Sześćdziesiąt kilometrów od granicy z Ukrainą, w poniedziałek 6 lipca 2026 roku, Bank Gospodarstwa Krajowego ogłosił start naboru wniosków do części pożyczkowej Funduszu Bezpieczeństwa i Obronności. Miejsce wybrano nieprzypadkowo — pierwsza wiceprezes BGK prof. Marta Postuła inaugurowała program w Rzeszowie, a wojewoda podkarpacki Teresa Kubas-Hul przypomniała, że jej województwo wykorzystało w ubiegłym roku niemal w całości ponad 278 milionów złotych z Programu Ochrony Ludności i Obrony Cywilnej, a w tym roku ma do dyspozycji blisko 300 milionów, w większości już zakontraktowanych. Podkarpacie potrafi wydawać pieniądze na bezpieczeństwo, bo od czterech lat robi niewiele innego.

Trzy dni później, 9 lipca, na konferencji w Urzędzie Dzielnicy Bielany w Warszawie, wicepremier i minister cyfryzacji Krzysztof Gawkowski podał liczbę, która powinna zainteresować każdego wójta, burmistrza i prezesa spółki komunalnej w Polsce: ponad trzy miliardy złotych z Funduszu może trafić na budowanie odporności cyfrowej samorządów. Postuła dodała szczegół jeszcze ciekawszy — do banku wpłynęło już kilka wniosków, a dwa z nich, złożone przez jednostkę samorządową, dotyczą właśnie cyberbezpieczeństwa. Dwa. W skali kraju, w którym w pierwszym półroczu 2026 roku ransomware sparaliżował cztery urzędy gmin, a termin wpisu do wykazu podmiotów kluczowych i ważnych upływa 3 października.

Co dokładnie uruchomił BGK

Fundusz Bezpieczeństwa i Obronności to instrument o łącznej wartości około 23 miliardów złotych, finansowany ze środków Krajowego Planu Odbudowy i Zwiększania Odporności. Prezes BGK Mirosław Czekaj i minister finansów i gospodarki Andrzej Domański przedstawili go jako jeden z największych programów inwestycyjnych finansowanych z KPO, a Postuła podkreśliła, że jest to pierwszy w Europie mechanizm przekierowujący pieniądze z Planu Odbudowy na inwestycje związane bezpośrednio z bezpieczeństwem państwa. Ta uwaga nie jest wyłącznie chwaleniem się — oznacza, że instrument powstawał pod presją czasu i pod nadzorem Komisji Europejskiej, co przekłada się na sztywność warunków, o czym za chwilę.

Fundusz dzieli się na dwa komponenty. Część pożyczkowa, obsługiwana przez BGK, to około 70 procent środków, czyli mniej więcej 16 miliardów złotych. Pozostałe 30 procent, około 7 miliardów, tworzy komponent kapitałowy prowadzony przez powołaną specjalnie spółkę Chrobry S.A., która będzie obejmować udziały w przedsiębiorstwach o wysokim potencjale wzrostu — jej wiceprezes Jan Banasiński zapowiedział dwa portfele: 500 milionów złotych na projekty wczesnej fazy i 6,5 miliarda na inwestycje dojrzałe oraz infrastrukturalne, z wyraźnym zainteresowaniem technologiami łączności, dual-use i cyberbezpieczeństwem. Dla samorządu istotna jest jednak część pierwsza.

W ramach części pożyczkowej największa pula — 11,2 miliarda złotych — została przeznaczona dla sektora komunalnego, przy czym w pierwszym naborze udostępniono 5,6 miliarda. Sektor kolejowy dostał 2 miliardy, przedsiębiorstwa spoza tych dwóch grup — 2,5 miliarda. Beneficjentem naboru komunalnego mogą być jednostki samorządu terytorialnego wszystkich szczebli, od gminy po województwo, oraz spółki, w których samorząd posiada ponad połowę udziałów lub akcji. Katalog celów obejmuje budowę i modernizację obiektów zbiorowej ochrony, systemy wykrywania zagrożeń i ostrzegania ludności, infrastrukturę transportową wspierającą mobilność wojskową, tabor dual-use oraz — wymienione wprost, na równi z resztą — projekty z zakresu cyberbezpieczeństwa.

