CISO ma oceniać ryzyko, ale decyzja zostaje po stronie zarządu

12 października 2026 13:00|Autor: Redakcja QUASA|5 min czytania| 1

W relacji BBN z General Assembly 2026 CISO #Poland, które odbyło się 8 października 2026 r. w Belwederze, gen. bryg. rez. Andrzej Kowalski, zastępca szefa Biura Bezpieczeństwa Narodowego, ujął sens proponowanego podziału słowami: „Nie chodzi o rywalizację stanowisk”. W przedstawionym przez niego modelu CISO ocenia bezpieczeństwo, ryzyko i gotowość do reagowania, CIO i CTO odpowiadają za środowisko informacyjne i technologiczne, CFO pomaga zapewnić finansowanie, a zarząd decyduje, jakie ryzyko organizacja przyjmuje i jakie zdolności musi utrzymać.

Kancelaria Prezydenta RP podaje, że konferencję zorganizowano we współpracy z Fundacją CISO #Poland, prowadził ją prezes fundacji Andrzej Bartosiewicz, a zainicjowała Rada Nowych Technologii i Cyfryzacji przy Prezydencie RP. Celem spotkania było przedstawienie rekomendacji dla prezydenta Karola Nawrockiego. Rada zapowiedziała przygotowanie i przekazanie mu propozycji działań, w tym zmian legislacyjnych dotyczących cyberbezpieczeństwa. Zapowiedź dotyczy przyszłych propozycji, a przedstawiony na konferencji podział ról nie stał się przez to przepisem.

Co w modelu Kowalskiego ocenia CISO, a o czym rozstrzyga zarząd

Ocena ryzyka ma dostarczyć zarządowi podstaw do decyzji, lecz sama nie jest zgodą na poniesienie możliwych skutków incydentu. CISO opisuje stan zabezpieczeń i gotowość organizacji: które zdarzenia mogą zakłócić działalność, jakie byłyby ich skutki oraz jak można je ograniczyć. Zarząd waży te informacje wraz z potrzebami organizacji i rozstrzyga, jaki poziom ryzyka pozostanie po wybranych działaniach.

W tej ocenie potrzebna jest wiedza CIO i CTO o działaniu systemów oraz o skutkach proponowanych zmian. Odcięcie podatnej usługi może zmniejszyć zagrożenie, ale jednocześnie przerwać proces, od którego zależą klienci lub pracownicy. CFO pomaga ustalić, jakie środki można przeznaczyć na ograniczenie ryzyka i utrzymanie zdolności do reagowania. Rozmowa o kosztach ma więc dotyczyć konkretnych wariantów działania i ich konsekwencji, a nie samej kwoty wydatku na bezpieczeństwo.

Przykładowa macierz RACI dla incydentu

Podział przedstawiony w Belwederze można przełożyć na macierz RACI dla organizacji, w której funkcje CISO, CIO, CTO i CFO są rozdzielone. R oznacza wykonanie zadania, A — odpowiedzialność za jego wynik lub decyzję, C — udział w konsultacji, a I — otrzymanie informacji. Poniższy układ jest przykładem redakcyjnym dla incydentu wpływającego na działanie istotnej usługi, a nie schematem ogłoszonym jako obowiązkowy.

Ocena incydentu i ryzyka: CISO przygotowuje ocenę zagrożenia, możliwego wpływu na działalność i gotowości do reakcji (R i A za ocenę). CIO i CTO dostarczają dane o dotkniętych systemach oraz możliwych ograniczeniach technicznych (C). Zarząd otrzymuje ocenę, gdy skala skutków wymaga decyzji na jego poziomie (I).
Zmiany w środowisku: CIO albo CTO — zależnie od odpowiedzialności za daną usługę — organizuje wykonanie działań technicznych (R i A za ich realizację). CISO ocenia wpływ tych działań na bezpieczeństwo (C), a druga funkcja techniczna jest konsultowana, jeżeli zmiana obejmuje jej obszar.
Finansowanie: CFO przygotowuje warianty kosztowe i wskazuje możliwości zapewnienia środków (R). CISO wyjaśnia skutki pozostawienia ryzyka, a CIO lub CTO zakres potrzebnych zmian (C). Zarząd odpowiada za wybór priorytetów i zatwierdzenie środków wymagających jego decyzji (A).
Przyjęcie ryzyka: zarząd podejmuje i dokumentuje decyzję o ryzyku pozostającym po zaplanowanych działaniach oraz o zdolnościach, które organizacja ma utrzymać (R i A). CISO przedstawia aktualną ocenę (C), a CIO, CTO i CFO otrzymują rozstrzygnięcie potrzebne do wykonania swoich zadań (I).

Rozdzielenie tych czynności pozwala wskazać, kto odpowiada za jakość oceny, kto może zmienić działanie systemu, kto przygotowuje finansowanie i kto akceptuje ryzyko dla organizacji. W mniejszej firmie jedna osoba może pełnić kilka funkcji, ale sama decyzja o przyjęciu ryzyka nadal powinna być odróżniona od technicznej rekomendacji. Takie przypisanie ról pomaga też ustalić, kiedy sprawa wymaga eskalacji, zamiast zakładać, że każdy wybór operacyjny musi trafić do całego zarządu.

Kiedy incydent i wydatek trafiają do zarządu

Próg eskalacji ma znaczenie zwłaszcza wtedy, gdy ograniczenie zagrożenia wymaga dodatkowych środków albo zakłóci istotną usługę. Zespół techniczny może wykonywać działania przewidziane w procedurach i przyznanych mu uprawnieniach. Gdy decyzja wykracza poza te uprawnienia, zarząd potrzebuje informacji o wpływie incydentu na działalność, dostępnych wariantach, ich kosztach oraz ryzyku, które pozostanie po wdrożeniu każdego z nich.

Przykładowo, jeśli utrzymanie usługi oznacza dalsze korzystanie z podatnego systemu, CISO powinien opisać skutki takiego wyboru, CIO lub CTO — możliwość ograniczenia podatności i wpływ zmian na usługę, a CFO — koszt dostępnych wariantów. To przykład sposobu zastosowania modelu, nie opis rzeczywistego incydentu. Udokumentowane rozstrzygnięcie zarządu pozwala później ustalić, jakie ryzyko zostało świadomie przyjęte, na jakiej podstawie i kto miał wykonać uzgodnione działania.

Propozycja z Belwederu a obowiązki wynikające z KSC

Dla podmiotów kluczowych i ważnych istnieje już odrębny punkt odniesienia w prawie. Rządowe omówienie wymagań KSC wskazuje na systematyczne, udokumentowane zarządzanie cyberbezpieczeństwem oparte na analizie ryzyka. Obejmuje ono między innymi określenie ról i odpowiedzialności, zasady postępowania przy incydentach oraz nadzór kierownictwa nad zarządzaniem ryzykiem. Obowiązki konkretnej organizacji zależą od tego, czy i w jakim zakresie podlega ona tym przepisom.

Model zaprezentowany w Belwederze porządkuje współpracę osób odpowiedzialnych za bezpieczeństwo, technologię, finanse i decyzje biznesowe. Nie ustanawia jednej ustawowej macierzy RACI dla wszystkich polskich firm. Treść zapowiedzianych przez Radę propozycji pokaże, czy planuje ona zmianę formalnych obowiązków tych osób, czy przede wszystkim sposób ich współpracy.

Przeczytaj także:

Udostępnij: