Cyberbezpieczeństwo po ludzku

Jedno stare konto VPN. Brak MFA. Tyle wystarczyło, aby atak ransomware na Colonial Pipeline wywołał kryzys, kolejki po paliwo i ogromną presję na zarząd firmy.
W tym odcinku opowiadam historię cyberataku z maja 2021 roku, ale nie po to, żeby mówić o rurociągach w Stanach Zjednoczonych. Pokazuję, dlaczego ta sytuacja dotyczy także firm, które nie są elementem infrastruktury krytycznej.
Bo każda organizacja ma swój „rurociąg”. Dla sklepu internetowego może to być system zamówień. Dla firmy logistycznej system planowania tras. Dla kancelarii dostęp do dokumentów klientów. Dla fabryki linia produkcyjna.
W odcinku wyjaśniam:
👉dlaczego firma zdecydowała się zatrzymać część działalności,
👉jak problem techniczny może szybko stać się kryzysem operacyjnym, finansowym i reputacyjnym,
👉dlaczego decyzja o zapłaceniu okupu zaczyna się dużo wcześniej niż w dniu ataku,
👉jak stare konta VPN, dostępy dostawców i wyjątki od zasad stają się realnym ryzykiem,
👉dlaczego MFA nie jest tylko zadaniem dla działu IT,
👉jakie pytania zarząd powinien zadać, zanim zrobi to kryzys.
Na końcu dostaniesz 5 prostych pytań, które warto zadać w swojej firmie już dziś: o zdalne dostępy, konta VPN, MFA, backupy i plan działania po ransomware.
CHAPTERY
00:00:00 Intro
00:01:25 Colonial Pipeline: historia jednego konta VPN
00:03:16 Ransomware i decyzja o zatrzymaniu rurociągu
00:05:19 Jak cyberatak wywołał kolejki po paliwo
00:07:06 Czy firma powinna zapłacić okup?00:09:06 Stare konto VPN i brak MFA
00:10:52 Zapomniane dostępy, wyjątki i konta dostawców
00:12:28 Każda firma ma swój „rurociąg”
00:13:24 3 lekcje dla zarządu po ataku ransomware
00:15:18 5 pytań o odporność Twojej firmy
00:16:18 Dlaczego największe kryzysy zaczynają się od drobiazgów
00:17:05 Podsumowanie i zaproszenie do subskrypcji

💬 Napisz w komentarzu: czy w Twojej firmie ktoś potrafi dziś pokazać pełną listę aktywnych dostępów VPN, kont dostawców i wyjątków od MFA?
📌 Prześlij ten odcinek osobie z zarządu, IT lub operacji i wspólnie sprawdźcie, czy testowaliście odtwarzanie po ransomware oraz kto podejmuje decyzje w pierwszych godzinach kryzysu.

