Cyberbezpieczeństwo i cyberryzyko w raportach zintegrowanych i sprawozdaniach zarządu operatorów usług kluczowych

Cel: Zakres interaktywnych informacji przetwarzanych i wymienianych w cyberprzestrzeni gwałtownie wzrósł. Istnieje zatem potrzeba zbudowania obszarów cyberbezpieczeństwa chroniących tę przestrzeń przed wewnętrznymi i zewnętrznymi zagrożeniami, a także opracowanie odpowiedniego systemu raportującego model cyberbezpieczeństwa funkcjonujący w firmie. Celem artykułu jest identyfikacja i ocena zakresu ujawnień na temat cyberbezpieczeństwa i cyberryzyka w raportach zintegrowanych i sprawozdaniach zarządu wybranych spółek notowanych na GPW w Warszawie. Metodyka: Przedmiotem badania są raporty zintegrowane oraz sprawozdania zarządu 17 wybranych spółek należących do branż wskazanych w ustawie o krajowym systemie cyberbezpieczeństwa jako operatorów usług kluczowych. Przy wyborze próby reprezentatywnej zastosowano dobór celowy. Był on poprzedzony wstępną analizą spółek wchodzących do indeksu WIG-30, co do liczby sporządzanych raportów zintegrowanych wśród operatorów usług kluczowych. W badaniach wykorzystano metodę analizy literatury, regulacji prawnych, dedukcji, analizę struktury i zakresu raportowanych informacji o cyberbezpieczeństwie. Wyniki: Przeprowadzone analizy pokazały, że ujawnienia dotyczące cyberryzyka i cyberbezpieczeństwa w badanych przedsiębiorstwach są stosunkowo niewielkie, informacje te są rozproszone w różnych częściach sprawozdań biznesowych, a także nieporównywalne ze względu na brak jednolitej struktury danych. Ponadto wykazano, że raporty nie zawierają szczegółowych informacji o prowadzonych działaniach z zakresu cyberbezpieczeństwa, co uniemożliwia dokonanie wieloaspektowej i wielosektorowej oceny jednostki raportującej. Oryginalność: Artykuł uzupełnia dorobek naukowy z zakresu raportowania niefinansowego, identyfikując braki związane z raportowaniem sposobu zabezpieczenia się przed ryzykiem związanym z cyberzagrożeniami w dotychczas sporządzanych raportach, a także potwierdza potrzebę doskonalenia zawartości raportów biznesowych o informacje ilościowe i jakościowe w tym zakresie.