Specjalista ds. reagowania na incydenty: rola, umiejętności i terminy KSC

Autor: 👤 ePraceo.pl | Publikacja: 2026-09-24

Specjalista ds. reagowania na incydenty wkracza do akcji, gdy cyberatak już trwa: ustala, co zostało zaatakowane, ogranicza szkody, zabezpiecza dowody, eliminuje atakującego i pomaga przywrócić działanie systemów. Stanowisko to posiada własny kod KZiS od listopada 2025 r., a terminy zgłoszeń wynoszące 24 i 72 godziny, określone w znowelizowanej ustawie KSC, zapewniają mu stałe obciążenie pracą.

Czym zajmuje się specjalista ds. reagowania na incydenty?

Od 27 listopada 2025 r. polska klasyfikacja zawodów KZiS (Klasyfikacja Zawodów i Specjalności) wymienia ten zawód jako 252906 Specjalista ds. obsługi incydentów (Cyber incident responder). Została ona wprowadzona wraz z zestawem nowych zawodów związanych z cyberbezpieczeństwem, których nazwy odpowiadają rolom określonym w Europejskich Ramach Kompetencji w zakresie Cyberbezpieczeństwa (ECSF), w tym specjalista ds. analizy zagrożeń, audytor cyberbezpieczeństwa i tester penetracyjny. W ogłoszeniach o pracę można spotkać się z nazwami takimi jak Incident Responder, Incident Handler, analityk DFIR, inżynier ds. bezpieczeństwa w zespole reagowania na incydenty lub specjalista ds. reagowania na incydenty.

Praca przebiega zgodnie z cyklem życia incydentu znanym z normy NIST SP 800-61 oraz modelu SANS:

1. Przygotowanie. Scenariusze postępowania, dostęp do narzędzi i logów jeszcze przed wystąpieniem zdarzenia, listy kontaktów, ćwiczenia symulacyjne z kierownictwem.
2. Wykrywanie i analiza. Przyjęcie eskalowanego alertu z centrum operacyjnego SOC, potwierdzenie, czy jest to rzeczywisty incydent, ocena jego zakresu i powagi.
3. Ograniczanie rozprzestrzeniania się. Izolowanie hostów, blokowanie kont, blokowanie adresów, odcięcie połączenia z zainfekowanym dostawcą – najlepiej bez niszczenia dowodów i zbyt wczesnego zaalarmowania atakującego.
4. Likwidacja. Usunięcie złośliwego oprogramowania, mechanizmów utrzymywania się w systemie oraz kont atakujących, zamknięcie punktu wejścia.
5. Przywrócenie. Przywrócenie systemów z czystych kopii zapasowych, ścisłe monitorowanie pod kątem powrotu atakującego.
6. Wnioski. Oś czasu, przyczyna źródłowa oraz poprawki, które utrudnią przeprowadzenie takiego samego ataku w przyszłości.

U podstaw każdego etapu leży jedno zadanie: odtworzenie przebiegu wydarzeń minuta po minucie na podstawie logów, danych telemetrycznych EDR, zrzutów pamięci i obrazów dysków. Specjalista ds. reagowania na incydenty, który nie potrafi stworzyć wiarygodnej osi czasu, nie będzie w stanie odpowiedzieć na pytania kierownictwa i organów regulacyjnych.

Specjalista ds. reagowania na incydenty, analityk SOC czy śledczy kryminalistyczny?

Te stanowiska pokrywają się, a polscy pracodawcy stosują te nazwy dość swobodnie. Analityk SOC pierwszej linii dokonuje wstępnej oceny alertów i eskaluje te budzące podejrzenia. Specjalista ds. reagowania na incydenty przejmuje odpowiedzialność za potwierdzony incydent i koordynuje działania reagowania. Specjalista ds. informatyki śledczej (KZiS 252904) dogłębnie analizuje dowody, czasami na potrzeby postępowania sądowego, przestrzegając rygorystycznych zasad łańcucha dowodowego. Łowca zagrożeń poszukuje atakujących, których nie wykryły żadne alerty, a specjalista ds. analizy zagrożeń (252908) śledzi grupy atakujących i ich metody działania. W mniejszych zespołach jedna osoba odpowiedzialna za reagowanie na incydenty zajmuje się wszystkim po trochu.

