IT i cyberbezpieczeństwo

Co urząd i jego jednostki kupują w IT

Urząd gminy, szkoła, ośrodek pomocy społecznej, biblioteka i spółka wodociągowa pracują na komputerach, serwerach i programach. Każda z tych jednostek kupuje IT sama albo przez urząd. Typowe zakupy to:

• sprzęt - komputery, laptopy, serwery, macierze, drukarki, przełączniki i zapory sieciowe;
• licencje i abonamenty - programy do podatków, księgowości i kadr, pakiety biurowe, poczta, oprogramowanie antywirusowe;
• serwis i opieka informatyczna - stała obsługa zamiast etatu informatyka albo wsparcie dla niego;
• kopie zapasowe - urządzenia, oprogramowanie i przechowywanie kopii poza budynkiem;
• audyt i dokumentacja bezpieczeństwa - szacowanie ryzyka, polityki, procedury na wypadek incydentu, testy;
• szkolenia pracowników i kierownictwa z cyberhigieny;
• usługi zarządzane - monitorowanie sieci przez SOC (zespół, który całą dobę obserwuje alarmy i na nie reaguje) oraz obsługa incydentów.

Cztery ostatnie pozycje gmina długo kupowała z wyboru. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS 2, obowiązuje od 3 kwietnia 2026 r. Zamienia wiele z tych zakupów w obowiązek z terminem.

Kogo w gminie obejmuje ustawa o cyberbezpieczeństwie

Ustawa dzieli podmioty na kluczowe i ważne. Dla gminy rozstrzygają art. 5 ustawy o KSC oraz załączniki nr 1 i 2, w sektorze „Podmioty publiczne”.

Jednostka z drugiej, trzeciej i czwartej linii jest podmiotem ważnym, gdy nie jest kluczowa i wykonuje zadanie publiczne z użyciem systemów informacyjnych. Systemem informacyjnym jest już urządzenie z oprogramowaniem, które przetwarza dane (art. 2 pkt 14). Warunek spełni więc każda jednostka, która prowadzi sprawy na komputerze. Urząd poniżej 50 etatów nie jest podmiotem kluczowym. Z brzmienia art. 5 ust. 2 pkt 8 wynika, że jest podmiotem ważnym jako samorządowa jednostka budżetowa. Stanowiska ministra właściwego do spraw informatyzacji (organu właściwego, art. 41a ust. 1) nie znamy, więc sprawdź, jak ocenił to urząd.

Status decyduje o tym, co jednostka musi mieć, a więc kupić. Na wdrożenie tych obowiązków jednostki mają czas do 3 kwietnia 2027 r. (niżej):

• Podmiot kluczowy wdraża pełny system zarządzania bezpieczeństwem informacji. Obejmuje on szacowanie ryzyka, środki proporcjonalne do ryzyka, monitorowanie systemu w trybie ciągłym, plany ciągłości działania i edukację personelu (art. 8 ust. 1). Wyznacza co najmniej dwie osoby do kontaktu z krajowym systemem cyberbezpieczeństwa (art. 9 ust. 1 pkt 1). Incydent poważny zgłasza wczesnym ostrzeżeniem w 24 godziny od wykrycia, pełnym zgłoszeniem w 72 godziny, a sprawozdaniem końcowym w miesiąc od zgłoszenia (art. 11 ust. 1 pkt 4-4c). Co najmniej raz na 3 lata przeprowadza na własny koszt audyt bezpieczeństwa (art. 15 ust. 1).
• Podmiot ważny, który jest podmiotem publicznym, ma wersję uproszczoną. Wdraża system według załącznika nr 4 (art. 8 ust. 3) i wyznacza jedną osobę do kontaktu (art. 9 ust. 3). Incydent poważny zgłasza, ale bez wczesnego ostrzeżenia i sprawozdań (art. 12c). Audytu okresowego nie musi robić. Organ może mu go nakazać po incydencie poważnym albo innym naruszeniu ustawy (art. 15 ust. 1b).

Załącznik nr 4 czyta się jak listę zakupów. Wymaga m.in. inwentaryzacji sprzętu i usług ICT, oprogramowania antywirusowego oraz kopii zapasowych odseparowanych logicznie i fizycznie od danych. Kopie trzeba testować, czy dadzą się odtworzyć (cz. I pkt 1, 10, 11, 13). Do tego dochodzą procedury na wypadek awarii i incydentu, szkolenia osób przetwarzających informacje (pkt 12 i 17) i przegląd systemu co najmniej raz w roku (cz. III).

Za wykonanie obowiązków odpowiada kierownik jednostki (art. 8c ust. 1), także wtedy, gdy powierzył je firmie (art. 8c ust. 3). Raz w roku przechodzi udokumentowane szkolenie (art. 8e).

