NIK: żaden z ośmiu operatorów prądu, wody i kolei nie zapewnił systemom odporności. Ministrowie nie ukarali nikogo

Najwyższa Izba Kontroli opisała w raporcie Cyberbezpieczeństwo wybranych usług kluczowych, przygotowanym przez delegaturę w Szczecinie i datowanym na lipiec 2026 roku, jak w latach 2021-2025 chroniono przed cyberatakami energię, wodę pitną oraz transport kolejowy i wodny. Szerzej o raporcie zrobiło się pod koniec września. Wnioski są takie, że w kraju, który przeznacza na obronę ponad 4,5 proc. PKB, podstawowe usługi, od których zależy codzienne życie, były chronione źle, a państwo wiedziało o tym i nic nie zrobiło.

Żaden z ośmiu

Żaden z kontrolowanych operatorów nie zapewnił swoim systemom odporności na działania naruszające poufność, integralność, dostępność i autentyczność danych. Najczęściej źle zarządzano dostępami, konfigurowano systemy bezpieczeństwa z błędami, nie używano uwierzytelniania wieloskładnikowego i korzystano z oprogramowania bez wsparcia producenta albo ze znanymi lukami.

To nie są abstrakcyjne zaniedbania. Wojna nie zaczyna się dziś od czołgu na granicy. Może zacząć się od zatrzymanego ruchu kolejowego albo wyłączonej stacji uzdatniania wody. Skala zagrożeń też nie jest teoretyczna: według NIK w 2025 roku krajowe zespoły CSIRT obsłużyły niemal 273 tys. incydentów, o 144,4 proc. więcej niż rok wcześniej. Statystycznie to jeden incydent co dwie minuty.

578 dni ignorowanych alarmów

Sześciu z ośmiu operatorów, jak pisze NIK, systemowo nie zapewniało monitorowania i reagowania na alerty bezpieczeństwa. Ignorowano komunikaty o potencjalnych incydentach, o skompromitowanych komputerach pracowników, o nieaktualnym antywirusie i o lukach w oprogramowaniu. Izba podaje przykłady: w jednym miejscu przez ponad 578 dni ignorowano alerty o braku łączności z elementami infrastruktury IT, w innym przez ponad 426 dni kluczowy system bezpieczeństwa działał na oprogramowaniu, którego producent już nie wspierał. Zdarzył się też wyciek hasła pracownika, czyli krytyczny incydent, którego nikt nie obsłużył.

Najbardziej uderza nie sam brak zabezpieczeń, tylko to, że systemy krzyczały, a nikt ich nie słuchał. Kupujemy czołgi i samoloty, a tu wystarczyłoby, żeby ktoś odczytał alarm.

Ministrowie wiedzieli i nie ukarali nikogo

Operatorów w tych sektorach nadzorują Minister Energii i Minister Infrastruktury. Według NIK nie wszczęli oni wobec żadnego z 27 operatorów objętych analizą ani kontroli, ani postępowania o nałożenie kary, chociaż mieli informacje, że operatorzy nie wykonują istotnych obowiązków. NIK wiąże to z brakiem ludzi do tej pracy. Minister Cyfryzacji nie przeprowadził z kolei żadnego z dwóch wymaganych przeglądów strategii cyberbezpieczeństwa, a nowa strategia została przyjęta 10 marca 2026 roku, 434 dni po wygaśnięciu poprzedniej.

Powiedzmy sobie wprost: przepisy o cyberbezpieczeństwie obowiązują od lat, urzędy nadzoru istnieją, kary są w ustawie, a mimo to nikt ich nie użył. To nie przypadek. Tak działa państwo, które pisze obowiązki i nie sprawdza, czy ktoś je wykonuje. A teraz, po nowelizacji wdrażającej unijną dyrektywę NIS2, liczba podmiotów objętych obowiązkami rośnie z 397 do ponad 38 tys. Skoro państwo nie dopilnowało kilkuset operatorów, trudno uwierzyć, że dopilnuje 38 tysięcy bez zmiany samego sposobu nadzoru.

Obronność to jedyny wydatek, którego w narodowym kapitalizmie nie kwestionujemy. Ale bezpieczeństwo kraju to także prąd, woda i kolej. Pytanie do ministrów energii, infrastruktury i cyfryzacji jest proste: co zmieniło się od dnia, w którym dostali wyniki tej kontroli?

Źródła

• NIK: Informacja o wynikach kontroli P/25/083, Cyberbezpieczeństwo wybranych usług kluczowych (PDF)
• Portal Obronny: alarm NIK, infrastruktura krytyczna zagrożona
• Rzeczpospolita: ustawa budżetowa na 2027 przyjęta przez rząd