CISO – kto to jest, co robi i dlaczego w 2026 to rola, bez której firmy zaczynają ryzykować „w ciemno”

CISO (Chief Information Security Officer) to osoba, która odpowiada w organizacji za bezpieczeństwo informacji traktowane jako ryzyko biznesowe. Ustala priorytety ochrony, zarządza budżetem bezpieczeństwa, nadzoruje zgodność z przepisami i przygotowuje firmę na incydenty. Poniżej wyjaśniamy, czym CISO różni się od szefa IT, inspektora ochrony danych i kierownika SOC oraz czego od tej roli wymagają dyrektywa NIS2 i ustawa o KSC. Pokazujemy też, po jakich miernikach zarząd powinien rozliczać CISO i od jakiego progu zamiast etatu wystarczy vCISO.

Stan prawny na dzień 2 września 2026 r.

Kim jest CISO i za co odpowiada?

CISO odpowiada za to, aby bezpieczeństwo informacji w organizacji było zarządzane jak każde inne ryzyko biznesowe: z właścicielem, budżetem, priorytetami i miarą skuteczności. Ramy NIST SP 800-181 (NICE Framework) opisują tę rolę jako przywództwo w cyberbezpieczeństwie na poziomie kierownictwa (Executive Cyber Leadership). Jest to funkcja, która przekłada cele biznesowe i wymogi prawne na decyzje o ochronie systemów, danych i procesów.

Zakres odpowiedzialności CISO obejmuje pięć obszarów niezależnie od wielkości firmy:

1. Ryzyko i priorytety. CISO ustala, które systemy, dane i procesy są krytyczne, i decyduje, co chronić najpierw. Rolą CISO jest uzasadniona kolejność, nie lista życzeń.
2. Strategia i architektura bezpieczeństwa. Zanim system trafi na produkcję, CISO ustala obowiązujące zasady: segmentację sieci, zarządzanie tożsamością, minimalne uprawnienia, standardy konfiguracji.
3. Polityki i procesy, które da się egzekwować. CISO odpowiada za politykę bezpieczeństwa, która jest krótka, mierzalna i wpisana w codzienną pracę.
4. Reagowanie na incydenty. Plan reagowania buduje i ćwiczy CISO: kto izoluje systemy, kto informuje zarząd, prawników i klientów, kto zgłasza incydent do organu w ustawowym terminie.
5. Zgodność i dowody. CISO przekłada wymagania dyrektywy NIS2, ustawy o KSC, rozporządzenia DORA czy normy ISO/IEC 27001:2022 na wdrożone kontrole i dowody dla audytora.

W projektach, które prowadzimy, najczęstszy problem to nie brak narzędzi, lecz brak osoby z mandatem zarządu, by powiedzieć „najpierw to, tego nie robimy”. Bez takiego mandatu bezpieczeństwo pozostaje zadaniem dodatkowym administratora.

Czym różni się CISO od szefa IT, IOD i kierownika SOC?

CISO różni się od szefa IT, inspektora ochrony danych (IOD) i kierownika SOC zakresem odpowiedzialności. Szef IT odpowiada za działanie systemów, IOD za zgodność przetwarzania danych osobowych z RODO, a kierownik SOC za operacyjne wykrywanie i obsługę incydentów. CISO odpowiada za całość ryzyka bezpieczeństwa informacji z perspektywy zarządu. W mniejszych firmach role te bywają łączone w jednej osobie, co tworzy konflikt interesów.

