Strach przed zmianą, dlaczego wdrożenie NIS2/KSC budzi opór, zanim jeszcze się zacznie

Kontekst: zmiana, która nie pyta o zgodę

Dyrektywa NIS2 i implementująca ją nowelizacja Krajowego Systemu Cyberbezpieczeństwa (KSC) postawiły przed tysiącami polskich organizacji – od małych i średnich firm po dostawców usług kluczowych – wymóg, którego wiele z nich się nie spodziewało. Co istotne, regulacje te obejmują nie tylko duże podmioty: sporo mniejszych firm, zwłaszcza działających w łańcuchach dostaw sektorów kluczowych i ważnych, może podlegać tym przepisom, w ogóle nie zdając sobie z tego sprawy – a to właśnie w tej grupie świadomość obowiązków bywa najniższa. Wymóg ten to nie tylko nowa lista zadań do odhaczenia, ale systemowa, udokumentowana i podlegająca kontroli zmiana sposobu zarządzania bezpieczeństwem informacji. Nowe procedury obejmują m.in. wdrożenie zarządzania ryzykiem, zgłaszanie incydentów w rygorystycznych ramach czasowych, a także – co często umyka w dyskusjach czysto technicznych – realną odpowiedzialność organów zarządzających za nadzór nad tymi procesami.

Z punktu widzenia compliance to zestaw wymagań prawnych, które trzeba spełnić. Z punktu widzenia ludzi, którzy mają je wdrożyć – to zmiana. A każda zmiana, niezależnie od tego, jak dobrze uzasadniona merytorycznie i prawnie, uruchamia w organizacji mechanizm, który rzadko bywa nazywany wprost podczas spotkań zarządu: strach.

W tym artykule przyglądamy się temu, skąd bierze się strach przed zmianą związaną z cyberbezpieczeństwem, jakie mechanizmy psychologiczne za nim stoją i – co najważniejsze – jak rozpoznać go i zaadresować, zanim zablokuje wdrożenie wymagań NIS2/KSC w organizacji.

Skąd bierze się strach przed zmianą – mechanizm psychologiczny

Strach przed zmianą nie jest kaprysem ani oznaką słabego charakteru pracowników czy kadry zarządzającej. To głęboko zakorzeniony mechanizm adaptacyjny, który można wyjaśnić na kilku poziomach.

Poziom neurobiologiczny. Mózg człowieka jest zoptymalizowany pod kątem wykrywania zagrożeń, nie pod kątem oceny prawdopodobieństwa korzyści z nowych rozwiązań. Ciało migdałowate – struktura odpowiedzialna za szybką ocenę „niebezpieczne czy bezpieczne” – reaguje na nieznane szybciej i silniej niż kora przedczołowa, która odpowiada za racjonalną analizę. Kiedy w organizacji pojawia się komunikat „wdrażamy nowy system zarządzania incydentami, bo wymaga tego NIS2”, u części odbiorców pierwsza reakcja zachodzi na poziomie emocjonalnym, zanim jeszcze dotrze do nich sens merytoryczny komunikatu.

Poziom poznawczy: awersja do straty. Koncepcja awersji do straty, opisana przez Daniela Kahnemana i Amosa Tversky’ego w ramach teorii perspektywy, pokazuje, że ludzie odczuwają stratę niemal dwukrotnie silniej niż porównywalny zysk. W kontekście wdrożenia nowych procedur bezpieczeństwa oznacza to, że pracownik nie myśli w kategoriach „zyskam lepszą ochronę organizacji”, tylko „stracę wygodny, znany mi sposób pracy, kontrolę nad własnym procesem, a być może i status eksperta, którym byłem w starym systemie”. To właśnie dlatego opór bywa silniejszy w zespołach, które dotąd radziły sobie dobrze – mają najwięcej do stracenia w subiektywnym poczuciu kompetencji.

Poziom organizacyjny: status quo bias i homeostaza. Organizacje, podobnie jak organizmy, dążą do równowagi. Ustalone procedury, nawet niedoskonałe, dają poczucie przewidywalności. Model pola sił Kurta Lewina, jeden z klasycznych ujęć zarządzania zmianą, opisuje to jako napięcie między siłami napędowymi zmiany (wymogi prawne, ryzyko kar, presja rynku) a siłami hamującymi (przyzwyczajenie, obawa przed niekompetencją w nowym systemie, lęk przed utratą wpływów). Dopóki siły hamujące przeważają, zmiana – nawet obowiązkowa – będzie wdrażana pozornie: na papierze tak, w codziennej praktyce nie.

