Zarządzanie zmianą w praktyce, czyli jak zmieniać nawyki zespołów i opanować wewnętrzny opór przed nowymi procesami

Wejście w życie znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażającej unijną dyrektywę NIS2, postawiło tysiące polskich firm przed zadaniem, które na pierwszy rzut oka wygląda czysto technicznie: wieloskładnikowe logowanie, procedury zgłaszania incydentów, cykliczne szkolenia z cyberbezpieczeństwa. W praktyce jednak największą przeszkodą we wdrożeniu rzadko okazuje się technologia. Jest nią człowiek – a dokładniej: przyzwyczajenie do starych sposobów pracy i naturalny opór przed zmianą. Dlatego wdrożenie NIS2 warto od początku traktować nie tylko jako projekt IT, ale jako projekt zarządzania zmianą w organizacji.

Dlaczego zespoły opierają się zmianie

Opór wobec nowych procedur to nie kaprys ani zła wola pracowników – to naturalna reakcja. Ludzie chętniej trzymają się znanych, wyuczonych sposobów działania, bo są one po prostu wygodniejsze: nie wymagają zastanowienia, są automatyczne, „utarte”. Nowa procedura – na przykład dodatkowy krok logowania czy obowiązek zgłaszania każdego podejrzanego e-maila – oznacza, że pracownik musi na chwilę „wyłączyć autopilota” i zacząć świadomie kontrolować swoje działanie. To kosztuje czas, uwagę, a czasem też budzi niepewność: czy zrobię to dobrze, czy nie zostanę oceniony negatywnie, czy praca mi się nie wydłuży.

W praktyce zarządczej dobrze sprawdza się prosta zasada: każda organizacja znajduje się w pewnej równowadze między tym, co „pcha” ją w stronę zmiany (np. wymogi prawne, presja konkurencji, realne ryzyko cyberataku), a tym, co ją przed zmianą powstrzymuje (obawy, przyzwyczajenia, brak czasu). Skuteczne zarządzanie zmianą nie polega na zwiększaniu presji – to zwykle wzmacnia opór – lecz na świadomym obniżaniu tego, co ludzi powstrzymuje.

Warto też pamiętać, że opór ma swoją naturalną dynamikę: najpierw pojawia się zaskoczenie i niedowierzanie („to na pewno nas nie dotyczy”), potem otwarty lub cichy sprzeciw, dopiero później zespół zaczyna testować nowe rozwiązanie, aż w końcu je akceptuje. Menedżer, który tego etapu oporu nie rozumie i odbiera go jako sabotaż, często reaguje zbyt ostro – co paradoksalnie wydłuża cały proces zamiast go przyspieszyć.

W praktyce widzimy to na każdym wdrożeniu: opór zespołu nie jest problemem do wyeliminowania, tylko sygnałem, który warto zrozumieć. Zadaniem zarządu nie jest „przełamanie” ludzi, tylko stworzenie warunków, w których zmiana staje się dla nich łatwiejsza niż trzymanie się starych nawyków.

Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu

Jak to poukładać w praktyce – prosty model działania

Z naszego doświadczenia z prowadzenia szkoleń i audytów z zakresu cyberbezpieczeństwa w betternow.group najlepiej sprawdza się podejście oparte na kilku prostych krokach, zbliżone do klasycznych modeli zarządzania zmianą (np. znanego modelu Kottera):

1. Jasne uzasadnienie „po co” – nie samą karą (do 10 mln euro lub 2% obrotu za brak zgodności z NIS2), ale realnym ryzykiem biznesowym: przestojem produkcji, utratą danych klientów, utratą kontraktu, bo partner biznesowy wymaga dziś udokumentowanego bezpieczeństwa w łańcuchu dostaw.
2. Liderzy zmiany w każdym dziale, nie tylko w IT – osoby, które mają naturalny autorytet wśród kolegów i potrafią „przetłumaczyć” nowe procedury na język codziennej pracy.
3. Jak najmniej tarcia – im mniej uciążliwe i bardziej intuicyjne jest nowe rozwiązanie (np. token sprzętowy zamiast kolejnej aplikacji na prywatnym telefonie), tym mniejszy opór.
4. Małe, widoczne sukcesy i pozytywne wzmocnienie – docenianie zmiany zachowań, a nie tylko karanie za błędy.

Studium przypadku: wdrożenie NIS2 w firmie produkcyjnej

Firma produkcyjna zatrudniająca 180 osób, objęta ustawą jako podmiot ważny, dostała od zarządu sześć miesięcy na wdrożenie: logowania wieloskładnikowego dla kont administracyjnych, procedury zgłaszania incydentów w reżimie 24/72 godzin oraz szkoleń dla całej załogi.

Co poszło nie tak na starcie. Dział produkcji, przyzwyczajony do prostych, wspólnych dla całej zmiany loginów, odebrał nowe zasady jako spowolnienie pracy i wyraz braku zaufania. Kierownicy średniego szczebla, rozliczani wyłącznie z wydajności linii, nie mieli żadnego powodu, żeby egzekwować nowe zasady – dla nich zmiana była czystym kosztem. Dział IT, do tej pory kojarzony z pomocą, zaczął być postrzegany jako „kontrola”. Efekt? Pracownicy formalnie logowali się zgodnie z nowym systemem, ale w praktyce obchodzili zabezpieczenia – np. zapisywali kody dostępu na kartkach przy stanowiskach. Zamiast zwiększyć bezpieczeństwo, procedura na chwilę je obniżyła.

