Cyberbezpieczeństwo () – interdyscyplinarna dziedzina oparta na informatyce, obejmująca technologię, ludzi, informacje i procesy, której celem jest zapewnienie niezakłóconego działania systemów w warunkach działań przeciwników. Zajmuje się tworzeniem, eksploatacją, analizą i testowaniem bezpiecznych systemów komputerowych, a obejmuje także aspekty prawne, polityczne i etyczne, czynnik ludzki oraz zarządzanie ryzykiem.
W prawie Unii Europejskiej cyberbezpieczeństwo oznacza działania niezbędne do ochrony sieci i systemów informatycznych, ich użytkowników oraz innych osób przed cyberzagrożeniamiRozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Dz.Urz. UE L 151 z 7.06.2019, s. 15, ).. Do tej definicji odsyła również polska ustawa o krajowym systemie cyberbezpieczeństwaUstawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa ( ze zm.)..
Zachowanie cyberbezpieczeństwa Zachowanie cyberbezpieczeństwa w wymiarze cyberprzestrzeni to złożony proces, oparty na kompetencjach użytkowników systemów oraz sprzętu elektronicznego. Składają się na nie między innymi korzystanie przez pracowników z zabezpieczeń sprzętowych takich jak uwierzytelnienie wielopoziomowe, korzystanie z najaktualniejszych wersji programów zabezpieczających dane przed zagrożeniami internetowymi oraz systemów operacyjnych i programów użytkowych, nieodwiedzanie tych witryn internetowych, które są szczególnie narażone na ataki cyberprzestępców, a także na unikaniu podawania w Internecie do wiadomości publicznej szczegółowych danych firmyK. Nakielski, Cyberbezpieczeństwo, czyli jak zapewnić tajność dokumentów w firmie, Harvard Business Review Polska..
Znaczenie cyberbezpieczeństwa W dobie XXI wieku cyberbezpieczeństwo jest bardzo ważnym aspektem, ponieważ firmy, organizacje rządowe, wojskowe, korporacyjne, finansowe i medyczne zbierają, przetwarzają i przechowują niezliczoną ilość danych na komputerach i innych urządzeniach. Istotna część tych danych może być informacją wrażliwą, niezależnie od tego, czy jest to własność intelektualna, dane finansowe, dane osobowe lub innego rodzaju dane, w przypadku których nieupoważniony dostęp może mieć negatywne konsekwencje. Organizacje przekazują poufne dane w sieci i innych urządzeniach podczas prowadzenia działalności, a cyberbezpieczeństwo opisuje dyscyplinę poświęconą ochronie tych informacji i systemów używanych do ich przetwarzania lub przechowywania. Wraz ze wzrostem cyberataków, firmy i organizacje, muszą podjąć kroki w celu ochrony poufnych informacji. Trend wzrostu cyberzagrożeń oraz spodziewane pogorszenie cyberbezpieczeństwa w przyszłości sprawiają, że wysiłki ponoszone w celu zachowania cyberbezpieczeństwa podejmowane przez przedsiębiorstwa i instytucje rosną.
Wyzwania cyberbezpieczeństwa Aby zapewnić skuteczne funkcjonowanie cyberbezpieczeństwa, organizacja zobowiązana jest do koordynowania swoimi działaniami w całym systemie informacyjnym. W skład cyberbezpieczeństwa wchodzą następujące elementy: bezpieczeństwo sieci; bezpieczeństwo aplikacji; bezpieczeństwo punktu końcowego; ochrona danych osobowych; zarządzanie tożsamością; bezpieczeństwo baz danych i infrastruktury; bezpieczeństwo w chmurze; bezpieczeństwo mobilne; odzyskiwanie po awarii – planowanie ciągłości działania.
