W raporcie Global Cybersecurity Outlook 2026 Światowego Forum Ekonomicznego (WEF) 74 proc. ankietowanych liderów pozytywnie ocenia skuteczność regulacji dotyczących cyberbezpieczeństwa, a 58 proc. uważa, że przepisy pomagają dotrzeć z tematem zagrożeń do zarządów. Linux Polska przypomina te dane w kontekście unijnych przepisów NIS2 i DORA, w chwili gdy CERT Polska zarejestrował w lipcu 2026 r. 31,2 tys. incydentów, o 12 proc. więcej niż rok wcześniej.
- Według raportu Global Cybersecurity Outlook 2026 Światowego Forum Ekonomicznego (WEF), opartego na ankiecie 804 liderów z 92 krajów, 74 proc. respondentów pozytywnie ocenia skuteczność regulacji dotyczących cyberbezpieczeństwa, przy czym raport dotyczy przepisów ogólnie – nie wyodrębnia osobno oceny NIS2 ani DORA.
- CERT Polska zarejestrował w lipcu 2026 r. 31,2 tys. incydentów, o 12 proc. więcej niż rok wcześniej, jednak sam zespół zaznacza, że zmiana definicji i zasad klasyfikacji po nowelizacji ustawy o KSC może sprawiać, że dane sprzed i po kwietniu 2026 r. nie są w pełni porównywalne.
- Polska wdrożyła dyrektywę NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwietnia 2026 r.; podmioty kluczowe i ważne muszą złożyć wniosek o wpis do wykazu do 3 października 2026 r., a większość administracyjnych kar pieniężnych będzie można nakładać dopiero po 3 kwietnia 2028 r.
Materiał prasowy warszawskiej firmy Linux Polska z 16 września 2026 r. łączy globalne dane WEF z polskimi statystykami CERT Polska i komentarzami trzech członków kierownictwa spółki. Sprawdziłem liczby w publicznej wersji raportu WEF i w miesięcznym podsumowaniu CERT Polska. Większość się zgadza, ale obraz jest bardziej złożony, niż sugeruje tytuł komunikatu.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Badanie WEF objęło 804 liderów z 92 krajów i dotyczy regulacji ogólnie, nie tylko NIS2 i DORA
Raport Global Cybersecurity Outlook 2026 opiera się na globalnej ankiecie, a nie na badaniu firm objętych unijnymi przepisami. Ankieta trwała od 25 sierpnia do 1 października 2025 r. Po weryfikacji odpowiedzi WEF zostawił w zbiorze 804 uczestników z 92 krajów, w tym 316 dyrektorów ds. bezpieczeństwa informacji (CISO), 105 prezesów i 123 innych członków najwyższej kadry zarządzającej. Raport opublikowano 12 stycznia 2026 r., a przygotowano go we współpracy z Accenture.
W tekście raportu WEF pisze o regulacjach cyberbezpieczeństwa w ogóle. 74 proc. respondentów dobrze ocenia skuteczność takich przepisów, ale raport nie wyodrębnia w tym miejscu oceny NIS2 ani DORA. Połączenie tych liczb z unijnymi aktami prawnymi to interpretacja Linux Polska.
Dla porządku: NIS2 to unijna dyrektywa o bezpieczeństwie sieci i systemów informatycznych, którą każde państwo musi przenieść do własnego prawa. DORA (Digital Operational Resilience Act) to rozporządzenie o operacyjnej odporności cyfrowej sektora finansowego, stosowane bezpośrednio we wszystkich krajach UE od 17 stycznia 2025 r.
Regulacje pomagają przekonać zarządy, a problemem pozostają dostawcy
Najczęściej wskazywaną korzyścią z przepisów jest lepsze zrozumienie zagrożeń przez kierownictwo. Według WEF regulacje pomagają dyrektorom ds. bezpieczeństwa podnosić świadomość cyberzagrożeń na poziomie zarządów (58 proc.) i prowadzą do realnej poprawy ogólnego stanu bezpieczeństwa (55 proc.).
Po drugiej stronie są koszty i trudności wdrożeniowe:
- 18 proc. respondentów ma problem z tym, by zewnętrzni dostawcy spełniali różne wymagania regulacyjne,
- 16 proc. wskazuje ograniczone zasoby wewnętrzne i brak specjalistycznej wiedzy,
- część badanych przyznaje, że nie w pełni rozumie, jak przepisy stosować w poszczególnych jednostkach biznesowych.
WEF zwraca uwagę na paradoks dojrzałych rynków. Respondenci z Europy i Ameryki Północnej, gdzie regulacje są najbardziej rozbudowane, mają więcej trudności ze spójnym stosowaniem ich w różnych krajach i nieco słabiej oceniają ich faktyczną skuteczność. Autorzy raportu łączą to z większą złożonością i obciążeniem, jakie niosą zaawansowane systemy regulacyjne.
