Jest pewien moment, który zna każdy, kto wdrażał regulacje w dużej organizacji: audyt zaliczony, segregator z dokumentacją stoi na półce, a mimo to nikt nie potrafi szczerze odpowiedzieć na pytanie „czy gdyby ktoś dziś nas zaatakował, bylibyśmy gotowi?”. To rozdźwięk między zgodnością formalną a rzeczywistą odpornością — i właśnie jego dotyka dyrektywa NIS2.
NIS2 bywa odczytywana jako kolejny zestaw wymagań do odhaczenia. To kosztowne nieporozumienie, szczególnie w energetyce, gdzie skutkiem błędu nie jest naruszenie danych, lecz ryzyko dla dostaw energii. W tym artykule pokazujemy, dlaczego zgodność „na papierze” nie wystarcza i jak przejść do podejścia, którego regulacja faktycznie oczekuje.
Dlaczego zgodność „na papierze” daje złudne poczucie bezpieczeństwa?
Dokument potwierdza, że coś istnieje — polityka, procedura, przypisana rola. Nie mówi jednak, czy to działa, czy jest aktualne i czy ktokolwiek zachowa się zgodnie z nim w chwili rzeczywistego incydentu. Organizacja może mieć komplet dokumentacji i jednocześnie nie wiedzieć, które jej systemy są najbardziej narażone.
Zgodność formalna jest potrzebna, ale myli się ją z celem. Cel to odporność — zdolność do przewidywania, wykrywania, powstrzymywania i odtwarzania się po incydencie. Dokumentacja jest najwyżej śladem, że ktoś o tym pomyślał, a nie dowodem, że to zadziała.
Na czym polega podejście risk-based, którego wymaga NIS2?
NIS2 świadomie nie narzuca jednej, sztywnej listy zabezpieczeń identycznej dla wszystkich. Zamiast tego wymaga, by zakres i intensywność środków wynikały z ryzyka charakterystycznego dla danej organizacji i świadczonych przez nią usług. To podejście oparte na ryzyku (risk-based) i na zasadzie proporcjonalności.
W praktyce oznacza to powtarzalny cykl:
- identyfikacja — co i przed czym chronimy,
- ocena — jak duży jest wpływ i prawdopodobieństwo danego scenariusza,
- priorytetyzacja — gdzie ulokować ograniczone zasoby w pierwszej kolejności,
- działanie i przegląd — wdrożenie środków i regularna weryfikacja, czy ryzyko faktycznie spadło.
To nie jest projekt z datą zamknięcia. To sposób zarządzania, który ma trwać.
Czym różni się audyt zgodności od realnej oceny ryzyka?
Te dwa pojęcia bywają mylone, choć odpowiadają na zupełnie różne pytania:
| Aspekt | Audyt zgodności | Ocena ryzyka |
|---|---|---|
| Pytanie | Czy spełniamy wymaganie? | Co realnie może pójść nie tak? |
| Punkt odniesienia | Lista / norma | Zagrożenia i wpływ na organizację |
| Wynik | Stan „spełnia / nie spełnia” | Priorytety i decyzje inwestycyjne |
| Charakter | Fotografia momentu | Proces ciągły |
Audyt mówi, gdzie jesteśmy względem wymagań. Ocena ryzyka mówi, co zrobić jako pierwsze i dlaczego. Dobry program bezpieczeństwa potrzebuje obu, ale to ryzyko, a nie checklista, powinno wyznaczać kolejność działań.
Jak ustalić priorytety, gdy nie da się zabezpieczyć wszystkiego naraz?
Żadna organizacja — także energetyczna — nie zamknie wszystkich luk jednocześnie. Sztuką jest świadomy wybór kolejności. Pomagają w tym trzy pytania zadawane do każdego zidentyfikowanego ryzyka:
- Jak duży byłby skutek, gdyby ten scenariusz się zmaterializował? W energetyce miarą jest wpływ na ciągłość dostaw i bezpieczeństwo procesu, nie tylko utrata danych.
- Jak prawdopodobne jest jego wystąpienie przy obecnych zabezpieczeniach?
