Raport Fortinet: samorządy wykorzystały dekadę.

Cyberbezpieczeństwo jest priorytetem, ale wyzwań nie brakuje

Fortinet, światowy lider w dziedzinie cyberbezpieczeństwa, który zapewnia konwergencję sieci i rozwiązań ochronnych, przeprowadził badanie dotyczące stanu cyberbezpieczeństwa w polskich samorządach. Jest ono kontynuacją badania z 2016 r.; obie edycje objęły po 200 urzędów, a respondentami były osoby odpowiedzialne za kwestie IT.

Porównanie wyników obu badań pokazuje przede wszystkim, że w ciągu ostatniej dekady cyberbezpieczeństwo zyskało znacznie na znaczeniu w samorządach. W badaniu z 2026 r. 83,5 proc. respondentów zadeklarowało, że w ich urzędzie przykłada się do cyberbezpieczeństwa dużą lub bardzo dużą wagę, wobec 63 proc. w 2016 r. Jednocześnie odsetek badanych wskazujących na bardzo dużą wagę cyberbezpieczeństwa wzrósł ponad dwukrotnie – z 15 proc. w 2016 r. do 32 proc. w 2026 r.

Choć rozwiązania ochronne są dziś powszechnie stosowane, nadal nie brakuje istotnych wyzwań: 52,5 proc. badanych wskazuje brak środków na zatrudnienie specjalistów, a 48 proc. – niewystarczającą liczbę pracowników IT. Jednocześnie pojawiły się nowe obszary wymagające ochrony, związane m.in. z tożsamością cyfrową, sztuczną inteligencją i usługami chmurowymi.

Na przestrzeni 10 lat poprawiła się również samoocena respondentów co do poziomu zabezpieczeń w organizacji, choć bez spektakularnych postępów. W 2016 r. 67 proc. badanych oceniało bezpieczeństwo informatyczne swojego urzędu jako wysokie lub bardzo wysokie. Obecnie jest to 77 proc. Udział ocen „bardzo wysokich” natomiast nie zmienił się – dekadę temu i dziś wynosi 8 proc.

– Mijająca dekada pokazała, że cyberbezpieczeństwo stało się znacznie istotniejszym elementem funkcjonowania samorządów. Warto zwrócić uwagę na dysproporcję: znaczenie przypisywane cyberbezpieczeństwu wyraźnie wzrosło, podczas gdy ocena własna poziomu zabezpieczeń pozostała na podobnym poziomie co 10 lat temu. Można to interpretować jako sygnał, że wraz z rozwojem infrastruktury IT i narzędzi ochronnych rośnie również świadomość złożoności problemu – mówi Jolanta Malak, dyrektorka regionalna w firmie Fortinet.

To, co było potrzebą, dziś jest standardem

Najbardziej widocznym dowodem zmiany jest upowszechnienie technologii ochronnych. W 2016 r. z firewalli nowej generacji (NGFW, ang. Next-Generation Firewall) korzystało 61 proc. badanych urzędów, a co trzecia jednostka nie miała takiego rozwiązania. Spośród tych ostatnich 81 proc. deklarowało, że chciałoby je wdrożyć. Dekadę później NGFW stosuje już 88,5 proc. badanych podmiotów. Wzrosło również wykorzystanie ochrony przed atakami DDoS – z 58 proc. do 76,5 proc., systemów filtrowania stron internetowych – z 70 proc. do 84,5 proc., a centralnego uwierzytelniania – z 46 proc. do 60 proc.

Dla mieszkańca te zmiany mają bardzo praktyczny wymiar. Tego typu zabezpieczenia mają utrudniać atakującym dostęp do systemów urzędu i przechowywanych w nich informacji, ograniczać ryzyko przejęcia kont użytkowników oraz pomagać utrzymać dostępność usług w przypadku próby zakłócenia działania systemów. W praktyce chodzi więc m.in. o zmniejszanie ryzyka wycieku danych osobowych, nieautoryzowanego dostępu do informacji czy sytuacji, w której po cyberataku mieszkaniec nie może skorzystać z cyfrowej usługi urzędu.

W ciągu dekady rozszerzył się również zestaw stosowanych zabezpieczeń. Wyniki badania z 2026 r. wskazują, że:

• 80,5 proc. badanych jednostek korzysta z systemów monitorujących i analizujących zdarzenia związane z bezpieczeństwem IT,
• 76,5 proc. korzysta z rozwiązań pozwalających wykrywać zagrożenia na komputerach i innych urządzeniach końcowych oraz reagować na nie,
• 69 proc. stosuje uwierzytelnianie wieloskładnikowe (MFA).

To ostatnie ma szczególne znaczenie w sytuacji, gdy przestępca zdobędzie login i hasło pracownika urzędu – dodatkowy sposób potwierdzenia tożsamości może utrudnić mu przejęcie dostępu do służbowego konta i znajdujących się za nim danych.

