Ten sam wykonawca dostarczał i audytował. NIK to zbadał, ustawa od kwietnia tego zakazuje
30 września 2026 r.* kończy się realizacja przedsięwzięć grantowych w programie Cyberbezpieczny Samorząd. Do tego dnia gminy, powiaty i województwa mają wydać i udokumentować to, co dostały: 2497 podpisanych umów grantowych na 1,475 mld zł*. Osiemdziesiąt procent tej kwoty poszło na sprzęt, oprogramowanie i usługi wdrożeniowe, reszta na procedury, szkolenia i audyty*.
Za miesiąc w urzędach zostanie zestaw, który wygląda na komplet: faktury, protokoły odbioru, certyfikaty dostawców, sprawozdanie z audytu bezpieczeństwa informacji. Najwyższa Izba Kontroli sprawdziła, co ten zestaw znaczy.
Co ustaliła kontrola
21 lipca 2026 r.* NIK opublikowała wyniki kontroli P/25/003*, obejmującej 19 jednostek: 12 urzędów miast i gmin, 5 starostw powiatowych oraz Centrum Projektów Polska Cyfrowa i NASK*. Ocena całości brzmi tak: projekt „przebiegał zgodnie z jego założeniami i przyjętymi procedurami, jednak nie wiadomo w jakim stopniu przyczynił się on do zwiększenia bezpieczeństwa informacji w jednostkach samorządu terytorialnego”*.
Rzecz w tym, jak zbudowano sam konkurs. CPPC nie wymagało od samorządów audytu ani żadnej obiektywnej oceny stanu zabezpieczeń przed przyznaniem grantu - pieniądze przyznawano na podstawie samooceny jednostki, niejednokrotnie błędnej*. Przy rozliczeniu nie wprowadzono mechanizmu, który uzależniałby uznanie wydatku za kwalifikowalny od tego, czy urząd realnie podniósł poziom odporności*. NIK nazywa takie podejście „nierzetelnym i stwarzającym ryzyko nieefektywnego, bezcelowego wydawania funduszy”*.
Trzy ustalenia z tej kontroli układają się w obraz, który dotyczy każdego urzędu, nie tylko dziewiętnastu skontrolowanych.
Pierwsze - audyty końcowe. Samorządy musiały je przeprowadzić na koniec grantu. CPPC w żaden sposób ich nie ustandaryzowało; każdy urząd mógł je zrobić według własnego uznania, a wynik audytu nie miał znaczenia dla rozliczenia grantu*. Audyt był dokumentem składanym do teczki po zakończeniu prac.
Drugie - audyty okresowe. W ośmiu urzędach (47% kontrolowanych) w 2023 lub 2024 r. obowiązkowego audytu bezpieczeństwa informacji nie przeprowadzono w ogóle, przeprowadzono go nierzetelnie albo z naruszeniem zasady niezależności i obiektywizmu audytu*. Tłumaczono to m.in. brakiem pracowników z wiedzą i doświadczeniem do wykonania takiego audytu*.
Trzecie - sam system. W ponad połowie kontrolowanych urzędów nie wdrożono systemu zarządzania bezpieczeństwem informacji, mimo przystąpienia do projektu*. Poza tym: niewłaściwe zabezpieczenie serwerowni, nieodebrane uprawnienia byłym pracownikom, wadliwie sporządzane kopie zapasowe*. Na nowo kupionych serwerach uruchamiano jednocześnie systemy dziedzinowe - podatkowe, ewidencyjne, obsługi mieszkańców - i systemy bezpieczeństwa kupione z grantu; NIK wskazuje, że ta praktyka łamie rozporządzenie o Krajowych Ramach Interoperacyjności*.
Jeszcze jedna liczba, która mówi o skali kontroli nad wydatkami: na próbie 15 wniosków o rozliczenie grantu 13 zostało zatwierdzonych mimo poważnych błędów, wadliwego sporządzenia albo braku wymaganych załączników*.
Skąd się bierze audyt, który ocenia sam siebie
Zamówienia w programie były zwykle rozpisywane jako jedno postępowanie podzielone na części: dostawa sprzętu, oprogramowanie, szkolenia, audyt. Wykonawca mógł złożyć ofertę na wszystkie części - i często składał. Gmina dostawała jednego partnera do całego projektu: ten sam podmiot dobierał zabezpieczenia, wdrażał je, pisał politykę bezpieczeństwa, a na koniec sprawdzał, czy wszystko jest zgodne z wymogami.