- Ile kosztuje jego ograniczenie w stosunku do uzyskanej redukcji ryzyka?
Ryzyka o dużym skutku i wysokim prawdopodobieństwie, które da się ograniczyć rozsądnym nakładem, trafiają na górę listy. To podejście chroni przed dwiema skrajnościami: rozpraszaniem budżetu na mało istotne braki i paraliżem wobec skali zadania.
Dlaczego w energetyce ryzyko trzeba liczyć w kategoriach procesu?
W typowej organizacji IT najgorszy scenariusz to wyciek lub zaszyfrowanie danych. W energetyce stawką jest proces fizyczny — wytwarzanie i dostarczanie energii. Dlatego ocena ryzyka musi obejmować nie tylko systemy biurowe, lecz przede wszystkim środowisko OT oraz styki między nim a IT.
Konsekwencja jest praktyczna: ten sam incydent (np. kompromitacja stacji roboczej) ma zupełnie inną wagę, jeśli z tej stacji prowadzi droga do systemów sterowania. Risk-based w energetyce oznacza więc patrzenie na całą ścieżkę potencjalnego skutku, aż do warstwy procesu — a to wymaga zrozumienia specyfiki OT, nie tylko klasycznego bezpieczeństwa informacji.
Jak utrzymać odporność w czasie, a nie tylko w dniu audytu?
Najczęstszy błąd to potraktowanie zgodności jako wydarzenia: intensywny projekt, certyfikat, koniec. Ryzyko jednak nie zatrzymuje się po audycie — pojawiają się nowe podatności, zmienia się infrastruktura, rośnie aktywność atakujących. Odporność utrzymuje się tylko przez ciągłość:
- bieżące monitorowanie i wykrywanie w ramach SOC,
- regularne przeglądy ryzyka i testy zabezpieczeń,
- aktualizację planów reagowania w miarę zmian w środowisku,
- wracającą ocenę, czy przyjęte priorytety są wciąż aktualne.
To dlatego coraz więcej organizacji decyduje się na stały nadzór nad programem bezpieczeństwa, np. w modelu vCISO, zamiast traktować zgodność jako jednorazowy zryw.
Jaką rolę pełni zarząd w modelu opartym na ryzyku?
NIS2 wprost przenosi odpowiedzialność na poziom zarządu — to on zatwierdza i nadzoruje środki zarządzania ryzykiem. W modelu risk-based oznacza to konkretną decyzję menedżerską: zarząd akceptuje poziom ryzyka, którego organizacja świadomie nie zamyka od razu, i odpowiada za to, by program był finansowany i realnie realizowany.
To zdrowe ułożenie ról. Bezpieczeństwo przestaje być „sprawą działu IT”, a staje się elementem zarządzania organizacją — co w sektorze infrastruktury krytycznej jest nie tyle dobrą praktyką, ile koniecznością. Więcej o tym wymiarze w artykule o osobistej odpowiedzialności zarządu.
Powiązane pojęcia
Dowiedz się więcej
- Audyt gotowości KSC/NIS2 — przewodnik dla CISO
- KSC/NIS2 a osobista odpowiedzialność zarządu
- Nowelizacja KSC/NIS2 2026 — kalendarz terminów i obowiązków
Sprawdź nasze usługi
- vCISO — stały nadzór nad programem zarządzania ryzykiem
- Audyt bezpieczeństwa wg ISA/IEC 62443 — ocena ryzyka w środowisku OT
- SOC 24/7 — ciągłe wykrywanie i reagowanie
- Szkolenia NIS2 dla zarządów — świadoma akceptacja ryzyka na poziomie zarządu
NIS2 nie jest egzaminem, który zdaje się raz. Jest ramą, którą trzeba wypełnić treścią — a tą treścią jest realne, ciągłe zarządzanie ryzykiem dopasowane do tego, czym organizacja faktycznie ryzykuje. W energetyce ta różnica między papierem a odpornością mierzy się bezpieczeństwem dostaw, dlatego warto postawić na nią od początku.
