Czy cyberataki w Polsce są dużym problemem? Rozmawiamy z ekspertem

CYBERSEC EXPO & FORUM 2025 to największe targi cyberbezpieczeństwa w naszym regionie. Tegoroczna impreza odbędzie się w dniach 11-12 czerwca w Tauron Arena Kraków i będzie świetną okazją do spotkania różnych specjalistów. Udało nam się porozmawiać jednym z nich.

Udało nam się porozmawiać z Łukaszem Gawronem, prezesem polskiego klastra cyberbezpieczeństwa, który jest jednym z prelegentów wydarzenia CYBERSEC EXPO & FORUM 2025.

Dawid Długosz: Jakie zagrożenia niesie ze sobą rosnąca liczba cyberataków? Czy w Polsce jest to rzeczywiście już tak duży problem?

Łukasz Gawron: Według rocznego raportu CERT Polska w 2024 r. zanotowano ok. 103 tys. incydentów, co stanowi wzrost o ok. 29 % w stosunku do roku poprzedniego i prawie 80% więcej niż w 2022 r. Liczby te jasno pokazują, że skala ataków rośnie, ale rośnie również świadomość użytkowników, którzy coraz chętniej zgłaszają incydenty do odpowiednich organów.

Rosnąca liczba cyberataków oznacza większe prawdopodobieństwo, że to my staniemy się ich ofiarą. Należy pamiętać, że każdy użytkownik Internetu - niezależnie od tego, czy korzysta z niego w celach biznesowych lub rozrywkowych, czy jest osobą indywidualną, czy firmą - jest narażony na potencjalny atak. Udany cyberatak może spowodować wyciek danych, w tym danych wrażliwych, osobowych czy danych naszych klientów. To z kolei może narazić firmę na kary finansowe oraz szkody wizerunkowe. Cyberatak może również doprowadzić do paraliżu działalności i przestojów, generując poważne straty finansowe. Szacuje się, że średni koszt udanego cyberataku na firmę wynosi obecnie od 50 do 500 tys. zł w przypadku MŚP, a w przypadku dużych firm - ponad 1 mln zł. Dlatego też cyberbezpieczeństwo powinno być dziś traktowane jako swoista polisa ubezpieczeniowa i inwestycja, która chroni nas przed skutkami ataków.

Nie tylko biznes może ucierpieć wskutek cyberataku - ofiarą może być każdy z nas lub naszych bliskich. Wciąż słyszymy o fałszerstwach i oszustwach, podszywaniu się np. pod pracowników banków czy policji oraz wyłudzaniu oszczędności życia obywateli. Szczególnie w dobie sztucznej inteligencji zjawiska takie jak deepfake, spoofing czy wykorzystywanie wizerunku znanych osób do promowania fałszywych inwestycji są i będą poważnym zagrożeniem dla użytkowników Internetu.

Powyższe zjawiska nie są niestety niczym nadzwyczajnym we współczesnym świecie i są równie dotkliwe dla obywateli Polski, jak i innych państw. Ze względu na nasze położenie geopolityczne Polska przykłada szczególną wagę do ochrony infrastruktury krytycznej, która jest szczególnie narażona na ataki ze strony zaawansowanych grup hakerskich, często wspieranych przez aktorów państwowych. Znajdujemy się także na froncie wojny informacyjnej - dlatego w przypadku Polski kluczowe znaczenie ma edukacja.

Dawid Długosz: Jak ocenia pan kondycję polskich biznesów pod kątem odporności na cyberataki?

Łukasz Gawron: Trudno jednoznacznie ocenić stopień odporności polskiego biznesu na cyberataki. W dużej mierze zależy on od kilku czynników:

• Wielkość firmy - im większe przedsiębiorstwo, tym większe budżety i bardziej rozbudowane zespoły ds. cyberbezpieczeństwa.
• Sektor działalności - sektory infrastruktury krytycznej (np. energetyka, cyfryzacja, finanse) zazwyczaj charakteryzują się wyższym poziomem odporności ze względu na obowiązujące regulacje lub ich znaczenie dla funkcjonowania społeczeństwa i gospodarki.
• Pozycja w łańcuchu dostaw - jeśli partnerzy biznesowi wymagają odpowiednich zabezpieczeń, to firmy są zmuszone do ich wdrożenia, co znajduje uzasadnienie biznesowe.

Warto zaznaczyć, że sektor MŚP jest równie narażony na zagrożenia jak duże firmy. Przestępcy nie są wybredni - atakują również mniejsze przedsiębiorstwa, które niestety często napotykają na wiele wyzwań w budowie swojej cyfrowej odporności.