Rola	Za co odpowiada	Komu raportuje	Czego zwykle nie robi
CISO	Strategia bezpieczeństwa informacji, apetyt na ryzyko, budżet bezpieczeństwa, zgodność regulacyjna, nadzór nad incydentami i testami	Zarząd, prezes lub rada nadzorcza; w modelu nadzorczym niezależnie od IT	Nie administruje systemami, nie obsługuje pojedynczych alertów
Szef IT (CIO, IT Manager)	Dostępność i wydajność systemów, projekty wdrożeniowe, infrastruktura, wsparcie użytkowników	Zarząd lub dyrektor operacyjny	Nie ocenia niezależnie ryzyka własnych wdrożeń; łączenie roli z CISO usuwa niezależną kontrolę
IOD (inspektor ochrony danych)	Zgodność przetwarzania danych osobowych z rozporządzeniem (UE) 2016/679 (RODO), kontakt z Urzędem Ochrony Danych Osobowych	Najwyższe kierownictwo; RODO wymaga niezależności IOD	Nie zarządza bezpieczeństwem systemów ani budżetem ochrony; zakres to tylko dane osobowe
Kierownik SOC	Monitorowanie 24/7, triage alertów, obsługa incydentów, utrzymanie reguł detekcji	CISO lub szef IT	Nie ustala apetytu na ryzyko ani priorytetów inwestycji; realizuje strategię, której właścicielem jest CISO

Jeżeli organizacja ma własny lub zewnętrzny SOC, CISO odpowiada za jego cele, zakres monitorowania i mierniki, a nie za obsługę każdego zdarzenia. Model działania takiego zespołu opisujemy we wpisie czym jest SOC (Security Operations Center) i jak działa.

Czy NIS2 i ustawa o KSC wymagają CISO?

Ani dyrektywa (UE) 2022/2555 (NIS2), ani ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) nie nakazują wprost utworzenia stanowiska CISO. Oba akty przypisują natomiast odpowiedzialność za cyberbezpieczeństwo kierownictwu i nakładają obowiązki, które w podmiotach kluczowych i ważnych wykonuje zwykle CISO lub osoba pełniąca jego funkcję.

Dyrektywa NIS2 w art. 20 ust. 1 stanowi, że organy zarządzające zatwierdzają środki zarządzania ryzykiem z art. 21, nadzorują ich wdrażanie i mogą ponosić odpowiedzialność za naruszenia. Z kolei art. 20 ust. 2 nakłada na członków organów zarządzających obowiązek szkoleń. Art. 21 ust. 2 wymienia dziesięć minimalnych środków. Art. 23 wyznacza terminy zgłaszania poważnych incydentów: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe w miesiąc.

Znowelizowana ustawa o KSC, obowiązująca od 3 kwietnia 2026 r., przekłada te wymagania na obowiązki osobowe:

• Art. 8c: kierownik podmiotu ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa przez podmiot.
• Art. 8d: kierownik podejmuje decyzje o przygotowaniu, wdrożeniu, przeglądzie i nadzorze systemu zarządzania bezpieczeństwem informacji (SZBI), planuje środki finansowe, przydziela zadania i nadzoruje zgodność.
• Art. 8e ust. 1: kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie.
• Art. 8f: osoba realizująca zadania w zakresie cyberbezpieczeństwa przedstawia informację o niekaralności z Krajowego Rejestru Karnego.
• Art. 9 ust. 1 pkt 1: podmiot wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa (mniejsze podmioty co najmniej jedną).

Sformułowanie z art. 8e „osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa” jest w praktyce ustawowym opisem funkcji CISO. Kierownik może powierzyć obowiązki, ale nie może przekazać odpowiedzialności. Według omówień ustawy kara dla kierownika z art. 73a sięga do 300% wynagrodzenia w podmiocie niepublicznym i do 100% w podmiocie publicznym. Jest ona niezależna od kary dla podmiotu (do 10 mln EUR lub 2% obrotu dla podmiotu kluczowego, do 7 mln EUR lub 1,4% dla ważnego). Zgodnie z kalendarzem Ministerstwa Cyfryzacji kary mogą być nakładane najwcześniej od 3 kwietnia 2028 r. Samorejestracja w Wykazie KSC kończy się jednak 3 października 2026 r., a okres przejściowy na wdrożenie SZBI 3 kwietnia 2027 r.

