Cyberbezpieczny Samorząd - ostatnia prosta

Trzy miesiące więcej. Pytanie brzmi: na co je wydasz

Centrum Projektów Polska Cyfrowa przedłużyło termin rozliczenia projektów w ramach programu Cyberbezpieczny Samorząd o trzy miesiące. Dla grantobiorców, którzy realizują swoje projekty zgodnie z harmonogramem, to dobra wiadomość - dodatkowy bufor na dokumentację i ewentualne korekty. Dla tych, którzy jeszcze nie ruszyli z kluczowymi działaniami, to ostatnie ostrzeżenie.

Bo powiedzmy sobie szczerze: trzy miesiące to dużo czasu na zamknięcie projektu, który jest w toku. I dramatycznie mało czasu na rozpoczęcie czegokolwiek od zera - zwłaszcza jeśli mówimy o wdrożeniu Systemu Zarządzania Bezpieczeństwem Informacji.

Co tak naprawdę trzeba zrobić

Program Cyberbezpieczny Samorząd nie polegał na kupnie firewalla i odhaczeniu punktu w sprawozdaniu. Dofinansowanie od 200 tys. do 850 tys. zł na jednostkę miało służyć systemowej zmianie - podniesieniu poziomu cyberbezpieczeństwa w sposób mierzalny, udokumentowany i trwały. A systemowa zmiana w praktyce oznacza trzy filary.

Filar organizacyjny - wdrożenie lub aktualizacja SZBI zgodnego z wymaganiami §19 rozporządzenia KRI. Polityki bezpieczeństwa, procedury zarządzania incydentami, analiza ryzyka, plan postępowania z ryzykiem, deklaracja stosowania, przeglądy zarządzania. Nie dokumenty na półkę - żywy system, w którym ludzie wiedzą, co robić, gdy coś pójdzie nie tak.

Filar kompetencyjny - szkolenia pracowników, od poziomu podstawowego (świadomość zagrożeń, phishing, higiena cyfrowa) przez poziom kierowniczy (odpowiedzialność prawna, zarządzanie ryzykiem) po poziom specjalistyczny (administracja systemami bezpieczeństwa, reagowanie na incydenty). Pracownik, który klika w każdy link w mailu, potrafi zniweczyć inwestycję wartą setki tysięcy złotych w ciągu jednej sekundy.

Filar techniczny - zabezpieczenia infrastruktury IT: serwery, macierze, systemy kopii zapasowych, oprogramowanie antywirusowe z centralnym zarządzaniem, systemy SIEM do monitorowania zdarzeń bezpieczeństwa, urządzenia sieciowe, zasilanie awaryjne. Technologia jest ważna - ale bez dwóch pierwszych filarów jest jak pancerne drzwi w domu bez ścian.

Gdzie samorządy tracą czas

Po kilku latach pracy z jednostkami samorządu terytorialnego widzimy powtarzające się wzorce. Warto je znać, żeby nie powielać cudzych błędów na ostatniej prostej.

Zakupy bez strategii. Część JST wydała środki na sprzęt i oprogramowanie, ale nie stworzyła ram organizacyjnych, w których te narzędzia mają funkcjonować. System SIEM bez procedur reagowania na alerty jest jak alarm w domu, którego nikt nie słyszy. Serwery backupowe bez polityki tworzenia i testowania kopii zapasowych dają fałszywe poczucie bezpieczeństwa.

Dokumentacja „na zaliczenie". SZBI traktowany jako zbiór dokumentów do pokazania przy rozliczeniu, a nie jako rzeczywisty system zarządzania. Polityka bezpieczeństwa skopiowana z internetu, analiza ryzyka wykonana pro forma, procedury, których nikt w urzędzie nie czytał. Audytor - czy to CPPC, czy NIK, czy jednostka kontrolująca - rozpozna to bez trudu.

Odkładanie audytu na koniec. Audyt wewnętrzny bezpieczeństwa informacji, wymagany przez §19 ust. 2 pkt 14 rozporządzenia KRI, to nie formalność do odbycia w ostatnim tygodniu przed rozliczeniem. To narzędzie diagnostyczne, które powinno być przeprowadzone odpowiednio wcześnie, żeby wyniki audytu można było wykorzystać do realnych korekt.

Ostatnie tygodnie - plan działania

Jeśli Twoja jednostka jest grantobiorcą programu Cyberbezpieczny Samorząd i stoi przed koniecznością zamknięcia projektu, oto porządek priorytetów, który sprawdza się w praktyce.

