NIK: Nie wiadomo, czy „Cyberbezpieczny Samorząd” zwiększył odporność gmin na cyberataki
Projekt „Cyberbezpieczny Samorząd” był realizowany zgodnie z przyjętymi procedurami, ale nie da się ocenić, czy faktycznie poprawił poziom cyberbezpieczeństwa jednostek samorządu terytorialnego – wynika z kontroli Najwyższej Izby Kontroli. Zdaniem NIK zabrakło obowiązkowych audytów przed rozpoczęciem projektów oraz mechanizmów pozwalających zweryfikować efekty wydatkowania ponad 1,4 mld zł środków publicznych.
Projekt „Cyberbezpieczny Samorząd” uruchomiono w odpowiedzi na rosnącą liczbę zagrożeń teleinformatycznych, których skala wzrosła wraz z rozwojem usług cyfrowych oraz nasileniem działań hakerskich związanych z wojną w Ukrainie. Jego celem było zwiększenie odporności jednostek samorządu terytorialnego na cyberataki oraz poprawa zdolności do zapobiegania, wykrywania i reagowania na incydenty bezpieczeństwa.
Program objął wszystkie szczeble samorządu – gminy, powiaty i województwa. Na jego realizację przeznaczono ok. 1,5 mld zł ze środków unijnych w ramach programu Fundusze Europejskie na Rozwój Cyfrowy 2021–2027.
Brak punktu odniesienia do oceny efektów
NIK oceniła, że konstrukcja konkursu grantowego przygotowana przez Centrum Projektów Polska Cyfrowa (CPPC) nie pozwala na ocenę rzeczywistych rezultatów projektu. Samorządy otrzymywały granty na podstawie własnej oceny poziomu zabezpieczeń, bez obowiązku przeprowadzenia niezależnego audytu bezpieczeństwa.
Również po zakończeniu inwestycji nie przewidziano mechanizmów umożliwiających sprawdzenie, czy poziom cyberbezpieczeństwa rzeczywiście wzrósł. Rozliczenie wydatków nie było uzależnione od osiągnięcia mierzalnych efektów.
Czytaj też w LEX: Organizacja systemu cyberbezpieczeństwa w sektorze jednostek samorządu terytorialnego na gruncie ustawy o krajowym systemie cyberbezpieczeństwa >
Według NIK oznacza to, że nie można dziś stwierdzić, w jakim stopniu wsparte samorządy zwiększyły odporność na cyberzagrożenia, mimo że projekt pochłonął znaczne środki publiczne.
Przeczytaj także: Wójt zapłaci z własnej kieszeni za brak cyberbezpieczeństwa
Ponad 2,4 tys. projektów o wartości 1,47 mld zł
W konkursie grantowym w 2023 r. samorządy złożyły 2614 wniosków o dofinansowanie na łączną kwotę 1,538 mld zł. W 2024 r. podpisano 2497 umów grantowych o wartości 1,475 mld zł.
Na koniec sierpnia 2025 r. realizowano 2490 projektów o łącznej wartości 1,471 mld zł. Wykorzystane środki wyniosły 1,122 mld zł, czyli 62,4 proc. budżetu projektu.
Jednocześnie tempo rozliczania grantów było niewielkie. Do końca sierpnia 2025 r. samorządy złożyły jedynie 26 wniosków o płatność na łączną kwotę 16 mln zł, z czego rozliczono 17 wniosków o wartości 10,7 mln zł.
Czytaj też w LEX: System Zarządzania Bezpieczeństwem Informacji (SZBI) w świetle załącznika nr 4 do UKSC >
NIK: wydatki akceptowano bez oceny przydatności
Kontrolerzy zwrócili uwagę, że CPPC nie wymagało audytów bezpieczeństwa ani przed przyznaniem wsparcia, ani po zakończeniu projektów. W praktyce oznaczało to akceptowanie wydatków na sprzęt, oprogramowanie i usługi bez weryfikacji ich realnego wpływu na poziom bezpieczeństwa.
Izba wskazała również, że przyjęte wskaźniki realizacji projektu koncentrowały się przede wszystkim na liczbie zakupionych urządzeń lub przeszkolonych pracowników, a nie na rzeczywistym wzroście odporności na cyberataki.
Dodatkowo kontrola wykazała problemy z bieżącym monitorowaniem postępów projektu. Do 1 lipca 2025 r. CPPC nie uzupełniało na bieżąco danych o realizacji wskaźników we wnioskach o płatność.
Zobacz także: Użycie AI do tworzenia haseł to zaproszenie dla hakerów
Nieprawidłowości przy wdrażaniu rozwiązań
Celem grantu jest zwiększenie poziomu bezpieczeństwa, zatem serwer powinien być wykorzystywany do uruchamiania systemów bezpieczeństwa wdrożonych w ramach projektu grantowego, a wszelkie inne aplikacje powinny działać na odrębnej infrastrukturze.
