Bezpieczeństwo nie kończy się na drzwiach Twojej firmy

Przez wiele lat cyberbezpieczeństwo było traktowane jako coś, co dzieje się w środku organizacji. Chroniliśmy własne systemy, porządkowaliśmy dostęp do danych, szkoliliśmy pracowników i wdrażaliśmy procedury. To, co działo się poza firmą, u dostawców, partnerów czy podwykonawców, pozostawało ważne, ale było postrzegane jako osobny obszar odpowiedzialności.

Dyrektywa NIS2 wyraźnie zmienia ten sposób myślenia. Zamiast patrzeć na bezpieczeństwo pojedynczej organizacji, zaczyna patrzeć na cały ekosystem powiązań. W tym podejściu firma nie funkcjonuje w oderwaniu od innych i staje się częścią większej sieci zależności. A skoro tak, to bezpieczeństwo musi obejmować nie tylko to, co jest u nas, ale także to, od czego zależy nasza działalność.

Jedno ogniwo wystarczy, żeby wszystko przestało działać

W praktyce bardzo łatwo zobaczyć, jak działa ten mechanizm. Organizacja może być dobrze przygotowana, mieć wdrożone zabezpieczenia, uporządkowane procedury i przeszkolony zespół. A mimo to wystarczy jeden problem u dostawcy, żeby zatrzymać jej działanie.

Niedostępność systemu w chmurze, incydent bezpieczeństwa po stronie firmy IT czy awaria platformy, na której opiera się biznes – wszystkie te sytuacje prowadzą do tego samego efektu: usługa przestaje działać.

I w tym momencie nie ma większego znaczenia, kto faktycznie zawinił. Z perspektywy klienta końcowego odpowiedzialność spada na organizację, która tej usługi nie była w stanie dostarczyć. To właśnie dlatego NIS2 przyjmuje prostą zasadę – jeżeli Twoja działalność zależy od dostawcy, to ryzyko związane z nim staje się Twoim ryzykiem.

Zależności, których często nie widać

Największe wyzwanie polega na tym, że wiele tych zależności nie jest oczywistych. Dziś ogromna część infrastruktury i procesów funkcjonuje w modelu usługowym. Systemy księgowe działają w chmurze, narzędzia do zarządzania relacjami z klientami są dostarczane przez zewnętrzne platformy, a kopie zapasowe przechowywane są poza organizacją.

Każde z tych rozwiązań upraszcza codzienną pracę, ale jednocześnie tworzy zależność. I to właśnie te zależności trzeba zidentyfikować i zrozumieć. Bo dopóki organizacja nie wie, od czego naprawdę jest uzależniona, nie jest w stanie właściwie ocenić swojej odporności.

Ciągłość działania zaczyna się poza organizacją

To podejście szczególnie wyraźnie widać w kontekście ciągłości działania. Wiele firm przygotowuje scenariusze awaryjne, ale skupia się głównie na tym, co wydarzy się wewnątrz organizacji. Tymczasem w praktyce najtrudniejsze pytania pojawiają się tam, gdzie kończy się bezpośrednia kontrola.

Co się stanie, jeśli przestanie działać dostawca kluczowej usługi?

Czy istnieje alternatywa?

Jak długo firma jest w stanie funkcjonować bez tego rozwiązania?

W wielu przypadkach okazuje się, że rzeczywiste ryzyko nie leży w systemach organizacji, ale w jej zależnościach.

Weryfikacja dostawcy to coś więcej niż formalność

W praktyce wiele organizacji ogranicza ocenę dostawców do etapu rozpoczęcia współpracy. Sprawdza się certyfikaty, formalne deklaracje czy zgodność z normami. To ważne, ale niewystarczające.

NIS2 przesuwa akcent na coś znacznie bardziej praktycznego. Kluczowe staje się pytanie, jak dostawca zachowa się w sytuacji problemu. Czy ma procedury reagowania na incydenty, czy potrafi odtworzyć dane, czy zapewnia ciągłość działania usług.

Innymi słowy, czy w krytycznym momencie będzie elementem rozwiązania, czy dodatkowym źródłem problemu.

Największy błąd: „to nie nasze, to dostawcy”

Jednym z najczęściej spotykanych podejść jest przekonanie, że skoro coś znajduje się po stronie dostawcy, to odpowiedzialność również należy do niego. To intuicyjne, ale niezgodne z logiką NIS2.

Dostawca faktycznie odpowiada za swoją usługę. Ale organizacja odpowiada za efekt biznesowy – za to, że usługa działa lub przestaje działać.

To oznacza, że wybór dostawcy, brak jego weryfikacji czy brak planu działania w sytuacji awarii nie są problemami zewnętrznymi. To są decyzje organizacyjne. I dokładnie jako takie są oceniane.

Najważniejszy wniosek

NIS2 nie wymaga pełnej kontroli nad dostawcami. Wymaga natomiast czegoś znacznie ważniejszego – świadomości i przygotowania.

Organizacja powinna rozumieć swoje zależności, znać ryzyka z nimi związane i być gotowa na sytuację, w której coś pójdzie nie tak.

Bo dziś bezpieczeństwo nie polega tylko na tym, co dzieje się „u Ciebie”. Polega na tym, czy jesteś w stanie działać dalej nawet wtedy, gdy zawiedzie ktoś, na kim polegasz.