Koniec ery „papierowego bezpieczeństwa”
3 kwietnia 2026 roku to data, która na stałe zmieni sposób funkcjonowania polskiej administracji samorządowej. Tego dnia wchodzi w życie znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), implementująca unijną dyrektywę NIS2. Dla tysięcy urzędów gmin, starostw i urzędów marszałkowskich oznacza to koniec czasów, w których „polityka bezpieczeństwa” istniała wyłącznie jako plik PDF w segregatorze, a za cyberbezpieczeństwo odpowiadał „ktoś z IT”.
Nowe przepisy nie pozostawiają złudzeń: cyberbezpieczeństwo to nie jednorazowy projekt zakupowy, lecz ciągły, udokumentowany proces podlegający rygorystycznym kontrolom. Cykliczne audyty, systematyczne szacowanie ryzyka, testowanie zabezpieczeń i weryfikacja łańcucha dostaw – to codzienność, do której samorządy muszą się przygotować już teraz.
W tym artykule pokażemy, jak zorganizować ten proces w sposób systemowy – bez chaosu, bez niepotrzebnej biurokracji i z wykorzystaniem narzędzi, które realnie odciążają urzędników. Platforma Certivo – polskie oprogramowanie klasy GRC (Governance, Risk, and Compliance) – będzie naszym punktem odniesienia w każdej fazie wdrożenia.
Kto podlega NIS2? Klasyfikacja JST i nowe obowiązki
Dyrektywa NIS2 objęła 18 sektorów gospodarki, w tym – po raz pierwszy w tak szerokim zakresie – administrację publiczną. Znowelizowana ustawa o KSC wprowadza podział na podmioty kluczowe i podmioty ważne, a kwalifikacja samorządów jest precyzyjnie zdefiniowana:
Podmioty kluczowe:
- Urzędy marszałkowskie i starostwa powiatowe – bez względu na wielkość zatrudnienia,
- Urzędy gmin i miast – jeśli zatrudniają powyżej 50 osób na umowę o pracę (stan na 1 stycznia danego roku).
Podmioty ważne:
- Wybrane jednostki organizacyjne (np. ośrodki pomocy społecznej, instytucje kultury),
- Spółki komunalne realizujące zadania publiczne (gospodarka odpadami, wodociągi).
Harmonogram dochodzenia do zgodności jest kaskadowy:
| Termin | Obowiązek |
|---|---|
| Do 3 października 2026 (6 miesięcy) | Samoidentyfikacja i rejestracja w systemie S46 prowadzonym przez właściwy CSIRT |
| Do 3 kwietnia 2027 (12 miesięcy) | Wdrożenie SZBI, procedur zarządzania ryzykiem, zgłaszanie incydentów poważnych |
| Do 3 kwietnia 2028 (24 miesiące) | Pierwszy obowiązkowy audyt zewnętrzny dla podmiotów kluczowych |
Kary, które bolą – instytucję i kierownika osobiście
Nowe przepisy wprowadzają sankcje, które dla samorządowych budżetów brzmią abstrakcyjnie, ale są w pełni egzekwowalne:
- Do 10 mln EUR lub 2% rocznych przychodów – dla podmiotów kluczowych,
- Do 7 mln EUR lub 1,4% rocznych przychodów – dla podmiotów ważnych.
Ale to nie wszystko. Art. 73a ustawy o KSC wprowadza osobistą odpowiedzialność finansową kierownika podmiotu publicznego. Wójt, burmistrz, prezydent miasta czy starosta może otrzymać karę administracyjną w wysokości do 100% rocznego wynagrodzenia za rażące zaniedbania w nadzorze nad cyberbezpieczeństwem – brak wymaganego audytu, ignorowanie jego zaleceń czy brak systematycznego raportowania.
To fundamentalna zmiana: cyberbezpieczeństwo przestało być problemem technicznym, a stało się ryzykiem prawno-finansowym dla najwyższego szczebla zarządczego.
Czego nauczył nas program „Cyberbezpieczny Samorząd”? Wnioski z kontroli NIK
Zanim przejdziemy do rozwiązań, warto zrozumieć, jakie błędy popełniono w przeszłości. Program grantowy „Cyberbezpieczny Samorząd” o budżecie 1,47 miliarda PLN miał podnieść odporność urzędów. Niestety, kontrola NIK z lat 2024-2026 ujawniła systemowe problemy:
Błędy w dystrybucji środków:
- CPPC nie wymagało obiektywnego audytu „zerowego” przed przyznaniem dofinansowania,
- Wydatki opierano na subiektywnych samoocenach urzędów (Ankieta Dojrzałości Cyberbezpieczeństwa),
- Brak skutecznego mechanizmu weryfikacji ex-post – samorządy mogły same wybierać standard audytu.
Stan faktyczny w urzędach (wg NIK):
| Obszar niezgodności | Skala zjawiska |
|---|---|
| Brak polityk ciągłości działania (BCP) | 71% urzędów |
| Brak systemowego zarządzania bezpieczeństwem | 61% urzędów |
| Brak analizy ryzyka | 48% urzędów |
| Chaos w inwentaryzacji zasobów (brak CMDB) | 74% urzędów |
| Słabe hasła i aktywne konta byłych pracowników | 37% i 22% urzędów |
NIK zidentyfikował również błędy architektoniczne – na serwerach zakupionych z grantu instalowano jednocześnie systemy bezpieczeństwa i systemy dziedzinowe (bazy podatkowe, programy obsługi petentów), co powodowało konflikty o zasoby i drastycznie obniżało stabilność.
Wniosek jest jednoznaczny: cyberbezpieczeństwa nie da się po prostu kupić. Sprzęt to fundament, ale bez organizacyjnego rygoru i dowodowego potwierdzenia skuteczności – to tylko kosztowna iluzja.
Jak wdrożyć NIS2 w urzędzie? Praktyczna ścieżka krok po kroku
Etap 1: Audyt zerowy – zanim cokolwiek zrobisz, dowiedz się, gdzie jesteś
Zgodność z KSC musi rozpocząć się od profesjonalnej diagnozy (GAP Analysis). Audyt KSC urząd powinien traktować jako strategiczne rozpoznanie terenu, nie biurokratyczną formalność. Zgodnie z wytycznymi Ministerstwa Cyfryzacji, audyty muszą być wykonywane niezależnie, przez audytorów z uprawnieniami (CISA, ISO 27001 Lead Auditor).
W środowisku systemowym ten proces nie polega na ręcznym wypełnianiu wielostronicowych ankiet. Platforma Certivo oferuje moduł audytu oparty na autorskiej metodyce CN2ME (Certivo NIS2 Methodology Engine), która transformuje zawiłe ramy prawne w prosty algorytm: Wymaganie prawne → Kontrola zabezpieczająca → Konkretne zadanie operacyjne → Wymagany dowód → Raport z wdrożenia.
Co to oznacza w praktyce?
- Inteligentne profilowanie: Silnik CN2ME analizuje wielkość podmiotu, zakres procesów i złożoność architektury, automatycznie filtrując zbędne wymagania. Urząd gminy wiejskiej nie musi odpowiadać na pytania dotyczące infrastruktury typowej dla urzędu marszałkowskiego.
- Bramki etapowe: System blokuje fałszywy postęp. Jeśli deklarujesz zgodność z kontrolą, ale w Teczce Dowodowej brakuje obiektywnych artefaktów (np. logów z testu odtworzeniowego), bramka weryfikacyjna nie zostanie zaliczona.
- Wielowymiarowa ewaluacja: Platforma oddziela deklaracje od rzeczywistości – osobno oceniane są wyniki ankiet, pokrycie oświadczeń dowodami, gotowość operacyjna procesów i syntetyczny wskaźnik gotowości audytowej dla zarządu.
Etap 2: Wdrożenie SZBI i inwentaryzacja – wiesz, co chronisz?
Art. 8 ust. 1 ustawy o KSC nakłada bezwzględny obowiązek wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Problem w tym, że większość urzędów myli SZBI z Polityką Bezpieczeństwa Informacji (PBI) w formacie PDF. A to zupełnie nie to samo.
SZBI to ekosystem procesów: planowanie, wdrażanie, ewaluacja i ciągłe doskonalenie. Dokumentacja to tylko wierzchołek góry lodowej.
Moduł SZBI/DMS w platformie Certivo rozwiązuje problem „martwej dokumentacji”. Zamiast tworzyć struktury od zera, urząd otrzymuje inteligentnie zdefiniowany szkielet ról (Administrator Bezpieczeństwa Informacji, Właściciel Ryzyka), procedur i rejestrów. Kluczowe jest połączenie dokumentacji z Action Planem GRC – gdy procedura nakazuje kwartalną weryfikację uprawnień, system automatycznie wpisuje zadania do kalendarzy, wysyła monity i żąda załączenia logów z Active Directory jako dowodu.