Warunki finansowe są bezprecedensowe. Jednostki samorządu terytorialnego dostają zerowe oprocentowanie, spółki komunalne stałą stawkę na poziomie jednego procenta. Kwoty mieszczą się w przedziale od 2 do 500 milionów złotych, okres spłaty sięga dwudziestu lat, przewidziano karencję do roku od zakończenia projektu, nie ma opłat manipulacyjnych ani wymaganego wkładu własnego. Wnioski składa się przez regionalne oddziały BGK, a nabór ma charakter otwarty i ciągły — trwa do wyczerpania alokacji albo zawieszenia. Gawkowski podsumował to zdaniem, które w ustach ministra brzmi jak zaproszenie, a w uszach skarbnika jak ostrzeżenie: z tych pieniędzy można skorzystać szybko, bez skomplikowanych formalności i bez żadnego wymaganego wkładu własnego.

Trzy warunki, które decydują o wszystkim

Pierwszy z nich Postuła wyartykułowała w Rzeszowie bez owijania w bawełnę: fundusz finansuje wyłącznie nowe projekty, nie ma mowy o refinansowaniu inwestycji już prowadzonych. Dla samorządu, który w 2025 roku wystartował z wdrożeniem w ramach Cyberbezpiecznego Samorządu, a dziś ma je w połowie i szuka pieniędzy na dokończenie, to informacja zamykająca temat. Dla samorządu, który jeszcze nic nie zaczął, to paradoksalnie dobra wiadomość — ale tylko wtedy, gdy potrafi opisać przedsięwzięcie jako spójną, nową całość, a nie jako łatanie tego, co zostało po poprzednim programie.

Drugi warunek dotyczy umorzenia, wokół którego narosło już sporo nieporozumień. Umorzenie do 20 procent kapitału pożyczki w zakresie usług cyfryzacyjnych i cyberbezpieczeństwa nie przysługuje każdemu. Przewidziano je dla jednostek o wskaźnikach dochodowości poniżej średniej krajowej, co według BGK obejmuje około 65 procent gmin oraz większość miast na prawach powiatu i województw. W przypadku inwestycji realizowanych na obszarze Tarczy Wschód umorzenie może sięgnąć nawet 40 procent. Istotny jest przy tym mechanizm: jednostka, która kwalifikuje się do umorzenia, wie o tym już w momencie podpisywania umowy — od początku ma świadomość, że odda 80 procent kapitału. To eliminuje najgorszy scenariusz, w którym jednostka planuje budżet, licząc na umorzenie, którego nie dostanie.

Trzeci warunek nie jest zapisany w regulaminie, lecz w ustawie o finansach publicznych. Pożyczka to nie dotacja. Zerowe oprocentowanie i dwudziestoletni okres spłaty czynią z niej instrument wyjątkowo tani, ale nadal jest to zobowiązanie, które trzeba wykazać, obsłużyć i zmieścić w indywidualnym wskaźniku zadłużenia z art. 243 ustawy z 27 sierpnia 2009 roku o finansach publicznych — chyba że przepis szczególny stanowi inaczej. To pierwsze pytanie, jakie w tej sprawie powinien usłyszeć skarbnik, a nie informatyk, i najlepiej zadać je zanim gmina zaangażuje trzy tygodnie pracy w przygotowanie dokumentacji. Doświadczenie z poprzednimi instrumentami zwrotnymi uczy, że odpowiedź „sprawdzimy na etapie umowy" bywa najdroższym zdaniem w całym procesie.

