Budżet NIS2 nie powinien być listą produktów IT. Zarząd powinien otrzymać informację, jakie ryzyko ogranicza każdy wydatek, jaki rezultat powstaje i co się stanie, jeśli decyzja zostanie odłożona. Ten materiał dotyczy procesu decyzyjnego i struktury budżetu — nie poziomu cen.
Co zarząd powinien wiedzieć?
Dobry budżet KSC odpowiada zarządowi na trzy pytania: jakie ryzyko ograniczamy, ile to kosztuje jednorazowo i rocznie oraz jaki jest koszt odłożenia decyzji. Bez tego trzeciego elementu inwestycja wygląda na dobrowolną.
Budżet wynika z ryzyka, nie z katalogu narzędzi
Punktem wyjścia są usługi krytyczne i ryzyko, nie lista licencji. Każda pozycja budżetu powinna wskazywać, którą lukę lub które ryzyko zamyka — inaczej zarząd nie ma podstawy do priorytetyzacji, a program staje się zbiorem zakupów.
Struktura budżetu
- diagnoza i projekt programu,
- działania pilne (ryzyka krytyczne),
- remediacja procesowa,
- remediacja technologiczna,
- ciągłość działania (BCP/DRP, backup, testy),
- bezpieczeństwo dostawców,
- szkolenia i ćwiczenia,
- koszty utrzymania,
- koszty audytu i doskonalenia,
- rezerwa.
Trzy scenariusze do wyboru dla zarządu
- 1
Minimalny bezpieczny
zamknięcie ryzyk krytycznych i uruchomienie podstawowych procesów. Uwaga: minimum nie jest równoznaczne z pełną zgodnością.
- 2
Docelowy
realizacja zatwierdzonej roadmapy opartej na ryzyku — rekomendowany wariant bazowy.
- 3
Przyspieszony
dodatkowe zasoby i równoległe strumienie z uwagi na termin lub ekspozycję na ryzyko.
Nie prezentuj minimum jako pełnej zgodności
Wariant minimalny zamyka najpilniejsze ryzyka, ale nie realizuje wszystkich obowiązków. Przedstawianie go jako „zgodności” wprowadza zarząd w błąd i przenosi odpowiedzialność na osobę raportującą.
Co powinna mieć każda pozycja budżetu
| Pole | Po co |
|---|---|
| Luka / ryzyko | uzasadnienie wydatku i priorytet |
| Właściciel | kto odpowiada za rezultat |
| Rezultat i dowód ukończenia | co powstaje i jak to zweryfikujemy |
| Koszt jednorazowy / roczny | rozdzielenie CAPEX/projekt od utrzymania |
| Termin i zależności | kolejność i wąskie gardła |
| Koszt zaniechania | co się dzieje, gdy decyzja czeka |
| Sposób testu skuteczności | jak sprawdzimy, że działa |
Dla każdej pozycji opisz konsekwencję opóźnienia w kategoriach ryzyka (np. brak przetestowanego odtwarzania = dłuższy przestój przy incydencie) i zależności czasowych (część działań ma długi czas realizacji i blokuje kolejne). To zamienia „wydatek” w decyzję o ryzyku.
Chcesz budżet, który zarząd zatwierdzi bez pytań „po co to”?
Zacznij od audytu i analizy ryzyka — dają policzalne uzasadnienie każdej pozycji budżetu.
Przewodnik po ustawie KSC 2026 (PDF)