CMDB – koniec z chaosem inwentaryzacyjnym
74% urzędów nie ma rzetelnej informacji o swoich zasobach IT. Bez tego nie da się ocenić ryzyka. Moduł architektoniczny Certivo buduje dynamiczny graf zależności w modelu „Top-Down”:
- Warstwa Usług Publicznych: Co urząd dostarcza obywatelom? E-usługi, obsługa podatków, wypłata świadczeń. Każda usługa ma parametry BIA (Business Impact Analysis) – krytyczność, dopuszczalny wpływ awarii, czasy odtworzenia.
- Warstwa Procesów: Usługi rozbijane są na procesy z jasno przypisanymi Właścicielami Biznesowymi (macierz RACI).
- Warstwa Zasobów (CMDB): Na dole ewidencjonowane są serwery, bazy danych, zbiory informacji – oceniane według wektora poufności, integralności i dostępności (C-I-A).
Dzięki temu, gdy pada zasilacz w serwerowni, widać od razu: ta awaria wyłączy system dziedzinowy, sparaliżuje proces wydawania decyzji i zablokuje obsługę 500 interesantów dziennie. Identyfikacja pojedynczych punktów awarii (SPOF) staje się możliwa bez zaawansowanej analizy.
Etap 3: Zarządzanie incydentami – czas ma znaczenie
NIS2 przyjmuje założenie: prędzej czy później system ulegnie naruszeniu. Liczy się to, jak zareagujesz. Ustawa o KSC nakłada obowiązek ciągłego monitorowania i strukturyzowanego podejścia do obsługi incydentów.
Uwaga na pułapkę: wiele firm oferuje darmowe systemy SIEM (np. Wazuh), argumentując, że pokrywają wymagania. To prawda – potrafią zbierać logi. Ale SIEM, którego nikt nie obsługuje, staje się „cmentarzem logów” – obciążającym dowodem zaniedbania na wypadek audytu.
Platforma Certivo oferuje moduł zarządzania incydentami, który nakłada warstwę zarządzania na techniczne systemy detekcji:
- Triage i reakcja: Incydent (np. ransomware na serwerze plików) jest rejestrowany, klasyfikowany i delegowany do odpowiednich techników (L1-L3).
- Zegar KSC: Interfejs monitoruje upływ czasu i przypomina o terminach raportowania – wczesne ostrzeżenie w ciągu 24 godzin, pełne sprawozdanie w ciągu 72 godzin.
- Pakiet S46: System automatyzuje gromadzenie paczki dowodowej (agregacja zasobów z CMDB, dotkniętych usług, chronologiczna oś zdarzeń) gotowej do wysyłki w systemie zgłoszeniowym S46.
Każdy krok – od izolacji zagrożenia po wnioski prewencyjne – tworzy trwały łańcuch audytowy, który chroni burmistrza czy prezydenta, dowodząc podjęcia niezwłocznych działań.
Etap 4: Testy bezpieczeństwa i odtworzeniowe – papierowy plan to fikcja
Dyrektywa NIS2 i ustawa o KSC żądają bezwzględnego testowania systemów i procedur. Dotyczy to szczególnie planów ciągłości działania (BCP) i planów odtworzeniowych (DRP). NIK wykazała, że 71% urzędów nie ma polityk BCP – a te, które mają, często nigdy ich nie testowały.
Moduł BCM w platformie Certivo wprowadza wymuszony cykl iteracyjny:
- Strategie odtworzeniowe przypinane są do krytycznych procesów biznesowych,
- Harmonogramy (miesięczne, kwartalne) zmuszają administratorów do przeprowadzenia testów scenariuszowych,
- Jeśli test wykaże, że czas odtworzenia przewyższa założony RTO o 12 godzin, pracownik zobowiązany jest zakończyć zadanie statusem „Failed”.
Zarządzanie porażką to kluczowa innowacja. System odnotowujący nieudany test BCP natychmiast generuje zadanie naprawcze w Action Planie i wymusza retest, który musi zakończyć się sukcesem i dostarczeniem dowodu. Jednorazowe awarie zamieniają się w mechanizm nieustannego podnoszenia poziomu stabilności.