Zegar, który tyka głośniej niż nabór

Nabór jest otwarty i ciągły, więc łatwo ulec złudzeniu, że czasu jest dużo. Nie jest — tylko że presja nie płynie z BGK, lecz z ustawy o krajowym systemie cyberbezpieczeństwa. Znowelizowana ustawa, transponująca dyrektywę NIS-2, obowiązuje od 3 kwietnia 2026 roku. Okno samorejestracji w wykazie podmiotów kluczowych i ważnych, prowadzonym w systemie dostępnym pod adresem wykaz-ksc.gov.pl, otwarto 7 maja i zamyka się 3 października 2026 roku. Część podmiotów — publiczne, przedsiębiorców telekomunikacyjnych, dostawców usług cyfrowych i dawnych operatorów usług kluczowych — minister cyfryzacji wpisał z urzędu do 6 maja, ale spółki komunalne w większości muszą zrobić to samodzielnie, po samodzielnej analizie sektora i progów wielkościowych.

Konsekwencje zaniechania są policzalne. Podmiotowi kluczowemu grozi kara do 10 milionów euro lub 2 procent całkowitego rocznego światowego obrotu, podmiotowi ważnemu do 7 milionów euro lub 1,4 procent. Ustawa przewiduje też odrębną, osobistą karę pieniężną dla kierownika podmiotu, sięgającą sześciokrotności jego wynagrodzenia liczonego według zasad ustalania ekwiwalentu za urlop — przy czym część przepisów sankcyjnych objęto okresem przejściowym, co warto zweryfikować dla własnej sytuacji, zamiast przyjmować na wiarę jedną czy drugą interpretację z konferencji branżowej. Konstrukcja jest jednak jednoznaczna co do kierunku: odpowiedzialność przestała być wyłącznie instytucjonalna. Opisaliśmy ten mechanizm szczegółowo przy okazji ataku ransomware na Urząd Miejski w Nowej Rudzie, gdzie po raz pierwszy stał się on dla polskich samorządowców czymś więcej niż akademicką ciekawostką.

I tu pojawia się arytmetyka, której nie widać w komunikatach prasowych. Od dziś do 3 października zostały mniej więcej dwa miesiące. Przygotowanie wniosku pożyczkowego, przeprowadzenie postępowania zakupowego, podpisanie umów z wykonawcami i uruchomienie wdrożenia to w realiach jednostki sektora finansów publicznych proces liczony w kwartałach, nie tygodniach. Pieniądze z FBiO nie zdążą zbudować odporności przed terminem rejestracyjnym — i nie muszą, bo wpis do wykazu jest obowiązkiem informacyjnym, nie certyfikatem dojrzałości. Ale każdy, kto planuje wykorzystać nabór jako sposób na dogonienie ustawy, powinien zrozumieć, że kupuje sobie w ten sposób najwyżej rok, i to pod warunkiem, że zacznie od właściwego końca.

Dlaczego czternaście wodociągów oddało pieniądze

Zanim ktokolwiek uzna, że problem polskiego sektora komunalnego rozwiązuje się przelewem, warto przypomnieć historię sprzed miesiąca. 15 maja 2026 roku Centrum Projektów Polska Cyfrowa zaktualizowało listę rankingową programu Cyberbezpieczne Wodociągi. Okazało się, że czternaście podmiotów, mimo pozytywnej oceny wniosku, nie podpisało umowy o dofinansowanie i oddało łącznie ponad 12,6 miliona złotych z puli 627 milionów. Nie dlatego, że nie potrzebowały ochrony — sektor wodno-kanalizacyjny był w latach 2024–2025 najczęstszym celem prorosyjskich grup haktywistycznych w Polsce. Oddały pieniądze, bo nie mieściły się w limicie pomocy de minimis, bo VAT wyłączono z kosztów kwalifikowanych, a niewielka gmina nie miała z czego go pokryć, i bo termin realizacji był tak krótki, że administracja licząca kilku pracowników nie zdążyłaby przeprowadzić postępowań. Całą tę historię, wraz z odpowiedziami poszczególnych zakładów, opisaliśmy w analizie rezygnacji z dotacji w programie Cyberbezpieczne Wodociągi.

