebę spojrzenia na cyberbezpieczeństwo jako na element systemu zarządzania ryzykiem. Istotny jest sposób raportowania zagrożeń do zarządu, określenie zakresu odpowiedzialności poszczególnych osób, przygotowanie procedur kryzysowych oraz przepływ informacji pozwalający podejmować decyzje na odpowiednim poziomie organizacji. Znaczenie ma więc nie tylko to, jakie rozwiązania technologiczne zostały wdrożone. Równie ważne jest ustalenie, czy organizacja posiada mechanizmy pozwalające identyfikować zagrożenia i odpowiednio na nie reagować. W przypadku incydentu sposób funkcjonowania tych mechanizmów może stać się jednym z elementów oceny przygotowania przedsiębiorstwa. Z perspektywy zarządu oznacza to konieczność traktowania cyberbezpieczeństwa jako jednego z obszarów ryzyka wymagających odpowiedniego nadzoru. Powierzenie zadań technicznych wyspecjalizowanym zespołom nie powoduje, że cyberbezpieczeństwo pozostaje wyłącznie zagadnieniem operacyjnym działu IT. Przygotowanie organizacji na cyberatak obejmuje zatem nie tylko zabezpieczenia techniczne, ale również rozwiązania organizacyjne. Jasny podział odpowiedzialności, dostęp zarządu do informacji o zagrożeniach, procedury reagowania oraz odpowiednio uporządkowany proces decyzyjny mogą mieć znaczenie przy późniejszej ocenie działań osób zarządzających. NIS2 należy więc analizować również z perspektywy governance i odpowiedzialności decyzyjnej. Poważny incydent może prowadzić do pytania nie tylko o to, w jaki sposób doszło do cyberataku, lecz również czy przedsiębiorstwo wcześniej właściwie zarządzało ryzykiem i czy było przygotowane na taki scenariusz. Gdzie kończy się cyberatak, a zaczyna odpowiedzialność osób zarządzających przedsiębiorstwem? To zagadnienie analizuje mec. Jarosław Chałas w swoim najnowszym artykule dotyczącym NIS2, odpowiedzialności zarządu, należytej staranności oraz business judgement rule. Dowiedz się więcej: prawo cyberbezpieczeństwa

NIS2 i odpowiedzialność zarządu za cyberbezpieczeństwo zmieniają sposób, w jaki przedsiębiorstwa powinny podchodzić do bezpieczeństwa organizacji. Cyberbezpieczeństwo przestaje być wyłącznie domeną działów IT, a coraz większego znaczenia nabierają governance, zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw oraz przygotowanie organizacji na incydenty. Cyberbezpieczeństwo coraz częściej staje się zagadnieniem dotyczącym całej organizacji, a nie wyłącznie jej infrastruktury IT. Wraz ze zmianami związanymi z NIS2 rośnie znaczenie odpowiedniego zarządzania ryzykiem, podziału odpowiedzialności oraz przygotowania przedsiębiorstwa do reagowania na incydenty. NIS2 i odpowiedzialność zarządu za cyberbezpieczeństwo należy zatem rozpatrywać w szerszym kontekście odporności przedsiębiorstwa. Obejmuje ona nie tylko zabezpieczenia techniczne, ale również sposób podejmowania decyzji, procedury kryzysowe, nadzór nad dostawcami oraz zdolność organizacji do zachowania ciągłości działania w przypadku wystąpienia zagrożenia. Jednym z istotnych obszarów jest governance. W praktyce organizacja powinna wiedzieć, kto odpowiada za poszczególne elementy zarządzania cyberbezpieczeństwem, jak przebiega eskalacja informacji o incydencie oraz kto podejmuje decyzje w sytuacji kryzysowej. Brak jasno określonych kompetencji może utrudniać reakcję właśnie wtedy, gdy czas i sprawność działania mają szczególne znaczenie. Cyberbezpieczeństwo należy również analizować w kontekście łańcucha