Terminy ustawy jako sygnał popytu

Nowe brzmienie ustawy obowiązuje od 3 kwietnia 2026 r., ale jednostki, które tego dnia spełniały przesłanki, mają okres przejściowy. Obowiązki z rozdziału 3 (system, osoby do kontaktu, dokumentacja, incydenty) wdrażają do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy Dz.U. 2026 poz. 252). Urząd kluczowy przeprowadza pierwszy audyt do 3 kwietnia 2028 r. (art. 33 ust. 2).

Dla sprzedającego oznacza to rozłożony w czasie popyt. Do kwietnia 2027 r. urzędy i jednostki wdrażają system, kopie, procedury i szkolenia. W latach 2027-2028 urzędy kluczowe zamawiają pierwsze audyty. Pełną oś terminów, z wykazem, CSIRT, karami i dawnymi porozumieniami gmin, rozpisujemy w tekście NIS2 w gminie - terminy 2027-2028.

Tryb zakupu i wartość zamówienia

Poniżej 170 000 zł netto (art. 2 ust. 1 pkt 1 PzpPrawo zamówień publicznych. Ustawa z 11 września 2019 r., według której zamawiający publiczny udziela zamówień o wartości od 170 000 zł netto. Więcej) gmina kupuje według własnego regulaminu zamówień, najczęściej zapytaniem ofertowym. Progi w regulaminach to lokalne konwencje, nie prawo. Od 170 000 zł netto obowiązuje Pzp.

O trybie decyduje szacunkowa wartość zamówienia, liczona bez VAT (art. 28 Pzp). W IT trzy reguły zmieniają ją najczęściej:

• Podobne dostawy się sumuje. Komputery dla kilku wydziałów, kupowane w jednym roku osobnymi zapytaniami, to jedna wartość (art. 30 ust. 2). Rozbijanie zakupu, żeby zejść pod próg, jest zakazane, chyba że uzasadniają to obiektywne przyczyny (art. 29 ust. 2).
• Usługi powtarzające się liczy się za 12 miesięcy. Serwis albo abonament monitorowania, zamawiany kolejnymi zleceniami, gmina sumuje z 12 miesięcy (art. 35 ust. 1). Przy umowie wieloletniej liczy cały okres, razem z opcjami i wznowieniami (art. 31 ust. 2).
• Szkoła liczy osobno. Jednostka z samodzielnością finansową, która kupuje na własną działalność, ustala wartość odrębnie od urzędu (art. 33 ust. 2). Laptopy dla szkoły rzadko dochodzą więc do progu. Więcej w tekście jak kupują szkoły i przedszkola.

Umowę według Pzp zawiera się na czas oznaczony. Usługę ciągłą na ponad 4 lata gmina zamówi tylko z uzasadnieniem, np. oszczędnością kosztów (art. 434 ust. 1-2). Licencję na oprogramowanie wolno zawrzeć na czas nieoznaczony (art. 435 ust. 1 pkt 4).

Kupującym nie zawsze jest urząd. Jednostka samorządu może zapewnić wspólną obsługę obowiązków z ustawy o KSC swoim jednostkom (art. 16e ust. 5). Dla jednostek budżetowych i zakładów budżetowych jednostkę obsługującą i zakres obsługi wskazuje rada gminy w uchwale (art. 10a i art. 10b ust. 1-2 ustawy o samorządzie gminnym). Instytucja kultury, np. biblioteka, przystępuje do wspólnej obsługi sama, porozumieniem z jednostką obsługującą, po zgłoszeniu wójtowi (art. 10b ust. 3). Gminy mogą też porozumieniem powierzyć te obowiązki jednej z nich (art. 16e ust. 6 ustawy o KSC). Ta wyznacza do pracy swoją jednostkę organizacyjną albo spółkę komunalną (art. 16e ust. 8). Zamówienie obejmuje wtedy kilka urzędów naraz i łatwiej przekracza próg. Mechanizm opisujemy w tekście o wspólnych zamówieniach gmin.

Część zakupów gmina finansuje z projektów unijnych. Wtedy powyżej 80 000 zł netto stosuje zasadę konkurencyjności i ogłasza zapytanie w Bazie Konkurencyjności (Wytyczne kwalifikowalności 2021-2027, podrozdział 3.2). Zasady opisujemy w tekście o Bazie Konkurencyjności.

Skala zakupów: w sygnałach Sigov z branży IT i cyfryzacji w gminach (stan na koniec października 2026 r.) ok. dwie na trzy zapowiedzi z kwotą mieściły się poniżej 170 000 zł, a połowa tych mniejszych nie przekraczała ok. 30 tys. zł. Przy zapowiedziach dotyczących cyberbezpieczeństwa poniżej progu mieściła się mniej więcej połowa, a połowa wszystkich przekraczała ok. 150 tys. zł. Kwota pochodzi z dokumentu gminy, więc to rząd wielkości, a nie wartość szacunkowa zamówienia.

