Projekt „Cyberbezpieczny Samorząd” był realizowany zgodnie z przyjętymi procedurami, jednak nie pozwala ustalić, czy gminy i powiaty rzeczywiście zwiększyły odporność na cyberataki. Zdaniem Najwyższej Izby Kontroli zabrakło audytów, mierzalnych wskaźników oraz powiązania rozliczenia dotacji z faktyczną poprawą bezpieczeństwa informatycznego urzędów.
Miliardy na sprzęt, bez pomiaru rezultatów
Program „Cyberbezpieczny Samorząd” skierowano do 2807 jednostek samorządu terytorialnego. Jego budżet wyniósł około 1,5 mld zł, z czego 80 proc. przeznaczono na zakup sprzętu, oprogramowania i usług wdrożeniowych. Pozostałe środki miały finansować procedury, audyty i szkolenia.
Do końca sierpnia 2025 r. realizowano 2490 projektów o łącznej wartości ponad 1,47 mld zł, a wykorzystane środki wyniosły około 1,12 mld zł, czyli 62,4 proc. budżetu programu.
NIK podkreśla jednak, że nie przeprowadzono ustandaryzowanych audytów bezpieczeństwa przed rozpoczęciem inwestycji ani nie wprowadzono porównywalnego badania efektów po ich zakończeniu. Dofinansowanie przyznawano przede wszystkim na podstawie samooceny samorządów.
Liczono zakupy i szkolenia, a nie wzrost bezpieczeństwa
Wskaźniki zastosowane w programie odnosiły się głównie do liczby zakupionych systemów oraz przeszkolonych pracowników. Nie mierzyły natomiast faktycznego wzrostu odporności urzędów na cyberataki, skuteczności ochrony danych ani zdolności do reagowania na incydenty.
W rezultacie nie można wiarygodnie stwierdzić, czy publiczne pieniądze przyniosły zakładany efekt. Według NIK taki sposób realizacji programu stwarza ryzyko nieefektywnego lub bezcelowego wydatkowania funduszy.
Kontrola wykazała również, że CPPC może nie osiągnąć dwóch kluczowych wskaźników całego projektu, dotyczących liczby wdrożonych systemów bezpieczeństwa oraz liczby wspartych jednostek samorządowych.
Błędy przy rozliczaniu grantów
NIK pozytywnie oceniła organizację naboru prowadzonego przez NASK, kwalifikacje ekspertów i formalną ocenę wniosków. Znacznie gorzej wypadła jednak kontrola rozliczeń.
Spośród 15 sprawdzonych wniosków o rozliczenie grantu aż 13 zatwierdzono mimo poważnych błędów, wadliwej dokumentacji lub braku wymaganych załączników.
Problematyczne były także długie terminy podpisywania umów. Od zakończenia oceny wniosku do zawarcia umowy mijało od trzech do ośmiu miesięcy. Nawet po dostarczeniu kompletnej dokumentacji samorządy czekały na podpis od 14 do 182 dni.
Nieprawidłowości w urzędach
Nieprawidłowości w realizacji grantów wykryto w sześciu z 17 skontrolowanych urzędów. Dotyczyły one m.in. nierzetelnych danych we wnioskach, problemów z zamówieniami publicznymi, opóźnień sprawozdawczych oraz zakupów nieprzewidzianych w dokumentacji projektu.
Jednocześnie w ponad połowie kontrolowanych urzędów nie wdrożono wymaganego Systemu Zarządzania Bezpieczeństwem Informacji. W ośmiu urzędach nie przeprowadzono obowiązkowego audytu bezpieczeństwa albo wykonano go nierzetelnie lub bez zachowania niezależności.
NIK stwierdziła także niewłaściwe zabezpieczenie serwerowni, pozostawianie dostępu do systemów byłym pracownikom, błędy w tworzeniu kopii zapasowych oraz ustawianie monitorów w sposób umożliwiający osobom postronnym podgląd danych osobowych.
Ryzykowne wykorzystanie nowych serwerów
Zastrzeżenia kontrolerów wzbudziło instalowanie na serwerach zakupionych z funduszy programu zarówno systemów cyberbezpieczeństwa, jak i zwykłych aplikacji urzędowych, np. programów podatkowych oraz baz danych mieszkańców.
Według NIK taka praktyka była niezgodna z Krajowymi Ramami Interoperacyjności. Mogła także prowadzić do przeciążenia infrastruktury i osłabienia stabilności systemów odpowiedzialnych za ochronę urzędu.
NIK: potrzebne audyty przed i po inwestycji
Najwyższa Izba Kontroli zaleciła, aby w kolejnych programach dofinansowanie i rozliczanie wydatków były uzależnione od osiągnięcia mierzalnego wzrostu poziomu cyberbezpieczeństwa.
NIK rekomenduje w szczególności obowiązkowe, ustandaryzowane audyty przeprowadzane przed rozpoczęciem projektu i po jego zakończeniu oraz wprowadzenie wskaźników pozwalających ocenić rzeczywisty wpływ inwestycji na ochronę danych i systemów samorządowych.
Komentarz redakcji
Kontrola NIK pokazuje, że samo kupowanie serwerów, programów i urządzeń nie jest jeszcze równoznaczne z budowaniem cyberbezpieczeństwa. Nowoczesny sprzęt może zwiększyć ochronę urzędu tylko wtedy, gdy towarzyszą mu właściwe procedury, kompetentny personel, regularne audyty oraz konsekwentne zarządzanie ryzykiem.
W programie o wartości około 1,5 mld zł zabrakło podstawowego mechanizmu: porównania poziomu bezpieczeństwa przed inwestycją i po jej zakończeniu. Bez takiej oceny administracja potrafi wykazać, ile urządzeń kupiono i ilu pracowników przeszkolono, ale nie potrafi odpowiedzieć na najważniejsze pytanie – czy dane mieszkańców i systemy samorządowe są dziś rzeczywiście lepiej chronione.
Redakcja Liderów Innowacyjności
