KSC bez Lokalnych Centrów Cyberbezpieczeństwa będzie „papierkiem” [OPINIA]

Poniższy artykuł to opinia autora i nie zawsze musi odzwierciedlać stanowisko całej redakcji. Autor zaprasza wszystkich zainteresowanych do merytorycznej polemiki.

„Kazio informatyk” – taką figurą retoryczną posługują się niektórzy eksperci podczas dyskusji dotyczących cyberbezpieczeństwa. I co najważniejsze, to właśnie na takich osobach niejednokrotnie stoi cały zestaw obowiązków w kilku różnych lokalizacjach – mowa m.in. o zapewnieniu działania drukarek (niejednokrotnie krytycznie ważnych w urzędach), komputerów, SCADA (systemów przemysłowych), nadawania i odbierania dostępów do kont…

„O jakim cyberbezpieczeństwie mówimy, jak on jest pochłonięty przez te normalne, bieżące zagadnienia? To jest jeden człowiek” – powiedział w wywiadzie z naszym portalem jeden z ekspertów, celnie oddając kwintesencję problemu.

„Kazio informatyk” nie będzie zajmował się cyberbezpieczeństwem, jeśli Pani Krystyna z kadr potrzebuje wymiany tonera w drukarce, Pan Ryszard ma wolno działającego laptopa, nowozatrudniony Pan Krzysztof musi mieć założone konto w Active Directory, Pani Kasi trzeba zapewnić możliwość działania zdalnie, Panu Andrzejowi nie działa internet, Pan Adam zapomniał hasło do skrzynki, a Pan Oskar kliknął kilka razy w reklamę i ma dziwne pliki na komputerze.

A, pamiętajmy o tym o kopiach zapasowych, KRI, RODO, SIEM, SOAR, XDR, EDR, XD, BRTDZ, SM… – dobrze, trzy ostatnie nie pasują i nie są związane z bezpieczeństwem systemów, ale na pewno liczba wymogów jest jeszcze dłuższa.

Cyber-nie-bezpieczny samorząd

Pragnę podkreślić, że wszystkim osobom odpowiedzialnym za funkcjonowanie systemów informatycznych w JST należy się duży szacunek. Wielokrotnie miałem okazję rozmawiać z takimi osobami podczas ataków ransomware – zazwyczaj wykazywali się dużą pasją i poczuciem obowiązku.

Postanowiłem zadać sobie pytanie: czy można jakoś odciążyć „Kazia informatyka”, aby cyberbezpieczeństwo i utrzymanie systemów informatycznych nie leżało na barkach jednego człowieka?

Znalazłem ciekawą interpelację siedmiu posłów z 15 maja br., dotyczącą „włączenia pracowników jednostek samorządu terytorialnego do systemu świadczeń teleinformatycznych przewidzianych w ustawie o szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa” (nr 17187).

Obecna konstrukcja prawna, określająca katalog podmiotów uprawnionych do ubiegania się o środki z Funduszu Cyberbezpieczeństwa na tzw. świadczenie teleinformatyczne, w sposób nieuzasadniony pomija specjalistów zatrudnionych w jednostkach samorządu terytorialnego (JST). Prowadzi to do niebezpiecznego paradoksu legislacyjnego oraz osłabia odporność cyfrową państwa na poziomie lokalnym. (...) Samorządy zarządzają infrastrukturą krytyczną (wodociągi, energetyka cieplna, transport) oraz przetwarzają dane wrażliwe milionów obywateli. Mimo to specjaliści odpowiedzialni za realizację tych zadań w JST zostali wykluczeni z systemu dodatków płacowych, które przysługują ich odpowiednikom w administracji rządowej czy służbach specjalnych.
Łukasz Osmalak, Adam Gomoła, Bożenna Hołownia, Ewa Schädler, Piotr Paweł Strach, Wioleta Tomczak, Kamil Wnuk

Adresatem interpelacji był minister cyfryzacji Krzysztof Gawkowski. Odpowiedź na pismo nadesłał wiceminister Paweł Olszewski. W dokumencie wyróżniono dwa programy: „Cyberbezpieczny Samorząd” oraz „Cyberbezpieczne Wodociągi”. Zapewniono również o uruchomieniu Lokalnych Centrów Cyberbezpieczeństwa oraz pożyczek na preferencyjnych warunkach.

