W raporcie Global Cybersecurity Outlook 2026 Światowego Forum Ekonomicznego (WEF) 74 proc. ankietowanych liderów pozytywnie ocenia skuteczność regulacji dotyczących cyberbezpieczeństwa, a 58 proc. uważa, że przepisy pomagają dotrzeć z tematem zagrożeń do zarządów i pracowników. Linux Polska przypomina te dane w kontekście unijnych przepisów NIS2 i DORA, w chwili gdy CERT Polska zarejestrował w lipcu 2026 r. 31,2 tys. incydentów, o 12 proc. więcej niż rok wcześniej.
- Według raportu Global Cybersecurity Outlook 2026 Światowego Forum Ekonomicznego, opartego na ankiecie 804 liderów z 92 krajów, 74 proc. respondentów pozytywnie ocenia skuteczność regulacji dotyczących cyberbezpieczeństwa, a 58 proc. wskazuje, że przepisy pomagają budować świadomość zagrożeń w zarządach i całych organizacjach.
- Polska wdrożyła dyrektywę NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r. – podmioty kluczowe i ważne mają czas na złożenie wniosku o wpis do wykazu do 3 października 2026 r., a większość administracyjnych kar pieniężnych (do 10 mln euro lub 2 proc. rocznego obrotu) będzie można nakładać dopiero po 3 kwietnia 2028 r.
- Raport WEF ujawnia wyraźną przepaść między słabszymi a lepiej przygotowanymi organizacjami: brak zasobów lub wiedzy do wdrażania regulacji wskazuje 34 proc. firm o niewystarczającej odporności wobec zaledwie 6 proc. firm o wysokiej odporności, a 85 proc. słabiej przygotowanych organizacji przyznaje, że brakuje im ludzi do realizacji celów bezpieczeństwa.
Materiał prasowy warszawskiej firmy Linux Polska z 16 września 2026 r. łączy globalne dane WEF z polskimi statystykami CERT Polska i komentarzami trzech członków kierownictwa spółki. Sprawdziłem liczby w pełnej wersji raportu WEF i w miesięcznym podsumowaniu CERT Polska. Zgadzają się, ale obraz jest bardziej złożony, niż sugeruje tytuł komunikatu.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Badanie WEF objęło 804 liderów z 92 krajów i dotyczy regulacji ogólnie, nie tylko NIS2 i DORA
Raport Global Cybersecurity Outlook 2026 opiera się na globalnej ankiecie, a nie na badaniu wyłącznie firm objętych unijnymi przepisami. Ankieta trwała od 25 sierpnia do 1 października 2025 r. Po weryfikacji odpowiedzi WEF zostawił w zbiorze 804 uczestników z 92 krajów, w tym 316 dyrektorów ds. bezpieczeństwa informacji (CISO), 105 prezesów i 123 innych członków najwyższej kadry zarządzającej. Raport opublikowano 12 stycznia 2026 r., a przygotowano go we współpracy z Accenture.
WEF pyta o regulacje cyberbezpieczeństwa w ogóle. 74 proc. respondentów ocenia ich skuteczność pozytywnie, a co czwarty (26 proc.) negatywnie. Raport nie wyodrębnia w tym pytaniu oceny NIS2 ani DORA, więc odniesienie wyników do unijnych aktów prawnych jest interpretacją Linux Polska. Europejskie firmy stanowią jednak część badanej grupy, a unijne przepisy należą do najbardziej rozbudowanych regulacji na świecie.
Dla porządku: NIS2 to unijna dyrektywa o bezpieczeństwie sieci i systemów informatycznych, którą każde państwo musi przenieść do własnego prawa. DORA (Digital Operational Resilience Act) to rozporządzenie o operacyjnej odporności cyfrowej sektora finansowego, stosowane bezpośrednio we wszystkich krajach UE od 17 stycznia 2025 r.
Regulacje pomagają przekonać zarządy, a problemem pozostają dostawcy
Najczęściej wskazywaną korzyścią z przepisów jest lepsze zrozumienie zagrożeń przez kierownictwo i zespoły. Respondenci mogli wybrać do trzech odpowiedzi, a rozkład wygląda tak:
- 58 proc.: regulacje pomagają budować świadomość bezpieczeństwa w zarządzie i całej organizacji,
- 55 proc.: pomagają poprawić stan bezpieczeństwa i ograniczyć ryzyko,
- 36 proc.: pomagają zdobyć budżet na cyberbezpieczeństwo,
- 30 proc.: pomagają zwiększyć zaufanie klientów i poprawić wizerunek marki,
- 18 proc.: trudno dopilnować, by zewnętrzni dostawcy spełniali wymagania,
- 17 proc.: trudno w pełni zrozumieć, jak liczne przepisy stosować w całej działalności,
- 16 proc.: brakuje wewnętrznych zasobów lub wiedzy, by śledzić i wdrażać zmiany,
- 11 proc.: trudno zapewnić spójne wdrożenie w różnych działach firmy.
