NIS2 na uczelniach. Cyberodporność zaczyna się od zarządzania ryzykiem [OPINIA]

Dlatego wymagania wynikające z NIS2 i polskiej ustawy o krajowym systemie cyberbezpieczeństwa warto postrzegać szerzej niż jako kolejny obowiązek regulacyjny. To impuls do uporządkowania odpowiedzialności, rozpoznania zależności pomiędzy systemami i przygotowania uczelni na sytuację, w której część usług cyfrowych przestaje działać albo działa w sposób nieprawidłowy.

Cyberbezpieczeństwo staje się w tym ujęciu elementem ciągłości funkcjonowania całej organizacji.

NIS2 zmienia perspektywę

Dyrektywa NIS2 podnosi wspólny poziom cyberbezpieczeństwa w Unii Europejskiej. Kładzie nacisk nie tylko na zabezpieczenia techniczne, lecz także na zarządzanie ryzykiem, reagowanie na incydenty, ciągłość działania, bezpieczeństwo łańcucha dostaw oraz odpowiedzialność organów zarządzających.

W Polsce jej założenia zostały wdrożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku.

Polskie regulacje obejmują również wskazane podmioty systemu szkolnictwa wyższego i nauki. Zakres obowiązków konkretnej uczelni zależy od jej statusu oraz spełnienia ustawowych kryteriów, dlatego pierwszym krokiem powinna być rzetelna ocena, czy i w jakim charakterze podlega ona nowym przepisom.

Dla instytucji objętych ustawą oznacza to potrzebę wdrożenia adekwatnych środków technicznych i organizacyjnych, a także możliwość wykazania, że rozwiązania te rzeczywiście działają.

Rektor nie musi zastępować zespołu IT

Nowe przepisy wzmacniają zarządczy wymiar cyberbezpieczeństwa. Nie oznacza to jednak, że rektor powinien samodzielnie analizować logi, konfigurować sieć czy oceniać podatności aplikacji. Jego rolą jest stworzenie warunków, w których ryzyko cyfrowe jest rozpoznawane, właściwie finansowane i regularnie nadzorowane.

Obejmuje to jasny podział zadań, zapewnienie odpowiednich zasobów, zatwierdzanie działań służących zarządzaniu ryzykiem oraz kontrolę ich realizacji.

W praktyce potrzebna jest współpraca władz uczelni, administracji, zespołów prawnych i merytorycznych oraz specjalistów IT. Każda z tych grup widzi inną część ryzyka. Informatycy znają architekturę i ograniczenia techniczne, administracja rozumie procesy oraz obieg informacji, a kierownictwo decyduje o priorytetach i zasobach.

Dopiero połączenie tych perspektyw pozwala zbudować system, który nie pozostaje wyłącznie zbiorem procedur.

Najpierw trzeba wiedzieć, co chronimy

Punktem wyjścia powinna być inwentaryzacja systemów, danych, procesów i dostawców. Sama lista aplikacji nie wystarczy. Uczelnia powinna wiedzieć, które usługi są krytyczne dla rekrutacji, dydaktyki, badań i obsługi studentów, kto jest ich właścicielem biznesowym i technicznym oraz jakie inne procesy są od nich zależne.

Dopiero taka mapa pozwala odpowiedzieć na praktyczne pytania: jak długo uczelnia może działać bez systemu dziekanatowego, platformy rekrutacyjnej lub elektronicznego obiegu dokumentów? Które

dane muszą zostać odtworzone w pierwszej kolejności? Jak będzie wyglądała komunikacja, jeśli podstawowe kanały staną się niedostępne? Kto podejmie decyzję o uruchomieniu trybu awaryjnego?

Podobnej uwagi wymaga zarządzanie dostępem. Uczelniane środowisko jest dynamiczne: zmieniają się role pracowników, kończą się projekty, studenci uzyskują i tracą określone uprawnienia, a z systemów korzystają także podmioty zewnętrzne. Uprawnienia powinny być nadawane zgodnie z rzeczywistą potrzebą, regularnie przeglądane i niezwłocznie odbierane, gdy przestają być uzasadnione. Szczególnej ochrony wymagają konta uprzywilejowane, ponieważ ich przejęcie może otworzyć dostęp do wielu usług jednocześnie.

