Podczas czwartkowego posiedzenia połączonych podkomisji do spraw cyberbezpieczeństwa i finansów i ustroju samorządu terytorialnego rozpatrywana była informacja Najwyższej Izby Kontroli o wynikach kontroli realizacji projektu „Cyberbezpieczny Samorząd”. 

Wiceprezes NIK Jacek Kozłowski podkreślił, że rośnie znaczenie systemów informatycznych w działalności administracji publicznej – zarówno rządowej jak i samorządowej. Rośnie również jakość świadczonych usług poprzez systemy informatyczne. 

Kontroli poddano 17 samorządów gminnych i powiatowych oraz instytucje prowadzące projekt: Centrum Projektów Polska Cyfrowa i NASK. 
Celem projektu „Cyberbezpieczny Samorząd” było zwiększenie bezpieczeństwa informacji poprzez wzmacnianie odporności jst oraz ich zdolności do skutecznego zapobiegania incydentom bezpieczeństwa informatycznego. NIK podkreśliła jednak, że realizacja projektu nasuwa istotne zastrzeżenia.

Kontrola wykazała, że w blisko połowie skontrolowanych jst nabywano zaawansowane rozwiązania z zakresu cyberbezpieczeństwa nie mając jednocześnie ustanowionych podstawowych elementów ochrony, tj. systemu zarządzania bezpieczeństwem informacji oraz nie prowadzono obowiązkowych corocznych audytów bezpieczeństwa informacji.

Dodatkowo, w dokumentach strategicznych w większości kontrolowanych jst nie uwzględniono zagadnień dotyczących zwiększenia poziomu cyberbezpieczeństwa. 

W ocenie NIK nieprawidłowo zaplanowano projekt nie wskazując obowiązku zbadania sytuacji bezpieczeństwa teleinformatycznego i nie wymagania, w jaki sposób i jakim zakresie system zwiększył cyberbezpieczeństwo.

Wśród wykazanych błędów po stronie urzędów znalazły się: brak zabezpieczenia interesów zamawiającego; brak zaksięgowania wydatku dla projektu grantowego; nierzetelne wypełnienie wniosku o dofinansowanie projektu grantowego; opóźnienia w realizacji obowiązków sprawozdawczych dotyczących projektu grantowego; nieprawidłowe określenie wartości dwóch wskaźników realizacji projektu grantowego we wniosku rozliczającym grant a także nieprawidłowy zakup pamięci RAM do serwera.  

W siedmiu skontrolowanych urzędach stwierdzono także błędy polegające na  niewłaściwym zabezpieczeniu serwerowni, w tym przechowywaniu w nich materiałów łatwopalnych; nieodebranie uprawnień do systemów informatycznych osobom, które zakończyły zatrudnienie; ustanowieniu polityki bezpieczeństwa informacji zawierającej wewnętrznie sprzeczne i niezgodne z prawem postanowienia i zapisy; ustawieniu monitorów w sposób umożliwiający wgląd osobom postronnym w dane osobowe oraz niewłaściwym sporządzaniu kopii zapasowych.

NIK sformułowała też zastrzeżenia do Centrum Projektów Polska Cyfrowa. Błędy, jakie tu wykazała kontrola to m.in. brak oceny poziomu cyberbezpieczeństwa i brak powiązania kwalifikowalności wydatków ponoszonych w ramach umów o powierzenie grantów ze wzrostem poziomu cyberbezpieczeństwa jst po wykorzystaniu grantu. 

Wnioski pokontrolne skierowano do ministra cyfryzacji, ministra funduszy i polityki regionalnej i dyrektora CPPC. Dotyczą one etapów: przed realizacją grantu (audyt bezpieczeństwa informacji potwierdzający wzrost poziomu cyberbezpieczeństwa); w trakcie realizacji grantu (osiągnięcie zakładanego wzrostu poziomu cyberbezpieczeństwa) i po realizacji grantu (audyt bezpieczeństwa informacji potwierdzający wzrost poziomu cyberbezpieczeństwa). 

Zgodnie z przekazaną informacją w ramach projektu podpisano 2497 umów.  

Wiceszef NIK podkreślił również, że to nie sprzęt definiuje poziom bezpieczeństwa informatycznego, tylko system w ramach którego ów sprzęt pracuje. 

mo/