Wniosek z tamtej sprawy jest brutalnie prosty i przekłada się na FBiO jeden do jednego: dostępność pieniędzy nie jest tym samym co zdolność do ich wydania. Program o świetnych warunkach potrafi ominąć dokładnie te podmioty, dla których był projektowany, jeśli konstrukcja formalna zderzy się z realiami organizacyjnymi małej jednostki. Włodzimierz Woźniak podsumował to wtedy zdaniem, które nadal obowiązuje: są duże przedsiębiorstwa i reszta świata. Duża spółka miejska ma dział prawny, rezerwę budżetową i świadomie zarządzany portfel dotacji. Zakład gospodarki komunalnej w gminie liczącej cztery tysiące mieszkańców nie ma żadnego z tych trzech elementów, a to właśnie on obsługuje stację uzdatniania wody, którą ktoś próbował już wyłączyć zdalnie.

FBiO ma nad Cyberbezpiecznymi Wodociągami trzy przewagi, które warto uczciwie odnotować: brak wymaganego wkładu własnego, dwudziestoletni okres spłaty rozkładający koszt w czasie i otwarty, ciągły nabór, który nie zmusza do składania wniosku w miesiąc. Ma też jedną wadę strukturalną — jest instrumentem zwrotnym, a zaciągnięcie zobowiązania wymaga uchwały organu stanowiącego, opinii regionalnej izby obrachunkowej co do możliwości spłaty i miejsca w wieloletniej prognozie finansowej. Tego procesu nie da się skrócić entuzjazmem.

Pierwsze pytanie nie brzmi „co kupić"

Najczęstszy błąd, jaki obserwujemy w samorządach po ogłoszeniu każdego programu wsparcia, wygląda tak samo: jednostka najpierw pyta dostawców, co można kupić za dostępną kwotę, potem próbuje dopasować do tego uzasadnienie, a analizę ryzyka pisze na końcu, żeby zamknąć dokumentację. Ta kolejność jest odwrotna wobec tego, czego wymaga ustawa, i wobec tego, co ma sens ekonomiczny.

Art. 8 ustawy o krajowym systemie cyberbezpieczeństwa nakłada na podmiot kluczowy i ważny obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji, którego rdzeniem jest systematyczne szacowanie ryzyka i postępowanie z nim. To znaczy, że zakres inwestycji ma wynikać z rozpoznanego ryzyka, a nie ryzyko z zakupionego sprzętu. Jednostka, która kupi za pożyczone pieniądze rozwiązanie nieadresujące jej realnych zagrożeń, popełni jednocześnie dwa błędy: nie zbuduje odporności i naruszy elementarną zasadę celowości wydatku publicznego, o którą prędzej czy później zapyta kontrola. Wersja poglądowa: brama pancerna zamontowana w ścianie z płyty gipsowo-kartonowej jest droga, imponująca i całkowicie bezużyteczna.

Analiza ryzyka wykonana rzetelnie zajmuje kilka tygodni i kosztuje ułamek tego, co najtańszy element wdrożenia. Odpowiada na pytania, których żaden katalog produktowy nie zada: jakie usługi realizowane przez tę jednostkę są krytyczne dla mieszkańców i jak długo mogą być niedostępne, zanim skutek stanie się nieodwracalny; gdzie fizycznie leżą dane i kto ma do nich dostęp; którzy dostawcy mają zdalne wejście do infrastruktury i na jakich warunkach; czy istnieje kopia zapasowa, z której ktokolwiek kiedykolwiek odtworzył system w warunkach testowych. Odpowiedzi na te pytania budują zakres wniosku. Bez nich wniosek jest listą zakupów z uzasadnieniem dopisanym wstecz.

Czego za pożyczkę kupić się nie da

Pożyczka z FBiO finansuje inwestycję. Cyberbezpieczeństwo natomiast w znacznej części nie jest inwestycją, tylko kosztem bieżącym — i to jest najpoważniejsza pułapka całego mechanizmu. Za pieniądze z Funduszu da się kupić segmentację sieci, systemy kopii zapasowych z kopią offline w modelu trzy-dwa-jeden, uwierzytelnianie wieloskładnikowe, ochronę stacji końcowych klasy EDR, systemy zbierania i korelacji logów, wymianę sterowników i separację środowiska technologicznego od biurowego. Wszystko to ma sens i wszystko to jest potrzebne. Ale żaden z tych elementów nie działa sam.

