Kontrola NIK w JST a KRI i NIS2

Kontrole NIK dostarczają samorządom konkretnych przykładów słabych punktów, ale trzeba rozróżnić ich zakres. Kontrola opublikowana w lutym 2024 r. dotyczyła ochrony danych w 12 jednostkach samorządowych w województwie podlaskim. Późniejsza kontrola programu „Cyberbezpieczny Samorząd” dotyczyła sposobu finansowania i oceny efektów inwestycji. Żadna z tych kontroli nie zastępuje oceny, jakie obowiązki KRI lub ustawy o KSC dotyczą konkretnej jednostki.

Co NIK stwierdziła w 2024 r.?

W kontroli I/23/002/LBI NIK sprawdziła ochronę danych przetwarzanych przez JST i jednostki podległe na stronach internetowych, w poczcie elektronicznej oraz przy transmisji obrad. W omówieniu wyników wskazała m.in. używanie służbowych adresów w komercyjnych domenach bez odpowiednich umów dotyczących przetwarzania danych, zbyt długą publikację części oświadczeń majątkowych w BIP oraz problemy z zasadami transmisji posiedzeń.

NIK poinformowała wtedy o rozszerzeniu kontroli na samorządy w całym kraju. To ustalenia dotyczące ochrony danych i sposobu działania jednostek, nie wynik audytu zgodności tych 12 urzędów z dyrektywą NIS2. Warto więc wykorzystać je jako listę obszarów do sprawdzenia, bez przypisywania NIK ocen, których nie wydała.

Co pokazała kontrola programu w 2026 r.?

W publikacji z 21 lipca 2026 r. NIK opisała odrębną kontrolę projektu „Cyberbezpieczny Samorząd”. Objęła ona 19 jednostek, w tym 17 urzędów samorządowych oraz CPPC i NASK. NIK oceniła, że bez porównywalnego badania stanu „przed” i „po” nie można stwierdzić, w jakim stopniu projekt zwiększył odporność urzędów. Zwróciła też uwagę, że końcowe audyty bezpieczeństwa informacji nie zostały ustandaryzowane i ich wynik nie decydował o rozliczeniu grantu.

Dla JST praktyczny wniosek jest prosty: zakup narzędzia lub opracowanie procedury to etap pracy. Skutek trzeba sprawdzić na dowodach, takich jak test odtworzenia kopii, przegląd uprawnień, zapis obsługi incydentu albo wynik ponownej oceny ryzyka. Zakres i sposób rozliczenia konkretnego grantu wynikają z jego dokumentów.

Jak połączyć te wnioski z KRI?

§ 19 ust. 2 pkt 14 rozporządzenia KRI wymaga od podmiotów realizujących zadania publiczne okresowego audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz w roku. Przy planowaniu audytu KRI warto sprawdzić rzeczywiste działanie zasad, a nie samą obecność dokumentów. Ustalenia NIK podpowiadają pytania o pocztę, umowy z dostawcami, publikację danych, uprawnienia i dowody wykonania działań naprawczych.

Raport powinien jasno wskazywać kryteria, zakres, dowody i ograniczenia. Po audycie kierownictwo potrzebuje właścicieli poprawek, terminów i sposobu potwierdzenia efektu. Coroczny audyt KRI nie jest automatycznie audytem projektu grantowego ani potwierdzeniem spełnienia wszystkich obowiązków KSC.

A co z NIS2 i ustawą o KSC?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS2 w Polsce. Zakres obowiązków zależy od tego, czy jednostka spełnia ustawowe przesłanki uznania za podmiot kluczowy lub ważny. Rządowe wyjaśnienie wskazuje potrzebę oceny działalności według art. 5 i właściwych sektorów. Sam fakt opisania urzędu w raporcie NIK nie przesądza o jego statusie w KSC.

Jeśli urząd chce połączyć prace, można uzgodnić jeden plan zbierania dowodów, ale wyniki należy odnieść osobno do kryteriów KRI, projektu i — gdy mają zastosowanie — KSC. Zobacz zakres wsparcia w KSC/NIS2 oraz audyt i dokumentację w programie „Cyberbezpieczny Samorząd”.