Kto powinien odpowiadać za bezpieczeństwo, jeśli jesteśmy za mali na CISO?

Co „odpowiadanie za bezpieczeństwo" naprawdę oznacza

Słowo „odpowiadać" myli ludzi, bo brzmi tak, jakby jedna osoba musiała robić wszystko: prowadzić firewall, szkolić pracowników, sprawdzać dostawców, reagować o drugiej w nocy. Nie o to chodzi, a oczekiwanie tego to sposób, w jaki ta rola zostaje pusta.

Odpowiadanie za bezpieczeństwo oznacza, że jedna wskazana osoba odpowiada za dwie rzeczy. Po pierwsze, za decyzje: jakie ryzyka firma akceptuje, co jest priorytetem i dostaje budżet, którzy dostawcy są akceptowalni i jaki jest plan, gdy coś pójdzie nie tak. Po drugie, za to, żeby podstawy faktycznie się działy: konta są usuwane, gdy ludzie odchodzą, uwierzytelnianie wieloskładnikowe jest włączone, backupy istnieją i zostały przetestowane, oprogramowanie jest aktualizowane, a ktoś przegląda, kto ma dostęp do czego.

Odpowiedzialny właściciel tematu nie musi wykonywać tych zadań osobiście. Twój dostawca IT może prowadzić backupy. Pracownik może zarządzać narzędziem do szkoleń. Ale właściciel to osoba, która zauważa, gdy podstawa nie jest realizowana, pyta dlaczego i podejmuje decyzję. Łączy kropki między pracą techniczną a ryzykiem biznesowym. W praktyce właściciel to ktoś, kto w każdej chwili potrafi odpowiedzieć na trzy pytania: na co jesteśmy najbardziej narażeni, co z tym robimy i co zrobilibyśmy, gdyby coś poszło nie tak dzisiaj.

To rola governance, zanim stanie się rolą techniczną. Bliżej jej do tego, jak już dziś jako lider odpowiadasz za finanse albo prawo. Nie składasz osobiście sprawozdań finansowych, ale odpowiadasz za to, żeby liczby się zgadzały, i wiedziałbyś, do kogo zadzwonić, gdyby się nie zgadzały.

Pułapka: założenie, że „IT to ogarnia"

Najczęstszy wzorzec w firmach twojej wielkości to sytuacja, w której wszyscy po cichu zakładają, że IT ma bezpieczeństwo pod kontrolą, a nikt tego faktycznie nie sprawdził. Lider IT albo zewnętrzny dostawca IT utrzymuje systemy w ruchu i łata je, kiedy może. Office manager zatwierdza nowe oprogramowanie. Founder podpisuje umowy z dostawcami, nie czytając warunków dostępu do danych. Każdy zajmuje się fragmentem, który rozumie, i zakłada, że resztą odpowiada ktoś inny.

Efektem jest luka, której nikt nie widzi, dopóki nie zacznie mieć znaczenia. Jak ujęła to jedna z firm zajmujących się bezpieczeństwem mid-market, gdy bezpieczeństwo jest „odpowiedzialnością każdego", każdy zakłada, że ktoś inny zajmuje się częściami, których sam nie rozumie: menedżer IT zakłada, że właściciel podejmuje strategiczne decyzje o ryzyku, właściciel zakłada, że menedżer IT ma stronę techniczną pod kontrolą, a oboje są zbyt zajęci swoją faktyczną pracą, żeby myśleć o tym w jakikolwiek uporządkowany sposób (Gibraltar Solutions, marzec 2026). Łatki są opóźniane, dostawcy nigdy nie przechodzą przeglądu bezpieczeństwa i nie ma planu na wypadek incydentu, bo odpowiadanie za te decyzje nigdy nie było niczyją pracą.

To nie zaniedbanie. To normalny efekt prowadzenia szczupłej organizacji bez wskazania właściciela tematu. Rozwiązaniem nie jest obwinianie IT. Prowadzenie narzędzi przez IT i odpowiadanie przez IT za ryzyko bezpieczeństwa to dwie różne prace, a ta druga to zwykle puste krzesło. Przydatny test: zapytaj trzy osoby w swojej firmie „kto tu odpowiada za bezpieczeństwo?". Jeśli dostaniesz trzy różne odpowiedzi albo trzy wersje „chyba IT", znalazłeś lukę.

Twoje cztery realistyczne opcje

Masz cztery praktyczne sposoby obsadzenia tego miejsca. Nie wykluczają się wzajemnie, a większość firm twojej wielkości kończy z ich kombinacją: wewnętrzny odpowiedzialny właściciel plus zewnętrzna pomoc do części, które wymagają doświadczonego osądu albo pracy na miejscu.

Opcja 1: wskazany wewnętrzny właściciel, obok głównej pracy

Wyznaczasz kogoś, kto już jest w twoim zespole, często COO, lidera operacji albo szefa IT, na odpowiedzialnego właściciela. Bezpieczeństwo nie jest całą jego pracą. Jest jej nazwaną częścią, z odłożonym czasem i jasnym mandatem do podejmowania decyzji i proszenia o budżet.

