Cyberbezpieczeństwo kupuje się w umowie
Cyberbezpieczeństwo kupuje się w umowie
CYFRYZACJA I AI W SAMORZĄDACH - SAS 5 / 2026
W kwietniu samorządy trafiły do krajowego systemu cyberbezpieczeństwa. Nikt się o to nie starał, jednostki publiczne wpisano do wykazu z urzędu. Urzędy marszałkowskie, starostwa i większe urzędy gmin są podmiotami kluczowymi, mniejsze urzędy, spółki komunalne i jednostki organizacyjne, od szkoły po wodociągi – ważnymi.
Każda z nich to odrębny podmiot, z własnymi umowami i własnym kierownikiem. Progu, poniżej którego ustawa nie obowiązuje, nie ma. Dane w wykazie należało przejrzeć do 3 października 2026 r.
Wśród obowiązków jest jeden, który łatwo przeoczyć. Nowelizacja (Dz.U. z 2026 r. poz. 252) zaliczyła bezpieczeństwo łańcucha dostaw ICT do środków zarządzania ryzykiem. Odpowiadamy więc również za to, co robi nasz dostawca.
A dostawca robi w samorządzie sporo. System podatkowy, elektroniczne zarządzanie dokumentacją, monitoring, sterowanie siecią wodociągową. Mało kto utrzymuje to własnymi siłami. Za każdym stoi firma z kontem administracyjnym i stałym dostępem zdalnym, zwykle taka, która obsługuje kilkadziesiąt innych samorządów.
Włamanie do niej należy traktować jako włamanie do JST. Z umowy prawie nigdy nie wynika, kiedy mielibyśmy się o tym dowiedzieć. Kupujemy licencje, wdrożenie i opiekę serwisową, umowa liczy kilkanaście stron, a o incydencie nie ma słowa. Tymczasem ustawowe terminy 24 i 72 godzin biegną od chwili, w której incydent wykryje podmiot, czyli JST. Jeżeli serwisant zadzwoni w poniedziałek z tym, co zauważył w piątek, zgłoszenie nie pójdzie na czas, a tłumaczyć się będzie kierownik jednostki, nie firma. Wystarczyłoby wpisać do umowy godzinę, kanał kontaktu i nazwisko osoby, która ma zadzwonić.
Podobnie jest z zapewnieniami o jakości. Oświadczenia, że wykonawca stosuje najlepsze praktyki rynkowe, nie da się sprawdzić. Lepiej zastrzec sobie prawo do dowodu, czyli do raportu z testów, wyniku skanowania podatności albo audytu, a przy okazji ustalić, w jakim czasie wykonawca ma usunąć znalezioną lukę. Godziny i dni sprawdzają się tu lepiej niż słowo „niezwłocznie”.
Osobna sprawa to dostęp zdalny. Wspólny login serwisowy, z którego korzysta pięć osób i którego nikt nie odbiera odchodzącemu pracownikowi, wciąż jest częsty. Po incydencie nie sposób ustalić, kto co zrobił.
O końcu współpracy warto pomyśleć, zanim się zacznie. Umowa bez zwrotu danych, wydania dokumentacji i kopii w formacie pozwalającym na migrację zamyka nas u jednego dostawcy na lata. Od kwietnia doszedł jeszcze jeden powód. Minister może uznać dostawcę za dostawcę wysokiego ryzyka i wtedy z jego rozwiązania trzeba zrezygnować, cokolwiek mówi umowa.
Zmieniły się przy okazji zamówienia. Zamawiający ma obowiązek odrzucić ofertę obejmującą produkty, usługi lub procesy ICT objęte rekomendacją Pełnomocnika Rządu ds. Cyberbezpieczeństwa albo taką decyzją ministra, także w postępowaniach wszczętych wcześniej. Ogłasza się je w Monitorze Polskim, warto tam zajrzeć przed rozstrzygnięciem przetargu.
Te wymagania działają tylko wtedy, gdy trafią do opisu przedmiotu zamówienia i wzoru umowy. Powinny być przy tym proporcjonalne. Certyfikat ISO 27001 przy systemie dziedzinowym ma sens, ale przy serwisie drukarek tylko podnosi cenę.
Kierownik podmiotu odpowiada za obowiązki z zakresu cyberbezpieczeństwa także wtedy, gdy powierzył je komuś innemu. Podczas kontroli nikt nie zapyta, czy ufaliśmy swojemu dostawcy. Pytanie będzie inne: jakie wymagania mu postawiono, co zapisano w umowie i czy ktokolwiek tego pilnował.
dr Grzegorz Abgarowicz
NASK S.A.
dr inż. Michał Tuz
NASK S.A.
