Cyberbezpieczny Samorząd: stan programu i co dalej
Program grantowy dla jednostek samorządu terytorialnego jest dziś w fazie rozliczeniowej, nie naborowej. Poniżej stan faktyczny, obowiązki do domknięcia przed końcem września i lista naborów, do których samorząd może złożyć wniosek teraz.
Nabór wniosków w konkursie grantowym „Cyberbezpieczny Samorząd” zakończył się 14 grudnia 2023 roku i nie został wznowiony. Jednostki, które zawarły umowy o powierzenie grantu, realizują je do 30 września 2026 roku — termin wydłużono komunikatem Centrum Projektów Polska Cyfrowa z czerwca 2026 roku. Jeżeli szukasz otwartego naboru dla samorządu, właściwym adresem są dziś Lokalne Centra Cyberbezpieczeństwa, gdzie wnioski przyjmowane są do 30 października 2026 roku.
Czym jest Cyberbezpieczny Samorząd
Program finansowany jest z Funduszy Europejskich na Rozwój Cyfrowy 2021–2027, priorytet II, działanie 2.2 „Wzmocnienie krajowego systemu cyberbezpieczeństwa”. Operatorem jest Centrum Projektów Polska Cyfrowa, a partnerem merytorycznym NASK — Państwowy Instytut Badawczy. Okres realizacji całego projektu obejmuje lata 2023–2027.
Wsparcie przyznawano w formie grantu od 200 000 do 850 000 złotych, a jego wysokość zależała od typu jednostki. W naborze zamkniętym 14 grudnia 2023 roku wnioski złożyło 2 517 z 2 807 uprawnionych jednostek samorządu terytorialnego: 2 202 gminy, 300 powiatów i 15 województw. Łączna wartość dofinansowania sięgnęła około 1,5 miliarda złotych.
Środki obejmowały trzy obszary: organizacyjny, kompetencyjny i techniczny. W praktyce oznaczało to opracowanie i wdrożenie systemu zarządzania bezpieczeństwem informacji, szkolenia pracowników urzędu oraz zakupy techniczne — od kopii zapasowych i urządzeń brzegowych po systemy klasy SIEM i ochronę stacji roboczych.
Co trzeba domknąć przed 30 września 2026
Dla jednostki, która nie zamknęła jeszcze zakupów i dokumentacji, wydłużony termin jest właściwym horyzontem planowania — a nie momentem na wszczynanie nowego postępowania o zamówienie publiczne, którego rozstrzygnięcie wypadnie już po terminie rozliczenia.
Raport z audytu dla operatora
Regulamin konkursu grantowego wymaga przekazania operatorowi raportu z audytu wraz z wnioskiem o rozliczenie grantu. Audyt dotyczy systemu zarządzania bezpieczeństwem informacji i wymagań Krajowych Ram Interoperacyjności.
Ankieta dojrzałości cyberbezpieczeństwa
Ankietę wypełnia się dwukrotnie: po zawarciu umowy o powierzenie grantu oraz ponownie przy rozliczeniu, już po wdrożeniu rozwiązań. Druga ankieta jest elementem dokumentacji rozliczeniowej, a nie formalnością domykaną na końcu.
SZBI, który działa poza dokumentem
System zarządzania bezpieczeństwem informacji jest w tym programie celem, a nie produktem ubocznym zakupu sprzętu. Polityki bez przypisanych właścicieli, bez rejestru incydentów i bez udokumentowanego przeglądu ryzyka widać w audycie od razu.
Dowody zamiast deklaracji
Rozliczenie opiera się na dokumentach: protokołach odbioru, dokumentacji konfiguracji, listach obecności ze szkoleń i zapisach z systemów. Zbiera się je w trakcie prac wykonawcy, nie po ich zakończeniu.
