Najwyższa Izba Kontroli opublikowała raport z kontroli projektu „Cyberbezpieczny Samorząd”. Zdaniem Izby, realizacja projektu przebiegła zgodnie z planem, jednak nadal „nie wiadomo w jakim stopniu przyczynił się on do zwiększenia bezpieczeństwa informacji w jednostkach samorządu terytorialnego”.

NIK krytycznie oceniła m.in. same założenia i konstrukcję konkursu grantowego przygotowaną przez CPPC. Jak wynika z raportu, przy składaniu wniosków CPPC nie wymagało od samorządów przeprowadzenia audytu, a granty przyznawano wyłączenie w oparciu o samoocenę dokonaną przez samorządy.

„Głównym celem „Cyberbezpiecznego Samorządu” miało być realne wzmocnienie odporności urzędów na incydenty w systemach informacyjnych i ataki hakerskie. Tymczasem przez brak procedur badających stan „przed” i „po”, CPPC straciło możliwość zweryfikowania, czy i w jakim stopniu publiczne pieniądze przyniosły zamierzony skutek” – dodała NIK.

Kontrola wykazała też, że w trakcie realizacji projektów grantowych dopuszczono do sytuacji, w której na nowo zakupionych serwerach samorządów instalowano i uruchamiano jednocześnie codzienne programy urzędowe i systemu bezpieczeństwa wdrożone w ramach unijnego grantu. Zdaniem NIK „taka praktyka jest nielegalna i bezpośrednio łamie rozporządzenie w sprawie Krajowych Ram Interoperacyjności (KRI)”.

„Oprócz aspektu prawnego, niesie to ze sobą także ryzyko techniczne, gdyż prowadzi to do potencjalnego konfliktu o zasoby serwera, co może obniżyć stabilność i niezawodność systemów bezpieczeństwa” – wyjaśniła Izba.

W trakcie realizacji projektu wystąpiły też zaniedbania w bieżącym raportowaniu postępów prac. Zdaniem NIK instytucje nadzorujące realizację projektu nie miały aktualnych danych o tym, jak realnie idą prace w samorządach, „ponieważ CPPC aż do 1 lipca 2025 r. nie wpisywało na bieżąco wartości wskaźników do wniosków o płatność”.

Kolejny problem dotyczył obowiązkowych audytów bezpieczeństwa informacji, które samorządy musiały przeprowadzić na koniec realizacji grantu. Jak wynika z raportu, CPPC nie ustandaryzowało tych audytów, a każdy samorząd mógł je przeprowadzić w dowolny sposób.

Badaniem objęto też sposób wykorzystania najwyższych wartościowo grantów w ramach projektu „Cyberbezpieczny Samorząd” finansowanego z Programu FERC. W tym zakresie nieprawidłowości  wykazano w 6 z 17 skontrolowanych urzędów, które dotyczyły m.in. nierzetelnego wypełniania wniosku o dofinansowanie, opóźnień w realizacji obowiązków sprawozdawczych dot. projektu grantowego i nieuprawnionego zakupu pamięci RAM do serwera.

Dodatkowo w większości skontrolowanych urzędów NIK nie zapewniono odpowiedniego bezpieczeństwa informacji. Jak czytamy, w ponad połowie jednostek nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji, a w ośmiu urzędach nie przeprowadzono obowiązkowego audytu informacji m.in. przez brak odpowiednich specjalistów.

„Inne nieprawidłowości w zakresie zapewnienia bezpieczeństwa informacji dotyczyły m.in. niewłaściwego zabezpieczenia serwerowni urzędów, nieodbierania uprawnień do systemów urzędu byłym pracownikom, niewłaściwego sporządzania kopii zapasowych” – przekazała NIK.

W wyniku kontroli NIK wniosła do Ministra Cyfryzacji we współpracy z Ministrem Funduszy i Polityki Regionalnej oraz Dyrektorem CPPC o zapewnienie powiązania kwalifikowalności wydatków z osiągnięciem zakładanego wzrostu poziomu cyberbezpieczeństwa w przypadku realizowania kolejnych projektów w tym obszarze. 

Program „Cyberbezpieczny Samorząd” został uruchomiony przez Ministerstwo Cyfryzacji w 2023 r. JST mogły składać wnioski o granty do 850 tys. zł z przeznaczeniem na zakup sprzętu i oprogramowania (firewalle, systemy backupu), wdrożenie procedur bezpieczeństwa, szkolenia dla pracowników oraz narzędzia do monitorowania zagrożeń. Realizatorem programu było Centrum Projektów Polska Cyfrowa we współpracy z NASK.

mc/