Dla urzędu było to wygodne i tańsze. Jeden przetarg zamiast dwóch, jeden harmonogram, jedna faktura, jeden telefon, kiedy coś nie działa. Przy urzędzie, w którym informatyką zajmuje się jedna osoba na pół etatu, argument organizacyjny bywał rozstrzygający.
Skutek ma jednak inną naturę. Audyt bezpieczeństwa polega na porównaniu stanu faktycznego z wymaganiem i wskazaniu, gdzie stan od wymagania odbiega. Kiedy wykonuje go ten, kto ten stan wytworzył, sprawozdanie z audytu staje się protokołem odbioru własnej pracy. Wynik jest znany przed rozpoczęciem badania, bo nikt nie stwierdza we własnym wdrożeniu braków, za które sam odpowiada.
Standard zawodowy mówi o tym wprost od dawna. Szablon sprawozdania z audytu bezpieczeństwa opracowany przez ISSA Polska i Instytut Audytorów Wewnętrznych IIA Polska wymaga, żeby wszystkie osoby zaangażowane w badanie złożyły oświadczenie o braku konfliktu interesów - „w szczególności w terminie ostatnich 24 miesięcy nie wykonywały osobiście prac doradczych, projektowych, architektonicznych lub implementacyjnych na rzecz audytowanego podmiotu w zakresie audytowanej Usługi kluczowej”*. Dwadzieścia cztery miesiące to dokładnie tyle, ile trwał grant.
Od 3 kwietnia to jest zakaz ustawowy
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa* weszła w życie 3 kwietnia 2026 r.* i zamieniła standard zawodowy w przepis. Do art. 15 dodano ust. 2a:
„Audyt nie może być przeprowadzony przez osobę realizującą w podmiocie audytowanym zadania, o których mowa w art. 8 oraz art. 9-13, lub która realizowała te zadania w podmiocie audytowanym w przeciągu roku przed dniem rozpoczęcia audytu.”*
Zadania z art. 8 to wdrożenie systemu zarządzania bezpieczeństwem informacji: szacowanie ryzyka, dobór zabezpieczeń, bezpieczeństwo łańcucha dostaw, monitorowanie systemu w trybie ciągłym*. Zadania z art. 9-13 to m.in. prowadzenie dokumentacji bezpieczeństwa oraz obsługa i zgłaszanie incydentów*. Ustawa dopuszcza, żeby wykonywała je firma zewnętrzna - art. 14 pozwala powołać wewnętrzne struktury albo zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa*.
Praktyczna konsekwencja dla urzędu jest jednozdaniowa: podmiot, który wdraża zabezpieczenia, prowadzi dokumentację albo obsługuje incydenty, jest wykluczony z audytu tej samej jednostki przez rok od zakończenia tych prac. Kto podpisuje dziś umowę na wdrożenie, wyklucza tego wykonawcę z audytu na kolejnych dwanaście miesięcy. Wiedza o tym wyłączeniu jest potrzebna przy układaniu postępowania.
Certyfikat dostawcy w tej układance
Certyfikat ISO/IEC 27001 wystawia się na wskazany zakres - konkretne usługi, lokalizacje i procesy, które sam certyfikowany opisał w dokumencie zwanym deklaracją stosowania. Certyfikat mówi zatem, że u dostawcy działa system zarządzania bezpieczeństwem informacji w zadeklarowanym przez niego zakresie. Odpowiedzi na pytanie, czy usługa świadczona konkretnej gminie mieści się w tym zakresie, w samym certyfikacie nie ma - jest w załączniku określającym zakres certyfikacji, o który trzeba poprosić.
Rozporządzenie o Krajowych Ramach Interoperacyjności* rozstrzyga to jednoznacznie. Wymagania uznaje się za spełnione, jeżeli system zarządzania bezpieczeństwem informacji podmiotu został opracowany na podstawie normy PN-ISO/IEC 27001, a ustanawianie zabezpieczeń, zarządzanie ryzykiem i audytowanie odbywa się na podstawie norm związanych*. Przepis mówi o systemie wdrożonym przez sam urząd.
Ustawa o KSC obowiązek szacowania ryzyka wiąże z podmiotem kluczowym i podmiotem ważnym. Wdrażając środki dotyczące łańcucha dostaw, podmiot uwzględnia podatności związane z dostawcą sprzętu lub oprogramowania oraz ogólną jakość produktów, usług i procesów ICT pochodzących od tego dostawcy*. Certyfikat jest jednym z materiałów w tej ocenie. Ocenę wykonuje i zapisuje urząd.
Kogo to dotyczy i od kiedy
Ustawa dzieli urzędy według wielkości, a granica jest ostra.
