3:47 nad ranem, korytarz oddziału rehabilitacji

Pierwszego kwietnia 2026 r., w nocy z poniedziałku na wtorek, dyżurny administrator Świętokrzyskiego Centrum Rehabilitacji w Czarnieckiej Górze odbiera połączenie z dyżurki pielęgniarek. Pielęgniarka nie ma dostępu do systemu HIS - ekran pokazuje tylko notatkę po angielsku i adres skrzynki .onion. Administrator dzwoni do dyrektora medycznego, dyrektor do prezesa, prezes do koordynatora ochrony zdrowia.

O godzinie 5:30 do furtki podjeżdża pierwsza karetka z pacjentem ze skierowaniem na ostry oddział rehabilitacji kardiologicznej; pielęgniarka informuje załogę, że dziś przyjęcia są ręczne. Kolejnego dnia, 2 kwietnia 2026 r., na stronie BIP placówki ukazuje się oficjalny komunikat: „zdarzenie naruszające bezpieczeństwo informacji" w postaci ransomware z dnia 31 marca 2026 r., które objęło dokumentację medyczną pacjentów, dane personelu - w tym PESEL - oraz dane finansowe. Komunikat zawiera zgłoszenie do UODO, do organów ścigania i do sektorowego CSIRT-u.

Sześć tygodni później, w trzecim tygodniu maja 2026 r., siedem polskich placówek medycznych pracuje w trybie awaryjnym po atakach ransomware. Cztery z tych ataków - wszystkie wykonane w okresie dwudziestu pięciu dni między początkiem marca a początkiem kwietnia - uderzyły kolejno w szpital w Szczecinie, w Bonifraterskie Centrum Medyczne, w placówkę w Raciborzu i wreszcie w Centrum w Czarnieckiej Górze. To nie jest pech. To skoordynowana kampania, której wzorzec - chemiczny ślad ofiary, taktyka napastnika, sekwencja błędów organizacyjnych - powtarza się w każdej z tych spraw.

Ale ransomware wiosny 2026 r. to nie tylko ochrona zdrowia. Osiemnastego marca, między godziną dwudziestą drugą a północą, ten sam mechanizm - szyfrowanie + eksfiltracja + nota okupu - uderza w Urząd Miasta w Myszkowie, dwudziestoośmiotysięczne miasto powiatowe na pograniczu śląsko-jurajskim. Wicepremier i minister cyfryzacji Krzysztof Gawkowski w ciągu doby publikuje na profilu rządowym komunikat o uruchomieniu procedur kryzysowych; mieszkańcy dostają rekomendację zablokowania numeru PESEL w aplikacji mObywatel.

W połowie kwietnia atak uderza w infrastrukturę Uniwersytetu Warszawskiego - na darknetowych marketplace'ach pojawia się paczka 33 tysięcy plików z danymi studentów, kandydatów i pracowników. Niemal w tym samym czasie grupa „The Gentleman" w jednym poście listuje trzy polskie firmy jako ofiary, z zapowiedzią publikacji eksfiltrowanych danych w drugiej połowie stycznia. Suma tych zdarzeń - niezależnych medialnie, splecionych ze sobą metodologicznie - układa się w obraz, którego nie da się zignorować.

Niżej staramy się ten obraz zwymiarować, opisać i - co najważniejsze - wyciągnąć z niego coś, co da się przełożyć na konkretną listę działań zarządu w pozostałych dniach maja i w czerwcu.

Liczby, które warto przytoczyć przed pierwszym slajdem dla zarządu

CERT Polska w raporcie rocznym za rok 2025, opublikowanym 8 kwietnia 2026 r. podczas konferencji SECURE 2026, podaje liczby, których skala nawet w branży zaskakuje. W 2025 r. odnotowano 179 ataków ransomware - wobec 163 w 2024 r. - przy jednoczesnym wzroście liczby unikalnych incydentów bezpieczeństwa o 152% (do 260 783) i 10-procentowym wzroście wszystkich zgłoszeń (do 658 320). Sam styczeń 2026 r. przyniósł 48,1 tys. zgłoszeń i 19,4 tys. unikalnych incydentów - co w prostej ekstrapolacji oznacza, że pierwsza połowa 2026 r. zamknie się znacząco powyżej całorocznych wyników 2024 r.