Poziom specyficzny dla cyberbezpieczeństwa: strach przed oceną. W obszarze bezpieczeństwa informacji dochodzi dodatkowy komponent, rzadziej obecny w innych typach zmian organizacyjnych – strach przed ujawnieniem błędów. Wdrożenie systemu zarządzania ryzykiem czy procedur zgłaszania incydentów w praktyce oznacza, że wcześniejsze zaniedbania, luki i niedociągnięcia stają się widoczne, udokumentowane i przypisane konkretnym osobom lub działom. To rodzi lęk, który psychologowie organizacyjni określają jako lęk przed ujawnieniem (ang. exposure anxiety) – silniejszy niż zwykły opór wobec nowych narzędzi, bo dotyczy poczucia własnej wartości zawodowej i bezpieczeństwa zatrudnienia.

Z technicznego punktu widzenia procedury zarządzania incydentami czy szacowania ryzyka to gotowe, dobrze opisane ramy – ISO 27001 i wytyczne do NIS2 dają jasną checklistę. Problem w tym, że checklista nie rozmawia z człowiekiem, który boi się, że wdrożenie ujawni jego wcześniejsze błędy. Najczęściej to nie brak wiedzy technicznej opóźnia wdrożenia, tylko brak przestrzeni, żeby ten strach nazwać na głos.

Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa

Jak strach objawia się w praktyce wdrożeniowej

Z naszego doświadczenia we wdrożeniach NIS2/KSC w organizacjach różnej wielkości strach rzadko przybiera formę otwartego sprzeciwu. Znacznie częściej maskuje się jako racjonalna krytyka proceduralna lub techniczna. Rozpoznajemy kilka powtarzalnych wzorców.

Pierwszy to nadmierna koncentracja na szczegółach proceduralnych kosztem realizacji – zespoły spędzają tygodnie na dyskusji o formacie dokumentacji zamiast wdrażać realne mechanizmy kontroli. To klasyczny mechanizm obronny: zajęcie się kwestią pozornie merytoryczną pozwala uniknąć konfrontacji z emocjonalnym rdzeniem problemu, czyli obawą przed nieznanym.

Drugi wzorzec to milczący sabotaż, czyli formalna zgoda przy braku realnego zaangażowania. Menedżer średniego szczebla deklaruje pełne wsparcie dla nowych procedur zgłaszania incydentów, ale w praktyce zespół nadal zgłasza problemy starymi, nieformalnymi kanałami, bo „tak jest szybciej”. Z punktu widzenia audytu procedura istnieje. Z punktu widzenia realnego bezpieczeństwa – nie działa.

Trzeci wzorzec, szczególnie widoczny na poziomie zarządu, to przerzucanie odpowiedzialności na dział IT lub CISO – jako sposób na psychologiczne zdystansowanie się od nowej, osobistej odpowiedzialności prawnej, jaką nakłada NIS2 na organy zarządzające. To zrozumiała, choć ryzykowna reakcja obronna: łatwiej powiedzieć „to sprawa działu bezpieczeństwa”, niż zmierzyć się z faktem, że ustawa nakłada obowiązki nadzorcze wprost na członków zarządu.

Wreszcie czwarty wzorzec to przeciążenie informacyjne jako alibi – pracownicy i menedżerowie zasłaniają się liczbą jednoczesnych zmian i priorytetów, by odsunąć w czasie konfrontację z tym, co budzi największy lęk. Warto odróżnić to od faktycznego przeciążenia zasobowego, które bywa realnym ograniczeniem – rozróżnienie to wymaga uważnej diagnozy, nie automatycznego założenia dobrej lub złej woli.

Studium przypadku

Mała firma księgowo-kadrowa, zatrudniająca 22 osoby, obsługująca m.in. dział finansowy jednego z regionalnych operatorów energetycznych, dowiedziała się, że jako dostawca usługi krytycznej dla podmiotu kluczowego również podlega wymogom NIS2. Właścicielka firmy, prowadząca ją od kilkunastu lat, była przekonana, że regulacje „są dla dużych korporacji, nie dla biura rachunkowego” – dopóki nie otrzymała od operatora formalnego żądania potwierdzenia zgodności w ciągu czterech miesięcy.

