Cyberbezpieczeństwo uczelni to już nie tylko sprawa działu IT. Za co odpowiada rektor w świetle NIS2?

Przez wiele lat cyberbezpieczeństwo było traktowane na uczelniach przede wszystkim jako domena informatyków. To dział IT odpowiadał za aktualizacje, kopie zapasowe, zabezpieczenie sieci oraz reagowanie na awarie. Władze uczelni oczekiwały natomiast, że systemy będą po prostu działać. Nowe przepisy dotyczące krajowego systemu cyberbezpieczeństwa wyraźnie zmieniają tę perspektywę.

Bezpieczeństwo cyfrowe staje się elementem zarządzania całą instytucją, a odpowiedzialność za jego właściwą organizację spoczywa również na jej kierownictwie. Nie oznacza to, że rektor ma samodzielnie oceniać luki w zabezpieczeniach oprogramowania, konfigurować zabezpieczenia sieci czy analizować logi systemowe. Jego rola jest inna. Powinien zadbać o to, aby uczelnia posiadała odpowiedni system zarządzania bezpieczeństwem informacji, środki finansowe na jego utrzymanie, jasno określony podział zadań oraz procedury pozwalające skutecznie reagować na incydenty.

Czym jest NIS2?

NIS2 to unijna dyrektywa, której celem jest podniesienie poziomu cyberbezpieczeństwa w państwach członkowskich. Obejmuje instytucje i przedsiębiorstwa działające w obszarach istotnych dla funkcjonowania państwa, gospodarki i społeczeństwa. Zobowiązuje je nie tylko do stosowania odpowiednich zabezpieczeń technicznych, lecz także do zarządzania ryzykiem, przygotowania procedur reagowania na incydenty, zapewnienia ciągłości działania oraz kontrolowania bezpieczeństwa dostawców.

Istotą NIS2 jest zmiana podejścia do bezpieczeństwa cyfrowego. Nie jest ono już traktowane wyłącznie jako techniczne zadanie działu IT, ale jako element zarządzania całą organizacją. Osoby kierujące instytucją powinny zatem rozumieć najważniejsze rodzaje ryzyka, zapewniać środki potrzebne do ich ograniczenia i nadzorować sposób wykonywania obowiązków. Nie muszą posiadać specjalistycznej wiedzy informatycznej, ale cyberbezpieczeństwo powinno być uwzględniane w podejmowanych przez nie decyzjach.

Uczelnia jest dziś organizacją cyfrową

Systemy informatyczne obsługują niemal cały cykl życia studenta: od rekrutacji, przez przebieg studiów i rozliczenia finansowe, aż po wydanie dyplomu. Przetwarzają dane kandydatów, studentów, absolwentów, wykładowców i pracowników administracyjnych. Zapewniają dostęp do planów zajęć, ocen, podań, dokumentów, płatności oraz komunikacji z dziekanatem. Ich znaczenie wykracza zatem daleko poza usprawnienie pracy administracji. Niedostępność systemu podczas rekrutacji, sesji egzaminacyjnej czy składania wniosków może zakłócić realizację podstawowych zadań uczelni. Nieuprawniony dostęp do konta użytkownika może natomiast prowadzić do ujawnienia informacji, zmiany danych lub wykorzystania przejętej tożsamości do kolejnych działań.

Cyberbezpieczeństwo uczelni należy więc rozpatrywać nie tylko w kontekście ochrony danych osobowych. Równie ważne są ciągłość działania, integralność informacji oraz możliwość szybkiego odtworzenia systemów po awarii lub ataku. Uczelnia powinna wiedzieć nie tylko, jak chroni dane, lecz także jak długo może funkcjonować bez poszczególnych usług i w jaki sposób przywróci je do działania.

Które uczelnie obejmują nowe przepisy?

Dyrektywa NIS2 wyznacza wspólne standardy europejskie, natomiast jej szczegółowe wymagania są wprowadzane do prawa poszczególnych państw. W Polsce nastąpiło to poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku. 

Polskie przepisy obejmują uczelnie szerzej niż sama dyrektywa NIS2. Unijna regulacja pozwala państwom członkowskim rozszerzyć jej zastosowanie na instytucje edukacyjne, zwłaszcza gdy prowadzą one działalność badawczą o krytycznym znaczeniu. Polski ustawodawca zdecydował się natomiast wskazać uczelnie oraz inne określone podmioty systemu szkolnictwa wyższego i nauki w sektorze badań naukowych. Co do zasady zostały one zaliczone do podmiotów ważnych. W określonych okolicznościach uczelnia może zostać również uznana za podmiot kluczowy.

