90 proc. polskich samorządów wzięło pieniądze na cyberochronę. NIK wszedł z kontrolą, rząd tłumaczy

We wtorek 21 lipca br. NIK opublikował raport z kontroli dotyczącej realizacji rządowego programu „Cyberbezpieczny Samorząd”, za co odpowiedzialne są NASK oraz Centrum Projektów Polska Cyfrowa.

Mówimy o inicjatywie o wartości ponad 1,5 mld zł (ponad 1,2 mld z unijnych środków), której celem jest podniesienie poziomu cyberbezpieczeństwa i odporności jednostek administracji niższego szczebla. 

To efekt rosnącej skali cyberataków wymierzonych w Polskę, w tym instytucje publiczne. Na naszych łamach opisywaliśmy m.in. incydenty w Urzędzie Miasta w Myszkowie, Urzędzie Miasta Nowa Ruda oraz Urzędzie Gminy Obrazów. Program zainicjowany przez Ministerstwo Cyfryzacji stanowić miał zatem odpowiedź na realne ryzyko, z którym muszą mierzyć się samorządy.

NIK w pokontrolnym raporcie wskazuje na poważne luki. 

1,5 miliarda złotych na ochronę urzędów. Co wykazała kontrola NIK?

Jak informowaliśmy, zwrócono uwagę na brak obowiązku przeprowadzenia audytu przy składaniu wniosków o dofinansowanie (granty przyznawano na podstawie samooceny) oraz mechanizmu, który „uzależniałby uznanie wydatków za kwalifikowalne (prawidłowo wydane) od tego, czy samorząd realnie podniósł swój poziom odporności na cyfrowe zagrożenia”. 

Izba podkreśla, że 80 proc. z przyznanych środków samorządy wydały na rozwiązania sprzętowe, oprogramowanie i usługi wdrożeniowe. W raporcie czytamy, że zakupiony z grantów sprzęt był jednak wykorzystywany szerzej niż zakłada program (np. na serwerze instalowano narzędzia codziennej pracy urzędu). 

Według NIK-u, wnioski zawierające poważne błędy były zatwierdzane przez NASK. Dodatkowo, czas oczekiwania od zakończenia jego oceny do podpisu wynosił średnio pół roku. 

To nie koniec programu. Ministerstwo wskazuje na ważny fakt

Warto jednak podkreślić, że przeprowadzona kontrola zakończyła się we wrześniu 2025 r. (rozpoczęła w kwietniu), a więc niemal rok temu, podczas gdy realizacja programu przez samorządy trwa przez cały 2026 r., natomiast czas na rozliczenie do końca 2027 r. I właśnie na tę kwestię zwracają uwagę na naszych łamach zarówno Ministerstwo Cyfryzacji, jak i CPPC.

„Znacząca część opisanych w raporcie kwestii dotyczyła więc procesów będących wciąż w toku” – podkreśla Aleksandra Milczarek z Biura Komunikacji resortu.

Z kolei Centrum w przesłanym nam stanowisku stwierdza: „kontrola dotyczyła wstępnego okresu realizacji Projektu, a mianowicie naboru i podpisywania Umów z Grantobiorcami (kontrola zakończyła się 05.09.2025 r.). W chwili obecnej projekt jest na o wiele bardziej zaawansowanym etapie”. 

Niewielki wycinek całego programu

Ministerstwo dodatkowo wskazuje, że zbadana przez NIK próba – 19 jednostek (12 urzędów miast i gmin, 5 starostw powiatowych, NASK i CPPC – to niewielki wycinek całego przedsięwzięcia. 

Aleksandra Milczarek zaznacza, że program był skierowany do wszystkich samorządów a ostatecznie skorzystało z niego 90 proc. podmiotów, w tym 2,5 tys. jednostek. 

CPPC zapewnia nas, że są już widoczne wymierne, konkretne efekty współpracy z lokalnymi instytucjami.

„Do tej pory wypłaciliśmy 2490 podmiotom łączną kwotę 1 465 504 225,88 zł” – podaje Centrum. Na dzień 23 lipca br. zaakceptowano 127 rozliczeń na kwotę 71 591 328,94 zł.

Wydłużono też okres kwalifikowalności do końca września br. W odpowiedzi miało napłynąć dokładnie 2001 wniosków w tej sprawie. 

Rozliczenie dopiero na koniec. Samorządy muszą to zrobić

A co z audytami przed przystąpieniem do programu? 

