Nikt nie pilnuje wody i ciepła. NIK, CERT i mapa incydentów pokazują, jak bardzo samorządy nie są gotowe na cyberwojnę

Nasza redakcja zebrała publicznie dostępne dane o incydentach z lat 2024-2026, wyniki dwóch tegorocznych kontroli NIK, raport CERT Polska za 2025 r. oraz komunikaty Ministerstwa Cyfryzacji o nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Obraz jest prosty: ataków jest więcej, są coraz częściej wymierzone w sterowanie fizycznymi procesami, a od 3 kwietnia 2026 r. spółki komunalne i samorządy mają na to konkretne, egzekwowalne obowiązki. Wpis do Wykazu KSC trzeba uzupełnić do 3 października 2026 r.

1. Skala: incydent co dwie minuty

Najwyższa Izba Kontroli opublikowała 27 sierpnia 2026 r. wyniki kontroli cyberbezpieczeństwa operatorów usług kluczowych w sektorach energii, wody pitnej i transportu. Kluczowa liczba: w 2025 r. zespoły CSIRT poziomu krajowego obsłużyły niemal 273 tys. incydentów, o 144,4% więcej niż rok wcześniej. Statystycznie do incydentu w polskiej cyberprzestrzeni dochodziło co dwie minuty.

CERT Polska w swoim raporcie rocznym podaje nieco inaczej liczone dane: 658 320 zgłoszeń i 260 783 unikalnych incydentów, czyli wzrost o 152% rok do roku. W 2024 r. było ich 103,4 tys. Wicepremier i minister cyfryzacji Krzysztof Gawkowski nazwał powyższe fakty rekordem, jakiego nie było w historii Polski, i wskazał wprost, że nowe incydenty pojawiają się coraz częściej w energetyce, w szpitalach i w administracji samorządowej⁴.

Kierownik CERT Polska Marcin Dudek dodał do tego zdanie, które powinno trafić do każdej strategii bezpieczeństwa gminy: większość z tych 260 tys. zdarzeń to proste incydenty, którym można było zapobiec choćby przez wieloskładnikowe uwierzytelnianie.

Dla sektora komunalnego kluczowa jest jednak inna statystyka. Według danych resortu cyfryzacji przekazanych "Pulsowi Biznesu", CSIRT NASK obsłużył w 2025 r. 94 incydenty w branży wodociągowej, podczas gdy w 2024 r. było ich 59. Wicepremier Gawkowski, podpisując w kwietniu 2026 r. umowy w Bydgoszczy, mówił o 95 incydentach i o tym, że obszar wodno-kanalizacyjny jest obecnie najbardziej zagrożony. W Polsce działa ok. 1900 przedsiębiorstw wodno-kanalizacyjnych, a zarządzana przez nie sieć ma ponad 515 tys. km.

Wiceminister cyfryzacji Dariusz Standerski mówił jesienią 2025 r., że każdego dnia odnotowuje się od 20 do 50 prób ingerencji w systemy zarządzające kluczowymi usługami publicznymi. Większość z nich nigdy nie trafia do mediów.

Do tego dochodzi kontekst międzynarodowy: w pierwszej połowie 2025 r. Polska odpowiadała za 6% wszystkich ataków ransomware na świecie, co plasowało ją na pierwszym miejscu. Gawkowski w Bydgoszczy określił Polskę jako najbardziej atakowany kraj w Unii Europejskiej.

2. Co NIK znalazła u operatorów wody i energii

Kontrola P/25/083 objęła Ministerstwo Cyfryzacji, Ministerstwo Energii, Ministerstwo Infrastruktury oraz ośmiu operatorów usług kluczowych z sektorów transportu, energii i zaopatrzenia w wodę pitną. Okres: od 1 stycznia 2021 r. do 16 lutego 2026 r.

Ustalenia są jednoznaczne. Żaden z ośmiu skontrolowanych operatorów nie zapewnił systemom służącym do świadczenia usługi kluczowej odporności na działania naruszające poufność, integralność, dostępność i autentyczność danych. Sześciu z ośmiu systematycznie ignorowało krytyczne alerty generowane przez systemy monitorujące, a w skrajnych przypadkach w ogóle nie prowadziło takiego monitoringu. NIK pisze wprost: mogli nawet nie wiedzieć, że doszło do ataku na ich systemy.