Urząd gminy zatrudniający - na dzień 1 stycznia danego roku, w przeliczeniu na pełny wymiar czasu pracy, na podstawie umowy o pracę - co najmniej 50 osób jest wskazany w załączniku nr 1 do ustawy i staje się podmiotem kluczowym, niezależnie od wielkości budżetu*. Starostwo powiatowe jest w tym załączniku bez progu zatrudnienia*.
Urząd gminy poniżej tego progu jest podmiotem ważnym jako samorządowa jednostka budżetowa realizująca zadania publiczne z wykorzystaniem systemów informacyjnych*. Podmiotami ważnymi są także samorządowe zakłady budżetowe, samorządowe instytucje kultury i spółki wykonujące zadania użyteczności publicznej*.
Różnica jest praktyczna i dotyczy dokładnie tego, o czym mowa wyżej:
| Urząd ≥ 50 etatów, starostwo | Urząd < 50 etatów, jednostki podległe | |
|---|---|---|
| Status | podmiot kluczowy | podmiot ważny |
| System bezpieczeństwa | pełny zakres z art. 8 ust. 1* | zakres z załącznika nr 4 do ustawy* |
| Audyt z ustawy o KSC | co najmniej raz na 3 lata, na własny koszt* | organ może nakazać przy incydencie poważnym lub naruszeniu przepisów* |
| Kopia raportu do organu | w 3 dni robocze od otrzymania* | na wniosek* |
Terminy dla podmiotów, które spełniały przesłanki w dniu wejścia ustawy w życie: obowiązki z rozdziału 3, w tym system zarządzania bezpieczeństwem informacji - do 3 kwietnia 2027 r.*; pierwszy audyt dla podmiotów kluczowych - do 3 kwietnia 2028 r.* Kary z nowych przepisów mogą być nałożone po raz pierwszy po upływie dwóch lat od wejścia ustawy w życie*.
Niezależnie od tego kalendarza obowiązuje rozporządzenie KRI, a w nim okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok*. To jego dotyczyło ustalenie NIK o 47% urzędów. Ten obowiązek biegnie od lat i nie czeka na 2027 rok.
Kto za to odpowiada
Adresatem obowiązków jest kierownik jednostki - wójt, burmistrz, prezydent, starosta. Ustawa przewiduje karę pieniężną dla kierownika podmiotu kluczowego lub ważnego za niewykonanie obowiązków m.in. z art. 8 (system bezpieczeństwa), art. 10 (dokumentacja), art. 11 (obsługa incydentów) oraz art. 15 (audyt)*. Dla kierownika podmiotu publicznego kara wynosi nie więcej niż 100% otrzymywanego wynagrodzenia, obliczanego według zasad ustalania ekwiwalentu za urlop*.
Odpowiedzialność za wykonanie obowiązków zostaje w urzędzie także wtedy, gdy zadania wykonuje firma zewnętrzna. Umowa przenosi czynności do wykonania. Obowiązek ustawowy zostaje przy jednostce wraz z odpowiedzialnością za jego wykonanie.
Pięć rzeczy, które w gminie zostały otwarte
Poniższe wynika z ustaleń kontroli i z konstrukcji samego programu. Każda pozycja jest czynnością wykonywaną raz.
1. Wykaz tego, co kupiono. Rozporządzenie KRI wymaga utrzymywania aktualnej inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji, wraz z rodzajem i konfiguracją*. Grant wprowadził do urzędu nową warstwę urządzeń i licencji w ciągu kilkunastu miesięcy. Wykaz aktualizuje się przy odbiorze każdej dostawy; odpowiada kierownik jednostki, a bez wykazu nie da się ani oszacować ryzyka, ani wykazać podczas kontroli, co w ogóle podlega ochronie.
2. Umowy serwisowe z klauzulami bezpieczeństwa. Rozporządzenie KRI wymaga zawierania w umowach serwisowych podpisanych ze stronami trzecimi zapisów gwarantujących odpowiedni poziom bezpieczeństwa informacji*. Umowy podpisane w latach 2024-2025 pisano pod dostawę, nie pod nadzór nad dostawcą. Moment wprowadzenia klauzul to zawarcie albo najbliższe przedłużenie umowy - a wsparcie techniczne i subskrypcje kupione z grantu wygasają w najbliższych miesiącach.
