NIK: wodociągi, energetyka i transport słabo chronione przed cyberatakami

NIK skontrolowała działania podejmowane w latach 2021–2025 przez ośmiu operatorów usług kluczowych: czterech z sektora transportu, trzech z sektora energii oraz jednego odpowiedzialnego za zaopatrzenie w wodę pitną i jej dystrybucję. Kontrola objęła również Ministerstwo Cyfryzacji, Ministerstwo Energii i Ministerstwo Infrastruktury. Izba przeanalizowała ponadto 44 sprawozdania z audytów dotyczących innych operatorów.

Wniosek kontrolerów jest jednoznaczny: działania operatorów i organów państwa były niewystarczające, a stosowane środki bezpieczeństwa nie odpowiadały charakterowi i skali zagrożeń w cyberprzestrzeni. NIK wskazuje przy tym na powtarzające się problemy z zarządzaniem cyberbezpieczeństwem i z nadzorem nad realizacją ustawowych obowiązków.

Incydent średnio co dwie minuty

Skala zagrożenia szybko rośnie. Jak podaje NIK, w 2025 r. krajowe zespoły CSIRT obsłużyły niemal 273 tys. incydentów cyberbezpieczeństwa, czyli o 144,4 proc. więcej niż rok wcześniej. Statystycznie oznacza to incydent w polskiej cyberprzestrzeni średnio co dwie minuty.

W przypadku infrastruktury komunalnej konsekwencje ataku mogą przy tym wykraczać daleko poza utratę danych czy niedostępność strony internetowej. Systemy informatyczne i przemysłowe odpowiadają za rzeczywiste procesy: produkcję i dystrybucję wody, pracę sieci energetycznych czy funkcjonowanie transportu.

NIK zwraca uwagę, że przejęcie kontroli nad systemami wodociągowymi może potencjalnie pozwolić napastnikom na ingerencję w parametry uzdatniania wody, natomiast atak na sieci elektroenergetyczne może spowodować długotrwałe przerwy w dostawach energii. Są to wskazane przez Izbę przykłady możliwych konsekwencji cyberataków, a nie opis zdarzeń stwierdzonych podczas tej kontroli.

Alert był, reakcji nie było

Jednym z najpoważniejszych ustaleń kontroli są problemy z bieżącym monitorowaniem zagrożeń. Sześciu z ośmiu skontrolowanych operatorów systemowo nie zapewniało właściwego monitorowania i reagowania na alerty dotyczące podatności lub zagrożeń.

Ignorowane miały być m.in. komunikaty o potencjalnych incydentach, skompromitowanych stacjach roboczych, braku aktualizacji oprogramowania antywirusowego czy podatnościach zainstalowanych programów. W skrajnych przypadkach monitoringu w ogóle nie prowadzono. W efekcie operatorzy mogli nawet nie mieć wiedzy, że ich system został zaatakowany.

NIK stwierdziła też przypadki korzystania z oprogramowania i urządzeń, które nie były już wspierane przez producentów lub posiadały znane podatności. Problemem było również niestosowanie uwierzytelniania dwuskładnikowego.

Lista nieprawidłowości nie ograniczała się do świata cyfrowego. Kontrolerzy wskazali także na uchybienia w zabezpieczeniu fizycznym infrastruktury: otwarte i niezabezpieczone szafy serwerowe, przechowywanie w serwerowniach materiałów łatwopalnych, niewłaściwe zabezpieczenia przeciwpożarowe czy niewykorzystywanie systemów alarmowych.

Dokumentacja i audyty również do poprawy

Według NIK operatorzy nie zawsze posiadali aktualną i kompletną dokumentację dotyczącą cyberbezpieczeństwa. Stwierdzono również przypadki nieterminowego wykonywania obowiązkowych audytów.

Izba oceniła, że kontrolowani operatorzy nie wdrożyli prawidłowo systemów zarządzania bezpieczeństwem informacji zgodnych z wymaganiami ustawy o krajowym systemie cyberbezpieczeństwa i odpowiednimi normami ISO.

W praktyce oznacza to, że cyberbezpieczeństwo nie może być traktowane jako pojedynczy zakup zapory sieciowej, programu antywirusowego czy usługi informatycznej. Konieczny jest stały proces obejmujący identyfikację ryzyka, zarządzanie podatnościami, monitoring, reagowanie na incydenty, aktualizację procedur, bezpieczeństwo fizyczne i zapewnienie ciągłości działania.

NIK krytykuje także nadzór ministerstw

Zastrzeżenia Izby dotyczą nie tylko samych operatorów. Ministrowie odpowiedzialni za nadzór nad cyberbezpieczeństwem w badanych sektorach nie wszczynali kontroli ani postępowań dotyczących kar finansowych wobec objętych analizą operatorów, mimo że posiadali informacje o niewykonywaniu przez nich istotnych obowiązków. NIK wiąże ten problem m.in. z niedostateczną obsadą kadrową odpowiednich komórek ministerstw.

Krytycznie oceniono również działania związane z krajową strategią cyberbezpieczeństwa i wdrożeniem unijnej dyrektywy NIS2. Nową strategię przyjęto 434 dni po zakończeniu obowiązywania poprzedniej. Z kolei przepisy wdrażające NIS2 zaczęły obejmować nowe podmioty obowiązkami od 3 kwietnia 2026 r., według wyliczeń NIK 532 dni po terminie implementacji dyrektywy.

Nowe obowiązki obejmą tysiące podmiotów

Ustalenia NIK nabierają dodatkowego znaczenia w związku z rozszerzeniem krajowego systemu cyberbezpieczeństwa. Liczba podmiotów podlegających regulacjom wzrosła – według danych przytoczonych przez Izbę – z 397 do ponad 38 tys. Najliczniejszą grupę stanowi administracja publiczna – ok. 28 tys. podmiotów.

Dla samorządów i przedsiębiorstw realizujących usługi publiczne oznacza to konieczność zweryfikowania nie tylko zabezpieczeń technicznych, ale całego modelu zarządzania ryzykiem. NIK podkreśla, że dostosowanie się podmiotów publicznych do nowych regulacji może wymagać zarówno uzupełnienia procedur i dokumentacji, jak i wdrożenia nowych rozwiązań technicznych oraz poniesienia dodatkowych nakładów.

NIK: potrzebne ciągłe monitorowanie i szybka reakcja

Wśród zaleceń skierowanych do operatorów Izba wymienia przede wszystkim systematyczne identyfikowanie i szacowanie ryzyka, wdrażanie zabezpieczeń technicznych i organizacyjnych proporcjonalnych do zagrożeń oraz ciągłe monitorowanie systemów i bezzwłoczne reagowanie na alerty bezpieczeństwa.

NIK zaleca również zapewnienie kompletnej i aktualnej dokumentacji cyberbezpieczeństwa, która powinna tworzyć podstawy do utrzymania ciągłości działania usług oraz ochrony poufności, integralności, dostępności i autentyczności danych.

Dla branży komunalnej raport jest więc wyraźnym sygnałem ostrzegawczym. Wodociągi, energetyka czy transport należą do usług, których zatrzymanie w wyniku cyberataku może szybko przełożyć się na funkcjonowanie całych miast i gmin. Wraz z rozszerzeniem obowiązków wynikających z krajowego systemu cyberbezpieczeństwa zarządzanie ryzykiem cyfrowym staje się jednym z elementów odpowiedzialności za ciągłość podstawowych usług publicznych.

Źródło: Najwyższa Izba Kontroli, „Cyberbezpieczeństwo wybranych usług kluczowych”, P/25/083, informacja o wynikach kontroli opublikowana 27 sierpnia 2026 r.