Równie ostro Izba oceniła nadzór. Ministrowie energii i infrastruktury wiedzieli o niedostatecznym zabezpieczeniu podstawowych usług, ale nie podjęli działań nadzorczych i nie skontrolowali operatorów. Wniosek NIK: mechanizmy krajowego systemu cyberbezpieczeństwa nie zapewniły skutecznego identyfikowania i egzekwowania obowiązków, mimo że od utworzenia KSC upłynęło ponad siedem lat.

NIK tłumaczy też, dlaczego te sektory są inne niż bankowość czy e-commerce: skutki incydentu wykraczają poza sferę cyfrową. Atak na wodociągi umożliwia manipulowanie parametrami wody, a zwiększenie ilości chloru może zagrażać zdrowiu i życiu odbiorców. Przejęcie kontroli nad sieciami elektroenergetycznymi może prowadzić do rozległych i długotrwałych przerw w dostawach prądu.

3. Cztery sposoby, w jakie atakuje się gminę

Z publicznie opisanych incydentów wyłaniają się cztery powtarzalne schematy. Różnią się celem, sprawcą i skutkiem, więc wymagają różnych zabezpieczeń.

3.1. Manipulacja sterownikami: woda i ciepło

Ten typ ataku ma najczęściej podpis prorosyjskich grup haktywistów, które publikują nagrania z przejętych paneli na Telegramie. Nie chodzi o okup. Chodzi o pokazanie, że da się zmienić parametr fizycznego procesu w polskiej gminie.

Chronologia z ostatnich dwóch lat, zestawiona z komunikatów Łukasiewicz: Poznańskiego Instytutu Technologicznego, CERT Polska, forsal.pl i CyberDefence24:

• 2024 r.: ingerencje w oczyszczalnie ścieków w Wydminach i Kuźnicy.
• Luty 2025 r.: stacje uzdatniania wody w Tolkmicku, Małdytach i Sierakowie. Z nagrania udostępnionego przez hakerów wynika, że ustawili do maksymalnych wartości wszystkie parametry, np. ciśnienie, objętość przefiltrowanej wody na filtr czy czas sedymentacji, i zmienili PIN-y dostępowe do urządzeń. CERT Polska ocenił, że atak był możliwy przez błędną konfigurację urządzenia dostępnego z internetu⁷.
• Wielkanoc 2025 r.: w ciągu kilku dni udaremniono siedemnaście prób ataków na podmioty zarządzające wodociągami, jedna okazała się skuteczna. Były też ataki na szpitale i kotłownie. Minister Gawkowski mówił wtedy w TVN24, że nie jest już atakowany tylko system wejścia, żeby ukraść dane, tylko trwa głębsza infiltracja, żeby coś zablokować albo wyłączyć, np. wodę albo energię.
• 7 maja 2025 r.: stacja uzdatniania wody w Szczytnie. Tego samego dnia na ulicy Ogrodowej wystąpiła awaria sieci wodociągowej, co może, choć nie musi, mieć związek z atakiem.
• 9 maja 2025 r.: bioreaktor w Nowym Mieście Lubawskim i elektrownia wodna w Gdańsku. W obu przypadkach próby manipulacji parametrami bez skutków dla pracy urządzeń; w Gdańsku hakerzy nie uzyskali pełnego dostępu do panelu.
• 10 sierpnia 2025 r.: kolejny atak na elektrownię wodną w okolicach Gdańska, którego skutkiem mogły być zakłócenia w dostawach wody dla miasta. Wiceminister Standerski opisywał wtedy próbę zakłócenia dostaw wody w jednym z największych polskich miast: hakerzy włamali się do systemu zarządzania siecią i zostali zatrzymani tuż przed wykonaniem komendy, która mogłaby zakręcić wodę mieszkańcom.
• 2025 r.: przejęcie panelu sterowania w oczyszczalni ścieków Chodaczów. Zmieniono parametry technologiczne instalacji, np. poziom ścieków w reaktorach; pracownicy szybko przywrócili ustawienia.
• 10 stycznia 2026 r.: Przedsiębiorstwo Energetyki Cieplnej w Rucianem-Nidzie.

