NIS2 - wyzwaniem polskich firm

NIS2: Największym wyzwaniem nie jest technologia. To organizacja i odpowiedzialność

Wiele firm przygotowujących się do wdrożenia wymogów NIS2 skupia się na technologiach i narzędziach bezpieczeństwa. Tymczasem najnowsze badania pokazują, że największą barierą w osiągnięciu zgodności z dyrektywą są kwestie organizacyjne.

Badanie Business Growth Review przeprowadzone wśród dużych przedsiębiorstw w Polsce wskazuje, że aż 42% organizacji zatrudniających ponad 300 osób nie wyznaczyło właściciela procesu wdrożenia NIS2, ani nie opracowało planu działań. Tylko co czwarta firma posiada kompletną strukturę zarządczą umożliwiającą systematyczne wdrażanie nowych wymogów.

NIS2 to wyzwanie dla całej organizacji

Dyrektywa NIS2 znacząco zmienia podejście do cyberbezpieczeństwa. Nie jest to już wyłącznie domena działów IT czy zespołów bezpieczeństwa. Regulacje nakładają konkretne obowiązki na kadrę zarządzającą, a odpowiedzialność za poziom cyberbezpieczeństwa organizacji trafia bezpośrednio na poziom zarządu.

Pomimo tego:

• 37% firm nie raportuje ryzyka cybernetycznego do zarządu,
• 40% robi to jedynie okazjonalnie,
• tylko 22% prowadzi regularne, sformalizowane raportowanie.

Oznacza to, że wiele strategicznych decyzji biznesowych nadal podejmowanych jest bez pełnej wiedzy o poziomie ryzyka oraz stanie przygotowań do nowych wymogów regulacyjnych.

Firmy wciąż nie wiedzą, czy podlegają NIS2

Niepokojący jest również fakt, że ponad 40% badanych organizacji nie określiło jeszcze swojego statusu względem NIS2. W praktyce oznacza to, że część przedsiębiorstw nadal nie wie, czy jest podmiotem kluczowym, ważnym czy też nie podlega nowym regulacjom.

Bez tej podstawowej analizy trudno mówić o skutecznym planowaniu działań, budżetów czy harmonogramów wdrożeniowych.

Brak planu generuje kolejne problemy

Badanie pokazuje również mechanizm, który obserwujemy podczas pracy z organizacjami przygotowującymi się do nowych wymagań:

• brakuje specjalistów odpowiedzialnych za projekt,
• nie powstaje plan wdrożenia,
• nie jest zabezpieczany budżet,
• działania są odkładane w czasie.

Dodatkowo ponad połowa firm wskazuje niedobór kompetencji jako jedną z głównych przeszkód w osiągnięciu zgodności z NIS2.

Od audytu do wdrożenia – potrzebne jest kompleksowe podejście

NIS2 nie jest projektem technologicznym. To program obejmujący zarządzanie ryzykiem, procesy, dokumentację, odpowiedzialność kadry zarządzającej oraz odpowiednio dobrane rozwiązania bezpieczeństwa.

Dlatego przygotowanie organizacji powinno obejmować:

✔ analizę obowiązków wynikających z NIS2 i UKSC,
✔ audyt obecnego poziomu dojrzałości cyberbezpieczeństwa,
✔ opracowanie polityk, procedur i dokumentacji,
✔ budowę modelu odpowiedzialności i raportowania,
✔ dobór oraz wdrożenie odpowiednich rozwiązań technologicznych,
✔ rozwój i utrzymanie systemu bezpieczeństwa w dłuższej perspektywie.

NIS2 jako test dojrzałości organizacyjnej

Wyniki badania pokazują wyraźnie, że dla wielu przedsiębiorstw NIS2 staje się nie tylko wyzwaniem związanym z cyberbezpieczeństwem, ale przede wszystkim testem dojrzałości organizacyjnej.

Firmy, które już dziś uporządkują procesy, określą odpowiedzialności i zbudują spójny model zarządzania bezpieczeństwem, będą nie tylko bliżej zgodności z regulacjami, ale również lepiej przygotowane na rosnące zagrożenia cybernetyczne.

W obszarze cyberbezpieczeństwa kluczowe pytanie nie brzmi już: „Jakie rozwiązanie wdrożyć?”, lecz „Jak zbudować organizację, która potrafi skutecznie zarządzać bezpieczeństwem?”.

Dane z badania Business Growth Review „NIS2 – Czy firmy w Polsce są gotowe na dyrektywę?” Metodologia: Badanie CAWI, n=1018, firmy zatrudniające co najmniej 300 pracowników i prowadzące działalność w Polsce. Respondenci: CISO, CIO, zarząd, compliance, OT. Badanie wykonane w dniach 9 stycznia – 6 lutego 2026 r.