1. Cyberataki są już codziennością, nie wyjątkiem
Autorzy raportu nie pozostawiają złudzeń: tylko 15% polskich firm uniknęło incydentu cyberbezpieczeństwa w ciągu ostatnich 12 miesięcy. Aż 85% badanych organizacji musiało mierzyć się z cyberatakiem, przy czym im większa firma, tym większa różnorodność zagrożeń i częstotliwość incydentów. Najczęściej spotykane typy ataków to przede wszystkim phishing (36% firm), ataki na sieć Wi‑Fi (28%) oraz trojany (19%), ale w zestawieniu są też DDoS, ataki na usługi chmurowe i ransomware. Cyberprzestępcy coraz lepiej dopasowują techniki do profilu przedsiębiorstwa i „przeciętnego pracownika” w danej branży, co utrudnia obronę.
2. Spada pewność siebie pracowników - rośnie podatność na ataki
Paradoks współczesnego biznesu polega na tym, że im bardziej firmy inwestują w cyfryzację, tym mniej pewnie czują się pracownicy. Jedynie 14% zatrudnionych ocenia swoje kompetencje w obszarze cyberbezpieczeństwa jako wysokie, co oznacza spadek o 10 punktów procentowych w porównaniu z wynikiem sprzed dwóch lat. Zaledwie połowa pracowników deklaruje, że dobrze zna zasady cyberbezpieczeństwa obowiązujące w ich firmie, a pozostali działają „po omacku”. W praktyce oznacza to improwizację zamiast przewidywalnych zachowań, kulturę wahania i milczenia oraz ogromne ryzyko, że drobny incydent nie zostanie zgłoszony na czas.
3. AI w rękach pracowników: efektywność ponad ostrożność
Raport pokazuje bardzo wyraźnie, że sztuczna inteligencja stała się narzędziem codziennej pracy - 62% pracowników przyznaje, że wykorzystuje rozwiązania AI w swoich zadaniach. Jednocześnie 35% użytkowników AI otwarcie deklaruje, że próbowałoby obejść firmowe blokady, gdyby pracodawca zakazał korzystania z otwartych modeli językowych na służbowym komputerze. Problemem jest nie tylko skala użycia AI, ale luka w wiedzy o ryzykach: jedynie 8% pracowników zna i rozumie pojęcie data poisoning, a termin deepfake rozumie 43% badanych. Tymczasem 30% pracowników przyznaje, że dało się nabrać na treści typu deepfake, a 57% boi się kradzieży tożsamości za pomocą ataków wspieranych przez AI.
4. AI w organizacjach: chaos zamiast polityki bezpieczeństwa
Z perspektywy działów cyberbezpieczeństwa sytuacja nie wygląda lepiej - 59% ekspertów przyznaje, że tempo rozwoju AI utrudnia im planowanie działań ochronnych. Tylko 27% firm posiada spisaną, formalną politykę korzystania z narzędzi AI (AI Policy), a 28% ma wyznaczoną listę „zaufanych” narzędzi, z których pracownicy mogą oficjalnie korzystać. Zaledwie 38% firm zainwestowało w korporacyjne licencje AI gwarantujące, że dane wprowadzane do systemu nie będą używane do trenowania modeli językowych. Jeszcze mniej (25%) wdrożyło narzędzia klasy DLP czy CASB monitorujące ruch sieciowy, aby zapobiegać wyciekom danych do zewnętrznych usług AI. Efekt to zjawisko „Shadow AI” - pracownicy korzystają z narzędzi sztucznej inteligencji poza kontrolą organizacji.
5. Phishing i ransomware: dwa oblicza poważnych strat
Phishing pozostaje najczęściej doświadczanym typem ataku: 36% firm deklaruje, że zmierzyło się z takim incydentem w ostatnich 12 miesiącach. Ransomware dotknął „tylko” 14% badanych organizacji, ale tu kluczowa jest skala skutków - od paraliżu operacji po utratę kluczowych danych i konieczność zgłaszania naruszeń RODO. Raport pokazuje też, jak bardzo AI wzmacnia efektywność phishingu: 40% ekspertów obawia się w najbliższym roku masowych, spersonalizowanych kampanii phishingowych generowanych przez AI, a 42% dużych firm (powyżej 250 pracowników) widzi w tym jedno z głównych zagrożeń. Deepfake staje się realnym narzędziem przestępców, służącym do podszywania się pod współpracowników i kontrahentów.