Czy firma podlega tym obowiązkom, rozstrzyga sektor i wielkość podmiotu; kwalifikację opisujemy we wpisie NIS2: kogo dotyczy i jak sprawdzić status podmiotu. Zakres wdrożenia i test kwalifikacji znajdują się na stronie usługi wdrożenia NIS2.

Po czym rozliczać CISO? Mierniki dla zarządu

CISO należy rozliczać z pięciu grup mierników: czasu wykrycia i reakcji na incydenty, pokrycia zidentyfikowanych ryzyk kontrolami, wyników niezależnych testów, stanu zgodności regulacyjnej i wykonania budżetu. Zarząd potrzebuje kilku wskaźników, które pokazują, czy ryzyko maleje i czy pieniądze idą tam, gdzie jest największe.

1. Czas wykrycia i reakcji. Średni czas od zdarzenia do wykrycia (MTTD) i od wykrycia do opanowania (MTTR), mierzony osobno dla systemów krytycznych i rozliczany z trendu kwartał do kwartału. Dla podmiotów objętych ustawą o KSC dodatkowo: odsetek poważnych incydentów zgłoszonych w ustawowych 24 i 72 godzinach.
2. Pokrycie ryzyk. Odsetek ryzyk z rejestru, które mają właściciela, wdrożoną kontrolę i termin przeglądu; pokrycie systemów krytycznych przez EDR, centralne logowanie i uwierzytelnianie wieloskładnikowe; czas usuwania podatności krytycznych.
3. Wyniki testów. Liczba i waga podatności z testów penetracyjnych, odsetek usuniętych w terminie, wynik ćwiczeń red teamingowych (czy zespół wykrył i zatrzymał symulowanego przeciwnika) oraz skuteczność testów odtworzenia kopii zapasowych. Dobór testów opisujemy w przewodniku po testach bezpieczeństwa IT.
4. Zgodność. Liczba otwartych niezgodności z audytu i stan wdrożenia dziesięciu środków z art. 21 ust. 2 NIS2 (lub wymagań art. 8 ustawy o KSC). Do tego terminowość szkoleń kierownictwa z art. 8e i aktualność danych w Wykazie KSC.
5. Budżet. Wykonanie budżetu względem planu oraz udział wydatków na ryzyka o najwyższym priorytecie. CISO, który wydaje cały budżet na narzędzia zamiast na usuwanie znanych podatności, źle ustawia priorytety.

Wartości docelowe zależą od sektora, wielkości i dojrzałości organizacji, dlatego nie ma jednego uniwersalnego progu. Punktem wyjścia jest niezależny audyt bezpieczeństwa IT, który ustala stan bazowy; bez niego żaden miernik nie pokaże, czy CISO poprawia sytuację.

CISO na etacie czy vCISO? Kryteria decyzyjne

Etatowy CISO jest uzasadniony, gdy zakres pracy wypełnia pełny etat, organizacja podlega nadzorowi sektorowemu i potrzebuje osoby dostępnej codziennie. vCISO (virtual CISO, zewnętrzny CISO w niepełnym wymiarze) wystarczy, gdy firma potrzebuje przede wszystkim przywództwa, uporządkowania ryzyka i zgodności. ISACA w analizie z 2021 r. wskazuje vCISO jako rozwiązanie dla organizacji, które nie mogą utrzymać etatu. Zaleca przy tym sprawdzić, czy niepełny wymiar wystarcza do zapewnienia przywództwa i zgodności regulacyjnej.

