Urzędy w UE pod atakiem: 63% incydentów, tylko 1/3 robi audyty

Administracja publiczna w Unii Europejskiej jest najczęściej atakowanym sektorem infrastruktury państwowej, a większość urzędów nie posiada zdolności do regularnego sprawdzania własnego bezpieczeństwa. Raport ENISA NIS360 2026 opublikowany 28 maja ujawnił skalę problemu, która zmusza do pilnych zmian — szczególnie w Polsce, gdzie nowe przepisy mogą objąć ponad 27 tys. instytucji publicznych.

Administracja publiczna w strefie wysokiego ryzyka

Europejska Agencja Unii ds. Cyberbezpieczeństwa (ENISA) umieściła administrację publiczną w tzw. strefie ryzyka — kategorii dla sektorów o wysokiej krytyczności, ale niskim poziomie dojrzałości cyberbezpieczeństwa. Obok administracji znalazły się tam ochrona zdrowia, kolej, transport morski, zarządzanie usługami ICT, sektor kosmiczny oraz zaopatrzenie w wodę pitną i odprowadzanie ścieków.

Problem nie sprowadza się do liczby ataków, lecz do różnicy między znaczeniem administracji dla obywateli a jej rzeczywistą gotowością do obrony. Awaria systemu urzędowego może zablokować dostęp do rejestru, świadczeń, e-usług albo bezpośredni kontakt obywatela z instytucją — co oznacza, że skutki cyberataku wykraczają poza dział IT.

Dlaczego urzędy są tak atrakcyjnym celem?

Administracja publiczna odpowiada za 38,2% wszystkich zarejestrowanych incydentów cybernetycznych w Unii Europejskiej. Na drugim miejscu znalazł się transport z udziałem zaledwie 7,5%, a następnie infrastruktura i usługi cyfrowe (4,8%) oraz finanse (4,5%). Przewaga administracji jest więc pięciokrotnie większa niż u konkurencji.

Przyczyna nie sprowadza się do zwykłej cyberprzestępczości nastawionej na pieniądze. Państwowe systemy przechowują dane wartościowe z punktu widzenia wywiadu, obronności, gospodarki i polityki. Jednocześnie serwisy ministerstw, samorządów i instytucji publicznych są atrakcyjnym celem dla grup hacktywistycznych, którym zależy na rozgłosie i zakłócaniu usług.

Struktura ataków pokazuje różne motywy napastników:

Typ ataku	Udział w incydentach	Motywacja
Aktywność hacktywistyczna	~63%	Rozgłos, zakłócanie usług, protest polityczny
Naruszenia danych	~18%	Kradzież informacji wrażliwych
Cyberprzestępczość	~16%	Zysk finansowy, wymuszenia

Prawie 63% incydentów dotyczących administracji publicznej wiązało się z aktywnością hacktywistyczną — to oznacza, że większość ataków ma charakter polityczny lub protestacyjny, a nie finansowy.

Najgorszy problem: luka między wykryciem a naprawą

Najbardziej niepokojący fragment raportu ENISA nie dotyczy liczby ataków, lecz zdolności instytucji do usuwania własnych słabości. Większość badanych administracji potrafi wykrywać podatności niemal w czasie rzeczywistym albo podczas zaplanowanych kontroli. Problem zaczyna się później.

ENISA stwierdza, że instalowanie poprawek bezpieczeństwa zajmuje administracji publicznej często ponad trzy miesiące. To oznacza, że instytucja może wiedzieć o podatności, ale przez wiele tygodni pozostawiać ją otwartą dla potencjalnych napastników.

Jeszcze większy problem to niedostateczne oceny bezpieczeństwa:

• Około 1/3 badanych instytucji w ogóle nie wykonuje pełnych ocen bezpieczeństwa
• Około 1/2 robi je w ograniczonym zakresie lub doraźnie
• Tylko około 1/3 przeprowadza pełne i regularne oceny (co najmniej coroczne)

Łącznie dwie trzecie urzędów nie robi regularnych pełnych ocen bezpieczeństwa — czyli nie ma systematycznego wglądu w stan swoich systemów.

Brak kompetencji na poziomie zarządzania

ENISA widzi również problem na poziomie zarządzania. Administracja należy do sektorów o najniższym zaangażowaniu kadry kierowniczej i najniższych kompetencjach menedżerskich w obszarze cyberbezpieczeństwa:

• Około 1/3 instytucji nie ma uporządkowanego sposobu zapewnienia odpowiedniej wiedzy o cyberbezpieczeństwie na poziomie zarządczym
• Mniej więcej 1/2 nie prowadzi szkoleń z cyberbezpieczeństwa dla kierownictwa
• 1/3 nie organizuje inicjatyw dotyczących cyberhigieny i świadomości zagrożeń dla pracowników

To istotne, ponieważ phishing pozostaje jednym z podstawowych sposobów uzyskiwania pierwszego dostępu do systemów administracji. ENISA wskazuje jednocześnie na coraz częstsze wykorzystywanie bardziej zaawansowanego spear-phishingu, ataków na serwery pocztowe i usługi zdalnego dostępu.

