Noc przed świętem
We wtorek 10 listopada wieczorem wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował, że wykryto i zatrzymano cyberatak na państwowy system ePUAP. W nocy z wtorku na środę platformę prewencyjnie odłączono. Resort zapewniał, że zabezpieczenia nie zostały przełamane, a wyłączenie było decyzją administratorów, którzy chcieli mieć pewność, że dalsza praca systemu będzie bezpieczna. Infrastruktura Centralnego Ośrodka Informatyki ma być nienaruszona, a sprawę bada także Agencja Bezpieczeństwa Wewnętrznego. W środę rano ministerstwo nie podawało terminu pełnego przywrócenia usługi.
Sam incydent skończył się dobrze. Pokazał jednak, że 108 lat po odzyskaniu niepodległości o tym, czy obywatel załatwi sprawę urzędową, decyduje też to, czy państwo utrzyma kontrolę nad własnym systemem informatycznym.
Skala: 273 tysiące incydentów w rok
Sprawozdanie Pełnomocnika Rządu ds. Cyberbezpieczeństwa za 2025 r. podaje, że trzy krajowe zespoły reagowania - CSIRT NASK, CSIRT GOV i CSIRT MON - otrzymały 682 245 zgłoszeń i obsłużyły 272 941 incydentów. To wzrost o 144,4 proc. rok do roku. W 2024 r. incydentów było 111 660.
Najwięcej, bo 260 783, zarejestrował CSIRT NASK, czyli zespół CERT Polska odpowiedzialny za cywilną część polskiego internetu. Średnio obsługiwał 714 incydentów dziennie, rok wcześniej 283. Około 97 proc. z nich to oszustwa komputerowe: phishing, fałszywe inwestycje, podszywanie się pod banki i urzędy. To ważne zastrzeżenie. Te liczby nie oznaczają 273 tysięcy ataków obcych państw, bo większość to przestępczość nastawiona na zysk.
W tej masie są jednak zdarzenia innego rodzaju. CERT Polska odnotował w 2025 r. 179 ataków ransomware, czyli średnio jeden co dwa dni, oraz blisko 3,5 tys. incydentów ze złośliwym oprogramowaniem, o 81 proc. więcej niż rok wcześniej. Wojskowy CSIRT MON obsłużył 7125 incydentów (wzrost o 69 proc.), a prowadzony przez ABW CSIRT GOV 5033 (wzrost o 26 proc.).
Wicepremier Gawkowski mówi o cyfrowej wojnie i ocenia, że Polska jest dziś najczęściej atakowanym państwem Unii Europejskiej. W TVN24 stwierdził, że „codziennie na Polskę spada kilka tysięcy ataków, incydentów”, a duża ich część dotyczy infrastruktury krytycznej: energii, kanalizacji i gazu.
29 grudnia 2025: atak, który miał odciąć ciepło
Najpoważniejszy znany incydent ostatnich lat wydarzył się 29 grudnia 2025 r. Rano i po południu, w czasie mrozów i śnieżyc, ktoś jednocześnie uderzył w co najmniej 30 farm wiatrowych i fotowoltaicznych, w dużą elektrociepłownię dostarczającą ciepło prawie pół milionowi odbiorców oraz w prywatną firmę produkcyjną. Miesiąc później CERT Polska opublikował szczegółowy raport.
Wynika z niego, że celem nie była kradzież ani okup, tylko zniszczenie. Analitycy porównali to do podpalenia. Na farmach atakowano stacje, przez które energia trafia do sieci dystrybucyjnej. Produkcja prądu nie została przerwana, ale zerwano łączność między obiektami a operatorami sieci. W elektrociepłowni użyto oprogramowania typu wiper, które nieodwracalnie kasuje dane. Napastnik był w jej sieci co najmniej od marca 2025 r., kradł informacje i rozpoznawał systemy sterowania. Dostaw ciepła nie udało mu się przerwać, bo złośliwy program został rozpoznany i zablokowany przez oprogramowanie ochronne. W uzupełnieniu raportu CERT Polska opisał też atak na drugą, mniejszą elektrociepłownię, do której napastnik przeszedł z sieci farmy wiatrowej.
Kto za tym stał? CERT Polska wskazał, że użyta infrastruktura pokrywa się z grupą opisywaną jako Static Tundra, Berserk Bear lub Dragonfly, wiązaną z rosyjską Federalną Służbą Bezpieczeństwa. Słowacka firma ESET przypisała użyty wiper, nazwany DynoWiper, grupie Sandworm powiązanej z wywiadem wojskowym GRU i zastrzegła średni poziom pewności. Oba tropy prowadzą do Rosji, różnią się wskazaniem służby.