„Ministerstwo Cyfryzacji prowadzi działania mające na celu zwiększenie przychodów Funduszu, co w przyszłości mogłoby stworzyć warunki do objęcia wsparciem szerszego katalogu beneficjentów” – zapewniono w odpowiedzi na interpelację. Jednocześnie należy przy tym dodać, że w przeszłości występowały problemy z terminowymi wypłatami dodatków dla osób, którym obecnie on przysługuje. Poniżej przytoczę wybrane artykuły w tym temacie:

• „Fundusz Cyberbezpieczeństwa. Kiedy eksperci dostaną dodatki do pensji?" - 15 lipca 2024 r.;
• „Organizacje apelują o dofinansowanie resortu cyfryzacji. "Niewystarczający poziom" - 16 lipca 2024 r.;
• „Fundusz Cyberbezpieczeństwa. Eksperci nadal bez pieniędzy" - 30 października 2024 r.

Niestety z licznych wypowiedzi kierownictwa Ministerstwa Cyfryzacji wyłania się prosty obraz: „dorzucimy pieniędzy, będzie bezpieczniej”.

No niezbyt, bo zakup sprzętu za przysłowione „miliony monet” w praktyce wiele nie da, gdy osoba odpowiedzialna za cyberbezpieczeństwo organizacji („Kazio informatyk”) nie będzie miał kiedy zaaktualizować oprogramowania firewalla sprzętowego za kilkanaście tysięcy złotych (lub będzie to daleko na liście priorytetów, bo nie koliduje bezpośrednio z ciągłością działania).

Jako dowód tej tezy posłużę się niedawnym raportem Najwyższej Izby Kontroli.

NIK o „Cyberbezpiecznym Samorządzie"

”Projekt „Cyberbezpieczny Samorząd”, którego celem jest poprawa odporności gmin na zagrożenia teleinformatyczne, był realizowany zgodnie z obowiązującymi procedurami, jednak kontrola NIK wykazała, że zabrakło systemowego podejścia do wzmacniania cyberbezpieczeństwa w gminach oraz oceny rzeczywistych efektów programu. W konsekwencji nie można stwierdzić, w jakim stopniu dofinansowane urzędy faktycznie zwiększyły swoją odporność na cyberataki” – czytamy w artykule NIK poświęconym rządowemu programowi.

Najwyższa Izba Kontroli podkreśliła, że:

• wnioski przyznawano w oparciu o samoocenę (bez wymogu audytu);
• kwalifikowalność wniosków nie zależała od realnego podniesienia poziomu odporności na cyberzagrożenia;
• zatwierdzano wnioski o rozliczenie grantów, zawierające poważne błędy;
• ponad połowa kontrolowanych urzędów nie wdrożyła Systemu Zarządzania Bezpieczeństwem Informacji (SZBI).

Ministerstwo Cyfryzacji odniosło się na naszych łamach do sprawy – zainteresowanych zachęcamy do lektury.

Co jednak ważne – nadal nie wiem, jak „Kaziu informatyk” ma zajmować się cyberbezpieczeństwem – nawet w sytuacji, gdy dostanie sprzęt, którego wartość przekracza jego roczną pensję. Nadal ma do „ogarnięcia” 2 drukarki, 3 komputery, musi zarobić dwie RJ-ki, a Pan Adam nadal nie ma dostępu do maila.

Przykłady rezygnacji z grantów w ramach „Cyberbezpiecznych Wodociągów” opisaliśmy niedawno na naszym portalu. Niektórych jednostek po prostu nie było stać na VAT – nie wiem dlaczego powinniśmy zakładać, że będzie ich stać na pensje dla eksperta od cyberbezpieczeństwa.

Instrukcje a wymogi

„Cyberbezpieczne Samorządy” w mojej opinii nie dają odpowiedzi na pytanie, w jaki sposób najmniejsze podmioty publiczne, podlegające pod UoKSC, mają spełnić jego wymogi. Nie mają ku temu „podręcznika”, lecz zestaw procedur – nie wiem w jakim miejscu w sieci mogę znaleźć kompleksowe „przeprowadzenie za rękę” o UoKSC.

Wiceminister Olszewski w odpowiedzi na przytoczoną wcześniej interpelację poselską wskazuje, że „obowiązki wynikające z ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa nie stanowią całkowicie nowych wymagań dla podmiotów publicznych” z racji na obowiązujące od 2012 roku Krajowe Ramy Interoperacyjności (powtórzone w rozporządzeniu z 2024 roku).

Jest to zdanie prawdziwe, lecz kluczowe staje się pytanie: ile podmiotów publiczych spełniało wymogi KRI przed nowelizacją UoKSC? Nie wiem, choć się domyślam, bo widziałem raport NIK z 2025 roku, którego medialne omówienie zatytułowano: „Cyberbezpieczeństwo w samorządach kuleje”.

Brakuje mi również prostego formularza do pomocniczej (nie decydującej) identyfikacji tego, czy jako dany podmiot podlegam pod UoKSC. Bardzo dobrze rozwiązał to CSIRT CeZ – można „przeklikać” opcje w formularzu bez zaglądania do ustawy.

