Projekt miał wzmocnić urzędy przed atakami hakerskimi. Samorządy kupowały serwery, systemy ochronne i szkolenia, ale zabrakło podstawowego narzędzia oceny: porównania poziomu bezpieczeństwa przed realizacją projektu i po jego zakończeniu. Najwyższa Izba Kontroli stwierdziła, że mimo miliardowych nakładów nie można określić, czy odporność urzędów rzeczywiście wzrosła.

Program „Cyberbezpieczny Samorząd” miał zwiększyć zdolność gmin, powiatów i województw do zapobiegania cyberatakom, wykrywania zagrożeń oraz reagowania na incydenty. Do dyspozycji samorządów przeznaczono około 1,5 mld zł ze środków europejskich.

Około 80 proc. pieniędzy można było wykorzystać na sprzęt, oprogramowanie i usługi wdrożeniowe. Pozostała część miała finansować audyty, procedury organizacyjne oraz szkolenia pracowników.

NIK oceniła, że projekt był prowadzony zgodnie z przyjętymi procedurami. Problem polega jednak na tym, że same procedury nie pozwalały sprawdzić, czy publiczne pieniądze przyniosły oczekiwany efekt.

Grant na podstawie samooceny urzędu

Centrum Projektów Polska Cyfrowa nie wymagało od samorządów przeprowadzenia niezależnego audytu bezpieczeństwa przed złożeniem wniosku. Urzędy same określały, jakich zabezpieczeń potrzebują i na co zamierzają wydać pieniądze.

Jak ustaliła NIK, część tych samoocen była błędna. Mimo to stanowiły one podstawę przyznawania grantów.

Jeszcze poważniejszy problem pojawił się przy rozliczaniu projektów. Uznanie wydatków za prawidłowe nie było uzależnione od wykazania, że urząd rzeczywiście stał się bardziej odporny na cyberzagrożenia.

W praktyce można było prawidłowo kupić sprzęt, wdrożyć program i przeszkolić pracowników, a następnie rozliczyć grant bez udowodnienia, że poziom ochrony danych i systemów informatycznych faktycznie się poprawił.

NIK oceniła takie rozwiązanie jako nierzetelne i stwarzające ryzyko nieefektywnego lub bezcelowego wydawania środków publicznych. ilustracja do artykułu ceber bezpieczeństwo gmin NIK

Miliard wydany, efekt pozostaje nieznany

W konkursie samorządy złożyły 2614 wniosków o dofinansowanie na łączną kwotę ponad 1,5 mld zł. Ostatecznie podpisano 2497 umów grantowych o wartości 1,475 mld zł.

Na koniec sierpnia 2025 roku realizowano 2490 projektów o łącznej wartości 1,471 mld zł. Wykorzystano wówczas około 1,122 mld zł, czyli 62,4 proc. budżetu całego programu.

Jednocześnie proces formalnego rozliczania grantów przebiegał bardzo wolno. Do końca sierpnia 2025 roku samorządy złożyły zaledwie 26 wniosków o płatność o wartości 16 mln zł. Do zakończenia kontroli rozliczono 17 wniosków na kwotę 10,7 mln zł.

Skala programu była więc ogromna, ale sposób jego mierzenia sprowadzał się przede wszystkim do liczenia zakupionych systemów, urządzeń oraz przeszkolonych osób. Wskaźniki nie pokazywały, czy po wdrożeniu projektu urząd skuteczniej chroni dane mieszkańców.

Audyty były, ale każdy mógł wyglądać inaczej

Samorządy miały obowiązek przeprowadzić audyt bezpieczeństwa informacji po zakończeniu projektu. Centrum Projektów Polska Cyfrowa nie określiło jednak wspólnego standardu takich kontroli.

Każdy urząd mógł przeprowadzić audyt według własnych zasad, a jego wynik nie wpływał na rozliczenie grantu. Nawet stwierdzenie poważnych luk nie oznaczało automatycznie, że wydatki zostaną zakwestionowane.

NIK zaleciła, aby w przyszłych programach audyty były ustandaryzowane i wykonywane zarówno przed przyznaniem dofinansowania, jak i po zakończeniu projektu. Dopiero takie porównanie pozwoliłoby ustalić, czy inwestycja rzeczywiście poprawiła poziom bezpieczeństwa.

Nieprawidłowości w co trzecim kontrolowanym urzędzie

NIK zbadała wykorzystanie 17 najwyższych wartościowo grantów w wybranych samorządach. Łączna wartość przyznanych im środków wyniosła 13 mln zł.

