Dyrektywa NIS2 miała poprawić cyberbezpieczeństwo europejskich firm. W praktyce obnaża ich słabości, które można opisać jako brak ludzi, przestarzałe procesy, luki w zabezpieczeniach i przede wszystkim brak świadomości zagrożeń. Trzy czwarte organizacji ma problem z zatrudnieniem specjalistów, a mniejsze firmy nie mają ani kompetencji, ani narzędzi, by spełnić nowe wymogi, ostrzega ENISA (Agencja Unii Europejskiej ds. Cyberbezpieczeństwa) w raporcie NIS Investments 2025, badającym ponad tysiąc podmiotów z UE. 

Polskie firmy coraz częściej deklarują, że cyberbezpieczeństwo to dla nich priorytet. Średnia ocena znaczenia tego obszaru wśród menedżerów wynosi 4,25 w pięciostopniowej skali, wynika z badania Mediarecovery i Safesqr. Na papierze wygląda to dobrze, w praktyce bywa różnie. Wciąż brakuje kompetencji, konsekwencji i realnych procedur, które działałyby w chwili próby. Firmy inwestują w technologie, ale często nie potrafią ich wykorzystać.

Jeszcze kilka lat temu strategia Bring Your Own Device polegająca na tym, że pracownik wykonuje swoje zadania na prywatnym komputerze, laptopie lub telefonie, była postrzegana jako nowoczesne podejście do organizacji pracy. Nic dziwnego, bo z początku jej zalety wydawały się bardzo atrakcyjne – wygoda i elastyczność dla pracownika, tańsza opcja dla pracodawcy. Czy może zatem tkwić tu jakiś haczyk?

Małe i średnie przedsiębiorstwa (MŚP) są bardziej narażone na cyberataki niż większe firmy. Powodem nie jest niska świadomość czy luki w zabezpieczeniach, ale brak specjalistów ds. cyberbezpieczeństwa, który jest drugim największym wyzwaniem w tym obszarze. Dla porównania, według badania firmy Sophos, w przypadku dużych firm ryzyko to zajmuje dopiero siódme miejsce.