• NATO formalnie uznało cyberprzestrzeń za piątą domenę operacyjną – obok lądu, morza, powietrza i przestrzeni kosmicznej.
• Nie ma dokładnych danych ukazujących rozmiar cyberataków przeprowadzonych na samorządy terytorialne, jednak mówi się, że miesięcznie to parę tysięcy takich przypadków.
• Obowiązująca od kwietnia 2026 r. znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa ma diametralnie wzmocnić cyberodporność ok. 38 tys. podmiotów, w tym również samorządów terytorialnych.
Cyberatak a kolektywna obronność NATO
W 2025 r. odnotowano ok. 273 tys. incydentów cyberbezpieczeństwa. To 144,4 proc. więcej niż rok wcześniej, co oznacza, że statystycznie incydent w polskiej cyberprzestrzeni następuje średnio co 2 minuty. Prawdopodobnie w tym roku takich zdarzeń będzie jeszcze więcej. CERT Polska (Computer Emergency Response Team, czyli Zespół Reagowania na Incydenty Komputerowe) odnotował ok. 200 tys. zdarzeń naruszających cybersecurity.
Do czasu bezpieczeństwo informatyczne najczęściej łączono z wojskiem. W 2016 r. w Warszawie państwa członkowskie NATO formalnie uznały cyberprzestrzeń za piątą domenę operacyjną – obok lądu, morza, powietrza i przestrzeni kosmicznej. A to oznacza, że atak na sieci informatyczne państw członkowskich Sojuszu może skutkować (choć jest to mało prawdopodobne w tym przypadku) uruchomieniem obrony kolektywnej wynikającej z art. 5. Traktatu Północnoatlantyckiego.
Do świadomości, nie tylko obywatelskiej, dociera coraz częściej to, że w obszarze cyberbezpieczeństwa – jako jednego z fundamentów obronności – dbać o nie powinny również struktury cywilne, w tym samorządy gminne, miejskie, powiatowe i wojewódzkie. Dość wskazać, że często zarządzają one infrastrukturą krytyczną – choćby sieciami wodociągowymi, szpitalami, systemami komunikacji miejskiej itd. W strategii obronnej państwa zakłada się (nie tylko w koncepcji NATO-owskiej), że siły zbrojne nie są w stanie prowadzić działań wojennych bez stabilnie funkcjonującego zaplecza cywilnego; czytaj: gmin i ich samorządów.
Gdy ich funkcjonowanie jest zinformatyzowane, są one celem ataków cyberprzestępczych o charakterze nie tylko stricte kryminalnym. W systemie funkcjonowania państwa ochrona przed takimi atakami jest częścią zarządzania gminą. Różnie jest z realizacją tych zadań, za które odpowiedzialni są wójtowie, starości, burmistrzowie, prezydenci i marszałkowie.
Cyberbezpieczeństwo stało się częścią zarządzania gminą
A tymczasem w 2026 r. administracja publiczna notuje tygodniowo średnio 2 tys. cyberataków. Ktoś może stwierdzić, że to niewielka część puli wszystkich naruszeń cyberbezpieczeństwa. Pamiętać należy, że diametralnie innego kalibru są ataki na kartę płatniczą obywatela, a innego przejęcie przez cyberprzestępców szpitalnego systemu zarządzania (HIS) lecznicy, dla której organem założycielskim jest samorząd.
– Waga tego problemu znacznie wzrosła. To już nie jest tylko problem, czy ktoś nam zhakuje komputer czy stronę, ale generalnie zarządczy problem całego miasta – podkreśla (w rozmowie z Newserią) Tomasz Nadolny, dyrektor ds. rozwoju innowacji w Obszarze Metropolitalnym Gdańsk–Gdynia–Sopot. – Przepisy związane z NIS 2 i z KSC weszły w życie dość niedawno, ale moim zdaniem najważniejszą zmianą dla samorządów jest to, że odpowiedzialność bezpośrednio spadła na tzw. kierowników. Są nimi prezydent, burmistrz czy wójt. Oni nie mogą delegować tej odpowiedzialności, więc poczucie, że dział informatyki się zajmie wszystkim, już nie istnieje. Cyberbezpieczeństwo stało się częścią zarządzania gminą.
Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) wdrażająca do polskiego prawa unijną dyrektywę NIS 2. Jak informuje rząd, dotyczy ona ok. 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych. Mają one 12 miesięcy, by wdrożyć obowiązki wynikające z tej ustawy. Ważne jest, że prawo to wprowadziło osobistą odpowiedzialność za realizację obowiązków przez nie nałożonych na kierownictwo podmiotów. Za niewywiązywanie się z tych obowiązków grożą kary do 10 mln euro.
– Budowanie odporności cyfrowej zaczęło się od formalnych przepisów NIS 2 i KSC. Nowelizacja stawia przed samorządem szereg obowiązków, począwszy od monitorowania infrastruktury, od technologii operacyjnych po informatykę, po kopie zapasowe, czyli budowanie tzw. cyberbunkra, żeby dane samorządów w nim pozostawały i można było odtworzyć usługi publiczne pomimo potencjalnego incydentu czy kryzysu – wyjaśnia Agnieszka Olbrycht-Banach, prezesująca Śląskiej Sieci Metropolitalnej w Gliwicach.
269 mln zł z budżetu państwa na lokalne centra cyberbezpieczeństwa
Cyberbezpieczeństwo kosztuje. A wiadomo, że nie wszystkie samorządy są na tyle bogate, by wprowadzanie zasad wzmiankowanej ustawy nie było dla nich mega wyzwaniem. Bo dla większości samorządów jest to wyzwanie. Może im pomóc rząd programami w rodzaju „Cyberbezpieczny Samorząd” czy „Lokalne Centra Cyberbezpieczeństwa”. Wnioski o wsparcie z tej drugiej inicjatywy można składać do 30 listopada 2026 roku. Do rozdziału jest 269 mln zł. Nadto o dofinansowanie można ubiegać się z programu Fundusze Europejskie na Rozwój Cyfrowy 2021–2027.
Jak już było wspomniane; samorządy (i pozostałe podmioty objęte ustawą o KSC) muszą do kwietnia 2027 r. zrealizować zadania z niej wynikające. Łatwe to nie będzie, bo jak wynika z przedstawionego przez NIK raportu o realizacji programu „Cyberbezpieczny samorząd”, sporo jest do zrobienia, by było cyberbezpiecznie.
Inspektorzy Izby sprawdzili, jak rzecz ma się m.in. w 17 samorządach gminnych i powiatowych. Luki w zabezpieczeniach, nierzetelne wypełnianie wniosków i brak audytów stwierdzających ocenę poziomu cyberbezpieczeństwa – to niektóre z wykazanych uchybień. NIK wykazała, że zabrakło systemowego podejścia do wzmacniania cyberbezpieczeństwa w gminach oraz oceny rzeczywistych efektów programu. Ale spokojnie, jest jeszcze ponad pięć miesięcy na zmianę podejścia do cyberbezpieczeństwa w gminach, w których jest to wymagane...
