UE publikuje nową ocenę cyberbezpieczeństwa najważniejszych sektorów. Administracja publiczna w strefie ryzyka

Już po raz trzeci Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) opublikowała raport ENISA NIS360 dotyczący odporności najważniejszych sektorów na cyberzagrożenia. Choć analizy wskazują na wzrost poziomu bezpieczeństwa IT w organizacjach, tempo zmian w niektórych branżach nadal jest za małe. W strefie ryzyka znajdują się między innymi ochrona zdrowia, firmy zajmujące się zarządzaniem usługami ICT (technologiami informacyjnymi i komunikacyjnymi) oraz administracja publiczna^[1]. Ostatni z sektorów jest głównym celem cyberataków, co w dużym stopniu wynika z niestabilnej sytuacji geopolitycznej. Ponad 63 proc. działań haktywistów (cyberprzestępców motywowanych ideologicznie) na terenie UE jest wymierzonych w podmioty z tego obszaru^[2]. Tymczasem okazuje się, że dwie na trzy instytucje publiczne nie przeprowadzają regularnych ocen bezpieczeństwa swoich systemów^[3].

Trzy sektory w czołówce bezpieczeństwa IT

ENISA przygotowała analizę sektorów objętych dyrektywą NIS2 na podstawie dwóch czynników: krytyczności oraz dojrzałości. Pierwszy z nich obejmuje między innymi poziom cyfryzacji oraz wpływ incydentów na otoczenie społeczno-gospodarcze. W drugim uwzględniono z kolei poziom wsparcia i nadzoru przez odpowiednie organy, zarządzanie ryzykiem cyberbezpieczeństwa, stopień wymiany informacji o zagrożeniach w obrębie sektora oraz gotowość operacyjną do oceny bezpieczeństwa i planowania ciągłości działania^[4].

Po uwzględnieniu tych aspektów największą dojrzałością w zakresie cyberbezpieczeństwa – podobnie jak w ubiegłorocznym badaniu – cechują się sektor bankowy, energetyczny i telekomunikacyjny^[5]. Jak podkreśla Tomasz Dziedzic, Chief Technology Officer w Linux Polska, jest to po części efekt wymagań regulacyjnych stawianych organizacjom z tych branż.

– Sektory z najwyższą oceną w zakresie cyberodporności wyróżniają się większym zaangażowaniem kadry kierowniczej w działania związane z zarządzaniem ryzykiem oraz wyższym poziomem kompetencji z tego zakresu. Wynika to z kultury organizacyjnej, będącej efektem licznych regulacji prawnych. Przykładowo: w sektorze finansowym jest to rozporządzenie DORA, które nakłada na instytucje ściśle określone wymogi z zakresu bezpieczeństwa IT. Dotyczą one wdrożenia kompleksowych ram zarządzania ryzykiem i incydentami, monitorowania zewnętrznych dostawców ICT pod tym względem, testowania odporności operacyjnej oraz wymiany informacji o zagrożeniach. Procesy związane z tymi regulacjami mogą być w dużym stopniu uporządkowane i zautomatyzowane dzięki nowoczesnym rozwiązaniom, zaprojektowanym specjalnie na potrzeby spełniania wymogów DORA - mówi Tomasz Dziedzic, Chief Technology Officer w Linux Polska.

Administracja publiczna wymaga największego wsparcia operacyjnego

Nie każdy sektor może się jednak czuć bezpiecznie – kilka z nich ENISA uwzględniła w tzw. strefie ryzyka. Oznacza ona niższą dojrzałość w zakresie cyberbezpieczeństwa przy jednoczesnym wysokim poziomie krytyczności. W grupie tej znalazły się transport morski i kolejowy, ochrona zdrowia, sektor zarządzania usługami ICT oraz administracja publiczna^[6]. Jak wskazuje raport, ostatni z wymienionych obszarów charakteryzuje się szczególnie niskim poziomem postępów w zakresie gotowości operacyjnej do zmian w zakresie bezpieczeństwa IT – mimo że jest najbardziej narażony na cyberataki.

Marek Najmajer, Product Director w Linux Polska, podkreśla, że sektor ten wymaga gruntownej zmiany strategii w zakresie zapobiegania ryzyku.

