Opór wobec zmiany przy wdrażaniu NIS2/KSC: dlaczego dobra procedura nie wystarczy, żeby ludzie zaczęli jej przestrzegać
Kontekst: zgodność formalna to nie to samo, co zmiana zachowań
Wdrożenie wymogów znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), implementującej dyrektywę NIS2, kończy się zwykle na etapie, który łatwo zmierzyć: powstają procedury, polityki, rejestry ryzyka, harmonogramy szkoleń. Z punktu widzenia audytu dokumentacja może wyglądać kompletnie. Znacznie trudniej zmierzyć coś, co decyduje o tym, czy te dokumenty faktycznie zmienią sposób pracy ludzi w organizacji – a nie zostaną wdrożeniem wyłącznie na papierze.
W poprzednich artykułach tej serii pisałam o konkretnych mechanizmach psychologicznych stojących za oporem – strachu przed ujawnieniem błędów, dyfuzji odpowiedzialności w zarządzie, złudnej pewności siebie po szkoleniu. Tym razem patrzymy na sam proces wdrażania zmiany od strony strukturalnej: jak rozpoznać, na którym dokładnie etapie utyka wdrożenie, i jak systematycznie, a nie intuicyjnie, prowadzić organizację przez zmianę wymuszoną przez compliance.
Mechanizm: dlaczego wymóg prawny budzi opór silniejszy, niż wynikałoby to z samej jego treści
Reaktancja psychologiczna. Koncepcja opisana przez psychologa Jacka Brehma pokazuje, że kiedy ktoś odbiera swobodę wyboru sposobu działania – na przykład nakazując konkretną procedurę logowania czy zgłaszania incydentów – naturalną reakcją bywa wzmożony opór, niezależnie od tego, czy nowa zasada jest obiektywnie słuszna. Im bardziej odgórny i kategoryczny jest komunikat o zmianie, tym silniejsza może być reakcja obronna, szczególnie u pracowników przyzwyczajonych do dużej autonomii w swojej dotychczasowej pracy. To dlatego komunikat „musicie się dostosować, bo tak nakazuje ustawa” bywa mniej skuteczny niż komunikat pokazujący, że pracownik ma realny wpływ na sposób, w jaki nowe zasady zostaną wdrożone w jego zespole.
Model ADKAR jako narzędzie diagnostyczne. Jednym z najbardziej praktycznych sposobów zrozumienia, dlaczego konkretna osoba czy zespół nie zmienia zachowania mimo formalnego wdrożenia procedury, jest model ADKAR, opisujący pięć warunków koniecznych do trwałej zmiany indywidualnego zachowania: świadomość potrzeby zmiany (Awareness), chęć jej wprowadzenia (Desire), wiedzę, jak to zrobić (Knowledge), zdolność do faktycznego działania (Ability) oraz utrwalenie nowego nawyku (Reinforcement). Kluczowa praktyczna wartość tego modelu polega na tym, że każdy z tych elementów wymaga zupełnie innej interwencji. Osoba, która rozumie, po co wprowadzana jest procedura zgłaszania incydentów (ma świadomość), ale nie chce jej stosować (brakuje chęci), potrzebuje czegoś innego niż osoba, która chce się dostosować, ale nie wie, jak technicznie to zrobić (brakuje wiedzy). Firmy wdrażające NIS2/KSC bardzo często inwestują wyłącznie w pierwszy i trzeci element – komunikację o wymogach prawnych oraz szkolenia techniczne – pomijając pytanie, czy ludzie w ogóle chcą się zmienić i czy mają realną zdolność, by to zrobić w codziennych warunkach pracy.
Model Kottera jako rama organizacyjna. Tam, gdzie ADKAR pomaga zdiagnozować opór na poziomie jednostki, klasyczny, ośmioetapowy model zmiany organizacyjnej Johna Kottera opisuje, czego brakuje na poziomie całej firmy. Wśród najczęściej pomijanych etapów przy wdrożeniach compliance są: budowanie silnej, międzydziałowej koalicji odpowiedzialnej za zmianę – zamiast pozostawienia tematu wyłącznie działowi IT – oraz świadome, systematyczne komunikowanie „krótkoterminowych zwycięstw”, czyli widocznych, wczesnych efektów zmiany, które budują wiarygodność całego procesu. Wdrożenia NIS2/KSC, które kończą się na etapie ogłoszenia nowej polityki bez zbudowania szerszej koalicji liderów zmiany w organizacji, tracą impet, zanim zdążą utrwalić nowe nawyki.
Krzywa zaangażowania w zmianę. Badacze zarządzania zmianą opisują też typowy przebieg reakcji na wymuszoną zmianę w czasie: początkowy szok lub zaprzeczenie, następnie fazę minimalizowania znaczenia zmiany, potem – często najtrudniejszy moment – fazę frustracji i spadku produktywności, zanim organizacja zacznie testować nowe rozwiązania i wreszcie je zaakceptuje. Menedżer, który oczekuje płynnego przejścia od ogłoszenia nowej procedury do jej pełnego stosowania, systematycznie błędnie interpretuje naturalny spadek efektywności w środkowej fazie jako dowód, że zmiana się nie udaje, i albo wycofuje się z niej przedwcześnie, albo zwiększa presję, co – zgodnie z mechanizmem reaktancji – zwykle pogłębia opór zamiast go zmniejszać.
