Spokój
Jedna aktualna lista i raport zamiast szukania po omacku.
Rola, którą za granicą nazywa się „fractional CIO”, z jedną różnicą: nie przejmuję działu IT ani jego budżetu. Tłumaczę intencje zarządu na wymagania, opiniuję rekomendacje IT i reprezentuję interes zamawiającego wobec dostawców.
Pytania, na które warto znać odpowiedź.
Jeśli na któreś odpowiedź brzmi „nie wiemy”, to właśnie tu mogę pomóc. Pytania zadaję zarządom, sekretarzom, starostom i prezesom, zanim zapadną decyzje i pieniądze zaczną płynąć.
- Kto w organizacji widzi dziś wszystkie projekty, ryzyka i terminy na jednej liście?
- O czym dowiadujemy się za późno?
- Kto reprezentuje nasz interes wobec dostawców, gdy dział IT jest zajęty utrzymaniem?
- Jakich decyzji nie powinniśmy podejmować bez niezależnej opinii?
Co z tego macie.
Lepsze wyniki
Projekty kończą się zgodnie z celem, bo ktoś pilnuje całości.
Mniej raf i błędów
Wczesne ostrzeganie o ryzykach i niezależna opinia przed większym zakupem.
Koszt błędu na tym etapie. Projekty bez właściciela i wspólnej listy opóźniają się po cichu, a o problemie wiecie, gdy jest już drogi. Doradca kosztuje zwykle mniej niż jedna źle wybrana technologia, jeden niewłaściwy dostawca albo jedna pułapka w umowie.
Ktoś musi pilnować całości.
Gdy projektów jest kilka, a dział IT ledwo nadąża z utrzymaniem systemów, brakuje kogoś, kto na co dzień pilnuje całości. Jako stały koordynator po stronie zamawiającego prowadzę rejestry, zbieram statusy, przypominam o terminach i eskaluję, gdy sprawa stoi.
Co dostajecie.
- Miesięczne spotkanie z sekretarzem albo prezesem i kierownikiem IT, miesięczny raport operacyjno-ryzykowy.
- Kwartalny przegląd ryzyk i umów krytycznych, opinia przed większym zakupem.
- Pierwsze 90 dni: rozpoznanie i pilne „czerwone flagi”, uruchomienie rejestrów i przeglądu umów, raport dla zarządu z mapą drogową na 12–24 miesiące.
KSC i NIS 2 od strony zarządu.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Obowiązki spoczywają na kierownictwie, nie na samym dziale IT: zarząd odpowiada za wdrożenie, musi przejść szkolenie i od 2028 r. może ponieść karę. Prace techniczne wykonują specjaliści i dostawcy. Ktoś jednak musi tym kierować, a w wielu urzędach i spółkach nie ma szefa IT, który ma na to czas. Tę część biorę na siebie jako fractional CIO: nie jestem specjalistą od bezpieczeństwa, pilnuję, żeby wdrożenie było kompletne, udokumentowane i na czas.
Ustalam, czy i jako kto organizacja podlega ustawie, oraz zakres, odpowiedzialnych i harmonogram. Prowadzę dokumentację: spis systemów i dostawców, rejestr ryzyk, procedury, w tym ścieżkę zgłaszania incydentów w 24 i 72 godziny, oraz dowody dla audytora. Pilnuję terminów, zadań własnego IT i dostawców oraz zapisów w umowach. Zadaję dostawcom, IT i audytorowi pytania, które zarząd powinien zadać, i sprawdzam, czy odpowiedzi mają pokrycie. Co miesiąc zarząd dostaje jedną stronę: stan, ryzyka i decyzje do podjęcia.
Czego nie robię.
Testów penetracyjnych, monitoringu bezpieczeństwa (SOC), konfiguracji systemów ani samego audytu. Te prace wykonują wyspecjalizowane firmy; pomagam je wybrać, opisać zlecenie i rozliczyć.
