Kontrola NIK. Transport, dostawy energii oraz zaopatrzenie w wodę pitną są niewystarczająco zabezpieczone pod cyberataki – ocenia Najwyższa Izba Kontroli. Jak wynika z ustaleń NIK, w 2025 r. krajowe zespoły reagowania na incydenty cyberbezpieczeństwa obsłużyły blisko 273 tys. zdarzeń, co oznacza, że średnio co dwie minuty dochodziło w polskiej cyberprzestrzeni do incydentu mogącego zagrażać bezpieczeństwu. Kontrola NIK objęła Ministerstwo Cyfryzacji, Ministerstwo Energii, Ministerstwo Infrastruktury oraz ośmiu operatorów usług kluczowych działających w sektorach transportu, energetyki oraz zaopatrzenia w wodę pitną i jego dystrybucji. Analizą objęto okres od 1 stycznia 2021 r. do 16 lutego 2026 roku.NIK z negatywną ocenąWedług Izby środki cyberbezpieczeństwa stosowane przez ośmiu skontrolowanych operatorów w latach 2021-2025 były niewystarczające i nieadekwatne do rosnącej skali oraz charakteru zagrożeń. Dotyczyło to m.in. podmiotów odpowiedzialnych za dostawy energii i wody oraz transport kolejowy i wodny.NIK negatywnie oceniła również nadzór sprawowany nad cyberbezpieczeństwem przez ministrów energii i infrastruktury. Izba wskazała, że mimo wiedzy o niedostatecznym zabezpieczeniu podstawowych usług przed cyberatakami nie podjęto odpowiednich działań nadzorczych ani nie przeprowadzono kontroli operatorów odpowiedzialnych za ich bezpieczeństwo.W ocenie NIK oznacza to, że mechanizmy Krajowego Systemu Cyberbezpieczeństwa nie zapewniły skutecznego identyfikowania nieprawidłowości ani egzekwowania od operatorów realizacji nałożonych na nich obowiązków. Izba zwróciła uwagę, że od utworzenia systemu minęło już ponad siedem lat, a w 2025 r. Polska należała do państwa szczególnie często atakowanych przez cyberprzestępców. Błędne zabezpieczenia Szczególnie niepokojące są ustalenia dotyczące zabezpieczeń samych operatorów. Zdaniem NIK żaden z ośmiu skontrolowanych podmiotów nie zapewnił systemom wykorzystywanym do świadczenia usług kluczowych odpowiedniej odporności na działania naruszające poufność, integralność, dostępność i autentyczność danych. Sześciu operatorów systematycznie ignorowało przy tym krytyczne alerty generowane przez systemy monitorujące i zabezpieczające. W skrajnych przypadkach monitoring nie był prowadzony w ogóle, mimo że skala zagrożeń cybernetycznych systematycznie rosła. W rezultacie operatorzy mogli nawet nie mieć świadomości, że doszło do ataku na ich systemy.Skala problemu jest widoczna także w statystykach krajowych zespołów reagowania na incydenty. W 2025 r. CSIRT-y z poziomu krajowego obsłużyły niemal 273 tys. incydentów – o 144,4 proc. więcej niż rok wcześniej. Do tej kategorii zaliczane są m.in. zdarzenia zakłócające działanie systemów informatycznych, zagrażające poufności danych lub naruszające zasady bezpieczeństwa technologii informacyjnych.NIK podkreśla, że incydenty dotyczące infrastruktury krytycznej mogą mieć konsekwencje wykraczające daleko poza sferę cyfrową. Atak na systemy wodociągowe może umożliwić manipulowanie parametrami uzdatniania wody, a przejęcie kontroli nad siecią elektroenergetyczną może doprowadzić do rozległych i długotrwałych przerw w dostawach prądu. Zakłócenia w systemach transportowych mogą z kolei wpływać na funkcjonowanie całych łańcuchów dostaw.Sytuacja geopolityczna wpływa na zagrożenia Izba zwraca również uwagę na rosnące znaczenie zagrożeń wynikających z sytuacji geopolitycznej. Polska, jako członek Unii Europejskiej i NATO, jest narażona zarówno na działalność cyberprzestępców, jak i grup hakerskich wspieranych przez obce państwa.W ocenie NIK rozwój coraz bardziej zaawansowanych metod ataków, w tym wykorzystujących złośliwe oprogramowanie i sztuczną inteligencję, sprawia, że cyberbezpieczeństwo przestaje być wyłącznie kwestią techniczną. Staje się ono elementem odpowiedzialności za stabilność całego systemu gospodarczego i bezpieczeństwo obywateli.Zdaniem Izby konieczne jest również skuteczniejsze identyfikowanie nawet pozornie marginalnych zagrożeń. W warunkach rosnących napięć geopolitycznych i ekonomicznych słabości w ochronie infrastruktury krytycznej mogą bowiem szybko przerodzić się w zagrożenia dla ciągłości dostaw energii i wody, funkcjonowania transportu oraz bezpieczeństwa ludzi.Czytaj także: Nawrocki i darmowy pokój w IPN. NIK punktuje finanse instytutu