CPPC tłumaczy, że ich nie wymagano, ponieważ celem było objęcie wsparciem wszystkich jednostek samorządu terytorialnego w Polsce. Nie oznacza to jednak, że przyznanie środków odbywało się bez żadnej oceny.

„Samorządy musiały jednak odpowiedzieć na problemy, które wcześniej wskazały w »Diagnozie cyberbezpieczeństwa«. Dokument ten określał poziom bezpieczeństwa jednostki i powstał w projekcie „Cyfrowa Gmina” (…). Jednostka, która nie uczestniczyła w tym projekcie, musiała przygotować taką diagnozę i dostarczyć ją w ciągu 30 dni kalendarzowych od dnia podpisania umowy o powierzenie grantu” – wyjaśnia Centrum na łamach naszego portalu.

Po uzyskaniu wsparcia CPPC i NASK sprawdzają, czy dany samorząd faktycznie kupił i wdrożył u siebie sprzęt lub oprogramowanie, a także czy opracował bądź zaktualizował najważniejsze procedury bezpieczeństwa i przeszkolił personel. 

„Wymagamy audytu końcowego SZBI. JST (jednostka samorządu terytorialnego – red.) musi go przeprowadzić, aby rozliczyć grant” – podkreśla Centrum. 

W praktyce oznacza to, że do wniosku o rozliczenie należy dołączyć raport z audytu oraz Ankietę Dojrzałości. Bez nich proces nie dojdzie do skutku. 

Sprzęt używany nie tylko do ochrony? CPPC: Trzeba brać pod uwagę możliwości małych gmin

W przesłanym nam stanowisku CPPC odniosło się również do przypadków używania pozyskanego sprzętu do szerszych celów. 

Jak czytamy, w odpowiedzi na raport NIK Centrum wskazało, że nie należy tak bezwzględnie podchodzić do kwestii wykorzystania zakupionych rozwiązań, ponieważ mogłoby to doprowadzić do trudności po stronie samorządów, zwłaszcza mniejszych jednostek, które mają ograniczone możliwości, aby w pełni oddzielić systemy użytkowe od cyberbezpieczeństwa. 

„Najważniejsze jest dla nas to, aby JST mogły rozwijać swoje systemy i zwiększać bezpieczeństwo kluczowych usług. Dlatego każde rozwiązanie, które realnie wzmacnia ochronę tych usług, powinno podlegać indywidualnej ocenie z uwzględnieniem możliwości danej jednostki” – twierdzi CPPC.

Zalecenia NIK-u zostaną uwględnione

Ministerstwo Cyfryzacji zwraca uwagę, że kontrola NIK-u potwierdziła, że realizacja programu „Cyberbezpieczny Samorząd” przebiegała „zgodnie z jego założeniami i przyjętymi procedurami”, a zastrzeżenia NIK dotyczą „głównie tego, w jakim stopniu udało się precyzyjnie zmierzyć jego wpływ na faktyczny poziom bezpieczeństwa informacji w samorządach”.

CPPC dodatkowo podkreśla, że raport pokazuje, iż prawidłowo przygotowano nabór wniosków, określono jasne kryteria wyboru i zapewniono wszystkim samorządom równy dostęp do ubiegania się o granty.

Równocześnie zapewnia, że podjęto stosowane działania na rzecz wykonania zaleceń NIK. Wnioski z kontroli mają zostać wykorzystane w kolejnych inicjatywach. Jak wskazuje Centrum, już teraz są wdrażane w ramach realizowanych inicjatyw „Cyberbezpieczny Rząd” oraz „Cyberbezpieczne Wodociągi”. 

Rusza kolejny program. 270 mln zł na Lokalne Centra Cyberbezpieczeństwa

Warto zaznaczyć, że już na przełomie lipca i sierpnia rusza nabór w ramach kolejnego projektu utworzenia Lokalnych Centrów Cyberbezpieczeństwa (LCC). 

Z założenia mają chronić samorządy przed cyberatakami poprzez utworzenie ponadgminnych centrum zapewniających specjalistyczne kompetencje i zasoby IT na poziomie lokalnym. 

Wartość programu wynosi 270 mln zł. 

„Wsparcie będzie udzielane w formie dotacji przez Centrum Projektów Polska Cyfrowa, które będzie operatorem naboru. Środki obejmą m.in. monitorowanie lokalnych sieci i systemów informacyjnych, usługi doradcze i techniczne obejmujące audyty bezpieczeństwa, wspólne zakupy sprzętu i licencji IT oraz szkolenia dla pracowników” – tłumaczy Aleksandra Milczarek z Ministerstwa Cyfryzacji.