Cyberbezpieczeństwo jest ważnym elementem działalności także w małej firmie. Systemy informatyczne, aplikacje, zasoby IT i dane są częścią codziennej pracy, dlatego ich ochrona może wymagać nie tylko pojedynczego rozwiązania technicznego, lecz także analizy procesów, kompetencji pracowników i sposobu zarządzania bezpieczeństwem.
W tym obszarze wsparciem dla mikro-, małych i średnich przedsiębiorstw może być Krajowe Centrum Bezpiecznej Transformacji Cyfrowej. To wyspecjalizowany Europejski Hub Innowacji Cyfrowych, którego oferta obejmuje między innymi audyty, testy, doradztwo, ochronę systemów i szkolenia. Usługi dla MŚP są nieodpłatne, ale wiążą się z procedurą pomocy de minimis, analizą potrzeb oraz przekazaniem dokumentów wymaganych w programie. Zakres pomocy nie jest więc automatycznym pakietem dla każdej firmy i powinien zostać potwierdzony w oficjalnym kanale Centrum.
Czym jest Krajowe Centrum Bezpiecznej Transformacji Cyfrowej?
EDIH skoncentrowany na cyberbezpieczeństwie
Krajowe Centrum Bezpiecznej Transformacji Cyfrowej jest specjalistycznym Europejskim Hubem Innowacji Cyfrowych, działającym w obszarze cyberbezpieczeństwa. Centrum zostało utworzone przez Instytut Chemii Bioorganicznej PAN – Poznańskie Centrum Superkomputerowo-Sieciowe wraz z partnerami naukowymi, badawczo-rozwojowymi i technologicznymi.
Jego rola nie ogranicza się do jednej usługi informatycznej. Oferta łączy analizę dojrzałości cyfrowej, audyty bezpieczeństwa, doradztwo, usługi ochrony systemów oraz działania szkoleniowe. Dzięki temu przedsiębiorstwo może rozpocząć współpracę od określenia potrzeb, a następnie ustalić, jakie działania są adekwatne do jego sytuacji.
Ważne jest jednak właściwe rozumienie tej oferty. Centrum nie jest gwarantem pełnego bezpieczeństwa i nie eliminuje ryzyka cyberataku. Jest punktem wsparcia, w którym zakres dalszych czynności powinien wynikać z analizy konkretnego przedsiębiorstwa.
Kto może skorzystać ze wsparcia?
Dla jakiej firmy może być to punkt startowy?
Z usług Centrum mogą korzystać mikro-, mali i średni przedsiębiorcy z całej Polski. Oferta jest kierowana do firm znajdujących się na różnych etapach rozwoju cyfrowego. Oznacza to, że przedsiębiorstwo nie musi wcześniej posiadać rozbudowanego działu IT ani wysokiego poziomu dojrzałości technologicznej, aby rozpocząć rozmowę o możliwym wsparciu.
Punktem wyjścia może być konkretny problem związany z cyberbezpieczeństwem, potrzeba uporządkowania zasobów IT albo chęć sprawdzenia sposobu ochrony infrastruktury. Proces rozpoczyna się od analizy potrzeb i dojrzałości technologicznej, a dopiero później ustalany jest zakres dalszych działań.
Nie należy jednak zakładać, że każda firma otrzyma wszystkie elementy opisane w katalogu. Ostateczny dobór usługi zależy od profilu przedsiębiorstwa, wybranego obszaru oraz wyników analizy. Kwalifikację i aktualne zasady udziału warto potwierdzić bezpośrednio w Centrum.
Jakie audyty i usługi cyberbezpieczeństwa są dostępne dla MŚP?
Audyty i testy techniczne
Oferta obejmuje różne formy oceny bezpieczeństwa technicznego. Wśród wymienianych usług znajdują się audyt bezpieczeństwa teleinformatycznego oraz techniczna ocena cyberbezpieczeństwa. Mogą one pomóc uporządkować informacje o funkcjonowaniu środowiska IT i wskazać obszary wymagające dalszej uwagi.
