Bartłomiej Pograniczny, rzecznik prasowy NIK
W zeszłym roku średnio co dwie minuty w polskiej cyberprzestrzeni dochodziło do incydentu mogącego zagrażać bezpieczeństwu. Tymczasem środki cyberbezpieczeństwa stosowane w latach 2021-2025 przez skontrolowanych przez NIK operatorów usług kluczowych, którzy dostarczali energię i wodę pitną oraz zapewniali transport kolejowy i wodny, były nieadekwatne do obecnego charakteru zagrożeń oraz ich skali.
Niewystarczający był też nadzór sprawowany nad cyberbezpieczeństwem w tych sektorach przez ministrów: energii i infrastruktury. Mimo że wiedzieli o niedostatecznym zabezpieczeniu przed cyberatakami podstawowych usług, nie podjęli odpowiednich działań nadzorczych.
Incydenty dotyczące systemów wykorzystywanych do świadczenia usług kluczowych mają szczególne znaczenie, ponieważ ich skutki mogą wykraczać poza sferę cyfrową. Atak hakerski na wodociągi umożliwia np. manipulowanie parametrami wody. Przejęcie kontroli przez hakerów nad sieciami elektroenergetycznymi może prowadzić do rozległych i długotrwałych przerw w dostawach prądu. Dodatkowo Polska, jako członek Unii Europejskiej i NATO, mierzy się z zagrożeniami ze strony cyberprzestępczych grup hakerskich, czy grup sponsorowanych przez obce państwa.
Kontrola NIK wykazała, że mechanizmy Krajowego Systemu Cyberbezpieczeństwa nie zapewniły skutecznego identyfikowania i egzekwowania od operatorów realizacji nałożonych na nich obowiązków. Jest to tym bardziej niepokojące, że od utworzenia Systemu upłynęło już ponad siedem lat.