Urzędy są najczęściej atakowanym sektorem w UE. Dwie trzecie nie robi regularnych pełnych ocen bezpieczeństwa

Administracja publiczna pozostaje najczęściej atakowanym sektorem w Unii Europejskiej, a jej cyberbezpieczeństwo nie nadąża za znaczeniem usług, które świadczy obywatelom. Najnowszy ENISA NIS360 2026 pokazuje, że tylko około jedna trzecia badanych instytucji publicznych przeprowadza pełne, regularne oceny bezpieczeństwa, a usuwanie wykrytych podatności często trwa ponad trzy miesiące.

W Polsce problem nabiera dodatkowego znaczenia: po wdrożeniu dyrektywy NIS2 znowelizowany krajowy system cyberbezpieczeństwa może objąć około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych.

Cyberbezpieczeństwo administracji publicznej 2026: ENISA stawia urzędy w strefie ryzyka

Europejskie urzędy są jednym z najbardziej wystawionych na cyberataki elementów infrastruktury państwa. Nie chodzi tylko o liczbę incydentów. Problem polega na różnicy między znaczeniem administracji dla obywateli a jej rzeczywistą gotowością do odpierania ataków.

W opublikowanym 28 maja raporcie ENISA NIS360 2026 Agencja Unii Europejskiej ds. Cyberbezpieczeństwa umieściła administrację publiczną w tzw. strefie ryzyka. Trafiają do niej sektory, których krytyczność jest wysoka, lecz poziom dojrzałości cyberbezpieczeństwa pozostaje niższy od przeciętnego i nie odpowiada skali potencjalnych skutków awarii lub ataku.

Obok administracji znalazły się tam ochrona zdrowia, kolej, transport morski, zarządzanie usługami ICT, sektor kosmiczny oraz zaopatrzenie w wodę pitną i odprowadzanie ścieków. To szersza lista niż ta, którą eksponuje materiał prasowy Linux Polska oparty na raporcie ENISA.

Administracja publiczna jest najczęściej atakowanym sektorem w UE

ENISA ocenia wprost, że administracja publiczna pozostaje najczęściej atakowanym sektorem i prawdopodobnie będzie nim także w krótkiej i średniej perspektywie.

Skala przewagi nad innymi sektorami jest duża. W ENISA Threat Landscape 2025 administracja odpowiadała za 38,2 proc. zarejestrowanych incydentów. Na drugim miejscu znalazł się transport z udziałem 7,5 proc., następnie infrastruktura i usługi cyfrowe - 4,8 proc. - oraz finanse - 4,5 proc.

Powód nie sprowadza się do cyberprzestępczości nastawionej na pieniądze. Państwowe systemy przechowują dane wartościowe z punktu widzenia wywiadu, obronności, gospodarki i polityki. Jednocześnie serwisy ministerstw, samorządów czy instytucji publicznych są atrakcyjnym celem dla grup hacktywistycznych, którym zależy na rozgłosie i zakłócaniu usług.

ENISA podaje, że niemal 63 proc. incydentów dotyczących administracji publicznej wiązało się z aktywnością hacktywistyczną. Około 18 proc. stanowiły naruszenia danych, a około 16 proc. incydentów przypisano aktorom cyberprzestępczym.

To ważne rozróżnienie. W materiale prasowym wskaźnik 63 proc. został opisany tak, jakby oznaczał udział wszystkich działań hacktywistów w UE skierowanych przeciw administracji. Sam raport ENISA mówi coś innego: niemal 63 proc. incydentów odnotowanych w sektorze administracji stanowiła aktywność hacktywistyczna.[1][2]

Tylko jedna trzecia urzędów robi pełne, regularne oceny bezpieczeństwa

Najbardziej niepokojący fragment raportu nie dotyczy liczby ataków, lecz zdolności instytucji do usuwania własnych słabości.

Większość badanych administracji potrafi wykrywać podatności niemal w czasie rzeczywistym albo podczas zaplanowanych kontroli. Problem zaczyna się później. ENISA stwierdza, że instalowanie poprawek często zajmuje ponad trzy miesiące. Jednocześnie tylko około jedna trzecia badanych podmiotów przeprowadza pełne i regularne oceny bezpieczeństwa.

W bardziej szczegółowym zestawieniu Agencja wskazuje, że około jedna piąta badanych instytucji w ogóle nie wykonuje takich ocen, a około połowa robi je w ograniczonym zakresie lub doraźnie.

Oznacza to, że instytucja może wiedzieć o podatności, ale przez wiele tygodni pozostawiać ją otwartą. Marek Najmajer, Product Director w Linux Polska, zwraca uwagę, że problemem staje się właśnie odstęp pomiędzy wykryciem zagrożenia a jego usunięciem. Jak ocenia, „luka między rozpoznaniem ryzyka a jego realnym ograniczeniem pozostaje zbyt duża”.

W administracji skutki takiego opóźnienia wychodzą poza dział IT. Awaria systemu może zablokować dostęp do rejestru, świadczenia, e-usługi albo kontaktu obywatela z urzędem.