Jak wygląda pierwsza godzina po wystąpieniu incydentu?

Weźmy typowy przypadek: o godz. 2:00 w nocy system EDR sygnalizuje masową zmianę nazw plików na serwerze plików, co jest klasyczną oznaką ataku ransomware. W ciągu pierwszej godziny osoba reagująca na incydenty realizuje krótką listę zadań:

1. Potwierdza, że alert jest prawdziwy, i identyfikuje zainfekowane hosty oraz konta.
2. Izoluje zainfekowane maszyny za pomocą EDR, nie wyłączając ich, aby zachować ślady w pamięci.
3. Dezaktywuje lub resetuje przejęte konta, zaczynając od tych z uprawnieniami uprzywilejowanymi.
4. Sprawdza, czy kopie zapasowe są nienaruszone i odłączone od sieci.
5. Otworzyć dziennik incydentów, uruchomić oś czasu i powiadomić osoby wymienione w podręczniku postępowania, w tym osobę odpowiedzialną za zgłoszenia regulacyjne.

Wszystko, co nastąpi później – od analizy kryminalistycznej po przywrócenie danych – zależy od tego, jak spokojnie i starannie przebiegła ta pierwsza godzina.

Terminy, których muszą przestrzegać osoby reagujące na incydenty

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę UE NIS2, weszła w życie 3 kwietnia 2026 r. Dla podmiotów kluczowych i ważnych ustanawia ona trzyetapowy model zgłaszania poważnych incydentów:

• Wczesne ostrzeganie do właściwego zespołu CSIRT w ciągu 24 godzin od wykrycia poważnego incydentu;
• Pełne zgłoszenie incydentu w ciągu 72 godzin od wykrycia;
• Raport końcowy nie później niż miesiąc po zgłoszeniu.

Zgłoszenia są przekazywane za pośrednictwem systemu S46 do właściwego zespołu CSIRT: CSIRT NASK, CSIRT GOV, CSIRT MON lub sektorowego zespołu CSIRT. Równolegle mogą obowiązywać inne terminy. Jeśli incydent dotyczył danych osobowych, RODO (RODO) wymaga powiadomienia UODO, polskiego organu ochrony danych, w ciągu 72 godzin od stwierdzenia naruszenia. Podmioty finansowe zgłaszają poważne incydenty związane z ICT zgodnie z ustawą DORA do KNF.

Zgłoszenia te podpisują prawnicy i kierownictwo, ale fakty pochodzą od osoby odpowiedzialnej za reagowanie na incydenty. Jeśli do dwudziestej godziny nikt nie jest w stanie stwierdzić, które systemy zostały dotknięte incydentem i czy dane opuściły sieć, wczesne ostrzeganie staje się zgadywanką. Ta presja kształtuje cały charakter pracy.

Gdzie pracują osoby odpowiedzialne za reagowanie na incydenty?

• Własne zespoły ds. bezpieczeństwa w bankach, firmach telekomunikacyjnych, przedsiębiorstwach energetycznych, dużych sieciach handlowych i zakładach produkcyjnych, często działające w ramach wewnętrznego centrum operacyjnego SOC lub zespołu reagowania na incydenty CSIRT.
• Dostawcy zarządzanych usług bezpieczeństwa (MSSP) oferujący wielu klientom usługę SOC-as-a-service, obejmującą dyżury na zmianę i bardzo zróżnicowane incydenty.
• Krajowe i branżowe zespoły CSIRT: CERT Polska działający w ramach NASK, CSIRT GOV prowadzony przez Szefa ABW, CSIRT MON oraz zespoły branżowe utworzone w ramach KSC. Niektóre z tych stanowisk wymagają poświadczenia bezpieczeństwa.
• Firmy konsultingowe zajmujące się DFIR oraz firmy z Wielkiej Czwórki, w tym globalne zespoły reagowania na incydenty z siedzibą w Polsce, obsługujące klientów na całym świecie.