Jak przygotować firmę do NIS2 i nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa bez chaosu, przypadkowych działań i kosztownych błędów?
W trzecim odcinku serii „Cyberbezpieczeństwo po ludzku” pokażę Ci 7 najczęstszych błędów popełnianych przez firmy podczas przygotowań do nowych obowiązków oraz przedstawię konkretną roadmapę wdrożenia na 30, 90 i 180 dni.
Wyjaśnię, dlaczego nie wystarczy przygotować dokumentów i schować ich do szafy, czemu odpowiedzialności nie można po prostu przekazać działowi IT oraz dlaczego polityki skopiowane z innej firmy mogą bardziej zaszkodzić niż pomóc.
W tym odcinku omawiam między innymi:
⚠️ traktowanie NIS2 i UKSC jako zwykłej „papierologii”
⚠️ brak realnego zaangażowania zarządu
⚠️ kopiowanie polityk bez uwzględnienia specyfiki organizacji
⚠️ jednorazową analizę ryzyka zamiast ciągłego procesu
⚠️ błędne przekonanie, że certyfikat dostawcy gwarantuje bezpieczeństwo
⚠️ założenie, że ISO 27001 i RODO wystarczą
⚠️ brak przetestowanego planu reagowania i raportowania incydentów
Przeprowadzę Cię również przez roadmapę działań:
✅ co zrobić w ciągu pierwszych 30 dni
✅ jakie działania zaplanować na okres 30–90 dni
✅ co musi wydarzyć się między 90. a 180. dniem
✅ jak zaplanować pełne wdrożenie SZBI
✅ kiedy podmioty kluczowe muszą przygotować się do audytu
📅 Najważniejsze terminy omawiane w odcinku:
3 października 2026 roku: termin na złożenie wniosku o wpis dla firm spełniających kryteria od 3 kwietnia 2026 roku
3 kwietnia 2027 roku: termin pełnego wdrożenia obowiązków
3 kwietnia 2028 roku: termin pierwszego audytu dla podmiotów kluczowych
Pokazuję też, gdzie szukać wiarygodnych materiałów i wytycznych, między innymi na stronach ENISA, CERT Polska, Ministerstwa Cyfryzacji oraz instytucji sektorowych.
To trzeci i ostatni odcinek tej serii. Jeśli nie widziałeś poprzednich materiałów, zacznij od odcinka pierwszego, w którym wyjaśniam, kogo dotyczą nowe przepisy: https://youtu.be/xwTOG43Ydtw
Następnie obejrzyj odcinek drugi o 10 obowiązkowych wymaganiach: https://youtu.be/gbnvwxYv0wk
Chaptery
00:00:00 Wprowadzenie do trzeciego odcinka serii NIS2 i UKSC
00:01:07 7 najczęstszych błędów przy wdrażaniu NIS2
00:02:56 Błąd 3: kopiowanie polityk z innych firm
00:05:20 Błąd 5: błędna ocena bezpieczeństwa dostawców
00:07:43 Błąd 7: brak gotowości na incydent
00:09:25 Roadmapa NIS2: pierwsze 30 dni
00:10:23 Roadmapa NIS2: działania na 30–90 dni
00:11:37 Roadmapa NIS2: działania na 90–180 dni
00:12:51 Pełne wdrożenie SZBI i terminy audytów
00:13:52 ENISA, CERT i inne źródła wsparcia
00:14:46 Podsumowanie całej serii NIS2 i UKSC
📌 Jeśli chcesz być na bieżąco z tematami NIS2, UKSC, AI Act i odpowiedzialności zarządu za cyberbezpieczeństwo, zasubskrybuj kanał „Cyberbezpieczeństwo po ludzku”.
💬 Napisz w komentarzu „ROADMAPA”, jeśli chcesz, żebym przygotowała praktyczną checklistę działań dla firmy na 30, 90 i 180 dni.
Obserwuj mnie również tutaj:
LinkedIn: https://www.linkedin.com/in/joanna-wziatek/
Instagram: https://www.instagram.com/paniodcyber
Facebook: https://www.facebook.com/paniodcyber
Jeśli potrzebujesz szkolenia, konsultacji, ćwiczeń tabletop albo wsparcia we wdrożeniu obowiązków NIS2 i UKSC, skontaktuj się ze mną bezpośrednio.

W tym odcinku przechodzę do konkretów: co firma musi realnie wdrożyć w związku z NIS2 i nową ustawą o Krajowym Systemie Cyberbezpieczeństwa?
To drugi odcinek serii o NIS2 i UKSC. W pierwszym sprawdzaliśmy, kogo dotyczy nowa ustawa, jakie są terminy i kiedy trzeba złożyć wniosek o wpis do wykazu podmiotów kluczowych lub ważnych. Link do odcinka: https://youtu.be/xwTOG43Ydtw?si=9cqBO4yPRboY6URp
W tym odcinku omawiam 10 obowiązkowych wymogów, które trzeba wdrożyć nie „na papierze”, ale w praktyce.
Wyjaśniam bez żargonu technicznego:
czym jest SZBI, czyli system zarządzania bezpieczeństwem informacji,

dlaczego analiza ryzyka musi być procesem, a nie dokumentem w szafie,

jak zarządzać bezpieczeństwem dostawców i łańcuchem dostaw,

jak wygląda zgłaszanie incydentów w schemacie 24h / 72h / 30 dni,

dlaczego MFA i kontrola dostępu to dziś absolutna podstawa,

gdzie pojawiają się wyzwania związane z szyfrowaniem, zwłaszcza w OT,

jakie szkolenia są obowiązkowe dla kierownictwa i pracowników,

kogo dotyczy weryfikacja niekaralności,

kiedy potrzebny jest audyt co 3 lata,

dlaczego odpowiedzialność za cyberbezpieczeństwo trafia na poziom zarządu.

