Komunikacja i obowiązki firmy zgodnie z KSC
Firma zaskoczona przez cyberzagrożenia może zapominać o kwestii sprawnej komunikacji. Może to wynikać z braku doświadczenia, stresu lub nieposiadania kompetencji w tym zakresie. Firmy wpisane do wykazu KSC – tzw. podmioty kluczowe i ważne stają przed nowym wyzwaniem – opracowaniem polityki komunikacji i przećwiczeniem sytuacji kryzysowych wraz z ekspertem PR. Dziś, to nie tylko rola SOC, zarządu, prawników czy ekspertów od danych osobowych.
Co powoduje brak przygotowania i nieposiadanie polityki PR podczas cyberataku?
W trakcie lub po incydencie cyberbezpieczeństwa organizacja komunikuje się z otoczeniem zbyt późno, niespójnie, nieprecyzyjnie lub w sposób sprzeczny z późniejszymi ustaleniami. Dodatkowo, narrację o incydencie przejmuje strona trzecia (atakujący, media, konkurencja, badacz bezpieczeństwa, były pracownik, klient w mediach społecznościowych).
Skutek braku komunikacji z mediami i otoczeniem podczas cyberataku?
- Możliwa utrata zaufania klientów i partnerów,
- Nadwyrężona reputacja,
- Rozgłos medialny o negatywnym sentymencie,
- Eskalacja skarg i roszczeń,
- Zwiększone zainteresowanie organów nadzoru,
- Odpływ klientów,
- Spadek wyceny lub przychodów,
- Trudności rekrutacyjne.
Pamiętaj. Szkoda reputacyjna rzadko wynika z samego faktu cyberataku. Wynika z tego, jak organizacja się zachowała – z opóźnieniem, zaprzeczeniami i późniejszymi korektami komunikatów.
Kontekst zagrożeń i komunikacja podczas incydentu
Cyberatak rzadko niszczy reputację sam z siebie. Niszczy ją to, co dzieje się w pierwszych godzinach po nim: milczenie, niespójne komunikaty, zaprzeczenia, które trzeba potem odwołać. Technologia ogranicza skutki incydentu – komunikacja decyduje o tym, jak szybko organizacja odzyskuje bezpieczeństwo reputacyjne.
Co kosztuje najwięcej?
Zaufanie klientów i postrzeganie usługi
To najczęściej wskazywana obawa i jednocześnie ryzyko o najwyższym poziomie krytyczności. Klient nie ocenia jakości zabezpieczeń – ocenia to, czy dowiedział się na czas i od kogo. Komentarz poszkodowanego „stracili moje dane i nikt mnie nie poinformował” unieważnia lata budowania relacji.
Wiarygodność marki w mediach i internecie
Zaangażowanie mediów i użytkowników sieci zostawia trwały ślad: negatywne wzmianki, komentarze, wyniki wyszukiwania. W odróżnieniu od samej awarii, ten skutek nie kończy się wraz z przywróceniem systemów – zostaje z organizacją na lata i wraca przy każdej kolejnej publikacji o branży.
Relacje z regulatorem
UODO, właściwy CSIRT, organy sektorowe – sposób, w jaki organizacja zgłasza i wyjaśnia incydent, wpływa na przebieg całego postępowania. Transparentność i dotrzymanie terminów są tu elementem komunikacji, nie tylko zgodności formalnej. Rozbieżność między oświadczeniem dla mediów a raportem dla organu potrafi wywołać drugi kryzys, dotkliwszy od pierwszego.
Partnerzy i dostawcy
Każda organizacja funkcjonuje w łańcuchu zależności. Ryzyko zabezpiecza się tu zapisami umownymi, klauzulami bezpieczeństwa i audytami – ale w momencie incydentu decyduje bezpośredni kontakt z kluczowymi partnerami, zanim informacja dotrze do nich z mediów.
Zaufanie pracowników
Zespół, który dowiaduje się o incydencie z portalu informacyjnego, przestaje być ambasadorem organizacji, a zaczyna być źródłem przecieków. Komunikacja wewnętrzna musi wyprzedzać zewnętrzną – albo iść z nią równolegle.
Wycena i dostęp do finansowania
W spółkach notowanych i regulowanych źle poprowadzony kryzys przekłada się na kurs, rating i warunki finansowania. Nerwowe, nieskoordynowane reakcje wobec rynku obniżają wartość organizacji szybciej niż sam incydent techniczny.
Konsultacje, audyt i szkolenie:
Czego uczę firm w zakresie PR i komunikacji po incydencie?
Moje szkolenia przygotowują zespoły do komunikacji w warunkach realnej presji i braku czasu.
Pierwsza godzina – kto decyduje, kto mówi, co można powiedzieć zanim znany jest zakres incydentu.
- Oświadczenie i sekwencja komunikatów. Jak komunikować się wcześnie, nie wypowiadając zdań, które trzeba będzie prostować.
- Spójność komunikatów i narracji w różnych kanałach. Komunikat publiczny, zawiadomienie klientów i zgłoszenie do organu jako jeden, niesprzeczny przekaz.
- Praca z mediami pod presją. Wystąpienia eksperta i członków zarządu, trudne pytania, sytuacja presji medialnej ze strony mediów i rynku.
- Komunikacja wewnętrzna i obsługa klienta. Kaskada informacji, instrukcje dla infolinii, ograniczanie ryzyka przecieków.
- Faza odbudowy. Jak komunikować wnioski i zmiany, żeby zamknąć temat zamiast go podtrzymywać.
Format
Warsztaty prowadzę w formule ćwiczeń sztabowych. Dodatkowo jestem dostępny dla zarządu podczas wystąpienia incydentu. System abonamentu pozwala na moją opiekę nad firmą, po wczesnym opracowaniu niezbędnej polityki zarządzania kryzysem.
