Odpowiedzialność zarządu w cyberbezpieczeństwie, dlaczego przepisy same się nie wdrożą
Kontekst: koniec fikcji „to sprawa działu IT”
Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, zmienia coś więcej niż listę wymaganych procedur technicznych. Wprowadza – po raz pierwszy w tak jednoznacznej formie – osobistą odpowiedzialność członków organów zarządzających za nadzór nad bezpieczeństwem informacji w organizacji. To zmiana fundamentalna, bo dotychczas cyberbezpieczeństwo w wielu firmach funkcjonowało jako temat delegowany w całości do działu IT lub pojedynczego administratora, z zarządem pełniącym rolę odbiorcy okazjonalnych raportów.
Nowe przepisy nie pozostawiają w tej kwestii wątpliwości. Członkowie zarządu podmiotów kluczowych i ważnych mają obowiązek zatwierdzania i regularnego nadzorowania działań z zakresu zarządzania ryzykiem, a także odbywania szkoleń z cyberbezpieczeństwa – nie jednorazowo, lecz cyklicznie, w sposób udokumentowany i możliwy do zweryfikowania przez organ nadzorczy. Konsekwencją zaniedbań nadzorczych może być kara finansowa nakładana bezpośrednio na osobę fizyczną – członka zarządu – niezależnie od kar administracyjnych nakładanych na samą organizację, sięgających, w zależności od kategorii podmiotu, kilku lub kilkunastu milionów euro. Innymi słowy: „nie wiedziałem, bo się tym nie zajmowałem” przestaje być argumentem obronnym, a staje się dowodem zaniedbania.
Z punktu widzenia compliance to nowy obowiązek do wdrożenia. Z punktu widzenia psychologii zarządzania – to zmiana, która uderza w bardzo konkretny, dobrze opisany mechanizm: skłonność grup decyzyjnych do rozmywania odpowiedzialności, kiedy nikt indywidualnie nie czuje się w pełni odpowiedzialny za wynik. W tym artykule pokazujemy, dlaczego zarządy zwlekają z realnym przejęciem nadzoru nad cyberbezpieczeństwem, nawet gdy formalnie wiedzą o nowych obowiązkach – i jak zorganizować ten nadzór tak, by nie był fikcją na papierze.
Mechanizm: dlaczego odpowiedzialność zbiorowa oznacza brak odpowiedzialności
Dyfuzja odpowiedzialności. Zjawisko opisane w klasycznych badaniach nad zachowaniem grup pokazuje prostą prawidłowość: im więcej osób teoretycznie odpowiada za dany obszar, tym mniejsze poczucie indywidualnej odpowiedzialności odczuwa każda z nich. W kontekście zarządu wieloosobowego oznacza to, że temat, za który formalnie odpowiadają wszyscy członkowie organu, w praktyce nie jest nadzorowany przez nikogo konkretnego. Dopóki przepisy nie precyzowały indywidualnych konsekwencji, ten mechanizm nie generował realnego ryzyka. Nowelizacja KSC usuwa tę wygodną niejasność, wprowadzając odpowiedzialność, która – przynajmniej w warstwie sankcji – dotyka konkretnej osoby, a nie abstrakcyjnego „organu”.
Problem pryncypała i agenta. Ekonomia organizacji od dawna opisuje napięcie między właścicielem czy zarządem (pryncypałem), a osobami operacyjnie wykonującymi zadania (agentami) – w tym przypadku działem IT lub CISO. Dział bezpieczeństwa ma wiedzę techniczną, ale często nie ma mandatu decyzyjnego ani budżetowego, by samodzielnie wdrożyć zmiany wymagające inwestycji. Zarząd ma mandat i budżet, ale nie zawsze ma wiedzę pozwalającą ocenić, czy przedstawiane mu rekomendacje są rzeczywiście priorytetowe, czy nadmiarowe. W efekcie odpowiedzialność „wisi” między dwoma poziomami organizacji, z których żaden nie czuje się w pełni umocowany do podjęcia decyzji – a to właśnie ta luka strukturalna, nie brak dobrej woli, najczęściej blokuje wdrożenie.
Iluzja kontroli i nadmierny optymizm. Osoby na stanowiskach zarządczych, z racji doświadczenia w prowadzeniu firmy przez wcześniejsze kryzysy, są statystycznie bardziej niż przeciętna populacja skłonne do przeceniania własnej zdolności przewidywania i kontrolowania zdarzeń losowych. To zjawisko, dobrze udokumentowane w badaniach nad podejmowaniem decyzji menedżerskich, prowadzi do przekonania w rodzaju „nasza firma zawsze sobie radziła, poradzimy sobie i teraz” – przekonania, które nie jest poparte żadną analizą ryzyka specyficzną dla cyberbezpieczeństwa, a mimo to skutecznie obniża priorytet tematu na agendzie zarządu.