Drugie zestawienie - pochodzące z analiz Bitdefendera i polskich integratorów obsługujących sektor MŚP - pokazuje koszt operacyjny ataku z perspektywy firmy zatrudniającej od pięćdziesięciu do dwustu osób: 350 tysięcy do 1,5 miliona złotych łącznego kosztu pojedynczego incydentu. W tej liczbie ujętych jest dziewięć dni mediany przestoju operacyjnego (a więc utrata przychodu × dni), 60–160 tys. zł na analizę powłamaniową, 40–100 tys. zł na koszty obsługi prawnej i powiadomień RODO oraz reinstalację infrastruktury.

Do tej arytmetyki - ważne - nie wliczone są kary administracyjne z reżimu NIS-2 ani utrata kontraktów wskutek odejścia klientów. Czterdzieści sześć procent polskich MŚP w badaniach branżowych przyznaje, że padło ofiarą ransomware'u - choć w realnym świecie ta liczba jest niedoszacowana, bo część przedsiębiorstw nie zgłasza incydentu ani do CSIRT, ani do UODO.

Trzecia liczba - najbardziej niewygodna w rozmowach z zarządami - pochodzi z naszej własnej obserwacji projektów wdrożeniowych KSC 2.0. Spośród około czterdziestu rozmów diagnostycznych przeprowadzonych w pierwszych dwóch miesiącach po wejściu nowelizacji w życie, ponad połowa podmiotów ewidentnie ważnych lub kluczowych w rozumieniu UKSC nie ma działającej procedury obsługi incydentu. Bywa, że jest „polityka obsługi incydentów" w formie pliku PDF na intranecie - ale bez ścieżki decyzyjnej, bez gotowego adresu CSIRT-u, bez ćwiczenia stołowego, bez listy kontaktowej do dostawcy backupów. W realnym czterogodzinnym oknie szyfrowania ta polityka nie istnieje.

Pięć cech ofiary - wzorzec z marca 2026 r.

Analiza komunikatów po incydentach z marca i kwietnia 2026 r. wskazuje na powtarzający się profil podmiotu, który padł ofiarą. Pięć cech, które łącznie tworzą sylwetkę ofiary - i każda z nich opisuje jednocześnie konkretną lukę do zamknięcia.

Pierwsza cecha - niejednorodna i niezarządzana centralnie infrastruktura. Placówka medyczna z systemem HIS na dwunastoletnim Windows Serverze, sąsiadująca z chmurą Microsoft 365 i osobnym systemem do laboratoryjnego raportu. Urząd miasta z systemem dziedzinowym kupionym dziewięć lat temu, w którym uwierzytelnianie domenowe leży obok systemu OPS-u skonfigurowanego osobno. Firma usługowa, która kupiła rozwiązanie ERP w 2014 r. i nigdy nie przeprowadziła migracji do chmury, ale dorzuca do tego ekosystemu cztery aplikacje SaaS - każdą z osobnym kontem administracyjnym. Tej heterogeniczności nie da się szybko zabezpieczyć; napastnik wykorzystuje pęknięcie między dwoma reżimami uwierzytelniania.

Druga cecha - uwierzytelnianie nieadekwatne do rozmiaru organizacji. Brak MFA dla kont administracyjnych. Hasła współdzielone w arkuszu kalkulacyjnym na dysku sieciowym. Konto „admin" z domyślnym hasłem dostawcy systemu, niezmienione od wdrożenia. Dostęp zdalny przez RDP wystawiony bezpośrednio na adres publiczny (sic!), z opcjonalnym VPN-em, który nie był aktualizowany przez osiemnaście miesięcy. To są elementy, które w 2026 r. - po pięciu latach mówienia o tym we wszystkich kanałach - wciąż są codziennością w jednostkach, w których cyberbezpieczeństwo nie ma właściciela.

Trzecia - backup, który nie jest backupem. Backup wykonywany jest, fakt, ale w tej samej domenie, na tym samym podsystemie pamięci masowej i z tymi samymi poświadczeniami administracyjnymi co dane produkcyjne. Atakujący po przejęciu domeny w trzecim ruchu kasuje backup, w czwartym szyfruje produkcję. Trzy z czterech szpitali z marca 2026 r. - według publicznie dostępnych komunikatów - straciły dostęp do kopii zapasowych w tej samej sekwencji co do danych podstawowych. Brak immutable storage (kopii niezmiennych, których nie da się skasować przez kilkanaście dni nawet z poziomu konta administracyjnego), brak air-gapped backup (kopii fizycznie odłączonej od sieci), brak kopii off-site w innym reżimie uwierzytelniania.

