Projekt „Cyberbezpieczny Samorząd” miał być cyfrową tarczą dla polskich gmin, powiatów i województw. Miliardowe wsparcie trafiło do samorządów w całej Polsce, by chronić je przed coraz częstszymi atakami hakerskimi. Najnowsza kontrola Najwyższej Izby Kontroli pokazuje jednak ważne luki systemowe. Mimo wydania niemałych środków unijnych, urzędnicy nie są w stanie określić, czy odporność samorządów na cyberzagrożenia faktycznie wzrosła.

W obliczu rosnącej popularności e-usług oraz trwającej wojny w Ukrainie i działań hybrydowych, polskie instytucje publiczne stają się regularnym celem ataków hakerskich. Odpowiedzią na te zagrożenia miał być strategiczny projekt „Cyberbezpieczny Samorząd”, realizowany w ramach programu Fundusze Europejskie na Rozwój Cyfrowy 2021-2027 (FERC). Budżet opiewający na około 1,5 mld zł przeznaczono głównie na zakupy sprzętu, oprogramowania oraz szkolenia i audyty dla 2807 jednostek samorządu terytorialnego.

Niestety, opublikowany raport NIK wskazuje na brak rzetelnej weryfikacji efektów tych inwestycji.

Sprzęt kupiony, ale brak dowodów na wzrost bezpieczeństwa

Kontrola NIK wykazała, że Centrum Projektów Polska Cyfrowa (CPPC) czyli instytucja nadzorująca program popełniła błędy metodologiczne na kluczowych etapach projektu:

• przy przyznawaniu grantów opierano się wyłącznie na samoocenie samorządów, która  jak wykazała kontrola bywała błędna. Nie wymagano wstępnych audytów, które wskazałyby realne luki w zabezpieczeniach.
• rozliczenie przyznanych funduszy nie zostało uzależnione od tego, czy dana gmina rzeczywiście podniosła swój poziom odporności na cyberataki. Liczyły się jedynie faktury i przeprowadzone zakupy.
• końcowe audyty bezpieczeństwa nie zostały ustandaryzowane przez CPPC. Każdy urząd przeprowadzał je według własnego uznania, a ich wynik i tak nie miał wpływu na końcowe rozliczenie grantu.

W konsekwencji publiczne pieniądze wydawano na zakupy bez gwarancji, że przełożą się one na realną ochronę danych mieszkańców.

Prawne i techniczne uchybienia w urzędach

Kontrolerzy przyjrzeli się szczegółowo wybranej próbie urzędów oraz instytucjom odpowiadającym za realizację i weryfikację programu (CPPC i NASK). Do najważniejszych uchybień zaliczono

1. Łamanie przepisów KRI na serwerach

W wielu samorządach na nowo zakupionych serwerach instalowano równolegle oprogramowanie ochronne oraz codzienne systemy dziedzinowe (np. bazy danych mieszkańców czy programy podatkowe). NIK jednoznacznie wskazuje, że taka praktyka jest nielegalna i łamie rozporządzenie w sprawie Krajowych Ram Interoperacyjności (KRI). Stwarza to również ryzyko techniczne – konflikt o zasoby serwera może obniżyć stabilność systemów bezpieczeństwa.

2. Błędy przy rozliczaniu i przewlekłość procedur

Rola Instytutu Badawczego NASK przy organizacji naboru wniosków została oceniona pozytywnie, jednak kontrola ujawniła poważny brak staranności przy weryfikacji rozliczeń. Na 15 zbadanych wniosków o rozliczenie grantu aż 13 zostało zatwierdzonych przez NASK mimo poważnych błędów, wadliwej konstrukcji lub braku wymaganych załączników. Dodatkowo sam czas oczekiwania na podpisanie umowy przez CPPC wynosił średnio aż pół roku.

3. Podstawowe zaniedbania w samorządach

W ponad połowie skontrolowanych urzędów nie wdrożono wymaganego prawem Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). W 47% urzędów nie przeprowadzono w latach 2023–2024 obowiązkowego audytu bezpieczeństwa informacji. Kontrolerzy odnotowali także niewłaściwe zabezpieczenie serwerowni, brak odbierania uprawnień byłym pracownikom oraz błędy w tworzeniu kopii zapasowych.

Rekomendacje NIK dla przyszłych programów
Najwyższa Izba Kontroli skierowała formalne wnioski do Ministra Cyfryzacji, Ministra Funduszy i Polityki Regionalnej oraz Dyrektora CPPC.

NIK apeluje, aby w przyszłych projektach z zakresu cyberbezpieczeństwa kwalifikowalność wydatków była ściśle powiązana z realnym wzrostem odporności na zagrożenia. Wymaga to wprowadzenia obowiązkowych, ustandaryzowanych audytów, przeprowadzanych zarówno przed przystąpieniem do programu, jak i po jego zakończeniu, a także wskaźników mierzących faktyczny poziom bezpieczeństwa, a nie tylko liczbę kupionych urządzeń.