Zarządy wobec NIS2: znajomość deklarowana, wiedza sprawdzona
Zapytaliśmy 1 356 członków organów zarządczych o nowe obowiązki. Najpierw wprost. Potem, kilka ekranów dalej, jeszcze raz – tylko że tym razem na sprawdzianie.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od kwietnia. Obejmie około 38 tysięcy podmiotów i po raz pierwszy adresuje obowiązki wprost do organu zarządzającego, a nie do spółki jako takiej. To zmiana adresata, nie tylko wymagań. Chcieliśmy sprawdzić, czy dotarła na piętro, na którym coś znaczy.
Badanie prowadziliśmy od 2 lipca do 16 sierpnia wśród członków zarządów spółek z sektorów objętych ustawą i z ich łańcuchów dostaw. Kwestionariusz liczył 19 pytań, w tym trzy kontrolne, zadane bez zapowiedzi: do kiedy trwa rejestracja, ile czasu jest na wczesne ostrzeżenie o poważnym incydencie i czy kierownik podmiotu odpowiada osobiście finansowo.
O NIS2 słyszało 91 procent badanych. Znajomość regulacji deklaruje 65 procent. Komplet poprawnych odpowiedzi w teście uzyskało 11,5 procent. Nawet w grupie, która sama o sobie mówi „znam dobrze, wiem jakie obowiązki ciążą na spółce”, trzy na trzy trafiło 38 procent.
Spodziewaliśmy się luki w wiedzy. Zastaliśmy coś innego: wiedzę pozorną. Ta różnica niepokoi nas bardziej niż same wskaźniki gotowości, bo kto wie, że jest nieprzygotowany, zwykle coś z tym robi. Kłopot zaczyna się przy spokojnych bez powodu.
Reszta wyników układa się wokół tej samej osi. Żadnej sankcji, która w nowym reżimie może dotknąć członka zarządu osobiście, nie potrafi wskazać 61 procent badanych – a ustawa przewiduje karę do 300 procent miesięcznego wynagrodzenia kierownika podmiotu i zakaz pełnienia funkcji zarządczych. O obowiązku corocznego, udokumentowanego szkolenia kierownictwa nie wie 55 procent. Ten jeden wskaźnik czyta się inaczej niż resztę: kontrolujący sprawdza szkolenie, prosząc o listę obecności, zwykle w pierwszej godzinie czynności, a brakującego dokumentu nie da się uzupełnić wstecz.
W co czwartej spółce za wdrożenie nie odpowiada formalnie nikt. Dedykowany zespół z własnym budżetem ma 18 procent. Analizą prawną potwierdziło swój status 28 procent – pozostali albo zakładają, że podlegają ustawie, albo nadal tego nie ustalili. Okno rejestracyjne zamyka się 3 października.
Jeden wynik zaskoczył nas najbardziej. Spółki, które w ostatnim roku miały poważny incydent, wypadają w indeksie gotowości wyraźnie lepiej niż te, które incydentu nie miały: 45 punktów wobec 31. Czyli uczy skuteczniej atak niż przepis. Powodu do satysfakcji w tym nie ma, bo znaczy to tyle, że firmy płacą za naukę własną szkodą. Skąd bierze się aż taka różnica, z naszych danych nie wynika.
Warto też zauważyć, że kalendarz ustawowy przestał być jedynym zegarem. Ankietę bezpieczeństwa albo klauzulę umowną odwołującą się do NIS2 dostało już 502 badanych, a wśród spółek formalnie spoza reżimu ustawy 29 procent. Kontrahent nie czeka na okres przejściowy.
Publikujemy raport siedem tygodni przed zamknięciem rejestracji, bo część zaległości da się jeszcze nadrobić do października. Reszty nie. Ale można ją uporządkować do kwietnia 2027 roku, a rozdział siódmy jest listą decyzji, które mieszczą się w tym terminie i nie wymagają gotowego programu ani dużego budżetu.
Pełny raport, dwustronicowe podsumowanie dla zarządów i mediów oraz metodyka wraz z ograniczeniami są dostępne bez formularza: blackpartners.pl/nis2
Partnerem badania jest Bitdefender Polska. Dane wolno cytować z podaniem źródła.