3. Zapisana ocena ryzyka dostawcy. Certyfikaty i oświadczenia zebrane w projekcie są materiałem do tej oceny. Sama ocena - z zakresem certyfikacji dostawcy, listą podwykonawców mających dostęp do systemów urzędu i wnioskiem, czy ryzyko jest akceptowalne - jest dokumentem urzędu i to jego brakuje w teczkach.
4. Rozdzielenie ról na przyszłość. Wykonawca wdrożenia jest wyłączony z audytu tej samej jednostki przez rok od zakończenia prac*. Decyzja o tym, kto audytuje, zapada przy układaniu postępowania - razem z decyzją o tym, kto wdraża.
5. System w działaniu. NIK stwierdziła, że w ponad połowie kontrolowanych urzędów systemu zarządzania bezpieczeństwem informacji nie wdrożono, mimo udziału w projekcie*. Kupiona polityka bezpieczeństwa staje się systemem wtedy, gdy ktoś w urzędzie odpowiada za jej stosowanie, przegląd i aktualizację. Dla podmiotu ważnego przegląd wykonuje się co najmniej raz w roku*.
Nasze stanowisko
Program zadziałał tam, gdzie mierzy się go liczbą urządzeń. W gminach stoi sprzęt, którego wcześniej nie było, i to jest realna zmiana - CERT Polska zarejestrował w 2025 roku 260 783 incydenty przy 658 320 zgłoszeniach, o ponad 150% więcej niż rok wcześniej*, a instytucje publiczne są w tej statystyce jednym z głównych celów.
Zawiodła warstwa, która miała pokazać, czy zakupy cokolwiek zmieniły. Audyt bez standardu, bez niezależności i bez wpływu na rozliczenie sprawdza wyłącznie to, czy faktury się zgadzają. Kontrola państwowa nazwała to po imieniu w lipcu, a ustawodawca zamknął jedną z tych luk w kwietniu - zakazem audytowania własnych wdrożeń.
Dla urzędu wniosek jest praktyczny. Rozliczenie grantu przed CPPC zamyka projekt. Wobec ustawy o KSC i rozporządzenia KRI nie zamyka niczego - obowiązki mają własne terminy, własnego adresata i własne sankcje, a punktem wyjścia do nich jest dokumentacja, której w większości kontrolowanych urzędów nie było.
Warstwa, o której mowa, jest tania w porównaniu z tym, co ją poprzedziło. Przy grancie rzędu kilkuset tysięcy złotych przegląd umów z dostawcami, ocena ryzyka łańcucha dostaw i doprowadzenie dokumentacji do stanu zgodnego z ustawą to koszt rzędu kilku procent tej kwoty, ponoszony jednorazowo. Po drugiej stronie stoi postępowanie, w którym organ pyta, na jakiej podstawie jednostka uznała ryzyko za akceptowalne, i odpowiedzialność kierownika liczona od jego wynagrodzenia.
Przegląd, który wykonujemy w samorządach, obejmuje trzy rzeczy: umowy z wykonawcami projektu grantowego pod kątem klauzul bezpieczeństwa i zakresu odpowiedzialności, dokumentację bezpieczeństwa pod kątem wymogów ustawy i rozporządzenia oraz rozdzielenie ról między wdrożeniem a audytem na najbliższe postępowania. Wynikiem jest lista braków z terminami i wskazaniem, co gmina zrobi sama, a co wymaga zlecenia. Zobacz zakres.
* Tekst jest bezpośrednim komentarzem do doniesień o opisywanym zdarzeniu. Przytoczone liczby i dane pochodzą z publikacji źródłowych i mogą być obarczone błędem pierwowzoru. Opracowanie redakcji Kancelarii Kozłowski, zatwierdzone przez radcę prawnego. Stan na dzień publikacji.
Źródła:
- Najwyższa Izba Kontroli, informacja o wynikach kontroli P/25/003, opublikowana 21.07.2026 - Mimo realizacji projektu „Cyberbezpieczny Samorząd” poziom odporności urzędów gmin na cyberataki wciąż nieznany
- Ustawa z 23.01.2026 o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 - art. 8, art. 9-15, art. 16, art. 73a, art. 33, załączniki nr 1 i 4
- Rozporządzenie Rady Ministrów z 21.05.2024 w sprawie Krajowych Ram Interoperacyjności, Dz.U. 2024 poz. 773 - § 19
- Centrum Projektów Polska Cyfrowa, komunikat z 16.06.2026 o wydłużeniu terminu realizacji przedsięwzięć grantowych do 30.09.2026
- ISSA Polska i Instytut Audytorów Wewnętrznych IIA Polska, szablon sprawozdania z audytu bezpieczeństwa zgodnego z ustawą o KSC