Groupthink na poziomie rady nadzorczej. Tam, gdzie decyzje zapadają kolegialnie, a kultura organizacyjna premiuje zgodność i unikanie konfliktu, pojawia się ryzyko, że nikt nie zada niewygodnego pytania „czy my rzeczywiście wiemy, jak wygląda nasze ryzyko cybernetyczne”, z obawy o zaburzenie dobrej atmosfery na posiedzeniu. Paradoksalnie, im lepsze relacje w zarządzie, tym większe może być to ryzyko – konsensus bywa budowany kosztem krytycznej analizy.
W rozmowach z zarządami słyszę czasem, że temat cyberbezpieczeństwa „jest omawiany na każdym posiedzeniu”. Kiedy pytam, co dokładnie zostało zdecydowane i kto to zaprotokołował, okazuje się, że chodzi o pięciominutową wzmiankę bez żadnej decyzji ani zapisu. Z punktu widzenia nowych przepisów taka „obecność tematu na agendzie” nie jest nadzorem – jest właśnie tym, co ustawodawca chciał wyeliminować.
Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa
Jak to wygląda w praktyce wdrożeniowej
Z naszego doświadczenia we współpracy z zarządami firm różnej wielkości najczęstszym błędem nie jest brak wiedzy o nowych obowiązkach – zarządy zwykle już wiedzą, że NIS2 i znowelizowana ustawa o KSC nakładają na nie osobistą odpowiedzialność. Błędem jest sposób, w jaki próbują tę odpowiedzialność „obsłużyć” administracyjnie, zamiast realnie ją przejąć.
Najczęstszy wzorzec to nadzór pozorny: zarząd przyjmuje uchwałę zatwierdzającą politykę bezpieczeństwa informacji, ale nie ustanawia mechanizmu, w którym regularnie – a nie raz w roku przy okazji audytu – otrzymuje i realnie analizuje informacje o stanie ryzyka. Dokument istnieje, podpis jest, ale w razie incydentu trudno wykazać, że nadzór był rzeczywisty, a nie formalny.
Drugi wzorzec to przekazanie decyzyjności bez przekazania odpowiedzialności – zarząd deleguje operacyjne decyzje dotyczące bezpieczeństwa do CISO lub kierownika IT, ale nie daje tej osobie ani budżetu, ani realnego mandatu do wstrzymania projektów biznesowych, które generują nieakceptowalne ryzyko. W efekcie CISO staje się osobą, na którą łatwo przerzucić winę po incydencie, mimo że nie miała narzędzi, by mu zapobiec – co samo w sobie jest z punktu widzenia nowych przepisów problematyczne, bo odpowiedzialność nadzorcza pozostaje po stronie zarządu niezależnie od delegacji operacyjnej.
Trzeci wzorzec, szczególnie widoczny w firmach rodzinnych i mniejszych spółkach zarządzanych przez założycieli, to traktowanie szkolenia zarządu z cyberbezpieczeństwa jako formalności do odhaczenia – jednorazowego webinaru, po którym temat wraca na półkę do kolejnego audytu. Tymczasem organ nadzorczy może zweryfikować nie tylko sam fakt odbycia szkolenia, ale też jego zakres i adekwatność do profilu ryzyka konkretnej organizacji, co oznacza, że jednogodzinne ogólne szkolenie dla zarządu firmy transportowej obsługującej infrastrukturę krytyczną może zostać uznane za niewystarczające.
Studium przypadku
Firma spedycyjno-logistyczna, zatrudniająca 58 osób i obsługująca transport na rzecz kilku podmiotów z sektora energetycznego, została zakwalifikowana jako podmiot ważny w rozumieniu znowelizowanej ustawy o KSC. Zarządem kierowało trzech współwłaścicieli – rodzeństwo, które przejęło firmę po ojcu-założycielu i od lat dzieliło się obowiązkami operacyjnymi, przy czym żadne z nich nie miało formalnie przypisanej odpowiedzialności za obszar IT i bezpieczeństwa.
Sprawami technicznymi zajmował się jeden pracownik działu IT, zatrudniony pierwotnie do obsługi systemu do zarządzania flotą (TMS) i helpdesku. Po informacji o nowych obowiązkach zarząd formalnie „przekazał mu temat NIS2”, nie zmieniając ani zakresu jego obowiązków, ani budżetu, ani – co kluczowe – nie ustanawiając żadnego regularnego mechanizmu raportowania do zarządu. Pracownik zgłaszał przełożonym potrzebę wdrożenia dodatkowych zabezpieczeń systemu TMS, ale komunikaty te ginęły w codziennej korespondencji mailowej, bez formalnego trybu decyzyjnego.
