Samorządy celem cyberataków. Brakuje funduszy na ekspertów

Cyberbezpieczeństwo od lat pozostaje jednym z poważniejszych wyzwań stojących przed samorządami. Już podczas pandemii koronawirusa wskazywano, że ten sektor administracji publicznej stanowi tzw. miękkie podbrzusze w kontekście cyber. Doniesienia medialne o atakach na urzędy potwierdzają tezę o słabości samorządów w tej kwestii.

Na naszych łamach wielokrotnie informowaliśmy o zdarzeniach wymierzonych w lokalne podmioty. Tylko w ostatnich tygodniach doszło do zaszyfrowania plików w dolnośląskiej gminie, cyberataku na Urząd Miasta w Myszkowie czy ransomware w gminie Obrazów. Głośno było również o atakach wymierzonych w polską ciepłownię, elektrownię czy wodociągi.

Polska najbardziej atakowanym krajem w UE

W ostatnich tygodniach interpelację w sprawie ataków na samorządy wystosowała posłanka Urszula Pasławska (PSL). W odpowiedzi na pismo, wiceminister cyfryzacji Paweł Olszewski wyjaśnił m.in. kwestie związane ze wsparciem udzielonym przez NASK zaatakowanym samorządom, czy ransomware użytym podczas ataków.

Problemowi zagrożeń w cyberprzestrzeni poświęcono środowe posiedzenie Komisji Samorządu Terytorialnego i Polityki Regionalnej. Obecny na nim wiceminister cyfryzacji Rafał Rosiński przypomniał statystyki dotyczące cyberincydentów w jednostkach samorządowych – w 2024 było ich 2027, zaś w 2025 już 3249. Stanowiło to wzrost o ok. 60 proc. Zaznaczył przy tym, że nie wszystkie zdarzenia zostały przez samorządy zgłoszone.

Mamy świadomość, że Polska jest krajem, który w największym stopniu doświadcza cyberataków, biorąc pod uwagę nawet aspekt międzynarodowy - w Unii Europejskiej. Związane jest to także z naszym położeniem geopolitycznym.
Rafał Rosiński, wiceminister cyfryzacji

Przedstawiciel resortu wspomniał również o wsparciu, jakie instytucja przygotowuje dla samorządów. Według jego słów, w czerwcu ma zostać ogłoszony konkurs na Lokalne Centra Cyberbezpieczeństwa. Mają one umożliwić zawieranie porozumień między jednostkami organizacyjnymi samorządu w zakresie cyberbezpieczeństwa, zaś docelowo ma powstać 30 LCC. 270 mln zł na ten cel ma pochodzić m.in. z funduszy europejskich oraz budżetu państwa.

„Maksymalna wartość dofinansowania będzie wynosiła od 6 do 15 mln zł, w zależności od liczby samorządów wspólnie realizujących projekt” – wskazał Rosiński.

Programy dla samorządów

Wiceminister przypomniał również o programie Cyberbezpieczny Samorząd; w związku z licznymi wnioskami grantobiorców, trwa proces zmiany dokumentacji naboru mający na celu wydłużenie okresu realizacji projektów do 30 września br. W ramach programu można otrzymać środki na poprawę cyberbezpieczeństwa w zakresie m.in. wdrożenia środków zwiększających cyberodporność czy audytów; gminy mogą otrzymać od 200 tys. zł do 850 tys. zł, zaś powiaty i województwa do 850 tys. zł.

Innym programem, o którym wspomniano podczas posiedzenia były Cyberbezpieczne Wodociągi, współfinansowany ze środków Krajowego Planu Odbudowy. W tym przypadku złożono 896 wniosków o dofinansowanie o łącznej wartości przeszło 730 mln zł; pozytywnie oceniono 759 z nich, o łącznej wartości ponad 624 mln zł. Na dzień 22 maja podpisano 657 umów, zaś liczba zrealizowanych przelewów wyniosła 567; według słów wiceszefa resortu, projekty dotyczące m.in. modernizacji systemów IT czy szkoleń pracowników w sektorze zaopatrzenia w wodę mogą być realizowane do końca roku.

Rosiński powiedział także o platformie cyber.gov.pl, związanej z bezpieczeństwem cyfrowym obywateli, firm oraz instytucji publicznych. Znalazły się na niej kluczowe usługi oraz narzędzia do zgłaszania incydentów i monitorowania zagrożeń.