Przypadek Rucianego-Nidy zasługuje na osobny akapit, bo to modelowy przykład spółki komunalnej. Około godziny 22:00-23:00 obsługa kotłowni dostała przez system powiadomień informację o zmianie nastawień kotła RK1 o mocy 1000 kW opalanego biomasą i natychmiast zareagowała. Nie doszło do zmiany ciśnienia i temperatury w układzie, drugi kocioł o mocy 800 kW pracował prawidłowo, odbiorcy nie odczuli skutków¹¹. Dwie rzeczy z tej historii są istotne dla każdego zarządu PEC. Po pierwsze, spółka otrzymała zgłoszenie o cyberataku od policji, najprawdopodobniej 13 stycznia, czyli trzy dni po zdarzeniu. Po drugie, Prokuratura Okręgowa w Olsztynie wszczęła śledztwo w sprawie uzyskania nieuprawnionego dostępu do systemu informatycznego sterującego pracą kotła⁵⁰. Za atakiem, według ustaleń CyberDefence24, stała grupa powiązana z Rosją.

Dr inż. Maciej Niemir z Łukasiewicz: PIT podsumował to jesienią 2025 r.: na razie ktoś to robi dla zabawy, testowo, dla zbudowania reputacji grupy przestępczej. Jego prognoza: będzie jeszcze gorzej⁷.

3.2. Sabotaż wiperem: energetyka, grudzień 2025

Największy jak dotąd atak na polską infrastrukturę energetyczną nie był ransomware. 29 grudnia 2025 r., w czasie śnieżyc i mrozów, atakujący uderzyli jednocześnie w co najmniej 30 farm wiatrowych i fotowoltaicznych oraz w dużą elektrociepłownię odpowiadającą za dostawy ciepła dla blisko pół miliona osób¹⁴.

Z raportu CERT Polska wynika, że operacja przeciwko elektrociepłowni była długotrwała: ślady aktywności sięgają marca 2025 r., a w lipcu 2025 r. atakujący wykonali zrzut całej bazy Active Directory. 29 grudnia połączyli się z kontrolerem domeny, umieścili w sieci archiwum z oprogramowaniem typu wiper i rozdystrybuowali je na maszyny przez dodatkową politykę GPO¹⁴. Na stacjach przyłączeniowych farm OZE uszkadzano firmware kontrolerów i kasowano pliki systemowe; wybrane urządzenia RTU i sterowniki zostały trwale uszkodzone, przez co stacje utraciły łączność z operatorem. Produkcja energii nie została przerwana, bo farmy generowały prąd lokalnie.

Premier Donald Tusk poinformował 15 stycznia 2026 r., że gdyby atak się powiódł, nawet 500 tys. ludzi zostałoby pozbawionych ciepła, ale infrastruktura krytyczna nie była zagrożona i blackout nie wchodził w rachubę. Twardych dowodów na sprawstwo nie ma, ale, jak mówił, nie mamy wątpliwości co do źródeł inspiracji^[72]. Firma ESET wiązała użyty wiper (DynoWiper) z grupą Sandworm powiązaną z GRU. Gawkowski w RMF FM nazwał to największym atakiem na sektor energetyki w ostatnich latach.

Dlaczego to ważne dla samorządów? Bo elektrociepłownie ogrzewające miasta to w dużej części spółki komunalne lub spółki z udziałem gmin, a rozproszone OZE coraz częściej należą do gmin, klastrów energii i spółek komunalnych.

3.3. Ransomware w urzędzie

W pierwszym półroczu 2026 r. CyberDefence24 opisał cztery ataki ransomware na najniższy szczebel samorządu: Obrazów (luty), Myszków (marzec), Lewin Kłodzki (maj) i Nowa Ruda (czerwiec). Dwa z nich były przedmiotem odpowiedzi wiceministra cyfryzacji Pawła Olszewskiego na interpelację posłanki Urszuli Pasławskiej.