Problem kompetencji potwierdza Global Cybersecurity Outlook 2026 Światowego Forum Ekonomicznego. Brak odpowiedniej wiedzy i specjalistów wskazało 57% respondentów z sektora publicznego — dla porównania w badaniu niedostateczną odporność cybernetyczną deklarowało 23% organizacji publicznych i 11% firm prywatnych.

Co się zmienia w Polsce: NIS2 i 27 tys. urzędów

Dane ENISA są szczególnie istotne dla Polski, ponieważ 3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. Ustawa została ogłoszona 2 marca 2026 roku w Dzienniku Ustaw pod pozycją 252.

Ministerstwo Cyfryzacji szacuje, że nowymi regulacjami może zostać objętych około 38 tys. podmiotów, z czego około 27 tys. to podmioty publiczne. Skala jest więc znacznie większa niż w poprzednim modelu krajowego systemu cyberbezpieczeństwa.

Nowelizacja zastąpiła dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych kategoriami podmiotów kluczowych oraz podmiotów ważnych. Dla administracji szczególne znaczenie ma to, że sama unijna dyrektywa NIS2 koncentruje się przede wszystkim na administracji szczebla centralnego, ale pozwala państwom członkowskim rozszerzać zakres regulacji na organy regionalne i lokalne.

ENISA wskazuje, że właśnie różnice między dużymi instytucjami centralnymi a mniejszymi jednostkami są jedną z przyczyn nierównego poziomu odporności w Europie. Polska zdecydowała się na szerokie włączenie — oznacza to, że wiele samorządów i instytucji lokalnych będzie musiało dostosować się do nowych wymagań.

Co to oznacza dla polskich urzędów i obywateli

Nowe przepisy wprowadzają konkretny kalendarz obowiązków dla podmiotów publicznych. Od kwietnia do maja 2026 roku Minister Cyfryzacji dokonywał wpisów z urzędu instytucji do rejestru podmiotów kluczowych i ważnych.

Dla urzędów oznacza to obowiązek:

• Przeprowadzania regularnych, pełnych ocen bezpieczeństwa (co najmniej corocznych)
• Szybszego łatania podatności (zamiast trzech miesięcy)
• Wdrażania systematycznych szkoleń z cyberbezpieczeństwa dla kierownictwa
• Organizacji inicjatyw dotyczących świadomości zagrożeń dla wszystkich pracowników
• Kontroli dostawców ICT i testowania odporności systemów

Dla obywateli oznacza to, że urzędy będą musiały zwiększyć bezpieczeństwo e-usług, rejestrów i systemów obsługi spraw administracyjnych. Jednak jak pokazuje raport ENISA, samo wprowadzenie regulacji to dopiero początek — rzeczywista zmiana wymaga zaangażowania kierownictwa, inwestycji w szkolenia i systematycznych procesów.

Tomasz Dziedzic, Chief Technology Officer w Linux Polska, wskazuje, że regulacje mogą wymuszać uporządkowanie procesów, które wcześniej były prowadzone niesystematycznie. Dotyczy to nie tylko reagowania na incydenty, ale także kontroli dostawców ICT, testowania odporności i wymiany informacji o zagrożeniach.

Lekcje z sektorów bardziej dojrzałych

Raport ENISA pokazuje, że wysoka krytyczność sektora nie musi automatycznie oznaczać słabej odporności. Najbardziej dojrzałe pozostają bankowość, energetyka elektryczna i telekomunikacja.

W sektorze bankowym 90% badanych podmiotów deklarowało regularne, co najmniej coroczne oceny bezpieczeństwa. W infrastrukturze rynków finansowych odsetek wynosił 75%. ENISA wiąże lepszy wynik m.in. z wieloletnim nadzorem regulacyjnym, bardziej rozwiniętym zarządzaniem ryzykiem i większym zaangażowaniem kierownictwa. W przypadku finansów dodatkowym bodźcem stało się rozporządzenie DORA, które zaostrzyło wymagania dotyczące operacyjnej odporności cyfrowej.

To pokazuje, że administracja publiczna może się uczyć od sektora finansowego — nie chodzi tylko o technologię, lecz o zmianę kultury organizacyjnej, zaangażowanie zarządu i systematyczne procesy.