Reklama

Reklama

Reklama

Nieprawidłowości związane z realizacją grantów stwierdzono w sześciu urzędach, czyli w 36 proc. kontrolowanych jednostek. Dotyczyły one między innymi:

• niewłaściwego zabezpieczenia interesów zamawiającego,
• nierzetelnego wypełniania wniosków,
• opóźnień w sprawozdawczości,
• nieprawidłowego określania wskaźników projektu,
• zakupu elementów nieprzewidzianych we wniosku,
• niewłaściwego stosowania przepisów o zamówieniach publicznych.

Najgorzej oceniono Urząd Gminy Świerklany. Kontrolerzy stwierdzili tam między innymi nieuzasadnione opóźnienia, udzielenie zamówienia bez zastosowania Prawa zamówień publicznych, nierzetelne wykonanie części prac oraz brak obowiązkowego audytu bezpieczeństwa informacji za 2024 rok.

Serwer kupiony dla bezpieczeństwa, używany do wszystkiego

NIK zwróciła także uwagę na sposób wykorzystania nowych serwerów. Na części urządzeń instalowano jednocześnie systemy bezpieczeństwa oraz zwykłe programy używane przez urząd, na przykład systemy podatkowe, bazy mieszkańców czy aplikacje do obsługi interesantów.

Według kontrolerów taka praktyka naruszała przepisy dotyczące Krajowych Ram Interoperacyjności. Powodowała również ryzyko techniczne — systemy urzędowe i zabezpieczenia mogły konkurować o zasoby jednego serwera, obniżając stabilność całej infrastruktury.

Sprzęt kupiony w celu zwiększenia ochrony stawał się więc kolejnym urządzeniem do bieżącej obsługi urzędu, zamiast wydzielonym elementem systemu bezpieczeństwa.

Urzędy bez systemów zarządzania bezpieczeństwem

Kontrola wykazała, że w ponad połowie badanych urzędów nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji, mimo że jest to jeden z podstawowych elementów ochrony danych i infrastruktury teleinformatycznej.

W ośmiu z 17 urzędów, czyli w 47 proc. kontrolowanych jednostek, nie przeprowadzono obowiązkowego audytu bezpieczeństwa albo wykonano go nierzetelnie, z naruszeniem zasad niezależności i obiektywizmu.

Kontrolerzy ujawnili również przypadki:

• niewłaściwego zabezpieczenia serwerowni,
• przechowywania w nich materiałów łatwopalnych,
• pozostawiania dostępu do systemów byłym pracownikom,
• ustawiania monitorów w sposób umożliwiający osobom postronnym wgląd w dane,
• nieprawidłowego tworzenia kopii zapasowych,
• braku właściwych procedur przyznawania uprawnień.

To właśnie te elementy, a nie liczba zakupionych komputerów i licencji, decydują o tym, czy urząd jest przygotowany na atak.

NASK sprawnie oceniał wnioski, gorzej z rozliczeniami

Pozytywnie oceniono działalność NASK podczas naboru projektów. Instytut przygotował system informatyczny do składania dokumentów, zapewniał wsparcie techniczne i merytoryczne oraz zaangażował ekspertów posiadających odpowiednie kwalifikacje.

Problemy pojawiły się jednak przy rozliczaniu grantów. Spośród 15 sprawdzonych wniosków o rozliczenie aż 13 zostało zatwierdzonych mimo błędów, wadliwej dokumentacji lub braku wymaganych załączników.

Oznacza to, że system sprawnie przyznawał pieniądze, lecz znacznie słabiej sprawdzał, jak zostały wykorzystane.

Cyberbezpieczeństwa nie można mierzyć liczbą faktur

Wnioski NIK podważają sposób projektowania programów dotacyjnych, w których sukces utożsamiany jest z zakupem sprzętu i wykonaniem zaplanowanych działań.

Sam serwer, licencja czy szkolenie nie oznaczają jeszcze, że dane mieszkańców są bezpieczne. O skuteczności decydują procedury, regularne testy, kontrola dostępów, jakość kopii zapasowych, przygotowanie pracowników oraz zdolność urzędu do reagowania w czasie rzeczywistego ataku.

Program „Cyberbezpieczny Samorząd” pozwolił wielu urzędom unowocześnić infrastrukturę. Nie stworzono jednak systemu, który pozwalałby odpowiedzieć na najważniejsze pytanie: czy po wydaniu blisko półtora miliarda złotych polskie samorządy są rzeczywiście bezpieczniejsze?

Na razie odpowiedź brzmi: nie wiadomo.