Gdzie są dziś otwarte pieniądze
Zestawienie obejmuje programy istotne dla jednostek samorządu terytorialnego i podmiotów publicznych objętych ustawą o KSC. Terminy bywają zmieniane komunikatem operatora, więc przed złożeniem wniosku sprawdź aktualną dokumentację u źródła — odnośniki są na końcu strony.
| Program | Dla kogo | Status i termin | Kwota |
|---|---|---|---|
| Lokalne Centra Cyberbezpieczeństwa | Partnerstwa co najmniej dwóch JST | Nabór otwarty, wnioski do 30 października 2026 | Od 6 mln zł przy dwóch jednostkach do 15 mln zł przy dwudziestu i więcej |
| Cyberbezpieczny Samorząd | Gminy, powiaty, województwa | Nabór zamknięty 14 grudnia 2023; realizacja grantów do 30 września 2026 | Od 200 tys. do 850 tys. zł na jednostkę |
| Cyberbezpieczne Wodociągi | Podmioty KSC odpowiedzialne za usługi wodno-kanalizacyjne | Nabór zamknięty 2 października 2025; realizacja do 30 czerwca 2026 | Alokacja 313 mln zł, złożono 896 wniosków |
| Cyberbezpieczny Rząd | Podmioty KSC: ministerstwa, urzędy centralne i wojewódzkie | Nabór zamknięty 31 marca 2025 | Ponad 276,6 mln zł, 53 wnioskodawców |
Lokalne Centra Cyberbezpieczeństwa: nabór trwa
Nabór ogłoszono 31 lipca 2026 roku, a wnioski przyjmowane są do 30 października 2026 roku. Prowadzi go Centrum Projektów Polska Cyfrowa, wsparcie merytoryczne zapewnia NASK — Państwowy Instytut Badawczy. Alokacja wynosi blisko 270 milionów złotych ze środków działania 4.1 programu Fundusze Europejskie na Rozwój Cyfrowy.
Konstrukcja różni się od poprzedniego programu w jednym istotnym punkcie: wniosek składa partnerstwo co najmniej dwóch jednostek samorządu terytorialnego, które chcą prowadzić wspólne, ponadgminne centrum cyberbezpieczeństwa. Limit wsparcia rośnie z liczbą partnerów — od 6 milionów złotych przy dwóch jednostkach, przez 6,5 miliona przy trzech, do 15 milionów przy dwudziestu i więcej. Dofinansowanie może pokryć do 100% wydatków kwalifikowalnych.
Katalog kosztów obejmuje zakup sprzętu i oprogramowania, w tym systemów klasy SIEM, audyty bezpieczeństwa oraz zatrudnienie lub outsourcing specjalistów obsługujących dany region. To ostatnie jest z perspektywy planowania najważniejsze: program dopuszcza finansowanie ciągłej obsługi, a nie wyłącznie zakupu narzędzi, które ktoś potem musi obsłużyć własnymi siłami.
Cztery rzeczy do rozstrzygnięcia przed złożeniem wniosku
- Partnerstwo trzeba uzgodnić wcześniej — porozumienie między jednostkami jest elementem dokumentacji, a nie czynnością następczą.
- Wspólne centrum wymaga odpowiedzi na pytanie, kto podejmuje decyzję o odcięciu systemu w jednostce partnerskiej i na jakiej podstawie.
- SIEM bez obsady operatorskiej generuje koszt licencji i zero detekcji; katalog kosztów dopuszcza outsourcing specjalistów właśnie dlatego.
- Harmonogram postępowania o zamówienie publiczne liczy się wstecz od terminu rozliczenia, a nie w przód od podpisania umowy o grant.
Zakup przechodzi przez zamówienie publiczne
Niezależnie od programu samorząd kupuje bezpieczeństwo w trybie ustawy Prawo zamówień publicznych. Wąskim gardłem rzadko jest brak środków — częściej opis przedmiotu zamówienia. Wymagania spisane jako lista parametrów sprzętowych dają ofertę najtańszą, a nie architekturę, którą da się utrzymać po zakończeniu projektu.
Od 3 kwietnia 2026 roku doszła nowa przesłanka odrzucenia oferty. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zmieniła art. 226 ust. 1 pkt 17 Prawa zamówień publicznych i dodała pkt 19: zamawiający odrzuca ofertę wykonawcy uznanego decyzją ministra właściwego do spraw informatyzacji za dostawcę wysokiego ryzyka. Decyzje ogłasza się w Monitorze Polskim i publikuje w Biuletynie Informacji Publicznej ministra, a przepis stosuje się także do postępowań wszczętych przed wejściem ustawy w życie.
W praktyce lista dopuszczalnych technologii przestała być wyłącznie decyzją techniczną zamawiającego. Warto sprawdzić ją przed publikacją ogłoszenia, a nie po otwarciu ofert.
