安心
一份保持更新的清单和报告，取代了摸黑寻找。
值得先有答案的几个问题。
如果其中有哪一个的回答是“我们不知道”，那正是我可以帮上忙的地方。这些问题，我会在作出决定、资金开始流动之前，向董事会、秘书长、县长和总裁们提出。
- 目前组织里有谁能在同一份清单上看到所有项目、风险和期限？
- 有哪些事情我们总是知道得太晚？
- 当IT部门忙于系统运维时，谁在供应商面前代表我们的利益？
- 哪些决定不应在没有独立意见的情况下作出？
您能得到什么。
更好的成果
项目都按目标收尾，因为有人盯住全局。
更少暗礁与失误
对风险及早预警，并在较大采购之前提供独立意见。
这一阶段出错的代价。 没有负责人、没有统一清单的项目会悄无声息地延期，等您得知问题时，代价已经很高。顾问的费用通常低于一项选错的技术、一家不合适的供应商，或合同中的一个陷阱。
总得有人盯住全局。
项目有好几个，而IT部门连系统维护都勉强应付时，就缺一个日常盯住全局的人。我以采购方一侧常任协调人的身份，维护各类登记册，汇总进展，提醒期限，并在事情停滞时上报升级。
您将得到什么。
- 每月与秘书长（行政负责人）或总经理以及IT负责人会面一次，每月提交运营与风险报告。
- 每季度审查风险和关键合同，重大采购前出具意见。
- 最初90天：初步摸底并识别紧迫的“危险信号”，建立各类登记册并启动合同审查，向管理层提交附12–24个月路线图的报告。
从管理层角度看 KSC 与 NIS 2。
波兰《国家网络安全体系法》（KSC）修订案自2026年4月3日起施行。义务落在领导层身上，而不只是IT部门：管理层对落实负责，必须参加培训，并且自2028年起可能受到处罚。技术工作由专家和供应商完成。但总得有人来统筹，而许多机关和公司并没有一位有时间做这件事的IT负责人。这一部分由我以兼职CIO（fractional CIO）的身份承担：我不是安全专家，我负责确保落实工作完整、有据可查、按时完成。
我先确定机构是否受该法约束、以何种身份受约束，再确定范围、责任人和时间表。我负责整理文档：系统和供应商清单、风险登记册、各项程序（包括24小时和72小时内报告事件的流程），以及供审计人员查验的证据。我盯紧期限、自有IT和供应商的任务以及合同条款。我替管理层向供应商、IT部门和审计人员提出应当提出的问题，并核实答复是否站得住脚。管理层每月收到一页纸：现状、风险和待作的决定。
我不做什么。
渗透测试、安全监控（SOC）、系统配置，以及审计本身。这些工作由专业公司完成；我帮助挑选公司、写清委托内容并验收结算。
近期期限。2027年4月3日前，建成信息安全管理体系并具备事件处置能力；自2028年4月3日起，对关键实体开展首次审计，并可能处以罚款。
我在这一阶段如何工作。
- 最初90天初步摸底并识别紧迫的“危险信号”，建立各类登记册并启动合同审查，向管理层提交附12–24个月路线图的报告。
- 常态节奏进展汇报与会议、登记册、面向管理层的月度报告。节奏根据项目数量和您的IT团队的可用时间来确定。
- 协作原则每项行动在您一侧都有负责人。我不接管执行，也不替您做决定。
项目有好几个，而IT部门连系统维护都勉强应付时，就缺一个日常盯住全局的人。我以采购方一侧常任协调人的身份，维护项目、行动、风险、决策和文件的登记册，汇总进展，提醒期限，并在事情停滞时上报升级。我不接管执行，也不替你们做决定：每项行动在你们一侧都有负责人。
- 一份保持更新的清单，涵盖项目、行动、风险、决策和文件，并载明负责人、期限和状态。
- 每周的进展汇报和进展会议，附会议纪要和行动清单，每月向秘书长、总裁或管理层提交报告。
- 提醒、文件完整性检查、风险预警以及上报升级的准备。
- 与供应商的信息协调：进展、承诺和期限。
协作节奏根据项目数量和你们IT团队的可用时间来确定：
- 基础型，每月一次：更新登记册，最多两次进展会议，以及月度报告。
- 常规型，每周一次：进展汇报、进展会议、登记册、跟进，以及面向管理层的月度报告。
- 强化型，每周一至两次：项目组合较大，项目之间存在依赖，并为处于风险中的项目制定补救计划。
- 过渡型，每周数次：持续数月，适用于组织在项目管理上出现空缺、需要迅速理顺项目组合的情形。之后再回到较轻的节奏。
我在这一阶段的专长。
我从既懂IT又懂业务的角度为管理层提供咨询，并汇聚各方知识，让每个项目都服务于既定的业务目标。
关于这一阶段的常见问题。
您会接管我们的IT部门吗？
不会。我不接管IT部门，也不接管其预算。我把管理层的意图转化为需求，评审IT部门的建议，并在与供应商的往来中代表采购方的利益。
我们多久见一次面？
节奏根据项目数量和您的IT团队的可用时间来确定：从基础型（每月一次），到常规型（每周一次）和强化型，再到持续数月的过渡型。
你是网络安全专家吗？
不是，我也不假装是。在KSC方面，我的角色是在管理层一侧统筹落实：文档、期限、供应商、报告。技术工作和审计由专业公司完成，我负责让它们拿到清晰的委托，并让管理层清楚其中的结论意味着什么。