„Przetarg wygrany, bezpieczeństwo przegrane”

Wcześniej sektor publiczny nie cieszył się szczególnym zainteresowaniem cyberprzestępców. Ostatnie lata przyniosły jednak wyraźną zmianę, co potwierdzają chociażby przywoływane wcześniej badania Check Pointa. Sprawnie przeprowadzone cyberataki umożliwiają prowadzenie dezinformacji, przejęcie wrażliwych danych obywateli, szpiegostwo, a nawet zakłócenie wyborów czy procesów administracyjnych. Przykładowo, w Polsce szerokim echem odbił się atak na stronę Polskiej Agencji Prasowej, w ramach którego napastnicy opublikowali fałszywe depesze o rzekomej mobilizacji wojskowej. Wiele wskazuje na to, że był to efekt działań rosyjskich hakerów.

Choć instytucje publiczne są atakowane z podobną częstotliwością co prywatny biznes, a w Polsce nawet częściej, to w większości przypadków ich systemy bezpieczeństwa ustępują tym, którymi dysponują przedsiębiorstwa. Po części wynika to z prostej zasady: kto wydaje własne pieniądze, bardziej dba o to, co kupuje. W przypadku środków publicznych nie jest to już takie oczywiste.

– Ochrona instytucji publicznych jest trudniejsza niż klientów biznesowych. W tym przypadku środowiska są bardziej rozproszone, złożone organizacyjnie i formalnie. W jednej jednostce mogą współistnieć nowe systemy, starsze aplikacje dziedzinowe, infrastruktura lokalna i usługi chmurowe. W biznesie decyzje zakupowe i wdrożeniowe bywają szybsze. W sektorze publicznym dochodzą procedury, budżety, przetargi, zależności formalne i konieczność utrzymania ciągłości usług dla obywateli – tłumaczy Piotr Fabiański.

Co ważne, od dawna wiele kontrowersji budzą procedury przetargowe. Prawo zamówień publicznych, w którym cena może stanowić maksymalnie 60 procent wagi kryteriów, w praktyce utrudnia instytucjom zakup nowoczesnych rozwiązań z wyższej półki. Inaczej wygląda sytuacja w sektorze prywatnym, gdzie firma może po prostu zdecydować, że dane rozwiązanie najlepiej odpowiada jej potrzebom i je kupić. Instytucje publiczne tej swobody formalnie nie mają, choć w praktyce nieraz nauczyły się, jak ją uzyskać.

– Nikt prywatnie nie kupiłby takiego bubla, do nabycia którego może zostać zmuszony inwestor publiczny. Sytuacja jest jeszcze gorsza, gdy przetarg łączy się z wykorzystaniem środków pomocowych z terminami, kontrolami i surowymi karami. Kary grożą za wszystko, tylko nie za jakość. Gdy więc okazuje się, że w wyniku niezamierzonych błędów proceduralnych na stole komisji ląduje „cyber-bubel”, nie pozostaje nic innego, jak podpisać protokół odbioru i rozliczyć dofinansowanie – mówi Artur Bicki, CEO w Energy Logserver

Czy w związku z tym sektor publiczny można traktować jako stabilny, rosnący rynek dla dostawców systemów bezpieczeństwa? Przedstawiciele branży uważają, że pomimo licznych trudności i specyficznych wymagań formalnych, presji regulacyjnych, a także ograniczeń budżetowych, jest to segment rynku z dużym potencjałem. Tym bardziej, że wiele publicznych instytucji jakby zrozumiało, że od dawna ich funkcjonowanie zależyod rozwiązań teleinformatycznych.

– Jeśli chodzi o inwestycje, to prym wiodą obecnie rozwiązania zaawansowanych urządzeń sieciowych. Dalej w kolejce ustawiają się systemy SIEM wraz z rozwiązaniami EDR. Te ostatnie przejmują po części budżet na antywirusy, które w swojej pierwotnej formie odchodzą z rynku – podsumowuje Artur Bicki.

