Pierwsze dziesięć dni po uznaniu za podmiot kluczowy: cztery decyzje, które zarząd powinien podjąć, zanim zadzwoni do prawnika
Lista 131 pytań ministerstwa nie odpowiada na pytanie „co teraz". Decyzje pierwszych dziesięciu dni przesądzają, czy następne dwanaście miesięcy będzie uporządkowanym programem, czy reaktywnym chaosem.
Dlaczego pierwszy tydzień różni się od pozostałych pięćdziesięciu jeden
Ustawa o krajowym systemie cyberbezpieczeństwa daje podmiotom kluczowym i ważnym sześć miesięcy na złożenie wniosku o wpis do wykazu i dwanaście miesięcy na pełne wdrożenie środków zarządzania ryzykiem. Terminy wyglądają spokojnie. W praktyce każdy tydzień zwłoki w pierwszych dziesięciu dniach zwraca się czterokrotnie w ostatnich sześciu tygodniach wdrożenia.
Powód jest organizacyjny, nie regulacyjny. W pierwszych dziesięciu dniach zarząd ma okno decyzyjne, które zamyka się wraz z pojawieniem się bieżących zadań. Dopóki program KSC2 nie ma właściciela, budżetu i rytmu raportowania, nie istnieje jako przedmiot decyzji zarządczych. Nie ma kto go zaplanować, nie ma kto go zakomunikować dalej, nie ma kto zlecić diagnozy. Każda rozmowa o KSC2 rozpoczyna się od pytania „a kto się tym zajmuje", i każda z nich kończy się bez odpowiedzi.
Różnica między tymi dwoma scenariuszami to około dwunastu tygodni pracy zespołu i kilkuset tysięcy złotych budżetu. Pierwszy tydzień jest momentem, w którym ta różnica się rozstrzyga.
Cztery decyzje zarządu
Dowiedz się więcej o bezpieczeństwie w Twojej organizacji
Zobacz, gdzie Twoja organizacja jest dziś i jakie decyzje warto podjąć w pierwszej kolejności.
Jak to wygląda w harmonogramie dziesięciu dni
Cztery decyzje nie muszą być podejmowane równolegle. Sekwencja oszczędza pracę i pozwala każdej kolejnej decyzji budować na poprzedniej. Typowy harmonogram dla organizacji, która właśnie rozpoznała objęcie regulacją, wygląda tak:
Ten harmonogram nie jest sztywny. W organizacjach, w których posiedzenia zarządu odbywają się rzadziej niż raz w tygodniu, decyzje mogą być podejmowane poza posiedzeniem w trybie obiegowym, z formalnym potwierdzeniem na najbliższym posiedzeniu. W organizacjach, w których zarząd jest dostępny codziennie, harmonogram może być skompresowany do pięciu-siedmiu dni. Ramy pozostają te same.
Trzy typowe błędy w pierwszych dziesięciu dniach
Organizacje, które zwlekają z decyzjami pierwszych dziesięciu dni, popełniają zwykle jeden z trzech błędów. Każdy z nich jest przewidywalny i każdy ma prostą diagnozę.
Błąd pierwszy: delegowanie całości do działu IT
Zarząd dowiaduje się o KSC2, uznaje to za temat techniczny i przekazuje dyrektorowi IT z prośbą „proszę się tym zająć". Dyrektor IT rozpoczyna prace bez ustalonego zakresu, budżetu i właściciela po stronie zarządu. Po sześciu tygodniach pojawia się pierwszy raport, w którym zarząd dowiaduje się, że dział IT pracował nad obszarami, które zarząd uznałby za drugorzędne, gdyby zdążył wyrazić opinię. Koszt: dwa miesiące pracy zespołu i uszczuplone zaufanie między zarządem a działem IT. Naprawa wymaga cofnięcia się do decyzji pierwszej.
Błąd drugi: czekanie na „więcej informacji" przed pierwszą decyzją
Zarząd uznaje, że przed wyznaczeniem właściciela i ustaleniem budżetu warto „lepiej zrozumieć temat". Zleca analizę prawną, konsultacje z doradcami, prezentację od dyrektora IT. Po trzech tygodniach ma osiemdziesiąt stron dokumentów i żadnej decyzji. Problem leży w tym, że decyzja o właścicielu i budżecie jest niezależna od szczegółów ustawy. Można ją podjąć bez znajomości ustawy, z zastrzeżeniem, że właściciel i budżet są doprecyzowywane w kolejnych tygodniach. Czekanie na pełne informacje zamienia pierwszy tydzień w tydzień analityczny, a pierwszy miesiąc w miesiąc dokumentacyjny, podczas gdy wdrożenie nie startuje.
Błąd trzeci: rezerwa budżetowa zero
Zarząd wyznacza właściciela, ale odkłada decyzję budżetową do czasu otrzymania diagnozy. Właściciel programu nie może zlecić diagnozy, bo nie ma budżetu. Dyrektor finansowy nie może zaakceptować wydatku, bo nie ma decyzji zarządu. Powstaje pętla, z której wychodzi się dopiero po dwóch-trzech tygodniach, gdy zarząd uświadamia sobie, że brak placeholdera budżetowego blokuje rozpoczęcie prac. Rozwiązanie: decyzja druga musi być podjęta równolegle z pierwszą, nie po niej.
Od czego zacząć
Cztery decyzje opisane wyżej są ramą, nie receptą. Każda organizacja adaptuje je do swojej specyfiki: struktury zarządu, rytmu posiedzeń, relacji z dyrektorem finansowym, dostępu do wewnętrznych lub zewnętrznych ekspertów cyberbezpieczeństwa. Rama jest stała: właściciel, budżet, punkt zerowy, rytm raportowania. Sekwencja dziesięciu dni też jest stała. Adaptacji podlega tylko to, jak konkretnie w danej organizacji te decyzje są podejmowane i dokumentowane.
Najprostszy test, czy zarząd jest na właściwej drodze, brzmi: za dziesięć dni od rozpoznania, że organizacja jest w zakresie KSC2, czy mamy jedną osobę z zarządu odpowiedzialną operacyjnie, kwotę zarezerwowaną w budżecie, zleconą diagnozę i termin pierwszego raportu na agendzie. Cztery pytania, cztery odpowiedzi tak albo nie. Cztery razy tak oznaczają, że następne jedenaście miesięcy będzie uporządkowanym programem. Dowolne nie oznacza, że pierwszy tydzień trzeba powtórzyć.
Bądźmy w kontakcie
Chcesz porozmawiać o cyberbezpieczeństwie w Twojej organizacji i wspólnych możliwościach? Wypełnij formularz poniżej lub skontaktuj się z nami bezpośrednio.