Sprawdza się dobrze, gdy masz kogoś zorganizowanego i zaufanego, kto może utrzymać stronę governance, nawet jeśli nie jest głęboko techniczny. Ryzyko polega na tym, że bez chronionego czasu i realnego mandatu rola staje się tytułem bez niczego za nim. Żeby uczynić ją realną, daj tej osobie kilka godzin tygodniowo, bezpośrednią linię do siebie i krótką pisemną listę tego, za co odpowiada.

Opcja 2: twój lider IT albo techniczny współzałożyciel

Jeśli masz kompetentnego lidera IT albo współzałożyciela z technicznym backgroundem, naturalnie do tego pasują, bo rozumieją systemy. To często najmniej tarciowy wybór na wczesnym etapie.

Trzeba uważać na to, że odpowiadanie za bezpieczeństwo obejmuje decydowanie, kiedy wygoda firmy powinna przegrać z bezpieczeństwem, co może być niezręczne dla osoby, która jednocześnie odpowiada za to, żeby wszystko działało płynnie, a użytkownicy byli zadowoleni. Powiedz wprost, że kiedy zakłada kapelusz bezpieczeństwa, ma twoje wsparcie, żeby coś spowolnić albo odmówić. W przeciwnym razie rola po cichu przechyla się w stronę „niech działa", a decyzje o ryzyku nigdy nie zapadają.

Opcja 3: fractional albo virtual CISO

Fractional albo virtual CISO to doświadczony lider bezpieczeństwa, którego angażujesz w niepełnym wymiarze, często na kilka dni w miesiącu, żeby dawał ten sam doświadczony osąd, co pełnoetatowe zatrudnienie, bez pełnoetatowego kosztu. Virtual CISO zwykle doradza kilku firmom i pracuje zdalnie; fractional CISO jest zwykle bardziej osadzony w planowaniu jednej firmy. Te etykiety są używane dość swobodnie, więc skup się na zakresie współpracy, nie na tytule.

Ta opcja przeszła z niszowej do mainstreamowej dla mniejszych firm i jest dziś szeroko oferowana (Pivot Point Security, 2025). Pasuje, gdy masz realną presję ryzyka albo compliance, klientów pytających o bezpieczeństwo albo regulację w zasięgu, ale za mało pracy, żeby uzasadnić pełnoetatowego dyrektora. Doświadczona osoba ustala kierunek i priorytety; twój wewnętrzny właściciel i dostawca IT zajmują się codzienną robotą. Kluczowe jest to, że fractional CISO doradza i kieruje, więc nadal potrzebujesz wewnętrznej osoby, która odpowiada wewnątrz firmy i utrzymuje ruch między jej wizytami.

Opcja 4: MSP albo zewnętrzny partner

Dostawca zarządzanych usług, czyli MSP, prowadzi dla ciebie IT, a często i operacje bezpieczeństwa: monitoring, aktualizacje, backupy, pracę na miejscu. Wiele z nich dokłada dziś warstwę virtual CISO. To mocne dopasowanie, gdy masz mało albo wcale wewnętrznego IT i chcesz jednego partnera do strony operacyjnej.

Ważne rozróżnienie to prowadzenie kontrolek a odpowiadanie za ryzyko. MSP może prowadzić twoje kontrolki znakomicie i wciąż zostawiać puste miejsce właściciela ryzyka, bo akceptowanie ryzyka w imieniu twojej firmy to decyzja, którą może podjąć tylko ktoś wewnątrz niej. Trzymaj wskazanego wewnętrznego właściciela, który zarządza relacją, czyta to, co raportuje MSP, i podejmuje decyzje biznesowe. Outsourcować pracę jest w porządku. Outsourcować odpowiedzialność nie.

Jak to przypisać bez nadmiernego zatrudniania

Niemal na pewno nie musisz nikogo zatrudniać, żeby to naprawić. Najbardziej wartościowy ruch nic nie kosztuje: wskaż odpowiedzialnego właściciela i spisz, za co odpowiada. Większość ekspozycji w firmach twojej wielkości bierze się z pustego miejsca, nie z braku etatów.

