Samorządy mają czas do 30 października. 5 wyzwań przy tworzeniu lokalnych centrów cyberbezpieczeństwa

• 1. Najpierw model współpracy, później technologia
• 2. Kto odpowiada, kiedy dochodzi do incydentu?
• 3. Umowa z dostawcą to coś więcej niż zakup systemu
• 4. Co stanie się po zakończeniu finansowania LCC?
• 5. Tworzenie LCC. Cyberbezpieczeństwo nie może pozostać zadaniem informatyków

O skali zagrożeń przypomina także głośny w ostatnich dniach cyberatak na system MyDr. Według informacji przekazanych przez Ministerstwo Cyfryzacji incydent może dotyczyć danych blisko 19 mln osób. Przypadek ten pokazuje, jak poważne konsekwencje może mieć naruszenie bezpieczeństwa systemów gromadzących dane dużej liczby obywateli.

W przypadku samorządów odpowiedzią na rosnące zagrożenie mają być Lokalne Centra Cyberbezpieczeństwa działające jako ponadgminne centra usług wspólnych w obszarze IT. Będą m.in. monitorować sieci i systemy, analizować zagrożenia, koordynować reakcje na incydenty, prowadzić audyty i wspólne zakupy oraz szkolić pracowników. Z ich usług będą mogły korzystać urzędy i jednostki organizacyjne samorządów.

- Samo pozyskanie finansowania i zakup odpowiednich systemów nie przesądzą o sukcesie lokalnych centrów. Mówimy o modelu, w którym kilka samorządów i podległe im jednostki mają wspólnie korzystać z infrastruktury, kompetencji i procedur. Trzeba więc jasno określić, kto za co odpowiada, kto podejmuje decyzje, jak dzielone są koszty i co dzieje się w sytuacji kryzysowej - wskazuje mec. Bartłomiej Tkaczyk, partner w kancelarii LEGALLY.SMART, ekspert ds. obsługi JST.

1. Najpierw model współpracy, później technologia

Jednym z głównych wyzwań będzie stworzenie przejrzystych zasad współpracy między samorządami korzystającymi z jednego centrum. Już na początku trzeba określić zakres zadań LCC, sposób podejmowania decyzji oraz podział kosztów i odpowiedzialności, także wobec jednostek podległych.

2. Kto odpowiada, kiedy dochodzi do incydentu?

Wspólna infrastruktura oznacza również współdzielone ryzyka. Samorządy powinny z góry określić procedury reagowania na incydenty, zasady wymiany informacji i odpowiedzialność poszczególnych podmiotów, również w zakresie ochrony danych i dostępu do systemów.

- W cyberbezpieczeństwie odpowiedzialności nie można ustalać dopiero wtedy, kiedy wydarzy się incydent. Przy projekcie obejmującym kilka JST procedury i ścieżki decyzyjne muszą być jasne wcześniej. W sytuacji kryzysowej urząd musi wiedzieć, kto podejmuje decyzję, kontaktuje się z dostawcą i odpowiada za przywrócenie działania systemu - podkreśla mec. Bartłomiej Tkaczyk.

3. Umowa z dostawcą to coś więcej niż zakup systemu

Program umożliwia finansowanie sprzętu i oprogramowania, ale także korzystanie z zewnętrznych specjalistów. Umowy z dostawcami powinny regulować m.in. dostępność usług, czas reakcji na incydenty, aktualizacje, odpowiedzialność wykonawcy i dostęp do danych. Warto też zabezpieczyć możliwość zmiany dostawcy, aby uniknąć uzależnienia od jednego rozwiązania technologicznego.

4. Co stanie się po zakończeniu finansowania LCC?

Sprzęt wymaga modernizacji, oprogramowanie licencji i aktualizacji, a specjaliści stałego finansowania. Samorządy już na etapie tworzenia LCC powinny więc ustalić, jak centrum będzie utrzymywane po zakończeniu projektu i jak uczestniczące JST podzielą przyszłe koszty.

- Cyberbezpieczeństwo nie jest inwestycją, którą można zrealizować raz i uznać za zakończoną. Już przy projektowaniu centrum trzeba myśleć o przyszłych kosztach i modelu finansowania po zakończeniu wsparcia. W przeciwnym razie dobrze wyposażone centrum może po kilku latach stać się dla uczestniczących w nim JST trudnym do utrzymania zobowiązaniem - zauważa mec. Bartłomiej Tkaczyk.

5. Tworzenie LCC. Cyberbezpieczeństwo nie może pozostać zadaniem informatyków

Nawet najlepsza infrastruktura nie zabezpieczy urzędu bez odpowiednich procedur i przygotowanych pracowników. Tworzenie LCC powinno być więc okazją nie tylko do zakupu technologii, ale również uporządkowania odpowiedzialności, procedur reagowania i systemu szkoleń.

Dla samorządów program może być szansą na rozwiązanie problemu braku odpowiednich zasobów technologicznych, kadrowych i finansowych. Warunkiem będzie jednak potraktowanie LCC nie jako kolejnego projektu informatycznego, lecz jako długoterminowego modelu współpracy i zarządzania bezpieczeństwem.

Nabór wniosków na utworzenie Lokalnych Centrów Cyberbezpieczeństwa rozpoczął się 31 lipca i potrwa do 30 października 2026 roku. Projekty mają być realizowane w latach 2026–2029.