Nowe unijne regulacje – dyrektywa NIS 2 i rozporządzenie DORA – fundamentalnie zmieniają podejście do cyberbezpieczeństwa, przenosząc pełną odpowiedzialność prawną i finansową na zarządy firm. Eksperci podkreślają, że to koniec ery traktowania cyberochrony jako formalności, a początek jej strategicznej integracji z modelem biznesowym każdej organizacji.
Konieczność zmiany myślenia na szczytach organizacji była głównym tematem czwartej edycji konferencji Atende Security Forum, która w maju zgromadziła rekordową liczbę blisko 200 przedstawicieli biznesu. Jak podkreślano podczas wydarzenia, dyrektywa NIS 2, wdrożona w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, oraz rozporządzenie DORA oznaczają, że to zarządy osobiście odpowiadają za odporność firmy na ataki i jej zdolność do szybkiego powrotu do działania po ewentualnym incydencie.
„Papierki” to jedno, ale ważniejsze okazuje się trwałe wplecenie cyberodporności w strategię rozwoju firmy. Trzeba wzmocnić fundamenty, na których organizacje opierają swój wzrost, o element, jakim jest cyberbezpieczeństwo.
Dotychczasowe podejście, skupione na uzyskaniu formalnego potwierdzenia zgodności z przepisami w formie audytu, staje się niewystarczające. Regulacje wymuszają proaktywne i ciągłe zarządzanie ryzykiem, które musi stać się integralną częścią strategii przedsiębiorstwa.
Nowe przepisy wprowadzają dotkliwe sankcje za zaniechania. W przypadku podmiotów kluczowych, czyli firm o strategicznym znaczeniu dla gospodarki, maksymalna kara administracyjna może wynieść do 10 milionów euro lub 2% łącznego rocznego światowego obrotu. Dla podmiotów ważnych limit ten ustalono na 7 milionów euro lub 1,4% obrotu. Polskie przepisy wprowadzają także minimalne progi kar – odpowiednio 20 tys. zł i 15 tys. zł, a w szczególnych przypadkach sankcje mogą sięgnąć nawet 100 mln zł.
Co jednak najistotniejsze z perspektywy menedżerów, NIS 2 wprowadza osobistą odpowiedzialność członków zarządu za rażące zaniedbania. Może ona obejmować kary pieniężne sięgające do 600% miesięcznego wynagrodzenia, a nawet tymczasowy, nałożony przez sąd, zakaz pełnienia funkcji kierowniczych. To bezpośredni sygnał, że ignorowanie ryzyka cybernetycznego nie będzie dłużej tolerowane.
Celem NIS 2 i DORA jest zbudowanie referencyjnego poziomu cyberochrony oraz wzmocnienie odporności całej infrastruktury krytycznej. Aby sprostać tym wymaganiom, zarządy muszą podjąć konkretne, systemowe działania. Kluczowe obowiązki obejmują:
Warto pamiętać, że rozporządzenie DORA jest stosowane bezpośrednio w krajach członkowskich, podczas gdy dyrektywa NIS 2 wymaga implementacji do prawa krajowego. Wiele organizacji, zwłaszcza z sektora finansowego, będzie musiało zapewnić zgodność z oboma aktami prawnymi, które choć podobne w celach, różnią się w szczegółach.
Karolina Marszałek, „Atende Security Forum 2026: potrzebna zmiana w myśleniu zarządów”, CRN IT – biznes, trendy, technologie, 2026. https://crn.pl/artykuly/atende-security-forum-2026-potrzebna-zmiana-w-mysleniu-zarzadow/
NIS2 i DORA – na czym polegają nowe regulacje i kogo obejmą?, STM Cyber. https://www.stmcyber.pl/nis2-dora
NIS 2 i DORA – rewolucja w zarządzaniu ryzykiem cyberbezpieczeństwa w sektorze finansowym i IT, Lider ERM. https://www.lider-erm.pl/blog/nis-2-i-dora-rewolucja-w-zarzadzaniu-ryzykiem-cyberbezpieczenstwa-w-sektorze-finansowym-i-it/
NIS2 a DORA – która norma ważniejsza dla Twojej organizacji?, RedintoGreen. https://redintogreen.pl/nis2-a-dora-ktora-norma-wazniejsza-dla-twojej-organizacji/
NIS2 i DORA kluczowe regulacje dla wielu biznesów. Z nami przygotujesz się na ich wejście w życie!, Zgoda.net. https://zgoda.net/nis2-dora-kluczowe-regulacje-dla-wielu-biznesow-z-nami-przygotujesz-sie-na-ich-wejscie-w-zycie/