Czwarta - brak segmentacji sieci. Z perspektywy ataku, sieć płaska - w której każdy port w gabinecie sąsiaduje logicznie z serwerem aplikacyjnym i z domeną - to autostrada dla ruchu bocznego (lateral movement). Po przejęciu pojedynczej stacji roboczej napastnik dostaje cały krajobraz: serwery, dostępne udziały, kontrolery domeny. W reżimie ISO/IEC 27001:2022 segmentacja sieci jest jednym z kluczowych zabezpieczeń kontroli A.8.22, ale w praktyce - w średniej placówce ochrony zdrowia i w średnim urzędzie - pozostaje na papierze, bo wymaga reorganizacji infrastruktury, której nikt nie chce robić bez wymuszenia.

Piąta - model „dyrektor odpowiada za wszystko, nikt nie odpowiada za nic". W większości jednostek dotkniętych ransomware'em wiosny 2026 r. nie była powołana osoba odpowiedzialna za cyberbezpieczeństwo na poziomie operacyjnym; funkcję pełnomocnika ds. bezpieczeństwa informacji łączono z inną rolą (IOD, kierownik IT, sekretarz urzędu), a rola CISO nie istniała. Konsekwencja w pierwszych godzinach po szyfrowaniu jest dramatyczna - nikt nie ma uprawnień do podjęcia decyzji, nikt nie wie, do którego CSIRT-u dzwonić, każdą minutę traci się na proceduralną wymianę zdań między dyrektorem, prawnikiem i szefem informatyki.

Anatomia trzech ataków - w trybie wnioskowania, nie spekulacji

O Świętokrzyskim Centrum Rehabilitacji wiemy oficjalnie, że atak miał miejsce 31 marca 2026 r. i objął systemy z dokumentacją medyczną oraz dane osobowe pacjentów i personelu - w tym dane identyfikacyjne (PESEL) i dane finansowe. Komunikat placówki nie ujawnia nazwy operatora ransomware, sposobu wejścia ani żądanej kwoty.

Z publicznie dostępnych obserwacji można jednak wnioskować o typowym profilu: wektor wejścia to najprawdopodobniej phishing skierowany do personelu administracyjnego (faktura PDF lub załącznik HR), wykorzystanie braku MFA na koncie domenowym, skok do kontrolera domeny w ciągu pierwszych dwunastu godzin, rozprowadzenie payloadu w nocy z 30 na 31 marca, równoległa eksfiltracja danych przed szyfrowaniem (model „double extortion"). W tym modelu sama płatność okupu nie usuwa ryzyka publikacji; dane są już poza siecią placówki przed pierwszym zaszyfrowanym sektorem.

Atak na Urząd Miasta Myszków, zgodnie z komunikatami prasowymi z 18–19 marca 2026 r., dotknął całość infrastruktury IT obsługującej codzienną pracę urzędu. Wicepremier Krzysztof Gawkowski w komunikacie prasowym z 18 marca informował o uruchomieniu procedur kryzysowych i o wstępnej analizie incydentu wspólnie z CSIRT NASK. Mieszkańcy otrzymali rekomendację zablokowania PESEL w aplikacji mObywatel - co jest sygnałem, że ryzyko publikacji bazy mieszkańców było zaklasyfikowane jako realne, nie hipotetyczne.

Co istotne, w komunikatach pojawiała się informacja, że podstawowe usługi administracyjne - USC, ewidencja ludności, kasa - działały dalej w trybie awaryjnym, na papierze. To jest dobra wiadomość - i jednocześnie sygnał, że plan ciągłości działania na poziomie BCP klasy urzędniczej w Myszkowie istniał. Zła wiadomość - to, że klasa tego BCP została wymuszona dopiero w ostatnich latach przez wymogi krajowych ram interoperacyjności i pieniądze z programu „Cyberbezpieczny Samorząd".

Atak na Uniwersytet Warszawski jest pod względem charakterystyki innym typem incydentu - w komunikatach uczelni nacisk położony jest nie na szyfrowanie produkcji, ale na eksfiltrację danych (ok. 33 tys. plików dostępnych później w darknecie). To również ransomware w wariancie double extortion, ale z głównym wektorem nacisku skierowanym na publikację, nie na paraliżację działania. Ta zmienna charakterystyka - szpital jest paraliżowany, urząd jest publicznie napiętnowany, uniwersytet jest publicznie ujawniany - pokazuje, że napastnicy precyzyjnie kalibrują presję pod typ ofiary.