6. Strach i milczenie - niewidzialne paliwo cyberataków
Jednym z najbardziej niepokojących ustaleń raportu jest rola strachu w eskalacji incydentów. Co szósty pracownik, który doświadczył cyberataku lub zauważył incydent bezpieczeństwa na służbowym sprzęcie, zdecydował się nie zgłaszać tego faktu pracodawcy. Tylko 48% pracowników deklaruje, że dobrze orientuje się w zasadach reagowania na napotkane cyberzagrożenia, a jedynie 17% zna znaczenie pojęcia „ransomware”, mimo że to jedno z najpoważniejszych zagrożeń. W takich warunkach w organizacji tworzy się syndrom „Milczącego ogniwa”: osoby, która padła ofiarą incydentu, ale z obawy przed konsekwencjami ukrywa swój błąd.
7. Szkolenia: wieloletnie zaniedbania i samospełniająca się przepowiednia
Raport ESET i DAGMA nazywa brak szkoleń „samospełniającą się przepowiednią” - firmy oszczędzają na edukacji, a potem płacą za skutki jej braku. 58% pracowników w ciągu ostatnich pięciu lat nie uczestniczyło w żadnym szkoleniu z zakresu cyberbezpieczeństwa, a odsetek ten rośnie z roku na rok (52% w 2024, 55% w 2025, 58% w 2026). Co więcej, 24% zatrudnionych nie jest w żaden sposób sprawdzanych pod kątem wiedzy o aktualnych zagrożeniach, a część firm po szkoleniach w ogóle nie weryfikuje efektów (np. poprzez testy, symulacje phishingu czy ćwiczenia z reakcji na incydent). Nic dziwnego, że jedynie 14% pracowników ocenia swoje kompetencje w cyberbezpieczeństwie jako wysokie.
8. Regulacje i suwerenność cyfrowa: presja, która zmienia rynek
W tle rosnących zagrożeń pojawia się drugi silny trend: rosnące znaczenie regulacji oraz pochodzenia technologii. Dyrektywa NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa (UKSC) stają się ważnym impulsem do inwestycji - 64% firm podlegających pod te przepisy uznaje nowe regulacje i potencjalne kary za kluczowy bodziec do dodatkowych wydatków na cyberochronę. 61% badanych firm preferuje rozwiązania z zakresu cyberbezpieczeństwa tworzone przez producentów z Europy, kierując się m.in. zgodnością z prawem, lokalnym wsparciem technicznym, stabilnością geopolityczną i mniejszym ryzykiem „tylnych furtek”. Ponad połowa (53%) planuje zwiększyć udział europejskich technologii w swoim środowisku IT i OT w najbliższych dwóch latach.
9. Budżety: wydać mało, płacić dużo
Zbyt niski budżet na cyberbezpieczeństwo to najczęściej wskazywana bariera inwestycji - wymienia ją 35% ekspertów. W dalszej kolejności pojawiają się wysokie koszty wdrożeń, koncentracja firmy na innych priorytetach oraz niska świadomość liderów i pracowników. Jednocześnie raport pokazuje, że większość organizacji posiada jedynie podstawowe narzędzia: silne hasła, zapory sieciowe, VPN, antywirus, kopie zapasowe czy MFA. Znacznie rzadziej inwestują w rozwiązania bardziej zaawansowane, takie jak EDR/XDR, DLP, SIEM czy kompleksowe procesy zarządzania incydentami, które realnie skracają czas reakcji i ograniczają skutki ataków.
10. Co z tego wynika dla zarządów i właścicieli firm?
Z perspektywy zarządu lub właściciela biznesu kluczowy wniosek brzmi: krajobraz zagrożeń rośnie szybciej niż kompetencje, polityki i budżety organizacji. Cyberbezpieczeństwo przestaje być domeną wyłącznie działu IT - raport jasno wskazuje, że odporność cyfrowa firmy zależy od kultury organizacyjnej, strategii, szkoleń i świadomego zarządzania ryzykiem. Autorzy raportu podkreślają, że fundamentem jest połączenie trzech elementów: prostych, zrozumiałych zasad dla pracowników, spójnych regulaminów i polityk (w tym AI Policy) oraz właściwie dobranych narzędzi technologicznych. W praktyce oznacza to odejście od myślenia „minimalna ochrona” na rzecz świadomej kalkulacji ryzyka i inwestycji tam, gdzie potencjalna strata będzie największa.