W odcinku pokazuję też, dlaczego cyberbezpieczeństwo nie jest już tylko sprawą działu IT. To temat zarządczy, prawny, operacyjny i biznesowy.
W kolejnym, trzecim odcinku serii przejdziemy przez najczęstsze błędy przy wdrażaniu UKSC oraz konkretną roadmapę działań: co zrobić w 30, 90 i 180 dni.
Jeśli Twoja firma może podlegać pod NIS2 lub nową ustawę o KSC, ten odcinek pomoże Ci zrozumieć, od czego zacząć i jak poukładać wdrożenie krok po kroku.
Chaptery:
00:00:00 Start i plan odcinka00:00:54
Wymóg 1: SZBI w praktyce
00:03:15 Wymóg 2: systematyczna analiza ryzyka
00:04:32 Wymóg 3: bezpieczeństwo dostawców i łańcucha dostaw
00:06:23 Wymóg 4: zgłaszanie incydentów 24h / 72h / 30 dni
00:07:59 Wymóg 5: MFA i kontrola dostępu
00:08:55 Wymóg 6: szyfrowanie, kryptografia i wyzwania OT
00:10:00 Wymóg 7: szkolenia, phishing i cyberhigiena
00:12:02 Wymóg 8: weryfikacja niekaralności personelu cyber
00:12:31 Wymóg 9: audyty co 3 lata dla podmiotów kluczowych
00:13:27 Wymóg 10: odpowiedzialność zarządu za cyberbezpieczeństwo
00:14:44 Podsumowanie i zapowiedź odcinka 3
Jeśli chcesz być na bieżąco z tematami cyberbezpieczeństwa, NIS2, AI Act i odpowiedzialności zarządu, zasubskrybuj kanał Cyberbezpieczeństwo po ludzku.
Napisz w komentarzu „NIS2”, jeśli chcesz, żebym przygotowała checklistę pierwszych kroków dla firm.
Obserwuj mnie również tutaj:
LinkedIn: https://www.linkedin.com/in/joanna-wziatek/
Instagram: https://www.instagram.com/paniodcyber
Facebook: https://www.facebook.com/paniodcyber
Jeśli potrzebujesz szkolenia, konsultacji lub wsparcia w przygotowaniu firmy do nowych obowiązków, skontaktuj się ze mną bezpośrednio.

Czy Twoja firma podlega pod NIS2 i nową ustawę o Krajowym Systemie Cyberbezpieczeństwa?
W tym odcinku rozpoczynam serię o NIS2 i nowelizacji ustawy o KSC. Wyjaśnię Ci, kogo dotyczą nowe przepisy, czym różni się podmiot kluczowy od podmiotu ważnego i dlaczego wiele firm powinno jak najszybciej sprawdzić swoje PKD, sektory działalności oraz progi zatrudnienia i obrotu.
Od 3 kwietnia 2026 roku biegną ważne terminy dla firm, które mogą podlegać pod ustawę. Dla wielu organizacji kluczowy będzie termin 3 października 2026 roku, czyli 6 miesięcy na złożenie elektronicznego wniosku o wpis do wykazu podmiotów kluczowych lub ważnych.
W tym odcinku opowiem Ci:
👉 skąd wzięła się dyrektywa NIS2 i nowa ustawa o KSC,
👉 kogo mogą objąć nowe obowiązki,
👉 czym różnią się podmioty kluczowe i ważne,
👉 dlaczego samoidentyfikacja przez PKD może być pułapką,👉 jakie terminy powinny znać firmy,
👉 jakie kary i sankcje grożą za brak działania.
To pierwszy odcinek serii. W kolejnych materiałach omówimy konkretne obowiązki oraz praktyczną roadmapę wdrożenia.
Jeśli jesteś właścicielem firmy, członkiem zarządu, osobą odpowiedzialną za compliance, IT, bezpieczeństwo lub zarządzanie ryzykiem, ten odcinek pomoże Ci zrozumieć, czy NIS2 i UKSC mogą dotyczyć Twojej organizacji.
Warto działać wcześniej, bo w przypadku nowych przepisów cyberbezpieczeństwo przestaje być tylko tematem IT. To staje się realną odpowiedzialnością biznesową i zarządczą.
Dla porządku: nowelizacja ustawy o KSC wprowadza m.in. podział na podmioty kluczowe i ważne, rozszerza katalog sektorów oraz obowiązki w zakresie zarządzania ryzykiem cyberbezpieczeństwa. Informacje o nowelizacji i kierunku zmian potwierdzają m.in. gov.pl oraz ISAP.
Chaptery
00:00:00 Start serii NIS2 i najważniejszy deadline
00:02:12 Skąd wzięło się NIS2 i jakie są terminy
00:04:03 Kogo obejmuje nowa ustawa o KSC
00:04:32 Podmiot kluczowy czy ważny – jak to rozróżnić
00:05:41 Sektory, PKD i najczęstsze pułapki kwalifikacji
00:07:29 Samoidentyfikacja i wniosek do wykazu KSC
00:08:45 Kary, sankcje i odpowiedzialność zarządu
00:10:50 Podsumowanie i zapowiedź kolejnych odcinków
Jeśli chcesz być na bieżąco z tematami cyberbezpieczeństwa, NIS2, AI Act i odpowiedzialności zarządu, zasubskrybuj kanał Cyberbezpieczeństwo po ludzku.
Napisz w komentarzu NIS2, jeśli chcesz, żebym przygotowała checklistę pierwszych kroków dla firm.
Obserwuj mnie również tutaj:
👉 LinkedIn: https://www.linkedin.com/in/joanna-wziatek/
👉 Instagram: https://www.instagram.com/paniodcyber
👉 Facebook: https://www.facebook.com/paniodcyber