Obrazów: 9 lutego 2026 r. złośliwe oprogramowanie zaszyfrowało część danych na serwerach urzędu, co spowodowało paraliż systemów IT. Sieć telefoniczną przywrócono 17 lutego. Po weryfikacji urząd ustalił wysokie ryzyko, że sprawcy wykradli dane osobowe mieszkańców. Portal odnotował, że gmina informowała o incydencie niezwłocznie i obszernie przez BIP, stronę i media społecznościowe, co uznał za wzór dla wielu dużych przedsiębiorstw. Równolegle pojawili się oszuści wyłudzający dane od mieszkańców "w związku z atakiem".

Nowa Ruda: 23 czerwca 2026 r. ransomware zaszyfrował część danych na komputerach pracowników oraz środowisko wirtualizacyjne obsługujące systemy urzędu. Nie wykluczono nieuprawnionego dostępu do danych osobowych.

Wcześniejsze przypadki z 2024 r. to m.in. Starostwo Powiatowe w Jędrzejowie (grupa RansomHub), gdzie po roku wciąż nie było wiadomo, czy dane wyciekły, oraz Urząd Pracy w Policach¹⁹.

3.4. Wyciek danych w spółce transportowej

3 grudnia 2024 r. MPK Kraków poinformowało o "awarii informatycznego systemu sprzedażowego biletów". W rzeczywistości był to cyberatak "międzynarodowej grupy hakerskiej przeprowadzającej na zlecenie ataki na przedsiębiorstwa", co wskazuje na model ransomware-as-a-service. Podejrzewano wyciek danych pracowników i pasażerów.

23 czerwca 2026 r. Międzygminny Związek Komunikacyjny w Jastrzębiu-Zdroju rozesłał pasażerom SMS o naruszeniu obejmującym imię i nazwisko, adres zamieszkania, adres e-mail oraz numer PESEL. Związek zalecił zastrzeżenie numeru PESEL w mObywatelu i ostrzegł przed telefonami i wiadomościami "wymagającymi pilnego działania". Komentarze pod artykułem lokalnego portalu pokazują drugi wymiar takiego incydentu: pytania mieszkańców, po co przewoźnikowi PESEL, zapowiedzi pozwów i skarg do UODO.

Wzorzec jest podobny w obu przypadkach: system sprzedaży biletów lub karty mieszkańca gromadzi komplet danych identyfikacyjnych, a spółka transportowa rzadko ma własny zespół bezpieczeństwa.

4. Dlaczego samorząd jest łatwym celem

Po pierwsze, technologia operacyjna. Sterowniki PLC, panele HMI i systemy SCADA w stacjach uzdatniania wody, przepompowniach i kotłowniach były projektowane do pracy w odizolowanych sieciach. Zdalny dostęp dla serwisanta wystawiony bezpośrednio do internetu, domyślne hasła i brak logowania zmian nastaw to konfiguracja, którą CERT Polska wskazał jako przyczynę lutowych ataków na SUW. "Puls Biznesu" ocenił poziom zabezpieczeń sieci wodociągowych przed atakami jako bardzo niski.

Po drugie, ludzie i pieniądze. NIK w kontroli projektu "Cyberbezpieczny Samorząd" (lipiec 2026) stwierdziła, że w ośmiu z siedemnastu skontrolowanych urzędów nie przeprowadzono w 2023 lub 2024 r. obowiązkowego audytu bezpieczeństwa informacji albo przeprowadzono go nierzetelnie, co tłumaczono brakiem pracowników z niezbędną wiedzą. W ponad połowie urzędów nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji wymaganego rozporządzeniem KRI. Inne ustalenia: niewłaściwe zabezpieczenie serwerowni (w tym przechowywanie w nich materiałów łatwopalnych), nieodbieranie uprawnień byłym pracownikom, niewłaściwe kopie zapasowe.