Kopia zapasowa to dopiero początek

Jednym z filarów odporności są kopie zapasowe, ale samo potwierdzenie, że są wykonywane, nie daje jeszcze pewności, że organizacja odtworzy system po incydencie. Trzeba wiedzieć, które zasoby obejmuje backup, jak długo przechowywane są dane czy kopie są odpowiednio odseparowane od środowiska produkcyjnego oraz ile czasu zajmie przywrócenie najważniejszych usług.

Najważniejszym sprawdzianem jest test odtworzeniowy. To on pokazuje, czy dane są kompletne, procedura wykonalna, a zespół zna kolejność działań. Podobnie jest z planami reagowania na incydenty: dokument ma wartość wtedy, gdy wskazuje konkretne role, kanały komunikacji, ścieżki eskalacji i sposób podejmowania decyzji, a jego założenia są regularnie ćwiczone.

Dostawca jako część systemu bezpieczeństwa

Znaczna część infrastruktury uczelni może być utrzymywana przez zewnętrznych dostawców, w tym w modelu chmurowym. Pozwala to korzystać z wyspecjalizowanych kompetencji, stałego monitorowania, aktualizacji i procedur odtwarzania środowiska. Z punktu widzenia NIS2 dostawca nie jest jednak obszarem znajdującym się poza systemem zarządzania ryzykiem, lecz jego integralną częścią.

Dlatego kluczowe znaczenie ma precyzyjny podział odpowiedzialności. Umowa powinna określać standardy bezpieczeństwa, zasady kontroli dostępu, sposób wykonywania i testowania kopii zapasowych, czasy reakcji i odtworzenia usług, reguły informowania o incydentach oraz możliwość weryfikacji realizowanych działań.

Równie istotny jest scenariusz zakończenia współpracy: uczelnia powinna mieć pewność, że odzyska swoje dane w uzgodnionym formacie i będzie mogła bezpiecznie przenieść je do innego środowiska.

Dobra współpraca nie polega więc na prostym przekazaniu problemu na zewnątrz. Jej celem jest takie rozłożenie zadań, aby uczelnia zachowała kontrolę nad kluczowymi decyzjami, a jednocześnie mogła korzystać z technologii i kompetencji, których samodzielne utrzymywanie byłoby trudne lub nieefektywne.

Zgodność to nie to samo co odporność

Wdrożeniu nowych wymagań może towarzyszyć pokusa skupienia się na dokumentacji. Procedury i rejestry są potrzebne, lecz nie zastąpią działających zabezpieczeń, przygotowanego zespołu i przećwiczonych scenariuszy.

O rzeczywistym poziomie cyberodporności świadczy zdolność wykrycia nieprawidłowości, ograniczenia skutków incydentu, utrzymania najważniejszych procesów oraz bezpiecznego odtworzenia usług.

Warto więc zacząć od kilku konkretnych pytań. Czy uczelnia zna swoje najważniejsze zasoby i zależności? Czy dostęp do nich jest zgodny z aktualnymi rolami użytkowników? Czy potrafi odtworzyć systemy z kopii w zakładanym czasie? Czy umowy z dostawcami opisują sposób postępowania w razie incydentu? Czy pracownicy wiedzą, gdzie zgłosić podejrzaną wiadomość, nietypowe działanie systemu lub przypadkowe ujawnienie danych?

NIS2 nie sprowadza się do zakupu kolejnego narzędzia. Jej najważniejszym skutkiem jest włączenie cyberbezpieczeństwa do codziennego zarządzania uczelnią.

To proces, który wymaga wspólnego języka dla władz, administracji i IT, a także regularnego sprawdzania, czy przyjęte rozwiązania odpowiadają zmieniającemu się ryzyku. Tak rozumiana zgodność z przepisami może stać się nie tylko obowiązkiem, lecz także sposobem na zwiększenie odporności całej instytucji.