Co zadziałało. Zarząd, przy wsparciu zespołu betternow.group, który poprowadził warsztaty i audyt bezpieczeństwa, zmienił podejście:

• wyznaczył liderów zmiany także na produkcji, nie tylko w IT;
• zamiast straszyć karami, pokazał konkretny przykład: atak ransomware u konkurencji i realne godziny przestoju linii, przełożone na utracone zlecenia i pieniądze;
• wybrał mniej uciążliwe rozwiązanie techniczne – tokeny sprzętowe przy stanowiskach zamiast kodów SMS na prywatny telefon;
• wprowadził krótkie, cotygodniowe podsumowania z pochwałą zespołów, które zgłosiły próbę phishingu, zamiast koncentrować się wyłącznie na błędach.

Po trzech miesiącach liczba zgłoszonych – zamiast ukrywanych – prób phishingu wzrosła czterokrotnie. To dobra wiadomość: oznacza większą czujność zespołu, a nie większe zagrożenie. Rotacja pracowników na produkcji, która chwilowo wzrosła w pierwszym miesiącu wdrożenia, wróciła do wcześniejszego poziomu.

Z technicznego punktu widzenia najlepsze zabezpieczenie nic nie da, jeśli ludzie znajdą sposób, żeby je obejść – a zawsze znajdą, jeśli będzie ono dla nich za bardzo uciążliwe. Dlatego przy każdym audycie patrzymy nie tylko na to, czy procedura jest zgodna z NIS2, ale czy realnie da się ją stosować na co dzień.

Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa

Sprawdź, czy NIS2 dotyczy Twojej firmy

Zanim zaplanujesz wdrożenie, warto zweryfikować, czy Twoja organizacja w ogóle podlega ustawie o KSC. Przyjrzyj się kilku podstawowym kryteriom:

• Sektor działalności – NIS2 obejmuje kilkanaście sektorów, m.in. energetykę, transport, zdrowie, produkcję, IT, usługi cyfrowe, gospodarkę odpadami czy sektor spożywczy.
• Wielkość firmy – zwykle powyżej 50 pracowników lub 10 mln euro rocznego obrotu, choć w niektórych przypadkach próg ten nie obowiązuje.
• Miejsce w łańcuchu dostaw – nawet jeśli Twoja firma formalnie nie podlega ustawie, może zostać objęta wymogami pośrednio, jako dostawca lub podwykonawca podmiotu kluczowego.
• Charakter świadczonych usług – znaczenie ma to, czy usługa ma charakter krytyczny dla funkcjonowania innych podmiotów lub społeczeństwa.

Jeśli nie masz pewności, czy i w jakim zakresie NIS2 dotyczy Twojej firmy, taka analiza klasyfikacyjna to naturalny pierwszy krok przed jakimkolwiek wdrożeniem – i coś, co warto zrobić razem z kimś, kto zna się na tym od strony zarówno prawnej, jak i technicznej.

Praktyczne wnioski dla zarządzających

• Sprawdź, skąd bierze się opór, zanim zaczniesz go „zwalczać”. Czasem to brak wiedzy (potrzebne szkolenie), czasem lęk przed oceną (potrzebne poczucie bezpieczeństwa), a czasem po prostu brak czasu (potrzebna zmiana priorytetów, nie kolejne polecenie).
• Nie zrzucaj wdrożenia wyłącznie na dział IT czy compliance. Bezpieczeństwo informacji to dziś temat zarządczy – i tak też powinno być komunikowane, z jasną odpowiedzialnością kierownictwa, czego zresztą wprost wymaga znowelizowana ustawa o KSC.
• Buduj małe zwycięstwa. Nawyki zmieniają się przez powtarzalność i pozytywne wzmocnienie, a nie przez jednorazowy komunikat od zarządu.
• Mierz zmianę zachowań, nie tylko „papierową” zgodność. Liczba podpisanych oświadczeń niewiele mówi o realnym bezpieczeństwie – liczy się to, czy ludzie faktycznie zgłaszają incydenty i stosują nowe zasady na co dzień.

Wdrożenie wymogów takich jak NIS2 to w równym stopniu kwestia technologii, co ludzi i sposobu, w jaki się z nimi rozmawia o zmianie. Firmy, które to rozumieją, zyskują coś więcej niż samą zgodność z przepisami – budują realną odporność organizacji na zagrożenia i kulturę, w której bezpieczeństwo staje się nawykiem, a nie przymusem.

W betternow.group łączymy szkolenia, warsztaty i audyty z zakresu cyberbezpieczeństwa i NIS2 z praktycznym podejściem do zarządzania zmianą w zespołach – bo wiemy, że nawet najlepsza procedura nie zadziała, jeśli ludzie się jej nie „nauczą” w praktyce. Jeśli Twoja firma szuka wsparcia w tym procesie, chętnie porozmawiamy.