11. Sześć „twarzy” cyberbezpieczeństwa w Twojej firmie
Jednym z najciekawszych elementów raportu jest wyróżnienie sześciu person - archetypów postaw wobec cyberbezpieczeństwa, które autorzy obserwują w polskich organizacjach. To nie są abstrakcyjne figury, ale bardzo realne role, które zarządy znajdą w swoich zespołach: od zagubionych pracowników, przez innowatorów ignorujących procedury, po menedżerów walczących z długiem technologicznym. Raport wymienia 6 „twarzy” cyberbezpieczeństwa: Zagubiony Pracownik, Nieostrożny Innowator, Menedżer Długu, Milczące Ogniwo, Strateg Suwerenności i Bezradny Strażnik AI. Każda z nich uosabia inny problem - brak wiedzy, omijanie zasad, niedofinansowanie, strach przed zgłaszaniem incydentów, długoterminowe myślenie o suwerenności cyfrowej i bezsilność ekspertów wobec lawiny ryzyk związanych z AI.
- Zagubiony Pracownik to osoba przytłoczona liczbą zagrożeń, która polega wyłącznie na „tym, co zrobi IT”, nie rozumiejąc własnej roli w cyberobronie. Częściej spotkamy go w mniejszych firmach, w back-office, w zespołach o dużym obrocie dokumentów zewnętrznych, gdzie brak szkoleń i prostych zasad bezpieczeństwa czyni go idealnym celem socjotechniki.
- Nieostrożny Innowator jest pożądany z perspektywy efektywności - świetnie korzysta z AI, automatyzuje i przyspiesza pracę - ale jednocześnie gotów jest wynosić dane firmy na prywatny sprzęt, aby ominąć blokady i korzystać z otwartych modeli LLM. Najczęściej pojawia się w grupie wiekowej 18-34 lata, w działach marketingu, PR, analiz i w zespołach IT o dużej autonomii, szczególnie w dużych firmach pracujących zdalnie.
- Menedżer Długu reprezentuje ekspertów od bezpieczeństwa, którzy codziennie „gaszą pożary” przy chronicznie zbyt niskim budżecie i niedoborze specjalistów. W praktyce oznacza to odkładanie modernizacji, skupienie na łatach i podstawowych zabezpieczeniach, co prowadzi do narastania niebezpiecznego długu technologicznego - szczególnie w sektorze MŚP i organizacjach z dużym udziałem systemów legacy.
- Milczące Ogniwo to pracownik, który padł ofiarą ataku lub zauważył incydent, ale z obawy przed konsekwencjami lub z powodu braku jasnych procedur decyduje się wszystko przemilczeć. Częściej pojawia się wśród nowych pracowników, osób na stanowiskach juniorskich i w firmach, które karzą za błędy zamiast traktować szybkie zgłaszanie incydentów jako przejaw odpowiedzialności.
- Strateg Suwerenności to z kolei archetyp dojrzałego decydenta - zwykle CISO, CIO lub menedżera ds. compliance - który świadomie stawia na europejskie technologie, lokalne wsparcie i zgodność z regulacjami UKSC oraz NIS2. Jego motywacje są pragmatyczne: ograniczyć ryzyko geopolityczne, uniknąć „tylnych furtek” i zbudować bardziej odporną, mniej zależną od globalnych gigantów infrastrukturę.
- Bezradny Strażnik AI symbolizuje ekspertów cyberbezpieczeństwa, którzy widzą „tsunami AI” i rosnącą liczbę scenariuszy wykorzystania algorytmów do ataków, ale nie dysponują odpowiednimi narzędziami ani politykami. Częściej spotkamy go w średnich i dużych firmach, w biurokratycznych strukturach, gdzie rozwój narzędzi dla pracowników nie nadąża za tempem zmian i gdzie brakuje spisanej AI Policy oraz systemowych rozwiązań typu DLP, CASB, EDR/XDR.
Z perspektywy zarządu te persony są bardzo użytecznym narzędziem diagnostycznym. Pomagają nazwać realne problemy organizacyjne, a nie tylko „wdrożenia systemów”. Raport zachęca, aby patrzeć na cyberbezpieczeństwo nie jak na zestaw technologii, ale jak na ekosystem postaw, napięć i luk, które wymagają zarówno inwestycji w narzędzia, jak i świadomej pracy z ludźmi.
