Gdy firma traci pieniądze przez phishing

• Ataki phishingowe coraz częściej dotykają firmy w Czechach – aktualne statystyki wskazują na wyraźny wzrost liczby ataków w ostatnim okresie, przy czym przeciętna firma mierzy się z tysiącami ataków tygodniowo.
• Nowa czeska ustawa o cyberbezpieczeństwie (transpozycja dyrektywy NIS2) przeniosła odpowiedzialność ze specjalistów IT bezpośrednio na menedżerów; zaniedbanie obowiązków w zakresie bezpieczeństwa rodzi bezpośrednią osobistą i cywilną odpowiedzialność zarządu za wyrządzoną szkodę.
• Jeśli zarząd nie zapewni minimalnych standardów bezpieczeństwa (np. uwierzytelniania wieloskładnikowego, szkoleń pracowników, wykrywania incydentów), grożą nie tylko kary dla firmy (do 2 procent rocznego obrotu), ale także osobista odpowiedzialność majątkowa, a w poważnych przypadkach również możliwość zakazu pełnienia funkcji w ramach powiązanych postępowań.
• Prawnicy kancelarii ARROWS mogą pomóc w przygotowaniu programu compliance, obronie przed karami i negocjacjach z regulatorami, aby zarządy firm uniknęły tych katastrofalnych scenariuszy.

Z jakim kryzysem mamy do czynienia: phishing i Business Email Compromise

Phishing należy do najniebezpieczniejszych cyberataków właśnie dlatego, że celuje w czynnik ludzki, a nie w słabość techniczną. Zazwyczaj jest to e-mail, który wygląda, jakby wysłał go bank, kierownik spółki lub partner handlowy. Ofiara – często pracownik – klika podejrzany link, wpisuje dane logowania lub autoryzuje płatność, którą uważa za prawidłową. W ciągu kilku sekund pieniądze znikają. W przypadku incydentów tego typu warto zająć się nie tylko stroną techniczną, ale także umownym i odpowiedzialnościowym ustawieniem procesów, w czym pomaga prawo IT i oprogramowania, cyberbezpieczeństwo.

W Republice Czeskiej sytuacja w ostatnich miesiącach znacznie się pogorszyła. Aktualne dane z ubiegłego roku pokazują, że liczba cyberataków w kraju wzrosła o kilkadziesiąt procent, co oznacza, że przeciętna firma jest celem średnio tysięcy ataków tygodniowo. W skali globalnej tzw. oszustwa Business Email Compromise (BEC) – gdy atakujący podszywa się pod zarząd firmy i żąda przelewu środków – spowodowały w ciągu ostatnich dziesięciu lat szkody przekraczające dziesiątki miliardów dolarów.

W Republice Czeskiej najczęściej spotykamy się z następującymi odmianami phishingu: tradycyjnym phishingiem e-mailowym, w którym wiadomość jest rozsyłana masowo na tysiące przypadkowych adresów; spear phishingiem, czyli atakiem ukierunkowanym, w którym atakujący starannie przygotowuje profil ofiary i dostosowuje wiadomość właśnie do niej; oraz CEO fraud, czyli oszustwem polegającym na podszywaniu się pod przełożonego, gdy haker udaje dyrektora lub właściciela i poleca pracownikom niższego szczebla przelanie pieniędzy. Najgroźniejszą odmianą z punktu widzenia strat finansowych są właśnie CEO fraud i Business Email Compromise, ponieważ są wymierzone w osoby uprawnione do autoryzacji transakcji finansowych i przekonują je za pomocą manipulacji psychologicznej (sztucznie wywołany pośpiech, udawany autorytet).

Gdy faktycznie dojdzie do straty, zaczynają się problemy. Firma – a dokładniej jej zarząd – nagle znajduje się w sytuacji, w której musi stawić czoła kilku frontom prawnym jednocześnie: możliwemu ściganiu karnemu, sankcjom regulatorów, powództwom cywilnym, a także procesom wewnętrznym. Praktyczne skutki dla HR i współpracy ze współpracownikami zewnętrznymi (w tym ryzyka „ukrytego zatrudnienia” i skutki podatkowe) podsumowuje również artykuł Zewnętrzni dostawcy a pracownicy: jak prawidłowo ułożyć stosunki umowne i wyeliminować ryzyka podatkowe ukrytego zatrudnienia.