WEF zwraca uwagę na paradoks dojrzałych rynków. Respondenci z Europy i Ameryki Północnej, gdzie regulacje są najbardziej rozbudowane, mają więcej trudności ze spójnym stosowaniem ich w różnych krajach i nieco słabiej oceniają ich faktyczną skuteczność. Autorzy raportu łączą to z większą złożonością i obciążeniem, jakie niosą zaawansowane systemy regulacyjne.
Tomasz Dziedzic, CTO w Linux Polska, wiąże problem dostawców bezpośrednio z DORA, które wymaga od instytucji finansowych oceny kontrahentów przed podjęciem współpracy i stałego monitorowania ich rozwiązań. Zwraca też uwagę na mniej oczywisty obowiązek:
„Konieczne jest także opracowanie planu wyjścia, czyli strategii zmiany dostawcy na wypadek wystąpienia nieoczekiwanych problemów.”
Według Dziedzica w praktyce oznacza to audyt dotychczasowych umów, a często także zmianę kontraktów.
Dariusz Świąder, prezes Linux Polska, wskazuje z kolei na błędy we wdrażaniu systemów zarządzania ryzykiem: „Informacje pochodzące z różnych źródeł powinny być połączone w jeden spójny zbiór. Dopiero wtedy możliwa jest pełna analiza incydentów oraz ich wpływu na procesy biznesowe.”
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Firmy o słabej odporności cyfrowej częściej widzą w przepisach ciężar
Raport WEF pokazuje wyraźny podział między organizacjami, które same oceniają swoją odporność jako wysoką, a tymi, które uważają ją za niewystarczającą. Najmocniej różnią się oceny korzyści wizerunkowych i problemów z zasobami.
| Ocena regulacji (dane WEF) | Organizacje o wysokiej odporności | Organizacje o niewystarczającej odporności |
|---|---|---|
| Pomagają zwiększyć zaufanie klientów i wizerunek marki | 44 proc. | 20 proc. |
| Pomagają zdobyć budżet na cyberbezpieczeństwo | 44 proc. | 33 proc. |
| Pomagają poprawić stan bezpieczeństwa | 56 proc. | 44 proc. |
| Brak zasobów lub wiedzy do śledzenia i wdrażania zmian | 6 proc. | 34 proc. |
| Trudno zapewnić spójne wdrożenie w działach firmy | 7 proc. | 18 proc. |
Za tą różnicą stoją ludzie i pieniądze. W pytaniu o największe przeszkody w budowaniu odporności 53 proc. organizacji o niewystarczającej odporności wskazuje niedobór umiejętności i wiedzy z zakresu cyberbezpieczeństwa, a 52 proc. brak funduszy. W grupie o wysokiej odporności te odsetki wynoszą 35 i 14 proc. W osobnym pytaniu o kadry aż 85 proc. słabiej przygotowanych organizacji przyznaje, że brakuje im ludzi do realizacji celów bezpieczeństwa, wobec 22 proc. w grupie najlepiej przygotowanych.
Sebastian Jaworski, wiceprezes Linux Polska, opisuje skutek tych braków wprost: „Brak wiedzy i możliwości sprawia, że głównym celem wdrażanych zmian jest zapewnienie na papierze zgodności z regulacjami, a nie rzeczywista ochrona organizacji.” Radzi, by wdrożenie zaczynać od audytu obowiązujących procedur i systemów, bo działy w firmach często mają własne, niepowiązane procesy bezpieczeństwa.
Badanie WEF mierzy opinie liderów, a nie to, czy przepisy faktycznie zmniejszają liczbę udanych ataków. To ważne rozróżnienie. 74 proc. zadowolonych respondentów mówi nam przede wszystkim, że regulacje dały dyrektorom ds. bezpieczeństwa argument w rozmowie z zarządem, a ponad jedna trzecia wprost przyznaje, że pomagają zdobyć budżet. Uważam to za realną wartość. Pieniądze na bezpieczeństwo rzadko pojawiają się bez presji z zewnątrz.
Niepokoi mnie jednak tabela z podziałem na organizacje silne i słabe. Firmy, które najbardziej potrzebują uporządkowania bezpieczeństwa, mają na to najmniej ludzi i najmniej pieniędzy. Dla nich NIS2 może skończyć się teczką dokumentów, która przejdzie audyt, ale nie zatrzyma ataku. Polskie firmy mają czas do kwietnia 2027 r., a kary w większości przypadków dopiero od 2028 r. Pytanie brzmi, czy ten okres wykorzystają na budowę kompetencji, czy na kupno gotowych szablonów polityk.
Jest też wątek AI. Obrońcy dostają coraz lepsze narzędzia, ale atakujący korzystają z tych samych modeli. Regulacje nie nadążą za tym tempem, więc o wyniku zdecydują ludzie, którzy te narzędzia rozumieją.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Sztuczna inteligencja jest dla 94 proc. respondentów WEF głównym motorem zmian w cyberbezpieczeństwie
Choć komunikat Linux Polska dotyczy przepisów, raport WEF w dużej części poświęcony jest AI. 94 proc. ankietowanych uważa sztuczną inteligencję za najważniejszy czynnik zmian w cyberbezpieczeństwie w 2026 r., a 87 proc. wskazało podatności związane z AI jako najszybciej rosnące ryzyko w 2025 r.
