Paragrafy, kryzysy i cybersec, czyli anatomia wtorkowego poranka

Wtorkowy poranek, godzina 8:15. W serwerowniach międzynarodowego operatora infrastruktury logistycznej systemy bezpieczeństwa wykrywają eksfiltrację danych.

• O 9:00 inżynierowie izolują segmenty sieci.
• O 11:30 dział prawny, pod presją dyrektywy NIS2, rozpoczyna formułowanie pierwszego zgłoszenia do regulatora - na reakcję mają tylko 24 godziny.
• W tym samym czasie zespół public relations, chcąc uspokoić rynek, publikuje lakoniczny komunikat o "przejściowych pracach".
• O 14:00 o "poważnym incydencie" piszą media branżowe.

Rynek widzi jedno, regulator drugie, a firma mówi trzecie. Kilka godzin później kurs akcji spada, klienci zaczynają zadawać pytania, a kryzys cyberbezpieczeństwa błyskawicznie zamienia się w kryzys zaufania.

Kiedyś to było...

Przez lata podobne sprawy wyglądały dość prosto:

1. Najpierw dział IT rozwiązywał problem.
2. Potem prawnicy sprawdzali zgodność z przepisami.
3. Na końcu PR zastanawiał się, jak to wszystko opowiedzieć.

I na tym polega największa zmiana ostatnich lat. W 2026 roku największym zagrożeniem coraz rzadziej jest sam cyberatak. Znacznie częściej okazuje się nim brak synchronizacji między technologią, prawem i komunikacją, bo te trzy światy przestały funkcjonować osobno.

Zarządzanie kryzysowe

To, jak dobrze (lub źle) ten mechanizm działa w firmach, widać przy przygotowywaniu komunikacji wymuszonej przez NIS2 i DORA. Prawo nie tylko określa obowiązki organizacji, ale wyznacza również tempo komunikacji. Dwudziestoczterogodzinny termin na pierwsze zgłoszenie incydentu sprawia, że klasyczny model zarządzania kryzysem - kilka dni analiz, zamknięty sztab, dopracowane oświadczenie - przestaje mieć rację bytu. Informacja trafia do regulatora niemal równocześnie z tym, jak może zacząć żyć własnym życiem w mediach. Oznacza to, że cyberbezpieczeństwo, compliance i komunikacja kryzysowa muszą działać jednocześnie, a nie po sobie. Do tego dochodzi osobista odpowiedzialność członków zarządu - CEO nie odpowiada już wyłącznie za strategię czy wyniki finansowe, ale również za odporność cyfrową organizacji. Wizerunkowo, prawnie i coraz częściej osobiście.

Kto wygra w kryzysie?

Wszystkie te przykłady prowadzą do jednego wniosku. W 2026 roku sukcesu nie da się już osiągnąć, traktując inżynierię systemów, analizę prawną i public relations jako odrębne dziedziny. Tradycyjne podejście silosowe prowadzi do nieuchronnych kryzysów operacyjnych i reputacyjnych. Dzisiejsze prawo nowych technologii bezpośrednio determinuje strukturę techniczną systemów oraz dynamikę i treść komunikatów kierowanych do rynku. Jedyną skuteczną strategią staje się pełna unifikacja tych dyscyplin. Na końcu wygra przecież ten, kto sprawi, że nowe regulacje nie staną się kosztownym obciążeniem, tylko szansą dla biznesu, prawda?