Ciągłość działania bez tajemnic

Czym jest ciągłość działania?

Ciągłość działania (ang. business continuity) to pojęcie nadrzędne: zdolność organizacji do pracy nawet przy większych zakłóceniach – cyberataku, przerwie w zasilaniu, awarii centrum danych albo wypadnięciu ważnego usługodawcy – oraz do utrzymania krytycznych procesów biznesowych lub ich ponownego uruchomienia w akceptowalnym czasie. Poszczególne dokumenty awaryjne regulują konkretne przebiegi, a ciągłość działania opisuje cel nadrzędny: nieprzerwaną zdolność firmy do działania. W centrum stoi pytanie, które procesy są na tyle ważne, że ich przestój zagroziłby istnieniu firmy, i jak długo taki przestój wolno tolerować.

Elementy składowe

Ciągłości działania nie osiąga się jednym narzędziem, lecz zgranym współdziałaniem kilku elementów, z których każdy pełni własną rolę:

• BCP: konkretny, operacyjny plan awaryjny dla działalności firmy.
• BCMS: nadrzędny system zarządzania, który utrzymuje plany awaryjne aktualne, przetestowane i skuteczne.
• DRP: techniczny plan, którego celem jest przywrócenie działania systemów IT i danych.
• Zarządzanie kryzysowe: sterowanie i komunikacja na poziomie kierownictwa.

Rozdzielmy pojęcia: cała grupa w skrócie

Te pięć pojęć w codziennej praktyce często się miesza, choć każde działa na innym pułapie. Poniższa tabela porządkuje je według punktu ciężkości i odniesienia do norm. Krótko: ciągłość działania jest dachem, cała reszta pracuje pod nim.

Ćwiczyć, nie tylko planować

Plany, które leżą nieprzeczytane w szufladzie, w prawdziwym kryzysie niewiele dają. Liczą się regularne testy, ćwiczenia awaryjne i realistyczne scenariusze – tak, by w kryzysie każdy znał swoją rolę, a procedury działały pod presją. Kto konsekwentnie stosuje podejście all-hazards, ćwiczy nie tylko cyberatak, lecz także przerwy w zasilaniu czy wypadnięcie dostawcy.

Dobrze widać to na przykładzie. W średniej wielkości firmie maszynowej ransomware szyfruje w nocy system ERP; ponieważ istnieje wielokrotnie przećwiczony plan ciągłości działania, produkcja bez wahania przechodzi rano na wcześniej ustalone procesy awaryjne z papierowymi kartami obiegowymi, sztab kryzysowy równolegle informuje klientów i powiadamia właściwy CSIRT w ścieżce zgłoszeń NIS2, a plan odtwarzania po awarii przywraca ERP ze sprawdzonych kopii offline odciętych od sieci. Zdolność do realizacji dostaw zostaje utrzymana. To właśnie ta różnica – godziny zamiast dni – przesądza u dostawcy o karach umownych i o tym, czy zostanie w gronie dostawców.

Ciągłość działania a NIS2

Odporność nie jest dodatkiem, lecz obowiązkiem. Obowiązująca od 3 kwietnia 2026 r. ustawa o KSC wymienia utrzymanie działalności, zarządzanie kopiami zapasowymi i zarządzanie kryzysowe wprost jako obowiązkowe środki zarządzania ryzykiem. Kluczowe jest to, że kierownictwo tych środków nie tylko akceptuje: organ zarządzający je zatwierdza i nadzoruje ich wdrożenie – i właśnie to przenosi ciągłość działania z obszaru IT na biurko zarządu. Gdy dojdzie do zakłócenia podlegającego zgłoszeniu, obowiązuje ścieżka stopniowana: wczesne ostrzeżenie w ciągu 24 godzin, szczegółowe zgłoszenie po 72 godzinach, sprawozdanie końcowe w ciągu miesiąca. Za naruszenia podmiotom kluczowym grożą kary do 10 mln EUR lub 2 % rocznego obrotu światowego, a podmiotom ważnym do 7 mln EUR lub 1,4 %.

Termin samoidentyfikacji w wykazie KSC upływa 3 października 2026 r.; podmioty, które spełnią kryteria później, mają na wpis 6 miesięcy, a obowiązki bezpieczeństwa wiążą niezależnie od tego terminu.

Co konkretnie trzeba zrobić?

• Zidentyfikuj krytyczne procesy biznesowe i wyznacz dla każdego maksymalny dopuszczalny czas przestoju (BIA).
• Spisz BCP, DRP i role kryzysowe, a następnie realistycznie je przećwicz co najmniej raz w roku.
• Wdróż kopie zapasowe offline i niemodyfikowalne, a odtwarzanie testuj regularnie – nie tylko samo tworzenie kopii.
• Wbuduj w plan awaryjny ścieżkę zgłoszeń 24/72 godziny wraz z wyznaczonymi osobami do kontaktu z właściwym CSIRT.
• Dokumentuj dowody (protokoły ćwiczeń, raporty z testów, zatwierdzenia kierownictwa) tak, by przeszły kontrolę – a jeśli nie ma Cię jeszcze w wykazie KSC, zgłoś się przez wykaz-ksc.gov.pl.

Źródło uzupełniające: ISO 22301 – systemy zarządzania ciągłością działania (opis normy)