Bardzo często słyszę od klientów: „przecież wytłumaczyliśmy zespołowi, po co wprowadzamy nową procedurę, a mimo to nikt jej nie stosuje". Problem w tym, że wytłumaczenie „po co" adresuje tylko świadomość. Jeśli ludzie rozumieją cel, ale nie widzą w tym żadnej korzyści dla siebie albo nie mają realnie czasu, żeby nauczyć się nowego sposobu pracy przy niezmienionym obciążeniu obowiązkami, sama świadomość nic nie zmieni.
Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa
Jak diagnozować i prowadzić opór w praktyce
Z naszego doświadczenia we wdrożeniach NIS2/KSC najskuteczniejszym pierwszym krokiem nie jest kolejna kampania komunikacyjna, lecz precyzyjna diagnoza, na którym elemencie modelu ADKAR opór faktycznie się koncentruje – bo interwencje dobrane do złego etapu zwykle nie przynoszą efektu, niezależnie od tego, jak dobrze są przeprowadzone.
Rozmowy diagnostyczne zamiast domysłów zarządu. Zamiast zakładać z góry, że opór wynika z braku wiedzy technicznej, warto przeprowadzić krótkie, ustrukturyzowane rozmowy z reprezentantami zespołów, pytając wprost: czy rozumiesz, po co wprowadzamy tę zmianę; czy widzisz w tym sens dla siebie, nie tylko dla organizacji; czy wiesz, jak dokładnie masz działać inaczej; czy masz na to czas i narzędzia; co mogłoby sprawić, że wrócisz do starego sposobu za miesiąc. Odpowiedzi zwykle jasno wskazują, na którym z pięciu elementów ADKAR należy się skupić, zamiast rozpraszać zasoby na wszystkie naraz.
Koalicja liderów zmiany reprezentująca różne działy, nie tylko IT i compliance. Zgodnie z logiką modelu Kottera, wdrożenie NIS2/KSC potrzebuje rzeczników zmiany osadzonych w produkcji, sprzedaży, obsłudze klienta – osób z naturalnym autorytetem w swoich zespołach, które potrafią przełożyć wymóg prawny na język codziennych korzyści i ograniczeń konkretnego działu. Pozostawienie komunikacji wyłącznie specjalistom od bezpieczeństwa skutkuje przekazem technicznym, który dla większości pracowników brzmi abstrakcyjnie.
Projektowanie zmiany tak, by zostawiała pole wyboru. Skoro odgórny nakaz nasila reaktancję, warto tam, gdzie to możliwe, dawać zespołom realny wpływ na szczegóły wdrożenia – na przykład wybór między kilkoma równoważnymi narzędziami uwierzytelniania czy ustalenie własnego harmonogramu szkoleń w ramach ustalonych ram czasowych. Poczucie sprawczości nie eliminuje wymogu prawnego, ale zmniejsza opór wobec sposobu jego realizacji.
Widoczne, wczesne sukcesy komunikowane konkretnie. Zamiast czekać do końca całego, wieloetapowego wdrożenia, warto świadomie wybrać i nagłośnić pierwsze, stosunkowo łatwe do osiągnięcia efekty – na przykład skrócenie czasu reakcji na pierwszy zgłoszony incydent testowy albo sprawne przejście pierwszego zespołu przez nową procedurę. Buduje to wiarygodność całego procesu w oczach osób, które wciąż się wahają.
Utrwalanie zamiast jednorazowego wdrożenia. Element Reinforcement modelu ADKAR bywa najczęściej pomijany, bo organizacje traktują moment uruchomienia nowej procedury jako koniec projektu. W praktyce nawyk utrwala się dopiero po wielokrotnym powtórzeniu połączonym z informacją zwrotną – warto zaplanować krótkie przeglądy stosowania nowych zasad po miesiącu, trzech i sześciu miesiącach, zamiast zakładać, że jednorazowe szkolenie wystarczy na trwałe.
Studium przypadku
Firma produkująca meble tapicerowane na zamówienie dla klientów biznesowych, zatrudniająca 95 osób, została zakwalifikowana jako podmiot ważny ze względu na rolę w łańcuchu dostaw jednego z odbiorców z sektora energetycznego, dla którego produkowała elementy wyposażenia biur i serwerowni. Zarząd, po konsultacji z zewnętrznym doradcą, wdrożył w ciągu czterech miesięcy pełen pakiet wymaganych procedur: politykę zarządzania ryzykiem, zasady zgłaszania incydentów oraz obowiązkowe szkolenie dla wszystkich pracowników z dostępem do systemów.