Prosty sposób, żeby to zrobić:

1. Wskaż jednego odpowiedzialnego właściciela. Jedna osoba, z mandatem decyzyjnym, która potrafi odpowiedzieć „kto tu odpowiada za bezpieczeństwo?". Zwykle ty, twój COO albo lider IT. Zapisz to imię tam, gdzie widzi je kadra zarządzająca.
2. Spisz pół strony tego, za co odpowiada. Decyzje (jakie ryzyka akceptujemy, co finansujemy, którzy dostawcy są akceptowalni, co robimy w razie incydentu) i podstawy, które ma pilnować (osoby dołączające i odchodzące, uwierzytelnianie wieloskładnikowe, przetestowane backupy, aktualizacje, przeglądy dostępów). Pół strony wystarczy.
3. Daj im czas i osłonę. Kilka godzin tygodniowo, bezpośrednią linię do ciebie i wyraźne wsparcie, żeby coś spowolnić albo wydać na jasne ryzyko. Mandat bez czasu albo czas bez mandatu, oba zawodzą.
4. Zdecyduj, gdzie pasuje zewnętrzna pomoc. Jeśli wewnętrznemu właścicielowi brakuje doświadczonego osądu w bezpieczeństwie, dodaj fractional albo virtual CISO na kilka dni w miesiącu. Jeśli brakuje ci rąk do pracy, MSP pokrywa operacje. Wewnętrzny właściciel i tak zostaje odpowiedzialny.
5. Ustal rytm. Krótkie comiesięczne sprawdzenie, a właściciel raportuje obraz bezpieczeństwa tobie albo zarządowi kwartalnie. Tego też coraz częściej oczekują regulatorzy: zgodnie z NIS2 kadra zarządzająca musi aktywnie nadzorować ryzyko cyberbezpieczeństwa i może ponosić osobistą odpowiedzialność za brak takiego nadzoru, więc udokumentowany właściciel i rytm raportowania to nie tylko dobra praktyka, to kierunek, w którym zmierza prawo (ENISA, czerwiec 2025).

Zatrudniaj tylko wtedy, gdy praca faktycznie przerasta to, co udźwignie właściciel na część etatu plus zewnętrzna pomoc, zwykle gdy przekraczasz 200 osób, bierzesz na siebie poważny zakres regulacyjny albo bezpieczeństwo staje się kluczowe dla wygrywania klientów. Do tego czasu wskazanie właściciela i kupowanie doświadczonego osądu na dni to proporcjonalna odpowiedź.

Jak wygląda dobry stan

Będziesz wiedzieć, że odpowiedzialność jest realna, nie tylko na papierze, gdy prawdziwe są te rzeczy:

• Zapytana „kto tu odpowiada za bezpieczeństwo?", cała kadra zarządzająca wskazuje tę samą osobę.
• Ta osoba potrafi powiedzieć prostym językiem, na co firma jest najbardziej narażona, co się z tym robi i co by się stało, gdyby coś poszło nie tak dzisiaj.
• Podstawy wyraźnie się dzieją: osoby odchodzące szybko tracą dostęp, uwierzytelnianie wieloskładnikowe jest włączone, backupy zostały przetestowane w ostatnich kilku miesiącach, a ktoś okresowo przegląda dostępy.
• Istnieje krótki, spisany plan na wypadek incydentu, a właściciel wie, do kogo zadzwonić.
• Bezpieczeństwo regularnie pojawia się w agendzie kadry zarządzającej albo zarządu, nie tylko po tym, jak coś się zepsuje.
• Gdy nowe narzędzie, dostawca albo fragment pracy dotyka danych firmy albo klienta, ktoś zadaje pytania o bezpieczeństwo, zanim to ruszy, nie po fakcie.

Nic z tego nie wymaga CISO. Wymaga imienia, odrobiny czasu, mandatu do podejmowania decyzji i zewnętrznego osądu tam, gdzie go brakuje.

Źródła

• The SMB CISO Problem: Who Owns Risk When You Don't Have One? (Gibraltar Solutions, March 2026) · https://gibraltarsolutions.com/blog/the-smb-ciso-problem-who-owns-risk-when-you-dont-have-one/ (pułapka „odpowiedzialność każdego znaczy odpowiedzialność nikogo"; podejście polegające na wskazaniu właściciela ryzyka)
• The missing cybersecurity leader in small business (CyberScoop) · https://cyberscoop.com/the-missing-cyber-leader-virtual-fractional-ciso-smb-op-ed/ (luka CISO w MŚP; co odpowiedzialność za ryzyko oznacza poza doradztwem)
• Four Drivers Making Virtual CISO Engagements More Popular than Ever in 2025 (Pivot Point Security) · https://www.pivotpointsecurity.com/four-drivers-making-virtual-ciso-engagements-more-popular-in-2025/ (vCISO przechodzi z niszy do mainstreamu dla mniejszych firm)
• Cybersecurity roles and skills for NIS2 Essential and Important Entities (ENISA, June 2025) · https://www.enisa.europa.eu/publications/cybersecurity-roles-and-skills-for-nis2-essential-and-important-entities (odpowiedzialność kadry zarządzającej i obowiązki nadzoru na mocy NIS2)
• NIS2 directive explained: Part 2 — Management bodies rules (DLA Piper, November 2025) · https://www.dlapiper.com/en/insights/publications/2025/11/nis2-directive-explained-part-2-management-bodies-rules (osobista odpowiedzialność kadry zarządzającej, nadzór na poziomie zarządu i obowiązki szkoleniowe)