W oparciu o aktualne przepisy ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) oraz wytyczne Prezesa Urzędu Ochrony Danych Osobowych (UODO), obsługa incydentu w biznesie to już nie tylko problem techniczny, ale przede wszystkim krytyczny proces zarządczy i komunikacyjny.
Poniżej przedstawiam sposoby obsługi incydentów naruszeń bezpieczeństwa informacji i danych biznesowych. Celem jest pokazanie, że organizacja jest odpowiedzialna za stworzenie środków organizacyjnych, nie tylko technicznych.
Komunikacja Obowiązkowa versus Strategia PR
Z punktu widzenia biznesu, komunikacja dzieli się na tę wymuszoną prawem oraz tę, która buduje zaufanie rynkowe.
Kiedy warto zawiadamiać użytkowników (klientów)?
Jeśli incydent poważny ma niekorzystny wpływ na świadczenie usług lub gdy naruszenie ochrony danych osobowych niesie wysokie ryzyko dla praw osób fizycznych.
Język komunikacji
Musi być jasny, prosty i zrozumiały dla przeciętnego odbiorcy. Unikaj żargonu technicznego, który mógłby być odebrany jako próba ukrycia skali problemu.
Cel komunikacyjny/PR dla organizacji (firmy)
Minimalizacja strat wizerunkowych poprzez pokazanie, że firma panuje nad sytuacją i dba o bezpieczeństwo klientów, zanim dowiedzą się o tym z mediów.
Komunikacja z organami (CSIRT i UODO)
- Reguła 24h / 72h: Pierwsze „wczesne ostrzeżenie” do CSIRT musi wyjść w ciągu 24h , a zgłoszenie naruszenia danych do UODO w ciągu 72h.
- Ważne dla PR: Szybkie zgłoszenie do organów pozwala uzyskać ich wsparcie i wytyczne, co stanowi mocny argument w komunikacji kryzysowej: „Działamy w ścisłej współpracy z państwowymi organami bezpieczeństwa”.
Zarządzanie poważnym cyberzagrożeniem (pre-kryzys)
Nowelizacja KSC wprowadza obowiązek informowania o poważnych cyberzagrożeniach, zanim jeszcze staną się one incydentem.
Zarządzający muszą podjąć decyzję biznesową.
Jeśli zidentyfikujesz realne zagrożenie, które może dotknąć twoich klientów, masz obowiązek wskazać im środki zapobiegawcze, które mogą podjąć sami.
Efekt? Budujesz pozycję lidera, który edukuje rynek i wyprzedza atak. Taka proaktywna komunikacja buduje lojalność, nawet jeśli sytuacja jest napięta.
Pułapki Komunikacyjne (czego unikać?)
Złe zarządzanie informacją może skutkować karami ekstraordynaryjnymi do 100 mln zł, jeśli naruszenie spowoduje np. poważne utrudnienia w świadczeniu usług lub straty majątkowe.
3 możliwe pułapki:
- Przemilczenie incydentu
Ukrywanie naruszenia, które ma „wysokie ryzyko”, jest jednym z najpoważniejszych uchybień.
- Obfita komunikacja
Informowanie o drobnych incydentach, które nie stwarzają ryzyka, wywołuje niepotrzebny stres i prowadzi do „znieczulenia” klientów na przyszłe alerty. Lepiej znaleźć balans i zawsze oceniać ryzyka.
- Mieszanie komunikatów
Zawiadomienie o incydencie nie może być łączone z ofertami marketingowymi czy biuletynami. Gdzie publikować informacje? Własna strona internetowe, kanały social media czy dedykowany newsletter do właściwych interesariuszy są odpowiednim kanałem komunikacji. W przypadku najważniejszych partnerów, komunikacja bezpośrednia: e-mail i telefon np. główny dostawca, inwestor itp.
Rola kierownika w PR kryzysowym
Kierownik podmiotu (np. członek zarządu) ponosi teraz osobistą odpowiedzialność za wykonanie obowiązków informacyjnych.
- Zarząd nie może „oddelegować i zapomnieć”. Musi aktywnie monitorować plan komunikacji i zapewniać środki na jego realizację.
- Konsekwencje złego zapewniania środków organizacyjnych? Kara nałożona na kierownika (do 300% wynagrodzenia) to potężny cios w reputację zawodową danej osoby.
Kluczowa rekomendacja dla organizacji/firmy:
- Włącz Inspektora Ochrony Danych (IOD) oraz Dział PR/Komunikacji do procedury obsługi incydentu od pierwszej minuty jego wykrycia.
- IOD doradzi w zakresie prawnym, a PR przygotuje spójny przekaz (który zazwyczaj ma być przygotowany w formie oświadczeń), który uratuje markę w momencie, gdy technologia zawiedzie.
Łukasz Zając, kwiecień 2026
Czytaj także:
Incydent, naruszenie prywatności i ustawa KSC a komunikacja
Wprowadzenie NIS 2 do polskich firm a zagrożenia reputacyjne podczas cyber incydentów
Ochrona reputacji podczas cyberzagrożeń
