NIS2 a rekrutacja. Jak zbudować kompetencje potrzebne do cyberbezpieczeństwa?

3 kwietnia 2026 roku weszła w życie polska nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, która wdraża dyrektywę NIS2. Dla organizacji objętych nowymi przepisami oznacza to znacznie więcej niż aktualizację procedur.

Ktoś musi odpowiadać za analizę ryzyka, bezpieczeństwo dostawców, obsługę incydentów, ciągłość działania, zarządzanie dostępami i komunikację z właściwymi zespołami CSIRT. Ktoś musi również przedstawić te zagadnienia zarządowi w sposób, który pozwala podjąć decyzję biznesową.

Na papierze NIS2 jest regulacją dotyczącą cyberbezpieczeństwa. W praktyce staje się także wyzwaniem kompetencyjnym i rekrutacyjnym.

 

Czym jest NIS2 i kogo dotyczą nowe obowiązki?

 

NIS2 to unijna dyrektywa, której celem jest podniesienie poziomu cyberbezpieczeństwa w organizacjach mających znaczenie dla funkcjonowania gospodarki i państwa. Obejmuje 18 sektorów krytycznych, między innymi energetykę, transport, bankowość, ochronę zdrowia, infrastrukturę cyfrową, administrację publiczną, przemysł, gospodarkę odpadami, usługi pocztowe i wybrane platformy cyfrowe. Pełny podział sektorów przedstawia Komisja Europejska.

 

W Polsce przepisy zostały wdrożone poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Ustawa posługuje się kategoriami podmiotów kluczowych i podmiotów ważnych.

 

Organizacje powinny samodzielnie sprawdzić, czy podlegają regulacji. Znaczenie mają między innymi:

 

• rodzaj prowadzonej działalności,
• sektor i kod PKD,
• wielkość przedsiębiorstwa,
• kryteria określone w art. 5 ustawy,
• załączniki nr 1 i 2 do ustawy.

Ministerstwo Cyfryzacji opublikowało instrukcję samoidentyfikacji podmiotów objętych KSC. To dobry punkt wyjścia, ale w przypadku niejednoznacznej struktury działalności warto skonsultować kwalifikację z prawnikiem specjalizującym się w cyberbezpieczeństwie.

 

Najważniejsze terminy NIS2 w Polsce

 

Dla firm, które spełniały kryteria podmiotu kluczowego lub ważnego w dniu wejścia ustawy w życie, istotne są trzy daty:

• 3 października 2026 roku – termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych,
• 3 kwietnia 2027 roku – termin wdrożenia obowiązków wynikających z ustawy oraz podłączenia do systemu S46,
• 3 kwietnia 2028 roku – termin pierwszego audytu dla określonych podmiotów kluczowych, które wcześniej nie miały statusu operatora usługi kluczowej.

 

Szczegółowy harmonogram publikuje Ministerstwo Cyfryzacji w zestawieniu najważniejszych terminów KSC.

 

Termin złożenia wniosku o wpis do wykazu upływa już za kilka dni, a na wdrożenie pozostałych obowiązków zostało niewiele ponad pół roku. To mało, zwłaszcza że sama rekrutacja specjalisty ds. cyberbezpieczeństwa może potrwać kilka miesięcy, a następnie trzeba jeszcze zbudować realną zdolność operacyjną organizacji.

 

Dlaczego NIS2 wpływa na rekrutację?

 

NIS2 nie wymaga od firm zatrudnienia osoby o stanowisku „specjalista NIS2”. Wymaga natomiast wykonania konkretnych zadań oraz przypisania odpowiedzialności za ich realizację.

 

Środki zarządzania ryzykiem wskazane w art. 21 dyrektywy NIS2 obejmują między innymi:

 

• analizę ryzyka i polityki bezpieczeństwa,
• obsługę incydentów,
• ciągłość działania, kopie zapasowe i odtwarzanie awaryjne,
• bezpieczeństwo łańcucha dostaw,
• bezpieczny rozwój i utrzymanie systemów,
• bezpieczeństwo zasobów ludzkich,
• zarządzanie podatnościami,
• ocenę skuteczności stosowanych zabezpieczeń,
• szkolenia i podstawowe praktyki cyberhigieny,
• kryptografię, zarządzanie dostępami i uwierzytelnianie wieloskładnikowe.

 

Do tego dochodzi raportowanie poważnych incydentów. Dyrektywa przewiduje wstępne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin oraz raport końcowy co do zasady w ciągu miesiąca.

Takich obowiązków nie da się obsłużyć wyłącznie poprzez przygotowanie dokumentacji przed audytem. Organizacja potrzebuje ludzi, którzy potrafią działać pod presją czasu, współpracować z IT, prawnikami i biznesem oraz podejmować decyzje na podstawie niepełnych informacji.

 

Jakich specjalistów potrzebują firmy w związku z NIS2?

 

Lista stanowisk zależy od sektora, infrastruktury i dojrzałości organizacji. W praktyce zapotrzebowanie skupia się wokół czterech grup kompetencji.

 

Governance, risk i compliance

 

To między innymi Cybersecurity Risk Manager, IT Risk Manager, GRC Analyst, Cybersecurity Compliance Officer oraz audytor bezpieczeństwa.

 

Osoby te przekładają przepisy na polityki, procesy i mechanizmy kontrolne. Prowadzą analizę ryzyka, porządkują odpowiedzialność, przygotowują organizację do audytu i oceniają bezpieczeństwo dostawców.

 

W tej grupie szczególnie cenni są kandydaci, którzy nie ograniczają się do interpretacji regulacji. Powinni rozumieć zależności między ryzykiem technologicznym, ciągłością operacyjną i konsekwencjami biznesowymi.