Zegar NIS-2 - sześć decyzji w pierwszej dobie

Znowelizowana ustawa o KSC, która weszła w życie 3 kwietnia 2026 r., wprowadza dla podmiotów kluczowych i ważnych trójstopniowy schemat raportowania incydentu poważnego: wczesne ostrzeżenie w 24 godziny, zgłoszenie pełne w 72 godziny, raport końcowy w 30 dni. Z perspektywy nocnego dyżuru - niezależnie od tego, czy macie powołanego pełnomocnika ds. cyberbezpieczeństwa, czy nie - w pierwszej dobie po wykryciu szyfrowania trzeba podjąć sześć decyzji, których kolejność i wykonalność rozstrzyga to, co dla zarządu skończy się audytem powłamaniowym, a co - postępowaniem administracyjnym.

Decyzja pierwsza - czy to incydent poważny? Definicja ustawowa odsyła do trzech kryteriów: zakłócenie świadczenia usługi powyżej progu określonego w rozporządzeniu wykonawczym, naruszenie poufności danych osobowych mogące mieć skutki dla osób, których dane dotyczą, oraz spełnienie sektorowych kryteriów branżowych. Dla ransomware'u z eksfiltracją odpowiedź w 99% przypadków brzmi: tak. Tu pierwsza pułapka - nawet jeśli udało się odzyskać produkcję w godzinę, ale dane wypłynęły, jest to incydent poważny w rozumieniu UKSC i RODO.

Decyzja druga - kogo zawiadamiamy w 24 godzinach? Sektorowy CSIRT (CSIRT NASK dla większości podmiotów, CSIRT GOV dla administracji rządowej, CSIRT MON dla wojska i obrony) - wczesne ostrzeżenie z dostępnymi w danym momencie informacjami; UODO - jeżeli mogło dojść do naruszenia danych osobowych; organy ścigania - jeżeli decyzja zarządu jest taka (warto, niemal zawsze); ubezpieczyciel cyberryzyk - jeżeli polisa istnieje; sektorowy regulator - UKE, URE, KNF, jeżeli sektor obliguje. To jest pięć równoległych ścieżek zgłoszenia, każda z własnym kanałem i formularzem.

Decyzja trzecia - czy płacimy okup? W praktyce odpowiedzią powinno być „nie", z trzech powodów: po pierwsze, płatność nie gwarantuje przywrócenia danych; po drugie, każda wpłata zasila ekosystem przestępczy i indukuje kolejne ataki na tę samą branżę; po trzecie, dla wielu grup ransomware'owych płatność może oznaczać naruszenie sankcji międzynarodowych (zwłaszcza wobec grup o domniemanych powiązaniach z Rosją). Tę decyzję trzeba podjąć jako zarząd, na piśmie, z udziałem radcy prawnego - nie improwizować jej o trzeciej w nocy.

Decyzja czwarta - czy zatrudniamy zewnętrzny zespół Incident Response? Dla większości podmiotów odpowiedź brzmi: tak, jeżeli wcześniej nie macie zakontraktowanego retainera, w pierwszych godzinach po wykryciu trzeba go pozyskać. Wybór firmy IR - z polskim oddziałem, gotowością przybycia w 24 godziny, doświadczeniem w forensyce ransomware'owej - to decyzja, która powinna być podjęta w czerwcu 2026 r., nie 1 kwietnia o trzeciej w nocy.

Decyzja piąta - komunikacja zewnętrzna. Pacjenci, mieszkańcy, klienci, partnerzy biznesowi, media. Tu największe ryzyko reputacyjne tkwi nie w samym fakcie ataku, ale w opóźnionej, niejasnej lub sprzecznej komunikacji. Pierwszy komunikat publiczny - najpóźniej w 48 godzin od wykrycia, w spójnej formie, z udziałem rzecznika prasowego i radcy prawnego. Szpital w Czarnieckiej Górze opublikował komunikat w trzydzieści dwie godziny po ataku - tempo, które przy pełnym sparaliżowaniu organizacji jest niezłe.

Decyzja szósta - co z osobami, których dane wypłynęły? Obowiązek informacyjny wynikający z art. 34 RODO uruchamia się przy wysokim ryzyku dla osób, których dane dotyczą. W przypadku PESEL-i, danych medycznych, danych finansowych - to ryzyko jest z definicji wysokie. Trzeba przygotować i wysłać indywidualne zawiadomienia w sposób umożliwiający identyfikację adresata; dla bazy kilkudziesięciu tysięcy mieszkańców czy pacjentów to operacja logistyczna na własnym poziomie skomplikowania.

Dwanaście działań zarządu przed wakacjami 2026 r.

Z perspektywy zarządu, który czyta nagłówki o Myszkowie i Czarnieckiej Górze i przekształca je w pytanie „a my?", proponujemy listę dwunastu działań możliwych do wykonania do końca czerwca 2026 r. Lista jest pomyślana jako sekwencja, nie jako menu - kolejność trzyma logikę „od decyzji organizacyjnych do detali technicznych".

Pierwsze - przyjęcie przez zarząd uchwały lub zarządzenia formalnie powołującego osobę odpowiedzialną za cyberbezpieczeństwo i przypisującego jej budżet operacyjny. Bez tego dokumentu wszystko inne pozostaje hobby pojedynczego zaangażowanego dyrektora.

Drugie - przegląd polisy cyberryzyk. Jeżeli polisa istnieje - sprawdzenie limitów, wyłączeń (zwłaszcza co do incydentów państwowych), retencji forensycznej, gotowości do reakcji w 24 godziny. Jeżeli polisy nie ma - wycena trzech wariantów u brokera specjalizującego się w cyberryzyku.

Trzecie - zawarcie retainera z firmą Incident Response. Forma najtańsza to czterocyfrowa kwota miesięcznie za gwarancję czasu reakcji; wariant z prowadzonym monitorowaniem (XDR/MDR) - w zakresie od piętnastu do trzydziestu tysięcy złotych miesięcznie dla średniego podmiotu.

Czwarte - segmentacja sieci. Nawet wersja minimalna: oddzielenie sieci administracji od sieci dla użytkowników, oddzielenie sieci serwerowej od sieci klienckiej, zamknięcie ruchu lateralnego między segmentami. Wykonalne w cztery–osiem tygodni z lokalnym integratorem.

Piąte - wprowadzenie MFA na wszystkich kontach administracyjnych i wszystkich kontach z dostępem do danych osobowych. To jest miara, dla której nie istnieje uzasadnienie do odraczania - koszt wdrożenia w skali typowej organizacji średniej to czterocyfrowa kwota.

Szóste - backup w architekturze 3-2-1-1-0 (trzy kopie, dwa nośniki, jedna kopia poza siedzibą, jedna kopia w trybie immutable, zero błędów po teście odtworzenia). Test odtworzenia - wykonany. Czas odtworzenia - zmierzony. To jest pojedyncza najważniejsza inwestycja w 2026 r. dla większości organizacji.

Siódme - wyłączenie ekspozycji RDP na publiczny adres IP. Jeżeli zdalny dostęp jest potrzebny - przez VPN z MFA i z ograniczonym zasięgiem czasowym. Sam ten ruch eliminuje połowę masowych wektorów ataku.

Ósme - aktualizacja patchy. Wszystkie krytyczne CVE w systemach operacyjnych, hipervisorach, urządzeniach sieciowych, systemach poczty i aplikacjach internetowych - załatane do końca czerwca. Wprowadzenie comiesięcznego cyklu patch managementu z metrykami.

Dziewiąte - szkolenie personelu z phishingu. Ćwiczenie symulowane (kontrolowana kampania phishingowa wewnętrzna) - wykonane raz, z raportem przedstawionym zarządowi. To samo ćwiczenie powtarzane co kwartał.

Dziesiąte - pisemna procedura obsługi incydentu z zegarem NIS-2 (24/72/30) na pierwszej stronie. Wydrukowana. Dostępna w wersji papierowej w każdej dyżurce, każdym sekretariacie, w skrytce dyrektora. Bez tego dokumentu pierwsza decyzja w piątek o pierwszej w nocy będzie improwizowana.

Jedenaste - ćwiczenie stołowe (tabletop exercise) symulujące ransomware. Zarząd, dyrektor IT, pełnomocnik ds. cyberbezpieczeństwa, IOD, radca prawny, rzecznik prasowy - wszyscy przy jednym stole, scenariusz na cztery godziny. Raport z ćwiczenia wraca do zarządu z wnioskami i listą działań korygujących.

