Ustalenia kontroli
NIK skontrolowała trzy ministerstwa — Cyfryzacji, Energii i Infrastruktury — oraz ośmiu operatorów usług kluczowych w sektorach transportu, dostaw energii oraz zaopatrzenia w wodę pitną. Kontrola objęła okres od 1 stycznia 2021 r. do 16 lutego 2026 r.; komunikat opublikowano 27 sierpnia 2026 r.[1]
Według NIK środki stosowane w latach 2021–2025 przez tych operatorów były niewystarczające i nieadekwatne do charakteru i skali zagrożeń. Żaden z nich nie zapewnił systemom świadczącym usługę kluczową odporności na działania naruszające poufność, integralność, dostępność i autentyczność danych.[1]
Sześciu operatorów systematycznie ignorowało krytyczne alerty z systemów monitorujących, a w skrajnych przypadkach w ogóle nie prowadziło takiego monitoringu. NIK wskazuje, że mogli nawet nie wiedzieć, że doszło do ataku na ich systemy.[1]
Nadzór ministrów
NIK ocenia, że niewystarczający był też nadzór ministrów energii i infrastruktury: nie podjęli oni odpowiednich działań nadzorczych i nie skontrolowali operatorów. Według Izby mechanizmy Krajowego Systemu Cyberbezpieczeństwa nie zapewniły skutecznego identyfikowania i egzekwowania obowiązków operatorów, choć od utworzenia systemu minęło ponad siedem lat.[1]
Skala zagrożeń
W 2025 r. krajowe zespoły reagowania na incydenty (CSIRT) obsłużyły niemal 273 tys. incydentów, o 144,4% więcej niż rok wcześniej — statystycznie jeden co dwie minuty.[1]
NIK przypomina, że atak na wodociągi umożliwia np. manipulowanie parametrami wody, a przejęcie kontroli nad sieciami elektroenergetycznymi może prowadzić do rozległych i długotrwałych przerw w dostawach prądu.[1]
Co z tego wynika
Analiza AI: wnioski wyprowadzone z faktów opisanych wyżej, nie ustalenia dokumentów.
Ustalenia NIK dotyczą dwóch poziomów: operatorów, którzy nie zabezpieczyli systemów, i ministrów, którzy nie użyli narzędzi nadzoru.[1]
Czego nie wiadomo
Komunikat podaje liczbę skontrolowanych operatorów i sektory, w których działają, ale nie wymienia ich nazw.[1]