Rzeczywistość prawna: nowa ustawa przenosi odpowiedzialność na zarząd

Przez wiele lat standardem było, że odpowiedzialność za cyberbezpieczeństwo spoczywała na dziale IT. Dyrektor lub członek zarządu dbał o wyniki finansowe i sprzedaż, a menedżer IT zajmował się bezpieczeństwem sieci. Wraz z nowymi przepisami model ten wyraźnie się zmienił.

Nowa ustawa o cyberbezpieczeństwie (NIS2)

Nowa czeska ustawa o cyberbezpieczeństwie, która wchodzi w życie 1 listopada 2025, stanowi transpozycję unijnej dyrektywy NIS2 do czeskiego porządku prawnego. Akt ten zasadniczo zmienił reguły gry: definiuje cyberbezpieczeństwo jako nieodłączną część staranności dobrego gospodarza, czyli pojęcia prawnego oznaczającego obowiązek, który mają wszyscy menedżerowie i właściciele firm w odniesieniu do majątku i działalności spółki (zob. np. § 52 i nast. czeskiej ustawy o korporacjach handlowych i spółdzielniach (ustawa nr 90/2012 Sb., dalej „ZOK”), w odniesieniu do korporacji handlowych, oraz § 159 czeskiego Kodeksu cywilnego (ustawa nr 89/2012 Sb., dalej „OZ”), w odniesieniu do zasady ogólnej).

Ustawa ma zastosowanie do szczególnie zdefiniowanych podmiotów – osób prawnych świadczących usługi kluczowe (energetyka, transport, ochrona zdrowia, wodociągi itp.), ale także do dostawców usług cyfrowych i innych podmiotów objętych regulacją. Szacuje się, że w Republice Czeskiej dotyczy to kilku tysięcy podmiotów.

Kluczowa zmiana polega na tym, że ustawa wyraźnie stanowi, iż ostateczną i nieprzenoszalną odpowiedzialność za cyberbezpieczeństwo ponosi organ statutowy – czyli członkowie zarządu (jednatelé, członkowie představenstva) i inne osoby na szczycie organizacji. Odpowiedzialności tej nie można umownie przenieść na zewnętrznego dostawcę IT, specjalistę IT (CISO – Chief Information Security Officer) ani na pracowników. Przy ustalaniu relacji z dostawcami SaaS (w tym OWU, licencji i ochrony danych) pomocny może być także tekst Platforma SaaS w UE: prawne uregulowanie OWU, RODO i postanowień licencyjnych dotyczących wyników AI. Delegować można poszczególne zadania i ich wykonywanie, ale odpowiedzialność prawna pozostaje po stronie menedżera.

Bezpośrednia odpowiedzialność organów statutowych

Co to konkretnie oznacza w praktyce? Zarząd firmy musi aktywnie zatwierdzać polityki bezpieczeństwa, nadzorować ich wdrażanie, uczestniczyć w szkoleniach z zakresu cyberbezpieczeństwa i zapewnić przydzielenie odpowiednich zasobów ludzkich i finansowych na bezpieczeństwo.

Nie wystarczy podejście pasywne – na przykład gdy kierownik jedynie „przyjmie do wiadomości” raport działu IT o aktualnym stanie bezpieczeństwa. Ustawa wymaga podejścia aktywnego, świadomego i możliwego do obrony. Jeśli zarząd później zawiedzie w zabezpieczeniu danych, know-how lub infrastruktury IT i dojdzie do incydentu cybernetycznego (w tym ataku phishingowego), czeski Narodowy Urząd ds. Cyberbezpieczeństwa i Bezpieczeństwa Informacji (Národní úřad pro kybernetickou a informační bezpečnost, NÚKIB) może nałożyć sankcje administracyjne. Jednocześnie członkowie organów statutowych mogą stać się adresatami roszczeń odszkodowawczych spółki, jeśli naruszyli obowiązek staranności dobrego gospodarza.

Odpowiedzialność karna osób prawnych jest w Republice Czeskiej uregulowana odrębnie w czeskiej ustawie o odpowiedzialności karnej osób prawnych i postępowaniu przeciwko nim (ustawa nr 418/2011 Sb.). Firmy odpowiadają za niemal wszystkie przestępstwa wymienione w kodeksie karnym, jeśli zostały popełnione w ich interesie i jeśli nie podjęto wszystkich kroków, których można było od nich słusznie wymagać, aby popełnieniu przestępstwa zapobiec.

