Najwyższa Izba Kontroli opublikowała raport pokontrolny w kwietniu 2025 r. Kontrolą objęto 24 jednostki samorządu terytorialnego (17 urzędów gmin i 7 starostw powiatowych) w okresie od 1 stycznia 2023 do 20 września 2024. Według NIK w większości skontrolowanych urzędów zadania w zakresie bezpieczeństwa informacji nie były wykonywane skutecznie, rzetelnie i prawidłowo.
Najczęstsze nieprawidłowości
- Brak przygotowania do zapewnienia ciągłości działania systemów informatycznych (71% urzędów)
- Nieegzekwowanie wszystkich przyjętych rozwiązań organizacyjno-technicznych bezpieczeństwa informacji (20 z 24 urzędów), w tym problemy z zabezpieczeniami serwerowni, kopiami zapasowymi i nadzorem nad uprawnieniami
- Brak zapisów o ochronie poufności informacji w umowach z wykonawcami usług IT (11 urzędów)
- Brak szkoleń pracowników oraz niezidentyfikowane zbiory danych wymagające zabezpieczenia
- Z 222 nieprawidłowości 51 usunięto dopiero w trakcie samej kontroli
Powtarzający się schemat
To nie pierwszy taki raport: NIK badała bezpieczeństwo informacji w JST także wcześniej (m.in. kontrola P/18/006 „Zarządzanie bezpieczeństwem informacji w jednostkach samorządu terytorialnego”), a w informacji z 2025 r. pisze o wieloletnich zaniedbaniach związanych z ochroną danych. Izba zwraca uwagę, że kierownicy nie nadają należytej wagi bezpieczeństwu informacji ani zapewnieniu ciągłości działania oraz nie wdrażają i nie aktualizują polityk i procedur.
Wniosek NIK jest istotny dla dyskusji o LCC: biorąc pod uwagę skalę i zakres nieprawidłowości, Izba uznała za zasadne stałe wspieranie urzędów JST przez Ministra Cyfryzacji we wdrażaniu rozwiązań organizacyjnych i technicznych dotyczących bezpieczeństwa informacji i ciągłości działania. Lokalne Centra Cyberbezpieczeństwa wpisują się w tę rekomendację. W lipcu 2026 r. NIK opublikowała też wyniki kontroli programu Cyberbezpieczny Samorząd - omawiamy je w artykule o bilansie programu.