Po raz drugi statuetkę Złota Tarcza Cyberbezpieczeństwa wygrywa BNP Paribas Bank Polska. Dosłownie o włos. Różnica w punktacji między miejscem pierwszym i drugim wyniosła 5 tysięcznych punktu.
Niemal w każdej kategorii ocenianej w ramach Złotego Bankiera – czy to jeśli chodzi o jakość obsługi, czy produkty – o zwycięstwie decydują detale. Z każdym rokiem stawka staje się coraz bardziej wyrównana i miejsce w rankingu często ma charakter techniczny – ktoś musi być drugi, ósmy itd. W żadnej jednak kategorii różnice punktowe między bankami nie są tak niewielkie jak w przypadku Złotej Tarczy Cyberbezpieczeństwa. Poziom rywalizacji jest podobny jak w wyścigach na torach bobslejowych lub podczas wyścigów Formuły 1, gdzie czas na mecie liczy się w tysięcznych częściach sekundy. W badaniu cyberodporności banków różnica między pierwszym i drugim miejscem wyniosła 0,005, a numerem dwa dzieliły od numeru trzy 0,007.
9,3 pkt w 10-stopniowej skali
Po raz drugi z rzędu statuetka Złota Tarcza Cyberbezpieczeństwa tafia w ręce bezpieczników z BNP Paribas Bank Polska.
Pozycja lidera nie wynika już z fundamentalnych różnic w architekturze bezpieczeństwa, lecz z detali, konsekwencji w realizacji oraz jakości operacyjnej. O zdobywcy Złotej Tarczy Cyberbezpieczeństwa można powiedzieć, że zajmuje pozycję primus inter pares – pierwszego wśród równych sobie.
Poziom cyberodporności jest nie tylko wyrównany, ale bardzo wysoki, wyższy niż w ubiegłorocznej edycji Tarczy Cyberbezpieczeństwa.
- 11 banków uzyskało najwyższą ocenę A
- Średni rating dla badanych instytucji to 9,3 w 10-stopniowej skali (dla porównania, rok temu badane banki osiągnęły średnią ocenę 8,6)
- Wszystkie 8 instytucji, które wzięły udział w obu edycjach badania, podniosło swój rating, średnio o 0,84 punktu
- Banki obniżyły średnią liczbę podatności o 34 proc.
Nadzór wystawia bankom laurkę
Badania i nagroda Złota Tarcza Cyberbezpieczeństwa mają specjalny charakter. Analiza cyberodporności nie ma na celu wyłonienia najbezpieczniejszego banku, ani stworzenia rankingu instytucji pod względem poziomu cyberbezpieczeństwa. Mamy świadomość jak wrażliwa jest to kwestia z punktu widzenia komunikacyjnego. Poza tym celem naszego badania jest przede wszystkim pokazanie, jak polski sektor bankowy jest bezpieczny. Wyniki tegorocznej Złotej Tarczy Cyberbezpieczeństwa tylko to potwierdzają. Statuetka trafia do jednego banku, ale tak naprawdę jest to nagroda dla wszystkich członków sektora bankowego.
Najlepszą opinię bankom w zakresie cyberbezpieczeństwa wystawił zespół CSiRT KNF, który w raporcie o cyberpiezpieczeństwie, opublikowanym w marcu, tak pisze o odporności rynku: „Pomimo znacznej liczby ataków i rekordowych wolumenów, zdecydowana większość z nich nie przyniosła skutków dla ciągłości działania usług finansowych. Klienci banków i innych instytucji finansowych, w większości przypadków, nie odczuli wpływu tych ataków na dostępność usług, z których korzystają na co dzień”.
Na koniec prawdziwa laurka:
„To efekt lat systematycznej pracy całego sektora – inwestycji w bezpieczeństwo, budowania kompetencji zespołów oraz rozwijania współpracy między instytucjami. Polski sektor finansowy traktuje cyberbezpieczeństwo jako priorytet i wspólną odpowiedzialność, a nie tylko koszt czy wymóg regulacyjny”.
Nadzór informuje w raporcie, że w 2025 r. nie odnotowano ani jednego udanego ataku ransomware na podmiot na polskim rynku finansowym, co uważa za znaczący sukces i świadectwo wysokiego poziomu dojrzałości cyberbezpieczeństwa w tym sektorze. „Polskie banki, domy maklerskie i inne instytucje finansowe skutecznie zabezpieczają swoją infrastrukturę przed tego typu zagrożeniami”.