Szczepaniak: samorządom brakuje ekspertów

Problem jednak jest znacznie głębszy. Jak zwrócił uwagę Sylwester Szczepaniak z Unii Metropolii Polskich odnosząc się do informacji przedstawionych przez wiceministra, w organizacjach samorządowych sytuacja nie jest dobra. Działania ministerstwa mają być nastawione na przekazywanie narzędzi czy podniesienie poziomu technicznego z bardzo niskiego na akceptowalny. Tymczasem największy kłopot ma być z ekspertami.

„W dużych miastach my walczymy z jednej strony z sektorem przedsiębiorstw, a z drugiej strony w administracji rządowej jest Fundusz Cyberbezpieczeństwa. My takiego funduszu nie mamy. Jeżeli osoba, która ma poczucie misji publicznej, ma do porównania pracę w administracji rządowej i administracji samorządowej, gdzie różnica jest blisko 50 proc. wynagrodzenia, to prawie zawsze wybierze administrację rządową” – wyjaśnił Szczepaniak.

Przedstawiciel UMP jako pozytyw wskazał inicjatywę związaną z Lokalnymi Centrami Cyberbezpieczeństwa; określił ją jako „konsolidowanie zasobów” – w miastach wchodzących w skład Unii Metropolii Polskich dyskusje na ten temat już się toczą.

„To jest jedyna szansa, żeby skumulować środki techniczne, w szczególności ludzkie. Zebrać ludzi, którzy się tym zajmują w jednostkach organizacyjnych, po to, żeby i one w ramach Centrów świadczyły usługi dla tych jednostek” – podkreślił Szczepaniak.

Duże miasta przeciwne obecnej formie LCC

Z kolei Marek Wójcik ze Związku Miast Polski zaapelował, aby rozważyć możliwość zwiększenia zasięgu LCC poza pojedynczą gminę. O ile sama inicjatywa została oceniona jako „bardzo dobra propozycja”, tak mniejsze samorządy takich centrów mogą nie utworzyć – szanse są większe, jeżeli zrobią to wspólnie.

„Rozumiem, że państwo szykujecie wsparcie finansowe dla takich centrów. Jeżeli tak, to prośba o rozważenie, czy (będzie to możliwe – red.) w różnych formach działania, także współpracy istniejących” – powiedział Wójcik.

W odpowiedzi do słów Marka Wójcika Sylwester Szczepaniak zauważył, że według obecnych zasad Ministerstwa Cyfryzacji, LCC mają powstawać wyłącznie w ramach porozumień między samorządami. Nie zgadzają się z tym jednak duże miasta.

„Jeżeli mamy powiat, który dojdzie do porozumienia z mniejszymi samorządami, gminami lub innymi powiatami, albo grupa gmin się ze sobą skomunikuje i stworzą takie Lokalne Centrum Cyberbezpieczeństwa, to oczywiście taka możliwość powinna być. Ale na przykład w dużych miastach to jest nawet 100 jednostek organizacyjnych. My chcielibyśmy wtedy też z tych pieniędzy troszkę dotknąć; dopiero w dalszej części myślimy o tym, żeby rozszerzyć się na gminy ościenne, na okłady metropolitalne” – wyjaśnił przedstawiciel Unii Metropolii Polskich.

Jednocześnie przedstawiciel ZMP zaproponował, aby spółki realizujące zadania w ramach porozumień między samorządami były objęte tego rodzaju wsparciem bez względu na zakres terytorialny.

Rosiński: wyzwania są spore

Odpowiadając na słowa przedstawicieli związków samorządów, wiceminister Rosiński podkreślił, że sprawy cyberbezpieczeństwa są ważne dla całego ekosystemu – głos samorządów jest brany pod uwagę, również w ramach konsultacji. Niemniej jednak wyzwania są spore; przedstawiciel resortu przypomniał, że w tym roku na cyberbezpieczeństwo przeznaczono 5 mld zł z budżetu i środków unijnych.

Rafał Rosiński zgodził się ze słowami Szczepaniaka co do Funduszu Cyberbezpieczeństwa i braku jego odpowiednika dla samorządów. Przypomniał przy tym, że w 2026 roku na wynagrodzenia dla specjalistów w ponad 200 instytucjach publicznych przeznaczono 365 mln zł.

„Jeżeli chodzi o wynagrodzenia, mówimy o tej konkurencyjności; żeby te osoby, które dbają o bezpieczeństwo na tym szczeblu państwowym, chciały w tych instytucjach pracować” – podkreślił wiceminister cyfryzacji.