Po trzecie, brak widoczności. Zarówno operatorzy usług kluczowych z kontroli NIK, jak i PEC w Rucianem-Nidzie dowiadywali się o incydentach od zewnętrznych podmiotów: od policji, z Telegramu, z alertów, których nikt nie czytał¹¹.

Po czwarte, luka prawna. Jak zauważa IT w Administracji, w przypadku spółek komunalnych do niedawna w ogóle nie istniały przepisy dotyczące cyberbezpieczeństwa, bo nie obejmowała ich ustawa o informatyzacji, a administracja publiczna nie była kwalifikowana do operatorów usług kluczowych, z wyjątkiem podmiotów dostarczających wodę czy świadczących opiekę zdrowotną.

Agnieszka Olbrycht-Banach mówiła podczas CYBERSEC EXPO 2026, że samorząd to dużo więcej niż urząd: to szkoły, poradnie psychologiczne z wrażliwymi danymi, przedsiębiorstwa wodno-kanalizacyjne, ciepło i wiele innych obszarów, w których cyberatak realnie wpływa na życie mieszkańców. Pierwsze 60 minut po ataku może zdecydować o wodzie, cieple i szkołach.

5. Nowelizacja KSC: co się zmieniło 3 kwietnia 2026 r.

19 lutego 2026 r. prezydent podpisał nowelizację ustawy o krajowym systemie cyberbezpieczeństwa wdrażającą dyrektywę NIS2. Ustawa weszła w życie 3 kwietnia 2026 r. Skierowanie jej do Trybunału Konstytucyjnego nie wstrzymało obowiązywania: do czasu ewentualnego rozstrzygnięcia obowiązuje w całości. Skala zmiany: ponad 10 tys. podmiotów wobec ok. 400 operatorów usług kluczowych pod poprzednią wersją. Związek Powiatów Polskich szacował wcześniej, że nowe przepisy obejmą blisko 40 tys. podmiotów z 18 branż, a liczba może być niedoszacowana.

Nowelizacja odeszła od modelu "operatorów usług kluczowych" i wprowadziła dwa poziomy: podmioty kluczowe i podmioty ważne. Od statusu zależy m.in. obowiązek audytu i progi sankcji.

Harmonogram według komunikatów Ministerstwa Cyfryzacji²³:

• 13 kwietnia 2026 r.: uruchomienie Wykazu podmiotów kluczowych i ważnych (aplikacja wykaz-ksc.gov.pl).
• 13 kwietnia: 6 maja 2026 r.: wpisy z urzędu przez Ministra Cyfryzacji, m.in. dla jednostek publicznych.
• 7 maja: 3 października 2026 r.: samoidentyfikacja i wpis własny. Podmiot, który spełniał kryteria w dniu wejścia w życie ustawy, ma czas do 3 października 2026 r. Zmiany danych zgłasza się w 14 dni.
• Do 3 kwietnia 2027 r.: wdrożenie pełnych obowiązków: SZBI i polityki bezpieczeństwa, zarządzanie ryzykiem, w tym ryzykiem łańcucha dostaw.
• 3 kwietnia 2028 r.: początek egzekucji kar pieniężnych; dla podmiotów kluczowych termin pierwszego audytu.

Komunikat MC z 11 maja 2026 r. zapowiadał kolejne tury wpisów z urzędu i wezwań do uzupełnienia danych, m.in. dla samorządowych instytucji kultury.

6. Kto z komunalnych podlega i jak

To pytanie, które w ostatnich miesiącach zadaje sobie każdy prezes ZGK, PEC i MPK. Odpowiedź zależy od trzech rzeczy: sektora z załączników, wielkości podmiotu i wyjątków z art. 5.

Wod-kan. Niemal każde przedsiębiorstwo wodociągowo-kanalizacyjne zostało zakwalifikowane jako podmiot kluczowy, bo dostawa wody pitnej i odprowadzanie ścieków są usługami o znaczeniu strategicznym. Jeśli wodociągi prowadzi odrębna spółka komunalna, ocenia się ją osobno według art. 5: duża to podmiot kluczowy, średnia to podmiot ważny, mała i mikro co do zasady poza KSC. Ale nawet mała spółka jako dostawca dla podmiotu kluczowego, np. innej gminy w ramach umowy międzygminnej, może być pośrednio związana wymogami zarządzania ryzykiem łańcucha dostaw.

