Rekrutacja GRC i compliance cybersecurity po NIS2: jakich kompetencji potrzebują firmy

Wraz z rozwojem regulacji cyberbezpieczeństwo coraz częściej wychodzi poza obszar techniczny i trafia do agendy zarządów, działów ryzyka, compliance, audytu, prawnych i operacyjnych. Dyrektywa NIS2 oraz krajowe przepisy wdrażające jej wymagania wzmacniają znaczenie systemowego zarządzania bezpieczeństwem informacji, raportowania incydentów, zarządzania ryzykiem i odpowiedzialności organizacyjnej. To bezpośrednio wpływa na rynek pracy.

Firmy potrzebują nie tylko inżynierów i analityków SOC, ale także specjalistów GRC, czyli osób odpowiedzialnych za ład organizacyjny, zarządzanie ryzykiem i zgodność regulacyjną w cyberbezpieczeństwie. Według danych HRK warszawska pula specjalistów GRC w cyberbezpieczeństwie liczy około 400-600 osób. To znacznie mniej niż liczba ról operacyjnych, dlatego rekrutacja tych profili wymaga dobrego przygotowania.

Czym zajmuje się GRC w cyberbezpieczeństwie

GRC łączy trzy perspektywy. Governance oznacza zasady, odpowiedzialności, polityki i model nadzoru. Risk obejmuje identyfikację, ocenę i ograniczanie ryzyk związanych z bezpieczeństwem informacji. Compliance dotyczy zgodności z przepisami, normami, wymaganiami klientów, audytami i wewnętrznymi standardami.

Specjalista GRC może odpowiadać za przygotowanie i utrzymanie Systemu Zarządzania Bezpieczeństwem Informacji, koordynację audytów, mapowanie wymagań NIS2, dokumentację kontroli, analizę ryzyka dostawców, raportowanie do organów lub współpracę z zespołami technicznymi przy wdrażaniu wymogów bezpieczeństwa.

Dlaczego NIS2 wzmacnia popyt na te kompetencje

NIS2 rozszerza zakres organizacji zobowiązanych do zarządzania cyberbezpieczeństwem. Regulacje wymagają nie tylko wdrażania środków technicznych, lecz także uporządkowania procesów, odpowiedzialności, dokumentacji i raportowania. W polskich przepisach wdrażających NIS2 podmioty kluczowe i ważne mają obowiązki związane między innymi z wpisem do wykazu KSC, wdrożeniem SZBI, zgłaszaniem incydentów do zespołów CSIRT, zarządzaniem incydentami i audytami cyberbezpieczeństwa.

W praktyce organizacje muszą więc zbudować pomost między technologią a zarządzaniem. Inżynier bezpieczeństwa może wdrożyć narzędzie, ale ktoś musi opisać proces, przypisać odpowiedzialności, przygotować dowody dla audytu, ocenić ryzyko i zapewnić spójność z wymaganiami regulacyjnymi. To właśnie przestrzeń dla GRC.

Jakich kompetencji szukać

Najbardziej poszukiwani kandydaci łączą znajomość regulacji i standardów z praktycznym rozumieniem środowiska IT. Wymagana może być znajomość NIS2, ISO 27001, RODO, SOX, DORA, wymagań sektorowych, zarządzania ryzykiem dostawców, ciągłości działania, klasyfikacji informacji i procesów audytowych.

Nie każdy specjalista compliance będzie jednak dobrym kandydatem do GRC w cyberbezpieczeństwie. Kluczowe jest rozumienie technologii na poziomie umożliwiającym rozmowę z zespołami IT. Kandydat nie musi sam konfigurować systemów bezpieczeństwa, ale powinien rozumieć, czym są podatności, incydenty, kontrole dostępu, kopie zapasowe, segmentacja, chmura, zarządzanie tożsamością i ryzyko dostawców.

Gdzie szukać kandydatów

Specjaliści GRC pracują w bankach, ubezpieczeniach, firmach farmaceutycznych, centrach usług biznesowych, doradztwie technologicznym, organizacjach podlegających audytom i spółkach z rozbudowanym środowiskiem IT. Część kandydatów wywodzi się z bezpieczeństwa informacji, część z audytu IT, część z ryzyka operacyjnego lub compliance.

Właśnie dlatego sourcing powinien być szerszy niż standardowe wyszukiwanie po nazwie stanowiska. Warto analizować doświadczenie projektowe, normy, udział w audytach, zakres współpracy z zespołami technicznymi i branże regulowane. Kandydat, który nie ma w tytule „GRC”, może mieć bardzo dobre kompetencje do tej roli.

Wynagrodzenia i oczekiwania kandydatów

Według danych HRK analityk ds. zarządzania bezpieczeństwem, ryzykiem i zgodnością regulacyjną na poziomie mid-senior może oczekiwać 16-24 tys. zł brutto na umowie o pracę oraz 18-26 tys. zł netto na B2B. W przypadku osób z doświadczeniem w wielu regulacjach, audytach międzynarodowych, środowiskach wysoko regulowanych i projektach wdrożeniowych poziom oczekiwań może rosnąć.

Kandydaci GRC zwracają uwagę nie tylko na wynagrodzenie. Istotne są umocowanie roli, wpływ na decyzje, dostęp do zarządu lub właścicieli procesów, dojrzałość organizacji i realna gotowość firmy do wdrażania zmian. Jeśli rola ma polegać wyłącznie na „produkcji dokumentów” bez wpływu na praktykę bezpieczeństwa, atrakcyjność oferty spada.

Jak prowadzić rekrutację GRC

Proces powinien sprawdzać trzy obszary: wiedzę regulacyjną, rozumienie ryzyka oraz umiejętność pracy z interesariuszami. Dobre pytania dotyczą konkretnych sytuacji: jak kandydat przygotowywał organizację do audytu, jak budował rejestr ryzyk, jak współpracował z zespołami technicznymi, jak tłumaczył wymagania regulacyjne osobom nietechnicznym i jak radził sobie z oporem organizacji.

Warto unikać procesu opartego wyłącznie na testowaniu znajomości przepisów. W GRC równie ważna jest praktyka wdrożeniowa. Firma potrzebuje osoby, która potrafi przełożyć wymagania na procedury, kontrole, harmonogramy i odpowiedzialności.

Wniosek

NIS2 zwiększa znaczenie specjalistów GRC, ponieważ cyberbezpieczeństwo staje się częścią zarządzania organizacją. To nie jest wyłącznie funkcja dokumentacyjna. Dobrzy eksperci GRC pomagają firmom uporządkować odpowiedzialności, ryzyka, kontrole i dowody zgodności. Ze względu na ograniczoną liczbę kandydatów rekrutację warto prowadzić aktywnie, z jasnym opisem umocowania roli i realnym benchmarkiem wynagrodzeń.