Rosnąca liczba incydentów, coraz bardziej złożone metody działania przestępców oraz nowe obowiązki wynikające z ustawy o krajowym systemie cyberbezpieczeństwa sprawiają, że cyberbezpieczeństwo staje się jednym z podstawowych obszarów zarządzania przedsiębiorstwem. Dla operatorów telekomunikacyjnych zmiana jest szczególnie istotna – nowe przepisy obejmują ich niezależnie od wielkości firmy.
Skala zagrożeń cyfrowych przestała być argumentem wykorzystywanym wyłącznie przez producentów systemów zabezpieczeń. Dane CERT Polska pokazują, że w 2025 roku zespół otrzymał ponad 658 tys. zgłoszeń i zarejestrował blisko 261 tys. unikalnych incydentów bezpieczeństwa. Liczba zarejestrowanych zdarzeń wzrosła rok do roku o 152 proc., a zdecydowaną większość stanowiły różne formy oszustw komputerowych, w tym phishing i próby wyłudzania danych.
Za tymi statystykami kryją się jednak nie tylko fałszywe wiadomości kierowane do użytkowników indywidualnych. Cyberprzestępcy coraz częściej próbują przejmować firmowe konta, uzyskiwać dostęp do infrastruktury, kraść dane, szyfrować zasoby lub zakłócać działanie usług. W przypadku przedsiębiorstwa telekomunikacyjnego skutkiem incydentu może być nie tylko utrata dokumentacji albo czasowa niedostępność systemów biurowych, ale również przerwanie świadczenia usług dla abonentów.
Cyberbezpieczeństwo jako ryzyko biznesowe
Przez wiele lat bezpieczeństwo systemów teleinformatycznych traktowano jako obszar techniczny. Zarząd przeznaczał na niego określony budżet, natomiast odpowiedzialność operacyjna spoczywała na administratorach, informatykach albo zewnętrznym dostawcy usług. Zadaniem kierownictwa było przede wszystkim zapewnienie środków, a nie szczegółowe interesowanie się sposobem zabezpieczenia infrastruktury.
Taki model staje się niewystarczający.
Cyberatak może dzisiaj wpływać na wszystkie najważniejsze obszary funkcjonowania przedsiębiorstwa. Powoduje ryzyko utraty przychodów, konieczność ponoszenia kosztów odtworzenia systemów, możliwość naruszenia danych osobowych, odpowiedzialność wobec klientów i kontrahentów, a także straty wizerunkowe. W skrajnych przypadkach może doprowadzić do czasowego zatrzymania całej działalności.
Oznacza to, że decyzja o zabezpieczeniu sieci, wykonaniu kopii zapasowych, wdrożeniu dodatkowego uwierzytelniania czy przygotowaniu planu ciągłości działania nie jest już wyłącznie decyzją techniczną. Staje się decyzją biznesową, podobnie jak ubezpieczenie majątku, zabezpieczenie płynności finansowej czy zapewnienie rezerwowych źródeł zasilania.
NIS2 rozszerza krajowy system cyberbezpieczeństwa
W Polsce zasadnicza zmiana nastąpiła 3 kwietnia 2026 roku, kiedy weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2. Nowe regulacje zastąpiły dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych podziałem na podmioty kluczowe oraz podmioty ważne. Jednocześnie znacząco rozszerzono katalog organizacji objętych przepisami.
Regulacja obejmuje między innymi podmioty działające w energetyce, transporcie, ochronie zdrowia, bankowości, produkcji, gospodarce odpadami, sektorze żywnościowym oraz przy świadczeniu usług cyfrowych. Podstawowymi kryteriami są rodzaj prowadzonej działalności i wielkość organizacji, przy czym ustawodawca przewidział również grupy objęte regulacją niezależnie od osiąganych przychodów i liczby pracowników.
Jedną z takich grup są przedsiębiorcy telekomunikacyjni.
Ministerstwo Cyfryzacji wyjaśnia, że każdy przedsiębiorca telekomunikacyjny podlega ustawie niezależnie od wielkości. Duże i średnie firmy telekomunikacyjne uznawane są za podmioty kluczowe, natomiast mali przedsiębiorcy i mikroprzedsiębiorcy otrzymują status podmiotów ważnych.
Dla lokalnych operatorów oznacza to, że niewielka skala działalności nie wyłącza obowiązków. Może wpływać na sposób sprawowania nadzoru i wysokość ewentualnych sankcji, lecz nie zwalnia z konieczności zbudowania systemowego podejścia do cyberbezpieczeństwa.
Odpowiedzialność trafia na poziom zarządu
Jedną z najważniejszych zmian wprowadzonych przez NIS2 jest przeniesienie ciężaru odpowiedzialności na organy zarządzające. Zarząd ma zatwierdzać środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorować ich wdrażanie i ponosić odpowiedzialność za naruszenia obowiązków.
