W rozmowie dla portalsamorzadowy.pl rozmawiam o nowych zasadach bezpieczeństwa w urzędzie. O nowych obowiązkach, odpowiedzialności i karach dla kierowników jednostek.
Samorządy muszą przygotować się na szereg nowych obowiązków wynikających z dyrektywy NIS2, zwłaszcza że za ich wdrożenie odpowiedzialni są wójtowie, burmistrzowie i prezydenci miast. O tym, jakie to obowiązki, mówi nam Adam Snarski, burmistrz Leska.
Wskutek nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażającej dyrektywę NIS2, różne podmioty podlegają obowiązkowi wpisu do Wykazu podmiotów kluczowych i podmiotów ważnych. Podmioty publiczne, w tym gminy, zostaną wpisane przez Ministra Cyfryzacji z urzędu, ewentualnie otrzymają wezwanie do uzupełnienia brakujących danych. Jakie zatem muszą zrealizować obowiązki do 3 października 2026 r.?
– Nowe przepisy nakładają nowe obowiązki na urzędy, szkoły, wszystkie gminne jednostki organizacyjne, jak instytucje kultury czy spółki komunalne. Chociaż rzeczywiście gminy zostaną automatycznie wpisane do Krajowego Systemu Bezpieczeństwa, powinny się przygotować do wdrożenia wszystkich przepisów nałożonych tą nowelizacją. A te nowe przepisy wymagają m.in. analizy ryzyka w urzędzie, obsługi incydentów, planów ciągłości działania, zarządzania podatnościami, organizacji szkoleń pracowników oraz nadzoru nad bezpieczeństwem dostawców usług IT.
W Lesku przygotowanie do realizacji nowych obowiązków rozpoczęliśmy od przekazania informacji o nowelizacji i o tych obowiązkach wszystkim naszym jednostkom: kierownikom, dyrektorom, prezesom spółek. Zwróciliśmy między innymi uwagę na potrzebę dokonania przez każdą z tych jednostek indywidualnej oceny swojego statusu w świetle przepisów ustawy, zatem określenie, czy są podmiotem kluczowym czy podmiotem ważnym.
Kolejnymi obowiązkami nałożonymi na gminy wskutek nowelizacji jest wdrożenie systemu zarządzania bezpieczeństwem informacji, monitorowanie, określenie procedur reagowania na incydenty, a także do 3 kwietnia 2027 r. realizacja obowiązkowych szkoleń z zakresu cyberbezpieczeństwa dla włodarzy i pracowników.
Należy położyć nacisk na wybór takich szkoleń, które będą zarówno merytoryczne, jak i przydatne w codziennej pracy. Nie ma żadnego sensu udział w losowych szkoleniach.
Ponadto, wskutek nowelizacji gminy są zobowiązane do weryfikacji niekaralności personelu i podłączenia do systemu S46. Jak widać, zadań jest bardzo dużo, a najbliższe miesiące powinno się poświęcić na przygotowanie do ich realizacji.
Kto jest odpowiedzialny za wdrożenie tych obowiązków?
– Za wdrożenie nowych obowiązków w urzędach są odpowiedzialni kierownicy jednostek, czyli wójtowie, burmistrzowie i prezydenci miast.
To oni będą ponosić odpowiedzialność, jeśli przepisy dotyczące cyberbezpieczeństwa nie będą przestrzegane, a stosowane w urzędzie zabezpieczenia będą niewystarczające.
Należy mieć to na uwadze zwłaszcza dlatego, że obowiązki związane z cyberbezpieczeństwem samorządowcy często zrzucają na informatyków. W wielu gminach informatyk jest jednocześnie administratorem sieci, serwisantem drukarek, wsparciem dla pracowników-użytkowników, operatorem Biuletynu Informacji Publicznej, opiekunem strony internetowej. W mniejszych miejscowościach obsługuje nie tylko urząd, ale wszystkie jednostki organizacyjne.
Gdy wdrażany był ePUAP, to zadania z tym związane przypisywano najczęściej informatykom, gdy wchodziły zadania z ochrony danych osobowych, zostali inspektorami ochrony danych. Podkreślam jednak, że w dyrektywie jasno wskazano, że cyberbezpieczeństwo nie jest problemem informatyka, ale właśnie kierownika jednostki.
