Marchewka i kij Unii Europejskiej

Unia Europejska dba o bezpieczeństwo instytucji publicznych dwutorowo: inwestuje realne środki i jednocześnie zaostrza prawo. Z jednej strony finansuje kluczowe projekty, w rodzaju programu „Cyfrowa Europa”, w ramach którego przeznaczono jak do tej pory 1,6 mld euro na narzędzia cyberbezpieczeństwa i rozwój infrastruktury dla administracji, firm oraz obywateli. Z drugiej strony narzuca twarde regulacje: RODO, DORA, dyrektywę NIS 2. Najświeższym przełożeniem unijnych regulacji na polskie prawo jest nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC).

Najważniejsza zmiana w NIS 2, względem poprzedniej dyrektywy, dotyczy objęcia nowymi wymogami sektora publicznego. Do systemu trafiają ministerstwa, urzędy centralne i wojewódzkie, a także wybrane jednostki samorządu terytorialnego wraz z podmiotami podległymi. Polskie przepisy na bazie NIS 2 pojawiły się dopiero w kwietniu tego roku, z półtorarocznym opóźnieniem wobec unijnych liderów.

– Tam, gdzie NIS 2 obowiązuje dłużej, w Belgii, Holandii czy Szwecji, instytucje publiczne dużo szybciej wdrożyły niezależny backup, bo wymagali tego audytorzy. Sam fakt posiadania kopii zapasowej nie wystarczy. Liczy się dowód, że system działa: udokumentowana zdolność odtwarzania danych, precyzyjne wskaźniki RPO i RTO oraz przetestowane plany ciągłości działania – podkreśla Piotr Szczepanik, Regional Partner Manager CEE w Keepit.

Dodatkowym wyzwaniem jest wprowadzenie przez Rządowe Centrum Bezpieczeństwa stopni alarmowych BRAVO i BRAVO-CRP (obowiązujących do 30 listopada 2026 r.). W praktyce oznacza to dla jednostek publicznych natychmiastowy nakaz weryfikacji procedur odzyskiwania danych oraz stałą gotowość do zgłaszania incydentów do właściwego CSIRT.

– Regulacji przybywa, a szczególnie szybko rośnie ich liczba w sektorze publicznym. Nasilające się cyberataki zwiększają ryzyko utraty informacji i zakłócenia działania kluczowych usług, a administracja jest na to wyjątkowo narażona. Zjawiska te wpływają zatem na sposób, w jaki instytucje publiczne projektują ochronę danych. Nie chodzi już wyłącznie o wykonywanie kopii zapasowych, ale także o kontrolę dostępu, integralność danych, ciągłość działania i możliwość wykazania zgodności z przepisami – podkreśla Tomasz Krajewski, dyrektor techniczny sprzedaży na Europę Wschodnią w polskim oddziale Veeam.

Przepisów jest coraz więcej, poziom ich złożoności rośnie, a cyberataki stają się coraz bardziej agresywne. To zmusza sektor publiczny do radykalnej zmiany podejścia do ochrony informacji. Prawdziwy test przechodzi jednak dopiero praktyka: przepisy traktuje się z pełną powagą, ale zderzenie wymogów dyrektywy z realnymi możliwościami małej gminy tworzy wyraźny zgrzyt.

Zdaniem specjalisty 

Tomasz Krajewski, dyrektor techniczny sprzedaży na Europę Wschodnią, Veeam Tomasz Krajewski, dyrektor techniczny sprzedaży na Europę Wschodnią, Veeam  

Integratorzy są mocno obecni w sektorze publicznym, ale zakres ich wsparcia zależy od wielkości instytucji i dostępnego budżetu. Większe jednostki częściej korzystają z wiedzy i doświadczenia partnera technologicznego podczas projektowania i wdrażania systemu. Dzięki temu mogą otrzymać rozwiązanie dobrze skonfigurowane i łatwe w administrowaniu. Mniejsze instytucje, ze względu na ograniczenia finansowe, częściej samodzielnie odpowiadają za uruchomienie i utrzymanie systemu. Z usług integratora korzystają przede wszystkim przy zakupie sprzętu i oprogramowania. Rola integratora może być jednak szersza. Może on pomóc zaprojektować architekturę, przetestować odtwarzanie danych, przygotować odpowiednie procedury i przeszkolić zespół. Pozwala to połączyć ochronę, bezpieczeństwo i odzyskiwanie zasobów w spójny proces. To realna szansa dla kanału partnerskiego.