Nie oznacza to, że prezes przedsiębiorstwa telekomunikacyjnego powinien samodzielnie konfigurować urządzenia sieciowe, analizować logi czy obsługiwać incydenty. Powinien jednak wiedzieć, jakie są najważniejsze zagrożenia, kto odpowiada za ich ograniczanie, czy przyjęte zabezpieczenia są adekwatne oraz w jaki sposób firma zareaguje w przypadku ataku.
Samo przekazanie zadań dyrektorowi technicznemu, administratorowi albo zewnętrznemu dostawcy nie zdejmuje z kierownictwa odpowiedzialności za nadzór. Zarząd pozostaje odpowiedzialny za zatwierdzanie rozwiązań, kontrolowanie ich realizacji i podejmowanie świadomych decyzji dotyczących akceptowanego poziomu ryzyka.
W praktyce szczególnego znaczenia nabiera dokumentowanie procesu decyzyjnego. Jeżeli firma rezygnuje z określonego zabezpieczenia albo odkłada inwestycję, decyzja powinna być poprzedzona analizą ryzyka. Nie wystarczy stwierdzenie, że rozwiązanie było zbyt drogie lub dotychczas nie wystąpił podobny incydent.
Nie tylko zabezpieczenia techniczne
Nowe obowiązki nie ograniczają się do zakupu oprogramowania, zapory sieciowej czy systemu wykrywania ataków. Podmioty kluczowe i ważne mają wdrożyć system zarządzania bezpieczeństwem informacji, prowadzić systematyczną analizę ryzyka oraz stosować odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne.
W praktyce oznacza to konieczność uporządkowania między innymi zasad obsługi incydentów, wykonywania i testowania kopii zapasowych, zarządzania dostępem, stosowania kryptografii, bezpieczeństwa fizycznego, ciągłości działania oraz odtwarzania działalności po awarii. Firma powinna również prowadzić dokumentację potwierdzającą, że procedury są rzeczywiście realizowane, a nie tylko formalnie przyjęte.
Wymagane jest także wyznaczenie osób odpowiedzialnych za kontakty w ramach krajowego systemu cyberbezpieczeństwa, szkolenie kierownictwa oraz weryfikowanie osób wykonujących określone zadania związane z bezpieczeństwem. Podmioty kluczowe będą dodatkowo podlegały obowiązkowym audytom przeprowadzanym co najmniej raz na trzy lata. Organizacje, które spełniały kryteria w dniu wejścia przepisów w życie, mają zasadniczo czas do 3 kwietnia 2027 roku na wdrożenie głównych obowiązków.
Incydent uruchamia ustawowy zegar
Szczególnym wyzwaniem będzie przygotowanie firm do raportowania poważnych incydentów. Zgodnie z modelem przyjętym w NIS2 pierwsze ostrzeżenie powinno zostać przekazane bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od uzyskania wiedzy o poważnym zdarzeniu. Pełniejsze zgłoszenie należy przekazać w ciągu 72 godzin, a raport końcowy zasadniczo w terminie miesiąca.
Dla operatora telekomunikacyjnego może to być poważne wyzwanie organizacyjne. W pierwszych godzinach po wykryciu ataku zespół techniczny będzie zajmował się ograniczaniem skutków, zabezpieczaniem infrastruktury, ustalaniem źródła problemu i przywracaniem usług. Równolegle trzeba będzie zebrać informacje potrzebne do klasyfikacji zdarzenia oraz jego zgłoszenia.
Dlatego procedura reagowania na incydent nie powinna powstawać dopiero wtedy, gdy przestaje działać sieć. Firma musi wcześniej ustalić, kto podejmuje decyzję o kwalifikacji incydentu, kto kontaktuje się z właściwym zespołem CSIRT, kto przygotowuje komunikaty dla klientów i kto dokumentuje przebieg działań.
Do realizacji części obowiązków służy System S46. Podmioty objęte regulacją mają za jego pomocą zgłaszać incydenty, otrzymywać ostrzeżenia oraz wymieniać informacje o zagrożeniach. Organizacje spełniające kryteria w dniu wejścia nowelizacji w życie powinny rozpocząć korzystanie z systemu najpóźniej do 3 kwietnia 2027 roku.
Warto przy tym pamiętać, że przedsiębiorcy telekomunikacyjni należą do podmiotów wpisywanych do Wykazu KSC z urzędu. Nie powinni więc ponownie składać wniosku o samorejestrację. Po otrzymaniu zawiadomienia i wezwania muszą natomiast uzupełnić wymagane dane w terminie sześciu miesięcy.
Bezpieczeństwo dostawców częścią bezpieczeństwa operatora
Istotnym elementem nowych regulacji jest także bezpieczeństwo łańcucha dostaw. Firma nie może już oceniać wyłącznie własnych systemów. Powinna brać pod uwagę ryzyka związane z producentami urządzeń, dostawcami oprogramowania, usługami chmurowymi, zdalnym serwisem oraz podmiotami posiadającymi dostęp do infrastruktury.