Wnioski techniczne były mało efektowne. Napastnik wszedł przez konta dostępowe na urządzeniach sieciowych, które nie miały włączonego uwierzytelniania dwuskładnikowego.
Woda, lodówki i nawigacja
Energetyka nie jest jedynym celem. W 2025 r. zaatakowano kilka stacji uzdatniania wody, między innymi w Tolkmicku, Małdytach, Sierakowie i Szczytnie. Sprawcy zmieniali parametry pracy urządzeń, a nagrania z ataków publikowali na rosyjskojęzycznych kanałach w Telegramie. W sierpniu 2025 r. służby udaremniły próbę ataku, który mógł pozbawić wody jedno z dużych polskich miast. Mówili o tym publicznie wicepremier Gawkowski i wiceminister cyfryzacji Dariusz Standerski. Rząd odpowiedział programem „Cyberbezpieczne Wodociągi” z budżetem ponad 300 mln zł z KPO, a największe przedsiębiorstwa wodociągowe utworzyły wspólne centrum wymiany informacji o zagrożeniach.
Najświeższy przykład pochodzi sprzed kilku dni. Na przełomie października i listopada 2026 r. przez Europę przeszła fala ataków na systemy chłodnicze w sklepach. Awarie zgłoszono w prawie 700 placówkach we Francji, Szwecji, Belgii i Luksemburgu, a ktoś zdalnie podnosił temperaturę w lodówkach i zamrażarkach. W Polsce CERT Polska znalazł 140 takich urządzeń dostępnych wprost z internetu i potwierdził atak na mały sklep spożywczy oraz dystrybutora żywności. Auchan Polska potwierdził nieprawidłowości w sterowaniu chłodzeniem w trzech sklepach. Sterownik lodówki nie jest infrastrukturą krytyczną, ale mechanizm jest ten sam co w energetyce: urządzenie podłączone do sieci, domyślne hasło i brak nadzoru.
Trzeci front widać nad Bałtykiem. Stacja pomiarowa Instytutu Łączności w Gdańsku rejestruje zakłócenia sygnałów nawigacji satelitarnej od stycznia 2024 r., ale w 2026 r. sytuacja wyraźnie się pogorszyła. W maju i czerwcu wielogodzinne zakłócenia we wszystkich pasmach występowały przez około 70 proc. dni w miesiącu. Według informacji przekazanych przez Litwę liczba anten służących do fałszowania sygnału w obwodzie królewieckim wzrosła z kilku na początku 2025 r. do kilkudziesięciu, a ich zasięg może sięgać 450 km. Skutki odczuwają żegluga, lotnictwo, operatorzy dronów i zwykli użytkownicy map w telefonach.
Druga zależność: technologie kupowane u sojuszników
Zagrożenie ze Wschodu jest oczywiste. Mniej oczywiste jest to, że niepodległość cyfrowa ma też drugi wymiar: zależność od dostawców, którzy są naszymi sojusznikami.
Komisja Europejska przyznaje, że Unia jest zależna od dostawców spoza Europy w ponad 80 proc. produktów, usług i infrastruktury cyfrowej. Ponad 70 proc. europejskiego rynku chmury obsługują trzy amerykańskie firmy. Według szacunków przywoływanych przy unijnym pakiecie z Europy wypływa co roku około 264 mld euro za amerykańskie usługi chmurowe i oprogramowanie.
Dlaczego to problem, pokazał przypadek Międzynarodowego Trybunału Karnego. Po nałożeniu przez USA sankcji na głównego prokuratora Karima Khana w 2025 r. przestało działać jego konto pocztowe w usłudze Microsoftu. Firma zaprzeczała, że odcięła Trybunał od usług, i zapowiedziała zmiany procedur, ale w Europie sprawa stała się symbolem ryzyka: decyzja polityczna innego państwa może wyłączyć narzędzie pracy europejskiej instytucji.
Część administracji wyciągnęła z tego wnioski. Niemiecki land Szlezwik-Holsztyn przeniósł pocztę ponad 40 tys. skrzynek na otwarte oprogramowanie, a pakiet LibreOffice działa tam już na blisko 80 proc. stanowisk poza administracją skarbową. Land podaje, że oszczędza na licencjach ponad 15 mln euro rocznie. 3 czerwca 2026 r. Komisja Europejska przedstawiła pakiet na rzecz suwerenności technologicznej, w tym projekt Cloud and AI Development Act z czterema poziomami suwerenności dla chmury używanej przez instytucje publiczne.