Gdyby w toku postępowania przygotowawczego wykazano, że zarząd mógł zapobiec incydentowi (na przykład wdrażając odpowiednie środki techniczne lub szkoląc pracowników), a jego zaniechanie doprowadziło do popełnienia przestępstwa, może dojść do odpowiedzialności karnej firmy, a także do osobistej odpowiedzialności karnej konkretnych menedżerów, np. za przestępstwo naruszenia obowiązku przy zarządzaniu cudzym majątkiem z § 220 czeskiego Kodeksu karnego (ustawa nr 40/2009 Sb., dalej „TZ”).

Kiedy zarząd osobiście odpowiada za szkodę?

Odpowiedzialność prawna menedżerów w przypadku ataku phishingowego może przejawiać się na kilku płaszczyznach. Omówmy je konkretnie.

Odpowiedzialność karna

Jeśli na skutek niewystarczającego cyberbezpieczeństwa firmy dojdzie do przestępstwa (np. oszustwa, nieuprawnionego dostępu do systemu komputerowego, nieuprawnionego przetwarzania danych osobowych, prania pieniędzy), prokurator może ścigać zarówno osoby fizyczne (atakujących), jak i osobę prawną (firmę) na podstawie ustawy o odpowiedzialności karnej osób prawnych.

Kluczowe pytanie brzmi: czy zarząd firmy mógłby powiedzieć „to poza naszą kontrolą”? Zgodnie z prawem czeskim – nie. Jeśli przestępstwo zostanie popełnione w interesie firmy, a zarząd zaniedbał obowiązki dotyczące bezpieczeństwa, firma może ponieść odpowiedzialność karną. Jednocześnie może powstać osobista odpowiedzialność karna menedżerów, typowo za przestępstwo naruszenia obowiązku przy zarządzaniu cudzym majątkiem z § 220 TZ, jeśli ich poważne zaniedbanie obowiązku należytej staranności wyrządziło spółce znaczną szkodę. Takie uchybienie może prowadzić do kary pozbawienia wolności lub kar grzywny.

Odpowiedzialność cywilna

Na płaszczyźnie cywilnej – czyli w sporze prywatnym – firma lub inne poszkodowane strony (np. partnerzy handlowi, których danych firma nie zdołała ochronić) mogą pozwać poszczególnych menedżerów o odszkodowanie. Osoba prawna (firma) może dochodzić odszkodowania od członków zarządu, jeśli naruszyli oni obowiązek działania ze starannością dobrego gospodarza i nie zapewnili odpowiedniego bezpieczeństwa zgodnie z właściwymi przepisami i standardami.

Obowiązuje tu kluczowa zasada: jeśli zostanie wykazane, że członek zarządu nie zapewnił minimalnych środków bezpieczeństwa (np. uwierzytelniania wieloskładnikowego, regularnych szkoleń pracowników, kopii zapasowych danych lub monitorowania zagrożeń bezpieczeństwa), a błędy te bezpośrednio doprowadziły do ataku phishingowego i straty, to właśnie on ponosi odpowiedzialność za tę szkodę.

Prawnicy kancelarii ARROWS spotykają się z takimi sytuacjami: firmy zwracają się do nich z pytaniem, czy mogą dochodzić pieniędzy od swojego zarządu, jeśli zarząd zaniedbał obowiązki bezpieczeństwa i firma straciła przez to dane lub środki finansowe. Odpowiedź często zależy od tego, czy zarząd miał zawarte ubezpieczenie i co dokładnie zostało (lub nie zostało) w nim uzgodnione.

Kary administracyjne

Na poziomie regulatora – NÚKIB – firmie i jej zarządowi grożą sankcje administracyjne. Dla podmiotów objętych reżimem wyższych obowiązków kara wynosi do 2 procent światowego rocznego obrotu, dla pozostałych podmiotów do 1,4 procent. W przypadku dużych korporacji oznacza to sankcje rzędu dziesiątek lub setek milionów koron czeskich.

Ponadto nowa ustawa wprowadza również sankcje niefinansowe: urzędy mogą zawiesić lub cofnąć europejskie certyfikaty bezpieczeństwa (np. ISO 27001, NIST, TISAX), co może spowodować poważne problemy z wykonywaniem zobowiązań umownych wobec partnerów handlowych i prowadzić do utraty kontraktów i udziału w rynku.

A – co stanowi najważniejszą nowość – NÚKIB może w poważnych przypadkach nałożyć bezpośrednio na członków organu statutowego karę w wysokości do 20 mln CZK.

