Projekt „Cyberbezpieczny Samorząd”, którego celem jest poprawa odporności gmin na zagrożenia teleinformatyczne, był realizowany zgodnie z obowiązującymi procedurami, jednak kontrola NIK wykazała, że zabrakło systemowego podejścia do wzmacniania cyberbezpieczeństwa w gminach oraz oceny rzeczywistych efektów programu. W konsekwencji nie można stwierdzić, w jakim stopniu dofinansowane urzędy faktycznie zwiększyły swoją odporność na cyberataki.
NIK ocenia, że nadzorujące projekt Centrum Projektów Polska Cyfrowa (CPPC) nie wymagało od samorządów przeprowadzenia audytów bezpieczeństwa ani przed przyznaniem dofinansowania, ani po zakończeniu prac. W praktyce oznaczało to akceptację wszystkich wydatków na sprzęt i oprogramowanie bez weryfikacji ich rzeczywistej przydatności. Kontrolą objęte zostało 19 jednostek: 12 urzędów miast i gmin, 5 starostw powiatowych oraz Centrum Projektów Polska Cyfrowa (CPPC) i NASK.
Projekt „Cyberbezpieczny Samorząd”, skierowano do wszystkich jednostek samorządu terytorialnego w Polsce – łącznie 2807 gmin, powiatów i województw. Mogły one uzyskać dofinansowanie w formie grantów finansowanych ze środków europejskich. Z budżetu wynoszącego około 1,5 mld zł większość środków (80 proc.) przeznaczono na zakup sprzętu, oprogramowania i usług wdrożeniowych, a pozostałą część na opracowanie procedur, audyty oraz szkolenia. Realizacja grantów trwała do 24 miesięcy, nie dłużej niż do 30 czerwca 2026 r.
Projekt jest realizowany w ramach programu Fundusze Europejskie na Rozwój Cyfrowy 2021-2027 (FERC), którego celem jest wspieranie cyfrowej transformacji kraju poprzez poszerzenie dostępu do ultraszybkiego internetu szerokopasmowego, podniesienie kompetencji cyfrowych pracowników instytucji sektora publicznego, zwiększenie dostępu do nowoczesnych e-usług i poprawę cyberbezpieczeństwa.
W ramach konkursu grantowego w 2023 r. jednostki samorządu terytorialnego (jst) złożyły 2614 wniosków o dofinansowanie na łączną kwotę 1,538 mld zł. Oceniono 2515 wniosków o wartości 1,486 mld zł, a w 2024 r. podpisano 2497 umów grantowych na kwotę 1,475 mld zł. Na koniec sierpnia 2025 r. realizowano 2490 projektów o łącznej wartości 1,471 mld zł.
Do tego czasu grantobiorcy (jst) złożyli jedynie 26 wniosków o płatność w celu rozliczenia grantów na kwotę 16 mln zł, z czego do dnia zakończenia kontroli (5 września 2025 r.) rozliczono zaledwie 17 wniosków o wartości 10,7 mln zł. Łączna kwota wykorzystanych środków na dzień 31 sierpnia 2025 r. wyniosła 1,122 mld zł, co stanowiło 62,4 proc. całkowitego budżetu projektu.
Jak zauważa NIK, realizacja projektu „Cyberbezpieczny Samorząd” przebiegała zgodnie z jego założeniami i przyjętymi procedurami, jednak nie wiadomo w jakim stopniu przyczynił się on do zwiększenia bezpieczeństwa informacji w jednostkach samorządu terytorialnego.
Najwyższa Izba Kontroli krytycznie oceniła same założenia i konstrukcję konkursu grantowego przygotowaną przez CPPC. Urzędnicy popełnili błędy metodologiczne na dwóch etapach. Przy składaniu wniosków CPPC nie wymagało od jednostek samorządu terytorialnego przeprowadzenia audytu ani przedstawienia jakiejkolwiek obiektywnej oceny ich aktualnego poziomu cyberbezpieczeństwa. Przyznawano granty wyłącznie w oparciu o samoocenę (niejednokrotnie błędną, jak zidentyfikowała NIK) – dokonaną przez jednostki samorządu terytorialnego – jakich konkretnie zabezpieczeń danemu urzędowi brakuje.
Z kolei przy rozliczeniu projektu nie wprowadzono mechanizmu, który uzależniałby uznanie wydatków za kwalifikowalne (prawidłowo wydane) od tego, czy samorząd realnie podniósł swój poziom odporności na cyfrowe zagrożenia. Tym samym CPPC straciło możliwość zweryfikowania, czy i w jakim stopniu publiczne pieniądze przyniosły zamierzony skutek.
NIK zauważa, że celem grantu jest zwiększenie poziomu bezpieczeństwa, zatem serwer powinien być wykorzystywany do uruchamiania systemów bezpieczeństwa wdrożonych w ramach projektu grantowego, a wszelkie inne aplikacje powinny działać na odrębnej infrastrukturze. Tymczasem w trakcie realizacji projektów grantowych w ramach „Cyberbezpiecznego Samorządu” dopuszczono do sytuacji, w której na nowo zakupionych serwerach samorządów instalowano i uruchamiano jednocześnie dwa rodzaje oprogramowania: systemy dziedzinowe (codzienne programy urzędowe, np. systemy podatkowe, programy do obsługi petentów, bazy danych mieszkańców) oraz systemy bezpieczeństwa (oprogramowanie ochronne wdrożone w ramach unijnego grantu).
Kontrola wykazała, że CPPC nie jest w stanie osiągnąć dwóch kluczowych wskaźników realizacji projektu „Cyberbezpieczny Samorząd”: jednego wskaźnika produktu (Liczba systemów służących zwiększeniu poziomu bezpieczeństwa informacji) oraz jednego wskaźnika rezultatu (Liczba jednostek samorządu terytorialnego wspartych w zakresie cyberbezpieczeństwa).
Wystąpiły zaniedbania w bieżącym raportowaniu postępów prac. Instytucje nadzorujące realizację projektu nie miały aktualnych danych o tym, jak realnie idą prace w samorządach, ponieważ CPPC aż do 1 lipca 2025 r. nie wpisywało na bieżąco wartości wskaźników do wniosków o płatność.
Stwierdzono m.in. brak staranności przy rozliczaniu grantów. Kontrolerzy NIK zbadali próbę 15 wniosków o rozliczenie grantu przesłanych przez samorządy. Aż 13 z 15 tych wniosków zostało przez NASK oficjalnie zatwierdzonych, mimo że zawierały poważne błędy, były sporządzone wadliwie lub brakowało w nich wymaganych, kluczowych załączników.
W większości skontrolowanych urzędów stwierdzono nieprawidłowości w zakresie zapewnienia bezpieczeństwa informacji. Pomimo przystąpienia do projektu „Cyberbezpieczny Samorząd”, w ponad połowie kontrolowanych urzędów nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), który jest kluczowym elementem zapewnienia cyberbezpieczeństwa.