Połowa administracji nie szkoli kierownictwa z cyberbezpieczeństwa

ENISA widzi również problem na poziomie zarządzania. Administracja należy do sektorów o najniższym zaangażowaniu kadry kierowniczej i najniższych kompetencjach menedżerskich w obszarze cyberbezpieczeństwa.

Około jedna trzecia badanych instytucji nie ma uporządkowanego sposobu zapewnienia odpowiedniej wiedzy o cyberbezpieczeństwie na poziomie zarządczym. Mniej więcej połowa nie prowadzi szkoleń z cyberbezpieczeństwa dla kierownictwa. Jedna trzecia nie organizuje inicjatyw dotyczących cyberhigieny i świadomości zagrożeń dla pracowników.[1]

To istotne, ponieważ phishing pozostaje jednym z podstawowych sposobów uzyskiwania pierwszego dostępu do systemów administracji. ENISA wskazuje jednocześnie na coraz częstsze wykorzystywanie bardziej zaawansowanego spear-phishingu, ataków na serwery pocztowe i usługi zdalnego dostępu.

Problem kompetencji potwierdza Global Cybersecurity Outlook 2026 Światowego Forum Ekonomicznego. Brak odpowiedniej wiedzy i specjalistów wskazało 57 proc. respondentów z sektora publicznego. Dla porównania w badaniu niedostateczną odporność cybernetyczną deklarowało 23 proc. organizacji publicznych i 11 proc. firm prywatnych.

Banki, energetyka i telekomunikacja są znacznie lepiej przygotowane

Raport ENISA pokazuje, że wysoka krytyczność sektora nie musi automatycznie oznaczać słabej odporności. Najbardziej dojrzałe pozostają bankowość, energetyka elektryczna i telekomunikacja.

W sektorze bankowym 90 proc. badanych podmiotów deklarowało regularne, co najmniej coroczne oceny bezpieczeństwa. W infrastrukturze rynków finansowych odsetek wynosił 75 proc.

ENISA wiąże lepszy wynik m.in. z wieloletnim nadzorem regulacyjnym, bardziej rozwiniętym zarządzaniem ryzykiem i większym zaangażowaniem kierownictwa. W przypadku finansów dodatkowym bodźcem stało się rozporządzenie DORA, które zaostrzyło wymagania dotyczące operacyjnej odporności cyfrowej.

Tomasz Dziedzic, Chief Technology Officer w Linux Polska, wskazuje, że regulacje mogą wymuszać uporządkowanie procesów, które wcześniej były prowadzone niesystematycznie. Dotyczy to nie tylko reagowania na incydenty, ale także kontroli dostawców ICT, testowania odporności i wymiany informacji o zagrożeniach.

Polska wdrożyła NIS2. KSC może objąć około 27 tys. podmiotów publicznych

Dane ENISA są szczególnie istotne w Polsce, ponieważ 3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Ustawa została ogłoszona 2 marca 2026 roku w Dzienniku Ustaw pod pozycją 252.

Ministerstwo Cyfryzacji szacuje, że nowymi regulacjami może zostać objętych około 38 tys. podmiotów, z czego około 27 tys. to podmioty publiczne.

Skala jest więc znacznie większa niż w poprzednim modelu krajowego systemu cyberbezpieczeństwa. Nowelizacja zastąpiła dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych kategoriami podmiotów kluczowych oraz podmiotów ważnych.

Dla administracji szczególne znaczenie ma to, że sama unijna dyrektywa NIS2 koncentruje się przede wszystkim na administracji szczebla centralnego, ale pozwala państwom członkowskim rozszerzać zakres regulacji na organy regionalne i lokalne. ENISA wskazuje, że właśnie różnice między dużymi instytucjami centralnymi a mniejszymi jednostkami są jedną z przyczyn nierównego poziomu odporności w Europie.

Do 3 października 2026 roku trwa samorejestracja w Wykazie KSC

Nowe polskie przepisy wprowadzają konkretny kalendarz obowiązków.

Od 13 kwietnia do 6 maja 2026 roku Minister Cyfryzacji dokonywał wpisów z urzędu m.in. dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych oraz podmiotów publicznych. Od 7 maja działa samorejestracja podmiotów, które nie zostały objęte wpisem z urzędu.[7]

Termin złożenia wniosku o wpis do Wykazu KSC dla podmiotów podlegających samorejestracji upływa 3 października 2026 roku.

Kolejna ważna data to 3 kwietnia 2027 roku. Do tego czasu podmioty spełniające kryteria w dniu wejścia w życie nowelizacji muszą wdrożyć obowiązki wynikające z nowych przepisów oraz rozpocząć korzystanie z systemu S46. Chodzi m.in. o przygotowanie i wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji, zgłaszanie incydentów, zarządzanie ryzykiem oraz wyznaczenie osób odpowiedzialnych za kontakt z krajowym systemem cyberbezpieczeństwa.

Dla części podmiotów kluczowych termin pierwszego obowiązkowego audytu przypada 3 kwietnia 2028 roku.

