Co to są Lokalne Centra Cyberbezpieczeństwa?

Lokalne Centra Cyberbezpieczeństwa (LCC) to inicjatywa Ministerstwa Cyfryzacji mająca wspierać najmniejsze podmioty publiczne w spełnieniu wymogów ustawy o krajowym systemie cyberbezpieczeństwa poprzez doradztwo i wsparcie techniczne na szczeblu wojewódzkim.

Ile osób pracuje nad cyberbezpieczeństwem w małych urzędach?

W wielu małych gminach za całe cyberbezpieczeństwo odpowiada jedna osoba – zwana „Kaziiem informatykiem" – która jednocześnie obsługuje drukarki, komputery, sieci i zarządzanie dostępami.

Jaki raport NIK krytykuje program „Cyberbezpieczny Samorząd"?

Najwyższa Izba Kontroli stwierdziła w swoim raporcie z 2025 roku, że program zabrakło systemowego podejścia i nie można ocenić rzeczywistych efektów wzmacniania odporności gmin na cyberataki.

Jakie wymogi muszą spełnić samorządy zgodnie z UoKSC?

Ustawa o krajowym systemie cyberbezpieczeństwa z 2018 roku nakłada na podmioty publiczne obowiązki związane z aktualizacją oprogramowania, zarządzaniem dostępami, kopiami zapasowymi i monitorowaniem systemów.

Czy małe gminy mogą pozwolić sobie na specjalistów od cyberbezpieczeństwa?

Źródło wskazuje, że wiele małych jednostek publicznych nie stać na VAT przy grantach, co podważa możliwość sfinansowania dedykowanego eksperta od cyberbezpieczeństwa.

„Kazio informatyk" i cyberbezpieczeństwo: dlaczego sprzęt to za mało

Polska administracja samorządowa walczy z cyberzagrożeniami, ale brakuje jej systemowego podejścia.

Polska administracja samorządowa stoi przed paradoksem: ma coraz więcej wymogów w zakresie cyberbezpieczeństwa, ale brakuje jej zasobów – przede wszystkim kadrowych – aby je spełnić. Problem ten ujawnił się w dyskusji dotyczącej wsparcia dla gmin w ramach programów „Cyberbezpieczny Samorząd” i „Cyberbezpieczne Wodociągi” oraz planowanych Lokalnych Centrów Cyberbezpieczeństwa.

Fenomen „Kazia informatyka” – jeden człowiek, wiele odpowiedzialności

W polskich urzędach gminy i powiatów funkcjonuje figura, którą eksperci określają mianem „Kazia informatyka”. To osoba odpowiedzialna za całość infrastruktury informatycznej – od naprawy drukarek, przez zarządzanie komputerami pracowników, aż po bezpieczeństwo systemów i compliance z przepisami.

Jeden z ekspertów cytowany w materiale źródłowym wyraził to wprost: „O jakim cyberbezpieczeństwie mówimy, jak on jest pochłonięty przez te normalne, bieżące zagadnienia? To jest jeden człowiek”.

Rzeczywistość pracy takiej osoby wygląda następująco: wymiana tonera w drukarce dla Pani Krystyny z kadr, naprawa wolno działającego laptopa Pana Ryszarda, założenie konta w Active Directory dla nowozatrudnionego Pana Krzysztofa, konfiguracja dostępu zdalnego dla Pani Kasi, przywrócenie dostępu do internetu Panu Andrzejowi, resetowanie hasła do skrzynki Pana Adama, a także obsługa incydentu bezpieczeństwa – Pana Oskara, który kliknął w złośliwą reklamę i ma podejrzane pliki na komputerze.

Jednocześnie ta sama osoba musi zadbać o kopie zapasowe, spełnić wymogi RODO, wdrożyć systemy monitorowania (SIEM, SOAR, XDR, EDR) i zarządzać całą infrastrukturą krytyczną. To zadanie dla zespołu, nie dla jednego człowieka.

Programy rządowe: sprzęt zamiast ludzi

Ministerstwo Cyfryzacji zaproponowało rozwiązanie problemu poprzez programy wsparcia finansowego. W odpowiedzi na interpelację siedmiu posłów z maja 2024 roku wiceminister Paweł Olszewski zapewnił o uruchomieniu Lokalnych Centrów Cyberbezpieczeństwa oraz pożyczek na preferencyjnych warunkach. Ministerstwo deklarowało również zwiększanie przychodów Funduszu, aby w przyszłości objąć wsparciem szerszy katalog beneficjentów.

Problem w tym, że – jak wskazuje praktyka – zakup sprzętu za miliony złotych niewiele zmienia, gdy osoba odpowiedzialna za bezpieczeństwo nie ma czasu na jego właściwe konfigurowanie i aktualizację. Firewall za kilkanaście tysięcy złotych, który nie zostanie zaktualizowany, ponieważ priorytetem jest naprawa drukarki, to marnotrawstwo budżetu publicznego.