Wyjątki od progów wielkości. Organ może wskazać podmiot indywidualną decyzją, np. jedynego dostawcę usługi istotnej albo podmiot, którego zakłócenie miałoby istotny wpływ na bezpieczeństwo publiczne, a lokalny monopol na dostawę wody bywa dokładnie taką usługą. Podmiot uznany za krytyczny w reżimie odporności (CER) podlega KSC niezależnie od wielkości.

Gmina z własnym wodociągiem. Aktualizacja Q&A Ministerstwa Cyfryzacji z czerwca 2026 r. odpowiada na pytanie, czy urząd gminy, w którego strukturze funkcjonuje Zakład Obsługi Komunalnej dostarczający wodę i odbierający ścieki, jest podmiotem kluczowym, czy tylko ważnym publicznym. Odpowiedź: kluczowym. Niepozorny zakład komunalny czyni z całego urzędu podmiot kluczowy.

Pozostałe spółki komunalne. Podmioty ważne to mniejsze urzędy, spółki komunalne i samorządowe jednostki organizacyjne. Spółki komunalne wykonujące zadania o charakterze użyteczności publicznej oceniane są indywidualnie według art. 5 ust. 2 pkt 8 jako podmioty ważne publiczne, stosujące uproszczony SZBI z załącznika nr 4.

Urzędy. Załącznik nr 1 w sektorze administracji publicznej wymienia starostwa powiatowe bez progu wielkościowego i urzędy gmin zatrudniające co najmniej 50 osób w pełnym wymiarze. Miasta na prawach powiatu pełnią funkcję starostwa, więc kwalifikują się jako podmioty kluczowe. Gmina poniżej 50 etatów w urzędzie jest podmiotem ważnym publicznym. Jednostki publiczne są wpisywane do wykazu z urzędu, a zadaniem JST jest weryfikacja i aktualizacja danych do 3 października 2026 r..

Ministerstwo Cyfryzacji opublikowało instrukcję samoidentyfikacji w trzech krokach: porównanie faktycznie prowadzonej działalności z sektorami z załączników nr 1 i 2, określenie wielkości podmiotu z uwzględnieniem przedsiębiorstw partnerskich i powiązanych, analiza art. 5 wraz z sytuacjami szczególnymi. Wynikiem ma być udokumentowane uzasadnienie: kluczowy, ważny albo nieobjęty.

7. Obowiązki i kary: co realnie zmienia się dla zarządu

Zgłaszanie incydentów. Model jest wieloetapowy: wczesne ostrzeżenie w ciągu 24 godzin, pełna informacja w 72 godziny, raport końcowy. Także w nocy i w weekend. Zgłoszenia idą przez system S46 do właściwego CSIRT; dla samorządów i większości podmiotów komunalnych jest to CSIRT NASK³³.

SZBI i analiza ryzyka. Inwentaryzacja zasobów, analiza ryzyka, plan postępowania z ryzykiem, aktualizowane po każdej istotnej zmianie. System, który ktoś faktycznie stosuje, a nie segregator z szablonami.

Audyt. Podmioty kluczowe: audyt zewnętrzny co 3 lata, pierwszy w ciągu 24 miesięcy od uznania za kluczowy.

Łańcuch dostaw i dostawcy wysokiego ryzyka. Ustawa nakłada obowiązek weryfikacji bezpieczeństwa produktów i usług ICT, a więc również sterowników PLC, kontrolerów PAC, systemów SCADA i oprogramowania inżynierskiego. Jeśli urządzenia w stacji uzdatniania wody lub przepompowni pochodzą od dostawcy uznanego za dostawcę wysokiego ryzyka, podmiot ma obowiązek wycofać je z użytkowania, zwykle w terminie do 7 lat od decyzji.