Firmy reagują na to szybciej niż rok wcześniej. Odsetek organizacji oceniających bezpieczeństwo swoich narzędzi AI wzrósł niemal dwukrotnie, z 37 proc. w 2025 r. do 64 proc. w 2026 r. 77 proc. organizacji używa już AI w obronie, głównie do wykrywania phishingu (52 proc.), reagowania na włamania i anomalie (46 proc.) oraz analizy zachowań użytkowników (40 proc.).
Podział na silnych i słabych widać także tutaj. Regularny przegląd bezpieczeństwa narzędzi AI prowadzi 71 proc. organizacji o wysokiej odporności i tylko 20 proc. tych o odporności niewystarczającej. 54 proc. wszystkich respondentów wskazuje niewystarczającą wiedzę lub umiejętności jako główną przeszkodę we wdrażaniu AI w cyberbezpieczeństwie.
W Polsce NIS2 obowiązuje od 3 kwietnia 2026 r., a pierwszy termin mija 3 października
Polska wdrożyła NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nowelizacja weszła w życie 3 kwietnia 2026 r., choć termin na przeniesienie dyrektywy do prawa krajowego minął 17 października 2024 r. Zmiany wprowadziły nowe kategorie: podmioty kluczowe i podmioty ważne, poszerzyły zakres raportowania i katalog sektorów objętych ustawą.
Harmonogram dla firm i instytucji wygląda tak:
- do 3 października 2026 r. podmioty kluczowe i ważne muszą złożyć wniosek o wpis do wykazu,
- do 3 kwietnia 2027 r. podmioty spełniające kryteria w dniu wejścia ustawy w życie muszą wdrożyć nowe obowiązki,
- do 3 kwietnia 2028 r. podmioty kluczowe muszą przeprowadzić pierwszy obowiązkowy audyt, a kolejne co najmniej raz na trzy lata,
- po 3 kwietnia 2028 r. będzie można nakładać większość administracyjnych kar pieniężnych.
Kary mogą sięgnąć 10 mln euro albo 2 proc. rocznego obrotu, a w razie spowodowania bezpośredniego i poważnego zagrożenia dla bezpieczeństwa państwa, porządku publicznego lub życia ludzi przewidziano karę nadzwyczajną do 100 mln zł. Polski model opiera się na samoidentyfikacji, więc to organizacja sama musi ocenić, czy spełnia ustawowe kryteria. Do terminu rejestracji zostało nieco ponad dwa tygodnie.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
CERT Polska odnotował w lipcu 31,2 tys. incydentów, ale porównanie rok do roku ma zastrzeżenie
Dane z lipcowego podsumowania CERT Polska, działającego w NASK, potwierdzają liczby z komunikatu. W lipcu 2026 r. zespół otrzymał 56,2 tys. zgłoszeń i na ich podstawie zarejestrował 31,2 tys. incydentów. Liczba incydentów wzrosła o 12 proc. rok do roku i o 37 proc. w porównaniu z czerwcem 2026 r. Liczba samych zgłoszeń spadła natomiast o 18 proc. względem lipca 2025 r.
CERT Polska zaznacza przy tym, że nowelizacja KSC zmieniła definicje i zasady klasyfikacji incydentów, dlatego dane publikowane od kwietnia 2026 r. mogą nie być w pełni porównywalne z wcześniejszymi. Wzrost o 12 proc. trudno więc traktować wyłącznie jako dowód narastającej fali ataków.
Skalę oszustw dobrze pokazuje Lista Ostrzeżeń, która blokuje fałszywe strony. Od stycznia do końca lipca 2026 r. trafiło na nią 158,3 tys. szkodliwych domen, w tym 29,6 tys. w samym lipcu, o 39 proc. więcej niż w czerwcu.
Ten sam raport zawiera polski wątek AI. NASK uzyskał dostęp do modelu GPT-5.5 Cyber od OpenAI, przeznaczonego do wyszukiwania podatności, generowania poprawek i analizy złośliwego oprogramowania. Model jest udostępniany tylko zaufanym partnerom, a eksperci CERT Polska korzystają z niego w ramach programu Government Trusted Access for Cyber dla jednostek rządowych.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym materiału prasowego Linux Polska z dnia 16.09.2026, raportu Global Cybersecurity Outlook 2026 World Economic Forum z dnia 12.01.2026 wraz z opisem metodologii oraz Podsumowania Miesiąca CERT Polska nr 7/2026. Harmonogram wdrażania nowelizacji ustawy o KSC zweryfikowano m.in. w publikacji Forsal.pl.
Dane z wykresów 28, 29, 33 i 36 raportu WEF (s. 37, 41 i 43) zweryfikowano w pełnej wersji PDF raportu. Opisy wartości podano zgodnie z podpisami wykresów.
Cytaty Dariusza Świądra, prezesa Linux Polska, Tomasza Dziedzica, CTO w Linux Polska, oraz Sebastiana Jaworskiego, wiceprezesa Linux Polska, zostały zweryfikowane z oryginalnym polskojęzycznym materiałem prasowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o wdrażaniu NIS2 i DORA w Polsce.