Największą barierą są budżety. Rozwiązania cyberbezpieczeństwa oraz eksperci pracujący w tej dziedzinie to duży koszt, często za duży dla małych przedsiębiorstw czy jednostek samorządu terytorialnego. Na szczęście rynek coraz częściej oferuje rozwiązania w modelu usług zarządzanych, np. wirtualnych oficerów bezpieczeństwa czy ofert szytych na miarę również dla mniejszych klientów. Dzięki temu mogą oni korzystać nie tylko z podstawowych zabezpieczeń, takich jak antywirusy czy firewalle, ale również z bardziej zaawansowanych technologii. Dostępne są także usługi audytowe czy testy penetracyjne, które pozwalają ocenić realny poziom bezpieczeństwa i wskazać obszary wymagające mitygacji.

Nie można również zapominać o szkoleniach i ćwiczeniach - to one budują świadomość i kulturę cyberbezpieczeństwa w organizacji. Sam zakup narzędzi nie wystarczy - trzeba wiedzieć, jak reagować na incydenty, gdzie zgłaszać podejrzane e-maile i jakie są potencjalne wektory ataku w danym przedsiębiorstwie.

Cyberbezpieczeństwo może się wydawać dziedziną trudną i zarezerwowaną dla specjalistów. Choć nie jest to obszar intuicyjny, jest niezmiernie istotny - dlatego warto, by firmy były na bieżąco nie tylko z zagrożeniami, ale również z dostępnymi rozwiązaniami. Na te potrzeby odpowiadają nasze targi CYBERSEC EXPO & FORUM, podczas których w jednym miejscu można spotkać ekspertów z różnych sektorów oraz dostawców technologii i usług z zakresu cyberbezpieczeństwa. Wybór odpowiedniego partnera to jeden z pierwszych, kluczowych kroków w budowaniu odporności cyfrowej firmy.

Dawid Długosz: Czym jest dyrektywa NIS2 i jakie konsekwencje niesie ze sobą jej wprowadzenie?

Łukasz Gawron: Dyrektywa NIS2 to druga wersja unijnej regulacji zapoczątkowanej w 2016 r. Do polskiego porządku prawnego pierwszą wersję NIS2 wprowadziła ustawa o krajowym systemie cyberbezpieczeństwa z 2018 r. Od tamtego momentu minęło wiele lat, zagrożenia ewoluowały, cyfryzacja przyspieszyła, zmienił się również kontekst międzynarodowy. Dlatego też Unia Europejska zdecydowała się przyjąć dyrektywę NIS2, w której następują istotne zmiany i konsekwencje również dla naszego rodzimego rynku.
Przede wszystkim dyrektywa NIS2 wdraża katalog usług kluczowych oraz ważnych, czyli firm działających w określonych sektorach, krytycznych dla funkcjonowania Państwa. Na podmiotach objętych regulacją (lub odpowiednią ustawą krajową) ciąży szereg wymagań związanych z zapewnieniem odpowiedniego poziomu cyberodporności - zarówno technicznej, jak i organizacyjnej. Przykładowe obowiązki to:

• polityka szacowania i zarządzania ryzykiem,
• procedury obsługi incydentu i zapewnienia ciągłości działania,
• bezpieczeństwo łańcucha dostaw,
• praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa,
• polityki i procedury dotyczące kryptografii i szyfrowania,
• zarządzanie zasobami ludzkimi, kontrola dostępu i zarządzanie aktywami,
• w stosownych przypadkach - stosowanie uwierzytelniania wieloskładnikowego.

Dodatkowo organizacje objęte dyrektywą będą zobowiązane do przeprowadzania audytów cyberbezpieczeństwa co najmniej raz na trzy lata. Warto jednak podkreślić, że powyższa lista nie jest zamknięta - każda firma powinna dostosować swoje polityki i procedury do specyfiki prowadzonej działalności oraz realnych zagrożeń.

Za nieprzestrzeganie postanowień dyrektywy grożą kary pieniężne - zarówno kierowane do przedsiębiorstw jak i personalnie do członków zarządu firm. Można więc z czystym sumieniem stwierdzić, że dyrektywa NIS2 to jedna z najbardziej kluczowych regulacji z obszaru cyberbezpieczeństwa w ostatnich kilku latach. Termin na wdrożenie dyrektywy w Państwach członkowskich minął 17 października 2024 r., w Polsce wciąż czekamy na przyjęcie projektu nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, która wdroży dyrektywę.

Nie należy jednak czekać do ostatniej chwili, warto zadbać o odpowiedni poziom cyberbezpieczeństwa już teraz i to niezależnie czy działamy w sektorze regulowanym lub nie. Dla tych, którzy chcą poszerzyć swoją wiedzę, zapraszamy na dedykowane warsztaty podczas CYBERSEC EXPO&FORUM, gdzie prawnicy renomowanej kancelarii odpowiedzą na pytania i wątpliwości związane z dyrektywą i ustawą. CYBERSEC to także doskonała okazja, aby zobaczyć nowoczesne technologie na żywo i porozmawiać z najlepszymi ekspertami cyberbezpieczeństwa w Europie.