Krok pierwszy: inwentaryzacja stanu faktycznego. Co zostało zakupione, wdrożone, uruchomione? Co istnieje na papierze, ale nie w rzeczywistości? Jakie szkolenia zostały przeprowadzone i czy są z nich listy obecności, certyfikaty, materiały? Brutalna szczerość na tym etapie oszczędza kłopotów przy rozliczeniu.

Krok drugi: uzupełnienie dokumentacji SZBI. Jeśli polityki i procedury istnieją, ale nie były aktualizowane - zaktualizuj je. Jeśli analiza ryzyka była robiona rok temu, ale od tego czasu zmieniła się infrastruktura - zrób przegląd. Jeśli brakuje kluczowych elementów (plan ciągłości działania, rejestr aktywów, matryca odpowiedzialności) - stwórz je teraz.

Krok trzeci: audyt wewnętrzny. Niezależna ocena zgodności z wymaganiami KRI, obejmująca wszystkie obszary §19. Audyt powinien być przeprowadzony przez osobę lub zespół niezależny od wdrożenia - to wymóg merytoryczny, nie tylko formalny. Raport z audytu z konkretnymi ustaleniami i zaleceniami jest jednym z kluczowych dokumentów potwierdzających dojrzałość SZBI.

Krok czwarty: szkolenia i utrwalenie kompetencji. Ostatnia tura szkoleń dla pracowników, ze szczególnym uwzględnieniem osób, które dołączyły do urzędu po pierwszych szkoleniach. Dokumentacja szkoleniowa (listy obecności, programy, materiały) jest wymagana przy rozliczeniu.

Krok piąty: przegląd zarządzania. Spotkanie kierownictwa, na którym omawia się stan SZBI, wyniki audytu, skuteczność wdrożonych zabezpieczeń i plan na kolejny okres. Protokół z przeglądu zarządzania to dowód, że SZBI nie jest martwym dokumentem, lecz żywym procesem, za który odpowiada kierownik jednostki.

Po grancie zaczyna się reżim ustawowy

Rozliczenie projektu nie jest metą, tylko zmianą reżimu. Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), wdrażająca dyrektywę NIS-2, a jednostki samorządu terytorialnego i ich spółki znalazły się w znacznie szerszym niż dotąd katalogu podmiotów objętych obowiązkami.

Kalendarz, który warto mieć na ścianie:

• do 3 października 2026 r. - wpis do wykazu podmiotów kluczowych i ważnych. Wykaz uruchomiono w kwietniu 2026 r., a część podmiotów wpisano z urzędu; brak wpisu nie zwalnia z obowiązków, tylko utrudnia komunikację z organem.
• do 3 kwietnia 2027 r. - wdrożenie obowiązków rozdziału 3 ustawy, w tym systemu zarządzania bezpieczeństwem informacji.
• do 3 kwietnia 2028 r. - pierwszy audyt bezpieczeństwa dla podmiotów kluczowych, następnie co najmniej raz na trzy lata.

Ważna zmiana dla jednostek publicznych: uchylono przepis, który pozwalał zaliczyć audyt wewnętrzny KRI na poczet audytu KSC. To dwa różne audyty, o różnym zakresie i różnych wymaganiach wobec audytora. Jednostka podlegająca obu reżimom robi audyt KRI corocznie i audyt KSC raz na trzy lata.

Do tego dochodzi nowy wymóg niezależności: audytu nie może przeprowadzić osoba, która realizuje w audytowanym podmiocie zadania z zakresu zarządzania bezpieczeństwem lub realizowała je w ciągu roku przed rozpoczęciem audytu.

Trzy błędy, które kosztują przy rozliczeniu i przy kontroli

Dokumentacja odsyłająca do nieobowiązującego rozporządzenia. Rozporządzenie KRI z 2012 r. utraciło moc 23 maja 2024 r. Obowiązuje rozporządzenie z 21 maja 2024 r. (Dz.U. 2024 poz. 773), w którym obowiązki dotyczące SZBI znajdują się w §19, a nie w §20. Jeżeli zarządzenie wójta powołuje się na akt nieobowiązujący, nie unieważnia to systemu - ale jest pierwszą rzeczą, którą zauważy kontrolujący.

Audyt przeprowadzony przez osobę, która wdrażała system. Formalnie audyt jest, merytorycznie to autoocena. Po nowelizacji ustawy o KSC jest to dodatkowo niezgodne z wprost wyrażonym wymogiem niezależności.