Po zsumowaniu wszystkich tych linii odpowiedzialności okazuje się, że zarząd firmy w Republice Czeskiej mierzy się bez przesady z katastrofalnym spektrum ryzyk: kara dla firmy, kara dla poszczególnego menedżera, powództwo cywilne firmy przeciwko menedżerowi, ściganie karne przez państwo oraz szkoda wizerunkowa. Zakaz pełnienia funkcji może natomiast być konsekwencją poważnego naruszenia obowiązków, a nie bezpośrednią sankcją nakładaną przez NÚKIB.

Przykłady praktyczne: co dzieje się w rzeczywistych sytuacjach?

Aby było jasne, o czym mówimy, omówmy kilka typowych scenariuszy z praktyki.

Przypadek 1: CEO fraud w spółce przemysłowej

Przedsiębiorstwo zatrudniające 500 osób otrzymuje e-mail od „dyrektora” skierowany do kierownika działu finansowego. Dyrektor pisze w e-mailu: „Prowadzimy negocjacje w sprawie przejęcia firmy XY, operację musimy utrzymać w tajemnicy. Potrzebuję, aby do jutra rana przelali Państwo 50 mln CZK (ok. 2,1 mln EUR) na ten rachunek: [fałszywy rachunek]. Dziękuję, Martin Novotný, dyrektor.” E-mail wygląda wiarygodnie – logika jest poprawna, ton odpowiedni, adres e-mail różni się od prawidłowego tylko jednym znakiem (domain spoofing – technicznie łatwy do przeprowadzenia).

Kierownik działu finansowego postanawia zweryfikować polecenie telefonicznie. Dzwoni do dyrektora. Osoba, która odbiera, mówi: „Tak, wszystko się zgadza, to super pilne, proszę zrobić to teraz.” (W rzeczywistości jest to haker, który podłączył się pod podobny numer lub wynajął kartę SIM z numerem zbliżonym do numeru dyrektora.) Kierownik działu finansowego przelewa pieniądze.

Następnego dnia okazuje się, że sześćdziesiąt milionów koron czeskich (60 mln CZK, ok. 2,5 mln EUR) trafiło na rachunek siatki przestępczej w Azji i jest praktycznie nie do odzyskania.

Co dzieje się z prawnego punktu widzenia? Firma składa zawiadomienie o przestępstwie. Policja wszczyna postępowanie (z minimalną nadzieją na odzyskanie pieniędzy). Ubezpieczyciel ryzyk cybernetycznych odmawia wypłaty, twierdząc, że szkoda powstała z powodu „rażącego niedbalstwa” kierownika działu finansowego (który nie zweryfikował polecenia innymi środkami). Ale – i tu sprawy się komplikują – NÚKIB lub przewodniczący zarządu (jeśli jest to inna osoba niż dyrektor) zadają pytanie: dlaczego firma nie wdrożyła uwierzytelniania wieloskładnikowego dla poleceń przelewu tak wysokich kwot?

Dlaczego nie istniała zasada czterech oczu (four-eyes principle)? Dlaczego zarząd nie prowadził szkoleń pracowników w zakresie phishingu?

Zarząd firmy znajduje się w sytuacji, w której mierzy się nie tylko z utratą pieniędzy, ale także z postępowaniem regulatora, powództwami cywilnymi i potencjalnie ze ściganiem karnym za zaniedbanie obowiązków wynikających z nowej ustawy.

Przypadek 2: Spear phishing w spółce deweloperskiej

Firma deweloperska otrzymuje e-mail od swojego banku z ofertą „optymalizacji finansowania”. E-mail zawiera szczegóły osobiste dotyczące dyrektora i bieżących projektów firmy (dane pozyskane z LinkedIn i źródeł publicznych). Dyrektor – osoba doświadczona – zauważa, że e-mail nie jest całkiem standardowy, ale treść brzmi wiarygodnie.

Klika w link, który prowadzi go do wiarygodnie wyglądającej repliki strony internetowej banku. Wpisuje dane logowania. Atakujący loguje się tymi danymi do prawdziwej bankowości internetowej. Aktywuje nowe urządzenie autoryzacyjne i przelewa dwa miliony koron (2 mln CZK, ok. 82 300 EUR).

Pytanie do zarządu: dlaczego nie wdrożono uwierzytelniania wieloskładnikowego? Odpowiedź zarządu: „Mieliśmy za mało ludzi w IT, na bezpieczeństwo przeznaczano niewielkie środki.”