Za jedno z trudniejszych wyzwań w cyberbezpieczeństwie uznaje się nieustannie zmieniający się charakter zagrożeń. Tradycyjnie organizacje koncentrują większość swoich zasobów cyberbezpieczeństwa na ochronę tylko ich najważniejszych elementów systemu po to, aby bronić się przed znanymi zagrożeniami. Dziś takie podejście jest niewystarczające, ponieważ zagrożenia postępują i zmieniają się szybciej, niż organizacje mogą nadążyć. W rezultacie organizacje doradcze promują bardziej aktywne i adaptacyjne podejścia do bezpieczeństwa cybernetycznego. Większość osób związanych z cyberbezpieczeństwem zaleca przejście w kierunku ciągłego monitorowania i ocen zagrożeń w czasie rzeczywistym, podejście do bezpieczeństwa opartego na danych, w przeciwieństwie do tradycyjnego modelu.
Regulacje w Unii Europejskiej Akt o cyberbezpieczeństwie, czyli rozporządzenie (UE) 2019/881, określa cele, zadania i organizację Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) oraz ustanawia unijne ramy certyfikacji cyberbezpieczeństwa produktów, usług i procesów z zakresu technologii informacyjno-komunikacyjnych (ICT). Od lutego 2025 roku ramy te obejmują również usługi zarządzane w zakresie bezpieczeństwa, takie jak postępowanie w przypadku incydentu, testy penetracyjne i audyty bezpieczeństwaRozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/37 z dnia 19 grudnia 2024 r. w sprawie zmiany rozporządzenia (UE) 2019/881 w odniesieniu do usług zarządzanych w zakresie bezpieczeństwa (Dz.Urz. UE L 2025/37 z 15.01.2025, ).. Certyfikacja jest dobrowolna, chyba że prawo Unii albo państwa członkowskiego stanowi inaczej.
Dyrektywa NIS 2 z 2022 roku ustanawia środki mające na celu osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii. Zobowiązuje państwa członkowskie do przyjęcia krajowych strategii cyberbezpieczeństwa oraz wyznaczenia właściwych organów i zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), a na podmioty z objętych nią sektorów nakłada obowiązki w zakresie zarządzania ryzykiem i zgłaszania incydentówDyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz.Urz. UE L 333 z 27.12.2022, s. 80, ).. Weszła w życie 16 stycznia 2023 r., a państwa członkowskie miały ją wdrożyć do 17 października 2024 r. Z dniem 18 października 2024 r. utraciła moc wcześniejsza dyrektywa NIS z 2016 r.
Krajowy system cyberbezpieczeństwa
W Polsce organizację krajowego systemu cyberbezpieczeństwa oraz zadania i obowiązki tworzących go podmiotów określa ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Celem systemu jest zapewnienie cyberbezpieczeństwa na poziomie krajowym, w tym niezakłóconego świadczenia usług przez podmioty kluczowe i podmioty ważne. System tworzą m.in. te podmioty, trzy zespoły reagowania na incydenty bezpieczeństwa komputerowego działające na poziomie krajowym – prowadzone przez Ministra Obrony Narodowej (CSIRT MON), Naukową i Akademicką Sieć Komputerową (CSIRT NASK) oraz Szefa Agencji Bezpieczeństwa Wewnętrznego (CSIRT GOV) – a także organy właściwe do spraw cyberbezpieczeństwa i Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa.
Ustawę znowelizowano 23 stycznia 2026 r. w celu wdrożenia dyrektywy NIS 2, a zmiany weszły w życie 3 kwietnia 2026 r.Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (). Nowelizacja wprowadziła podział na podmioty kluczowe i podmioty ważne, objęła ustawą nowe sektory gospodarki, m.in. zarządzanie usługami ICT, komunikację elektroniczną, przestrzeń kosmiczną i gospodarowanie odpadami, nałożyła na te podmioty obowiązek stosowania środków zarządzania ryzykiem, a odpowiedzialność za realizację zadań z zakresu cyberbezpieczeństwa przypisała kierownikowi podmiotu.
