Cyberbezpieczeństwo jeszcze nigdy nie było tak mocno regulowane i jednocześnie tak słabo uporządkowane organizacyjnie. Paradoks obecny od około dwóch ostatnich lat polega na tym, że Unia Europejska produkuje kolejne akty prawne szybciej, niż zarządy firm są w stanie zrozumieć ich praktyczne konsekwencje. NIS 2, DORA, CRA, wytyczne ENISA, krajowe nowelizacje ustaw – wszystko to tworzy gęstą sieć obowiązków, które coraz wyraźniej przestają dotyczyć wyłącznie działów bezpieczeństwa. Problem polega jednak na tym, że powszechnie regulacje te interpretowane są jako podstawa do prowadzenia rozszerzonego audytu IT, podczas gdy ich rzeczywisty sens jest znacznie głębszy.

Najlepiej widać to na przykładzie NIS  2. Dyrektywa ta postrzegana jest głównie jako kolejna lista obowiązków: raportowanie incydentów, analiza ryzyka, zabezpieczenia techniczne, odpowiedzialność kierownictwa. Tymczasem najważniejsza wprowadzona przez nią zmiana jest znacznie bardziej fundamentalna. NIS 2 jest pierwszą regulacją, która tak wyraźnie wskazuje, że cyberbezpieczeństwo ma być elementem zarządzania firmą, a nie wyłącznie domeną administratorów i działów SOC. To właśnie dlatego dyrektywa ta zakłada odpowiedzialność kadry kierowniczej oraz możliwość nakładania sankcji za zaniedbania organizacyjne, a nie tylko techniczne.

Polski kontekst dobrze pokazuje, jak trudna okazała się ta zmiana. Sama implementacja NIS 2 do krajowego porządku prawnego przeciągała się miesiącami, a Komisja Europejska wysłała do Polski uzasadnione ponaglenia za brak terminowej transpozycji dyrektywy. Jeszcze ciekawsze jest jednak to, co działo się wokół kolejnych wersji projektu nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Liczne poprawki dotyczyły nie tyle kwestii stricte technicznych, ile mechanizmów nadzoru, klasyfikacji podmiotów i odpowiedzialności instytucjonalnej. Największym problemem okazało się nie „jak zabezpieczać”, lecz „kto i według jakich zasad ma tym zarządzać”.

To zresztą obnaża największą słabość europejskiego podejścia do cyberbezpieczeństwa. Regulacje zakładają istnienie dojrzałych modeli zarządzania ryzykiem, tymczasem wiele podmiotów nadal funkcjonuje reaktywnie. Organizacja ENISA od miesięcy zwraca uwagę, że część przedsiębiorstw z branż uznawanych za krytyczne (w tym administracja publiczna, ochrona zdrowia czy operatorzy usług ICT), ma problem nawet z podstawowym wdrożeniem wymogów NIS 2. W efekcie dyrektywa ta coraz częściej pełni funkcję regulacji wymuszającej inwentaryzację chaosu w firmach. Wiele z nich dopiero teraz odkrywa, że nie ma kompletnej wiedzy o swoich zasobach, zależnościach czy dostawcach usług.

W praktyce to właśnie ryzyko związane z obszarem współpracy z podmiotami zewnętrznymi staje się obecnie najtrudniejszym elementem nowych regulacji – skierowana do instytucji finansowych DORA poświęca mu aż siedemnaście artykułów. To nie przypadek, ponieważ europejscy regulatorzy zrozumieli, że współczesne podmioty coraz rzadziej kontrolują własną infrastrukturę w klasycznym sensie. Korzystają z chmury, aplikacji SaaS, zewnętrznych integratorów, usług zarządzanych i dziesiątek interfejsów API. Problem jednak polega na tym, że wiele firm nadal nie potrafi nawet jednoznacznie odpowiedzieć, od których dostawców faktycznie zależy ciągłość ich działania.

W tym sensie DORA jest prawdopodobnie znacznie ciekawszą regulacją niż NIS 2. Nie skupia się wyłącznie na bezpieczeństwie rozumianym jako ochrona przed atakiem. Jej fundamentem jest zapewnienie zdolności firm do utrzymania działania mimo zakłóceń (operational resilience), a to subtelna, ale bardzo istotna różnica. Regulacja zakłada, że incydenty są nieuniknione, kluczowe jest więc czy firma będzie potrafiła funkcjonować w warunkach stresu towarzyszącego każdemu kryzysowi. Przesuwa ciężar w stronę zdolności operacyjnej: testowania odporności, planów wyjścia od dostawców, oceny koncentracji ryzyka czy utrzymania ciągłości działania.

To właśnie w powyższym zakresie wiele firm wpada w pułapkę określaną jako compliance theater (udawanie zgodności z regulacjami). Powstają kolejne reguły polityki, matryce ryzyka i procedury raportowe, ale rzeczywista odporność operacyjna pozostaje niezweryfikowana. Szczególnie widoczne jest to w branżach silnie regulowanych, gdzie jako główny miernik bezpieczeństwa przez lata funkcjonowała zgodność formalna – dokument może być zgodny z regulacją, a firma nadal może być kompletnie nieprzygotowana na incydent. W tle pozostaje jeszcze jeden problem: według danych przywoływanych w analizach dotyczących inwestycji związanych z NIS 2, zdecydowana większość firm ma trudności z pozyskaniem i utrzymaniem specjalistów cyberbezpieczeństwa. Tymczasem rynek od lat nieustannie cierpi na chroniczny deficyt kompetencji operacyjnych.

Dlatego największym błędem byłoby dziś traktowanie rozporządzeń NIS 2 czy DORA wyłącznie jako projektów prawnych. W rzeczywistości są one próbą wymuszenia zmiany modelu działania przedsiębiorstw. Europa zrozumiała, że cyberbezpieczeństwo nie może być dłużej zbiorem rozwiązań wdrażanych punktowo po kolejnych incydentach. Problem polega na tym, że znaczna część rynku nadal funkcjonuje właśnie w taki sposób — reaktywnie, fragmentarycznie i bez pełnej kontroli nad własnym środowiskiem. I być może właśnie dlatego obecna fala regulacji budzi tak duży opór. Najtrudniejsze okazuje się coś znacznie bardziej niewygodnego niż wdrażanie nowych rozwiązań: konieczność uporządkowania rzeczywistości, która przez lata była skutecznie maskowana kolejnymi warstwami narzędzi, procedur i deklaracji o „wysokiej dojrzałości cyberbezpieczeństwa”.