Samo wdrożenie technologii nie oznacza jednak, że dany obszar jest już wystarczająco chroniony. Rozwiązania zapewniające ciągłość dostępu do systemów i danych stosuje dziś 84 proc. badanych JST, a jednocześnie 64 proc. deklaruje, że chciałoby je wprowadzić lub dalej ulepszać. Z punktu widzenia mieszkańców chodzi o zdolność urzędu do dalszego świadczenia usług lub możliwie szybkiego ich przywrócenia także wtedy, gdy mimo zastosowanych zabezpieczeń dojdzie do awarii albo cyberataku.

– To, że urzędy mają dziś określone zabezpieczenia, a jednocześnie nadal chcą je doskonalić, świadczy o dojrzalszym podejściu do cyberbezpieczeństwa. Samo posiadanie technologii nie przesądza o skuteczności ochrony a rozwiązania trzeba aktualizować, rozwijać i dostosowywać do zmieniających się zagrożeń. Im więcej narzędzi, tym większe wymagania wobec ludzi, którzy muszą je właściwie konfigurować, utrzymywać i rozwijać – mówi Jolanta Malak z Fortinet.

A tymczasem pracowników brakuje. Co drugi badany urząd ocenia swoje zasoby kadrowe do realizacji zadań związanych z cyberbezpieczeństwem jako niewystarczające. Wskazując największe wyzwania kadrowe 52,5 proc. respondentów w badaniu z 2026 roku wymieniło brak środków na zatrudnienie specjalistów, a 48 proc. – niewystarczającą liczbę pracowników IT. Ponadto 72,5 proc. badanych zwróciło uwagę na zbyt szeroki zakres obowiązków przypadający na pojedynczych pracowników, co może wskazywać na rosnące zapotrzebowanie na dodatkowych specjalistów ds. cyberbezpieczeństwa i IT w miarę wdrażania przez samorządy nowych technologii i mierzenia się z coraz bardziej złożonymi wyzwaniami w obszarze cyberbezpieczeństwa.

Stare ryzyka nie zniknęły, doszły nowe

Z wyników badania Fortinet wynika, że technologiczny postęp nie sprawił, że znane od lat zagrożenia straciły znaczenie. Najbardziej narażonym elementem systemów informatycznych samorządów nadal pozostaje poczta elektroniczna – w 2026 r. wskazało ją 86 proc. respondentów, wobec 68 proc. dekadę wcześniej. Jednocześnie sama lista potencjalnie zagrożonych obszarów jest dziś szersza niż 10 lat temu. W badaniu z 2026 r. pojawiły się kategorie, których poprzedni kwestionariusz jeszcze nie obejmował:

• konta użytkowników i tożsamość cyfrowa – 37 proc.,
• narzędzia wykorzystujące sztuczną inteligencję – 33,5 proc.,
• usługi chmurowe – 19,5 proc.

Ponad połowa badanych urzędów – 54,5 proc. – nie ma formalnych zasad lub procedur regulujących korzystanie z narzędzi opartych na sztucznej inteligencji i obecnie nad nimi nie pracuje. Wyniki te pokazują zarówno, jak wraz z rozwojem technologii poszerzył się zakres obszarów, które samorządy muszą chronić, jak i potrzeba budowania zasad bezpiecznego korzystania z nowych narzędzi.

Zmieniło się również postrzeganie konsekwencji udanego ataku. Wyciek lub utrata danych nadal znajduje się na pierwszym miejscu, ale znacznie częściej niż dekadę temu respondenci zwracają uwagę na skutki wykraczające poza samą infrastrukturę IT. Przykładowo w 2016 r. podważenie reputacji i zaufania do instytucji wskazywało 19 proc. badanych, obecnie ten odsetek wzrósł znacząco do 52 proc.

– Największym błędem byłoby uznać, że skoro samorządy nadrobiły wiele technologicznych zaległości, to najtrudniejsza część jest już za nimi. W cyberbezpieczeństwie meta cały czas się przesuwa: pojawiają się nowe technologie, sposoby ataku i wymagania wobec zespołów. Kolejnym etapem dojrzałości nie jest punktowe dokładanie kolejnych narzędzi, lecz takie łączenie technologii, procesów i kompetencji, aby urząd miał pełniejszy obraz tego, co dzieje się w jego środowisku, mógł szybciej reagować na zagrożenia i ograniczać ich skutki – tłumaczy Jolanta Malak z Fortinet.

Informacje o badaniu

Badanie ilościowe „Cyberbezpieczeństwo w samorządach” wykonane zostało przez Centrum Badawczo-Rozwojowe Biostat na zlecenie firmy Fortinet. Przeprowadzono je w dniach 8-20 lipca 2026 r. metodą wywiadów telefonicznych wspomaganych komputerowo (CATI) na próbie 200 urzędów. Respondentami były osoby odpowiedzialne za podejmowanie decyzji w kwestiach IT, w tym informatycy i osoby zajmujące się cyberbezpieczeństwem. Wyniki skorygowano wagami uwzględniającymi strukturę ogółu urzędów samorządowych w Polsce.

Porównanie historyczne odnosi się do badania przeprowadzonego w 2016 r. na próbie 200 jednostek administracji samorządowej. W przypadku pytań, których zakres lub zestaw odpowiedzi zmienił się między badaniami, wyniki należy interpretować jako porównanie kierunkowe, a nie bezpośrednią miarę zmiany poziomu zagrożenia.

Źródło: Fortinet materiały prasowe