Cyberbezpieczeństwo w ujęciu danych osobowych oraz informacji niejawnych Rozporządzenie RODO winno być traktowana jako wstęp do cyberbezpieczeństwa z punktu widzenia przedsiębiorstw, administracji czy instytucji państwowych. Z perspektywy danych osobowych oraz informacji niejawnych bardzo ważne jest uświadamianie pracowników o istotności danych osobowych w działalności firmy. RODO nałożyło na administratorów i podmioty szereg zmian oraz obowiązków w związku z przetwarzaniem danych. Celem wprowadzonych przepisów jest szybkie reagowanie przez organy nadzorujące i osoby fizyczne na wszelkiego rodzaju naruszenia. W rozporządzeniu wskazano sposoby zabezpieczania danych osobowych, a mianowicie poprzez pseudonimizację czy szyfrowanie danychUstawa z dnia 10 maja 2018 roku o ochronie danych osobowych ()..
Zagrożenia Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) publikuje co roku raport ENISA Threat Landscape o stanie zagrożeń w Unii Europejskiej. W wydaniu z 2024 roku wyróżniła siedem głównych kategorii zagrożeń: ransomware – przejęcie przez napastnika kontroli nad zasobami ofiary i żądanie okupu w zamian za przywrócenie do nich dostępu albo za odstąpienie od upublicznienia jej danych, złośliwe oprogramowanie – oprogramowanie przeznaczone do wykonywania nieuprawnionych działań szkodzących poufności, integralności lub dostępności systemu, inżynieria społeczna – wykorzystywanie ludzkich błędów i zachowań w celu uzyskania dostępu do informacji lub usług, m.in. za pomocą phishingu, zagrożenia dla danych – zarówno celowe włamania w celu wykradzenia danych, jak i ich niezamierzone wycieki, np. wskutek błędnej konfiguracji, zagrożenia dla dostępności, przede wszystkim ataki DDoS, których skutki są często ograniczone i symboliczne, manipulacja informacją i ingerencja – zamierzone i skoordynowane działania manipulacyjne zagrażające wartościom, procedurom i procesom politycznym, ataki na łańcuch dostaw.
Wśród sprawców ENISA wyróżnia grupy powiązane z państwami, cyberprzestępców, w tym hakerów do wynajęcia, prywatne firmy rozwijające i sprzedające narzędzia ofensywne oraz haktywistów.
W wydaniu z 2026 roku, obejmującym zdarzenia z 2025 roku, ENISA wskazała, że ransomware pozostaje rodzajem incydentu o największym krótkoterminowym wpływie, a zagrożenia dla organizacji w Unii tworzy połączenie cyberprzestępczości, cyberszpiegostwa i haktywizmu, na które wpływają wydarzenia geopolityczne. 73% zaatakowanych organizacji stanowiły podmioty kluczowe i ważne w rozumieniu dyrektywy NIS 2. Najczęściej atakowanym sektorem była administracja publiczna (32% incydentów), wobec której 82% zarejestrowanych zdarzeń stanowiły motywowane ideologicznie ataki DDoS. ENISA spodziewa się także coraz szerszego wykorzystywania modeli sztucznej inteligencji do wspierania działań przestępczych.
Przykłady cyberataków Yahoo – w sierpniu 2013 roku z systemów Yahoo wykradziono dane kont użytkowników. Początkowo firma oceniała, że dotyczyło to ponad miliarda z około 3 miliardów kont, a w październiku 2017 roku ogłosiła, że dotknięte zostały wszystkie konta. Według firmy skradzione informacje nie obejmowały haseł zapisanych jawnym tekstem, danych kart płatniczych ani informacji o rachunkach bankowych. WannaCry – w maju 2017 roku oprogramowanie typu ransomware WannaCry, łączące szyfrowanie danych z funkcją robaka samodzielnie rozprzestrzeniającego się w sieci, dotknęło według szefa Europolu ponad 200 tysięcy ofiar w co najmniej 150 krajach, w tym brytyjską publiczną służbę zdrowia (NHS). NotPetya – w czerwcu 2017 roku złośliwe oprogramowanie NotPetya, podszywające się pod ransomware, lecz nieumożliwiające odzyskania zaszyfrowanych danych, zaatakowało przede wszystkim ukraiński sektor finansowy, energetyczny i administrację rządową, a następnie rozprzestrzeniło się na organizacje w innych krajach. Rządy Wielkiej Brytanii i Stanów Zjednoczonych przypisały ten atak rosyjskiemu wojsku.
Nakłady finansowe na cyberbezpieczeństwo