Odpowiedzialność kierownictwa. Zarządca nie musi znać się na programowaniu sterowników, ale musi zatwierdzić dokumenty zarządzania ryzykiem, zapewnić budżet na monitoring OT, przejść obowiązkowe szkolenie z cyberbezpieczeństwa i ponosić odpowiedzialność za terminowe raportowanie. Brak raportowania w terminie lub niedopełnienie obowiązków może skutkować karą dla zarządcy do 300% jego miesięcznego wynagrodzenia. Od 3 kwietnia 2026 r. wójt, burmistrz i prezydent miasta ponoszą osobistą odpowiedzialność za stan cyfrowego bezpieczeństwa samorządu na podstawie art. 8c.

Kary dla podmiotów. Większość podmiotów publicznych nie ma przychodów z działalności gospodarczej, więc zamiast procentu od obrotu stosuje się podstawę ryczałtową: równowartość 500 tys. EUR dla podmiotu kluczowego i 250 tys. EUR dla ważnego. Art. 74 ust. 6 zobowiązuje ministra cyfryzacji do corocznego raportowania Komisji Wspólnej Rządu i Samorządu o wpływach z kar nałożonych na samorządowe podmioty publiczne, co potwierdza, że ustawodawca zakłada realne karanie samorządów. Kary pieniężne mogą być nakładane dopiero po 3 kwietnia 2028 r..

Dla porównania: prezes UODO już wcześniej karał samorządy za rażące błędy w zabezpieczeniach danych sankcjami rzędu 30-50 tys. zł.

8. Pieniądze: co dostały samorządy i co z tego wynika

Cyberbezpieczny Samorząd. Program uruchomiony w 2023 r. z FERC, realizowany przez CPPC z NASK. Granty od 200 tys. zł dla najmniejszych gmin do 850 tys. zł dla największych. Do końca 2024 r. podpisano wszystkie 2495 umów o łącznej wartości 1 474 312 573,61 zł; do 20 czerwca 2025 r. przekazano ponad 977 mln zł. Realizacja do 30 czerwca 2026 r.³⁶. Wnioski złożyło 90% uprawnionych jednostek.

NIK skontrolowała ten projekt (P/25/003) i opublikowała wyniki 21 lipca 2026 r. Wniosek główny: realizacja przebiegała zgodnie z procedurami, ale nie wiadomo, w jakim stopniu przyczyniła się do zwiększenia bezpieczeństwa. CPPC nie wymagało audytu bezpieczeństwa ani przed przyznaniem grantu, ani po zakończeniu prac. Granty przyznawano na podstawie samooceny, niejednokrotnie błędnej. Wskaźniki projektu powiązano z liczbą zakupów i przeszkolonych osób, a nie ze wzrostem odporności. 13 z 15 zbadanych wniosków o rozliczenie NASK zatwierdził mimo poważnych błędów. Na nowych serwerach dopuszczono uruchamianie systemów dziedzinowych obok systemów bezpieczeństwa, co NIK uznała za sprzeczne z rozporządzeniem KRI. Na dzień 31 sierpnia 2025 r. wykorzystano 1,122 mld zł, czyli 62,4% budżetu.

Cyberbezpieczne Wodociągi. Konkurs z KPO (inwestycja C3.1.1) dla podmiotów zbiorowego zaopatrzenia w wodę wykorzystujących OT: przedsiębiorstw wod-kan będących operatorami usług kluczowych, spółek prawa handlowego wykonujących zadania użyteczności publicznej oraz jednostek sektora finansów publicznych. Nabór trwał od 1 września do 2 października 2025 r. Wpłynęło 899 wniosków na blisko 790 mln zł, z czego 622 (69%) od spółek z o.o. na ok. 576 mln zł, 155 od gmin lub ich związków, 105 od gminnych jednostek organizacyjnych. Pula została przebita 2,5-krotnie; ostatni wniosek wpłynął dwie minuty przed zamknięciem systemu. 10 lutego 2026 r. CPPC rozstrzygnęło konkurs i przyznało dofinansowanie 688 projektom. Do 13 kwietnia 2026 r. podpisano ponad 400 umów i zlecono wypłatę ponad 140 mln zł. Całkowita wartość programu to ponad 613 mln zł.

