KSC NIS2 jako program: Jak Kierownik Projektu ma zarządzać wdrożeniem zgodności?

Jako Kierownik Projektu lub Programu, jesteś przyzwyczajony do zarządzania jasno zdefiniowanym zakresem, budżetem i harmonogramem. Twoim celem jest dostarczenie konkretnego produktu lub usługi. Tymczasem na Twoim biurku ląduje „projekt KSC/NIS2” – zadanie, które na pierwszy rzut oka wydaje się być mglistym wymogiem prawnym, pozbawionym jasnych ram. To pułapka. Wdrożenie KSC/NIS2 to nie jest mały projekt IT, który można przypisać jednemu administratorowi.

To złożony program transformacyjny, który dotyka niemal każdego działu w organizacji: od zarządu, przez dział prawny, zakupy, HR, aż po IT i produkcję (OT). To Ty, jako PM, stajesz przed wyzwaniem przełożenia strategicznej „mapy drogowej” od CISO na konkretny harmonogram, alokację zasobów i rejestr ryzyk. Sukces lub porażka całej inicjatywy zależy od Twoich umiejętności zarządzania tą złożonością.

Dlaczego wdrożenie KSC/NIS2 to program transformacyjny, a nie zwykły projekt IT?

Projekt IT ma zazwyczaj jeden, jasno określony cel, np. „wdrożenie systemu X”. Program KSC/NIS2 to zbiór wielu, wzajemnie powiązanych projektów, które muszą być realizowane równolegle, aby osiągnąć jeden cel strategiczny: odporność biznesową.

Jako PM, będziesz zarządzać co najmniej pięcioma równoległymi strumieniami pracy. Pierwszy to strumień GRC, czyli stworzenie całej dokumentacji (SZBI) . Drugi to strumień Technologia IT, czyli wdrożenie systemów jak SIEM czy EDR . Trzeci to strumień Technologia OT, czyli zabezpieczenie produkcji . Czwarty to Łańcuch Dostaw, czyli audytowanie i renegocjowanie umów z dostawcami. Piąty to HR/Kultura, czyli wdrożenie szkoleń i programu świadomości.

Żaden z tych strumieni nie jest „projektem IT”. To program, który fundamentalnie zmienia sposób działania firmy, a jego sponsorem jest sam zarząd.

Jakie są największe wyzwania projektowe we wdrożeniu KSC/NIS2?

Jako doświadczony PM, musisz natychmiast zidentyfikować kluczowe wyzwania. W przypadku KSC/NIS2 są one wyjątkowo dotkliwe. Po pierwsze, presja czasu. To nie jest projekt, w którym możesz negocjować termin. Deadline jest narzucony ustawowo i jest ekstremalnie krótki . Każdy dzień opóźnienia to realne ryzyko prawne.

Po drugie, złożoność zakresu. Jak opisano wyżej, zakres jest gigantyczny i dotyka wielu obszarów. Twoim wyzwaniem będzie zapanowanie nad „scope creep” i zapewnienie, że wszystkie strumienie idą do przodu w skoordynowany sposób.

Po trzecie, niedobór zasobów. To prawdopodobnie Twoje największe wyzwanie. Wdrożenie KSC/NIS2 wymaga bardzo niszowych, specjalistycznych kompetencji: ekspertów GRC (znających normy), inżynierów bezpieczeństwa (wdrożenia SIEM), pentesterów, a zwłaszcza ekspertów od bezpieczeństwa OT. Jest niemal pewne, że nie masz tych wszystkich ludzi w swoim wewnętrznym zespole.

Kto jest kluczowym interesariuszem (stakeholderem) w tym programie?

Błędem jest myślenie, że Twoim jedynym interesariuszem jest CTO lub CISO. KSC/NIS2 wynosi ten program na zupełnie inny poziom. Twoja mapa interesariuszy staje się bardzo złożona i musisz aktywnie nią zarządzać.

Twoim absolutnie kluczowym Sponsorem jest Zarząd (CEO, CFO). To oni ponoszą osobistą odpowiedzialność  i to oni trzymają budżet. Twoje raporty i spotkania statusowe muszą być kierowane właśnie do nich i muszą być przedstawiane w języku ryzyka biznesowego, a nie technicznym żargonie.

Kluczowi interesariusze merytoryczni to CISO (definiuje wymagania GRC), CTO/CIO (dostarcza zasoby IT), Szef Produkcji (kluczowy dla wdrożeń OT) oraz Szef Działu Zakupów (kluczowy dla projektu SCRM ). Bez ich aktywnego zaangażowania i współpracy, program utknie w martwym punkcie.

Jak zdefiniować zakres (scope) i kluczowe kamienie milowe programu?

Próba zdefiniowania zakresu KSC/NIS2 od zera jest niemożliwa. Na szczęście, struktura tego programu jest już zdefiniowana przez logiczny model wdrożenia, taki jak START-CORE-RESILIENCE . Jako PM, powinieneś użyć tego modelu jako swojej nadrzędnej struktury podziału prac (WBS – Work Breakdown Structure).

Twój plan projektu powinien odzwierciedlać te trzy fazy jako główne kamienie milowe:

• Kamień Milowy 1: Faza START (Diagnoza). Rezultat (Deliverable): Zatwierdzony przez zarząd „Raport z Audytu KSC/NIS2” oraz „Mapa Drogowa Wdrożenia” . To jest Twój formalny „Project Charter”, który definiuje szczegółowy zakres, budżet i harmonogram fazy CORE.
• Kamień Milowy 2: Faza CORE (Wdrożenie). Rezultat: Organizacja w stanie „Audit-Ready”. Dostarczone produkty to: wdrożony SZBI (dokumentacja) , wdrożone technologie (SIEM, EDR, segmentacja) oraz wdrożony proces SCRM.
• Kamień Milowy 3: Faza RESILIENCE (Utrzymanie). Rezultat: Przekazanie do eksploatacji. Dostarczone produkty to: działająca usługa SOC 24/7 , uruchomione stałe programy (szkolenia, audyty) .

