- Znaczenie
- Kierowanie firmą w sytuacji kryzysowej
- Elementy
- Sztab kryzysowy, komunikacja, ścieżki decyzyjne
- Powiązane
- BCMS, reagowanie na incydenty
- Związek z NIS2
- Środek wymagany przez dyrektywę
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest zarządzanie kryzysowe?
Zarządzanie kryzysowe to kierowanie firmą na poziomie zarządu, gdy zdarzenie przerasta zwykłą codzienną działalność i wymaga szybkich decyzji o dużym zasięgu. Sprawia, że organizacja zachowuje zdolność do działania w poważnej sytuacji: dzięki jasnym ścieżkom decyzyjnym, wyznaczonemu sztabowi kryzysowemu i uporządkowanej komunikacji do wewnątrz i na zewnątrz. W odróżnieniu od czysto operacyjnej obsługi incydentu patrzy na całość obrazu – reputację, obowiązki prawne, klientów, pracowników i kontynuację działalności – i podejmuje decyzje nadrzędne, których zespoły techniczne potrzebują, żeby działać skutecznie. Uwaga terminologiczna: chodzi tu o kierowanie organizacją w kryzysie, a nie o publiczny system ochrony ludności, który w Polsce nosi tę samą nazwę.
Technika spotyka kierownictwo
Techniczną stroną zdarzenia zajmuje się Reagowanie na incydenty , a zarządzanie kryzysowe koordynuje całość na poziomie zarządu: rozstrzyga o priorytetach, zasobach i zgodach – na przykład o tym, czy wyłączyć systemy, wezwać zewnętrznych usługodawców albo ewakuować lokalizacje. Osadzone jest w systemie, jakim jest BCMS, który z wyprzedzeniem definiuje i ćwiczy organizację kryzysową.
Komunikacja jest kluczowa
W kryzysie dobra komunikacja bywa równie ważna jak technika: wobec pracowników, organów, klientów i partnerów, a przy NIS2 szczególnie wobec właściwego CSIRT oraz podmiotu, jakim jest organ właściwy. Przygotowane wzory zgłoszeń i jasno wyznaczeni rzecznicy zapobiegają sprzecznościom i opóźnieniom, gdy pod presją czasu trzeba komunikować się na zewnątrz.
Typowy przypadek: W firmie logistycznej w nocy zostają zaszyfrowane centralne systemy. Sztab kryzysowy zbiera się według planu alarmowania, decyduje o wyłączeniu kolejnych systemów, zleca pracę informatykowi śledczemu i zatwierdza uzgodnioną komunikację. Równolegle pilnuje, by w ciągu 24 godzin do właściwego CSIRT trafiło wczesne ostrzeżenie, w ciągu 72 godzin zgłoszenie incydentu poważnego, a po miesiącu sprawozdanie końcowe.
Zarządzanie kryzysowe a NIS2
Dyrektywa NIS2 wymienia zarządzanie kryzysowe wprost wśród wymaganych środków (art. 21 ust. 2 lit. c). W Polsce wdraża ją ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. Wchodzi ono w grę tam, gdzie na poziomie zarządu spotykają się obsługa incydentu i dziedzina, jaką jest Ciągłość działania , a wszystko to jest ściśle powiązane z dotrzymaniem terminów zgłoszeń wynikających z przepisów.
Źródło uzupełniające: ISO 22301 – zarządzanie ciągłością działania i organizacja kryzysowa
Najczęstsze pytania
Czym jest zarządzanie kryzysowe?
Zarządzanie kryzysowe to organizacja i kierowanie firmą na poziomie kierownictwa w sytuacji kryzysowej, tak aby decyzje, komunikacja i działania naprawdę zadziałały. Dzięki jasnym ścieżkom decyzyjnym, wyznaczonemu sztabowi kryzysowemu i uporządkowanej komunikacji organizacja zachowuje zdolność do działania w poważnej sytuacji. W odróżnieniu od czysto operacyjnej obsługi incydentu patrzy na całość obrazu: reputację, obowiązki prawne, klientów, pracowników i kontynuację działalności. Mowa tu o zarządzaniu kryzysowym wewnątrz organizacji, a nie o publicznym systemie ochrony ludności, który w Polsce nosi tę samą nazwę.
Czy zarządzanie kryzysowe jest częścią NIS2?
Tak. Dyrektywa NIS2 wymienia zarządzanie kryzysowe wprost wśród obowiązkowych środków zarządzania ryzykiem (art. 21 ust. 2 lit. c). W Polsce wdraża ją ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. Objęte podmioty muszą przygotować role kryzysowe oraz ścieżki eskalacji i komunikacji, a także ich przestrzegać. Należy do tego ścieżka zgłoszeń do właściwego CSIRT: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca.
Czym różni się od reagowania na incydenty?
Reagowanie na incydenty to techniczna obsługa konkretnego zdarzenia na poziomie operacyjnym: analiza, ograniczenie skutków i usunięcie skutków ataku. Zarządzanie kryzysowe to nadrzędne kierowanie na poziomie zarządu: rozstrzyga o priorytetach, zasobach, zgodach i komunikacji zewnętrznej, podczas gdy zespoły techniczne pracują nad bieżącą sytuacją. Jedno zazębia się z drugim, bo technika potrzebuje decyzji zapadających wyżej, żeby móc działać skutecznie.