Etap 5: Zarządzanie ryzykiem i łańcuch dostaw – serce ustawy
Zarządzanie ryzykiem to technologiczno-organizacyjne serce ustawy o KSC. Art. 21 dyrektywy NIS2 statuuje absolutny prymat systematycznego szacowania ryzyka nad innymi działaniami prewencyjnymi.
Moduł zarządzania ryzykiem Certivo działa w oparciu o metodologię ISO 27005:
- Identyfikacja i wycena: Zagrożenia nakładane są na matrycę 5×5 (prawdopodobieństwo × skutek). System wylicza ryzyko pierwotne (inherentne) – „co by się stało, gdybyśmy nie mieli żadnych zabezpieczeń?”.
- Ryzyko rezydualne: Automatyczne przeliczenie ekspozycji po uwzględnieniu zastosowanych kontroli. To operacja dynamiczna – jeśli system zewidencjonuje nieudany test backupu, scoring ryzyka dla powiązanej e-usługi zostanie podniesiony.
- Plan postępowania (Treatment): Właściciele ryzyka muszą podjąć decyzję: unikanie, transfer, mitygacja lub świadoma akceptacja.
- Uzasadnienie i ślad audytowy: Akceptacja wysokiego ryzyka wymaga podania powodu biznesowego – to buduje obronę dowodową dla kierownictwa.
TPRM – bezpieczeństwo łańcucha dostaw
Hakerzy najczęściej wchodzą do sieci przez słabo zabezpieczonych partnerów biznesowych. NIS2 wymaga weryfikacji dostawców ICT. Moduł TPRM w Certivo przenosi ten mechanizm na zewnątrz urzędu:
- Bezpieczne portale ankietowe – dostawcy otrzymują cyfrowe kwestionariusze (oparte m.in. na OWASP), logują się do własnego panelu i odpowiadają bez konieczności zakładania kont,
- API List Sankcyjnych MSWiA – automatyczna weryfikacja NIP i nazw w rządowych bazach sankcyjnych oraz na Białej Liście VAT,
- Eskalacja naprawy – jeśli dostawca zostanie sklasyfikowany jako ryzyko krytyczne, system wymusza plan naprawczy egzekwowany w kontraktach.
Etap 6: Kokpit menedżerski – ochrona kierownictwa w jednym widoku
Włodarz JST nie może tonąć w szczegółach technicznych. Potrzebuje zagregowanego obrazu sytuacji. Pulpit zarządczy Certivo prezentuje status w języku celów biznesowych:
- Readiness Index – poziom gotowości audytowej NIS2 w trybie ciągłym,
- Najgroźniejsze ryzyka operacyjne – wykraczające poza ustalony apetyt na ryzyko,
- Dostawcy w łańcuchu krytycznym – czekający na weryfikację,
- Terminy wymagalności – wygasające polisy, audyty, certyfikaty.
Każdy zamknięty proces – udany retest backupu, ankieta dostawcy bez odchyleń, raport CSIRT w systemie S46 – zachowuje w DMS zahashowane informacje operacyjne. To dowód należytej staranności, który chroni samorządowca w przypadku dochodzenia po incydencie.
Podsumowanie: NIS2 jako szansa, nie tylko obowiązek
Implementacja dyrektywy NIS2 to bezprecedensowa zmiana systemowa dla polskiej administracji. Błędy z przeszłości – przypadkowe audyty, subiektywne samooceny, zakupy „z pudełka” – nie mają już racji bytu. Ustawodawca żąda podejścia udokumentowanego, cyklicznego i ukierunkowanego na zarządzanie ryzykiem.
Dla JST optymalną ścieżką jest rezygnacja z rozproszonych plików na rzecz kompleksowej orkiestracji. Platforma Certivo – zaprojektowana przez certyfikowanych audytorów z myślą o polskich podmiotach kluczowych i ważnych – oferuje:
- Audyty oparte na silniku CN2ME z bramkami blokującymi sztuczny postęp,
- Pełną digitalizację SZBI połączoną z dowodami w DMS,
- Inwentaryzację CMDB zmapowaną na procesy usług publicznych,
- Interaktywną ocenę dostawców TPRM z API list sankcyjnych,
- Twarde rygory naprawcze dla testów BCM.
Wyposażeni w tak zaprogramowany algorytm, samorządowcy budują organizacyjny monolit ochronny. NIS2 z pozycji „postrachu biurokratycznego” staje się operacyjnym fundamentem cyberbezpiecznego państwa – gwarantującym weryfikowalną odporność e-usług, z których korzystają miliony obywateli.