Centrum oferuje także test penetracyjny infrastruktury sieciowej oraz audyt bezpieczeństwa aplikacji mobilnej. Są to działania dotyczące określonych elementów środowiska cyfrowego, dlatego ich przydatność zależy od tego, jakie systemy i rozwiązania wykorzystuje przedsiębiorstwo.
Sam audyt albo test nie oznacza automatycznego usunięcia wszystkich podatności. Nie stanowi również gwarancji pełnej ochrony przed cyberatakami. Rezultaty i dalsze kroki powinny być rozpatrywane w kontekście zakresu zleconej usługi oraz sytuacji firmy.
Procesy, infrastruktura i rekomendacje
Wsparcie może dotyczyć nie tylko pojedynczych systemów. W ofercie wskazano między innymi usługi związane z sieciami przemysłowymi, ochroną w czasie rzeczywistym, zarządzaniem bezpieczeństwem informacji oraz inwentaryzacją zasobów IT.
Przedsiębiorstwo może również korzystać z działań dotyczących ISO i RODO, a także z rekomendacji inwestycyjnych. Ich znaczenie zależy od potrzeb organizacji, wykorzystywanej infrastruktury i poziomu uporządkowania procesów. Firma powinna traktować katalog jako zestaw możliwych kierunków wsparcia, a nie jako automatycznie dostępny pakiet.
Praktyczną korzyścią analizy może być lepsze rozpoznanie tego, jakie zasoby wymagają ochrony i jakie działania organizacyjne należy uwzględnić. Nie można jednak na podstawie samej nazwy usługi obiecywać określonego rezultatu technicznego.
Szkolenia dla pracowników, programistów i administratorów
Szkolenia dopasowane do roli w organizacji
Cyberbezpieczeństwo zależy także od kompetencji osób korzystających z systemów. Dlatego szkolenia Centrum są kierowane do różnych grup: pracowników przedsiębiorstw, programistów i administratorów systemów.
Pracownicy mogą rozwijać świadomość cyberbezpieczeństwa oraz poznawać zagadnienia związane z ochroną przed socjotechniką. Programiści mogą korzystać z tematyki bezpiecznego programowania i bezpiecznego cyklu życia oprogramowania. W przypadku administratorów zakres może dotyczyć obszarów związanych z cyberbezpieczeństwem systemów.
Dopasowanie szkolenia do roli uczestników ma znaczenie praktyczne, ponieważ inne potrzeby ma osoba korzystająca z narzędzi firmowych, a inne osoba tworząca lub administrująca rozwiązaniami informatycznymi. Szkolenie nie gwarantuje jednak, że pracownicy nie popełnią błędów ani że firma będzie odporna na każdy atak.
Jak wygląda zgłoszenie firmy krok po kroku?
Od kontaktu do ustalenia zakresu usługi
Według informacji dotyczących programu pierwszym krokiem jest kontakt z Krajowym Centrum Bezpiecznej Transformacji Cyfrowej. Na tym etapie przedsiębiorstwo powinno opisać problem lub obszar, który chce przeanalizować, bez przekazywania w wiadomości niepotrzebnych, wrażliwych danych.
Następnie omawiane są potrzeby firmy i analizowana jest jej dojrzałość technologiczna. Na tej podstawie przygotowywany jest plan transformacji cyfrowej oraz ustalany zakres dalszego wsparcia. Oznacza to, że kolejność i rodzaj czynności mogą różnić się zależnie od wybranej usługi.
Przedsiębiorstwo przedstawia także dokumenty rekrutacyjne potrzebne do realizacji usługi w ramach pomocy de minimis. Research nie obejmuje pełnej listy aktualnych formularzy, załączników ani kryteriów oceny zgłoszenia. Przed rozpoczęciem procedury należy więc potwierdzić w Centrum:
- aktualną listę wymaganych dokumentów rekrutacyjnych;
- dostępność wybranej usługi;
- zakres i kolejność planowanych działań;
- oficjalny kanał kontaktu przeznaczony do zgłoszeń.
