NIK wskazała, że kontrola obejmująca okres od 1 stycznia 2021 r. do 16 lutego 2026 r. wykazała poważne luki w cyberbezpieczeństwie transportu kolejowego i wodnego oraz dostaw energii i wody pitnej.

„Niewystarczający był też nadzór sprawowany nad cyberbezpieczeństwem w tych sektorach przez ministrów energii i infrastruktury. Mimo że wiedzieli o niedostatecznym zabezpieczeniu przed cyberatakami podstawowych usług, nie podjęli odpowiednich działań nadzorczych i nie skontrolowali operatorów odpowiedzialnych za zapewnienie bezpieczeństwa usług” – poinformowała NIK.

Zwróciła też uwagę, że oznaczało to, iż mechanizmy Krajowego Systemu Cyberbezpieczeństwa (KSC) nie zapewniły skutecznego identyfikowania i egzekwowania od operatorów realizacji nałożonych na nich obowiązków. „Jest to tym bardziej niepokojące, że od utworzenia KSC upłynęło już ponad siedem lat, a w 2025 r. Polska była jednym z najczęściej atakowanych przez cyberprzestępców państw na świecie” – podkreśliła NIK.

NIK: operatorzy ignorowali krytyczne alerty cyberbezpieczeństwa

NIK zaznaczyła, że żaden z ośmiu skontrolowanych operatorów nie zapewnił systemom służącym do świadczenia usług kluczowych odporności na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych. W dodatku większość operatorów – sześciu – systematycznie ignorowała krytyczne alerty generowane przez systemy monitorujące i zabezpieczające, a w skrajnych przypadkach w ogóle nie prowadziła takiego monitoringu, choć skala zagrożeń cybernetycznych systematycznie rosła. W konsekwencji operatorzy mogli nawet nie wiedzieć, że doszło do ataku na ich systemy.

NIK przypomniała, że w 2025 r. Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT) na poziomie krajowym obsłużyły niemal 273 tys. tzw. incydentów – o 144,4 proc. więcej niż rok wcześniej. Oznacza to, że do incydentu w polskiej cyberprzestrzeni dochodziło statystycznie średnio co dwie minuty.

Izba zauważyła, że szczególne znaczenie mają incydenty dotyczące systemów wykorzystywanych do świadczenia usług kluczowych, ponieważ ich skutki mogą wykraczać poza sferę cyfrową. Atak hakerski na wodociągi umożliwia np. manipulowanie parametrami wody. Zwiększenie w niej ilości chloru może z kolei zagrażać zdrowiu, a nawet życiu jej odbiorców. Ponadto przejęcie kontroli przez hakerów nad sieciami elektroenergetycznymi może prowadzić do rozległych i długotrwałych przerw w dostawach prądu.

Cyberataki mogą zagrozić dostawom wody i energii

„W obliczu rosnącej powszechności technicznie zaawansowanych metod ataku, takich jak złośliwe oprogramowanie czy ataki z wykorzystaniem sztucznej inteligencji, utrzymywanie i ciągłe doskonalenie standardów bezpieczeństwa przestaje być jedynie kwestią techniczną. Staje się ono niezbędnym elementem zgodności z wymogami prawnymi oraz wyrazem odpowiedzialności za stabilność całego systemu, w którym działalność jednego podmiotu bezpośrednio wpływa na funkcjonowanie innych uczestników rynku i konsumentów” – wskazała NIK.

NIK wyjaśniła, że skontrolowała Ministerstwo Cyfryzacji, Ministerstwo Energii, Ministerstwo Infrastruktury oraz ośmiu operatorów usług kluczowych w sektorach transportu, dostaw energii oraz zaopatrzenia w wodę pitną i jej dystrybucji.