A Polska? Raport „Cyfrowa racja stanu”, przygotowany w lipcu 2026 r. przez Polską Sieć Ekonomii, szacuje, że deficyt Polski w handlu produktami cyfrowymi przekroczył w 2025 r. 60 mld zł. Administracja publiczna wydała w 2024 r. ponad 7 mld zł na budowę i utrzymanie systemów teleinformatycznych, a koszty licencji i usług chmurowych rosną średnio o 12 proc. rocznie. Autorzy prognozują, że do 2030 r. import technologii cyfrowych będzie kosztował Polskę więcej niż import wszystkich surowców energetycznych. Trzeba przy tym pamiętać, że raport powstał na zlecenie Związku Pracodawców Polska Chmura, czyli krajowych dostawców, którzy na zmianie zasad by skorzystali. Współautorka raportu Maria Świetlik ujęła problem tak: „Bez kontroli nad nią państwo traci zdolność do samodzielnego działania”. Mówiła o infrastrukturze cyfrowej.
Podobnie jest z łącznością satelitarną. Polska od lat opłaca terminale i abonamenty Starlink dla Ukrainy. W sierpniu 2026 r., po tym jak Starlink wyłączył Polskę z listy krajów objętych roamingiem, minister spraw zagranicznych Radosław Sikorski zagroził, że rząd może przemyśleć płacenie firmie Elona Muska około 50 mln dolarów rocznie. Spór pokazał, że usługa ważna dla bezpieczeństwa regionu zależy od decyzji jednego prywatnego przedsiębiorcy.
Wojna o to, co myślimy
Niepodległość cyfrowa to także przestrzeń informacyjna. W 2025 r. NASK zgłosił platformom społecznościowym ponad 46 tys. materiałów zawierających dezinformację. Usunięto 12 proc. z nich, a na 20 proc. zgłoszeń platformy nie zareagowały w ogóle. Z badania fundacji Digital Poland z czerwca 2026 r. wynika, że 77 proc. Polaków uważa dezinformację za poważny problem, a 47 proc. ocenia operacje wpływu jako zagrożenie porównywalne z atakiem zbrojnym.
Państwo ma tu ograniczone narzędzia, bo zasady moderacji ustalają same platformy. Spór o to, jak je uregulować, trwa cały rok. 9 stycznia 2026 r. prezydent Karol Nawrocki zawetował ustawę wdrażającą unijny Akt o usługach cyfrowych. Argumentował, że dawałaby urzędnikom zbyt dużą władzę nad treściami w sieci. Ministerstwo Cyfryzacji odpowiadało, że weto osłabia prawa użytkowników wobec platform. Weto pochwalił publicznie ambasador USA w Polsce Tom Rose. We wrześniu prezydent podpisał pierwszą z dwóch nowych ustaw wdrażających te przepisy. Niezależnie od oceny samej ustawy ta historia pokazuje, że regulacje cyfrowe stały się tematem relacji między państwami.
Co Polska już zbudowała
Byłoby nieuczciwie pisać tylko o słabościach. W ostatnich dwunastu miesiącach wydarzyło się dużo.
Prawo. 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2. Sejm uchwalił ją 23 stycznia głosami 407 posłów, prezydent podpisał 19 lutego. Ustawa obejmuje obowiązkami znacznie więcej firm i instytucji oraz wprowadza procedurę uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. 10 marca rząd przyjął Strategię Cyberbezpieczeństwa RP na lata 2025-2029.
Pieniądze. Według wicepremiera Gawkowskiego w 2026 r. Polska wyda na cyberbezpieczeństwo ponad 5 mld zł, wobec ponad 4 mld zł rok wcześniej. Sam minister zestawia to z 200 mld zł na wojsko.
Własne narzędzia. Ministerstwo Cyfryzacji i NASK uruchomiły mSzyfr, szyfrowany komunikator dla administracji działający na krajowej infrastrukturze. W maju 2026 r., po kampaniach phishingowych wymierzonych w konta urzędników w Signalu, Pełnomocnik Rządu ds. Cyberbezpieczeństwa zarekomendował przejście na mSzyfr i na system łączności niejawnej SKR-Z. Od 31 grudnia 2025 r. w aplikacji mObywatel, z której korzysta ponad 12 mln osób, działa wirtualny asystent oparty na polskim modelu językowym PLLuM.
Moc obliczeniowa. Pierwszą polską fabryką sztucznej inteligencji jest poznańska PIAST AI Factory. 11 maja 2026 r. w krakowskim Cyfronecie AGH ruszyła druga, Gaia AI Factory, jedna z 19 takich fabryk w Europie. Projekt ma wartość około 70 mln euro, po połowie z budżetu Polski i Unii.
