- Znaczenie
- Całościowe spojrzenie na wszystkie zagrożenia, nie tylko cyfrowe
- Związek z NIS2
- Wymagane wprost
- Przykłady
- Przerwa w zasilaniu, pożar, błąd człowieka, awaria usługodawcy
- Cel
- Rzeczywista odporność (rezyliencja)
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest podejście all-hazards?
Kluczowe pojęcie: Podejście all-hazards (podejście uwzględniające wszystkie zagrożenia) to podstawowy sposób myślenia, którym kieruje się Zarządzanie ryzykiem: zamiast skupiać się wyłącznie na cyberatakach, systematycznie uwzględnia się wszystkie zagrożenia, które mogłyby zakłócić krytyczne procesy. Podejście to wyznacza tym samym zakres analizy ryzyka – rozszerza spojrzenie z samego bezpieczeństwa IT na całą odporność operacyjną firmy. Właśnie tu powstaje fundament, bez którego konkretne przygotowanie na sytuacje awaryjne, takie jak Ciągłość działania , nie ma sensu.
O jakie zagrożenia chodzi
Podejście all-hazards obejmuje cztery typowe kategorie zagrożeń, z których każda wymaga własnych środków ochrony:
- Techniczne: Uszkodzenia sprzętu, błędy oprogramowania, przerwy w zasilaniu.
- Ludzkie: Błędna obsługa, braki w wiedzy, socjotechnika.
- Fizyczne: Pożar, zalanie, włamanie.
- Zewnętrzne: Awaria dostawców i usługodawców (Ryzyko stron trzecich).
Dlaczego NIS2 wymaga tego podejścia
Dyrektywa NIS2 wymaga wprost, aby środki zarządzania ryzykiem opierały się na podejściu all-hazards; w Polsce przenosi to ustawa o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r. Myśl przewodnia jest prosta: firma staje się naprawdę odporna dopiero wtedy, gdy myśli nie tylko o hakerach, lecz o każdej realnej przyczynie przestoju. Kto zaniedba to podejście, ryzykuje nie tylko przestoje, lecz także kary – podmiotowi kluczowemu grozi do 10 mln EUR albo 2 % rocznego obrotu światowego.
Od podejścia do praktyki
W praktyce oznacza to, że w analizie ryzyka bierze się pod uwagę wszystkie rodzaje zagrożeń i zabezpiecza je odpowiednimi środkami (Zabezpieczenia, ciągłość działania), zamiast myśleć wyłącznie o zaporach sieciowych.
Przykład: Dostawca usług chmurowych wzorowo hartuje swoje systemy przeciw cyberatakom – ale przeocza, że jego jedyne centrum danych zależy od jednego dostawcy energii i jednej instalacji chłodzenia. Gdy klimatyzacja przestaje działać, serwery wyłączają się samoczynnie w trybie ochronnym. Podejście all-hazards wychwyciłoby to ryzyko fizyczne i zabezpieczyło je redundancją oraz planem awaryjnym na długo przed tym, zanim doszłoby do awarii.
Źródło uzupełniające: ISO 22301 – całościowe zarządzanie ciągłością działania
Najczęstsze pytania
Co oznacza podejście all-hazards?
Podejście all-hazards (podejście uwzględniające wszystkie zagrożenia) to sposób myślenia w zarządzaniu ryzykiem, który systematycznie obejmuje wszystkie istotne zagrożenia – nie tylko cyberataki, lecz także awarie techniczne, takie jak uszkodzenia sprzętu i przerwy w zasilaniu, błędy ludzkie, zdarzenia fizyczne w rodzaju pożaru czy zalania oraz awarie po stronie dostawców i usługodawców. Rozszerza tym samym spojrzenie z samego bezpieczeństwa IT na całą odporność operacyjną organizacji i tworzy fundament skutecznego przygotowania na sytuacje awaryjne.
Czy podejście all-hazards jest obowiązkowe przy NIS2?
Tak. Dyrektywa NIS2 wymaga wprost, aby środki zarządzania ryzykiem stosowane przez objęte podmioty opierały się na podejściu all-hazards. W Polsce wdraża ją ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r., z pełnym zakresem obowiązków od 3 kwietnia 2027 r. Kto zaniedba to podejście, ryzykuje nie tylko przestoje, lecz także kary: podmiotowi kluczowemu grozi do 10 mln EUR albo 2 % rocznego obrotu światowego, podmiotowi ważnemu do 7 mln EUR albo 1,4 % obrotu.
Dlaczego sama ochrona przed cyberatakami nie wystarcza?
Sama ochrona przed cyberatakami nie wystarcza, bo firma jest naprawdę odporna dopiero wtedy, gdy bierze pod uwagę każdą realną przyczynę przestoju. Przerwy w zasilaniu, pożary, zalania czy awaria usługodawcy również potrafią sparaliżować krytyczne procesy, choć nie ma w tym udziału żadnego hakera. Prawdziwa odporność w duchu podejścia all-hazards traktuje więc wszystkie kategorie zagrożeń tak samo poważnie i zabezpiecza je odpowiednimi środkami: redundancją, ciągłością działania i planami awaryjnymi.