Gdzie w tym wchodzi integrator
Projektujemy architekturę bezpieczeństwa, dobieramy technologie i odpowiadamy za to, jak całość działa po uruchomieniu. W projekcie finansowanym z grantu ten zakres rozkłada się na cztery etapy.
Analiza stanu i luk
Inwentaryzacja tego, co jednostka faktycznie ma wdrożone, co jest opłacone i co z tego działa. Zwykle te trzy listy się nie pokrywają. Wynik jest podstawą i do wniosku, i do późniejszego wykazania zgodności z ustawą o KSC.
Opis przedmiotu zamówienia
Wymagania funkcjonalne i poziomy usług spisane tak, żeby dało się je ocenić i wyegzekwować — z kryteriami oceny innymi niż sama cena i z jednoznacznym zapisem o przetwarzaniu danych na terenie Unii Europejskiej.
Wdrożenie etapami
Uruchamiamy krok po kroku, z testem po każdym etapie i możliwością wycofania zmiany. Dokumentacja powdrożeniowa powstaje na bieżąco, bo jest jednocześnie materiałem rozliczeniowym.
Nadzór po zakończeniu projektu
Grant kończy się wraz z rozliczeniem, a ryzyko zostaje. Utrzymanie i ciągły nadzór analityków prowadzimy jako usługę, żeby kupione narzędzia nie zostały bez obsługi w dniu zamknięcia projektu.
Czym się legitymujemy
W sektorze publicznym nie publikujemy nazw odbiorców ani referencji. Poniższe fakty są weryfikowalne u producentów i jednostki certyfikującej, bez udziału naszych klientów.
Certyfikaty SentinelOne Paladin i SIREN
Najwyższe poziomy certyfikacji, jakie SentinelOne przyznaje inżynierom partnerskim — Paladin za ekspertyzę techniczną, SIREN za reagowanie na incydenty. Jesteśmy jedynym zespołem w Polsce, który ma oba.
ISO 27001 dla usługi SOC
Certyfikowany system zarządzania bezpieczeństwem informacji obejmujący usługę SOC. Zakres certyfikatu to usługa SOC, nie cała spółka — piszemy to wprost, bo w postępowaniu ta różnica ma znaczenie.
Wyłączność na Arsen w Polsce
Jesteśmy wyłącznym partnerem platformy Arsen w Polsce. Prowadzimy na niej kampanie socjotechniczne, w tym testy odporności na klonowanie głosu w rozmowach prowadzonych na żywo.
Instruktorzy z doświadczeniem w rządowej cyberobronie
Ćwiczenia na cyberpoligonie CDeX prowadzą osoby z doświadczeniem operacyjnym w rządowej cyberobronie. Ścieżki zawodowe udostępniamy do weryfikacji po podpisaniu NDA.
Przetwarzanie danych w Unii Europejskiej
Dane w ramach usługi SOC pozostają na terenie UE. W postępowaniach publicznych bywa to zapisywane wprost jako wymóg, więc podajemy to jako parametr usługi, a nie hasło.
Najczęstsze pytania
Czy można jeszcze złożyć wniosek w programie Cyberbezpieczny Samorząd?
Nie. Nabór zakończył się 14 grudnia 2023 roku o godzinie 16:00 i nie został wznowiony. Jednostki, które zawarły umowy o powierzenie grantu, realizują je do 30 września 2026 roku. Otwartym naborem dla samorządów są obecnie Lokalne Centra Cyberbezpieczeństwa, z terminem składania wniosków do 30 października 2026 roku.
Do kiedy trzeba rozliczyć grant z programu Cyberbezpieczny Samorząd?
Termin realizacji grantów wydłużono do 30 września 2026 roku komunikatem Centrum Projektów Polska Cyfrowa z czerwca 2026 roku. Wraz z wnioskiem o rozliczenie przekazuje się operatorowi raport z audytu oraz ponownie wypełnioną ankietę dojrzałości cyberbezpieczeństwa.
Kto może złożyć wniosek o Lokalne Centrum Cyberbezpieczeństwa?