– Dane ENISA pokazują, że w administracji publicznej problemem nie jest wyłącznie samo wykrywanie podatności. Wiele instytucji potrafi identyfikować je stosunkowo szybko, ale proces usuwania problemów i wdrażania poprawek często trwa trzy miesiące lub dłużej z powodu ograniczonych zasobów. W praktyce oznacza to, że luka między rozpoznaniem ryzyka a jego realnym ograniczeniem pozostaje zbyt duża. Dodatkowym problemem jest brak jasnej hierarchii podatności. W nawale zgłoszeń, formalnych akceptacji i aktualizacji dotyczących drobnych problemów łatwo stracić z pola widzenia te podatności, które faktycznie mogą zagrozić ciągłości działania usług publicznych. Dlatego administracja potrzebuje przejścia od reaktywnego utrzymania IT do modelu opartego na obserwowalności: stałym zbieraniu i korelowaniu logów, metryk, zdarzeń oraz informacji o zależnościach między systemami. Dopiero wtedy organizacja widzi nie tylko pojedynczy alert techniczny, ale także jego wpływ na konkretną usługę publiczną, priorytet reakcji i źródłową przyczynę problemu – tłumaczy Marek Najmajer, Product Director w Linux Polska.

W praktyce oznacza to odejście od punktowego monitorowania serwerów czy aplikacji na rzecz widoczności całego łańcucha świadczenia usługi: infrastruktury, aplikacji, baz danych, integracji, sieci, tożsamości użytkowników i dostawców zewnętrznych. Dla instytucji publicznych ma to szczególne znaczenie, ponieważ incydent techniczny bardzo szybko staje się incydentem usługowym - utrudnia dostęp do spraw urzędowych, świadczeń, rejestrów lub komunikacji z obywatelami.

Skąd problemy instytucji publicznych?

Główną barierą na drodze do osiągnięcia cyberodporności jest dla sektora publicznego szybko zmieniający się krajobraz zagrożeń oraz rozwój technologii – w badaniach z 2026 roku odpowiedź tę wskazało 67 proc. podmiotów. Sporym problemem jest także brak kompetencji z tego obszaru, który pozostaje bolączką aż 57 proc. organizacji sektora publicznego – to o 19 punktów procentowych więcej niż w przypadku firm prywatnych^[7].

ENISA zwraca uwagę na jeszcze jedną kwestię. Dyrektywa NIS2, której celem jest podniesienie poziomu cyberbezpieczeństwa w Unii Europejskiej, obejmuje przede wszystkim organy szczebla centralnego, na przykład ministerstwa, urzędy i agencje państwowe. W zależności od kraju jest to szacunkowo od stu do kilku tysięcy instytucji^[8]. Problem pojawia się jednak na poziomie regionalnym i lokalnym. Jak podkreśla Sebastian Jaworski, wiceprezes Linux Polska, to właśnie w mniejszych podmiotach najczęściej pojawiają się wyzwania związane z lukami kompetencyjnymi i kulturą organizacyjną.

– Według analiz ENISA sektor administracji publicznej charakteryzuje się najniższym poziomem zaawansowania kadry zarządzającej oraz kompetencji w zakresie cyberbezpieczeństwa. Co trzecia organizacja nie posiada strategii rozwoju kompetencji z tego zakresu, a połowa nie zapewnia szkoleń dotyczących zagrożeń i analizy ryzyka^[9]. Poza ograniczeniami finansowymi i kadrowymi, problemem jest również kultura organizacyjna. Jednostki publiczne cechują się dużym poziomem biurokracji. Przywiązanie do istniejących procedur i technologii często skutkuje niechęcią do wdrożenia nowoczesnych rozwiązań, również z obszaru cyberbezpieczeństwa. Jest to szczególnie widoczne na poziomie gmin i powiatów – dodaje Sebastian Jaworski, wiceprezes Linux Polska.

Ekspert wyjaśnia, że istotną barierą są także opóźnienia we wdrożeniu dyrektywy NIS2, z którymi mierzy się wiele krajów członkowskich UE.

– Jeszcze w maju ubiegłego roku Komisja Europejska wystosowała opinie do 19 państw członkowskich, które nie wdrożyły w pełni dyrektywy NIS2^[10]. Wśród nich była również Polska. Sytuacja jednak stopniowo się zmienia. W kwietniu tego roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która implementuje unijne regulacje do polskiego porządku prawnego – zaznacza Sebastian Jaworski, wiceprezes Linux Polska.

Zgodnie z nowymi przepisami podmioty objęte dyrektywą NIS2 powinny do 3 października dokonać wpisu do Wykazu KSC albo w przypadku samorejestracji - złożyć wniosek o wpis. Termin wdrożenia obowiązków wynikających z nowych przepisów to 3 kwietnia 2027 roku. Do tego czasu organizacje będą musiały, m.in. wyznaczyć osoby odpowiedzialne za kontakt z KSC, zweryfikować niekaralność zespołu oraz przygotować i wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI), czyli zestaw polityk, procedur oraz zabezpieczeń organizacyjnych i technicznych minimalizujących ryzyko nieuprawnionego dostępu do danych. Czy pełne wdrożenie dyrektywy NIS2 w Polsce i innych krajach UE wpłynie na ocenę poziomu cyberbezpieczeństwa administracji publicznej w kolejnym raporcie ENISA NIS360? O tym przekonamy się w przyszłości.