Sektor wykazał się też dużą odpornością na ataki typu DDoS, których w ubiegłym roku było rekordowo dużo. Zarejestrowano 787 incydentów, wobec 271 rok wcześniej. W maju 2025 r. doszło do ataku o bezprecedensowym wolumenie 1,3 Tbps.
I kolejna opinia KNF: „Pomimo tej skali zagrożeń sektor wykazał wysoką odporność. To efekt lat inwestycji w infrastrukturę, budowania relacji z operatorami telekomunikacyjnymi i dostawcami usług bezpieczeństwa oraz systematycznego doskonalenia procedur reagowania”.
Edukacyjna misja pracowników banków
Jest jeszcze jeden bardzo ważny element cyberbezpieczeństwa niewidoczny podczas analizy systemów zabezpieczeń i weryfikacji parametrów technicznych, a stanowiących kluczową część ekosystemu bezpieczeństwa, którą mogliśmy obserwować w trakcie badania jakościowego Złoty Bankier. Dwa lata temu, po raz pierwszy zaleciliśmy audytorom szczególne wyczulenie na tematykę bezpieczeństwa pieniędzy przechowywanych w bankach i zabezpieczeń z tym związanych. W tym roku nie było takiej potrzeby, ponieważ pracownicy z własnej inicjatywy chętnie opowiadali o oszustwach finansowych, jak się przed nimi chronić, podawali ciekawe przykłady metod stosowanych przez oszustów. Tak było zarówno czasie spotkań w placówkach, jak też w trakcie połączeń z infolinią. Podczas rozmowy doradcy z własnej inicjatywy poruszali wątek bezpieczeństwa, wyjaśniali jak o nie dbać, a także odsyłali po więcej informacji na konkretną stronę banku.
Edukacja przynosi pozytywne efekty, co widać z kolei w badaniu kanałów zdalnych. Klienci często podkreślają, że serwis internetowy, czy aplikacja bankowa są bezpieczne. Spośród rozmaitych funkcji kwestia bezpieczeństwa jest dla nich najważniejsza.
Jak ocenialiśmy banki
Metodologia badania Złota Tarcza Cyberbezpieczeństwa była podobna jak w roku ubiegłym, choć z pewnymi modyfikacjami. Wyboru lidera dokonano, opierając się na dwóch działaniach: analizie wewnętrznej organizacji na podstawie badania ankietowego przygotowanego przez eksperta merytorycznego Mastercard oraz analizie zewnętrznej, w ramach której poddano weryfikacji podatności domen internetowych banków przy użyciu platformy RiskRecon. Zmiana polega na tym, że zamiast badania ankietowanego w formie checklisty przeszliśmy do modelu oceny dojrzałości. W poprzednim podejściu pytania weryfikowały obecność konkretnych rozwiązań i polityk, w nowym ujednolicono skalę punktową, dzięki czemu każdy bank był oceniany według tych samych kryteriów, a wynik można policzyć szybko i przejrzyście.
Zastosowana w nowym kwestionariuszu skala odpowiedzi jest inspirowana podejściem nadzorczym typu SREP (Supervisory Review and Evaluation Process), stosowanym przez regulatorów finansowych do oceny dojrzałości i zgodności banków, a nie tylko do potwierdzania istnienia pojedynczych kontroli. Pytania są mniej „produktowe”, a bardziej „systemowe”, dzięki czemu bank może pokazać dojrzałość i skuteczność mechanizmów bez ujawniania nadmiarowych szczegółów technicznych. RiskRecon to technologia, która w sposób ciągły i obiektywny ocenia poziom cyberbezpieczeństwa organizacji, analizując jej publicznie widoczną infrastrukturę IT z perspektywy zewnętrznej. Skanowanie polega na identyfikowaniu podatności, błędnych konfiguracji i przestarzałych zabezpieczeń, które mogą zwiększać ryzyko cyberataku, bez ingerencji w systemy klienta. Na podstawie skali i istotności wykrytych problemów budowana jest czytelna ocena ryzyka, umożliwiająca porównywanie poziomu bezpieczeństwa różnych organizacji w prosty i zrozumiały sposób.
Złoty Bankier 2026 - oto wszyscy nagrodzeni