Zakup sprzętu bez procesu, który go wykorzystuje. Firewall bez reguł opartych na analizie ruchu, system do zarządzania logami bez osoby, która je czyta, kopie zapasowe bez testu odtworzenia. Rozliczenie finansowe przejdzie, kontrola merytoryczna - niekoniecznie.

Co dalej po zamknięciu projektu

Trzy rzeczy, które warto zaplanować już teraz, żeby po rozliczeniu system nie zamarł.

Roczny rytm. Audyt wewnętrzny KRI raz na rok (§19 ust. 2 pkt 14), przegląd analizy ryzyka, przegląd uprawnień, aktualizacja dokumentacji po zmianach organizacyjnych. Wpisany w harmonogram, z przypisaną osobą i terminem.

Ciągłość kompetencji. Rotacja kadr w samorządzie jest wysoka, a wiedza o systemie bywa skupiona w jednej osobie. Warto zawczasu rozstrzygnąć, kto przejmuje obowiązki i gdzie znajduje się dokumentacja - to również wymóg planowania ciągłości działania.

Realna procedura incydentu. Po wejściu w życie znowelizowanej ustawy o KSC terminy zgłoszeń są krótkie: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w miesiąc. Równolegle biegnie 72-godzinny termin z RODO wobec Prezesa UODO. W praktyce oznacza to, że decyzja „kto zgłasza i na jakiej podstawie" musi być podjęta przed incydentem, nie w jego trakcie.

Dlaczego SZBI dla JST to nie jest „jeszcze jeden projekt"

Warto spojrzeć na Cyberbezpieczny Samorząd z perspektywy szerszej niż sam program grantowy. Obowiązek posiadania SZBI wynika z §19 rozporządzenia KRI i obowiązuje niezależnie od tego, czy jednostka otrzymała grant. Program jedynie sfinansował to, co JST i tak powinna była mieć.

Co więcej, transpozycja dyrektywy NIS-2 do prawa polskiego rozszerza obowiązki cyberbezpieczeństwa na kolejne podmioty i podnosi poprzeczkę wymagań. Jednostki, które teraz solidnie wdrożą SZBI, będą w znacznie lepszej pozycji, gdy nowe przepisy zaczną obowiązywać w pełni. Te, które potraktują Cyberbezpieczny Samorząd jako jednorazowy projekt do rozliczenia, będą musiały zaczynać od nowa - tym razem bez dofinansowania.

Odpowiedzialność kierownika jednostki za bezpieczeństwo informacji jest osobista. Wójt, burmistrz, prezydent miasta, starosta - każdy z nich odpowiada za to, żeby SZBI w podległej jednostce nie był fikcją. I odpowiedzialność ta nie kończy się z dniem rozliczenia grantu.

Fundamentem pozostają Krajowe Ramy Interoperacyjności - obowiązki z §19 i przebieg kontroli opisujemy w przewodniku po KRI w samorządzie. Osobnym, często zaniedbywanym wątkiem są stopnie alarmowe CRP.

Jak Fib.Code wspiera samorządy na finiszu

Pracujemy z jednostkami samorządu terytorialnego od lat. Znamy realia - ograniczone budżety, rotację kadr, systemy dziedzinowe z lat dziewięćdziesiątych, informatyków odpowiedzialnych za wszystko od drukarek po cyberbezpieczeństwo. Wiemy, jak wygląda §19 KRI w teorii i jak wygląda w urzędzie gminy liczącym piętnaście tysięcy mieszkańców.

Dla grantobiorców Cyberbezpiecznego Samorządu oferujemy wsparcie dostosowane do tego, na jakim etapie jest projekt. Dla jednostek, które mają wdrożony SZBI, ale potrzebują niezależnego audytu wewnętrznego - przeprowadzimy go zgodnie z wymaganiami KRI i najlepszymi praktykami ISO 19011. Dla tych, które mają luki w dokumentacji - pomożemy je uzupełnić w ramach wdrożenia SZBI zgodnego z §19 KRI, opierając się na stanie faktycznym, nie na szablonach. Dla tych, które potrzebują szkoleń - zorganizujemy je w formie dopasowanej do specyfiki urzędu.

A dla jednostek, które szukają partnera na dłużej - oferujemy outsourcing Pełnomocnika ds. bezpieczeństwa informacji, bieżący nadzór nad SZBI i wsparcie w przygotowaniu do wymogów NIS-2.

Trzy miesiące to wystarczająco dużo czasu, żeby zrobić rzeczy dobrze. Pod warunkiem, że zaczniemy teraz.

Porozmawiajmy o Twoim projekcie: l.grabowski@fibcode.com | www.fibcode.com