Taka weryfikacja pozwala odróżnić ogólny opis programu od aktualnych wymagań konkretnej usługi.
Co oznacza pomoc de minimis?
Nieodpłatna usługa a formalności przedsiębiorcy
Usługi EDIH dla mikro-, małych i średnich przedsiębiorstw są nieodpłatne, ale są udzielane jako pomoc de minimis. Nieodpłatność nie oznacza więc braku formalności. Przed rozpoczęciem usługi przedsiębiorca może zostać poproszony o dokumenty potrzebne do udzielenia i rozliczenia tej pomocy.
Firma powinna uwzględnić wcześniej otrzymaną pomoc oraz informacje dotyczące podmiotów powiązanych. Komplet dokumentów, sposób wykazania pomocy i wartość przypisana konkretnej usłudze należy ustalić na podstawie aktualnej dokumentacji programu. Nie można zakładać, że każda usługa ma taką samą wartość pomocy.
Limit pomocy i podmioty powiązane
Według stanu prawnego wskazanego w researchu, zgodnie z rozporządzeniem Komisji (UE) 2023/2831, łączna kwota pomocy de minimis dla jednego przedsiębiorstwa nie może przekroczyć 300 000 EUR w okresie trzech lat. Przy ocenie uwzględnia się pomoc otrzymaną przez jedno przedsiębiorstwo, w tym zasady odnoszące się do podmiotów powiązanych.
Limit nie oznacza, że konkretna usługa ma automatycznie wartość 300 000 EUR ani że każdej firmie przypisuje się taką kwotę. Znaczenie ma rzeczywista wartość pomocy wynikająca z dokumentacji oraz wcześniejsze wsparcie otrzymane przez przedsiębiorstwo.
Przedsiębiorca powinien sprawdzić swoją dokumentację pomocy de minimis i potwierdzić w Centrum, jakie dane są wymagane. Informacje o limicie podano według stanu prawnego wskazanego w materiałach badawczych; przed rozpoczęciem procedury warto zweryfikować aktualność zasad.
Na co uważać przed rozpoczęciem współpracy?
Lista kontrolna przed zgłoszeniem
Przed kontaktem z Centrum warto uporządkować podstawowe informacje. Nie jest to kompletna instrukcja formalna, ponieważ wymagania mogą zależeć od usługi i aktualnej dokumentacji. Pomocne pytania kontrolne obejmują:
- Czy firma należy do grupy mikro-, małych lub średnich przedsiębiorstw objętej ofertą?
- Jaki problem albo obszar ryzyka związany z cyberbezpieczeństwem ma zostać przeanalizowany?
- Jakie dokumenty rekrutacyjne i informacje dotyczące pomocy de minimis są aktualnie wymagane?
- Czy wcześniej otrzymana pomoc oraz podmioty powiązane zostały uwzględnione w ocenie limitu?
- Jaki jest dostępny zakres i harmonogram wybranej usługi?
Warto korzystać wyłącznie z oficjalnych kanałów kontaktu Centrum lub PARP. Aktualność naboru, dostępność konkretnych usług i wymagane dokumenty należy potwierdzić przed rozpoczęciem procedury. Katalog usług nie oznacza automatycznego dostępu do wszystkich działań.
Centrum może być wartościowym punktem kontaktu dla MŚP potrzebujących analizy, audytu, doradztwa, ochrony systemów albo szkoleń. Zakres wsparcia jest ustalany po analizie potrzeb i dojrzałości cyfrowej firmy, a nie na podstawie samej deklaracji zainteresowania. Usługi są nieodpłatne dla MŚP, lecz wiążą się z zasadami pomocy de minimis, dokumentami i limitem obejmującym także określone podmioty powiązane. Przedsiębiorstwo powinno potwierdzić aktualne warunki, dostępność oraz formalności bezpośrednio w Centrum lub PARP. Skorzystanie z programu nie eliminuje ryzyka cyberataku ani nie zastępuje bieżącego zarządzania bezpieczeństwem. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
