Cyberbezpieczeństwo po nowelizacji UKSC
UKSC i NIS2 w praktyce: co pokazują ostatnie miesiące szkoleń
Ostatnie miesiące upłynęły mi głównie pod znakiem UKSC i NIS2. Prowadziłam szkolenia i wdrożenia dla firm z różnych branż — od IT po logistykę i chemikalia. I choć każda z tych organizacji działa inaczej, jeden wniosek powtarza się z uderzającą regularnością: największym ryzykiem w cyberbezpieczeństwie wciąż nie jest technologia, tylko codzienna decyzja pracownika przy klawiaturze.
Co się właściwie zmieniło
3 kwietnia 2026 r. weszła w życie nowelizacja ustawy z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20), wdrażająca unijną dyrektywę NIS2. To największa zmiana krajowych przepisów o cyberbezpieczeństwie od lat i jak pokazuje moja praktyka, wciąż słabo rozpoznana wśród przedsiębiorców.
Nowelizacja zastąpiła dotychczasowy, wąski podział na „operatorów usług kluczowych” i „dostawców usług cyfrowych” nowymi kategoriami: podmiotami kluczowymi i podmiotami ważnymi, obejmującymi łącznie 16 sektorów gospodarki — od energetyki i zdrowia, przez transport, po produkcję chemikaliów, żywność czy usługi cyfrowe. Wiele średnich i dużych firm, zostało po nowelizacji objętych ustawą. Nowe obowiązki obejmują m.in.:
- samoidentyfikację i wpis do Wykazu KSC,
- korzystanie z Systemu S46 jako podstawowego kanału komunikacji z organami,
- wdrożenie realnego zarządzania ryzykiem, a nie tylko dokumentu „na półkę”,
- sztywne terminy zgłaszania incydentów poważnych: wczesne ostrzeżenie do właściwego CSIRT w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca,
- coroczne obowiązkowe szkolenia z cyberbezpieczeństwa i cyberhigieny — nie tylko dla pracowników ale także dla kierownika podmiotu,
- osobistą odpowiedzialność kierownictwa za niewdrożenie wymaganych środków.
To ostatni punkt najbardziej porusza zarządy, z którymi również pracuję. Cyberbezpieczeństwo przestało być tematem wyłącznie działu IT — stało się elementem odpowiedzialności zarządczej, na równi z bezpieczeństwem finansowym czy zgodnością podatkową.
To nie jest teoria — dane mówią same za siebie
Sceptycy czasem pytają mnie, czy skala zagrożeń rzeczywiście uzasadnia taki wysiłek wdrożeniowy. Wystarczy spojrzeć na najnowsze dane. Według raportu grupy analitycznej Insikt (wrzesień 2026) w pierwszej połowie tego roku zidentyfikowano 215 aktywnie wykorzystywanych luk bezpieczeństwa — o 34% więcej niż rok wcześniej. Mediana czasu od upublicznienia podatności do jej pierwszego wykorzystania przez atakujących wyniosła zaledwie 31 dni, a w części przypadków ataki zaczynały się jeszcze przed oficjalnym zgłoszeniem luki.
Jeszcze bardziej wymowne są dane CSIRT KNF za sierpień 2026: tylko w tym jednym miesiącu zespół wykrył i zgłosił do zablokowania ponad 4 187 domen phishingowych wymierzonych w klientów sektora bankowego, a na liście ostrzeżeń CERT Polska znajdowało się już blisko 135 tysięcy takich domen. Zdecydowana większość ataków wykorzystywała ten sam mechanizm — fałszywe reklamy inwestycyjne podszywające się pod znane banki, instytucje publiczne czy nawet uczelnie, budujące fałszywe poczucie zaufania w kilka sekund.
To właśnie ta obserwacja — że atakujący nie muszą już łamać zabezpieczeń, wystarczy że przekonają jedną osobę do kliknięcia — najsilniej przekłada się na to, jak dziś prowadzę szkolenia.
Co pokazują szkolenia: najsłabsze ogniwo wciąż jest to samo
Niezależnie od branży, w każdej organizacji te same scenariusze wywołują najwięcej dyskusji na sali:
- Hasła i konta współdzielone. Mimo formalnych polityk wymagających haseł 12-14 znakowych i uwierzytelniania dwuskładnikowego, w praktyce wciąż spotykam wspólne konta do systemów „bo tak jest szybciej”.
- Phishing i presja czasu. Najskuteczniejszym ćwiczeniem na moich szkoleniach jest pokazanie przykładów wiadomości, no „pilna faktura”, fałszywy alert o blokadzie konta Microsoft 365, telefon od rzekomego „informatyka” proszącego o hasło, pilna potrzeba zmiany rachunku bankowego i zadanie jednego pytania: co tu jest podejrzane? Ludzie widzą to od razu, kiedy się zatrzymają. Problem w tym, że na co dzień rzadko się zatrzymują.
- Narzędzia AI. To temat, który jeszcze dwa lata temu w ogóle nie pojawiał się na szkoleniach, a dziś jest obowiązkowym punktem programu. Pracownicy odruchowo wklejają umowy i dokumenty firmowe do publicznych czatów AI albo wysyłają je przez ogólnodostępne serwisy transferu plików, nie zastanawiając się, że to wciąż jest przekazanie informacji poza kontrolowane środowisko firmy.
- Kultura zgłaszania incydentów. To chyba najważniejsza zmiana, jaką staram się wprowadzić. Pracownik nie musi umieć ocenić, czy dane zdarzenie to „prawdziwy incydent” — ma je po prostu zgłosić. Zasada, którą powtarzam na każdym szkoleniu, brzmi: bądź uważny – zauważyłeś coś – zatrzymaj się – zgłoś. Reszta to już zadanie zespołu ds. cyberbezpieczeństwa, nie pracownika.
Obowiązki, o których firmy najczęściej zapominają
Z perspektywy prawnika prowadzącego audyty zerowe, najczęstsze luki nie dotyczą zaawansowanej technologii, tylko podstawowej dokumentacji i procedur: braku formalnych upoważnień do przetwarzania danych, braku aktualnej analizy ryzyka traktowanej jako żywy proces, niejasnej ścieżki rozpoznania i zgłaszania incydentów, brak kodeksu dobrych praktyk tzw. cyberhigieny dla pracowników oraz braku udokumentowanych szkoleń, mimo że ustawa wprost tego wymaga.
Podsumowanie
Nowelizacja UKSC i wdrożenie NIS2 to nie jest jednorazowy projekt compliance, który można „odhaczyć” i zapomnieć. To zmiana sposobu myślenia o bezpieczeństwie — z technicznego zagadnienia działu IT – w odpowiedzialność rozłożoną na całą organizację, od zarządu po pracownika magazynu. Najnowocześniejszy system zabezpieczeń nic nie da, jeśli choć jedna osoba poda hasło przez telefon niezweryfikowanej osobie lub odruchowo kliknie w podejrzany link.
Jeśli prowadzisz firmę z sektora objętego nowelizacją i zastanawiasz się, czy i w jakim zakresie obowiązki UKSC/NIS2 Cię dotyczą — zapraszam do kontaktu. Pomagam zarówno w audycie zerowym i budowie dokumentacji SZBI, jak i w szkoleniach dopasowanych do specyfiki konkretnej organizacji.