Panel „Cyberodporność JST i ciągłość usług cyfrowych w reżimie NIS2 i KSC” odbył się 6 października 2026 r. Dyskusję moderował Piotr Rybicki, ekspert Corporate Governance. Obok przedstawiciela IŁ-PIB głos zabrali Sebastian Kondraszuk z CERT Polska w NASK, Andrzej Rosiński, zastępca dyrektora Departamentu Cyberbezpieczeństwa Centralnego Ośrodka Informatyki, oraz Adam Snarski, burmistrz Leska. Instytut Łączności był jednym z partnerów merytorycznych panelu.
Między poradą o haśle a językiem specjalistów
Rozmowa zaczęła się od pytania o zainteresowanie samorządowców cyberbezpieczeństwem. Młodkowski wskazał na sposób, w jaki ten temat jest przedstawiany w debacie publicznej. Z jednej strony bywa sprowadzany do podstawowych porad dotyczących haseł i PIN-ów. Z drugiej jest opisywany językiem tak specjalistycznym, że łatwo uznać go za domenę informatyków.
Cyberbezpieczeństwo jest po prostu trochę źle komunikowane
- ocenił Roman Młodkowski.
W jego ujęciu ta luka komunikacyjna utrudnia liderom zrozumienie własnej roli. Wójt czy burmistrz potrzebuje wiedzy pozwalającej pytać o zagrożenia, oceniać proponowane rozwiązania i podejmować decyzje. Dyskusja o NIS2 i Krajowym Systemie Cyberbezpieczeństwa powinna więc przekładać się na konkretne rozmowy o funkcjonowaniu urzędu, jego zasobach i gotowości na zakłócenia.
Dwie umowy mogą oznaczać jeden punkt awarii
Młodkowski przypomniał, że ciągłość usług zależy także od kabli, zasilania i fizycznej organizacji infrastruktury. Przywołał sytuację, w której urząd korzysta z dwóch dostawców łączności, ale oba połączenia przebiegają przez tę samą studzienkę albo korzystają ze wspólnej infrastruktury. Uszkodzenie jednego miejsca może wówczas odciąć oba łącza.
Bardzo często problem pojawia się nie w wyniku ataku, tylko po prostu w wyniku technicznych uszkodzeń
- mówił, odwołując się do obserwacji Instytutu.
Posiadanie dwóch umów nie daje zatem jeszcze odpowiedzi na pytanie, czy urząd ma rzeczywiście niezależne połączenie zapasowe. Potrzebna jest wiedza o przebiegu łączy i ich wspólnych punktach. W tym kontekście przedstawiciel IŁ-PIB wskazywał na możliwość sprawdzenia infrastruktury przez podmiot, który potrafi ocenić rzeczywistą niezależność dostawców.
Zwrócił też uwagę na synchronizację czasu, od której zależy poprawna praca systemów. Pytał o wykorzystywane źródła czasu i dostępność alternatywy w razie zakłóceń. To przykład technicznej zależności, której kierownictwo nie musi samodzielnie obsługiwać, ale powinno rozumieć jej znaczenie dla ciągłości usług.
Wspólne monitorowanie infrastruktury gmin
Odpowiedzią na część problemów kadrowych i finansowych mogłoby być łączenie zasobów. Młodkowski przedstawił koncepcję NOC, czyli Network Operations Center - centrum monitorowania i nadzorowania pracy infrastruktury sieciowej, obsługującego wiele samorządów. Jak wyjaśniał, utrzymanie całodobowej obsady przez każdą gminę osobno byłoby trudne. Wspólny ośrodek mógłby ograniczać ten ciężar.
My jako Instytut Łączności pracujemy nad taką koncepcją
- poinformował.
Zaznaczył, że Instytut pyta samorządy o przydatność takiego rozwiązania. Chodzi o rozpoznanie potrzeb i możliwość prowadzenia obsługi wielu ośrodków z jednego miejsca. Przedstawiona propozycja dotyczyła pracy nad koncepcją, a nie uruchomionej już usługi.
Młodkowski podkreślał przy tym badawczy i doradczy charakter Instytutu. Określił IŁ-PIB jako „zaufaną trzecią stronę”, która może sprawdzić przyjęte rozwiązania, przeprowadzić audyt i pomóc samorządom ocenić ich infrastrukturę. Współpraca miałaby służyć również ograniczaniu stałych kosztów utrzymania bezpieczeństwa.
Mieszkaniec potrzebuje działającego urzędu
W wypowiedziach dyrektora Biura Komunikacji i Marketingu powracała perspektywa mieszkańca. Skutki awarii należy oceniać przez to, jakich spraw człowiek nie będzie mógł załatwić i jak długo potrwa zakłócenie. Do tego potrzebna jest analiza ryzyka, obejmująca zarówno atak, jak i awarię zasilania, powódź czy przerwanie kabla.
Chodzi o to, co człowiek ma do zrobienia albo do załatwienia w urzędzie, żeby to po prostu był w stanie zrobić
- podkreślał Młodkowski.
Z tej perspektywy plan reagowania powinien odpowiadać na pytania o możliwość dalszej obsługi mieszkańców, rozwiązania zastępcze i czas przywrócenia usług. Ważna jest też informacja przekazywana osobom, których sprawy zostały zatrzymane. Sam komunikat o awarii nie zastępuje przygotowania organizacyjnego, ale pozwala mieszkańcom zrozumieć sytuację i zaplanować dalsze działania.
Młodkowski obrazowo pytał, kiedy urząd dowie się o problemie, który wystąpił w weekend: od pracownika, teoretycznie monitorującego infrastrukturę, czy dopiero w poniedziałek od zdenerwowanego mieszkańca. To pytanie pokazuje, jak nadzór techniczny przekłada się na jakość usług publicznych.
Koszty i wiedza potrzebna do podejmowania decyzji
Praktyczny wymiar tych wyzwań opisał burmistrz Leska Adam Snarski. Mówił o trudnościach w pozyskiwaniu informatyków i konkurowaniu z wynagrodzeniami w sektorze prywatnym. Według przedstawionych przez niego szacunków potrzeby urzędu i 12 jednostek podległych oceniono wewnętrznie na około 1,5 mln zł, podczas gdy zewnętrzna firma wskazała kwotę około 7-8 mln zł. Podkreślał również, że zakup sprzętu pociąga za sobą dalsze wydatki na jego utrzymanie.
Andrzej Rosiński wskazywał na znaczenie analizy ryzyka przy ustalaniu priorytetów oraz potrzebę traktowania cyberbezpieczeństwa jako stałego procesu. Sebastian Kondraszuk przypominał o podstawowych zabezpieczeniach i wykorzystywaniu doświadczeń z incydentów do ostrzegania innych podmiotów. W rozmowie wybrzmiała również potrzeba edukacji dostosowanej do roli odbiorcy: innej dla kierownictwa, innej dla osób technicznych.
Propozycja przedstawiona w imieniu Instytutu Łączności przez Romana Młodkowskiego wpisywała się w te potrzeby. Wspólny nadzór nad infrastrukturą mógłby pomóc mniejszym samorządom utrzymywać ciągłość usług mimo ograniczonych zasobów. Punktem wyjścia pozostaje sprawdzenie własnych zależności: którędy biegnie zapasowe łącze, kto wykryje awarię i co urząd zrobi, kiedy mieszkańcy nie będą mogli załatwić swoich spraw. W kwestiach technicznych Instytut Łączności może odegrać rolę zaufanej trzeciej strony.