dostaw. Ryzyko nie musi powstawać bezpośrednio wewnątrz przedsiębiorstwa. Jego źródłem może być także dostawca, podwykonawca, partner technologiczny lub inny podmiot mający dostęp do systemów, danych albo infrastruktury organizacji. Oznacza to, że zarządzanie cyberbezpieczeństwem powinno uwzględniać także relacje z podmiotami zewnętrznymi. Znaczenia nabierają zasady wyboru i oceny dostawców, kontrola sposobu realizowania przez nich wymagań bezpieczeństwa, odpowiednie postanowienia umowne oraz procedury stosowane w przypadku incydentu obejmującego więcej niż jeden podmiot. Problem jest szczególnie widoczny w sektorach strategicznych, takich jak przemysł, energetyka, logistyka, sektor obronny czy infrastruktura krytyczna. W takich obszarach cyberbezpieczeństwo może wpływać nie tylko na funkcjonowanie pojedynczego przedsiębiorstwa, ale również na bezpieczeństwo szerszego łańcucha operacyjnego. Wymagania dotyczące cyberbezpieczeństwa coraz częściej stają się również elementem relacji biznesowych. Dla przedsiębiorstw uczestniczących w złożonych projektach i łańcuchach dostaw odpowiedni poziom bezpieczeństwa może mieć znaczenie dla możliwości nawiązania lub kontynuowania współpracy z kontrahentami. Sama technologia nie rozwiązuje jednak wszystkich problemów. Nawet rozbudowane zabezpieczenia techniczne nie zastąpią odpowiednio przygotowanych procedur, jasnego podziału kompetencji, kontroli nad dostawcami oraz mechanizmów podejmowania decyzji w sytuacji incydentu. Dlatego przygotowanie organizacji do wymagań związanych z NIS2 powinno obejmować analizę nie tylko infrastruktury i rozwiązań technicznych, lecz również sposobu zarządzania cyberbezpieczeństwem. Z perspektywy przedsiębiorstwa istotne jest ustalenie, czy istnieją odpowiednie procedury, czy odpowiedzialność została jasno przypisana, jak kontrolowane jest ryzyko związane z dostawcami oraz czy organizacja jest przygotowana na sytuację kryzysową. Cyberbezpieczeństwo staje się w ten sposób elementem zarządzania ryzykiem przedsiębiorstwa, podobnie jak compliance, bezpieczeństwo finansowe czy ciągłość operacyjna. Dotyczy to zarówno organizacji bezpośrednio objętych określonymi obowiązkami, jak i podmiotów funkcjonujących w ich łańcuchach dostaw. Szerszą analizę tych zagadnień przedstawia mec. Jarosław Chałas w najnowszym artykule poświęconym zmianie podejścia do cyberbezpieczeństwa, odporności przedsiębiorstw oraz bezpieczeństwa państwa. Dowiedz się więcej: prawo cyberbezpieczeństwa

Bezpieczeństwo technologiczne państwa i kontrola nad technologią były jednymi z ważnych tematów poruszanych podczas Kongresu Bezpieczeństwo Polski. Dyskusja pokazała, że bezpieczeństwo nie sprowadza się wyłącznie do zakupu sprzętu, lecz obejmuje również dostęp do IP i dokumentacji, możliwości serwisowe oraz zdolność do utrzymania i rozwijania systemów po ich wdrożeniu. Kongres Bezpieczeństwo Polski był okazją do dyskusji o tym, jak zmienia się podejście do bezpieczeństwa państwa w kontekście zaawansowanych technologii. Coraz większą uwagę poświęca się nie tylko samemu zakupowi sprzętu i systemów, lecz również temu, kto posiada kontrolę nad wykorzystywaną technologią, jakie prawa uzyskuje nabywca oraz czy może samodzielnie utrzymywać, modernizować i integrować wdrożone rozwiązania. Zagadnienia te są przedmiotem najnowszego artykułu Renaty Chałas „Państwo nie buduje bezpieczeństwa samym zakupem sprzętu. Kluczowe stają się IP, serwis i