Wiele osób piastujących wysokie stanowiska wciąż żyje w przekonaniu, że cyberbezpieczeństwo to domena „panów od komputerów”, którzy siedzą w piwnicy i pilnują, żeby serwery się nie przegrzały. Przez lata panowało ciche przyzwolenie na to, by zarządy umywały ręce od kwestii technicznych, argumentując to brakiem specjalistycznej wiedzy. Dyrektywa NIS2 (Network and Information Systems Directive 2) brutalnie kończy z tym podejściem, wprowadzając nową erę odpowiedzialności. Dlaczego jednak ustawodawca uznał, że menedżer, który nie musi wiedzieć, jak skonfigurować firewall, musi odpowiadać za to, czy ten firewall działa?

Cyberbezpieczeństwo to ryzyko biznesowe, a nie techniczne

Kluczem do zrozumienia zmian wprowadzonych przez NIS2 jest zmiana definicji samego zagrożenia. W dzisiejszym świecie atak hakerski nie jest już tylko „awarią systemu”. To realne zagrożenie dla ciągłości działania firmy, jej płynności finansowej oraz reputacji. Skoro zadaniem zarządu jest zarządzanie ryzykiem w organizacji, to ryzyko cyfrowe musi stać na równi z ryzykiem rynkowym, kredytowym czy prawnym.

Wyobraźmy sobie sytuację, w której firma traci dostęp do wszystkich danych produkcyjnych z powodu ataku ransomware. Fabryka staje, kontrakty są zrywane, a giełdowa wycena leci w dół. Czy w takim scenariuszu brak wiedzy o tym, jak działa szyfrowanie danych, zwalnia prezesa z odpowiedzialności za to, że firma przestała zarabiać? Według NIS2 – absolutnie nie. Zarząd odpowiada za strategię przetrwania firmy, a cyberbezpieczeństwo jest jej fundamentem.

Artykuł 20 dyrektywy NIS2, czyli koniec wymówek

Dyrektywa NIS2 w swoim artykule 20. jasno określa, że państwa członkowskie muszą zapewnić, aby organy zarządzające podmiotów kluczowych i ważnych zatwierdzały środki zarządzania ryzykiem w cyberbezpieczeństwie oraz nadzorowały ich wdrażanie. Co więcej, członkowie tych organów mogą zostać pociągnięci do osobistej odpowiedzialności za naruszenia.

To rewolucja, ponieważ:

• Zarząd musi zatwierdzać budżet i strategię: Nie można już powiedzieć „nie wiedziałem, że IT potrzebowało funduszy na backup”.
• Nadzór jest obowiązkowy: Zarząd musi aktywnie sprawdzać, czy przyjęte procedury są skuteczne.
• Brak wiedzy to nie argument: Dyrektywa nakłada na kadrę zarządzającą obowiązek uczestnictwa w szkoleniach.

Obowiązkowe szkolenia dla „nietechnicznych” szefów

Jednym z najciekawszych zapisów NIS2 jest wymóg regularnego uczestnictwa członków organów zarządzających w szkoleniach z zakresu cyberbezpieczeństwa. Ustawodawca wyszedł z założenia, że skoro zarządzasz nowoczesnym przedsiębiorstwem, musisz posiadać wiedzę wystarczającą do identyfikacji ryzyk i oceny praktyk zarządzania nimi.

Nie oznacza to, że prezes musi umieć pisać kod w Pythonie. Musi jednak rozumieć, jakie skutki dla firmy niesie ze sobą wyciek danych osobowych, czym jest phishing i dlaczego wieloskładnikowe uwierzytelnianie (MFA) jest niezbędne. Wiedza ta ma pozwolić na prowadzenie merytorycznego dialogu z CISO (Chief Information Security Officer) lub działem IT, zamiast bezrefleksyjnego podpisywania dokumentów, których nikt w zarządzie nie czyta.

Realne sankcje, które budzą respekt

Dlaczego tym razem zarządy naprawdę się boją? Ponieważ NIS2 wprowadza dotkliwe kary finansowe, które mogą wynosić do 10 milionów euro lub 2% łącznego rocznego światowego obrotu firmy. Ale to nie wszystko. W skrajnych przypadkach dyrektywa przewiduje możliwość tymczasowego zawieszenia osób pełniących funkcje kierownicze, jeśli nie wywiązują się one z obowiązków w zakresie cyberbezpieczeństwa.

W praktyce oznacza to, że „niewiedza” staje się zaniedbaniem obowiązków służbowych. Tak jak członek zarządu ds. finansów nie może powiedzieć, że nie zna się na podatkach, tak każdy inny członek zarządu nie może już twierdzić, że cyberprzestrzeń to dla niego „czarna magia”.

Ciekawostka: Cyberbezpieczeństwo a ubezpieczenia D&O

Warto zauważyć, że zmiany w prawie wpłyną również na rynek ubezpieczeń dla członków zarządu (D&O – Directors and Officers). Ubezpieczyciele coraz częściej analizują poziom dojrzałości cyfrowej organizacji przed wystawieniem polisy. Jeśli zarząd ignoruje wytyczne NIS2, może się okazać, że w razie problemów ubezpieczyciel odmówi wypłaty odszkodowania, uznając to za rażące niedbalstwo.

Jak przygotować się na zmiany?

Zamiast panikować, zarządy powinny podjąć konkretne kroki, które pozwolą im spać spokojnie:

1. Audyt kompetencji: Sprawdzenie, co zarząd faktycznie wie o cyberbezpieczeństwie i gdzie są luki.
2. Wdrożenie raportowania: Ustanowienie regularnych raportów dotyczących stanu bezpieczeństwa, które są zrozumiałe dla osób nietechnicznych.
3. Współpraca z ekspertami: Traktowanie działu IT lub CISO jako partnerów biznesowych, a nie tylko koszt operacyjny.
4. Kultura bezpieczeństwa: Promowanie świadomości cyfrowej od samej góry – jeśli prezes ignoruje zasady bezpieczeństwa, pracownicy będą robić to samo.

Dyrektywa NIS2 to jasny sygnał, że w XXI wieku zarządzanie firmą jest nierozerwalnie związane z dbaniem o jej cyfrowe granice. Odpowiedzialność zarządu nie jest już kwestią dobrej woli, lecz twardym wymogiem prawnym, którego nie da się ominąć brakiem technicznego wykształcenia.