Projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa trafił do Sejmu i wiele wskazuje na to, że na początku 2026 roku wejdzie w życie. To implementacja unijnej dyrektywy NIS2 poprawiającej i ujednolicającej na terytorium Unii rozwiązania w obszarze cyberbezpieczeństwa. Wśród podmiotów kluczowych objętych nowym prawem znalazło się wiele podmiotów publicznych, w tym samorząd terytorialny. Dostosowanie prawa krajowego do dyrektywy nakłada na samorządy wiele obowiązków. Dziś poruszymy osiem kluczowych kwestii, którymi muszą natychmiast zająć się samorządowcy, aby nadążyć za zmianami. Niezależnie od tego, czy jednostki samorządu terytorialnego zgłosiły uwagi do projektu, nie mogą sobie pozwolić na ignorowanie spraw cyberbezpieczeństwa. 

Aktualizacja systemów informatycznych, infrastruktury i aplikacji w jednostkach samorządu terytorialnego

Wśród odpowiednich środków technicznych zgodnych z NIS2 znajduje się obowiązek aktualizacji używanych systemów informatycznych i oprogramowania używanego w samorządach. Ponadto jednostki administracji publicznej w ramach kontroli łańcucha dostaw muszą zwracać uwagę na ich pochodzenie. Pojawia się też obowiązek przeprowadzania audytu bezpieczeństwa dla podmiotów kluczowych co 3 lata.

Ochrona danych obywateli w administracji publicznej

W kontekście ochrony danych obywateli NIS2 można z punktu widzenia jednostek samorządu terytorialnego uznać za pewne rozszerzenie RODO w zakresie cyberbezpieczeństwa. Samorządy powinny tworzyć kopie zapasowe danych, stosować zaawansowane szyfrowanie i chronić dane przed kradzieżą, a także regularnie przeprowadzać analizę ryzyka.

Segmentacja sieci w urzędach zgodnie z dyrektywą NIS2

Dyrektywa NIS2 w sprawie środków na rzecz wysokiego poziomu cyberbezpieczeństwa zwraca uwagę na segmentację sieci w administracji publicznej. Chodzi o to, by stworzyć odseparowane od siebie segmenty, na przykład izolując sieć usług publicznych od lepiej zabezpieczonej sieci zawierającej wrażliwe dane.

SOC dla sektora publicznego w celu monitorowania zagrożeń

Jednostki samorządowe są zobowiązane do monitorowania bezpieczeństwa sieci przez 24 godziny na dobę. Co istotne, w przypadku incydentów związanych z cyberbezpieczeństwem, dane na ich temat muszą zostać zebrane i przekazane dalej. W praktyce wymaga to prowadzenia przez samorządy Security Operations Center – SOC, a to oznacza ogromne wydatki. Tę kwestię można rozwiązać na dwa sposoby – realizując te nowe obowiązki w ramach outsourcingu lub współdzieląc SOC regionalnie z innymi samorządami, a tym samym rozkładając koszty.

Obowiązki związane z raportowaniem o incydentach

W myśl dyrektywy NIS2 pojawia się rygorystyczny obowiązek raportowania na temat poważnych incydentów związanych z cyberbezpieczeństwem. Raporty mają trafiać do CSIRT w ramach wczesnego ostrzeżenia w ciągu doby, pełnego zgłoszenia po 72 godzinach oraz końcowego raportu po miesiącu od zdarzenia. Samorządy muszą wdrożyć plan reagowania na te incydenty wraz z testami i procedurami zapobiegania. Ponadto konieczne jest wyznaczenie osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.

Zarządzanie uprawnieniami i dostępami w jednostkach samorządowych

Kolejnym istotnym obszarem jest wprowadzenie polityki dotyczącej kontroli dostępu. W praktyce oznacza to korzystanie z zasad takich jak minimalizacja uprawnień lub ciągła autentykacja. Ograniczeniu powinien podlegać także zdalny dostęp.

Ryzyko w zakresie cyberbezpieczeństwa związane z usługami chmurowymi

Jeśli chodzi o podmioty kluczowe i podmioty ważne objęte dyrektywą NIS2, pojawia się obowiązek rygorystycznego zarządzania łańcuchem dostaw, ze szczególnym naciskiem na dostawców usług chmurowych. W takim razie samorządy muszą weryfikować praktyki bezpieczeństwa dostawców i uruchamiać klauzule cyberbezpieczeństwa. Warto korzystać wyłącznie z dostawców działających zgodnie z NIS2.

Szkolenia i podnoszenie świadomości pracowników samorządu zgodnie z dyrektywą NIS2

Cyberbezpieczeństwo wzrasta wraz ze wzrostem świadomości pracowników samorządu. Aby postępować zgodnie z nowymi przepisami, konieczne jest przeprowadzanie regularnych szkoleń dla kierowników i pracowników związanych z cyberbezpieczeństwem. Szkolenia mają na celu podniesienie cyberhigieny i świadomości na temat zagrożeń.

Implementacja dyrektywy NIS2 może być szczególnie kłopotliwa dla najmniejszych jednostek samorządu terytorialnego, dlatego warto jak najszybciej zadbać o stosowne rozwiązania.