Koniec taryfy ulgowej. Resort cyfryzacji zapowiada piętnowanie firm lekceważących ochronę w sieci

Firmy oszczędzające na zabezpieczeniach informatycznych muszą przygotować się na zmianę podejścia państwa. Wicepremier i minister cyfryzacji Krzysztof Gawkowski podczas konferencji Cyber24 Days ogłosił, że administracja przestanie ograniczać się do łagodnych zaleceń. Zaniedbania mają być ujawniane opinii publicznej, a nazwy firm odpowiedzialnych za incydenty podawane wprost. 

Krajowy System Cyberbezpieczeństwa obejmie ponad milion podmiotów 

Ministerstwo kończy prace nad wykazem przedsiębiorstw i instytucji, które znajdą się w Krajowym Systemie Cyberbezpieczeństwa. Skala zmiany jest ogromna: w 2025 roku nadzorem KSC objętych było około tysiąca firm, a docelowo liczba ta ma przekroczyć milion.  

Odpowiedzialność za ochronę danych obejmie więc kolejne sektory gospodarki. Gawkowski ocenił, że w obszarze administracji i wojska Polska należy dziś do najlepiej zabezpieczonych państw Europy. 

Państwo inwestuje, sektor prywatny zostaje w tyle 

Minister przekonywał, że krajowe systemy odpierają ponad 99 proc. cyberataków wymierzonych w Polskę. Wydatki państwa na ten cel przekraczają już 5 mld zł, a ramy działań wyznacza przyjęta w 2026 roku Strategia Cyberbezpieczeństwa Polski. W wielu prywatnych przedsiębiorstwach ochrona systemów trafia jednak na koniec listy wydatków. 

Gawkowski przyznał, że administracja zbyt słabo naciskała dotąd na biznes i zbyt rzadko przypominała mu o współodpowiedzialności za bezpieczeństwo w sieci. Skutkiem są kolejne ataki na słabo chronione firmy i ich realne straty. 

Nowa doktryna: jawność zamiast rekomendacji 

Dotychczas państwo stawiało głównie na przewodniki i zalecenia. Zdaniem ministra to podejście nie zadziałało, dlatego resort zmienia strategię. Firmy, które nie zabezpieczyły swoich klientów, mają być publicznie wskazywane, a społeczeństwo ma otrzymywać informacje o tym, kto odpowiada za konkretne incydenty. 

Zapowiedź dotyczy wszystkich branż – od rolnictwa i sportu, przez usługi administracyjne, aż po sektor medyczny. Obawy przedsiębiorców o wizerunek marki nie wpłyną na tę decyzję. 

Odpowiedzialność, której nie da się przerzucić 

Wicepremier porównał cyberbezpieczeństwo do ochrony fizycznej: państwo nie przydzieli każdej firmie policjanta, a mimo to przedsiębiorcy montują kamery. Podobnej logiki oczekuje w świecie cyfrowym. Administracja może wskazać potrzebne działania, przygotować programy wsparcia i źródła finansowania. 

Nie zmieni jednak za przedsiębiorcę haseł, nie włączy uwierzytelniania dwuskładnikowego, nie wykona kopii zapasowych ani nie załata luk w oprogramowaniu. Firmy inwestujące w reklamę kosztem ochrony systemów nie mogą liczyć na pobłażliwość. Skuteczna obrona przed atakami wymaga bowiem wkładu każdego uczestnika rynku.