Najsłabsze ogniwo cyberbezpieczeństwa nie siedzi w serwerowni. Siedzi przy biurku i właśnie klika w link.
Z testów socjotechnicznych, które prowadzimy w firmach i urzędach, wynika brutalna prawda: żaden firewall ani zespół SOC nie obroni organizacji przed pracownikiem, który „tylko sprawdził fakturę” z podejrzanego maila. Przestępcy przestali atakować technologię. Atakują ludzi.
Raport CERT Polska za 2025 rok nie pozostawia złudzeń. Zarejestrowano ponad 260 tysięcy incydentów bezpieczeństwa — wzrost o 152% rok do roku i rekord w historii polskiego internetu. Aż 97% z nich to oszustwa komputerowe. Najczęstszym pojedynczym zagrożeniem pozostaje phishing. Około 78 tysięcy incydentów, czyli 30% wszystkich zdarzeń.
Co istotne dla sektora publicznego: liczba incydentów w podmiotach publicznych wzrosła o 48% w ciągu roku. Urzędy nie są „mniej atrakcyjnym” celem niż banki. Są celem łatwiejszym. Przestępcy podszywają się pod serwisy gov.pl, zwroty podatku i świadczenia socjalne. Wiedzą, że obywatel ufa państwu.
Wspólny mianownik większości skutecznych ataków? Jedno kliknięcie człowieka, który miał dobre intencje i za mało czasu.
Cyberhigiena to już obowiązek, nie dobra praktyka
3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. To najważniejsza zmiana w polskim prawie cyberbezpieczeństwa od 2018 roku. I po raz pierwszy tak jednoznacznie stawia człowieka w centrum systemu bezpieczeństwa.
Co konkretnie zmieniają nowe przepisy?
- Cyberhigiena i szkolenia stają się obowiązkowym elementem systemu zarządzania bezpieczeństwem informacji. Podmioty kluczowe i ważne muszą zapewnić pracownikom stałą edukację i wdrażać codzienne praktyki cyberhigieny — nie jednorazowo, lecz systemowo.
- Kierownik podmiotu odpowiada osobiście za realizację zadań z zakresu cyberbezpieczeństwa i sam musi co roku przejść szkolenie. Za zaniedbania grożą mu kary finansowe, a w skrajnych przypadkach nawet zakaz pełnienia funkcji zarządczych.
- Do 3 października 2026 r. samoidentyfikacja i wpis do wykazu podmiotów. Do 3 kwietnia 2027 r. pełne wdrożenie wymogów. Od kwietnia 2028 r. audyty i egzekucja kar.
Ustawa o KSC nie działa w próżni. Uzupełniają ją: art. 32 RODO (nieprzeszkolony personel to luka organizacyjna, za którą UODO wielokrotnie nakładał kary), rozporządzenie o Krajowych Ramach Interoperacyjności (od lat zobowiązujące administrację do szkoleń z bezpieczeństwa informacji).
Biznes i administracja: dwa światy, ten sam przeciwnik
W biznesie stawką jest ciągłość działania i pieniądze. CERT Polska odnotował w 2025 roku 179 ataków ransomware — statystycznie co drugi dzień jakaś polska organizacja traciła dostęp do własnych danych. Do tego oszustwa „na fakturę” i podmianę numeru konta, w których jeden nieuważny pracownik księgowości potrafi kosztować firmę setki tysięcy złotych. Nowelizacja UKSC obejmuje przy tym znacznie szerszy krąg firm — od energetyki i transportu po produkcję, usługi ICT i gospodarkę odpadami. Wiele średnich przedsiębiorstw po raz pierwszy podlega twardym obowiązkom i często jeszcze o tym nie wie.
W administracji publicznej stawką jest zaufanie obywateli i ciągłość usług państwa. Sparaliżowany urząd to niewydane dowody, wstrzymane świadczenia i dane mieszkańców w rękach przestępców. To zarazem sektor o najskromniejszych budżetach na bezpieczeństwo — tym bardziej warto inwestować tam, gdzie zwrot jest najwyższy: w ludzi. Godzina dobrego szkolenia kosztuje ułamek tego, co obsługa jednego incydentu.
Zmiana nawyków
Różnica między szkoleniem, które spełnia wymóg formalny, a takim, które realnie zmienia zachowania, jest ogromna. Kilka zasad, które w praktyce robią różnicę:
- Kontrolowana kampania phishingowa uczy więcej niż godzinny wykład. Kto raz „kliknął” w bezpiecznych warunkach i od razu zobaczył, co przeoczył, drugi raz się zawaha. To trening odruchu, nie transfer wiedzy.
- Mózg zapomina — nawyk wymaga powtórzeń i świeżych przykładów z bieżących kampanii przestępców.
- Scenariusze pod konkretne role. Księgowa dostaje fałszywe faktury, kadry — CV ze złośliwym załącznikiem, sekretariat urzędu — pisma „z ministerstwa”. Szkolenie generyczne to szkolenie ignorowane.
- Pracownik, który boi się przyznać do kliknięcia, zgłosi incydent za późno. Albo wcale. W cyberbezpieczeństwie minuty decydują o skali strat.
- Odsetek kliknięć w symulacjach, czas zgłoszenia incydentu, liczba raportowanych maili. To realne KPI cyberhigieny i konkretny materiał dla audytora oraz organu nadzoru.
Od czego zacząć?
- Sprawdź, czy podlegasz ustawie. Samoidentyfikacja i wpis do wykazu to obowiązek z terminem do 3 października 2026 r. Brak zgłoszenia może skutkować wpisem z urzędu — i gorszą pozycją startową.
- Porównaj obecny stan (procedury, szkolenia, reagowanie na incydenty) z wymogami ustawy. Certyfikat ISO 27001 w szufladzie to za mało.
- Zaplanuj program budowania nawyków, a nie pojedyncze szkolenie.
Przepisy dały nam ramy i motywację — czasem w postaci kar. Ale prawdziwym celem nie jest zgodność na papierze, tylko organizacja, w której pracownik odruchowo zatrzymuje się przed kliknięciem. Taką odporność buduje się miesiącami, a traci jednym mailem.