Kryterium	Etatowy CISO	vCISO
Wielkość organizacji	Duże przedsiębiorstwo, grupa kapitałowa, wiele lokalizacji lub spółek, własny zespół bezpieczeństwa do kierowania	Firma mała lub średnia (do 249 pracowników według zalecenia Komisji 2003/361/WE), jeden lub kilka systemów krytycznych, brak własnego zespołu bezpieczeństwa
Regulacje	Podmiot kluczowy według ustawy o KSC, instytucja finansowa pod rozporządzeniem (UE) 2022/2554 (DORA) i nadzorem Komisji Nadzoru Finansowego (KNF), bieżący kontakt z organem nadzoru	Podmiot ważny, dostawca dla podmiotów regulowanych, firma przygotowująca się do certyfikacji ISO/IEC 27001:2022 lub do pierwszego audytu
Dojrzałość bezpieczeństwa	Istnieje SZBI, rejestr ryzyk i procesy; potrzebne stałe kierowanie i rozwój	Brak SZBI, rejestru ryzyk lub planu reagowania; potrzebna mapa drogowa i wdrożenie podstaw w określonym czasie
Budżet	Budżet pozwala na wynagrodzenie na poziomie kierownictwa wyższego szczebla plus zespół i narzędzia	Budżet pozwala na kilka do kilkunastu dni pracy miesięcznie; koszt rośnie wraz z zakresem, nie z etatem
Potrzeba obecności 24/7	Incydenty wymagają decyzji kierowniczej o każdej porze; jest własny SOC lub zespół reagowania, którym trzeba kierować	Monitorowanie zapewnia zewnętrzny SOC lub MSSP; vCISO ustala zasady, nadzoruje dostawcę i włącza się przy poważnych incydentach

Próg, od którego vCISO jest tańszy, przebiega tam, gdzie zakres pracy CISO przestaje wypełniać etat. Rejestr ryzyk, polityka bezpieczeństwa, plan reagowania i przygotowanie do audytu z ustawy o KSC to zadania na kilka dni w miesiącu. To samo dotyczy nadzoru nad testami penetracyjnymi i kwartalnych raportów dla zarządu. Codzienne kierowanie zespołem bezpieczeństwa, bieżący kontakt z organem nadzoru i decyzje o incydentach w nocy to inny zakres. Przy nim etat jest tańszy od kupowania dostępności z zewnątrz. vCISO nie jest tańszą wersją CISO, lecz innym modelem dostarczenia tej samej odpowiedzialności.

Zakres usługi i sekcja z orientacyjnymi widełkami znajdują się na stronie usługi vCISO; wycenę pod własny zakres można przygotować w konfiguratorze zakresu.

Od czego zależy wynagrodzenie CISO w Polsce i gdzie szukać widełek?

Wynagrodzenie CISO w Polsce zależy od sektora, wielkości organizacji, zakresu odpowiedzialności regulacyjnej i miejsca w strukturze (raportowanie do zarządu lub do dyrektora IT). Widełki publikują coroczne raporty płacowe agencji rekrutacyjnych: raport Hays Poland 2026 i raport Michael Page 2026 zawierają osobne pozycje dla ról kierowniczych w bezpieczeństwie informacji.

Nie podajemy kwot, bo raporty różnią się metodologią i próbą, a stawki zmieniają się z roku na rok. Przy planowaniu budżetu na etat do wynagrodzenia trzeba doliczyć koszt zespołu, narzędzi, szkoleń i certyfikacji; przy porównaniu z vCISO właściwą podstawą jest ten pełny koszt.

Najczęstsze pytania o rolę CISO

Czy CISO musi być informatykiem?

CISO nie musi być programistą ani administratorem, ale musi rozumieć technologię na tyle, by ocenić ryzyko i sprawdzić, czy kontrole działają. Rola łączy trzy kompetencje: zarządzanie ryzykiem, znajomość wymagań regulacyjnych (NIS2, ustawa o KSC, DORA, ISO/IEC 27001) i umiejętność rozmowy z zarządem językiem skutków biznesowych, a nie podatności.

Komu powinien podlegać CISO w strukturze firmy?

CISO powinien podlegać zarządowi lub prezesowi, a nie dyrektorowi IT. Podległość pod IT tworzy konflikt interesów: osoba oceniająca ryzyko wdrożeń raportuje do osoby rozliczanej z ich terminów i kosztów. Ustawa o KSC w art. 8c–8d przypisuje odpowiedzialność za cyberbezpieczeństwo kierownikowi podmiotu, więc raportowanie wprost do kierownika jest też spójne z przepisami.