Skutek prawny: NÚKIB przeprowadza kontrolę i stwierdza, że zarząd naruszył ustawę, nie zapewniając podstawowych środków bezpieczeństwa. Kara dla firmy może wynieść do 1,4 % rocznego obrotu. Gdyby roczny obrót firmy wynosił 2 mld CZK (ok. 82,3 mln EUR), kara mogłaby sięgnąć nawet 28 mln CZK (ok. 1,2 mln EUR). Ponadto członkowie zarządu indywidualnie odpowiadają za naprawienie szkody (2 mln CZK) i grozi im osobista kara do 20 mln CZK nałożona przez NÚKIB, jeśli zostanie wykazane, że wiedzieli o ryzyku.

Przypadek 3: Phishing wymierzony w pracownika a odpowiedzialność firmy

Pracownik otrzymuje e-mail, który wygląda na wiadomość od działu IT: „Z powodu zagrożenia bezpieczeństwa prosimy o zresetowanie klucza SSH pod adresem: [podejrzany link].” Pracownik klika i wpisuje swoje dane. Atakujący uzyskuje dostęp do wewnętrznego serwera firmy i kradnie tajemnice przedsiębiorstwa, które później sprzedaje konkurencji.

Konkurencja uzyskuje w ten sposób wgląd w przygotowywany produkt i prace rozwojowe. Firma traci przewagę rynkową i kontrakty. Stratę szacuje się na 50 mln CZK.

Zgodnie z czeskim prawem karnym ściganiu karnemu może podlegać także osoba prawna (firma), jeśli zostanie wykazane, że zarząd zawiódł w zakresie nadzoru i prewencji, umożliwiając w ten sposób popełnienie przestępstwa (np. nieuprawnionego dostępu do systemu komputerowego i nośnika informacji). Zarządowi grozi wówczas osobista odpowiedzialność karna, na przykład za przestępstwo naruszenia obowiązku przy zarządzaniu cudzym majątkiem z § 220 TZ, jeśli jego zaniechanie bezpośrednio doprowadziło do znacznej szkody.

Prawnicy kancelarii ARROWS w takich sytuacjach typowo pomagają w obronie przed karami i sankcjami regulatorów, w kontaktach z NÚKIB, a także w ocenie, czy możliwe jest dochodzenie odszkodowania od poszczególnych menedżerów, którzy zaniedbali obowiązki bezpieczeństwa.

Powiązane pytania – odpowiedzialność prawna za ataki phishingowe

1. Kto dokładnie odpowiada za szkodę wyrządzoną phishingiem – bank, ubezpieczyciel, pracownik czy zarząd firmy?

Odpowiedź brzmi: wszyscy, ale w różnym stopniu. Zarząd firmy odpowiada za to, że nie zapewnił odpowiednich środków bezpieczeństwa. Pracownik odpowiada w określonych granicach – maksymalnie do 4,5-krotności swojego przeciętnego wynagrodzenia, jeśli nie działał umyślnie (zob. § 257 ust. 2 czeskiego Kodeksu pracy (ustawa nr 262/2006 Sb., dalej „ZP”)). Bank odpowiada za należytą staranność w zakresie bezpieczeństwa bankowości internetowej, jeśli nie zapewnił odpowiednich zabezpieczeń. Ubezpieczyciel wypłaca świadczenie w zakresie polisy, którą firma zawarła. Prawnicy kancelarii ARROWS mogą ocenić Państwa sprawę i zaproponować rozwiązanie (konsultacja@arws.cz).

2. Jaki minimalny poziom bezpieczeństwa musi zapewnić zarząd, aby uniknąć kary?

Nowa ustawa określa minimalne obowiązki, które różnią się w zależności od tego, czy podmiot podlega reżimowi niższych, czy wyższych obowiązków. W obu przypadkach chodzi jednak co najmniej o: uwierzytelnianie wieloskładnikowe (MFA), zarządzanie dostępami, szkolenia pracowników, wykrywanie incydentów bezpieczeństwa, plan odtworzenia i aktualizację oprogramowania. Zarząd musi mieć wiedzę o sytuacji, musi zadawać pytania i musi dysponować dowodami, że środki bezpieczeństwa rzeczywiście działają. Prawnicy kancelarii ARROWS mogą pomóc w przygotowaniu programu compliance i zapewnieniu, aby zarząd spełniał wszystkie obowiązki ustawowe (konsultacja@arws.cz).