Atakujący często nie wybiera przecież najmocniej chronionego przedsiębiorstwa. Szuka słabszego dostawcy, konta serwisowego, nieaktualnego komponentu albo niewłaściwie zabezpieczonego połączenia, które pozwoli mu wejść do większej organizacji.
Weryfikacja kontrahentów nie może więc ograniczać się do pytania, czy deklarują zgodność z określoną normą. W umowach powinny zostać opisane wymagania dotyczące zabezpieczeń, zgłaszania incydentów, zarządzania podatnościami, wykonywania aktualizacji oraz zakończenia współpracy. Ważne jest również ustalenie, kto ma dostęp do systemów operatora i w jaki sposób dostęp ten jest kontrolowany.
AI wspiera obronę, ale tworzy nowe podatności
Dodatkowym elementem cyfrowego krajobrazu jest coraz szersze wykorzystanie sztucznej inteligencji. AI może pomagać w analizowaniu ruchu sieciowego, wykrywaniu anomalii, automatyzowaniu obsługi zgłoszeń czy przewidywaniu awarii. Jednocześnie wspiera również przestępców, którzy wykorzystują ją do przygotowywania bardziej wiarygodnego phishingu, automatyzowania ataków i tworzenia fałszywych treści.
System wykorzystujący AI powinien być traktowany jak każdy inny istotny element infrastruktury. Należy określić jego przeznaczenie, dostawcę, rodzaj przetwarzanych danych, sposób nadawania dostępu, zależności od innych usług oraz skutki ewentualnego błędu lub przejęcia systemu.
AI Act nie zastępuje obowiązków wynikających z NIS2. Obie regulacje koncentrują się na innych obszarach, ale mogą mieć zastosowanie jednocześnie. Zasadnicza część AI Act zacznie być stosowana 2 sierpnia 2026 roku, choć poszczególne obowiązki zostały rozłożone w czasie, a ich zakres zależy między innymi od klasyfikacji danego systemu. Dla systemów wysokiego ryzyka rozporządzenie przewiduje między innymi wymagania dotyczące zarządzania ryzykiem, odporności i cyberbezpieczeństwa.
Sankcje mają wymiar finansowy i osobisty
Ustawa przewiduje kary za niewdrożenie systemu zarządzania bezpieczeństwem informacji, brak systematycznej oceny ryzyka, niewłaściwe raportowanie incydentów, niewykonanie audytu czy utrudnianie kontroli.
W przypadku podmiotu kluczowego kara może wynosić od 20 tys. zł do równowartości 10 mln euro albo 2 proc. przychodów osiągniętych w poprzednim roku obrotowym – zastosowanie ma wyższa wartość. Dla podmiotu ważnego przewidziano kary od 15 tys. zł do równowartości 7 mln euro albo 1,4 proc. przychodów. Ustawa przewiduje również możliwość nałożenia sankcji na kierownika podmiotu.
Same maksymalne kwoty nie powinny jednak być najważniejszym powodem wdrażania nowych rozwiązań. Dla większości lokalnych operatorów bardziej prawdopodobnym i dotkliwym skutkiem niewłaściwego przygotowania będzie zatrzymanie części działalności, utrata danych, konieczność odtwarzania infrastruktury i spadek zaufania abonentów.
Czas na uporządkowanie odpowiedzialności
Pierwszym krokiem nie powinien być zakup kolejnego narzędzia oznaczonego jako zgodne z NIS2. Przedsiębiorstwo musi najpierw ustalić, jakie zasoby posiada, od których systemów zależy świadczenie usług, kto ma do nich dostęp oraz jakie zdarzenia mogą przerwać działalność.
Dopiero na tej podstawie można ocenić istniejące zabezpieczenia, wskazać braki i przygotować plan wdrożenia. Ważne będzie połączenie kompetencji technicznych, organizacyjnych i prawnych. Sam dział IT nie przygotuje odpowiedzialności zarządu, a sama kancelaria nie zabezpieczy urządzeń i systemów.
Nowe przepisy mogą stać się impulsem do rzeczywistego zwiększenia odporności przedsiębiorstw. Istnieje jednak ryzyko, że część rynku skoncentruje się przede wszystkim na tworzeniu dokumentów. Procedury są potrzebne, ale nie zatrzymają ataku, jeżeli nikt ich nie przećwiczył, kopii zapasowej nie da się odtworzyć, a administrator nadal korzysta z jednego hasła w kilku systemach.
Najważniejsze będzie więc zachowanie proporcji. Cyberbezpieczeństwo powinno zostać formalnie uporządkowane, lecz jego miarą nie może być wyłącznie liczba przygotowanych polityk. Ostatecznym testem pozostaje to, czy firma potrafi wykryć incydent, ograniczyć jego skutki, utrzymać najważniejsze usługi i sprawnie wrócić do normalnego działania.
Czytaj także:
