Cyberbezpieczeństwo w Polsce

Zaszyfrowane serwery, żądanie zapłaty i zarząd, który oczekuje jednej odpowiedzi: tak albo nie. Taka odpowiedź rzadko istnieje, a pytanie pada wtedy, gdy każda godzina bez systemów kosztuje, więc decyzję trzeba będzie później uzasadnić. W aktach, które przeczytaliśmy, o tym, czy zapłata jest dozwolona, rozstrzyga adresat przelewu. O tym, czy ma sens, od lat piszą instytucje publiczne. A o tym, kto w organizacji bierze decyzję na siebie, nie mówi żaden z przepisów, które przeczytaliśmy. Firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa i RODO mają ponadto zegar zgłoszeń, który rusza z wykryciem incydentu albo stwierdzeniem naruszenia.

Oddzielamy tu ustalenia z tekstów aktów prawnych od stanowisk Europolu, ENISA, CERT Polska i Ministerstwa Cyfryzacji, każde ze wskazanym źródłem. Wyjaśniamy, dlaczego nie podajemy odsetka firm, którym zapłata zwróciła dane, i które terminy zgłoszeń biegną bez względu na wybór. Na końcu dostajesz pięć pytań, na które powinien odpowiadać zapis decyzji.

Pod koniec września 2026 roku w odstępie kilku dni ujawniono trzy incydenty: w oprogramowaniu Medyc firmy Qbusoft, z którego korzystają placówki medyczne, w sieci Enel-Med i w serwisie do faktur Fakturownia. Chodzi o numery PESEL i adresy pacjentów, dane kont, rachunki bankowe i kontrahentów przedsiębiorców, a zawiadomienie jednej z placówek mówi także o danych o zdrowiu. Firmy podają różny zakres i różne daty, sprawcy własne liczby, a do skrzynek mogą trafiać zarówno prawdziwe zawiadomienia, jak i wiadomości, które tylko je udają.

Każdą sprawę rozkładamy na daty i źródła: co firmy potwierdziły, co pozostaje deklaracją sprawców i gdzie relacje stron się rozchodzą. Zestawiamy tempo informowania trzech firm, sprawdzamy, co naprawdę łączy te incydenty, i opisujemy własne nagranie strony statusowej Medyc z 21 września, zrobione trzy dni przed ujawnieniem wycieku. Na końcu są osobne kroki dla pacjentów i dla użytkowników Fakturowni.

Trzydniowa konferencja, na której uczestnicy pracują w dziesięciu grupach branżowych, każda we własnej sali w Galaxy Hall. Pierwsze dwa dni to 30-minutowe sesje poświęcone jednemu rozwiązaniu lub technologii oraz konsultacje 1:1 z inżynierami, trzeci dzień przeznaczono na networking. Organizator zapowiada ponad 30 ekspertów i piętnastu producentów. Program trzyma się wymagań NIS2: kontroli dostępu do sieci, ochrony stacji końcowych, uwierzytelniania wieloskładnikowego, kopii zapasowych i centralnego zbierania logów. Z ankiet wypełnianych w aplikacji powstaje raport gotowości organizacji na tle jej sektora.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) - wdrożenie NIS2 po nowelizacji z 2026 r.: kogo obejmuje, jakie nakłada obowiązki i w jakich terminach.

Lista Ostrzeżeń CSIRT NASK - wyszukaj domenę, żeby sprawdzić, czy trafiła na oficjalną listę stron wykorzystywanych do phishingu i innych oszustw online.

Najpopularniejsze hasła w Polsce z analizy wycieków danych CERT Polska - zobacz, jakich kombinacji unikać, i pobierz pełny słownik do audytu haseł w firmie.

Którzy operatorzy blokują strony phishingowe z Listy Ostrzeżeń CERT Polska na mocy porozumienia z UKE, MC i NASK - i czy dotyczy to też Twojego operatora.