Za większością cyberataków stoi zorganizowana przestępczość nastawiona na zysk, a nie szpiegostwo czy działania państw. Według Stowarzyszenia Niezależnych Członków Rad Nadzorczych na atak narażone są też małe i średnie firmy, w których nadzór nad cyberbezpieczeństwem bywa słabszy.
Stowarzyszenie Niezależnych Członków Rad Nadzorczych zwraca uwagę, że cyberbezpieczeństwo przestało być wyłącznie domeną działu IT i staje się obszarem odpowiedzialności zarządów oraz rad nadzorczych. Cyberatak może zatrzymać sprzedaż, produkcję i systemy finansowe firmy, obniżyć jej wartość i skutkować odpowiedzialnością zarządczą.
Obraz zagrożeń porządkują dane z raportu „Data Breach Investigations Report 2026″ firmy Verizon. Wynika z niego, że 88 proc. naruszeń ma motyw finansowy, a za 87 proc. ataków z udziałem podmiotów zewnętrznych stoi przestępczość zorganizowana. Grupy powiązane z państwami odpowiadają za około 15 proc. naruszeń, a szpiegostwo jako motyw za około 13 proc.
Jakub Bojanowski, ekspert w zakresie zarządzania ryzykiem, audytu IT i cyberbezpieczeństwa oraz członek stowarzyszenia, ocenia, że te dane zmieniają sposób myślenia o zagrożeniu.
„Zarządy i rady nadzorcze często wyobrażają sobie atak wyrafinowanego szpiega przemysłowego, tymczasem w zdecydowanej większości przypadków to zorganizowana grupa przestępcza, która chce po prostu zarobić pieniądze. Większość ataków powiela sprawdzone, lecz wciąż skuteczne schematy, przed którymi łatwiej się bronić niż przed nieznanym scenariuszem” — mówi Bojanowski.
Zdaniem stowarzyszenia ryzyko nie omija mniejszych podmiotów. Małe i średnie firmy rodzinne bywają narażone bardziej, bo rzadziej mają rozbudowane zespoły bezpieczeństwa, formalne procedury raportowania i regularne audyty. Filip Gorczyca, członek zarządu stowarzyszenia, wskazuje, że w dużej spółce temat bywa podejmowany nawet bez aktywności rady nadzorczej, a w mniejszej bierność rady może doprowadzić do katastrofy.
Kierunek zmian pokazuje badanie firmy EY, śledzące od 2019 roku, co spółki z listy Fortune 100 ujawniają na temat cyberbezpieczeństwa. Odsetek spółek, w których osoba odpowiedzialna za bezpieczeństwo IT regularnie raportuje komitetowi audytu, wzrósł z 16 do 78 proc. Odwołania do ogólnodostępnych standardów bezpieczeństwa zwiększyły się z 4 do 73 proc., a korzystanie z zewnętrznych, niezależnych doradców z 14 do 99 proc.
Z raportu KPMG wynika z kolei, że co czwarta firma rodzinna na świecie doświadczyła w ostatnich 12 miesiącach skutecznego cyberataku. Wśród nich 56 proc. inwestuje potem w szkolenia pracowników, ale tylko 38 proc. przeprowadza testy penetracyjne. Stowarzyszenie ocenia, że firmy chętniej naprawiają skutki, niż systemowo budują odporność.
Kontekstem jest nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa. Bojanowski zwraca uwagę, że dyskusja wokół niej skupia się na karach i odpowiedzialności kadry zarządzającej, choć to według niego fałszywa perspektywa.
„W scenariuszu, w którym jesteśmy ofiarą skutecznego cyberataku, kary administracyjne są naszym najmniejszym problemem. Rada nadzorcza, która regularnie nie zadaje pytań o cyberbezpieczeństwo, ma to przed sobą, i to zwykle w najgorszym możliwym momencie” — podsumowuje Bojanowski.