Dwunaste - sprawdzenie łańcucha dostawców. Lista trzech najbardziej krytycznych dostawców ICT, audyt ich postaw bezpieczeństwa, klauzule bezpieczeństwa w umowach, prawo do audytu. Dostawca, który nie pozwala wam audytować - sygnalizuje, że nie ma czego audytować.

Dlaczego z Fib.Code przy odporności na ransomware

Każda z dwunastu pozycji powyższej listy jest realizowalna samodzielnie przez zespół wewnętrzny - pod warunkiem, że ten zespół ma kompetencje w czterech obszarach jednocześnie: prawnym (RODO, UKSC, art. 14 i 21 ustawy), organizacyjnym (procedury, zarządzanie zmianą), technicznym (sieć, backupy, MFA, SOC) i komunikacyjnym (kryzys, media, mieszkańcy lub pacjenci). W większości polskich średnich organizacji ten splot kompetencji jest niedostępny w ramach etatu jednej, dwóch albo nawet trzech osób.

Zespół Fib.Code obsługuje wszystkie cztery wymienione warstwy w modelu outsourcingu pełnomocnika ds. bezpieczeństwa informacji oraz vCISO, uzupełnionym o operacyjne wsparcie IT w zakresie bezpieczeństwa - w formule, w której waszą organizację reprezentuje senior z naszej strony, koordynujący jeden zespół ekspercki w czterech obszarach. Nasze podejście trzyma się trzech zasad. Pierwsza - najpierw lista dwunastu, potem cała reszta.

Każdy projekt zaczynamy od audytu tych dwunastu pozycji w ciągu czterech tygodni i raportu dla zarządu z konkretnymi liczbami i terminami. Druga - ćwiczymy zanim was zaatakują. Tabletop ransomware'owy jest pierwszą operacją, nie ostatnią; bez tego ćwiczenia pierwszy realny atak skończy się błędem o wymiarze finansowym. Trzecia - integracja z istniejącym SZBI. Nie budujemy równoległej struktury obok waszego ISO 27001 ani obok dokumentacji UKSC; każde działanie wpinamy w istniejący rejestr aktywów, rejestr ryzyk, rejestr czynności przetwarzania.

Pisaliśmy o powiązanych tematach w artykułach poświęconych outsourcingowi pełnomocnika ds. bezpieczeństwa informacji, vCISO jako modelowi zarządzania bezpieczeństwem oraz zarządzaniu incydentami bezpieczeństwa. Każdy z tych artykułów rozwija jeden wymiar tej samej operacji - gotowości na zdarzenie, które statystycznie dla podmiotu z naszej bazy klientów zdarza się raz na dwa do czterech lat, a którego koszt finansowy potrafi przekroczyć budżet operacyjny działu IT z całego roku.

Co zrobić w ten weekend

Jedno spotkanie. Czterdzieści pięć minut. Zarząd plus dyrektor IT plus pełnomocnik ds. bezpieczeństwa informacji (albo IOD, jeżeli pełnomocnika nie ma). Trzy pytania na flipie. Po pierwsze - kiedy ostatnio sprawdziliśmy, że nasz backup się odtwarza, w ile godzin i czy obejmuje też system uwierzytelniania. Po drugie - kto u nas, dziś, w piątek o dwudziestej drugiej, podejmie decyzję o uruchomieniu procedury obsługi incydentu poważnego - i czy ma numer telefonu do CSIRT-u w pamięci. Po trzecie - jaki jest nasz limit ryzyka finansowego z tytułu jednego incydentu ransomware'owego - i czy ten limit pokrywa polisa, na której kwocie ostatnio ktoś przyłożył oko.

Jeżeli na którekolwiek z trzech pytań odpowiedź brzmi „nie wiem" - wzorzec marca 2026 r. mówi wam, że macie statystycznie kilka miesięcy do zamknięcia luki. Czas zacząć w weekend, bo poniedziałek już startuje kolejny tydzień ze swoim kalendarzem.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: Samoidentyfikacja w NIS-2 - jak wpisać firmę do wykazu zanim minister wpisze ją za was, Nowelizacja KSC 2026 - co musisz wiedzieć po 3 kwietnia oraz Zarządzanie incydentami bezpieczeństwa. Szerszy obraz - skalę incydentów, dojrzałość organizacji i budżety - opisaliśmy w raporcie Stan cyberbezpieczeństwa w Polsce 2025.