Większość ofert pracy dotyczy Warszawy, Krakowa, Wrocławia, Katowic, Poznania i Trójmiasta, zazwyczaj w modelu hybrydowym. Istnieją stanowiska związane z reagowaniem na incydenty wykonywane wyłącznie zdalnie, ale wielu pracodawców oczekuje, że w razie potrzeby będziesz w stanie dotrzeć do siedziby klienta lub centrum danych.

Narzędzia i umiejętności wymieniane w ogłoszeniach o pracę dla specjalistów ds. reagowania na incydenty

Wykrywanie i telemetria

Platformy SIEM, takie jak Splunk, Microsoft Sentinel czy IBM QRadar; narzędzia EDR, takie jak Microsoft Defender for Endpoint, CrowdStrike Falcon czy SentinelOne; rozwiązania SOAR do automatyzacji powtarzalnych czynności.

Analiza kryminalistyczna i analityka

Gromadzenie danych w ramach selekcji zagrożeń za pomocą narzędzi KAPE lub Velociraptor, analiza pamięci za pomocą Volatility, analiza dysków za pomocą Autopsy, analiza sieci za pomocą Wireshark lub Zeek, selekcja złośliwego oprogramowania w środowiskach sandbox, wyszukiwanie w serwisie VirusTotal oraz, w przypadku bardziej szczegółowej analizy, inżynieria odwrotna w Ghidra.

Wiedza

Wewnętrzne mechanizmy systemu Windows i techniki ataku na Active Directory, system Linux, logi chmury i tożsamości (Microsoft 365 i Entra ID, AWS CloudTrail), framework MITRE ATT&CK, tworzenie skryptów w języku Python lub PowerShell oraz postępowanie z dowodami z zachowaniem udokumentowanego łańcucha dowodowego.

Umiejętności miękkie mają równie duże znaczenie. Co kilka godzin piszesz jasne aktualizacje statusu dla osób, które nie rozumieją technologii, mówisz „jeszcze nie wiemy”, gdy tak właśnie jest, i zachowujesz spokój, gdy dyrektor po raz trzeci pyta, czy systemy są czyste.

Jak zostać specjalistą ds. reagowania na incydenty?

Prawie nikt nie zaczyna od razu jako specjalista ds. reagowania na incydenty. Typowe ścieżki kariery to:

• analityk SOC pierwszej linii, następnie drugiej linii, a potem reagowanie na incydenty;
• administrator systemu lub sieci, następnie inżynier ds. bezpieczeństwa, a potem reagowanie na incydenty;
• programista lub inżynier ds. inżynierii odwrotnej, a następnie analiza złośliwego oprogramowania i reagowanie na incydenty.

Studia z zakresu informatyki lub cyberbezpieczeństwa są pomocne, ale decydujące znaczenie mają umiejętności praktyczne. Certyfikaty wymieniane w polskich ogłoszeniach to, na poziomie podstawowym, Blue Team Level 1 (BTL1) i CompTIA CySA+; w zakresie reagowania na incydenty – GIAC GCIH i EC-Council ECIH; w zakresie zaawansowanej analizy śledczej – GIAC GCFA i GCFE; a w zakresie analizy sieci – GIAC GCIA. Egzaminy GIAC są drogie, więc sprawdź, czy pracodawca je finansuje.

Stwórz domowe laboratorium: małą domenę Active Directory, Sysmon i open-source’owy system SIEM, a następnie symuluj ataki i ćwicz ich wykrywanie. Zawody typu „Capture the Flag” skupione na obronie i analizie śledczej, a także publiczne opisy wyników Twoich badań, dają rekruterom konkretne tematy do rozmowy. Opisując to doświadczenie, skorzystaj z naszych wskazówek dotyczących pisania CV na stanowiska IT.

Dyżury, stres i wypalenie zawodowe

Ataki nie znają godzin pracy. Operatorzy oprogramowania ransomware lubią piątkowe wieczory, długie weekendy i dni poprzedzające święta. Większość stanowisk związanych z reagowaniem na incydenty obejmuje dyżury w systemie rotacyjnym, na przykład jeden tydzień na kilka, a ogłoszenia często zaznaczają, że dyżury są wynagradzane oddzielnie.

