KSC nie tyle dokłada CISO nowych obowiązków, co zmienia jego rolę w organizacji. Budowanie odporności cyfrowej to przecież coś, co dojrzałe firmy robią od dawna – wiele z nich wdrożyło procedury bezpieczeństwa, wyznaczyło odpowiedzialne osoby, systematycznie prowadziło dopasowane i realistyczne symulacje phishingowe czy organizowało szkolenia z cyberbezpieczeństwa jeszcze zanim pojawiła się nowelizacja.
To nie nowy obowiązek techniczny podnosi dziś rangę roli CISO, lecz odpowiedzialność, która spadła na zarząd. Nowelizacja ustawy o KSC, wdrażająca dyrektywę NIS2, czyni kierownictwo osobiście odpowiedzialnym za cyberbezpieczeństwo.
O tym, jak ta zmiana wygląda w praktyce, rozmawialiśmy na webinarze z Marcinem Serafinem – specjalistą prawa cyfrowego i partnerem kancelarii Sterberg – oraz Jerzym Muszyńskim, radcą prawnym prowadzącym własną kancelarię. Rozmowę moderował Maciej Kołtoński, dzięki czemu nie zabrakło perspektywy biznesowej. A jeśli chcesz obejrzeć całe nagranie, wypełnij formularz na tej stronie.
Co realnie zmienia KSC w pozycji CISO?
KSC zmienia pozycję CISO – z osoby wykonującej zadania techniczne w partnera zarządu, który osobiście odpowiada za cyberbezpieczeństwo.
Do tej pory bezpieczeństwo bywało traktowane jak temat działu IT. Nowelizacja przesuwa ten ciężar wyżej, na sam szczyt organizacji: to kierownictwo zatwierdza analizę ryzyka, zapewnia budżet i ma obowiązek własnego szkolenia, a przekazanie zadań do IT nie zdejmuje z niego odpowiedzialności.
Jak podkreślił podczas webinaru radca prawny Jerzy Muszyński:
Po raz pierwszy w kontekście takim szerszym możemy mówić o tym, że […] zarząd spółek ma być aktywnym podmiotem uczestniczącym w bieżącym zarządzaniu cyberbezpieczeństwem w strukturach firmy.
Zarząd potrzebuje CISO jako tłumacza ryzyka
Zarząd, który osobiście odpowiada za cyberbezpieczeństwo, siłą rzeczy musi mieć kogoś, kto rozumie ryzyko, potrafi nim zarządzać i przełoży je na język decyzji. To z tej zależności bierze się nowa pozycja CISO.
Marcin Serafin opisał ten mechanizm wprost:
W momencie, kiedy nasi członkowie zarządu mają swoje obowiązki w zakresie regularnego doszkalania się, podejmowania decyzji, nadzorowania całego tego systemu myślenia o cyberbezpieczeństwie, no to oni siłą rzeczy zaczynają musieć korzystać z kogoś, kto im tę rzeczywistość będzie tłumaczył. Kto realnie będzie ich wspierał, a nie tylko zastępował.
Innymi słowy: CISO przestaje być wykonawcą zleceń, a staje się doradcą, na którego analizie zarząd opiera własne decyzje – i własną odpowiedzialność.
CISO staje się nieodłączną częścią biznesu
KSC 2.0 kończy z traktowaniem cyberbezpieczeństwa jako osobnego świata, oderwanego od biznesu. Dziś systemy, dane i narzędzia to już jest biznes – nie jego dodatek.
Mam nadzieję, że skończy się problem wielu CISO, którzy byli pozostawieni sobie na zasadzie: róbcie te swoje, dłubcie w tych swoich urządzeniach, analizujcie te swoje raporty, ale nam nie przeszkadzajcie w biznesie. To jest rzecz, która musi się skończyć – bo ten biznes to już jest to oprogramowanie i te wszystkie narzędzia.
Dla organizacji oznacza to, że bezpieczeństwo nie jest już kosztem na uboczu, lecz warunkiem ciągłości działania.
Nie każdy jest zadowolony z tego ,,awansu”
Wzrost znaczenia CISO ma swoją cenę – bliską, wymagającą współpracę z zarządem. Nie każdy specjalista marzył o tym, by tłumaczyć ryzyko menedżerom i zasiadać przy stole decyzyjnym. „To jest pewnego rodzaju wzrost znaczenia roli CISO wewnątrz organizacji (…). CISO jako partner dla zarządu nie jest zostawiony sam sobie.” – powiedział Marcin Serafin podczas webinaru o KSC.
Plus jest jednak taki: CISO przestaje pracować w próżni. Zyskuje wsparcie zarządu, ale w zamian musi poświęcić więcej czasu na wyjaśnianie, na czym konkretnie polegają zagrożenia i jak je rozwiązać.
Dlaczego nie ma jednej, uniwersalnej definicji roli CISO?
CISO w jednej organizacji nie jest równy CISO w innej – te role bywają skrajnie różne. KSC doprecyzowuje obowiązki, ale nie narzuca jednego modelu obsadzenia tej funkcji.
CISO w organizacji nie [jest] równy innemu CISO w innej organizacji. Te role rzeczywiście są skrajnie różne.
Różnice w roli CISO dotyczą zasobów, samodzielności i prawa do decyzji – jedni działają niezależnie, inni są zależni od zarządu na każdym kroku.
Wniosek dla decydenta: zanim obsadzisz tę rolę, zarząd musi rozstrzygnąć zakres uprawnień, budżet i samodzielność CISO.
Co KSC oznacza w praktyce – dla zarządu i dla CISO
Realna zmiana następuje, gdy CISO dostaje dostęp do zarządu, budżet i prawo do decyzji – a nie sam tytuł.
W praktyce oznacza to trzy rzeczy:
→ dla zarządu: szkolenia, testy socjotechniczne i testy penetracyjne, zatwierdzanie analizy ryzyka i budżet na bezpieczeństwo to obowiązek, nie gest dobrej woli,
→ dla CISO: więcej czasu na tłumaczenie ryzyka językiem biznesu niż na same narzędzia,
→ dla organizacji: jasna ścieżka, do kogo trafia decyzja i kto za nią odpowiada.
Podsumowanie
Nowa pozycja CISO bierze się z odpowiedzialności, którą KSC nałożył na zarząd.
To zmiana, na której mogą zyskać obie strony:
- Zarząd dostaje doradcę, który tłumaczy ryzyko na język decyzji,
- CISO – realny wpływ, bliska współpraca z zarządem, większa decyzyjność i wyjście z roli osoby oderwanej od biznesu, a bycie jego nieodłączną częścią.
Warunek jest jeden: rola CISO musi dostać zasoby, budżet i prawo do decyzji.
Cała rozmowa – z konkretnymi przykładami, terminarzem wdrożenia i sesją pytań jest dostępna na życzenie. Zapisz się, a otrzymasz dostęp do nagrania webinaru oraz komplet materiałów (prezentację i walidator UKSC/NIS2).
Bezpłatny webinar. Jak podejść do wdrożenia KSC rozsądnie: tak, żeby nie wziąć na siebie wszystkiego naraz, ale też zdążyć z obowiązkami w terminie.