3. Co jeśli pracownik „głupio” kliknął w link phishingowy – czy grozi mu zwolnienie?

Pracownikom grożą konsekwencje na gruncie prawa pracy, ale czeski kodeks pracy chroni pracownika limitem: odpowiada on maksymalnie do 4,5-krotności swojego przeciętnego wynagrodzenia, jeśli nie działał umyślnie (§ 257 ust. 2 ZP). Oznacza to, że masowe zwolnienie wszystkich pracowników, którzy kliknęli w phishing, najprawdopodobniej skończyłoby się w sądzie, a przedsiębiorca by tę sprawę przegrał. Zarząd firmy powinien inwestować w szkolenia i prewencję, a nie w kary. Prawnicy kancelarii ARROWS mogą doradzić, jak prawidłowo zareagować na incydent bezpieczeństwa zgodnie z obowiązkami wynikającymi z prawa pracy (konsultacja@arws.cz).

Jak się bronić: środki zapobiegawcze i compliance

Gdy zarząd zrozumie, że grozi mu odpowiedzialność osobista, pojawia się pytanie: jak się bronić? Odpowiedź opiera się na trzech filarach: środkach technicznych, środkach organizacyjnych i bieżącej dokumentacji.

Środki techniczne

Uwierzytelnianie wieloskładnikowe (MFA) musi być standardem. Oznacza to, że każdy pracownik logujący się do czegoś istotnego (poczta e-mail, bankowość internetowa, aplikacje chmurowe) musi podać nie tylko hasło, ale także jednorazowy kod z aplikacji lub SMS. Powód: nawet jeśli atakujący zdobędzie hasło, nie uzyska automatycznie dostępu.

Zarządzanie dostępami zgodnie z zasadą minimalnych niezbędnych uprawnień (least privilege) oznacza, że pracownik ma dostęp wyłącznie do tych systemów i danych, których rzeczywiście potrzebuje do pracy. Pracownik działu finansowego nie ma więc dostępu do wszystkich projektów i danych strategicznych.

Wykrywanie zagrożeń i incydentów bezpieczeństwa powinno być zautomatyzowane – czyli oparte na systemach, które stale monitorują sieć i ostrzegają o podejrzanej aktywności. Gdy dzieje się coś podejrzanego, system to rejestruje i powiadamia właściwe osoby.

Kopie zapasowe i plan odtworzenia mają kluczowe znaczenie: w razie ataku firma powinna być w stanie przywrócić działalność bez utraty kluczowych danych. Wymaga to, aby zarząd zapewnił regularne tworzenie kopii zapasowych i testowanie planu odtworzenia.

Aktualizacja oprogramowania to podstawa – gdy pojawi się poprawka bezpieczeństwa (patch), firma powinna wdrożyć ją w rozsądnym czasie. Zaniedbywanie aktualizacji jest jedną z najczęstszych przyczyn powodzenia cyberataków.

Środki organizacyjne

Szkolenia pracowników muszą być regularne i konkretne. Jeśli zarząd wprowadza program compliance, w ramach którego pracownicy uczą się rozpoznawać e-maile phishingowe i je zgłaszać, a zarząd docenia tych, którzy nie bagatelizują podejrzanych wiadomości, tworzy się kultura odpowiedzialności i bezpieczeństwa. To zasadniczo zmniejsza prawdopodobieństwo udanego ataku phishingowego.

Polityka bezpieczeństwa musi być spisana, jasna i dostępna dla wszystkich pracowników. Powinna zawierać konkretne zasady: co zrobić po otrzymaniu podejrzanego e-maila, jak postępować z hasłami, jakie są procedury w razie podejrzenia incydentu bezpieczeństwa itd.

Wyznaczenie osób odpowiedzialnych za cyberbezpieczeństwo – na przykład Chief Information Security Officer (CISO) lub menedżera ds. bezpieczeństwa – ułatwia komunikację i zapewnia, że kwestie bezpieczeństwa są rozwiązywane systematycznie. Kluczowe jest jednak, aby osoby te miały bezpośredni dostęp do zarządu i mogły informować kierownictwo o stanie bezpieczeństwa bez zbędnych filtrów.

Incident response plan – plan postępowania w razie incydentu bezpieczeństwa – musi być przygotowany z wyprzedzeniem i przetestowany. Oznacza to: z kim się kontaktować, jak postępować, jakie są etapy (wykrycie, izolacja, odtworzenie, komunikacja itd.). Gdy incydent faktycznie nastąpi, nie ma czasu na improwizację – zespoły muszą wiedzieć, co mają robić. Skraca to również czas, w którym firma jest zagrożona, i minimalizuje szkodę.