Krytyka programu: raport Najwyższej Izby Kontroli

Najwyższa Izba Kontroli w raporcie z 2025 roku – zatytułowanym „Cyberbezpieczeństwo w samorządach kuleje” – wykazała fundamentalne problemy programu „Cyberbezpieczny Samorząd”:

Aspekt	Wynik kontroli NIK
Zgodność z procedurami	Tak – program realizowany prawidłowo
Systemowe podejście	Nie – zabrakło systemowego wzmacniania bezpieczeństwa
Ocena efektów	Niemożliwa – brak mierników rzeczywistej poprawy odporności
Wniosek	Nie można stwierdzić, czy dofinansowane urzędy faktycznie zwiększyły odporność na cyberataki

Raport ujawnił, że samo dofinansowanie sprzętu bez zmiany struktury organizacyjnej i wsparcia kadrowego nie przynosi oczekiwanych rezultatów. Gminy otrzymały pieniądze na zakupy, ale brakło im wiedzy i czasu na wdrożenie rozwiązań.

Bariery dla najmniejszych jednostek publicznych

Ustawa o krajowym systemie cyberbezpieczeństwa (UoKSC) z 2018 roku nałożyła na podmioty publiczne obowiązki, które są realne dla dużych organizacji, ale stanowią wyzwanie dla małych gmin. Ministerstwo Cyfryzacji twierdzi, że wymogi te nie są całkowicie nowe – powołując się na Krajowe Ramy Interoperacyjności obowiązujące od 2012 roku.

Jednak pytanie brzmi: ile podmiotów publicznych rzeczywiście spełniało wymogi KRI przed nowelizacją ustawy? Odpowiedź sugeruje raport NIK z 2025 roku – niezbyt wiele.

Dodatkowym problemem jest brak praktycznych narzędzi wsparcia. Ministerstwo oferuje procedury i wymogi, ale nie oferuje prostego „przewodnika po rękę” dla małych gmin. Na stronie cyber.gov.pl w sekcji FAQ (punkt 1.8) znaleźć można odesłanie do załącznika, którego analiza wymaga dogłębnej znajomości ustawy – co jest niedostępne dla pracownika samorządu zajmującego się także innymi sprawami.

Co to oznacza dla małych gmin i powiatów

Dla pracownika odpowiedzialnego za IT w małej gminie oznacza to realny dylemat: czy aktualizować firewall, czy naprawiać drukarkę? Dla kierownictwa gminy – czy zatrudnić specjalistę od cyberbezpieczeństwa, czy przeznaczyć pieniądze na inne potrzeby? Dla mieszkańców – czy ich dane w systemach urzędu są bezpieczne, jeśli osoba je chroniąca pracuje w warunkach przeciążenia?

Przykłady rezygnacji z grantów w ramach „Cyberbezpiecznych Wodociągów” pokazują, że wiele jednostek nie stać nawet na VAT przy grantach rządowych – trudno więc oczekiwać, że będzie je stać na pensję dla dedykowanego eksperta od cyberbezpieczeństwa.

Lokalne Centra Cyberbezpieczeństwa: nadzieja czy papierek?

Autor materiału źródłowego kładzie duże nadzieje w Lokalnych Centrach Cyberbezpieczeństwa, ale pod warunkami:

LCC powinny być obowiązkowe, nie dobrowolne – przeniosłoby to odpowiedzialność szczebel wyżej niż na poziom gmin, ale niżej niż na poziom centralny.
Finansowanie powinno obejmować ekspertów, nie tylko sprzęt – LCC muszą mieć zasoby kadrowe, aby rzeczywiście wspierać gminy.
Wsparcie musi być kompleksowe – od identyfikacji, czy dana jednostka podlega UoKSC, poprzez praktyczne wdrażanie wymogów, aż po monitoring efektów.

Bez tych warunków LCC będą – jak określa to autor – „papierkiem”, kolejnym elementem biurokracji bez realnego wpływu na bezpieczeństwo.

Potrzeba systemowego podejścia

Problem cyberbezpieczeństwa w polskiej administracji samorządowej nie da się rozwiązać poprzez same zakupy sprzętu. Wymaga to:

Zmiany struktury organizacyjnej – małe gminy powinny mieć dostęp do usług wspólnych w zakresie cyberbezpieczeństwa, zamiast utrzymywać jednego pracownika odpowiedzialnego za wszystko.
Wsparcia kadrowego – Lokalne Centra Cyberbezpieczeństwa powinny dysponować zespołami ekspertów dostępnymi dla gmin.
Uproszczenia wymogów – procedury i wytyczne powinny być zrozumiałe dla pracowników bez specjalistycznego przygotowania.
Monitorowania efektów – zamiast oceniania wydanych pieniędzy, należy mierzyć rzeczywistą poprawę bezpieczeństwa.

Polska administracja samorządowa zasługuje na wsparcie w zakresie cyberbezpieczeństwa. Jednak wsparcie to musi być rzeczywiste – nie tylko finansowe, ale przede wszystkim kadrowe i organizacyjne. Inaczej „Kazio informatyk” będzie nadal pracować w warunkach przeciążenia, a bezpieczeństwo danych publicznych pozostanie zagrożone.