Czy jedna osoba może łączyć funkcję CISO i IOD?

Formalnie tak, ale w praktyce to rozwiązanie ryzykowne. IOD odpowiada za zgodność przetwarzania danych osobowych z RODO i musi zachować niezależność, a CISO podejmuje decyzje o zabezpieczeniach i budżecie, które IOD powinien oceniać. W mniejszych organizacjach łączenie ról bywa koniecznością; wtedy warto, aby przynajmniej audyt bezpieczeństwa wykonywał podmiot zewnętrzny.

Od czego CISO powinien zacząć w nowej organizacji?

CISO powinien zacząć od ustalenia stanu bazowego: inwentaryzacji systemów i danych krytycznych, rejestru ryzyk z właścicielami oraz niezależnego audytu bezpieczeństwa lub testu penetracyjnego. Dopiero na tej podstawie da się ułożyć priorytety, budżet i mierniki, z których zarząd będzie CISO rozliczał. Bez stanu bazowego pierwsze decyzje opierają się na przypuszczeniach.

Czy vCISO wystarczy do spełnienia wymagań ustawy o KSC?

Tak, jeżeli kierownik podmiotu zachowa swoją odpowiedzialność z art. 8c ustawy o KSC. Warunkiem jest też, aby vCISO faktycznie prowadził SZBI, nadzorował zgłaszanie incydentów i przygotowywał podmiot do audytu z art. 15. Ustawa nie wymaga etatu ani konkretnego stanowiska; wymaga, aby obowiązki były wykonywane, kierownik przechodził coroczne szkolenie z art. 8e i aby wyznaczono osoby do kontaktu z art. 9.

Jak Pentestica może pomóc

Pentestica świadczy usługę vCISO: zewnętrzny CISO w uzgodnionym wymiarze prowadzi rejestr ryzyk, politykę bezpieczeństwa i plan reagowania. Przygotowuje też podmiot do audytu z ustawy o KSC i raportuje zarządowi według mierników opisanych w tym artykule. Wykonujemy również audyty bezpieczeństwa IT, testy penetracyjne i red teaming, które dostarczają CISO danych do decyzji. Mamy ponad 10 lat doświadczenia i setki zrealizowanych projektów. Model współpracy opisuje strona usługi vCISO, a zakres można dobrać w konfiguratorze zakresu.

Źródła

• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) – art. 20 (odpowiedzialność i szkolenia organów zarządzających), art. 21 ust. 2 (dziesięć minimalnych środków), art. 23 (terminy zgłaszania incydentów), art. 34 (kary)
• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) – art. 8c–8f (odpowiedzialność kierownika, szkolenie, niekaralność), art. 9 (osoby do kontaktu), art. 15 (audyt), art. 73a (kara dla kierownika)
• Ministerstwo Cyfryzacji – nowelizacja ustawy o KSC, najważniejsze terminy – wejście w życie 3.04.2026, koniec samorejestracji 3.10.2026, wdrożenie SZBI do 3.04.2027, kary od 3.04.2028
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) – odpowiedzialność organu zarządzającego za ryzyko ICT w instytucjach finansowych
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – art. 37–39 (wyznaczenie, status i zadania inspektora ochrony danych)
• ISACA, „When Are Virtual Chief Information Security Officers the Right Choice?” (2021) – kryteria wyboru vCISO wobec etatowego CISO
• NIST SP 800-181 Rev. 1, Workforce Framework for Cybersecurity (NICE Framework) – opis roli przywództwa w cyberbezpieczeństwie na poziomie kierownictwa
• Hays Poland, raport płacowy 2026 – widełki wynagrodzeń dla ról kierowniczych w bezpieczeństwie informacji (bez cytowania kwot w artykule)
• Michael Page, raport płacowy 2026 – przeglądy wynagrodzeń, w tym role kierownicze w bezpieczeństwie informacji (bez cytowania kwot w artykule)