Najbliższe terminy. Do 3 kwietnia 2027 r. wdrożony system zarządzania bezpieczeństwem informacji i obsługa incydentów; od 3 kwietnia 2028 r. pierwszy audyt podmiotów kluczowych i możliwe kary.
Jak pracuję na tym etapie.
- Pierwsze 90 dniRozpoznanie i pilne „czerwone flagi”, uruchomienie rejestrów i przeglądu umów, raport dla zarządu z mapą drogową na 12–24 miesiące.
- Stały rytmStatusy i spotkania, rejestry, miesięczny raport dla zarządu. Rytm dobieramy do liczby projektów i do tego, ile czasu ma Wasze IT.
- Zasada współpracyKażde działanie ma właściciela po Waszej stronie. Nie przejmuję wykonania i nie decyduję za Was.
Gdy projektów jest kilka, a dział IT ledwo nadąża z utrzymaniem systemów, brakuje kogoś, kto na co dzień pilnuje całości. W roli stałego koordynatora po stronie zamawiającego prowadzę rejestry projektów, działań, ryzyk, decyzji i dokumentów, zbieram statusy, przypominam o terminach i eskaluję, gdy sprawa stoi. Nie przejmuję wykonania i nie decyduję za Was: każde działanie ma właściciela po Waszej stronie.
- Jedna aktualna lista projektów, działań, ryzyk, decyzji i dokumentów z właścicielem, terminem i statusem.
- Cotygodniowe statusy i spotkanie statusowe z notatką i listą działań, miesięczny raport dla sekretarza, prezesa albo zarządu.
- Przypomnienia, kontrola kompletności dokumentacji, wczesne ostrzeganie o ryzykach i przygotowanie eskalacji.
- Koordynacja informacji z dostawcami: statusy, deklaracje i terminy.
Rytm dobieramy do liczby projektów i do tego, ile czasu ma Wasze IT:
- Podstawowy, raz w miesiącu: aktualizacja rejestrów, do dwóch spotkań statusowych i miesięczny raport.
- Regularny, co tydzień: statusy, spotkanie statusowe, rejestry, follow-up i miesięczny raport dla zarządu.
- Intensywny, raz lub dwa razy w tygodniu: większy portfel projektów, zależności między nimi i plany naprawcze dla projektów zagrożonych.
- Przejściowy, kilka razy w tygodniu: na kilka miesięcy, gdy organizacja ma lukę w zarządzaniu projektami i trzeba szybko uporządkować portfel. Potem wracacie do lżejszego rytmu.
Moja kompetencja na tym etapie.
Doradzam zarządom z perspektywy kogoś, kto zna zarówno IT, jak i biznes, i zbiera wiedzę tak, żeby każdy projekt służył ustalonym celom biznesowym.
Transformacja cyfrowa i zarządzanie zmianą.
To kluczowa kompetencja, która łączy wszystkie etapy: ponad 20 lat pracy w wielu organizacjach, po stronie zamawiającego.
Najczęstsze pytania o ten etap.
Czy przejmujesz nasz dział IT?
Nie. Nie przejmuję działu IT ani jego budżetu. Tłumaczę intencje zarządu na wymagania, opiniuję rekomendacje IT i reprezentuję interes zamawiającego wobec dostawców.
Jak często się spotykamy?
Rytm dobieramy do liczby projektów i do tego, ile czasu ma Wasze IT: od podstawowego (raz w miesiącu), przez regularny (co tydzień) i intensywny, po przejściowy na kilka miesięcy.
Czy jesteś specjalistą od cyberbezpieczeństwa?
Nie i tego nie udaję. W KSC moją rolą jest kierowanie wdrożeniem po stronie zarządu: dokumentacja, terminy, dostawcy, raport. Prace techniczne i audyt wykonują wyspecjalizowane firmy, a ja dbam, żeby dostały jasne zlecenie i żeby zarząd wiedział, co z niego wynika.
Porozmawiajmy o tym etapie.
Pierwsza rozmowa trwa 30 minut i nic nie kosztuje. Odpowiadam w 2 dni robocze.