Incydent to kwestia „kiedy”, nie „czy”. Największe błędy popełnia się w pierwszych godzinach, technologia to tylko połowa sukcesu, a brak przygotowania kosztuje podwójnie. Na zakończenie serii o incydentach bezpieczeństwa zbieramy cztery tezy, które powinny zapaść w pamięć każdemu zarządowi i właścicielowi firmy.

Brak procedur reagowania na incydenty to nie tylko chaos w chwili kryzysu – to naruszenie obowiązków, które wprost nakładają RODO i ustawa o KSC. Wyjaśniamy, co konkretnie powinna wdrożyć organizacja: od procedury Incident Response i playbooków, przez backup immutable, po coroczne obowiązkowe szkolenie kierownika.

Kary umowne to jeden z najczęściej stosowanych instrumentów zabezpieczenia umów w polskim obrocie gospodarczym. Mają chronić przed skutkami niewykonania lub nienależytego wykonania zobowiązania — bez konieczności udowadniania szkody. Jednak w praktyce nierzadko stają się źródłem sporów: zamawiający nalicza je mechanicznie, wykonawca kwestionuje ich zasadność lub wysokość. MDC Partners pomaga przedsiębiorcom zarówno skutecznie egzekwować kary umowne, jak i bronić się przed ich

RODO daje 72 godziny na zgłoszenie naruszenia do UODO, a NIS2 – tylko 24 godziny na zgłoszenie wstępne. Ale termin liczy się od stwierdzenia, nie wystąpienia naruszenia, a przepisy dopuszczają zgłoszenie etapowe. Wyjaśniamy, jak liczyć terminy, do którego CSIRT się zgłosić i jakie kary grożą za spóźnienie.

Dyrektywa o ochronie sygnalistów (2019/1937) została implementowana do polskiego prawa ustawą z 14 czerwca 2024 roku. Od tego momentu firmy zatrudniające co najmniej 50 pracowników mają obowiązek wdrożenia wewnętrznych kanałów zgłaszania naruszeń prawa. Termin minął, a kontrole już trwają. MDC Partners pomaga przedsiębiorcom sprawnie wdrożyć wymagane procedury i uniknąć dotkliwych kar. Kogo dotyczy obowiązek i od kiedy? Ustawa o ochronie sygnalistów obowiązuje podmioty prywat

Właściwy skład zespołu reagowania na incydent to nie kwestia dobrego zwyczaju – to wymóg wynikający wprost z przepisów. W polskiej implementacji NIS2 to zarząd, a nie dział IT, ponosi odpowiedzialność za wykonywanie obowiązków cyberbezpieczeństwa – nawet jeśli powierzył je innej osobie. Wyjaśniamy, kto powinien znaleźć się w zespole i za co dokładnie odpowiada.

Odciąć maszynę od sieci, ale nie wyłączać jej od razu – to jedna z pierwszych zasad, którą w panice łamie niemal każda firma. Pierwsze godziny po wykryciu incydentu bezpieczeństwa danych osobowych decydują o tym, czy firma zachowa dowody i wywiąże się z obowiązków prawnych, czy naruszy je jeszcze bardziej. Podpowiadamy, co zrobić krok po kroku – i czego nie robić pod żadnym pozorem.

Padła drukarka i nie działa system do zamówień – to zwykły problem IT. Ale phishing, ransomware czy błędne udostępnienie pliku na SharePoint to już incydent bezpieczeństwa danych osobowych, z konkretnymi obowiązkami prawnymi. Sprawdzamy, po czym rozpoznać różnicę i jakie sytuacje najczęściej trafiają na biurko Inspektora Ochrony Danych.

Pytanie o to, czym w rozumieniu prawa jest incydent bezpieczeństwa informacji, wydaje się banalne – a to właśnie błędna odpowiedź na nie kosztuje firmy najwięcej. RODO uznaje za naruszenie nie tylko spektakularny cyberatak, lecz każde zdarzenie zagrażające poufności, integralności lub dostępności danych osobowych – w tym zwykły błąd pracownika.

Przez lata kwestie bezpieczeństwa cyfrowego były traktowane jako domena specjalistów od infrastruktury — zagadnienie techniczne, delegowane niżej i rozliczane przy okazji budżetu IT. Dwa unijne akty prawne — dyrektywa NIS2 oraz rozporządzenie DORA — zmieniają tę logikę fundamentalnie. Cyberbezpieczeństwo i odporność cyfrowa stają się obowiązkami zarządu, a ich zaniedbanie może skutkować sankcjami wymierzonymi nie w spółkę, lecz bezpośrednio w członków jej organów.