Formalnie wdrożenie zakończyło się w terminie. Wszyscy pracownicy przeszli szkolenie, podpisali oświadczenia o zapoznaniu się z polityką, a dokumentacja została pozytywnie oceniona podczas wewnętrznego przeglądu. Mimo to po trzech miesiącach dział handlowy nadal wymieniał się z klientami plikami projektowymi przez prywatne konta pocztowe, a kilku kierowników produkcji korzystało ze wspólnego konta do systemu planowania zamówień, mimo wdrożenia indywidualnych loginów.
Diagnoza oparta na modelu ADKAR pokazała, że problem nie leżał ani w świadomości, ani w wiedzy technicznej – obie te sfery zostały dobrze pokryte szkoleniem. Prawdziwym punktem oporu okazał się element Desire, czyli brak chęci zmiany, oraz częściowo Ability, czyli brak realnej zdolności do jej wdrożenia w codziennych warunkach pracy. Handlowcy nie widzieli żadnej osobistej korzyści z nowego, wolniejszego sposobu przesyłania plików – wręcz przeciwnie, odbierali go jako utrudnienie utrudniające szybką obsługę klienta, za którą byli rozliczani premiowo. Kierownicy produkcji z kolei mieli tak napięty harmonogram zmian, że każde dodatkowe logowanie się indywidualnym kontem przy zmianie stanowiska traktowali jako stratę czasu, którego i tak brakowało.
Zamiast kolejnego przypomnienia o obowiązku stosowania procedur, firma zmieniła podejście zgodnie z logiką obu modeli. Do zespołu wdrożeniowego dołączono nieformalnego lidera z działu handlowego, który pomógł przeformułować komunikat: nowy, firmowy system wymiany plików został pokazany nie jako ograniczenie, lecz jako narzędzie chroniące handlowców przed osobistą odpowiedzialnością w razie wycieku danych projektowych klienta. W przypadku produkcji wprowadzono rozwiązanie adresujące realny brak zdolności do zmiany – szybkie logowanie kartą zbliżeniową zamiast pełnego hasła przy każdej zmianie stanowiska, co skróciło czas logowania niemal do poziomu poprzedniego rozwiązania. Po sześciu tygodniach przeprowadzono krótki przegląd stosowania nowych zasad w obu działach, chwaląc konkretne zespoły za widoczną poprawę, zamiast ograniczać się do ogólnego komunikatu o zakończeniu wdrożenia.
Po kolejnych dwóch miesiącach liczba przypadków korzystania z prywatnej poczty do przesyłania plików projektowych spadła niemal do zera, a wspólne konta w systemie produkcyjnym przestały być używane bez konieczności dodatkowych sankcji – zmiana stała się po prostu wygodniejsza niż powrót do starego sposobu.
Zarządy bardzo często mylą zakończenie szkolenia z zakończeniem zmiany. Tymczasem to dopiero początek najtrudniejszego etapu – momentu, w którym stary nawyk wciąż jest łatwiejszy niż nowy, a organizacja musi świadomie zadbać o to, żeby nowy sposób działania stał się w końcu tym wygodniejszym wyborem. Bez tego nawet najlepiej przeprowadzone szkolenie zostaje na papierze.
Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu
Wnioski praktyczne
- Formalne zakończenie wdrożenia procedur NIS2/KSC – szkolenia, podpisane oświadczenia, zatwierdzona dokumentacja – nie jest tożsame z trwałą zmianą zachowań; te dwie rzeczy warto mierzyć osobno.
- Model ADKAR pozwala precyzyjnie zdiagnozować, na którym z pięciu elementów (świadomość, chęć, wiedza, zdolność, utrwalenie) koncentruje się realny opór, zamiast inwestować we wszystkie interwencje naraz.
- Odgórny, kategoryczny sposób komunikowania wymogu prawnego może nasilać opór poprzez mechanizm reaktancji psychologicznej – warto tam, gdzie to możliwe, zostawiać zespołom realny wpływ na szczegóły wdrożenia.
- Zgodnie z modelem Kottera, wdrożenie potrzebuje szerokiej, międzydziałowej koalicji liderów zmiany oraz świadomie komunikowanych, wczesnych sukcesów – nie tylko działu IT i compliance ogłaszającego nową politykę.
- Spadek zaangażowania i produktywności w środkowej fazie wdrożenia jest naturalnym etapem, a nie dowodem porażki zmiany – przedwczesne zwiększenie presji w tym momencie zwykle pogłębia opór zamiast go redukować.
- Utrwalenie nowego nawyku wymaga zaplanowanych przeglądów po wdrożeniu, a nie tylko jednorazowego szkolenia – to element najczęściej pomijany, a jednocześnie decydujący o trwałości zmiany.
Zastanawiasz się, czy opór wobec wdrażanych u Ciebie procedur NIS2/KSC wynika z braku wiedzy, czy z czegoś zupełnie innego? BetterNow.Group łączy wiedzę techniczną z zakresu cyberbezpieczeństwa z doświadczeniem w diagnozowaniu i prowadzeniu zmiany organizacyjnej, dzięki czemu wdrożenie działa nie tylko w dokumentacji, ale i w codziennej praktyce zespołów. Skontaktuj się z nami.