Dokumentacja i audyt

Oto najważniejsza puenta dla kierownictwa: nowa ustawa wymaga nie tylko bezpieczeństwa, ale także dowodu bezpieczeństwa. Oznacza to, że zarząd musi dysponować możliwymi do wykazania dowodami, że: zatwierdził politykę bezpieczeństwa, uczestniczył w szkoleniach, przeprowadził audyt środków bezpieczeństwa oraz że wszystkie wybrane środki rzeczywiście działają.

Podczas kontroli NÚKIB nie wystarczą same ładne dokumenty na papierze – regulator będzie chciał zobaczyć i zweryfikować, że systemy rzeczywiście działają. Zazwyczaj odbywa się to za pomocą audytów zewnętrznych, które weryfikują funkcjonowanie środków bezpieczeństwa i sporządzają niezależne raporty o zgodności z ustawą.

Prawnicy kancelarii ARROWS spotykają się z sytuacjami, w których zarządy firm nie traktują wystarczająco poważnie obowiązków dokumentacyjnych, a gdy przychodzi regulator, okazuje się, że bez dowodów zatwierdzania i monitorowania środków bezpieczeństwa zarząd staje się łatwym celem sankcji. Dlatego zalecamy przygotowanie programu compliance, który obejmie zarówno środki techniczne i organizacyjne, jak i zestaw procedur i zapisów potwierdzających aktywność zarządu (konsultacja@arws.cz).

Co robić, gdy jest już za późno? Zarządzanie kryzysowe po ataku phishingowym

Jeśli firma stwierdzi, że padła ofiarą ataku phishingowego i straciła pieniądze, czas ma kluczowe znaczenie. Pierwsze 24–48 godzin decyduje o tym, jak szybko można zminimalizować szkodę.

Działania natychmiastowe (godziny 0–4 po wykryciu)

Bezpośrednim priorytetem jest stabilizacja techniczna: zaatakowane systemy należy odizolować od internetu i sieci wewnętrznej (bez ich wyłączania, aby nie zniszczyć śladów w pamięci operacyjnej RAM). Rejestrowanie wszystkich kroków – szczegółowy, opatrzony znacznikami czasu zapis wszystkich decyzji i poleceń – należy rozpocząć natychmiast, ponieważ będzie to później kluczowy dowód dla NÚKIB lub sądu, że zarząd starał się zminimalizować szkodę.

Kontakt z ubezpieczycielem ryzyk cybernetycznych (jeśli firma zawarła polisę) jest ważny w określonym oknie czasowym – polisy często przewidują terminy, w których incydent musi zostać zgłoszony. Niedotrzymanie terminu może skutkować odmową wypłaty.

Prawnicy kancelarii ARROWS spotykają się z sytuacjami, w których zarząd próbuje rozwiązać incydent samodzielnie i bez pomocy prawnej popełnia błędy, które później pogarszają pozycję firmy. Dlatego zalecamy, aby firmy kontaktowały się z prawnikiem jak najszybciej po wykryciu incydentu – prawnik może wówczas koordynować działania ze specjalistami ds. zarządzania kryzysowego, informatyki śledczej i komunikacji z urzędami.

Zgłoszenie właściwym organom

Zgodnie z RODO (rozporządzenie (UE) 2016/679) – jeśli w wyniku ataku phishingowego dojdzie do wycieku danych osobowych – incydent musi zostać zgłoszony do czeskiego Urzędu Ochrony Danych Osobowych (Úřad pro ochranu osobních údajů, ÚOOÚ) bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO).

Nowa ustawa o cyberbezpieczeństwie wymaga ponadto, aby niektóre incydenty były zgłaszane do NÚKIB, zwłaszcza jeśli dotyczą podmiotów objętych reżimem wyższych lub podstawowych obowiązków lub mają poważny charakter.

Zawiadomienie policji również nie jest automatyczne, ale w przypadku przestępstwa (oszustwa, nieuprawnionego dostępu do systemu) jest zalecane, ponieważ chroni nie tylko samą firmę, ale także inne potencjalne ofiary, jeśli policja następnie zajmie się sprawcą.

