Komunikacja kryzysowa i PR — informacja, która pomaga działać
Co powinna komunikować firma podczas cyberincydentu?
Potwierdzone fakty, znane skutki, działania odbiorcy i termin kolejnej aktualizacji. Nie zastępuj brakujących ustaleń uspokajającymi obietnicami. Komunikacja operacyjna, prawne zawiadomienie i wsparcie reputacji mają różne cele, choć powinny opierać się na tej samej osi czasu.
Najpierw odbiorca i jego decyzja
Klient potrzebuje wiedzieć, czy może korzystać z usługi i co zrobić z podejrzaną wiadomością. Pracownik potrzebuje instrukcji pracy oraz sposobu eskalacji. Kontrahent chce znać wpływ na dostawy i płatności. Jeden ogólny komunikat może nie odpowiedzieć na żadne z tych pytań.
Przygotuj wersje zgodne ze wspólnymi faktami, ale dopasowane do odbiorców. Wyznacz zatwierdzanie i zastępstwo poza godzinami pracy. Jeśli niedostępna jest firmowa domena, potrzebny jest wcześniej uzgodniony kanał publikacji i kontaktu.
Mów precyzyjnie o niepewności
„Badamy zakres dostępu do danych” jest innym stwierdzeniem niż „żadne dane nie wyciekły”. To drugie wymaga podstawy. Zbyt wczesne wykluczenie skutków może zmusić firmę do późniejszego sprostowania i pogłębić brak zaufania.
Nie ujawniaj szczegółów, które ułatwiają dalszy atak, ani danych poszkodowanych. Zespół prawny i techniczny sprawdzają treść przed publikacją. Pozostaw kontakt i informację o następnej aktualizacji, nawet jeśli pełne rozwiązanie nie ma jeszcze pewnej daty.
PR nie zastępuje zawiadomień ustawowych
Obowiązkowa informacja dla osób lub organu musi spełniać właściwe wymagania. Komunikat w mediach społecznościowych nie jest automatycznie jej odpowiednikiem. Rozdziel listy odbiorców, momenty wysyłki i potwierdzenia wykonania czynności.
Równocześnie wspólna baza faktów zapobiega sprzecznościom. Osoba obsługująca infolinię powinna wiedzieć, co wolno potwierdzić i gdzie przekazać pytanie. W dzienniku zachowuj wersje komunikatów oraz podstawy istotnych zmian.
Jak rozmawiać o kosztach reputacji
W OWU PZU pkt 2.13 koszty PR powiązano z definicją naruszenia reputacji i uprzednią pisemną zgodą ubezpieczyciela. Nie jest to ogólne finansowanie reklamy ani gwarancja odbudowy wszystkich przyszłych przychodów.
Przed zleceniem uzgodnij cel i zakres działań: doradztwo, przygotowanie komunikatu, obsługę pytań lub monitoring. Oddziel zwykły marketing od prac dotyczących incydentu. Mierz rezultaty operacyjne, takie jak czas odpowiedzi i usunięcie sprzecznych informacji, zamiast obiecywać pełny powrót reputacji.
Przećwicz pytania klientów
Przygotuj odpowiedzi o dostępności, płatnościach, bezpiecznym kontakcie i aktualizacjach. Gdy fakt jest nieustalony, powiedz to wprost i wskaż kolejny krok. Osoba obsługująca klientów nie powinna improwizować odpowiedzi o odpowiedzialności prawnej, rozmiarze wycieku ani przewidywanej wypłacie odszkodowania.
Najczęstsze pytania
Czy milczenie zawsze jest bezpieczniejsze?
Nie. Brak informacji może utrudniać działania klientów i pracowników. Treść musi być jednak oparta na sprawdzonych faktach.
Czy kampania reklamowa po ataku jest automatycznie kosztem PR?
Nie. Cel, związek z naruszeniem, wymogi zgody i warunki polisy wymagają weryfikacji.
Na czym opieramy informacje
- PZU: OWU od ryzyk cybernetycznych UZ/162/2023Oficjalny PDF wskazany jako aktualny na stronie produktu; odczyt 06.11.2026. Odesłania do punktów wskazane w tekście.
- ENISA: incident response and cyber crisis managementRola przygotowania i koordynacji odpowiedzi na incydenty; odczyt 06.11.2026.
Opisy scenariuszy mają charakter hipotetyczny. Daty źródeł podano przy poszczególnych dokumentach, gdy były dostępne.