W Q&A (FAQ na stronie cyber.gov.pl możemy znaleźć punkt 1.8, który mówi: „zajrzyj do załącznika nr [X]”. No dobrze – załóżmy więc, że jestem wojewódzkim centrum usług wspólnych, odpowiedzialnym m.in. za oświatę, pieczę zastępczą, urząd pracy czy parki krajobrazowe. Zainteresowanym życzę miłej analizy.

Moja skromna recepta

Nie śmiałbym sugerować, że moje obserwacje są jedynym słusznym punktem widzenia. Mam jednak kilka rozwiązań, które chętnie wdrożyłbym w życie (oczywiście jeżeli posiadałbym czarodziejską różdżkę).

Przede wszystkim duże pokłady nadziei kładę w Lokalnych Centrach Cyberbezpieczeństwa. Uważam, że wiele gmin jest zbyt małych na to, aby nawet myśleć o cyberbezpieczeństwie w sposób systemowy. Jednocześnie sądzę, że LCC nie powinny być dobrowolne, lecz obowiązkowe – przeniosłoby to odpowiedzialność szczebel wyżej niż na poziom gmin, a niżej niż na poziom centralny. Konieczne byłoby przy tym zapewnienie finansowania ekspertów, nie tylko sprzętu.

Naprawdę wiele można zrobić open-sourcem, ale niewiele można zrobić bez wykwalifikowanego człowieka na odpowiednim miejscu, który nie będzie zajmował się drukarkami i awariami, a dbał o cyberbezpieczeństwo.

Jednocześnie szczerze trzymam kciuki za proces powstawania LCC – organizmu, którego wielkość (w mojej opinii) umożliwiałaby podejmowanie realnych działań. Nieco odrębnego bytu od IT, lecz ściśle z nim współpracującym.

Brakuje mi też pewnych uproszczeń – wskazówek, pomocy, drogowskazów – które pomogą w praktyce spełniać wymogi UoKSC. Zasypanie wymogami formalnymi nic nie da bez praktycznych rad o tym, jak je spełniać. Brakuje mi m.in.:

• przykładowej, wzorcowej infrastruktury informatycznej dla: gminy, powiatu, szpitala, GOPS-u, wodociągu itd. ("ściągi" pod kątem sprzętu) - bez podawania konkretnych nazw firm;
• wskazania punktów wspólnych między KRI, UoKSC a RODO;
• zapewnienia stałego finansowania dla osób odpowiedzialnych za cyberbezpieczeństwo - pensje, nie tylko sprzęt (nie tylko na rok bądź lata).

Wielu podmiotom ważnym UoKSC brakuje podstawowej świadomości zagadnień z zakresu cyberbezpieczeństwa, dlatego moim zdaniem warto opierać się na podmiocie stworzonym do cyberbezpieczeństwa (LCC), który będzie mógł „promieniować dobrą energią i radą” dla gmin (a nawet pewnie powiatów).

Polskie cyberbezpieczeństwo na pewno potrzebuje więcej specjalistów – nie za minimalną krajową, jak to zdarza się w niektórych publicznych spółkach. Skupmy się na ciągłości działania dobrze opłacanych rąk do pracy, nie tylko sprzętu (który oczywiście również jest potrzebny).

Moją odważną tezą jest to, że Krajowy System Cyberbezpieczeństwa bez powszechności LCC niewiele zmienia w samorządach. Wierzę przy tym, że Lokalne Centra Cyberbezpieczeństwa będą prawdziwą zmianą.

Nie wiem jak „Kazio informatyk” miałby spełnić wymogi UoKSC, gdy ma do wymiany toner, zarobienie RJ-ki, przywrócenie dostępu do maila, aktualizację systemów, nadawanie dostępów…

W cyberbezpieczeństwie nie możemy myśleć wyłącznie o zrobieniu bądź stworzeniu czegokolwiek, lecz utrzymaniu i zapewnieniu finansowania. Docelowo niezależnego od grantów – po prostu stałe. A obawiam się, że wielu GOPS-ów, gmin czy innych podmiotów ważnych po prostu może nie stać na nieprzerwane spełnianie wymogów UoKSC na poziomie oczekiwanym przez ustawodawcę.

Nie potrzebujemy więcej grantów, którymi można pochwalić się na konferencjach prasowych, a planu ciągłego finansowania. Potrzebujemy Krajowego Systemu Finansowania Cyberbezpieczeństwa?

Poniższy artykuł to opinia autora i nie zawsze musi odzwierciedlać stanowisko całej redakcji. Autor zaprasza wszystkich zainteresowanych do merytorycznej polemiki.

Wszystkim chętnym polecamy anonimowy kontakt z nami – należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.