Łączność. 21 lipca 2026 r. Polska podpisała umowę o udziale w europejskiej konstelacji satelitarnej IRIS2. Wkład to 656 mln euro, czyli około 2,8 mld zł z KPO, blisko jedna dziesiąta kosztów całego programu. W Warszawie powstanie stacja naziemna z centrum dowodzenia połączona z rządową siecią GovNet. Pierwsze usługi mają być dostępne w 2029 r., pełne zdolności w latach 2031-2032. Szef MSWiA Marcin Kierwiński zapowiedział: „Wtedy Polska będzie całkowicie niezależna komunikacyjnie”.
Zakupy. 2 czerwca 2026 r. premier Donald Tusk zapowiedział test suwerenności dla państwowych zakupów technologii powyżej 5 mln zł i inwestycji infrastrukturalnych powyżej 15 mln zł. Każdy taki projekt ma być sprawdzany pod kątem tego, czy zostawia państwu kontrolę nad własnymi systemami i danymi. Premier tłumaczył: „Chodzi o to, aby nie być uzależnionym od wąskiej grupy dostawców”.
Czego wciąż brakuje
Lista otwartych spraw jest równie długa.
Po pierwsze, część nowych przepisów nie jest przesądzona. Podpisując ustawę o KSC, prezydent zapowiedział skierowanie przepisów o dostawcach wysokiego ryzyka do Trybunału Konstytucyjnego w trybie kontroli następczej. To właśnie te przepisy pozwalają usuwać z sieci sprzęt uznany za niebezpieczny.
Po drugie, test suwerenności jest na razie zapowiedzią. Autorzy raportu „Cyfrowa racja stanu” zwracają uwagę, że w publicznych programach finansowania cyfryzacji nie ma dziś kryteriów oceny suwerenności, i proponują, by decydowało nie samo kryterium kwoty, ale to, jak krytyczny dla państwa jest dany system.
Po trzecie, pieniądze. Projekt podatku cyfrowego, skierowany do konsultacji 31 lipca 2026 r., zakłada 3-procentową daninę od przychodów największych firm technologicznych i według resortu cyfryzacji dałby budżetowi około 31,7 mld zł w dziesięć lat. Strona amerykańska sprzeciwia się projektowi, a sam wicepremier przyznaje, że w rządzie nie ma w tej sprawie pełnej zgody.
Po czwarte, najsłabsze ogniwa są na dole. Grudniowy atak na energetykę i listopadowe ataki na lodówki mają wspólny mianownik: małe obiekty, zdalny dostęp, brak podstawowych zabezpieczeń. Sprawozdanie pełnomocnika mówi też wprost o brakach kadrowych i finansowych w systemie. Żadna strategia nie zastąpi ludzi, którzy potrafią zabezpieczyć sterownik w gminnej stacji uzdatniania wody.
Po piąte, czas. IRIS2 zacznie działać najwcześniej w 2029 r. Do tego momentu alternatywy dla dzisiejszych dostawców łączności satelitarnej są ograniczone.
Niepodległość to nie izolacja
Krytycy pojęcia suwerenności cyfrowej mają rację w jednym: kraj wielkości Polski nie zbuduje własnego systemu operacyjnego, własnych procesorów i własnej chmury na skalę globalnych gigantów. Nikt poważny tego nie proponuje. Premier mówił w Sopocie, że Polska sama nie wypełni tej przestrzeni własną produkcją, ale może zadbać o to, by mieć wybór między konkurującymi dostawcami. Wicepremier Gawkowski pisze o „sojuszu bez wasalizacji”, czyli o utrzymaniu relacji transatlantyckich bez rezygnacji z prawa do stanowienia własnych reguł.
W praktyce niepodległość cyfrowa oznacza kilka konkretnych zdolności. Państwo wie, gdzie są jego dane i kto ma do nich dostęp prawny. Może zmienić dostawcę bez paraliżu urzędu. Ma własną, niezależną łączność na czas kryzysu. Potrafi samo wykryć atak, odeprzeć go i odtworzyć system. Kluczowe rejestry i usługi działają na infrastrukturze, której nikt z zewnątrz nie może wyłączyć jedną decyzją.
Tak rozumiana niepodległość nie jest hasłem na święto, tylko listą zadań. W 1918 r. o suwerenności decydowały granice, wojsko i własna administracja. W 2026 r. do tej listy doszły serwerownie, satelity, kody źródłowe i ludzie, którzy potrafią ich bronić. Wydarzenia ostatnich dwunastu miesięcy - od ataku na elektrociepłownie po wyłączony w przeddzień święta ePUAP - pokazują, że bez tego pozostałe elementy niepodległości przestają wystarczać.