Osiemdziesiąt pięć procent polskich firm i instytucji doświadczyło cyberincydentu w ciągu ostatnich dwunastu miesięcy. Tylko 15 procent wyszło z tego roku bez szwanku. Nowy raport „Cyberportret polskiego biznesu 2026” to nie jest lektura na dobranoc — to rachunek sumienia dla całego polskiego biznesu.
Kluczowe fakty:
- Według raportu "Cyberportret polskiego biznesu 2026" przygotowanego przez ESET i DAGMA Bezpieczeństwo IT, aż 85 procent polskich firm i instytucji doświadczyło cyberincydentu w ciągu ostatnich dwunastu miesięcy.
- 35 procent badanych pracowników przyznaje, że byłoby gotowych obejść firmowe ograniczenia, aby korzystać z wybranych narzędzi AI, a ponad jedna czwarta z nich w tym celu używałaby prywatnych urządzeń.
- 62 procent pracowników korzysta z narzędzi AI w codziennych obowiązkach służbowych, przy czym firmy nie nadążają z wdrażaniem odpowiednich regulacji i szkoleń dotyczących bezpiecznego użytkowania tych technologii.
Premiera trzeciej edycji raportu przygotowanego przez ESET i DAGMA Bezpieczeństwo IT miała miejsce 15 czerwca podczas konferencji CyberSec Expo & Forum w Katowicach. Badanie przeprowadzono na próbie ponad tysiąca osób pracujących przy komputerze co najmniej trzy dni w tygodniu. Liczby mówią same za siebie, choć rzadko ktoś chce ich słuchać.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Ransomware w trzy godziny, koszt w setkach tysięcy
Jeden mail phishingowy. Jeden nieświadomy pracownik, który go otworzył. I trzy godziny, żeby zaszyfrować wszystkie operacyjne bazy danych średniej firmy logistycznej. Taką historię przytaczają eksperci z ESET jako ilustrację tego, co dzieje się w polskich firmach. Firma na wiele dni straciła możliwość śledzenia przesyłek i obsługi zleceń. Koszt — setki tysięcy złotych.
To nie wyjątek. To schemat.
Z raportu wynika, że 35 procent badanych pracowników byłoby gotowych obejść firmowe ograniczenia, żeby móc korzystać z wybranych narzędzi AI. Co więcej, ponad jedna czwarta z nich przyznaje, że w takiej sytuacji skorzystałaby z prywatnych urządzeń, a efekt pracy AI przesłałaby potem na służbowy sprzęt. Dla wielu osób wygoda po prostu wygrywa z bezpieczeństwem. I trudno się temu dziwić — skoro firma nie dała narzędzi, pracownik znajdzie swoje.
Szara strefa rośnie, regulacje nie nadążają
AI przestała być w firmach gadżetem dla kilku entuzjastów. Weszła do codziennej pracy szybciej niż regulaminy, szkolenia i zdrowy rozsądek. Pęknięcie widać w braku kontroli nad tym, kto z czego korzysta, jakie dane wrzuca do modeli i czy w ogóle rozumie, co może z takimi danymi zrobić publiczny model językowy.
Sześćdziesiąt dwa procent pracowników korzysta z AI w codziennych obowiązkach służbowych, a niemal co piąty opiera się na autonomicznych agentach. Tyle że tylko 27 procent firm ma spisane zasady korzystania z takich narzędzi. Co dziesiąty pracownik wprost przyznaje, że udostępnia otwartym modelom AI wrażliwe dane firmowe. Shadow AI — bo tak to zjawisko określają specjaliści — to już nie przyszły problem. To teraźniejszość.
