Podnieść się po odłączeniu usługi ICT?
Michał Nowakowski · 13 czerwca 2026
O tym dlaczego wdrożenie planów ciągłości działania i zarządzanie ryzykiem ICT to nie koszt, a inwestycja
Dostawca wyłącza Ci usługę/produkt do kluczowej funkcji w Twojej organizacji (albo i nawet nie, ale z wpływem na ciągłość działania) i to znienacka :) Co robisz?
- 🅰 przychodzisz na platformę społecznościową i klniesz na czym to świat stoi.
- 🅱 a nie mówiłem! A nie ostrzegałem?
- 🅲 nie przejmujesz się tym zbytnio, bo masz plan ciągłości działania i plany awaryjne, które szybko jesteś w stanie wdrożyć.
- 🅳 przyznajesz się do błędu i wdrażasz plan naprawczy.
Odpowiedzi może być więcej niż jedna. Mam nadzieję, że powoli wkraczamy w nową erę budowania świadomości i reorganizacji. To co „wydarzyło się” z 💥 Fable i Mythos 💥 nie powinno być zaskoczeniem dla firmy, która opiera swoją działalność o agentów/LLM lub traktuje je jako ważną część realizacji modelu biznesowego.
W sektorze finansowym, w którym pracuję już od 15 lat w zarządzaniu ryzykiem ICT [tak, dostęp do modeli bazowych też się do tego zalicza] nie jest niczym nowym i zaskakującym pracowanie i przygotowywanie się na najgorsze. W świecie, w którym liczą się SLA i płynny dostęp do usług nie ma miejsca na duże błędy. Choć i one czasem się zdarzają. Taki lajf.
Mam nadzieję, że wybraliście opcję 🅲 lub 🅳, bo o nich chciałbym krótko napisać. ISO 22301 (ciągłość działania), DORA (dla sektora finansowego w zakresie zarządzania ryzykiem ICT) czy NIS2/uKSC (z jasno określonymi ramami zarządzania łańcuchem dostaw) to świetna podstawa formalna do budowania swojej zdolności do przetrwania w trudnych warunkach.
Przepisy, jakkolwiek nielubiane, dają nam solidną podstawę do tego, aby się zabezpieczyć. Wzywają nas do tego co w zasadzie od zawsze powinniśmy mieć:
wprowadzenia mechanizmów identyfikacji, szacowania i zarządzania ryzykiem ICT, które musi uwzględniać także zależność od dostawców, np. LLM [np. uwzględniamy czynniki geopolityczne, które mogą wpływać na dostępność),
przygotowanie planów ciągłości działania i awaryjnych oraz ich regularne testowanie, także na scenariuszach, które wydają się mało prawdopodobne ; ) [z jednoczesnym określeniem jak to ma wyglądać operacyjnie],
wprowadzenie mechanizmów reagowania i przywracania sprawności [np. przełączenie na inne modele i jednoczesna komunikacja do interesariuszy],
zapewnianie w umowach z dostawcami odpowiednich mechanizmów naprawczych i awaryjnych [samo SLA może nie wystarczać, więc może jakieś „wiązane” usługi lub przełączenie na koszt dostawcy],
ustalenie kto i za co odpowiada [matryca RASCI, ale i komunikacja].
Jasne, to nie rozwiąże nam każdego problemu, ale daje poczucie sprawczości w sytuacji, gdy coś pójdzie nie tak. Warto uczyć się od najlepszych, a jeżeli jesteśmy adresatami, np. NIS2 to naprawdę nie warto zwlekać ze wdrożeniem systemu zarządzania bezpieczeństwem informacji.
Jako ciekawostkę powiem, że sam mam trzy źródła dostępu do internetu od różnych dostawców.