Gawkowski: państwo będzie publicznie wskazywać firmy, które nie dbają o cyberbezpieczeństwo

Wicepremier i minister cyfryzacji Krzysztof Gawkowski zapowiedział zmianę podejścia państwa do cyberbezpieczeństwa firm. Do tej pory rząd głównie dofinansowywał zabezpieczenia i publikował zalecenia. Teraz zamierza publicznie wskazywać firmy, które się nie zabezpieczyły. Zapowiedź padła 7 października podczas konferencji Cyber24 Days.

„Będziemy wskazywać palcem”

„Teraz będziemy wam pomagać, ale będziemy wskazywać palcem, które firmy się nie zabezpieczyły” — powiedział Gawkowski. Według ministra dotychczasowe podejście nie zadziałało, bo wiele polskich firm z zaniedbania nie inwestowało w swoje bezpieczeństwo.

Nowe podejście ma obejmować:

• informowanie mediów i opinii publicznej, kto odpowiada za konkretne incydenty,
• ostrzeganie przed atakami o tym, jak słabo zabezpieczone są całe branże: od sportu i rolnictwa, przez obsługę administracji, po sektor medyczny,
• położenie nacisku na odpowiedzialność właścicieli, zarządów i rad nadzorczych,
• dalsze wsparcie finansowe, ale na inwestycje przed atakiem, a nie po nim.

Energetyka pod szczególną kontrolą

Minister energii Miłosz Motyka zapowiedział, że spółki energetyczne, zarówno państwowe, jak i prywatne, muszą przejść „pełną profesjonalizację” cyberbezpieczeństwa i przedstawić plany rozwoju w tym obszarze. Ministerstwa chcą wspólnie zaplanować w budżetach na lata 2026–2027 pieniądze na poprawę zabezpieczeń w energetyce.

Stawka jest wysoka. Jeden dzień ogólnokrajowego zaniku zasilania kosztowałby polską gospodarkę według szacunków co najmniej 40 mld zł. W tle są skoordynowane ataki na polski sektor energii z grudnia 2025 roku.

Dlaczego teraz: seria wycieków danych Polaków

Zapowiedź pada po serii dużych wycieków danych z polskich firm, w szczególności z branży medycznej:

• MyDr (system elektronicznej dokumentacji medycznej): wyciek może dotyczyć nawet 18,8 mln osób i ponad 12 tys. placówek. Wśród danych są numery PESEL, dane kontaktowe, recepty i informacje o stanie zdrowia. Minister nazwał to jednym z największych incydentów tego typu w historii kraju.
• Medyc: przestępcy twierdzą, że mają dane około 5 mln osób.
• IQ Dental i FELG (oprogramowanie dla gabinetów stomatologicznych), Wakacje.pl (dane z paszportów) oraz Legimi.

Osoby, które chcą sprawdzić, czy ich dane wyciekły, mogą skorzystać z rządowego serwisu bezpiecznedane.gov.pl. Warto też zastrzec numer PESEL w aplikacji mObywatel.

Co to oznacza dla Twojej firmy

Publiczne wskazanie firmy jako winnej wycieku to dla wielu organizacji większa strata niż kara finansowa: odejście klientów, utrata kontraktów, pytania od banków i ubezpieczycieli. Do tego dochodzą obowiązki z dyrektywy NIS2, która wprost przenosi odpowiedzialność za cyberbezpieczeństwo na zarząd (pisaliśmy o tym w przewodniku po NIS2).

Na początek warto zrobić trzy rzeczy:

1. Sprawdzić, gdzie są dane klientów i kto z dostawców ma do nich dostęp. Większość tegorocznych wycieków zaczęła się od dostawcy oprogramowania albo usługi.
2. Zrobić niezależny audyt bezpieczeństwa i plan naprawczy z terminami. Taki dokument jest też dowodem należytej staranności, gdyby doszło do incydentu.
3. Przygotować plan reagowania na incydenty: kto decyduje, kogo powiadamiamy i w jakim czasie (zobacz nasz artykuł o planie reagowania na incydenty).

Komentarz SecurHUB

Zmiana tonu rządu to jasny sygnał: cyberbezpieczeństwo przestaje być sprawą działu IT, a staje się odpowiedzialnością zarządu, rozliczaną także publicznie. Pomagamy firmom przygotować się do tego, zanim dojdzie do incydentu: od audytu zgodności z NIS2 i ISO 27001, przez testy penetracyjne, po monitoring SOC 24/7.

Źródła: WNP.pl, Spider’s Web, XYZ.pl, Portal Faktura.pl (MyDr)