  
Beyhan Çalışkan, CEO, NGX Storage Beyhan Çalışkan, CEO, NGX Storage  

Instytucje publiczne coraz bardziej zdają sobie sprawę, że ochrona danych to już nie tylko kwestia zgodności z przepisami. To także priorytet operacyjny, finansowy i związany z bezpieczeństwem. Wiele organizacji nadal jednak eksploatuje kombinację systemów tradycyjnej infrastruktury backupowej i nowszych technologii. Modernizacja takich środowisk wymaga czasu, zwłaszcza ze względu na ograniczenia budżetowe, procedury zamówień publicznych, istniejące inwestycje infrastrukturalne oraz niedobór wyspecjalizowanego personelu IT. Z naszej perspektywy instytucje publiczne wyraźnie zmierzają w dobrym kierunku, ale poziom dojrzałości znacznie się różni między organizacjami. Większe instytucje oraz te odpowiedzialne za szczególnie krytyczne obciążenia zwykle mają bardziej zaawansowane strategie disaster recovery i backupu, podczas gdy inne wciąż modernizują swoją infrastrukturę.

  
Łukasz Nowatkowski, Cybersecurity Advocate, Xopero Łukasz Nowatkowski, Cybersecurity Advocate, Xopero  

Różnica pomiędzy sektorem publicznym a prywatnym dotyczy przede wszystkim motywacji atakujących. W przypadku biznesu celem jest, najczęściej przy użyciu ransomware, zysk finansowy, wymuszenia czy zakłócenie działalności przedsiębiorstw. Instytucje publiczne coraz częściej stają się natomiast celem działań o charakterze destabilizacyjnym. Ataki na szpitale, urzędy czy infrastrukturę krytyczną mają zakłócić funkcjonowanie państwa, ograniczyć dostęp obywateli do usług publicznych oraz podważyć zaufanie do instytucji. Skutki takich incydentów znacznie wykraczają poza sam wyciek danych. Równie istotne są utrata ciągłości działania, wielodniowe przestoje systemów, brak dostępu do kluczowych informacji oraz trudności z szybkim przywróceniem usług. Dlatego coraz częściej mówimy nie tylko o cyberbezpieczeństwie, ale przede wszystkim o cyberodporności, czyli zdolności organizacji do szybkiego odzyskania pełnej sprawności po incydencie.

  
Piotr Szczepanik, Regional Partner Manager CEE, Keepit Piotr Szczepanik, Regional Partner Manager CEE, Keepit  

Wśród zespołów IT polskiego sektora publicznego zasada 3-2-1 w kontekście tradycyjnej infrastruktury jest powszechnie znana. Jej wdrożenie jest jednak nierównomierne, a na poziomie warstwy SaaS praktycznie nie istnieje. Audyt NIK z 2024 roku wykazał, że ponad 70 procent skontrolowanych gmin nie posiadało żadnego udokumentowanego planu odtwarzania IT, co oznacza nie tylko lukę w zakresie samego backupu, ale brak całego procesu, który nadaje backupowi sens. Adopcja niezależnego backupu SaaS w sektorze publicznym w Europie rośnie, ale Polska znajduje się na wcześniejszym etapie niż kraje zachodniej UE. W skali globalnej mniejszość organizacji chroni Microsoft 365 za pomocą niezależnych narzędzi backupowych, to samo dotyczy z pewnością polskich instytucji publicznych. Adopcja przyspiesza nie w momencie uchwalenia NIS 2, ale wtedy, gdy audytorzy zaczynają wymagać dowodów zgodności. Presja na to właśnie dociera do Polski.