Tomasz Dziedzic, CTO w Linux Polska, wiąże problem dostawców bezpośrednio z DORA, które wymaga od instytucji finansowych oceny kontrahentów przed podjęciem współpracy i stałego monitorowania ich rozwiązań. Zwraca też uwagę na mniej oczywisty obowiązek:
„Konieczne jest także opracowanie planu wyjścia, czyli strategii zmiany dostawcy na wypadek wystąpienia nieoczekiwanych problemów.”
Według Dziedzica w praktyce oznacza to audyt dotychczasowych umów, a często także zmianę kontraktów.
Dariusz Świąder, prezes Linux Polska, wskazuje z kolei na błędy we wdrażaniu systemów zarządzania ryzykiem: „Informacje pochodzące z różnych źródeł powinny być połączone w jeden spójny zbiór. Dopiero wtedy możliwa jest pełna analiza incydentów oraz ich wpływu na procesy biznesowe.”
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Firmy o słabej odporności cyfrowej widzą w przepisach mniej korzyści
Raport WEF pokazuje wyraźny podział między organizacjami, które same oceniają swoją odporność jako wysoką, a tymi, które uważają ją za niewystarczającą. Te pierwsze częściej widzą w regulacjach wartość, drugie częściej traktują je jako ciężar.
| Wskaźnik (dane WEF) | Organizacje o wysokiej odporności | Organizacje o niewystarczającej odporności |
|---|---|---|
| Regulacje pomagają budować zaufanie klientów i reputację marki | 44 proc. | 20 proc. |
| Brak ludzi i kompetencji do realizacji celów bezpieczeństwa | 22 proc. | 85 proc. |
| Ocena bezpieczeństwa dostawców | 74 proc. | 48 proc. |
| Regularny przegląd bezpieczeństwa narzędzi AI | 71 proc. | 20 proc. |
Dane w tabeli pochodzą z raportu: 44 proc. wobec 20 proc. w kwestii zaufania klientów, 22 proc. wobec 85 proc. w przypadku braków kadrowych, 74 proc. wobec 48 proc. przy ocenie dostawców oraz 71 proc. wobec 20 proc. przy przeglądach narzędzi AI. Organizacje o niewystarczającej odporności częściej zgłaszają też, że brakuje im zasobów, by śledzić i wdrażać zmiany w przepisach (34 proc.).
W materiale Linux Polska część tych liczb opisano inaczej niż w publicznym tekście raportu. Firma pisze na przykład, że 34 proc. słabo przygotowanych organizacji uznaje regulacje za nieefektywne z powodu luk kompetencyjnych, i podaje odsetek 53 proc. dla braku umiejętności. Tych sformułowań nie znalazłem w tekście WEF, dlatego w tym artykule podaję wartości w brzmieniu raportu.
Sebastian Jaworski, wiceprezes Linux Polska, opisuje skutek braku kompetencji wprost: „Brak wiedzy i możliwości sprawia, że głównym celem wdrażanych zmian jest zapewnienie na papierze zgodności z regulacjami, a nie rzeczywista ochrona organizacji.” Radzi, by wdrożenie zaczynać od audytu obowiązujących procedur i systemów, bo działy w firmach często mają własne, niepowiązane procesy bezpieczeństwa.
Badanie WEF mierzy opinie liderów, a nie to, czy przepisy faktycznie zmniejszają liczbę udanych ataków. To ważne rozróżnienie. 74 proc. zadowolonych respondentów mówi nam przede wszystkim, że regulacje dały dyrektorom ds. bezpieczeństwa argument w rozmowie z zarządem, i uważam to za realną wartość. Budżet na bezpieczeństwo rzadko pojawia się bez presji z zewnątrz.
Niepokoi mnie jednak tabela z podziałem na organizacje silne i słabe. Firmy, które najbardziej potrzebują uporządkowania bezpieczeństwa, mają na to najmniej ludzi. Dla nich NIS2 może skończyć się teczką dokumentów, która przejdzie audyt, ale nie zatrzyma ataku. Polskie firmy mają czas do kwietnia 2027 r., a kary w większości przypadków dopiero od 2028 r. Pytanie brzmi, czy ten okres wykorzystają na budowę kompetencji, czy na kupno gotowych szablonów polityk.
Jest też wątek AI. Obrońcy dostają coraz lepsze narzędzia, ale atakujący korzystają z tych samych modeli. Regulacje nie nadążą za tym tempem, więc o wyniku zdecydują ludzie, którzy te narzędzia rozumieją.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Sztuczna inteligencja jest dla 94 proc. respondentów WEF głównym motorem zmian w cyberbezpieczeństwie
Choć komunikat Linux Polska dotyczy przepisów, raport WEF w dużej części poświęcony jest AI. 94 proc. ankietowanych uważa sztuczną inteligencję za najważniejszy czynnik zmian w cyberbezpieczeństwie w 2026 r., a 87 proc. wskazało podatności związane z AI jako najszybciej rosnące ryzyko w 2025 r.
