Do 3 kwietnia 2027 roku podmioty objęte nowymi obowiązkami wynikającymi z ustawy o krajowym systemie cyberbezpieczeństwa muszą dostosować się do nowych wymagań. Przygotowania do NIS2 mogą jednak ujawnić ryzyka wykraczające poza samą infrastrukturę IT: zależność od kluczowych pracowników, brak zastępowalności, niejasny podział odpowiedzialności z dostawcami oraz niedobór specjalistów z obszaru cyberbezpieczeństwa i zarządzania ryzykiem.
Dostosowanie do nowych wymagań obejmuje m.in. zarządzanie bezpieczeństwem informacji, reagowanie na incydenty, ciągłość działania oraz rozpoczęcie korzystania z systemu S46. Wcześniej, 3 października 2026 roku, upłynął termin składania wniosków o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykazu KSC) dla organizacji, które spełniały ustawowe kryteria w dniu wejścia przepisów w życie i podlegały samorejestracji.
Bezpieczeństwo zależy także od ludzi i procesów
Przygotowania do NIS2 powinny rozpocząć się od ustalenia, które procesy mają kluczowe znaczenie dla funkcjonowania firmy. Dopiero wtedy można określić, jakie systemy je obsługują, kto nimi zarządza i od jakich zewnętrznych dostawców zależy ich działanie.
W praktyce analiza może ujawnić ryzyka, których nie widać w dokumentacji technicznej. Przykładem jest system, którego obsługę zna tylko jeden pracownik, brak zastępstwa dla administratora czy niejasny podział odpowiedzialności między firmą a dostawcą usług IT.
Znaczenie ma również sposób zarządzania dostępami. Zatrudnienie pracownika, rozpoczęcie współpracy z kontraktorem czy zakończenie projektu powinny wiązać się z odpowiednim nadaniem, zmianą lub odebraniem uprawnień. Wymaga to współpracy HR, IT i osób zarządzających projektami.
Firmy będą potrzebować specjalistów. Nie wszystkich muszą zatrudniać na stałe
Przygotowanie do NIS2 może ujawnić braki kompetencyjne w obszarach inżynierii cyberbezpieczeństwa, bezpieczeństwa chmury, architektury systemów czy zarządzania ryzykiem i zgodnością regulacyjną. Problemem nie jest jednak wyłącznie znalezienie kandydatów, ale pozyskanie osób z doświadczeniem odpowiadającym potrzebom konkretnej organizacji.
W Polsce szacunkowo 55 tys. osób pracuje na stanowiskach Cybersecurity Engineer, 35 tys. jako Cloud Security Specialist, a 15 tys. jako Security Architect. Znacznie węższą grupę stanowią specjaliści GRC i NIS2. Sama liczebność rynku nie oznacza jednak, że eksperci ci są dostępni do podjęcia współpracy. Firmy potrzebują osób, które potrafią przełożyć wymagania regulacyjne na praktyczne rozwiązania. Nie każda organizacja musi przy tym budować stały zespół. W zależności od potrzeb właściwym rozwiązaniem może być rekrutacja do wewnętrznych struktur lub czasowe wsparcie doświadczonych kontraktorów – mówi Olga Królikowska-Gościcka, IT Sales Director w IT LeasingTeam.
Wybór modelu współpracy zależy od charakteru zadań. Stały nadzór nad bezpieczeństwem może wymagać rozwoju wewnętrznego zespołu, podczas gdy przygotowanie architektury, wdrożenie określonych zabezpieczeń czy wsparcie w ocenie zgodności z wymaganiami regulacyjnymi może mieć charakter projektowy.
Dla firm przygotowujących się do NIS2 najbliższe miesiące będą więc nie tylko okresem wdrażania procedur i rozwiązań technologicznych. To również czas na sprawdzenie dostępności kluczowych kompetencji, uporządkowanie współpracy z dostawcami i ustalenie, jak organizacja zareaguje, gdy jeden z istotnych elementów jej działalności przestanie funkcjonować.