Oznacza to, że nowe wymagania nie dotyczą wyłącznie największych uniwersytetów technicznych, uczelni badawczych czy ośrodków realizujących projekty o znaczeniu strategicznym. Obejmują także mniejsze szkoły wyższe i uczelnie o profilu przede wszystkim dydaktycznym, mimo istotnych różnic w ich wielkości, strukturze, profilu ryzyka oraz możliwościach finansowych i organizacyjnych.

Podmioty, które spełniały ustawowe przesłanki w dniu wejścia nowych przepisów w życie, otrzymały 12 miesięcy na dostosowanie się do wynikających z nich wymagań. Okres ten powinien służyć uporządkowaniu odpowiedzialności, przeglądowi systemów i umów z dostawcami oraz przygotowaniu odpowiednich procedur.

Za co odpowiada kierownictwo uczelni?

Ustawa wskazuje, że kierownik podmiotu kluczowego lub ważnego odpowiada za wykonywanie obowiązków w zakresie cyberbezpieczeństwa. W przypadku uczelni funkcję tę co do zasady pełni rektor, choć ostateczna kwalifikacja powinna uwzględniać jej formę organizacyjną i obowiązujące w niej zasady reprezentacji. Odpowiedzialność rektora ma przede wszystkim charakter zarządczy. Obejmuje podejmowanie decyzji dotyczących przygotowania, wdrożenia, stosowania, przeglądu i nadzorowania systemu zarządzania bezpieczeństwem informacji. Do jego obowiązków należy również zapewnienie odpowiednich środków finansowych, przydzielenie zadań, kontrolowanie ich wykonania oraz zadbanie o to, aby pracownicy znali obowiązujące procedury. Co istotne, odpowiedzialność pozostaje po stronie kierownika także wtedy, gdy część zadań powierzono innej osobie. Można delegować ich wykonanie, ale nie można całkowicie przenieść odpowiedzialności za to, czy uczelnia została właściwie przygotowana.

Przepisy przewidują również obowiązek odbywania przez kierownika corocznego, udokumentowanego szkolenia. Osoby podejmujące decyzje dotyczące budżetu, dostawców i organizacji pracy powinny bowiem rozumieć najważniejsze rodzaje ryzyka oraz konsekwencje dokonywanych wyborów.

Odpowiedzialność nie oznacza gwarancji, że nie dojdzie do ataku

Nawet dobrze zabezpieczona instytucja może paść ofiarą cyberataku. Nowe przepisy nie nakładają na rektora obowiązku zagwarantowania, że żaden incydent nigdy się nie wydarzy. W praktyce byłoby to niemożliwe. Ocenie może natomiast podlegać to, czy uczelnia prawidłowo zarządzała ryzykiem: czy znała swoje zasoby, identyfikowała zagrożenia, aktualizowała oprogramowanie, kontrolowała dostęp do systemów, wykonywała kopie zapasowe i sprawdzała możliwość ich odtworzenia. Znaczenie będzie miało również to, czy posiadała procedury obsługi incydentów, plany ciągłości działania i odpowiednio przygotowany personel.

Nie chodzi więc wyłącznie o zakup kolejnego narzędzia ochronnego. Podstawą jest udokumentowany i stale doskonalony system zarządzania, w którym wiadomo, kto podejmuje decyzje, kto realizuje poszczególne zadania i w jaki sposób uczelnia sprawdza skuteczność stosowanych zabezpieczeń.

Dostawca systemu przejmuje zadania, ale nie odpowiedzialność władz uczelni

Coraz więcej uczelni korzysta z systemów dostarczanych w modelu chmurowym. Pozwala to ograniczyć konieczność samodzielnego utrzymywania infrastruktury, wykonywania aktualizacji i zapewniania całodobowej obsługi technicznej. Zewnętrzny dostawca może odpowiadać za wiele zadań operacyjnych, takich jak monitorowanie środowiska, tworzenie kopii zapasowych, zarządzanie podatnościami czy odtwarzanie usług po awarii.

