Cybersecurity dla zarządów (non-technical)

Nie — szkolenie jest celowo zaprojektowane bez żargonu technicznego, dla osób odpowiedzialnych za nadzór strategiczny, nie za realizację techniczną. Skupiamy się na decyzjach, pytaniach kontrolnych i odpowiedzialności prawnej, a nie na konfiguracji systemów czy szczegółach ataków.

Ustawa o KSC implementująca NIS2 nakłada na organ zarządzający obowiązek zatwierdzania i nadzorowania środków zarządzania ryzykiem cyberbezpieczeństwa oraz odbywania regularnych szkoleń w tym zakresie. Zaniechanie tego nadzoru może skutkować odpowiedzialnością osobistą członka zarządu, niezależnie od kar administracyjnych nakładanych na samą spółkę. Na szkoleniu dokładnie omawiamy zakres tej odpowiedzialności i sposoby jej udokumentowanego wypełnienia.

Uczymy zarząd zadawać konkretne pytania kontrolne: kiedy plan był ostatnio testowany (nie tylko zaktualizowany), kto ma jasno przypisaną rolę decyzyjną w pierwszych godzinach incydentu, oraz jakie wnioski wyciągnięto z ostatniego ćwiczenia lub rzeczywistego zdarzenia. Brak konkretnych odpowiedzi na te pytania jest sygnałem ostrzegawczym niewymagającym wiedzy technicznej do rozpoznania.

Pozostałe szkolenia NIS2 (m.in. dla zarządu i kadry IT, ogólne przygotowanie organizacji) łączą perspektywę zarządu z elementami wdrożenia technicznego lub obejmują szerszy zespół. To szkolenie jest w całości zaprojektowane wyłącznie dla poziomu decyzyjnego — bez modułów wdrożeniowych czy technicznych — skupione na tym, co zarząd musi wiedzieć i decydować, nie na tym, jak to wdrożyć operacyjnie.

Kluczowe decyzje w pierwszych godzinach to: aktywacja planu zarządzania kryzysowego z jasnym podziałem ról, decyzja o zaangażowaniu zewnętrznych ekspertów forensyki i prawników, ustalenie jednego kanału komunikacji zewnętrznej (unikanie sprzecznych komunikatów) oraz ocena obowiązków notyfikacyjnych wobec regulatora w ustawowych terminach. Na szkoleniu ćwiczymy ten proces decyzyjny na przykładzie realistycznego scenariusza.