Najwyższa Izba Kontroli sprawdziła projekt „Cyberbezpieczny Samorząd”, finansowany z programu Fundusze Europejskie na Rozwój Cyfrowy 2021–2027. Jego cel był jasny: zwiększyć odporność jednostek samorządu terytorialnego na zagrożenia teleinformatyczne oraz poprawić zdolność urzędów do zapobiegania, wykrywania i reagowania na incydenty.

Projekt skierowano do wszystkich jednostek samorządu terytorialnego w Polsce, czyli łącznie 2807 gmin, powiatów i województw. Budżet wyniósł około 1,5 mld zł. Większość środków przeznaczono na zakup sprzętu, oprogramowania i usług wdrożeniowych, a pozostałą część na procedury, audyty i szkolenia.

NIK podkreśla jednak, że mimo realizacji projektu nie wiadomo, w jakim stopniu dofinansowane urzędy realnie zwiększyły odporność na cyberataki. Powód jest zasadniczy: nie zbadano rzetelnie stanu wyjściowego i nie sprawdzono efektu po wydaniu pieniędzy.

Pieniądze były, ale zabrakło pomiaru efektów

Według NIK problem zaczął się już przy konstrukcji konkursu grantowego. Centrum Projektów Polska Cyfrowa nie wymagało od samorządów przeprowadzenia audytu bezpieczeństwa ani przedstawienia obiektywnej oceny poziomu cyberbezpieczeństwa przed przyznaniem dofinansowania.

Granty przyznawano więc na podstawie samooceny samorządów, która — jak wskazuje NIK — bywała błędna. Przy rozliczaniu projektu również nie wprowadzono mechanizmu, który uzależniałby uznanie wydatków za prawidłowe od realnego wzrostu odporności na zagrożenia cyfrowe.

W praktyce można było więc kupić sprzęt, oprogramowanie i szkolenia, ale system nie dawał pewnej odpowiedzi na pytanie, czy urząd po projekcie jest bezpieczniejszy niż wcześniej. NIK ocenia takie podejście jako nierzetelne i wskazuje na ryzyko nieefektywnego wydawania publicznych pieniędzy.

Cyberatak na urząd to problem mieszkańców

Cyberbezpieczeństwo samorządu może brzmieć jak temat dla informatyków, ale jego skutki są bardzo praktyczne. Urzędy przetwarzają dane osobowe mieszkańców, informacje podatkowe, dokumenty dotyczące nieruchomości, rejestry, decyzje administracyjne, korespondencję i wnioski składane online.

Jeśli systemy urzędu zostaną zaatakowane, mieszkańcy mogą mieć problem z załatwieniem sprawy przez internet, uzyskaniem dokumentu, złożeniem wniosku albo dostępem do informacji. W najgorszym przypadku skutkiem może być wyciek danych, paraliż części usług lub konieczność czasowego przejścia na obsługę papierową.

NIK zwraca uwagę, że zagrożenia rosną wraz z popularnością usług cyfrowych, rozwojem technologii oraz sytuacją związaną z wojną w Ukrainie i wojną hybrydową. Instytucje publiczne są coraz częściej potencjalnym celem ataków.

Nie tylko sprzęt. Potrzebne są procedury i audyty

Kontrola wykazała, że w większości skontrolowanych urzędów występowały nieprawidłowości w zakresie bezpieczeństwa informacji. W ponad połowie kontrolowanych urzędów nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji, który jest jednym z kluczowych elementów cyberbezpieczeństwa.

W ośmiu urzędach, czyli w 47 proc. kontrolowanych jednostek, w 2023 lub 2024 roku nie przeprowadzono obowiązkowego audytu bezpieczeństwa informacji albo przeprowadzono go nierzetelnie, bądź z naruszeniem zasady niezależności i obiektywizmu.

NIK wskazała też inne problemy, m.in. niewłaściwe zabezpieczenie serwerowni, nieodbieranie uprawnień do systemów osobom, które zakończyły pracę w urzędzie, oraz niewłaściwe sporządzanie kopii zapasowych. W części przypadków systemy bezpieczeństwa działały na tych samych serwerach co codzienne programy urzędowe, np. systemy podatkowe lub bazy danych mieszkańców.

Dla samorządów wnioski NIK oznaczają, że samo kupienie sprzętu i oprogramowania nie wystarcza. Potrzebne są regularne audyty, jasne procedury, szkolenia pracowników, odbieranie dostępów byłym pracownikom, zabezpieczenie serwerowni i testowanie, czy systemy rzeczywiście działają w sytuacji kryzysowej. Dla państwa to sygnał, że kolejne programy dotacyjne powinny być rozliczane nie tylko z faktur i zakupów, ale także z efektów. Jeśli celem jest większa odporność na cyberataki, trzeba mierzyć stan przed projektem i po jego zakończeniu.