Cyberbezpieczne Wodociągi. Kiedy poznamy wyniki rządowego konkursu? Czas się kurczy

„Cyberbezpieczne Wodociągi” to program mający wesprzeć polskie podmioty odpowiedzialne za zbiorowe zaopatrywanie mieszkańców Polski w wodę pitną. Na przestrzeni ostatnich kilkunastu miesięcy byliśmy świadkami manipulowania parametrami technicznymi stacji uzdatniania wody. Mowa o m.in.:

• SUW Szczytno (nie dotyczy miasta w woj. warmińsko-mazurskim - przyp. red., 05.2025);
• SUW Małdyty, Tolkmicko, Sierakowo (04.2025);
• SUW Jabłonna Lacka (09.2025).

Cyberataki często prowadziły do manipulowania parametrami technicznymi urządzeń i stwarzały realne zagrożenie dla zdrowia i życia mieszkańców.
NASK, „NASK zabezpieczy wodociągi. Ponad 300 milionów złotych na cyberochronę", 3.09.2025 r.

Kiedy poznamy wyniki konkursu?

12 stycznia br. Centrum Projektów Polska Cyfrowa (CPPC) opublikowało komunikat dotyczący systemu LSI (odpowiedzialnego za program).

„Udostępniliśmy moduł »Umowy« w systemie LSI wyłącznie w celach technicznych. Na tym etapie nie przesądza to o wynikach naboru ani o wyborze projektów do dofinansowania” – wskazuje CPPC.

Skierowaliśmy pytania do Ministerstwa Cyfryzacji odnośnie daty publikacji listy rankingowej. Resort przekazał nam następujące stanowisko:

CPPC opublikuje listę rankingową na przełomie stycznia i lutego br., po zakończeniu oceny wszystkich wniosków.
Ministerstwo Cyfryzacji

Deklaracje, wyniki, działania

MC podkreśliło, że na obecnym etapie „żaden wnioskodawca nie otrzymał decyzji o przyznaniu wsparcia”.

To ważne słowa, ponieważ w sieci pojawiały się deklaracje samorządowców odnośnie objęcia wsparciem. Wystarczy wspomnieć m.in. o wpisie na Facebooku z 17 grudnia 2025 roku, opublikowanym przez Burmistrz Debrzna.

Oznacza to, że zgodnie z zapewnieniami Ministerstwa Cyfryzacji, jednostki otrzymają informację o objęciu wsparciem w tym samym terminie.

Jednocześnie resort zwrócił uwagę na utworzenie ISAC wod-kan oraz CSIRT-u Infrastruktura w kontekście wsparcia sektora wodno-kanalizacyjnego.

Realizacja programu

MC zaznaczyło, że realizacja projektu przez wodociągi będzie możliwa do 30 czerwca br. „W związku z tym obecnie nie przewiduje się uruchamiania kolejnych edycji naboru w ramach KPO” – przekazało nam MC.

Ekspert z branży wodociągów w rozmowie z naszym portalem podkreślił, że podmioty uczestniczące w programie będą miały mało czasu na wydatkowanie środków, m.in. z racji na konieczność przeprowadzenia przetargów.

„W praktyce może to być niemożliwe do wykonania. Możliwe, że wodociągi będą musiały rezygnować. Nikt nie podpisze umów bez pewności, że otrzyma pieniądze” – stwierdził, prosząc o anonimowość. Dodał również konieczność rozważenia przedłużenia terminu realizacji projektu.

Warto również podkreślić, że zgodnie z webinarem z lipca 2025 roku:

• ogłoszenie listy rankingowej miało mieć miejsce w listopadzie 2025 r.;
• ocena wniosków miała trwać między wrześniem a listopadem 2025 r.;
• zawieranie umów z grantobiorcami miało być realizowane między listopadem a grudniem 2025 r.;
• przekazywanie środków grantobiorcom miało mieć miejsce między grudniem ub. r. a styczniem br.

W momencie pisania artykułu nie opublikowano listy rankingowej.

Co to oznacza?

Polski sektor wodno-kanalizacyjny potrzebuje wsparcia. Szczególnie mowa tutaj o mniejszych jednostkach, które często nie mają środków koniecznych do przeprowadzenia modernizacji.

„Możemy śmiało założyć, że przedsiębiorstwa, które złożyły wnioski uczyniły to, ponieważ uznały, że środki na poprawę własnego bezpieczeństwa cyfrowego są im potrzebne. Spośród nich niemal 350 nie uzyska wsparcia, a tym samym ich systemy pozostaną niewystarczająco zabezpieczone” – stwierdził na naszych łamach Piotr Zielaskiewicz (Dagma Bezpieczeństwo IT), odnosząc się do złożenia 896 wniosków w konkursie.

„Granty otrzymają Wnioski z najwyższą uzyskaną oceną punktową, z zastrzeżeniem, że Granty zostaną przyznane nie więcej niż 552 Wnioskodawcom” – podkreślono w regulaminie „Cyberbezpiecznych Wodociągów”.

Skutki programu

„Cyberbezpieczne Wodociągi” faktycznie mogą wesprzeć polskie wodociągi w zwiększaniu poziomu cyberbezpieczeństwa, lecz nie obejmują kilku ważnych obszarów. Wstarczy wspomnieć m.in. o braku możliwości wymiany sterowników z wbudowanymi modemami LTE, co zostało wskazane w rekomendacjach CERT Polska z 2024 roku.

Niestety w wielu przypadkach urządzenia przemysłowe podłączone są do internetu przez routery komórkowe, których adres IP wskazuje na operatora komórkowego, którego karta SIM została użyta. W takiej sytuacji nie mamy możliwości dotarcia do właściciela, możemy jedynie przekazać informacje do operatora telekomunikacyjnego. Dlatego kluczowa jest świadomość zagrożeń związanych z wystawieniem urządzeń do internetu i znajomość najlepszych praktyk realizacji dostępu zdalnego tam, gdzie jest on konieczny – zarówno po stronie właścicieli urządzeń, jak i firm wdrażających i sprzedających rozwiązania OT.
CERT Polska, Rekomendacje dla wzmocnienia ochrony systemów OT, 17 maja 2024 r.

Jednocześnie program umożliwia zakup, modernizację lub utworzenie m.in.:

• segementacji sieci OT;
• SOC OT;
• APN (ang. Access Point Name);
• systemów analizy podatności OT.

Osoby, które chcą się z nami anonimowo skontaktować, zapraszamy do  formularza w zakładce „Kontakt” (u dołu strony). Przypominamy, że na bazie art. 5 oraz art. 15 Prawa Prasowego, każdy może udzielać informacji bez podawania swojej tożsamości.