Firmy reagują na to szybciej niż rok wcześniej. Odsetek organizacji oceniających bezpieczeństwo swoich narzędzi AI wzrósł niemal dwukrotnie, z 37 proc. w 2025 r. do 64 proc. w 2026 r. 77 proc. organizacji używa już AI w obronie, głównie do wykrywania phishingu (52 proc.), reagowania na włamania i anomalie (46 proc.) oraz analizy zachowań użytkowników (40 proc.).
Bariera jest ta sama co przy regulacjach. 54 proc. respondentów wskazuje niewystarczającą wiedzę lub umiejętności jako główną przeszkodę we wdrażaniu AI w cyberbezpieczeństwie. Wśród obaw na 2026 r. na czele znalazły się wycieki danych związane z generatywną AI (34 proc.), które wyprzedziły rozwój możliwości atakujących (29 proc.).
W Polsce NIS2 obowiązuje od 3 kwietnia 2026 r., a pierwszy termin mija 3 października
Polska wdrożyła NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nowelizacja weszła w życie 3 kwietnia 2026 r., choć termin na przeniesienie dyrektywy do prawa krajowego minął 17 października 2024 r. Zmiany wprowadziły nowe kategorie: podmioty kluczowe i podmioty ważne, poszerzyły zakres raportowania i katalog sektorów objętych ustawą.
Harmonogram dla firm i instytucji wygląda tak:
- do 3 października 2026 r. podmioty kluczowe i ważne muszą złożyć wniosek o wpis do wykazu,
- do 3 kwietnia 2027 r. podmioty spełniające kryteria w dniu wejścia ustawy w życie muszą wdrożyć nowe obowiązki,
- do 3 kwietnia 2028 r. podmioty kluczowe muszą przeprowadzić pierwszy obowiązkowy audyt, a kolejne co najmniej raz na trzy lata,
- większość administracyjnych kar pieniężnych będzie można nakładać dopiero po 3 kwietnia 2028 r.
Kary mogą sięgnąć 10 mln euro albo 2 proc. rocznego obrotu, a w razie spowodowania bezpośredniego i poważnego zagrożenia dla bezpieczeństwa państwa, porządku publicznego lub życia ludzi przewidziano karę nadzwyczajną do 100 mln zł. Polski model opiera się na samoidentyfikacji, więc to organizacja sama musi ocenić, czy spełnia ustawowe kryteria. Do terminu rejestracji zostało nieco ponad dwa tygodnie.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
CERT Polska odnotował w lipcu 31,2 tys. incydentów, ale porównanie rok do roku ma zastrzeżenie
Dane z lipcowego podsumowania CERT Polska, działającego w NASK, potwierdzają liczby z komunikatu. W lipcu 2026 r. zespół otrzymał 56,2 tys. zgłoszeń i na ich podstawie zarejestrował 31,2 tys. incydentów. Liczba incydentów wzrosła o 12 proc. rok do roku i o 37 proc. w porównaniu z czerwcem 2026 r. Liczba samych zgłoszeń spadła natomiast o 18 proc. względem lipca 2025 r.
Tego zastrzeżenia w materiale prasowym zabrakło. CERT Polska zaznacza, że nowelizacja KSC zmieniła definicje i zasady klasyfikacji incydentów, dlatego dane publikowane od kwietnia 2026 r. mogą nie być w pełni porównywalne z wcześniejszymi. Wzrost o 12 proc. trudno więc traktować wyłącznie jako dowód narastającej fali ataków.
Skalę oszustw dobrze pokazuje Lista Ostrzeżeń, która blokuje fałszywe strony. Od stycznia do końca lipca 2026 r. trafiło na nią 158,3 tys. szkodliwych domen, w tym 29,6 tys. w samym lipcu, o 39 proc. więcej niż w czerwcu.
Ten sam raport zawiera polski wątek AI. NASK uzyskał dostęp do modelu GPT-5.5 Cyber od OpenAI, przeznaczonego do wyszukiwania podatności, generowania poprawek i analizy złośliwego oprogramowania. Model jest udostępniany tylko zaufanym partnerom, a eksperci CERT Polska korzystają z niego w ramach programu Government Trusted Access for Cyber dla jednostek rządowych.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym materiału prasowego Linux Polska z dnia 16.09.2026, raportu Global Cybersecurity Outlook 2026 World Economic Forum z dnia 12.01.2026 wraz z opisem metodologii oraz Podsumowania Miesiąca CERT Polska nr 7/2026. Harmonogram wdrażania nowelizacji ustawy o KSC zweryfikowano m.in. w publikacji Forsal.pl.
Liczby z raportu WEF podano w brzmieniu publicznej wersji tekstu raportu. Wartości z materiału Linux Polska, których nie udało się potwierdzić w tym tekście (m.in. 30, 26, 17, 11, 6 i 53 proc.), pominięto lub opisano zgodnie z raportem.
Cytaty Dariusza Świądra, prezesa Linux Polska, Tomasza Dziedzica, CTO w Linux Polska, oraz Sebastiana Jaworskiego, wiceprezesa Linux Polska, zostały zweryfikowane z oryginalnym polskojęzycznym materiałem prasowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o wdrażaniu NIS2 i DORA w Polsce.