NIK zwróciła także uwagę na przypadki instalowania na nowych serwerach jednocześnie systemów bezpieczeństwa oraz systemów dziedzinowych wykorzystywanych do codziennej pracy urzędu. Zdaniem Izby takie rozwiązanie jest niezgodne z przepisami dotyczącymi Krajowych Ram Interoperacyjności oraz może powodować problemy techniczne wpływające na stabilność systemów bezpieczeństwa.
Kontrola wykazała ponadto, że na podpisanie umów grantowych samorządy czekały od trzech do ośmiu miesięcy od zakończenia oceny wniosków. Nawet przy kompletnej dokumentacji czas oczekiwania na podpisanie umowy wynosił od 14 do 182 dni.
Czytaj też w LEX:
- Zasady realizacji obowiązków z ustawy o krajowym systemie cyberbezpieczeństwa przez podmioty publiczne – po nowelizacji wdrażającej NIS 2 >
- Osoby odpowiedzialne za cyberbezpieczeństwo w podmiocie kluczowym i ważnym - weryfikacja niekaralności, uprawnienia, odpowiedzialność >
Problemy także po stronie samorządów
Badanie 17 samorządów, które otrzymały najwyższe granty, wykazało liczne nieprawidłowości związane z organizacją cyberbezpieczeństwa.
W 16 z 17 skontrolowanych urzędów kwestie cyberbezpieczeństwa nie były uwzględnione w dokumentach strategicznych. Ponadto w ponad połowie jednostek nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), który jest podstawowym elementem systemu ochrony informacji.
W ośmiu urzędach nie przeprowadzono obowiązkowych audytów bezpieczeństwa lub wykonano je nierzetelnie. Kontrolerzy stwierdzili również przypadki niewłaściwego zabezpieczenia serwerowni, nieodebrania uprawnień byłym pracownikom czy nieprawidłowego wykonywania kopii zapasowych.
Czytaj też w LEX: Zasady nadzoru nad podmiotami kluczowymi i ważnymi na gruncie ustawy o krajowym systemie cyberbezpieczeństwa >
Nieprawidłowości przy realizacji grantów wystąpiły w sześciu z siedemnastu skontrolowanych urzędów. Dotyczyły m.in. nierzetelnego wypełniania dokumentacji, naruszeń procedur zakupowych czy wydatków nieobjętych zakresem projektu.
Najpoważniejsze zastrzeżenia NIK sformułowała wobec Urzędu Gminy Świerklany, gdzie stwierdzono m.in. nieprawidłowości przy udzielaniu zamówień publicznych, nierzetelne wdrożenie polityki bezpieczeństwa oraz brak wymaganego audytu bezpieczeństwa informacji.
Czytaj też w LEX: Szkolenia z bezpieczeństwa cyfrowego – obowiązek czy dobra praktyka? >
NASK oceniony pozytywnie
Kontrola nie wykazała natomiast systemowych zaniedbań po stronie NASK, który pełnił funkcję partnera projektu. Instytut odpowiadał za organizację konkursu, wsparcie techniczne dla samorządów oraz ocenę wniosków.
NIK potwierdziła, że osoby odpowiedzialne za ocenę merytoryczną projektów posiadały odpowiednie kwalifikacje i doświadczenie. Prawidłowo funkcjonował także system oceny wniosków grantowych.
Zastrzeżenia pojawiły się jednak przy rozliczaniu projektów. Spośród 15 zbadanych wniosków rozliczeniowych aż 13 zatwierdzono mimo występowania błędów lub braków w dokumentacji.
Zobacz w LEX: Cyberbezpieczeństwo łańcucha dostaw w zamówieniach publicznych – jak pogodzić wymogi UKSC i PZP >
NIK chce obowiązkowych audytów
W efekcie kontroli NIK wystąpiła do ministra cyfryzacji, ministra funduszy i polityki regionalnej oraz dyrektora CPPC o zmianę zasad realizacji podobnych projektów w przyszłości.
Izba rekomenduje przede wszystkim wprowadzenie obowiązkowych, ustandaryzowanych audytów bezpieczeństwa informacji zarówno przed rozpoczęciem projektu, jak i po jego zakończeniu. Postuluje także stworzenie wskaźników, które pozwolą mierzyć rzeczywisty wpływ finansowanych działań na poziom cyberbezpieczeństwa samorządów.
Zdaniem NIK tylko takie rozwiązania pozwolą ocenić, czy publiczne środki przeznaczane na cyberbezpieczeństwo rzeczywiście zwiększają odporność administracji samorządowej na cyberataki.
Czytaj też w LEX: Sztuczna inteligencja w administracji samorządowej >