Analiza sytuacji ujawniła, że główny opór nie dotyczył samych procedur, lecz obawy głównej księgowej przed ujawnieniem, że od lat cały zespół korzystał ze wspólnego, niezmienianego hasła do systemu księgowego klienta – rozwiązanie wygodne, ale niezgodne nawet z podstawowymi zasadami higieny dostępu. Księgowa unikała tematu podczas spotkań wdrożeniowych, zgłaszając w zamian wątpliwości co do terminów i zakresu audytu, choć realnym powodem zwłoki był lęk przed konsekwencjami wobec siebie i zespołu.

Rozwiązaniem nie było przyspieszenie audytu czy zwiększenie presji na terminy, lecz seria rozmów prowadzonych równolegle na dwóch poziomach: merytorycznym (jasne określenie, że audyt dostępów dokumentuje stan obecny, a nie ocenia przeszłe decyzje personalne) oraz strukturalnym (formalne oddzielenie odpowiedzialności za dotychczasową praktykę od odpowiedzialności za wdrożenie nowych zasad, z jednoczesnym zapewnieniem księgowej, że ujawnienie problemu zostanie potraktowane jako element kultury no-blame, a nie podstawa do sankcji). Dopiero po tym wyjaśnieniu zespół sam zgłosił kolejne obszary wymagające poprawy, a wdrożenie indywidualnych kont i uwierzytelniania dwuskładnikowego zakończyło się przed terminem.

W pracy z zarządami małych i średnich firm najczęściej słyszę: »u nas to się nie zdarzy« albo »jesteśmy za mali, żeby ktoś się nami interesował«. To dokładnie ten sam mechanizm obronny, który opisujemy w tym artykule – łatwiej zaprzeczyć zagrożeniu, niż zmierzyć się z lękiem, że trzeba będzie coś w firmie zmienić. Im mniejsza firma, tym częściej ten mechanizm działa niezauważony, bo nikt go tam wcześniej nie nazwał.

Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu

Wnioski praktyczne

• Strach przed zmianą związaną z NIS2/KSC jest zjawiskiem przewidywalnym i uniwersalnym, nie oznaką złej woli czy niekompetencji zespołu – warto założyć jego obecność od pierwszego dnia wdrożenia, zamiast reagować na nie dopiero, gdy zablokuje postęp prac.
• Opór rzadko ujawnia się wprost. Warto uważnie obserwować sygnały pośrednie: nadmierną koncentrację na proceduralnych detalach, rozbieżność między deklaracjami a praktyką, przerzucanie odpowiedzialności oraz odwoływanie się do przeciążenia jako uniwersalnego wytłumaczenia opóźnień.
• Szczególnym źródłem lęku w obszarze cyberbezpieczeństwa jest obawa przed ujawnieniem wcześniejszych zaniedbań. Kultura no-blame, jasno zakomunikowana i konsekwentnie stosowana, jest jednym z najskuteczniejszych narzędzi obniżających ten lęk.
• Odpowiedzialność zarządu wynikająca z NIS2 powinna być komunikowana wprost i wcześnie – próby jej rozmycia lub przerzucenia wyłącznie na dział IT skutkują długofalowym osłabieniem realnego nadzoru nad bezpieczeństwem.
• Rozmowa o obawach pracowników i menedżerów nie jest dodatkiem do wdrożenia technicznego, lecz jego integralną częścią – pominięcie tego wymiaru zwykle prowadzi do wdrożeń „papierowych”, które nie wytrzymują konfrontacji z realnym incydentem.

Wdrażasz wymogi NIS2 lub KSC w swojej organizacji i zauważasz, że postęp prac jest wolniejszy niż zakładano? Może to nie kwestia braku zasobów, lecz nierozpoznanego oporu psychologicznego. Skontaktuj się z nami – betternow.group łączy kompetencje techniczne z zakresu cyberbezpieczeństwa z wiedzą o mechanizmach zmiany organizacyjnej, pomagając wdrożenia, które działają nie tylko na papierze.