Sygnały przed zapytaniem

• Pozycja na cyberbezpieczeństwo, sprzęt albo licencje w projekcie budżetu na kolejny rok. Budżet na 2027 r. to ostatni przed końcem okresu przejściowego 3 kwietnia 2027 r.
• Uchwała rady o wspólnej obsłudze jednostek w zakresie cyberbezpieczeństwa albo porozumienie gmin o powierzeniu tych obowiązków jednej z nich.
• Wniosek o dofinansowanie albo umowa o dofinansowanie projektu cyfrowego.
• Zarządzenie wójta, burmistrza albo prezydenta o polityce bezpieczeństwa informacji albo o osobie do kontaktu w sprawach cyberbezpieczeństwa. Po nim przychodzą szkolenia, kopie i monitoring.
• Incydent w urzędzie albo jednostce, np. zaszyfrowane dane. Po nim przychodzą zakupy naprawcze, a podmiotowi ważnemu organ może nakazać audyt (art. 15 ust. 1b ustawy o KSC).
• Koniec umowy serwisowej albo licencji. Umowy zawarte od 1.07.2026 widać w Centralnym Rejestrze Umów.

Gdy widzisz taki sygnał, zadzwoń do informatyka urzędu albo sekretarza gminy, zanim powstanie opis zamówienia. Zapytaj, który status przyjął urząd i które obowiązki chce zlecić. Jak prowadzić taką rozmowę zgodnie z zasadami, piszemy w tekście o kontakcie z gminą przed zapytaniem.

Na co uważać w ofercie

• Informacja z KRK dla twoich ludzi. Osoba, która ma realizować zadania z art. 8 lub 11 ustawy o KSC, przed startem przedstawia informację z Krajowego Rejestru Karnego. Ma z niej wynikać niekaralność za przestępstwa przeciwko ochronie informacji, a bez niej kierownik nie dopuści jej do pracy (art. 8f ust. 1). Zastępuje ją ważne poświadczenie bezpieczeństwa o klauzuli „poufne” lub wyższej (art. 8f ust. 3). Skompletuj dokumenty przed podpisaniem umowy.
• Ten sam zespół nie zrobi audytu. Audytu nie przeprowadzi osoba, która w audytowanym urzędzie realizowała zadania z art. 8-13 w ciągu roku przed audytem (art. 15 ust. 2a). Gdy prowadzisz urzędowi monitorowanie, wystaw do audytu innych ludzi. Audytorem jest akredytowana jednostka oceniająca zgodność albo co najmniej dwóch audytorów z certyfikatami lub praktyką z art. 15 ust. 2.
• Twoja umowa trafia do wykazu. Urząd podaje w wykazie informację o umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, z danymi firmy (art. 7 ust. 2 pkt 16). Takim dostawcą jest firma, która wspiera zarządzanie ryzykiem, w tym obsługę incydentów, testy, audyty i doradztwo (art. 2 pkt 4j). Kierownik odpowiada mimo powierzenia, więc będzie żądał raportów. Wypisz w ofercie, które obowiązki przejmujesz, a które zostają w urzędzie (art. 14).
• Czas reakcji wynika z ustawy. Urząd kluczowy ma 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu poważnego. Incydent wykryty w piątek wieczorem też się liczy. Czas reakcji w twojej umowie musi zostawić urzędowi zapas na zgłoszenie.
• Kopia bez testu to połowa usługi. Załącznik nr 4 wymaga kopii odseparowanych i testów odtworzenia (cz. I pkt 10-11). Wpisz do oferty test odtworzenia z protokołem, bo urząd musi dokumentować działania systemu (cz. IV).
• Abonament rośnie z okresem umowy. Monitorowanie za 9 tys. zł netto miesięcznie to 108 tys. zł netto rocznie. Ta sama usługa na dwa lata to 216 tys. zł netto, czyli zamówienie według Pzp. Sprawdź, na jaki okres gmina szacuje zakup, zanim przygotujesz ofertę na zapytanie.

Podstawa prawna

• Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), w życie od 3.04.2026: art. 2 pkt 4j i 14, art. 5 ust. 1 pkt 4 lit. d i ust. 2 pkt 8, art. 7 ust. 2 pkt 16, art. 8 ust. 1 i 3, art. 8c, art. 8e, art. 8f, art. 9, art. 11 ust. 1 pkt 4-4c, art. 12c, art. 14, art. 15, art. 16e, załączniki nr 1, 2 i 4.
• Przepisy przejściowe ustawy z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252): art. 33 ust. 1-2.
• Prawo zamówień publicznych (t.j. Dz.U. 2026 poz. 793): art. 2 ust. 1 pkt 1, art. 28-31, art. 33 ust. 2, art. 35 ust. 1, art. 434-435.
• Ustawa o samorządzie gminnym (t.j. Dz.U. 2026 poz. 662): art. 10a-10b.