Sprawdź, jak wygląda system wynagrodzenia za dyżury. Zgodnie z Kodeksem pracy czas dyżuru spędzony w domu nie uprawnia automatycznie do czasu wolnego ani wynagrodzenia, więc wynagrodzenie zależy od zasad pracodawcy lub, w przypadku umowy B2B, od tego, co wynegocjujesz. Zapytaj, jak często będziesz pełnić dyżury, ile incydentów zdarza się zazwyczaj w ciągu tygodnia oraz czy po długiej nocy przysługuje Ci czas wolny.

Wypalenie zawodowe w tej pracy wynika z naprzemiennego działania adrenaliny i zmęczenia czujnością: tygodnie hałasu, a potem trzy dni bez snu. Zespoły, które się utrzymują, mają ściśle ustalone systemy zmianowe, bezosobowe analizy po incydentach, jasne ścieżki eskalacji oraz menedżerów, którzy po poważnym incydencie odsyłają pracowników do domu. Jeśli zespół nie ma żadnego z tych elementów, należy spodziewać się dużej rotacji kadr.

Wynagrodzenie specjalistów ds. reagowania na incydenty

Stanowiska pierwszej linii w SOC, które są typowym punktem wejścia do branży, oferują wynagrodzenie na poziomie średniej krajowej. Specjalista ds. reagowania na incydenty z umiejętnościami kryminalistycznymi zarabia znacznie powyżej średniej krajowej, a starsi specjaliści kierujący działaniami w przypadku poważnych incydentów dla międzynarodowych klientów należą do najlepiej opłacanych specjalistów ds. bezpieczeństwa.

Czynniki wpływające na wysokość wynagrodzenia:

• dodatki za dyżury oraz wynagrodzenie za pracę związaną z incydentami poza godzinami pracy;
• forma umowy: umowy B2B są powszechne na stanowiskach kierowniczych, natomiast w bankach i instytucjach publicznych stosuje się umowę o pracę;
• praca międzynarodowa: globalne zespoły reagowania na incydenty oraz zagraniczni klienci oferują wyższe wynagrodzenia i wymagają biegłej znajomości języka angielskiego;
• certyfikaty takie jak GCIH lub GCFA;
• poświadczenie bezpieczeństwa w przypadku stanowisk w sektorze publicznym i obronnym;
• sektor: sektor finansowy, energetyczny i konsultingowy zazwyczaj oferuje wyższe wynagrodzenia niż sektor publiczny.

Popyt i rola sztucznej inteligencji

Popyt wynika zarówno z działań cyberprzestępców, jak i z wymogów prawnych. Barometr cyberbezpieczeństwa KPMG dla Polski z 2026 r. wykazał, że 96% ankietowanych organizacji odnotowało co najmniej jeden incydent – jest to najwyższy wynik w historii badania. Jednocześnie znowelizowana ustawa o cyberbezpieczeństwie (KSC) rozszerzyła obowiązki w zakresie zgłaszania i reagowania na incydenty na znacznie więcej sektorów, w tym na podmioty, które nigdy nie posiadały zespołu ds. bezpieczeństwa.

Sztuczna inteligencja już teraz przyspiesza klasyfikację incydentów, podsumowuje logi i sporządza wstępne raporty, a cyberprzestępcy wykorzystują ją do tworzenia przekonujących wiadomości phishingowych. Nie jest jednak w stanie podjąć decyzji o izolacji incydentu, która spowoduje zatrzymanie linii produkcyjnej, ani wyjaśnić zarządowi, dlaczego nie można jeszcze ufać kopii zapasowym. To właśnie ta zdolność do podejmowania decyzji sprawia, że specjaliści ds. reagowania na incydenty są nadal poszukiwani.