Nie oznacza to jednak, że wraz z systemem przejmuje pełną odpowiedzialność prawną władz uczelni. Rektor nadal powinien wiedzieć, jakie zadania zostały powierzone dostawcy, w jaki sposób są realizowane oraz jak uczelnia może to zweryfikować. Kluczowe znaczenie ma zatem umowa. Powinna ona precyzyjnie określać standardy bezpieczeństwa, zasady wykonywania i testowania kopii zapasowych, czasy reakcji na awarie, sposób informowania o incydentach oraz odpowiedzialność poszczególnych stron. Ważne są także zasady kontroli dostępu, sposób i miejsce przetwarzania danych, możliwość przeprowadzenia audytu oraz procedura zakończenia współpracy i bezpiecznego przeniesienia informacji do innego środowiska.

Dobrze skonstruowana współpraca z dostawcą nie polega więc na prostym przekazaniu problemu na zewnątrz. Jej celem jest takie rozłożenie zadań, aby uczelnia zachowała kontrolę nad najważniejszymi decyzjami, a jednocześnie korzystała z wyspecjalizowanych zasobów, kompetencji i procedur, których samodzielne utrzymanie byłoby trudne lub nieefektywne.

Zgodność z przepisami to nie to samo co odporność

Jednym z istotnych wyzwań związanych z wdrożeniem nowych przepisów jest ryzyko skoncentrowania się na formalnym spełnieniu wymagań. Przygotowanie procedur, regulaminów i dokumentacji jest konieczne, ale samo w sobie nie przesądza jeszcze o zdolności uczelni do skutecznego wykrycia incydentu, ograniczenia jego skutków i odtworzenia najważniejszych usług.

Dokumentacja powinna opisywać rozwiązania, które rzeczywiście funkcjonują i są regularnie sprawdzane. Dotyczy to między innymi kopii zapasowych, zarządzania uprawnieniami, monitorowania systemów, reagowania na incydenty oraz planów ciągłości działania. W praktyce liczy się nie tylko posiadanie odpowiedniej procedury, lecz także możliwość wykazania, że została ona przetestowana i może zostać zastosowana w sytuacji kryzysowej.

Od czego należy zacząć?

Pierwszym krokiem powinno być ustalenie czy uczelnia podlega nowym obowiązkom i w jakim charakterze. Następnie warto zinwentaryzować systemy, dane, procesy oraz dostawców, od których zależy ciągłość jej działania. Sama lista używanych aplikacji nie wystarczy. Konieczne jest określenie, które usługi są najważniejsze, kto odpowiada za nie od strony organizacyjnej i technicznej oraz co stanie się w przypadku ich niedostępności. Kolejny etap to analiza obowiązujących umów i procedur. Uczelnia powinna wiedzieć, jak szybko dostawca poinformuje ją o incydencie, kto podejmie decyzję o uruchomieniu planu awaryjnego, ile potrwa odtworzenie systemu i w jaki sposób zostanie potwierdzone, że kopie zapasowe rzeczywiście są użyteczne. Należy również sprawdzić, czy pracownicy wiedzą, komu zgłaszać podejrzane wiadomości, nietypowe zachowanie systemu lub przypadkowe ujawnienie danych.

Dopiero na tej podstawie można określić, jakie rozwiązania organizacyjne i techniczne wymagają uzupełnienia. W części uczelni problemem może być brak dokumentacji, w innych - nadmierna liczba rozproszonych aplikacji, nieaktualne uprawnienia albo umowy, które nie określają wystarczająco precyzyjnie obowiązków dostawcy.

Cyberbezpieczeństwo jako element zarządzania uczelnią

Najważniejsza zmiana wynikająca z NIS2 nie dotyczy konkretnej technologii. Dotyczy sposobu myślenia o odpowiedzialności. System dziekanatowy, platforma rekrutacyjna czy elektroniczny obieg dokumentów nie są wyłącznie narzędziami działu IT. Od ich dostępności i bezpieczeństwa zależy codzienna praca całej uczelni. Rolą rektora nie jest zastępowanie informatyków, lecz stworzenie warunków, w których cyberbezpieczeństwo jest właściwie finansowane, zarządzane i kontrolowane. Dobrze dobrany dostawca oraz prawidłowo zaprojektowany system mogą znacząco ograniczyć ryzyko i odciążyć uczelnię operacyjnie. Nie usuwają jednak odpowiedzialności jej władz. Pozwalają natomiast realizować ją w sposób uporządkowany, udokumentowany i oparty na rzeczywistej kontroli nad kluczowymi procesami.