Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) w trzeciej edycji raportu ENISA NIS360, oceniła odporność kluczowych sektorów na cyberzagrożenia. Choć ogólny poziom bezpieczeństwa IT w organizacjach rośnie, tempo zmian w wielu branżach pozostaje niewystarczające. Administracja publiczna, obok ochrony zdrowia, transportu oraz firm zarządzających usługami ICT, znalazła się w strefie ryzyka, czyli grupie sektorów o wysokiej krytyczności i niskiej dojrzałości cyberbezpieczeństwa.
Z raportu wynika, że 63 proc. działań haktywistów w UE jest wymierzonych w instytucje publiczne, a dwie na trzy nie przeprowadzają regularnych ocen bezpieczeństwa swoich systemów. ENISA wskazuje, że mimo rosnącej liczby incydentów, postęp w gotowości operacyjnej administracji jest najwolniejszy spośród wszystkich analizowanych sektorów.
Najwyższą dojrzałość w zakresie bezpieczeństwa IT ponownie osiągnęły sektory: bankowy, energetyczny i telekomunikacyjny. Jak podkreśla Tomasz Dziedzic, CTO Linux Polska cytowany w komunikacie prasowym, to efekt silnych regulacji – m.in. rozporządzenia DORA, które wymusza kompleksowe ramy zarządzania ryzykiem, testowanie odporności operacyjnej oraz monitorowanie dostawców ICT.
Według Marka Najmajera, dyrektora ds. produktów w Linux Polska, problemem administracji nie jest samo wykrywanie podatności, lecz zbyt wolne ich usuwanie – często trwające trzy miesiące lub dłużej. Dodatkowo brakuje priorytetyzacji zagrożeń, a nadmiar formalnych zgłoszeń utrudnia identyfikację podatności krytycznych dla ciągłości usług publicznych.
Eksperci wskazują na konieczność przejścia z modelu reaktywnego na podejście oparte na obserwowalności, obejmujące korelowanie logów, metryk, zdarzeń i zależności między systemami. Tylko pełna widoczność łańcucha świadczenia usług – od infrastruktury po tożsamości użytkowników – pozwala właściwie ocenić wpływ incydentów na dostępność usług publicznych.
Aż 57 proc. instytucji publicznych wskazuje na niedobór kompetencji cyberbezpieczeństwa – o 19 punktów procentowych więcej niż sektor prywatny. Jak zauważa Sebastian Jaworski, wiceprezes Linux Polska, szczególnie trudna sytuacja dotyczy jednostek lokalnych, gdzie biurokracja i przywiązanie do istniejących procedur utrudniają wdrażanie nowoczesnych rozwiązań.
ENISA przypomina, że wiele państw UE – w tym Polska – opóźniało implementację dyrektywy NIS2. Sytuacja zmieniła się po wejściu w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Podmioty objęte regulacją muszą do 3 października 2026 r. dokonać wpisu do Wykazu KSC, a do 3 kwietnia 2027 r. wdrożyć m.in. System Zarządzania Bezpieczeństwem Informacji (SZBI), wyznaczyć osoby kontaktowe oraz zweryfikować niekaralność zespołów.