Zdaniem integratora

Piotr Fabiański, prezes zarządu, Infonet Projekt Piotr Fabiański, prezes zarządu, Infonet Projekt  

Pomiędzy grupami nabywców z sektora publicznego istnieją dysproporcje. Administracja centralna i wybrane instytucje bezpieczeństwa zwykle mają większe budżety, lepszy dostęp do specjalistów i bardziej dojrzałe procedury. Natomiast samorządy, edukacja czy mniejsze jednostki ochrony zdrowia często mierzą się z ograniczonym finansowaniem, rozproszoną infrastrukturą i brakami kadrowymi. Największym wyzwaniem nie jest sam zakup technologii, ale jej utrzymanie: aktualizacje, monitoring, analiza zdarzeń, testy backupu, zarządzanie uprawnieniami i reagowanie na incydenty. Dlatego dla wielu jednostek optymalnym modelem jest współpraca z integratorem, który potrafi połączyć audyt, wdrożenie, serwis, outsourcing kompetencji i długofalowe utrzymanie środowiska.

Firma Infonet Projekt otrzymała tytuł IT Master 2026.

  
Paweł Kacprzak, IT Manager, Engave Paweł Kacprzak, IT Manager, Engave  

Sektor publiczny często jest trudniejszy do ochrony niż biznesowy. Nie dlatego, że firmy nie mają problemów, ale dlatego, że w administracji mamy większą złożoność organizacyjną, starsze systemy, dług technologiczny i znacznie trudniejsze procedury zakupowe. W firmie prywatnej decyzję o zakupie lub zmianie technologii można czasem podjąć w kilka tygodni. W sektorze publicznym ten proces jest dłuższy, bardziej formalny i często ograniczony budżetowo. Osobnym wyzwaniem jest rotacja kadr i trudność z zatrzymaniem doświadczonych specjalistów. Sektor publiczny po prostu nie jest w stanie konkurować wynagrodzeniami z rynkiem prywatnym, co bezpośrednio przekłada się na lukę kompetencyjną w zespołach IT i bezpieczeństwa. Do tego dochodzi presja ciągłości działania – urząd, szpital czy system obsługi obywatela nie może po prostu zatrzymać się na kilka dni.

Firma Engave otrzymała tytuł IT Master 2026.

  

 

Piotr Litwiniuk, dyrektor sprzedaży, Alma Piotr Litwiniuk, dyrektor sprzedaży, Alma  

Hakerzy działają pragmatycznie: definiują kilka organizacji, do których chcą się włamać, i sprawdzają, która z nich jest podatna. Jeśli pierwsza linia obrony działa poprawnie, napastnicy przechodzą do następnego celu. Zmienia się też charakter ich działania. Jeszcze dekadę temu ataki typu APT były tematem prezentacji i konferencji, ale rzadko dotykały rzeczywistych klientów. Dziś skala problemu jest nieporównywalna z tym, co obserwowaliśmy kilka lat temu. Tymczasem nie ma jednego, ogólnego poziomu ochrony instytucji publicznych. Duże ministerstwa i agencje dysponują funduszami oraz doświadczoną kadrą. Jednak gdy mówimy o cyberbezpieczeństwie wodociągów, oczyszczalni ścieków czy małych gmin, obraz jest zupełnie inny. Beneficjenci programów dofinansowań szybko zderzają się z bolesną rzeczywistością finansową: podatek VAT muszą pokryć z własnych środków. Dla małej gminy czy lokalnego przedsiębiorstwa wodociągowego to poważne obciążenie.

Firma Alma otrzymała tytuł IT Master 2026.

  
Sebastian Strzelak, prezes zarządu, NetFormers Sebastian Strzelak, prezes zarządu, NetFormers  

Nowelizacja KSC jest jednym z najważniejszych impulsów zakupowych dla rynku cyberbezpieczeństwa w Polsce. Szacujemy, że wpływ na zakupy będzie bardzo konkretny. Sektor publiczny będzie musiał kupować nie tylko produkty, ale zdolność do spełnienia wymagań regulacyjnych: zarządzania ryzykiem, detekcji incydentów, reagowania, raportowania, ciągłości działania i kontroli dostępu. To przesunie rynek z zakupów punktowych w stronę projektów architektonicznych i usług zarządzanych. Największy wzrost popytu będzie dotyczył audytów zgodności, analizy luk, zarządzania ryzykiem, SIEM/SOC, EDR/XDR, MFA, PAM, segmentacji sieci, backupu niezmienialnego, zarządzania podatnościami, ochrony poczty, bezpieczeństwa aplikacji oraz usług reagowania na incydenty. Wzrośnie też znaczenie dokumentacji, procedur, ćwiczeń i szkoleń dla kadry zarządzającej.

Firma NetFormers otrzymała tytuł IT Master 2026.