Już po raz trzeci Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) opublikowała raport ENISA NIS360 dotyczący odporności najważniejszych sektorów na cyberzagrożenia. Choć analizy wskazują na wzrost poziomu bezpieczeństwa IT w organizacjach, tempo zmian w niektórych branżach nadal jest za małe. W strefie ryzyka znajdują się między innymi ochrona zdrowia, firmy zajmujące się zarządzaniem usługami ICT (technologiami informacyjnymi i komunikacyjnymi) oraz administracja publiczna. Ostatni z sektorów jest głównym celem cyberataków, co w dużym stopniu wynika z niestabilnej sytuacji geopolitycznej. Ponad 63 proc. działań haktywistów (cyberprzestępców motywowanych ideologicznie) na terenie UE jest wymierzonych w podmioty z tego obszaru. Tymczasem okazuje się, że dwie na trzy instytucje publiczne nie przeprowadzają regularnych ocen bezpieczeństwa swoich systemów.
ENISA przygotowała analizę sektorów objętych dyrektywą NIS2 na podstawie dwóch czynników: krytyczności oraz dojrzałości. Pierwszy z nich obejmuje między innymi poziom cyfryzacji oraz wpływ incydentów na otoczenie społeczno-gospodarcze. W drugim uwzględniono z kolei poziom wsparcia i nadzoru przez odpowiednie organy, zarządzanie ryzykiem cyberbezpieczeństwa, stopień wymiany informacji o zagrożeniach w obrębie sektora oraz gotowość operacyjną do oceny bezpieczeństwa i planowania ciągłości działania.
Po uwzględnieniu tych aspektów największą dojrzałością w zakresie cyberbezpieczeństwa – podobnie jak w ubiegłorocznym badaniu – cechują się sektor bankowy, energetyczny i telekomunikacyjny. Jak podkreśla Tomasz Dziedzic, chief technology officer w Linux Polska, jest to po części efekt wymagań regulacyjnych stawianych organizacjom z tych branż.
– Sektory z najwyższą oceną w zakresie cyberodporności wyróżniają się większym zaangażowaniem kadry kierowniczej w działania związane z zarządzaniem ryzykiem oraz wyższym poziomem kompetencji z tego zakresu. Wynika to z kultury organizacyjnej, będącej efektem licznych regulacji prawnych. Przykładowo: w sektorze finansowym jest to rozporządzenie DORA, które nakłada na instytucje ściśle określone wymogi z zakresu bezpieczeństwa IT. Dotyczą one wdrożenia kompleksowych ram zarządzania ryzykiem i incydentami, monitorowania zewnętrznych dostawców ICT pod tym względem, testowania odporności operacyjnej oraz wymiany informacji o zagrożeniach. Procesy związane z tymi regulacjami mogą być w dużym stopniu uporządkowane i zautomatyzowane dzięki nowoczesnym rozwiązaniom, zaprojektowanym specjalnie na potrzeby spełniania wymogów DORA – mówi Tomasz Dziedzic, chief technology officer w Linux Polska.
Administracja publiczna wymaga największego wsparcia operacyjnego
Nie każdy sektor może się jednak czuć bezpiecznie – kilka z nich ENISA uwzględniła w tzw. strefie ryzyka. Oznacza ona niższą dojrzałość w zakresie cyberbezpieczeństwa przy jednoczesnym wysokim poziomie krytyczności. W grupie tej znalazły się transport morski i kolejowy, ochrona zdrowia, sektor zarządzania usługami ICT oraz administracja publiczna. Jak wskazuje raport, ostatni z wymienionych obszarów charakteryzuje się szczególnie niskim poziomem postępów w zakresie gotowości operacyjnej do zmian w zakresie bezpieczeństwa IT – mimo że jest najbardziej narażony na cyberataki.
Marek Najmajer, product director w Linux Polska, podkreśla, że sektor ten wymaga gruntownej zmiany strategii w zakresie zapobiegania ryzyku.
– Dane ENISA pokazują, że w administracji publicznej problemem nie jest wyłącznie samo wykrywanie podatności. Wiele instytucji potrafi identyfikować je stosunkowo szybko, ale proces usuwania problemów i wdrażania poprawek często trwa trzy miesiące lub dłużej z powodu ograniczonych zasobów. W praktyce oznacza to, że luka między rozpoznaniem ryzyka a jego realnym ograniczeniem pozostaje zbyt duża. Dodatkowym problemem jest brak jasnej hierarchii podatności. W nawale zgłoszeń, formalnych akceptacji i aktualizacji dotyczących drobnych problemów łatwo stracić z pola widzenia te podatności, które faktycznie mogą zagrozić ciągłości działania usług publicznych. Dlatego administracja potrzebuje przejścia od reaktywnego utrzymania IT do modelu opartego na obserwowalności: stałym zbieraniu i korelowaniu logów, metryk, zdarzeń oraz informacji o zależnościach między systemami. Dopiero wtedy organizacja widzi nie tylko pojedynczy alert techniczny, ale także jego wpływ na konkretną usługę publiczną, priorytet reakcji i źródłową przyczynę problemu – tłumaczy Marek Najmajer, product director w Linux Polska.