Lokalne Centra Cyberbezpieczeństwa. Ministerstwo Cyfryzacji zapowiedziało projekt o wartości ok. 270 mln zł na lata 2025-2029, mający dać systemowe wsparcie mniejszym jednostkom. Na lata 2025-2026 zaplanowano 8 tys. szkoleń dla kadr publicznych.

Strategia. Przyjęta w marcu 2026 r. Strategia Cyberbezpieczeństwa RP do 2029 r. zapowiada kontynuację programu "Cyberbezpieczny Samorząd".

Wniosek z tych liczb jest podwójny. Pieniądze były i są duże. Ale bez audytu "przed" i "po", bez wskaźników mierzących realną odporność, wydatki na sprzęt nie muszą przełożyć się na to, że stacja uzdatniania wody przestanie być dostępna z Telegramu.

9. Co robić przed 3 października i po nim

Z rozmów z branżą (webinaria Abrys dla spółek komunalnych, sesje EEC 2026 o spółkach komunalnych) i z komunikatów resortu wyłania się prosta kolejność⁴⁴:

1. Samoidentyfikacja i wpis. Ustalić status według instrukcji MC, udokumentować uzasadnienie, zweryfikować dane w wykazie, wyznaczyć osobę kontaktową dla CSIRT. Termin: 3 października 2026 r.
2. Audyt gotowości. Zmierzyć dystans między stanem obecnym a wymogami ustawy, uszeregować luki według ryzyka i kosztu, przygotować mapę drogową z budżetem do kwietnia 2027 r.
3. OT w pierwszej kolejności. Inwentaryzacja urządzeń dostępnych z internetu, VPN z MFA, zmiana domyślnych haseł i PIN-ów, logowanie każdej zmiany trybu pracy PLC (Run/Stop/Term), uploadu programu i wymuszeń na wejściach/wyjściach. ASTOR wskazuje właśnie te kategorie zdarzeń jako minimum monitoringu OT.
4. Backup i ciągłość działania. Kopie niezmienialne lub offline, testowe odtworzenie środowiska wirtualizacji, plan pracy bez systemów przez dwa tygodnie. Przypadki Obrazowa i Nowej Rudy pokazały, że bez tego urząd stoi.
5. Pierwsze 60 minut. Kto dzwoni do CSIRT NASK, kto zgłasza do UODO, kto informuje mieszkańców i media, kto odcina sieć. Zgłoszenie wstępne w 24 godziny wymaga dyżuru.
6. Relacja JST: spółka. Gmina jako właściciel powinna wiedzieć, jaki status w KSC ma każda jej spółka i czy spółka wodociągowa nie czyni z urzędu podmiotu kluczowego. Analizę ryzyka spółki trzeba połączyć z gminnym planem zarządzania kryzysowego.

Beata Halama, prezes Wodociągów Ziemi Cieszyńskiej, mówiła przed EEC 2026, że branża wodociągowa jako spółki poradzi sobie z tymi wymaganiami lepiej niż jako zakłady budżetowe, ale skala inwestycji zależy od wielkości podmiotu. To realny problem: ok. 1900 przedsiębiorstw wod-kan, z których większość to małe spółki gminne bez informatyka na etacie.

10. Podsumowanie

Trzy zdania na koniec. Ataki na infrastrukturę komunalną w Polsce nie są scenariuszem z ćwiczeń: w 2025 r. i 2026 r. udokumentowano manipulacje parametrami w co najmniej dziesięciu obiektach wod-kan i ciepłowniczych, wiper w energetyce, cztery sparaliżowane urzędy gmin i dwa wycieki danych pasażerów. Państwo odpowiedziało pieniędzmi (ponad 2 mld zł w trzech programach) i prawem (nowelizacja KSC), ale NIK pokazała, że ani nadzór ministrów, ani rozliczanie grantów nie sprawdzały, czy odporność faktycznie rośnie. Od 3 kwietnia 2026 r. ten ciężar spoczywa na zarządach spółek i na wójtach osobiście, a 3 października mija pierwszy termin.