System zbierania logów bez kogoś, kto je czyta, jest dyskiem twardym rejestrującym włamanie, o którym nikt się nie dowie. Kopia zapasowa, której nikt nie odtwarzał w warunkach testowych, jest deklaracją, nie zabezpieczeniem — atak na Nową Rudę pokazał, jak szybko weryfikuje się różnica między jednym a drugim. Procedura zgłaszania incydentu do właściwego CSIRT w ciągu 24 godzin od wykrycia, a raportu w ciągu 72, nie zadziała, jeśli osoba, która pierwsza zobaczy komunikat o szyfrowaniu, nie wie, do kogo zadzwonić o pierwszej w nocy w sobotę. Utrzymanie, monitoring, przeglądy, szkolenia i testy odtworzeniowe to wydatki cykliczne, których pożyczka inwestycyjna nie pokryje, a które będą obciążać budżet jednostki przez cały okres życia rozwiązania — i przez większość dwudziestoletniego okresu spłaty.

To prowadzi do wniosku, który brzmi mniej efektownie niż komunikat o miliardach, ale jest jedyną uczciwą radą: planując kwotę pożyczki, trzeba jednocześnie zaplanować pozycję w budżecie bieżącym na utrzymanie tego, co się za nią kupi. Jeżeli tej pozycji nie ma, jednostka finansuje sobie pięcioletnią iluzję bezpieczeństwa na dwudziestoletni kredyt. Ekonomicznie to gorsze niż nierobienie niczego, bo do braku ochrony dochodzi jeszcze obsługa zobowiązania i fałszywe poczucie, że temat został załatwiony.

Spółka komunalna to nie gmina

Warunki naboru wyraźnie różnicują jednostki samorządu terytorialnego i spółki komunalne — pierwsze dostają zero procent, drugie jeden procent w stawce stałej. Ta różnica nie jest kaprysem banku, tylko konsekwencją tego, że spółka komunalna, choćby w stu procentach należała do gminy, na gruncie prawa unijnego pozostaje przedsiębiorcą działającym na rynku. Finansowanie na warunkach lepszych od rynkowych to potencjalna pomoc publiczna, a to oznacza konieczność sprawdzenia, w jakim reżimie jest udzielane i czy nie wyczerpuje limitów, którymi spółka już dysponuje.

Właśnie na tym poległo czternaście wodociągów w programie grantowym. Zakład Gospodarki Komunalnej w Nowej Sarzynie miał na kolejne trzy lata około 200 tysięcy złotych wolnego limitu pomocy de minimis, bo pod koniec 2025 roku podpisał inną umowę o dofinansowanie na ponad milion. MPWiK Warszawa — spółka, której trudno zarzucić brak kompetencji czy budżetu — mogła wystąpić o dokładnie 735 890 złotych, bo tyle zostało jej w limicie, a resztę sfinansowała z rezerwy celowej Stołecznego Centrum Bezpieczeństwa. Konstrukcja prawna FBiO różni się od tamtego konkursu i nie należy przenosić wniosków automatycznie, ale pytanie pozostaje to samo i musi paść przed złożeniem wniosku, nie po podpisaniu umowy: w jakim reżimie pomocowym udzielane jest to finansowanie i ile miejsca zostało spółce w odpowiednim limicie.

Druga kwestia to VAT. W programie wodociągowym podatek wyłączono z kosztów kwalifikowanych, co dla Gminy Wietrzychowice oznaczało konieczność wyłożenia z własnych środków około 300 tysięcy złotych, a dla Zakładu Gospodarki Komunalnej w Mielniku — rezygnację, bo jako jednostka budżetowa działająca w scentralizowanym rozliczeniu VAT nie dostała od urzędu gminy zgody na pokrycie tego kosztu. Zasady kwalifikowalności w FBiO należy sprawdzić w dokumentacji naboru, ale sama lekcja jest uniwersalna: struktura rozliczeń podatkowych między gminą a jej jednostkami potrafi wywrócić wniosek, który merytorycznie był bez zarzutu. Ustalenie tego zajmuje jedno spotkanie skarbnika z księgowością spółki. Nieustalenie tego kosztowało już polski sektor wod-kan 12,6 miliona złotych.