Sytuacja zmieniła się po ataku typu ransomware, który zaszyfrował część danych operacyjnych i na kilkanaście godzin sparaliżował planowanie tras – incydent nie doprowadził do wycieku danych klientów, ale ujawnił, że firma nie miała ani planu ciągłości działania, ani udokumentowanego procesu podejmowania decyzji przez zarząd w obszarze ryzyka cybernetycznego. W trakcie analizy incydentu okazało się, że każde z trojga rodzeństwa było przekonane, że temat „jest pilnowany”, ponieważ ktoś inny w zarządzie się nim zajmuje – klasyczny efekt rozproszenia odpowiedzialności w grupie decyzyjnej, w której nikt formalnie nie objął roli właściciela ryzyka.
Rozwiązaniem nie było zatrudnienie dodatkowego specjalisty od razu, lecz reorganizacja struktury decyzyjnej: jedno z trojga rodzeństwa formalnie przejęło rolę osoby odpowiedzialnej za nadzór nad cyberbezpieczeństwem na poziomie zarządu, z obowiązkiem comiesięcznego, udokumentowanego przeglądu ryzyka wspólnie z pracownikiem IT, oraz z realnym mandatem do wstrzymywania decyzji operacyjnych generujących nieakceptowalne ryzyko. Pracownikowi IT przyznano dodatkowy budżet i formalne wsparcie zewnętrznego konsultanta na czas wdrożenia. Sam fakt istnienia jednego, jasno wskazanego adresata odpowiedzialności – zamiast rozproszonej, zbiorowej deklaracji – przełożył się na wymierne przyspieszenie decyzji, które wcześniej tygodniami czekały w skrzynce mailowej.
Firmy rodzinne mają często bardzo silne poczucie wspólnej odpowiedzialności za biznes jako całość – i to jest ich atutem w wielu obszarach. W cyberbezpieczeństwie ta sama cecha bywa pułapką: odpowiedzialność podzielona „po równo” między wszystkich właścicieli w praktyce oznacza, że nikt nie czuje się w pełni rozliczany z konkretnego obszaru. Nowe przepisy wymuszają coś, co warto było zrobić już wcześniej – wskazanie jednej osoby w zarządzie, która odpowiada za ten temat personalnie, a nie kolektywnie.
Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu
Wnioski praktyczne
- Odpowiedzialność zarządu za cyberbezpieczeństwo wynikająca z nowelizacji KSC ma charakter osobisty i nie jest tożsama z ogólną, kolegialną odpowiedzialnością organu – warto formalnie wskazać jedną osobę w zarządzie jako właściciela tego obszaru, nawet jeśli decyzje operacyjne pozostają rozłożone na zespół.
- Delegowanie operacyjnych zadań do działu IT lub CISO nie zwalnia zarządu z obowiązku nadzoru – bez realnego mandatu decyzyjnego i budżetu po stronie osoby operacyjnej, delegacja jest pozorna, a ryzyko prawne pozostaje po stronie zarządu.
- Regularny, udokumentowany przegląd ryzyka jest wymogiem, który trudno spełnić „przy okazji” innych spotkań – potrzebny jest osobny, powtarzalny mechanizm z jasnym zapisem podjętych decyzji, bo to właśnie dokumentacja nadzoru, a nie sama jego deklaracja, chroni w razie kontroli lub incydentu.
- Szkolenia zarządu z cyberbezpieczeństwa powinny być dopasowane do profilu ryzyka konkretnej organizacji, nie generyczne – organ nadzorczy może zweryfikować nie tylko fakt ich odbycia, ale i adekwatność zakresu.
- Im mniejsza i bardziej „rodzinna” struktura decyzyjna, tym większe ryzyko rozmycia odpowiedzialności za temat, który formalnie dotyczy wszystkich – warto to zdiagnozować i zaadresować, zanim zrobi to za organizację incydent lub kontrola.
Zastanawiasz się, czy nadzór Twojego zarządu nad cyberbezpieczeństwem wytrzymałby konfrontację z kontrolą lub realnym incydentem? betternow.group pomaga zarządom przełożyć wymogi NIS2 i KSC na konkretną, udokumentowaną strukturę odpowiedzialności – łączymy wiedzę techniczną z zakresu cyberbezpieczeństwa z doświadczeniem w projektowaniu procesów decyzyjnych, które faktycznie działają. Skontaktuj się z nami.