Musimy zatem wreszcie skończyć w urzędach ze zrzucaniem obowiązków związanych z cyberbezpieczeństwem na informatyków.
Nie może dochodzić do sytuacji, że w przypadku cyberataków zostaną oni z problemem sami i sami będą musieli go rozwiązać. Tak jak nie zatrudniamy jednej osoby do obsługi finansów, nie zatrudniamy jednej osoby do zamówień publicznych czy inwestycji, tak samo nie możemy oczekiwać, że jeden informatyk zapewni pełną odporność cyfrową urzędu i jeszcze będzie ponosił za to odpowiedzialność.
Informatyk kosztuje kilkanaście tysięcy złotych rocznie, a skutki jednego udanego ataku mogą kosztować urząd miliony złotych i utratę zaufania mieszkańców.
Chociaż ostatnie wybory samorządowe trochę odmłodziły kadrę samorządowców, a ci lepiej rozumieją potrzebę cyberbezpieczeństwa, nadal wielu kierowników nie wie, o czym informatyk do nich mówi. A to błąd, bo to oni, a nie informatycy, będą odpowiedzialni, jeśli system zabezpieczeń zawiedzie. Zatem nie zostawiajmy informatyka samego z tym problemem, bo odpowiedzialność ciąży na nas.
Jaką odpowiedzialność poniosą wójtowie, burmistrzowie i prezydenci miast, jeśli dojdzie do skutecznego cyberataku?
– Najbardziej odczuwalna będzie z pewnością odpowiedzialność polityczna. Po tym, gdy urząd będzie sparaliżowany na kilka lub kilkanaście dni, mieszkańcy nie będą mogli załatwić spraw urzędowych, nie będą mieli także pewności, czy nie wyciekły ich dane osobowe, mogą stracić zaufanie do włodarzy.
Myślę, że dla każdego wójta, burmistrza czy prezydenta miasta będzie to najdotkliwsza kara. To on odpowie za to, czy urząd był na atak przygotowany. Mieszkańcy szybko wybaczają awarię, ale znacznie gorzej reagują na informacje, że urząd nie był na coś przygotowany.
Właśnie po to powstała dyrektywa NIS2 – żeby przygotować urząd na ewentualne cyberataki, które stały się realnym zagrożeniem. Karanie włodarzy za nieskuteczne działania lub ich niepodjęcie jest podrzędną sprawą.
Czy może dojść do odwołania włodarza?
– Chociaż nie ma przepisu, który automatycznie odwoływałby włodarza ze stanowiska, to po negatywnym audycie czy wykradzeniu danych mogą to zrobić mieszkańcy w ramach referendum lokalnego. To jednak ostateczność. Bardziej spodziewałbym się konsekwencji pośrednich jak kontrole Regionalnej Izby Obrachunkowej, wojewody czy Najwyższej Izby Kontroli, a te już pociągają za sobą skutki finansowe i odpowiedzialność z dyscypliny finansów publicznych.
Gdy dojdzie do poniesienia przez urząd wysokich kosztów – na przykład na wypłatę odszkodowań, jeśli dojdzie do utracenia danych i nie będzie można ich odtworzyć – sprawdzane będzie, czy kierownik jednostki dochował należytej staranności w gospodarowaniu środkami publicznymi. Odpowiedzialność z zakresu dyscypliny finansów publicznych może z kolei może skutkować tym, że zostaniemy usunięci ze stanowiska i będziemy mieli zakaz piastowania takich stanowisk przez pewien okres.
Obawiałbym się także sytuacji, że wskutek cyberataku okaże się, że powodem było niewdrożenie zaleceń, o które od lat zabiegano i na których potrzebę wdrożenia wskazywał audytor. Wtedy problem staje się problemem zarządczym i politycznym. Nie polecam jednak także bierności w zakresie cyberbezpieczeństwa, bo i za nią może odpowiedzieć wójt, burmistrz lub prezydent miasta.
Ciąg dalszy artykułu na stronie portalsamorzadowy.pl – kliknij tutaj
