Czym jest zapowiedź publicznego wskazywania firm zaniedbujących cyberbezpieczeństwo?

To zapowiedź wicepremiera Krzysztofa Gawkowskiego, by nazywać publicznie firmy, których zaniedbania doprowadziły do incydentów. Ma to być sposób na wzmocnienie presji na przedsiębiorstwa, które dotąd nie inwestowały w ochronę wystarczająco.

Ile podmiotów ma objąć rozszerzenie KSC?

Zapowiedziano zwiększenie liczby podmiotów objętych KSC z ok. 1 tys. do 65 tys. Oznacza to wielokrotnie szerszy krąg firm, które będą musiały spełniać wymogi bezpieczeństwa.

Czy zapowiedziano nowe kary za zaniedbania w cyberbezpieczeństwie?

Nie. Nowa sankcja prawna nie została zapowiedziana, a konsekwencje będą zależały od przepisów już obowiązujących. Warto jednak śledzić dalsze projekty legislacyjne.

Jakie zabezpieczenia powinna wdrożyć firma w pierwszej kolejności?

Podstawą są silne uwierzytelnianie, regularne kopie zapasowe danych i szybkie usuwanie znanych podatności w systemach. Te trzy działania zamykają większość typowych dróg ataku.

Firmy bez ochrony przed cyberatakiem pod lupą. Co zmienia KSC?

Rząd zapowiada publiczne wskazywanie firm, których zaniedbania doprowadziły do incydentów, oraz rozszerzenie KSC.

Zapowiedź rządu dotyczy publicznego wskazywania firm, których zaniedbania w cyberbezpieczeństwie doprowadziły do incydentów, oraz znacznego rozszerzenia Krajowego Systemu Cyberbezpieczeństwa (KSC). Zapowiedział to wicepremier i minister cyfryzacji Krzysztof Gawkowski, a temat będzie omawiany podczas konferencji Cyber24 Days w dniach 7–8 października 2026 roku w PGE Narodowym w Warszawie.

Czym jest publiczne wskazywanie zaniedbujących firm?

Publiczne wskazywanie firm to zapowiedziany mechanizm, w którym przedsiębiorstwa, których błędy lub zaniedbania przyczyniły się do incydentów, mają zostać wymienione z nazwy. Według wicepremiera Gawkowskiego dotychczasowe rekomendacje i zachęty nie przyniosły wystarczających rezultatów, dlatego państwo chce sięgnąć po narzędzie o charakterze presji wizerunkowej.

Dla firm oznacza to jedno: reputacja może ucierpieć, zanim jakikolwiek przepis zostanie zastosowany. Dla klientów i partnerów biznesowych publiczna informacja o zaniedbaniach stanie się ważnym sygnałem przy wyborze dostawcy.

Dlaczego rozszerzenie KSC z ok. 1 tys. do 65 tys. podmiotów ma znaczenie?

Rozszerzenie KSC to najbardziej odczuwalna zmiana w zapowiedzi. Obecnie system obejmuje ok. 1 tys. podmiotów, a plan zakłada wzrost do 65 tys. Oznacza to około 65-krotne poszerzenie grona instytucji, które będą musiały spełniać wymogi bezpieczeństwa.

Parametr	Obecnie	Zapowiedź
Liczba objętych podmiotów	ok. 1 tys.	65 tys.
Skala zmiany	—	ok. 65-krotny wzrost
Nowe sankcje prawne	—	brak zapowiedzi

Według zapowiedzi rozszerzenie może wiązać się z nowymi obowiązkami dla operatorów telekomunikacyjnych i dostawców usług internetowych. Dla sektora telekomunikacyjnego oznacza to konieczność przeglądu procedur, a dla mniejszych dostawców usług – prawdopodobnie konieczność uporządkowania dokumentacji i zabezpieczeń.

Kto odpowiada za cyberbezpieczeństwo w firmie?

Gawkowski podkreśla, że odpowiedzialność nie spoczywa wyłącznie na działach IT. Według jego zapowiedzi odpowiadają za nie także zarządy i rady nadzorcze. To ważna zmiana perspektywy: decyzje o budżecie na bezpieczeństwo stają się decyzjami na poziomie władz spółki.

W praktyce warto, aby członkowie zarządu regularnie otrzymywali raporty o stanie zabezpieczeń, a rada nadzorcza wyznaczała jasne cele w tym obszarze. Brak takiego nadzoru może być później trudny do obrony, zwłaszcza po incydencie.

Jakie podstawowe zabezpieczenia wdrożyć już teraz?

Wicepremier wskazuje trzy fundamenty, od których warto zacząć. Nie wymagają one wielkich nakładów, a zamykają wiele typowych dróg ataku:

Silne uwierzytelnianie. Wprowadź uwierzytelnianie wieloskładnikowe dla kont pocztowych, systemów wewnętrznych i paneli administracyjnych. Hasło samo w sobie często nie wystarcza.
Regularne kopie zapasowe. Twórz kopie danych według harmonogramu i przechowuj je poza główną siecią. Przywracaj je próbnie, bo kopia, której nie da się odtworzyć, nie chroni przed utratą danych.
Usuwanie podatności. Aktualizuj oprogramowanie i systemy operacyjne, a krytyczne poprawki wdrażaj jak najszybciej. Zaniedbana aktualizacja to jeden z najczęstszych punktów wejścia dla atakujących.

Ile pieniędzy jest dostępne na cyfryzację i cyberbezpieczeństwo?

W poprzednich latach dostępna pula finansowania cyfryzacji i cyberbezpieczeństwa wyniosła 2,8 mld zł. Kwota ta pokazuje skalę wsparcia publicznego, z którego mogą korzystać podmioty przygotowujące się do nowych wymogów. Warto sprawdzać aktualne nabory, zanim podjęte zostaną decyzje inwestycyjne.

Gawkowski przekonuje, że firmy nie powinny odkładać wydatków na bezpieczeństwo ani czekać z ochroną do momentu ataku. Według niego najdroższym momentem na inwestycję w ochronę jest czas po incydencie, kiedy trzeba płacić zarówno za naprawę, jak i za straty wizerunkowe oraz operacyjne.

Co to oznacza dla Ciebie?

Jeśli prowadzisz firmę, zacznij od przeglądu trzech podstawowych zabezpieczeń i ustal, kto w zarządzie odpowiada za ten obszar. Jeśli jesteś pracownikiem lub klientem, zwracaj uwagę na to, czy dostawcy usług i partnerzy stosują uwierzytelnianie wieloskładnikowe oraz regularnie aktualizują systemy. Zmiany zapowiadane przez rząd mogą objąć znacznie więcej podmiotów niż dotychczas, więc przygotowanie na wcześniejszym etapie jest po prostu tańsze niż reagowanie po ataku.