Najwyższa Izba Kontroli oceniła, że środki cyberbezpieczeństwa stosowane w latach 2021–2025 przez ośmiu skontrolowanych operatorów usług kluczowych były niewystarczające i nie odpowiadały obecnej skali zagrożeń.
Kontrola objęła podmioty działające w sektorach transportu, energetyki oraz zaopatrzenia w wodę pitną i jej dystrybucji. Według NIK żaden z nich nie zapewnił systemom wykorzystywanym do świadczenia kluczowych usług odpowiedniej odporności na działania mogące naruszyć m.in. dostępność, integralność czy poufność danych.
Szczególnie niepokojące są ustalenia dotyczące monitorowania zagrożeń. Sześciu z ośmiu operatorów miało systematycznie ignorować krytyczne alerty generowane przez systemy bezpieczeństwa. W skrajnych przypadkach monitoring w ogóle nie był prowadzony. Zdaniem NIK oznaczało to, że operatorzy mogli nawet nie wiedzieć o ataku na swoje systemy.
Izba krytycznie oceniła również nadzór ministrów energii i infrastruktury. Mimo wiedzy o niewystarczających zabezpieczeniach nie mieli oni podjąć odpowiednich działań nadzorczych ani przeprowadzić kontroli operatorów.
Skala zagrożeń rośnie. W 2025 roku krajowe zespoły CSIRT obsłużyły niemal 273 tys. incydentów cyberbezpieczeństwa, czyli o 144,4 proc. więcej niż rok wcześniej. Statystycznie oznacza to jedno takie zdarzenie średnio co około dwie minuty.
NIK zwraca uwagę, że w przypadku usług kluczowych skutki cyberataku mogą wykraczać poza świat cyfrowy. Przejęcie kontroli nad systemami wodociągowymi może wpływać na parametry wody, a atak na infrastrukturę energetyczną może doprowadzić do rozległych przerw w dostawach prądu.
Kontrola obejmowała okres od 1 stycznia 2021 roku do 16 lutego 2026 roku. NIK skontrolowała także Ministerstwo Cyfryzacji, Ministerstwo Energii i Ministerstwo Infrastruktury.
