Cyberbezpieczeństwo jako obszar odpowiedzialności kadry zarządzającej: od zgodności regulacyjnej do budowania odporności organizacyjnej

Abstrakt

Wzrost skali i złożoności zagrożeń cyfrowych sprawia, że cyberbezpieczeństwo przestaje być domeną wyspecjalizowanych zespołów IT, a staje się obszarem odpowiedzialności kadry zarządzającej w szczególności w kontekście ładu organizacyjnego, zarządzania ryzykiem i ciągłości działania. W ostatnich latach odpowiedzialność ta została dodatkowo wzmocniona regulacyjnie: dyrektywa NIS2 nakłada na organy zarządzające obowiązek zatwierdzania i nadzorowania środków zarządzania ryzykiem cybernetycznym oraz przewiduje możliwość pociągnięcia ich do odpowiedzialności, a rozporządzenie DORA w sektorze finansowym akcentuje „pełną i ostateczną” odpowiedzialność organu zarządzającego za zarządzanie ryzykiem ICT i wymóg stałego podnoszenia kompetencji. Celem artykułu jest uporządkowanie zakresu tej odpowiedzialności poprzez zintegrowanie perspektywy regulacyjnej i normatywnej (NIS2, DORA, NIST CSF 2.0, ISO/IEC 27001 i ISO/ IEC 27014) z dorobkiem naukowym w obszarze zarządzania bezpieczeństwem informacji. Na tej podstawie proponowany jest model „cyklu odpowiedzialności zarządczej” oraz zestaw praktyk wdrożeniowych obejmujących m.in. definiowanie apetytu na ryzyko,  alokację zasobów, nadzór nad łańcuchem dostaw ICT oraz budowanie kultury cyberbezpieczeństwa. Artykuł wskazuje także konsekwencje dla edukacji menedżerów i funkcji HR, w tym potrzebę instytucjonalizacji szkoleń dla członków organów zarządzających.