Warsztat PR a poważny incydent/cyberatak
Uczestnicy pracują na scenariuszu incydentu dopasowanym do profilu organizacji, z narastającą presją czasu i zmieniającymi się ustaleniami. Efektem jest nie tylko przećwiczony zespół, ale też lista luk w istniejących procedurach, gotowa do wykorzystania przy aktualizacji planu komunikacji kryzysowej.
Szkolenie kieruję do kierownictwa, działów prawnych i bezpieczeństwa, zespołów komunikacji i PR, rzeczników – najlepiej razem, ponieważ w kryzysie i tak będą musieli podjąć decyzję wspólnie.
Scenariusze zagrożeń podczas incydentu:
| Scenariusz | Mechanizm szkody reputacyjnej | |
| Wyciek danych osobowych klientów ujawniony publicznie przez atakującego lub badacza, zanim organizacja wyda komunikat | Utrata inicjatywy narracyjnej; odbiór jako ukrywanie faktów | |
| Ransomware z długim przestojem usługi – klienci widzą awarię, organizacja milczy o przyczynie | „Czarna dziura informacyjna” wypełniana spekulacjami | |
| Zbyt wczesna deklaracja o zakresie („żadne dane nie wyciekły”), później skorygowana | Utrata wiarygodności – druga fala kryzysu silniejsza niż pierwsza | |
| Przeciek wewnętrzny (zrzuty ekranu, e-maile) do mediów lub mediów społecznościowych | Podważenie oficjalnej narracji, wrażenie chaosu | |
| Presja i szantaż medialny ze strony atakującego(dedykowana strona, odliczanie, kontakt z dziennikarzami i klientami) | Wymuszanie reakcji w tempie narzuconym przez sprawcę | |
| Dezinformacja / deepfake – fałszywe oświadczenie „zarządu” lub podszywanie się pod obsługę klienta w celu wyłudzeń pokryzysowych | Wtórne szukanie winnego przez klientów, obwinianie organizacji | |
| Faza pokryzysowa – brak komunikacji o wnioskach i naprawie; temat wraca przy każdej kolejnej publikacji | Ryzyko utrwalenia etykiety „firmy po wycieku” |
Poziom zagrożenia reputacyjnego i przykładowe reakcje w mediach i opinii publicznej
(Poziom + opis)
| Nieznaczny | Pojedyncze zapytania klientów; brak zainteresowania mediów |
| Mały | Wzmianki w mediach branżowych; wzrost zgłoszeń do obsługi klienta |
| Umiarkowany | Publikacje w mediach ogólnokrajowych; pytania partnerów B2B; aktywność w mediach społecznościowych |
| Duży | Trwałe pokrycie medialne >7 dni; wystąpienia organu nadzoru; wypowiedzenia umów przez klientów kluczowych |
| Krytyczny | Kryzys ogólnokrajowy, pozwy zbiorowe, dymisje w kierownictwie, mierzalna utrata udziału w rynku |
Zobacz także: pułapki komunikacyjne podczas cyberataku
Obowiązki w obszarze komunikacji i PR
Informowanie odbiorców usług a ustawa KSC
Art. 11 ust. 2b KSC nakłada obowiązek poinformowania użytkowników o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie usług. Odrębnie art. 11 ust. 2a dotyczy poważnego cyberzagrożenia – jeszcze przed wystąpieniem incydentu – i wymaga wskazania użytkownikom możliwych środków zapobiegawczych; o samym zagrożeniu informuje się, o ile nie zwiększy to poziomu ryzyka dla bezpieczeństwa systemów. W praktyce oznacza to dwa różne szablony komunikatu dla mediów i dwa różne progi decyzyjne. Odbiorcy powinni zostać niezwłocznie poinformowani o incydencie, jego wpływie na jakość usługi oraz o wdrożonych środkach zaradczych.
Harmonogram zgłoszeń, który wyznacza rytm komunikacji zewnętrznej.
Zasada 24h/72h/1 miesiąc
Zgłoszenie przez system S46: wczesne ostrzeżenie w 24 godziny od powzięcia wiadomości.
Zgłoszenie incydentu w 72 godziny, raport końcowy w ciągu miesiąca.
Komunikat publiczny musi być spójny z tymi dokumentami — rozjazd między oświadczeniem dla mediów a raportem dla CSIRT to najczęstsze źródło wtórnego kryzysu.
Dwie równoległe ścieżki przy wycieku danych
RODO wymaga zgłoszenia naruszenia do UODO w 72 godziny (art. 33), KSC – zgłoszenia incydentu poważnego do CSIRT sektorowego w trybie 24h/72h/1 miesiąc; obowiązek wobec obu organów pozostaje niezależny.
Dochodzi do tego art. 34 RODO – zawiadomienie osób, których dane dotyczą, przy wysokim ryzyku. To zawiadomienie jest jednocześnie aktem PR i aktem prawnym.
Odpowiedzialność kierownictwa a KSC
Nowelizacja ustaw KSC w Polsce wprowadza odpowiedzialność kierownika podmiotu kluczowego i ważnego za realizację zadań z zakresu cyberbezpieczeństwa wraz z możliwością nałożenia kar oraz obowiązkiem odbycia szkolenia; zarząd odpowiada osobiście do 300% wynagrodzenia, a kary sięgają 10 mln EUR lub 2% obrotu.
Konsekwencja dla PR: rzecznikiem w kryzysie o dużej skali de facto staje się członek zarządu lub wyznaczony ekspert i musi mieć przeszkolenie medialne.
Zobacz także:
Komunikacja w kryzysie – cyberatak, wyciek danych