Komunikacja z opinią publiczną i klientami

Jak komunikować się, gdy o incydencie dowiedzą się pracownicy, klienci lub partnerzy handlowi? Ważne jest, aby działać w porę, szczerze i jasno informować, jakie kroki są podejmowane w celu naprawy sytuacji. Milczenie lub niewystarczające informacje prowadzą do szybszej utraty zaufania.

Zaleca się opracowanie planu komunikacji – kto komunikuje się z kim, w jakiej kolejności i jakie informacje są przekazywane. Powinien on obejmować komunikację z pracownikami, klientami, partnerami handlowymi, a także z mediami, jeśli chodzi o poważną sprawę, która zostanie upubliczniona.

Prawnicy kancelarii ARROWS mogą pomóc w przygotowaniu strategii komunikacyjnej, która minimalizuje szkodę wizerunkową i jest zgodna z obowiązkami prawnymi, w szczególności z obowiązkami notyfikacyjnymi wynikającymi z RODO i ustawy o cyberbezpieczeństwie.

Przyszłe spory sądowe i postępowania

Po wykryciu incydentu zarząd firmy często staje wobec kilku równoległych procesów: postępowania NÚKIB, postępowania policji, roszczeń odszkodowawczych poszkodowanych osób trzecich, a także procesów wewnętrznych w samej firmie. Każdy z tych procesów ma własne terminy, procedury i ryzyka.

Prawnicy kancelarii ARROWS mogą reprezentować firmę i zarząd na wszystkich tych etapach – od wstępnej komunikacji z regulatorami aż po obronę przed karami i sankcjami. Ubezpieczenie kancelarii ARROWS do wysokości 350 mln CZK (ok. 14,4 mln EUR) daje klientom dodatkowy komfort, że gdy sprawy stają się poważne, kancelaria dysponuje środkami na skuteczną obronę.

Podsumowanie końcowe

Gdy firma pada ofiarą ataku phishingowego prowadzącego do utraty pieniędzy, rzeczywistość w ostatnich miesiącach znacznie się zmieniła w związku z wejściem w życie nowej ustawy o cyberbezpieczeństwie. Odpowiedzialność nie spoczywa już wyłącznie na dziale IT – przechodzi bezpośrednio na zarząd firmy. Członkowie zarządu odpowiadają teraz osobiście za to, aby ich firma wdrożyła odpowiednie środki bezpieczeństwa, nadzorowała ich przestrzeganie i dysponowała dokumentacją swojego aktywnego podejścia do zarządzania ryzykami cybernetycznymi.

Ta zmiana prawna ma głębokie skutki praktyczne. Zarząd, który dotąd uważał cyberbezpieczeństwo za marginalną kwestię techniczną, znajduje się teraz pod presją regulatorów, w obliczu potencjalnych sankcji sięgających dziesiątek lub setek milionów koron czeskich dla firmy i do 20 mln CZK dla poszczególnego menedżera, a także pod presją powództw cywilnych poszkodowanych osób trzecich. Jednocześnie zarządowi grozi szkoda wizerunkowa – gdy klienci lub opinia publiczna dowiedzą się o incydencie bezpieczeństwa, zaufanie do firmy może zostać poważnie nadszarpnięte, a czasem już nigdy nie zostanie odbudowane.

Dlatego zalecamy zająć się tym tematem bez zwłoki. Pierwszym krokiem jest zapewnienie analizy prawnej, która doprecyzuje konkretne obowiązki Państwa firmy wynikające z nowej ustawy. Drugim krokiem jest opracowanie i wdrożenie programu compliance obejmującego środki techniczne (MFA, zarządzanie dostępami, wykrywanie zagrożeń), środki organizacyjne (szkolenia pracowników, polityki bezpieczeństwa, plan reagowania na incydenty) oraz zapisy dowodowe (dokumentacja decyzji zarządu, raporty z audytów, certyfikaty).

Jeśli Państwa firmie uda się zminimalizować ryzyka incydentów bezpieczeństwa, zaoszczędzi dziesiątki milionów koron czeskich. Jeśli jednak mimo to dojdzie do incydentu, a zarząd będzie podejrzewał, że mógł być lepiej przygotowany, prawnicy kancelarii ARROWS mogą pomóc w obronie przed karami regulacyjnymi, w prowadzeniu postępowania karnego i w ograniczeniu odpowiedzialności cywilnej. Prosimy o kontakt z kancelarią ARROWS, jeśli chcą Państwo zlecić przygotowanie opinii prawnej lub mierzą się z incydentem bezpieczeństwa i potrzebują wsparcia prawnego (konsultacja@arws.cz).