Jakie ryzyka projektowe (project risks) należy wpisać do rejestru w pierwszej kolejności?

Jako PM, musisz odróżnić ryzyka cybernetyczne (którymi zarządza CISO) od ryzyk projektowych (którymi zarządzasz Ty). Twój rejestr ryzyk musi skupić się na tym, co może wykoleić Twój harmonogram i budżet.

Oto kluczowe ryzyka projektowe dla KSC/NIS2:

• Niedostępność zasobów specjalistycznych: Ryzyko, że wewnętrzny zespół nie będzie miał kompetencji (np. w bezpieczeństwie OT), a znalezienie zewnętrznych ekspertów zajmie zbyt dużo czasu. Mitygacja: Wczesne zakontraktowanie partnera end-to-end.
• Opór organizacyjny: Ryzyko, że kluczowe działy (np. produkcja, zakupy) będą traktować program jako „problem IT” i nie udostępnią swoich zasobów, blokując prace w strumieniach OT i SCRM. Mitygacja: Ciągła komunikacja i eskalacja do Sponsora (Zarządu).
• Opóźnienia po stronie dostawców: Ryzyko w strumieniu SCRM, gdzie Twoi dostawcy opóźniają odpowiedzi na kwestionariusze lub renegocjacje umów. Mitygacja: Priorytetyzacja dostawców i rozpoczęcie tego strumienia prac jak najwcześniej.
• Nierealistyczny harmonogram: Ryzyko narzucone przez ustawę . Mitygacja: Agresywna priorytetyzacja zadań oparta na audycie ryzyka z fazy START.

Jak zarządzać strumieniem „Wdrożenie Dokumentacji (SZBI)”?

To nie jest proste zadanie „napisania kilku polityk”. To pod-projekt z zakresu zarządzania zmianą organizacyjną. Jako PM musisz zapewnić, że dział GRC (wewnętrzny lub zewnętrzny) nie tworzy dokumentów „do szuflady”.

Twoim zadaniem jest zapewnienie, że w tym strumieniu znajdą się warsztaty z właścicielami biznesowymi. Plan Ciągłości Działania (BCP)  nie może powstać bez aktywnego udziału biznesu, który musi zdefiniować swoje krytyczne procesy i czasy RTO/RPO.

Musisz także zaplanować zadania związane z wdrożeniem i komunikacją tych procedur. A co najważniejsze, musisz zaplanować testowanie – np. ćwiczenia table-top  sprawdzające procedurę reagowania na incydent. Dostarczalnym produktem nie jest „dokument”, ale „przetestowana i wdrożona procedura”.

Jak KSC/NIS2 wpłynie na wszystkie inne projekty IT, którymi zarządzasz?

To ukryte wyzwanie, o którym wielu PM-ów zapomina. KSC/NIS2 nie jest tylko jednym, dużym programem. Ta regulacja fundamentalnie zmienia sposób, w jaki Twoja firma będzie realizować WSZYSTKIE przyszłe projekty IT.

Jako Kierownik Programu, musisz współpracować z CISO i CTO, aby zaktualizować Waszą metodykę zarządzania projektami. Od teraz, każdy nowy projekt IT (np. wdrożenie nowego systemu CRM, budowa aplikacji mobilnej dla klienta) musi mieć w swoim cyklu życia (SDLC) wbudowane bramki bezpieczeństwa (security gates).

Twój standardowy plan projektu musi zostać rozszerzony o nowe, obowiązkowe zadania: przegląd architektury pod kątem bezpieczeństwa, testy penetracyjne aplikacji przed wdrożeniem, integrację logów z systemem SIEM czy weryfikację dostawcy pod kątem SCRM. KSC/NIS2 sprawia, że bezpieczeństwo staje się integralną, niepomijalną częścią każdego zakresu projektu.

Jaką rolę odgrywa partner integracyjny w tym programie z perspektywy PM-a?

Próba zarządzania tak złożonym programem, polegając wyłącznie na zasobach wewnętrznych i kontraktując 5-10 różnych, małych dostawców (jednego od GRC, drugiego od SIEM, trzeciego od pentestów, czwartego od szkoleń) to dla Kierownika Projektu koszmar logistyczny.

Idealnym rozwiązaniem z perspektywy PM-a jest współpraca z jednym, integratorem end-to-end, który pełni podwójną rolę: PMO (Program Management Office) i dostawcy usług specjalistycznych.

Jako partner PMO, integrator (taki jak nFlo) pomaga Ci ustrukturyzować program, zarządzać strumieniami prac, monitorować postępy i przygotowywać raporty dla zarządu. Jako dostawca usług, nFlo bierze na siebie realizację kluczowych „paczek pracy” (work packages), do których nie masz zasobów:

• Usługi GRC (dostarczenie SZBI).
• Usługi Profesjonalne (wdrożenie technologii IT/OT).
• Usługi Weryfikacyjne (testy penetracyjne).
• Usługi Zarządzane (przejęcie operacyjne SOC).

Dla Ciebie, jako PM-a, oznacza to redukcję złożoności. Zamiast zarządzać dziesiątkami zależności, zarządzasz jednym kluczowym partnerem, który gwarantuje spójność i dostarczenie rezultatów w całym programie.

Mapa Programu KSC/NIS2 (WBS): Model START-CORE-RESILIENCE dla PM-a

Poniższa tabela przedstawia, jak model strategiczny przekłada się na konkretne strumienie prac i dostarczalne produkty (deliverables) w programie wdrożeniowym.