Wniosek, którego nie trzeba będzie oddawać

Dobry wniosek pożyczkowy na przedsięwzięcie z zakresu cyberbezpieczeństwa różni się od słabego czterema rzeczami, a żadna z nich nie dotyczy marki sprzętu.

Po pierwsze, opisuje stan wyjściowy liczbami, nie przymiotnikami. Nie „przestarzała infrastruktura", tylko: dwadzieścia trzy serwery, z czego siedem bez wsparcia producenta, jedna kopia zapasowa wykonywana codziennie na macierz w tej samej serwerowni, brak uwierzytelniania wieloskładnikowego w dostępie zdalnym dla czterech dostawców systemów dziedzinowych. Po drugie, wiąże każdy element zakresu z konkretnym ryzykiem z analizy i z konkretnym wymogiem ustawowym — segmentacja jako odpowiedź na ryzyko rozprzestrzenienia się szyfrowania z sieci biurowej do technologicznej, kopia offline jako warunek odtworzenia usługi w założonym czasie, monitoring jako warunek dotrzymania terminu zgłoszenia incydentu. Po trzecie, zawiera realistyczny harmonogram, uwzględniający czas na postępowanie zakupowe, i rezerwę na wzrost cen — PPU Propol z Osieka zrezygnowało z grantu między innymi dlatego, że ceny na rynku IT wzrosły ponad budżet założony we wniosku, a materiałów nie było w magazynach dostawców. Po czwarte, wskazuje, kto po stronie jednostki będzie właścicielem rezultatu i z czego zostanie sfinansowane utrzymanie po zakończeniu projektu.

Warto też zaplanować od razu to, co zwykle dopisuje się na końcu: sposób udokumentowania efektu. Zarówno kontrola wykorzystania środków KPO, jak i ewentualna czynność organu właściwego w trybie ustawy o krajowym systemie cyberbezpieczeństwa zapytają nie o to, co kupiono, tylko o to, co z tego działa. Zapis z testu odtworzenia kopii, protokół z testu segmentacji, raport z przeglądu uprawnień, lista zgłoszeń obsłużonych przez zespół monitorujący — to są dowody. Faktura nie jest dowodem na nic poza tym, że pieniądze wyszły z konta.

Dwa miesiące, dwa wnioski i cała reszta Polski

Wróćmy do liczby, od której zaczęliśmy. Dwa wnioski dotyczące cyberbezpieczeństwa złożone przez jednostkę samorządową w pierwszym tygodniu naboru, przy alokacji 11,2 miliarda złotych dla sektora komunalnego i ponad trzech miliardach, które według deklaracji ministra cyfryzacji mogą trafić na odporność cyfrową. Ta dysproporcja nie wynika z braku potrzeb — pierwsze półrocze 2026 roku przyniosło ataki ransomware na urzędy w Obrazowie, Myszkowie, Lewinie Kłodzkim i Nowej Rudzie, a wcześniejsze lata przyniosły serię incydentów w stacjach uzdatniania wody i oczyszczalniach ścieków. Wynika z tego, że między dostępnością pieniędzy a zdolnością do ich wykorzystania stoi kilka tygodni pracy analitycznej, na którą w typowej gminie nie ma ani wolnego etatu, ani nawyku.

Sytuacja ma jednak jedną cechę, której w poprzednich programach nie było, i warto ją wykorzystać. Nabór jest otwarty i ciągły. To znaczy, że jednostka, która zacznie od analizy ryzyka teraz, w sierpniu, złoży sensowny wniosek jesienią — i wciąż ma szansę na środki, o ile alokacja nie zostanie wcześniej wyczerpana. Przewaga należy więc nie do najszybszych, lecz do tych, którzy wiedzą, o co wnioskują. W programach grantowych z krótkim terminem premiowany był refleks. Tutaj premiowane jest przygotowanie — i to jest zmiana, na którą polski sektor komunalny czekał od lat, nawet jeśli jeszcze o tym nie wie.