kontrola nad technologią”. Z perspektywy prawnej bezpieczeństwo technologiczne państwa i kontrola nad technologią wiążą się z szeregiem kwestii, które powinny być analizowane już na etapie konstruowania i negocjowania kontraktu. Znaczenie mają między innymi zasady transferu technologii, dostęp do dokumentacji, prawa do rozwijania systemów, lokalne zdolności MRO oraz warunki zapewniające ciągłość wsparcia operacyjnego. Sam zakup określonego rozwiązania nie musi oznaczać uzyskania pełnej swobody w zakresie jego późniejszego wykorzystania. Zakres praw własności intelektualnej, udzielonych licencji oraz dostępu do know how może wpływać na możliwość modyfikowania systemu, jego integracji z innymi rozwiązaniami czy powierzania określonych prac podmiotom trzecim. Podobne znaczenie ma dostęp do dokumentacji technicznej. W przypadku strategicznych projektów technologicznych istotne jest nie tylko jej otrzymanie, lecz także określenie zasad korzystania z niej, aktualizacji oraz udostępniania podmiotom odpowiedzialnym za utrzymanie, naprawy lub modernizację systemu. Zagadnienia te pozostają na styku prawa własności intelektualnej i prawa kontraktowego. Konstrukcja umowy może wpływać na rzeczywisty zakres kontroli nad technologią po zakończeniu pierwotnego etapu dostawy oraz na możliwość jej dalszego wykorzystywania i rozwijania. Istotnym elementem są również lokalne zdolności MRO, obejmujące utrzymanie, naprawy i remonty. Możliwość prowadzenia takich działań wymaga nie tylko odpowiedniego zaplecza technicznego. Znaczenie mają także postanowienia dotyczące licencji, know how, dokumentacji oraz zakresu dopuszczalnych ingerencji w system. Problem szczególnie wyraźnie widać w obszarze technologii dual use oraz systemów bezzałogowych. Szybkie tempo rozwoju technologicznego powoduje, że możliwość modernizacji, integracji nowych rozwiązań oraz dostosowywania systemów do zmieniających się potrzeb może być równie istotna jak ich parametry w momencie zakupu. Z tej perspektywy przy realizacji strategicznych projektów technologicznych istotne jest nie tylko to, jaki system jest nabywany. Znaczenie ma również zakres uprawnień pozostających po stronie nabywcy po wdrożeniu, możliwość jego serwisowania i modernizacji oraz warunki dalszego rozwoju technologii. Dyskusja nie ogranicza się przy tym do sektora obronnego. Podobne zagadnienia dotyczą podmiotów uczestniczących w strategicznych projektach technologicznych i infrastrukturalnych, zwłaszcza gdy realizacja przedsięwzięcia wiąże się z długoterminową zależnością od dostawcy systemu, oprogramowania, dokumentacji, części lub usług serwisowych. Z prawnego i biznesowego punktu widzenia analiza kontraktu dotyczącego zaawansowanych technologii powinna zatem obejmować nie tylko przedmiot dostawy, cenę i harmonogram. Istotne są również prawa do technologii, zakres licencji, dostęp do dokumentacji, zasady transferu know how, możliwość modyfikowania i integrowania rozwiązań oraz warunki ich serwisowania i dalszego rozwoju. Szerszą analizę tych zagadnień przedstawia Renata Chałas w artykule „Państwo nie buduje bezpieczeństwa samym zakupem sprzętu. Kluczowe stają się IP, serwis i kontrola nad technologią”. Publikacja poświęcona jest znaczeniu własności intelektualnej, zdolności serwisowych oraz kontroli nad technologią dla budowania bezpieczeństwa i odporności operacyjnej. Dowiedz się więcej: prawo cyberbezpieczeństwai bezpieczeństwa informacji