Ścieżka kariery i powiązane stanowiska

Z dziedziny reagowania na incydenty można dalej specjalizować się jako ekspert ds. kryminalistyki cyfrowej, łowca zagrożeń, inżynier ds. wykrywania lub analityk ds. wywiadu o zagrożeniach, albo awansować na stanowisko kierownika ds. reagowania na incydenty, kierownika SOC, a ostatecznie dyrektora ds. bezpieczeństwa informacji (KZiS 252905). Niektórzy specjaliści ds. reagowania na incydenty przechodzą do pracy ofensywnej jako testerzy penetracyjni, aby zrozumieć ataki z drugiej strony.

Inni zajmują się zapewnieniem jakości. Po każdym poważnym incydencie audytor IT sprawdza, czy zawiodły mechanizmy kontroli i czy wprowadzono odpowiednie poprawki, a doświadczeni specjaliści ds. reagowania na incydenty są świetnymi audytorami. Ścisła współpraca działa również w drugą stronę: dobrze utrzymana baza danych CMDB, prowadzona przez menedżera konfiguracji, pozwala w ciągu kilku minut ustalić, które usługi biznesowe są zależne od serwera, który zamierzasz odizolować.

Najczęściej zadawane pytania dotyczące specjalistów ds. reagowania na incydenty

Czy specjalista ds. reagowania na incydenty to to samo, co analityk SOC?

Nie do końca. Analityk SOC monitoruje alerty, klasyfikuje je i eskaluje rzeczywiste zagrożenia. Specjalista ds. reagowania na incydenty przejmuje potwierdzone incydenty, bada ich zakres, kieruje działaniami ograniczającymi i naprawczymi oraz dokumentuje przebieg zdarzeń. Wielu specjalistów ds. reagowania na incydenty zaczynało jako analitycy SOC, a w małych zespołach ta sama osoba pełni obie funkcje.

Czy potrzebne jest wykształcenie wyższe, aby zostać specjalistą ds. reagowania na incydenty?

Żadne przepisy tego nie wymagają, a wielu polskich pracodawców zamiast tego docenia solidne umiejętności praktyczne. Dyplom z informatyki lub cyberbezpieczeństwa pomaga w przypadku dużych pracodawców i instytucji publicznych. Podczas rozmów kwalifikacyjnych najważniejsze jest praktyczne doświadczenie: badanie rzeczywistych alertów, praca z narzędziami SIEM i EDR oraz wyjaśnienie, w jaki sposób odtworzyłeś przebieg incydentu.

Od jakiego certyfikatu warto zacząć?

Dla początkujących certyfikaty Blue Team Level 1 lub CompTIA CySA+ stanowią praktyczną podstawę wiedzy przy rozsądnych kosztach. Po rozpoczęciu pracy w centrum operacyjnym bezpieczeństwa (SOC) lub zespole reagowania na incydenty certyfikat GIAC GCIH jest najczęściej wymieniany w ogłoszeniach dotyczących obsługi incydentów, natomiast certyfikat GCFA jest przeznaczony dla osób zainteresowanych kryminalistyką komputerową. Pracodawcy często finansują egzaminy GIAC.

Do kogo polskie firmy zgłaszają poważne incydenty cybernetyczne?

Podmioty kluczowe i istotne w rozumieniu KSC zgłaszają poważne incydenty za pośrednictwem systemu S46 do właściwego CSIRT: CSIRT NASK, CSIRT GOV, CSIRT MON lub sektorowego CSIRT. Równolegle mogą obowiązywać odrębne obowiązki, takie jak powiadamianie UODO o naruszeniach ochrony danych osobowych lub KNF o poważnych incydentach ICT w sektorze finansowym.

Czy specjalista ds. reagowania na incydenty może pracować zdalnie?

Często częściowo. Znaczna część dochodzenia odbywa się poprzez zdalny dostęp do systemów SIEM, EDR oraz zebranych dowodów, więc praca hybrydowa jest powszechna. Istnieją stanowiska w pełni zdalne, głównie w zespołach globalnych, ale niektóre incydenty wymagają pracy na miejscu w centrum danych lub biurze klienta, a stanowiska w sektorze publicznym wymagające poświadczenia bezpieczeństwa są zazwyczaj związane z pracą w biurze.