Dlaczego z Fib.Code przy wniosku do FBiO

Fib.Code łączy trzy kompetencje, które w tym procesie muszą wystąpić razem, a na rynku występują zwykle osobno. Znamy wymagania ustawy o krajowym systemie cyberbezpieczeństwa i normy ISO/IEC 27001 od strony audytorskiej, więc potrafimy przełożyć obowiązek prawny na konkretny, obronny zakres przedsięwzięcia. Znamy realia infrastruktury samorządowej i komunalnej — sieci OT w wodociągach i ciepłowniach, systemy dziedzinowe w urzędach, zdalne wejścia dostawców — więc analiza ryzyka nie kończy się u nas na sieci biurowej. I znamy język dokumentacji projektowej, dzięki czemu wynik analizy da się przenieść wprost do wniosku, opisu przedmiotu zamówienia i harmonogramu, zamiast tłumaczyć go po raz drugi w innym pokoju.

Pracujemy według trzech zasad, których nie negocjujemy. Zaczynamy od ryzyka, nie od katalogu — nie sprzedajemy sprzętu i nie mamy interesu w tym, żeby zakres był większy, niż wynika z zagrożeń. Piszemy dokumenty, które przechodzą kontrolę, bo są pisane pod dowód, a nie pod objętość. I mówimy wprost, gdy uważamy, że planowany wydatek nie zwiększy bezpieczeństwa, nawet jeśli mieści się w katalogu kwalifikowalności — bo pożyczka na dwadzieścia lat zaciągnięta na coś, co nie działa, jest gorsza od jej niezaciągnięcia.

Produktem końcowym jest komplet, z którym można iść do banku i do organu stanowiącego: analiza ryzyka wraz z planem postępowania, zakres przedsięwzięcia powiązany z ryzykami i przepisami, uzasadnienie merytoryczne do wniosku, harmonogram uwzględniający procedury zakupowe oraz oszacowanie kosztów utrzymania na kolejne lata. Do tego, jeśli jednostka tego potrzebuje, wsparcie przy samoidentyfikacji i wpisie do wykazu przed 3 października — bo te dwa procesy warto prowadzić równolegle, korzystając z tej samej analizy.

Co zrobić w pierwszym tygodniu sierpnia

Jedno spotkanie, cztery osoby, dziewięćdziesiąt minut: wójt albo prezes spółki, skarbnik lub główna księgowa, osoba odpowiedzialna za informatykę i pełnomocnik do spraw bezpieczeństwa informacji, jeśli został wyznaczony. Agenda składa się z pięciu pytań, na które trzeba wyjść ze spotkania z odpowiedzią albo z nazwiskiem osoby, która ją przyniesie do końca tygodnia.

Czy jesteśmy już wpisani do wykazu podmiotów kluczowych lub ważnych, a jeśli nie — kto i do kiedy przeprowadzi samoidentyfikację przed 3 października. Czy mamy aktualną analizę ryzyka spełniającą wymagania art. 8 ustawy o krajowym systemie cyberbezpieczeństwa, czy tylko dokument sprzed lat podpisany na potrzeby innego audytu. Czy zobowiązanie z pożyczki mieści się w naszym wskaźniku zadłużenia i jakiej uchwały oraz jakiej opinii RIO będzie wymagać. W jakim reżimie pomocowym otrzymamy to finansowanie, jeśli wnioskuje spółka, i ile miejsca zostało nam w limicie. Wreszcie: z czego sfinansujemy utrzymanie tego, co kupimy, w latach 2028 i 2029 — i czy ta pozycja jest już w wieloletniej prognozie finansowej.

Jeśli na którekolwiek z tych pytań nie ma odpowiedzi, wniosek o pożyczkę jest przedwczesny. Jeśli są odpowiedzi na wszystkie pięć, przygotowanie kompletnej dokumentacji zajmie cztery do sześciu tygodni i zdąży przed jesienią.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: dlaczego 14 wodociągów oddało 12,6 mln zł na cyberbezpieczeństwo, samoidentyfikacja i wpis do wykazu przed 3 października oraz co zmieniła nowelizacja ustawy o KSC po 3 kwietnia — pieniądze, obowiązek i termin to w tej sprawie trzy strony tej samej kartki.