Ministerstwo Cyfryzacji podało 14 lipca, że z platformy S46 Cyber Hub korzystało już ponad 2 tys. podmiotów. System służy m.in. do zgłaszania incydentów, odbierania ostrzeżeń i wymiany informacji o zagrożeniach.

Cyberbezpieczeństwo urzędu nie kończy się na zakupie narzędzi

Z raportu ENISA wynika jeszcze jeden wniosek. Instytucje publiczne nie mają wyłącznie problemu technologicznego.

Słabsze wyniki pojawiają się równocześnie w kilku miejscach: szkoleniu kierownictwa, cyberhigienie pracowników, regularnym testowaniu zabezpieczeń, tempie instalowania poprawek, współpracy między instytucjami i przygotowaniu planów reagowania na incydenty.[1]

Dlatego sama wymiana oprogramowania lub zakup nowego systemu bezpieczeństwa nie rozwiązuje problemu. Marek Najmajer z Linux Polska wskazuje na potrzebę ciągłej obserwowalności infrastruktury - łączenia logów, metryk i zdarzeń z wiedzą o zależnościach pomiędzy systemami. Pozwala to ustalić nie tylko, że pojawił się techniczny alert, lecz również, którą usługę publiczną może on zakłócić i jak szybko należy zareagować.

W przypadku administracji jest to szczególnie ważne. Urząd nie jest zwykłym użytkownikiem systemu IT. Przechowuje dane obywateli, utrzymuje rejestry i realizuje zadania, których nie można po prostu przenieść do konkurencyjnego usługodawcy, gdy serwis przestanie działać.

Czy NIS2 obejmuje urzędy i samorządy?

Dyrektywa NIS2 na poziomie unijnym obejmuje przede wszystkim administrację centralną i pozwala państwom rozszerzać zakres na administrację regionalną i lokalną. Polska implementacja w ustawie o krajowym systemie cyberbezpieczeństwa obejmuje bardzo szeroką grupę podmiotów publicznych. Ministerstwo Cyfryzacji szacuje ich liczbę na około 27 tys.

Do kiedy trzeba wpisać się do Wykazu KSC?

Podmioty podlegające samorejestracji, które spełniały kryteria w dniu wejścia w życie nowelizacji, mają czas do 3 października 2026 roku. Część podmiotów publicznych została wcześniej wpisana z urzędu.[7]

Do kiedy trzeba wdrożyć obowiązki wynikające z nowelizacji KSC?

Dla podmiotów spełniających kryteria 3 kwietnia 2026 roku okres dostosowawczy kończy się 3 kwietnia 2027 roku. Do tego czasu należy m.in. wdrożyć wymagane rozwiązania organizacyjne i techniczne oraz rozpocząć korzystanie z S46.[7]

Co oznacza „strefa ryzyka” ENISA NIS360?

To grupa sektorów, w których poziom cyberbezpieczeństwa jest niższy od średniej, a ich znaczenie dla gospodarki i społeczeństwa jest większe niż poziom przygotowania do zagrożeń. W 2026 roku do tej grupy ENISA zaliczyła m.in. administrację publiczną, ochronę zdrowia, kolej, transport morski, zarządzanie usługami ICT, sektor kosmiczny oraz wodę pitną i ścieki.

Które sektory są najlepiej przygotowane na cyberataki?

Według ENISA NIS360 2026 najwyższy poziom dojrzałości utrzymują bankowość, sektor energii elektrycznej oraz telekomunikacja. Wspólną cechą tych branż jest długi okres regulacji, rozwinięty nadzór i bardziej systematyczne zarządzanie ryzykiem.

Źródła:

[1] European Union Agency for Cybersecurity (ENISA). ENISA NIS360: Latest Insights in the Cybersecurity Maturity and Criticality of NIS Sectors of High Criticality. May 2026, szczególnie s. 5, 8-13, 37-39, 63-64. DOI: 10.2824/8928447. 

[2] Linux Polska. „UE publikuje nową ocenę cyberbezpieczeństwa najważniejszych sektorów. Administracja publiczna w strefie ryzyka”. Materiał prasowy, 29 lipca 2026.

[3] European Union Agency for Cybersecurity (ENISA). ENISA Threat Landscape 2025. 2025. Zob. także komunikat ENISA „EU consistently targeted by diverse yet convergent threat groups”. 

[4] World Economic Forum. Global Cybersecurity Outlook 2026. Geneva: World Economic Forum, 2026. Badanie przeprowadzone wśród 804 zakwalifikowanych respondentów z 92 państw. 

[5] Polska. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Dz.U. 2026, poz. 252.

[6] Ministerstwo Cyfryzacji. „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - kogo obejmuje?”. 20 kwietnia 2026. 

[7] Ministerstwo Cyfryzacji. „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - najważniejsze terminy”. 10 kwietnia 2026; oraz „Obowiązki podmiotów kluczowych i ważnych”, 5 czerwca 2026. 

[8] Ministerstwo Cyfryzacji. „Wpis do Wykazu KSC otwiera dostęp do platformy S46 Cyber Hub”. 14 lipca 2026. 

 

Pobierz ebook "Wielki ranking agencji marketingowych 2026 roku i e-book o trendach w promocji w sieci"