W praktyce oznacza to odejście od punktowego monitorowania serwerów czy aplikacji na rzecz widoczności całego łańcucha świadczenia usługi: infrastruktury, aplikacji, baz danych, integracji, sieci, tożsamości użytkowników i dostawców zewnętrznych. Dla instytucji publicznych ma to szczególne znaczenie, ponieważ incydent techniczny bardzo szybko staje się incydentem usługowym – utrudnia dostęp do spraw urzędowych, świadczeń, rejestrów lub komunikacji z obywatelami.
Skąd problemy instytucji publicznych?
Główną barierą na drodze do osiągnięcia cyberodporności jest dla sektora publicznego szybko zmieniający się krajobraz zagrożeń oraz rozwój technologii – w badaniach z 2026 roku odpowiedź tę wskazało 67 proc. podmiotów. Sporym problemem jest także brak kompetencji z tego obszaru, który pozostaje bolączką aż 57 proc. organizacji sektora publicznego – to o 19 punktów procentowych więcej niż w przypadku firm prywatnych.
ENISA zwraca uwagę na jeszcze jedną kwestię. Dyrektywa NIS2, której celem jest podniesienie poziomu cyberbezpieczeństwa w Unii Europejskiej, obejmuje przede wszystkim organy szczebla centralnego, na przykład ministerstwa, urzędy i agencje państwowe. W zależności od kraju jest to szacunkowo od stu do kilku tysięcy instytucji. Problem pojawia się jednak na poziomie regionalnym i lokalnym. Jak podkreśla Sebastian Jaworski, wiceprezes Linux Polska, to właśnie w mniejszych podmiotach najczęściej pojawiają się wyzwania związane z lukami kompetencyjnymi i kulturą organizacyjną.
– Według analiz ENISA sektor administracji publicznej charakteryzuje się najniższym poziomem zaawansowania kadry zarządzającej oraz kompetencji w zakresie cyberbezpieczeństwa. Co trzecia organizacja nie posiada strategii rozwoju kompetencji z tego zakresu, a połowa nie zapewnia szkoleń dotyczących zagrożeń i analizy ryzyka. Poza ograniczeniami finansowymi i kadrowymi, problemem jest również kultura organizacyjna. Jednostki publiczne cechują się dużym poziomem biurokracji. Przywiązanie do istniejących procedur i technologii często skutkuje niechęcią do wdrożenia nowoczesnych rozwiązań, również z obszaru cyberbezpieczeństwa. Jest to szczególnie widoczne na poziomie gmin i powiatów – dodaje Sebastian Jaworski, wiceprezes Linux Polska.
Ekspert wyjaśnia, że istotną barierą są także opóźnienia we wdrożeniu dyrektywy NIS2, z którymi mierzy się wiele krajów członkowskich UE.
– Jeszcze w maju ubiegłego roku Komisja Europejska wystosowała opinie do 19 państw członkowskich, które nie wdrożyły w pełni dyrektywy NIS2. Wśród nich była również Polska. Sytuacja jednak stopniowo się zmienia. W kwietniu tego roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która implementuje unijne regulacje do polskiego porządku prawnego – zaznacza Sebastian Jaworski, wiceprezes Linux Polska.
Zgodnie z nowymi przepisami podmioty objęte dyrektywą NIS2 powinny do 3 października dokonać wpisu do Wykazu KSC albo w przypadku samorejestracji – złożyć wniosek o wpis. Termin wdrożenia obowiązków wynikających z nowych przepisów to 3 kwietnia 2027 roku. Do tego czasu organizacje będą musiały, m.in. wyznaczyć osoby odpowiedzialne za kontakt z KSC, zweryfikować niekaralność zespołu oraz przygotować i wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI), czyli zestaw polityk, procedur oraz zabezpieczeń organizacyjnych i technicznych minimalizujących ryzyko nieuprawnionego dostępu do danych. Czy pełne wdrożenie dyrektywy NIS2 w Polsce i innych krajach UE wpłynie na ocenę poziomu cyberbezpieczeństwa administracji publicznej w kolejnym raporcie ENISA NIS360? O tym przekonamy się w przyszłości.