 

Reagowanie na incydenty

 

NIS2 zwiększa znaczenie specjalistów SOC i CSIRT, Incident Responderów, analityków threat intelligence oraz ekspertów digital forensics.

 

Nie chodzi wyłącznie o wykrycie ataku. Potrzebna jest umiejętność sklasyfikowania incydentu, ograniczenia jego skutków, zebrania informacji do zgłoszenia i skoordynowania działań technicznych z komunikacją wewnętrzną oraz prawną.

 

Według raportu ENISA NIS Investments 2025 wykrywanie incydentów i reagowanie na nie należy do najbardziej poszukiwanych obszarów kompetencyjnych w cyberbezpieczeństwie.

 

Architektura i inżynieria bezpieczeństwa

 

W tej grupie znajdują się Security Architect, Cloud Security Engineer, IAM Engineer, Network Security Engineer oraz specjaliści od zarządzania podatnościami i bezpiecznego wytwarzania oprogramowania.

 

To oni przekładają wymagania bezpieczeństwa na konkretne rozwiązania technologiczne. Projektują mechanizmy dostępu, segmentację sieci, ochronę środowisk chmurowych i sposób monitorowania infrastruktury.

 

W danych ENISA wysoko plasują się między innymi kompetencje cloud security, security architecture oraz identity and access management.

 

Bezpieczeństwo OT i systemów przemysłowych

 

Firmy z sektora energetycznego, transportowego, produkcyjnego i infrastrukturalnego mogą potrzebować specjalistów OT/ICS Security.

 

Jest to szczególnie trudny obszar rekrutacyjny. Kandydat powinien rozumieć zarówno cyberbezpieczeństwo, jak i specyfikę środowisk przemysłowych, w których nie zawsze można szybko zaktualizować system, zatrzymać instalację czy zastosować standardowe zabezpieczenia używane w IT.

 

Rekrutacja wewnętrzna, outsourcing czy model hybrydowy?

 

Nie każda organizacja potrzebuje rozbudowanego zespołu bezpieczeństwa. W średniej firmie dobrym rozwiązaniem może być model hybrydowy: wewnętrzny właściciel obszaru wspierany przez zewnętrznych ekspertów od audytu, testów bezpieczeństwa, reagowania na incydenty albo architektury.

 

W większych organizacjach konieczne może być rozdzielenie odpowiedzialności między GRC, SOC, architekturę bezpieczeństwa, IAM, cloud security i bezpieczeństwo dostawców.

 

ENISA wskazuje, że przy planowaniu zasobów warto równolegle analizować zatrudnienie, podnoszenie kwalifikacji obecnego zespołu, zmianę ról oraz outsourcing. Ostateczna odpowiedzialność za zarządzanie ryzykiem nie znika jednak wraz z przekazaniem zadania dostawcy zewnętrznemu.

 

Jeżeli organizacja musi w krótkim czasie zbudować kilka kompetencji, rozwiązaniem może być także rekrutacja Embedded, w której dedykowany rekruter dołącza do zespołu firmy i prowadzi projekty zgodnie z jej priorytetami, procesami i komunikacją.

 

Jak przygotować plan rekrutacyjny pod NIS2?

 

Pierwszym krokiem nie powinno być publikowanie ogłoszeń, lecz przełożenie wymagań ustawy na konkretne zadania, kompetencje i zakresy odpowiedzialności. Warto zacząć od odpowiedzi na kilka podstaowywch pytań:

 

1. Jakie obowiązki wynikają dla naszej organizacji z ustawy?
2. Kto obecnie odpowiada za każdy z tych obszarów?
3. Gdzie brakuje kompetencji, zasobów lub formalnego właściciela?
4. Które luki wymagają zatrudnienia, a które szkolenia lub wsparcia zewnętrznego?
5. Które stanowiska trzeba obsadzić jako pierwsze, aby zdążyć przed terminami ustawowymi?

 

W HR Contact wspieramy firmy technologiczne, finansowe, przemysłowe i infrastrukturalne w pozyskiwaniu specjalistów IT, cyberbezpieczeństwa, risk i compliance. Możemy przeprowadzić analizę rynku, zbudować pipeline kandydatów lub poprowadzić cały proces rekrutacyjny.

 

FAQ: NIS2 i rekrutacja

 

Czy NIS2 wymaga zatrudnienia CISO?

 

Dyrektywa nie nakazuje utworzenia jednego konkretnego stanowiska. Organizacja musi jednak posiadać kompetencje, procesy i jasno przypisaną odpowiedzialność za zarządzanie ryzykiem cyberbezpieczeństwa. W zależności od skali firmy funkcję tę może pełnić CISO, Information Security Officer, Risk Manager lub zespół kilku osób.

 

Kiedy firma musi wdrożyć obowiązki NIS2?

 

Dla podmiotów spełniających kryteria w dniu wejścia ustawy w życie termin realizacji obowiązków upływa 3 kwietnia 2027 roku. Wniosek o wpis do wykazu należy złożyć do 3 października 2026 roku.

 

Jakich specjalistów szukać w pierwszej kolejności?

 

Zależy to od zidentyfikowanych luk. Najczęściej potrzebne są kompetencje z obszaru GRC i zarządzania ryzykiem, reagowania na incydenty, architektury bezpieczeństwa, chmury, IAM oraz OT/ICS.

 

Czy zadania związane z NIS2 można zlecić na zewnątrz?

 

Część zadań może być realizowana przez zewnętrznych dostawców, na przykład audyt, testy bezpieczeństwa czy wsparcie incident response. Firma nadal musi jednak kontrolować realizację tych usług i zarządzać związanym z nimi ryzykiem.

---