Jeśli potrzebujesz szkolenia, konsultacji lub wsparcia w przygotowaniu firmy do nowych obowiązków, skontaktuj się ze mną bezpośrednio.

Czy Twoja firma jest gotowa na EU AI Act 2026?
Od sierpnia 2026 roku zaczynają być egzekwowane pełne wymagania unijnego AI Act dla systemów wysokiego ryzyka. To oznacza, że firmy wykorzystujące AI m.in. w rekrutacji, scoringu, analizie ryzyka czy diagnostyce będą musiały udowodnić przejrzystość, uczciwość i możliwość audytu swoich systemów.
W tym odcinku pokażę Ci, czym naprawdę jest audyt AI i dlaczego różni się od klasycznego audytu IT.
Wyjaśnię:
👉 czym jest „audyt decyzji” i dlaczego to on będzie kluczowy
👉 jakie systemy AI są uznawane za wysokiego ryzyka
👉 co dokładnie sprawdza audytor (dane, logi, explainability, bias, human oversight)
👉 czym jest Shadow AI i dlaczego to realny problem w firmach
Pokażę Ci też 3 filary przygotowania:
✔ EU AI Act
✔ NIST AI RMF
✔ ISO 42001
Na koniec dostaniesz ode mnie 5 konkretnych kroków, które możesz wdrożyć już dziś:
✔ rejestr systemów AI
✔ gap analysis
✔ wyznaczenie właściciela AI governance
✔ wdrożenie systemu zarządzania
✔ przygotowanie do audytu
Jeśli Twoja firma korzysta z AI, ten odcinek pomoże Ci przygotować się na nadchodzące regulacje i uniknąć poważnych konsekwencji finansowych.
📌 Jeśli pracujesz z AI w firmie:
👉 Subskrybuj kanał
👉 Napisz w komentarzu „AI ACT” – podeślę Ci checklistę przygotowania
👉 Udostępnij ten odcinek w swoim zespole
📌 Szkolenia i audyty AI:
👉 Skontaktuj się ze mną bezpośrednio: kontak@joannawziatek.pl
CHAPTERY:
00:00:00 EU AI Act 2026 – co się zmienia i kiedy wchodzi
00:00:54 Czym jest audyt AI i czym różni się od audytu IT
00:01:44 Audyt decyzji – kluczowy element AI Act
00:02:35 AI w rekrutacji i systemy wysokiego ryzyka
00:04:28 3 filary przygotowania (EU AI Act, NIST, ISO 42001)
00:08:21 Co sprawdza audytor AI w firmie
00:11:51 5 kroków przygotowania do audytu AI
00:14:58 Podsumowanie i co zrobić już teraz
00:16:26 Zakończenie odcinka
📌 Obserwuj mnie także tutaj:
LinkedIn: https://www.linkedin.com/in/joanna-wziatekInstagram: https://www.instagram.com/paniodcyberFacebook: https://www.facebook.com/paniodcyber