Czytam ten raport i widzę w nim coś, o czym mówimy na AIPORT.pl od dawna: tempo upowszechnienia AI w polskich firmach po prostu wyprzedziło wszystko inne — procedury, szkolenia, świadomość ryzyka. To nie jest zarzut pod adresem pracowników. Oni robią to, co przynosi efekty. Problem leży gdzie indziej: zarządy i działy IT przez lata traktowały bezpieczeństwo jako koszt, a nie inwestycję. Teraz zbierają żniwo tej decyzji. Jednocześnie nie wpadajmy w panikę. Shadow AI to realny problem, ale jego rozwiązaniem nie są zakazy — to udowodnione podejście, które nie działa. Firmy, które zamiast blokować AI dają pracownikom bezpieczne, zatwierdzone narzędzia i wyjaśniają dlaczego pewnych rzeczy robić nie wolno, mają znacznie lepsze wyniki. Pytanie, ile polskich firm jest na to gotowych organizacyjnie i finansowo.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
— Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Pięć lat bez szkolenia z cyberbezpieczeństwa? To norma
Aż 58 procent pracowników nie uczestniczyło w żadnym szkoleniu z cyberbezpieczeństwa od co najmniej pięciu lat. Paweł Jurek, dyrektor rozwoju biznesu DAGMA Bezpieczeństwo IT, mówił podczas konferencji wprost: „Raport wręcz krzyczy, że pracownicy się nie szkolą.” Firmy wydają coraz więcej na systemy i oprogramowanie, ale zaniedbują ludzi. A to ludzie są najsłabszym ogniwem.
Liczby to potwierdzają:
- tylko 14 procent pracowników czuje się kompetentnie wobec cyfrowych zagrożeń
- połowa w ogóle nie zna zasad związanych z cyberochroną
- co szósty pracownik, natrafiając na zagrożenie w sieci, nie informuje o tym pracodawcy
- tylko 43 procent pracowników wie, czym jest deepfake, a 57 procent kojarzy pojęcie phishingu
Ten ostatni punkt jest szczególnie niepokojący. Phishing to wciąż narzędzie numer jeden w arsenale cyberprzestępców. Jeśli ponad 40 procent pracowników nie rozpoznaje najpopularniejszego sposobu ataku, żaden system antywirusowy tego nie naprawi.
Zagrożenia nie wybierają według wielkości portfela
Specjaliści od lat powtarzają, że małe firmy też są celem. Dane z raportu to potwierdzają. W firmach do 50 pracowników cyberataki miały miejsce w ponad dwóch trzecich przypadków. W firmach zatrudniających do 250 osób odsetek rośnie do 88 procent. Duże korporacje często mają działy IT, procedury i budżety. Mała firma ma pracownika, który odpowiada „za komputery”, i kilkanaście stanowisk z Windowsem.
Bez inwestycji w kompetencje ludzi nawet najnowocześniejsze technologie nie zapewnią organizacjom realnej odporności — przekonuje Paweł Jurek. Za tym zdaniem stoją konkretne incydenty i konkretne straty.
Co z tym zrobić? Eksperci mają odpowiedź
Kamil Sadkowski, analityk cyberzagrożeń ESET, wskazuje, że dla firm z sektora MŚP kluczowe jest przejście od myślenia o „minimalnej ochronie” do świadomego zarządzania ryzykiem. W praktyce oznacza to cztery rzeczy:
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
- uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie to możliwe
- regularne aktualizacje oprogramowania — bez wyjątków i bez odkładania
- segmentacja sieci, czyli oddzielenie kluczowych systemów od reszty infrastruktury
- konsekwentne szkolenie pracowników z rozpoznawania phishingu
Dawid Koziorowski z DAGMA dodaje, że punktem wyjścia powinny być jasne zasady korzystania z AI w firmie: co wolno, czego nie wolno i przede wszystkim dlaczego. Bez wyjaśnienia powodów trudno oczekiwać, że pracownik zrozumie, iż wklejenie danych klienta do publicznego modelu językowego może skończyć się naruszeniem RODO i realną odpowiedzialnością prawną.
Zakaz nie wystarczy. Alternatywa musi być lepsza niż obejście.
