Zarządzanie ryzykiem bez tajemnic

Czym jest zarządzanie ryzykiem?

Zarządzanie ryzykiem to uporządkowany, ciągły proces, w którym firma rozpoznaje zagrożenia dla swoich systemów, danych i procesów, ocenia je i celowo nimi steruje. Zamiast jedynie reagować na incydenty, ryzyka rozpoznaje się z wyprzedzeniem i ogranicza na tyle, by pozostałe ryzyko szczątkowe dało się ponieść świadomie i z uzasadnieniem. Podczas gdy Governance (ład organizacyjny) wyznacza ramy i odpowiedzialności, zarządzanie ryzykiem jest operacyjnym sercem: to tutaj poszczególne zagrożenia ocenia się konkretnie i wiąże ze środkami. Jest więc drugim filarem obszaru, jakim jest GRC oraz merytorycznym fundamentem każdego systemu, jakim jest ISMS.

Proces zarządzania ryzykiem

• Rozpoznanie: Jakie istnieją zagrożenia i podatności? Jakie wartości (Zasoby) są nimi objęte?
• Ocena: Jak prawdopodobne jest dane ryzyko i jak duża byłaby szkoda? Z obu tych czynników wynika priorytet.
• Postępowanie: Ryzyk można unikać, można je zmniejszać (stosując Zabezpieczenia), przenosić (np. na ubezpieczyciela) albo świadomie zaakceptować.
• Monitorowanie: Sprawdzanie skuteczności i korygowanie przy nowych zagrożeniach – cykl zaczyna się od nowa.

Cykl zarządzania ryzykiem w skrócie

1. 1 Rozpoznanie: Zbiera się zagrożenia, podatności i objęte nimi zasoby.
2. 2 Ocena: Każde ryzyko dostaje priorytet według prawdopodobieństwa i rozmiaru szkody.
3. 3 Postępowanie: Ryzyko zostaje wyeliminowane, zmniejszone, przeniesione albo świadomie zaakceptowane.
4. 4 Monitorowanie: Skuteczność jest na bieżąco kontrolowana, po czym cykl rusza od nowa.

Podejście all-hazards w praktyce

NIS2 wymaga, by u podstaw leżało Podejście all-hazards: bierze się pod uwagę nie tylko cyberataki, lecz wszystkie istotne zagrożenia – na przykład przerwy w zasilaniu, błędy ludzkie, awarie u usługodawców w łańcuchu dostaw czy zdarzenia fizyczne w rodzaju pożaru i zalania. Analiza ryzyka musi więc sięgać poza samo IT i obejmować także ryzyka organizacyjne i fizyczne, które mogłyby zagrozić dostępności usług.

Zarządzanie ryzykiem a NIS2

To właśnie NIS2 czyni z zarządzania ryzykiem obowiązek centralny. Artykuł 21 wymaga odpowiednich i proporcjonalnych środków technicznych i organizacyjnych, zgodnych ze stanem wiedzy technicznej, zatwierdzonych przez kierownictwo i udokumentowanych w prowadzonym na bieżąco rejestrze ryzyk – objęte podmioty muszą bowiem oceniać swoje cyberryzyka nie raz, lecz korygować je stale i w każdej chwili wykazać przed organem właściwym, że przyjęte środki odpowiadają rzeczywistemu ryzyku. W Polsce dyrektywę wdraża ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r.; pełny zakres obowiązków zaczyna obowiązywać od 3 kwietnia 2027 r. Termin samoidentyfikacji i wpisu do wykazu KSC upływa 3 października 2026 r., a podmioty, które spełnią kryteria później, mają na to 6 miesięcy. Jeśli zarządzanie ryzykiem zawiedzie i dojdzie do incydentu poważnego, uruchamia się dodatkowo ścieżka zgłoszeń do właściwego CSIRT: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe po miesiącu. Kto narusza te obowiązki, ryzykuje kary do 10 mln EUR albo 2 % rocznego obrotu światowego w przypadku podmiotów kluczowych i do 7 mln EUR albo 1,4 % w przypadku podmiotów ważnych.

Przykład ze szpitala: Kierownictwo IT prowadzi rejestr ryzyk, w którym każdy zasób – od systemu danych pacjentów po zasilanie awaryjne – jest oceniany pod kątem prawdopodobieństwa, rozmiaru szkody i przypisanego środka. Przegląd odbywa się raz w roku i po każdym incydencie poważnym. Dzięki temu w każdej chwili da się wykazać, dlaczego dane ryzyko szczątkowe zostało przyjęte.

Co konkretnie trzeba zrobić?

• Spisać wszystkie zasoby wymagające ochrony i przypisać każdemu osobę odpowiedzialną.
• Zbudować rejestr ryzyk z prawdopodobieństwem, rozmiarem szkody i środkiem dla każdego ryzyka.
• Udokumentować dla każdego ryzyka decyzję o postępowaniu (unikać, zmniejszyć, przenieść, zaakceptować) i uzyskać jej zatwierdzenie przez kierownictwo.
• Wyznaczyć stałe terminy przeglądów – raz w roku oraz po każdym incydencie poważnym.
• Jeśli jeszcze tego nie zrobiono: dokonać samoidentyfikacji i wpisu do wykazu KSC oraz z góry ustalić ścieżki zgłoszeń w terminach 24 i 72 godzin.

Źródło uzupełniające: EUR-Lex – dyrektywa NIS2 (UE) 2022/2555