Wniosek składa partnerstwo co najmniej dwóch jednostek samorządu terytorialnego — gmin, powiatów lub województw — które chcą prowadzić wspólne centrum cyberbezpieczeństwa. Limit wsparcia zaczyna się od 6 milionów złotych przy dwóch jednostkach i rośnie do 15 milionów przy dwudziestu i więcej. Dofinansowanie może pokryć do 100% wydatków kwalifikowalnych.
Czy z grantu można sfinansować obsługę, a nie tylko sprzęt?
W naborze na Lokalne Centra Cyberbezpieczeństwa katalog kosztów obejmuje — obok zakupu sprzętu i oprogramowania klasy SIEM oraz audytów bezpieczeństwa — także zatrudnienie lub outsourcing specjalistów obsługujących dany region. Zakres kwalifikowalności każdorazowo rozstrzyga regulamin konkursu, więc przed przygotowaniem wniosku należy sprawdzić go u operatora.
Czy udział w programie grantowym zwalnia z obowiązków ustawy o KSC?
Nie. To dwa niezależne porządki: grant jest źródłem finansowania, a ustawa o krajowym systemie cyberbezpieczeństwa źródłem obowiązków. Podmiot publiczny wskazany w załączniku nr 1 do ustawy podlega jej niezależnie od wielkości i niezależnie od tego, czy otrzymał dofinansowanie.
Czy audyt rozliczeniowy to ten sam audyt, którego wymaga ustawa o KSC?
Nie należy ich utożsamiać. Audyt rozliczeniowy w programie grantowym odpowiada wymaganiom regulaminu konkursu i dotyczy systemu zarządzania bezpieczeństwem informacji. Ustawa o KSC nakłada na podmiot kluczowy odrębny obowiązek cyklicznego audytu bezpieczeństwa systemu informacyjnego, co najmniej raz na trzy lata, z wymogiem niezależności audytora od osób wykonujących w podmiocie zadania z zakresu cyberbezpieczeństwa.
Źródła
Wszystkie dane programowe na tej stronie pochodzą z materiałów publicznych operatorów. Nie podajemy tu żadnych kwot dotyczących naszych usług.
- 01Centrum Projektów Polska Cyfrowa — Cyberbezpieczny Samorząd
Strona programu: zakres wsparcia, kwoty grantów, obowiązki grantobiorcy i dane kontaktowe operatora.
- 02CPPC — wydłużenie terminu realizacji grantów
Komunikat z czerwca 2026 roku przesuwający termin realizacji grantów na 30 września 2026 roku.
- 03Zakończenie naboru Cyberbezpieczny Samorząd
Podsumowanie naboru: 2 517 wniosków z 2 807 uprawnionych JST, około 1,5 mld zł, maksymalny grant 850 tys. zł.
- 04Startuje nabór na Lokalne Centra Cyberbezpieczeństwa
Ogłoszenie naboru z 31 lipca 2026 roku: termin 30 października 2026, alokacja, warunek partnerstwa JST i katalog kosztów.
- 05CPPC — zakończenie naboru Cyberbezpieczne Wodociągi
Dane o naborze dla podmiotów wodno-kanalizacyjnych: 896 wniosków, alokacja 313 mln zł, realizacja do 30 czerwca 2026 roku.
- 06CPPC — zakończenie naboru Cyberbezpieczny Rząd
Dane o naborze dla podmiotów KSC z administracji centralnej: 53 wnioskodawców, ponad 276,6 mln zł.
- 07Urząd Zamówień Publicznych — zmiany w Pzp
Zmiana art. 226 ust. 1 pkt 17 i dodanie pkt 19 Prawa zamówień publicznych wraz z przepisami przejściowymi.
Planujecie postępowanie na bezpieczeństwo w jednostce publicznej?
Zaczynamy od analizy stanu i luk, a kończymy na architekturze, którą da się utrzymać po rozliczeniu projektu. Możemy też przejrzeć opis przedmiotu zamówienia, zanim trafi do ogłoszenia.
Porozmawiajmy
o bezpieczeństwie
Cyberzagrożenia nie śpią. Niezależnie czy potrzebujesz natychmiastowej reakcji na incydent, czy długoterminowej strategii, ZeroLayer jest w gotowości.
Umów 30-minutową rozmowę
Wybierz dogodny termin i porozmawiaj bezpośrednio z naszym zespołem bezpieczeństwa. Rozmowa o Twojej sytuacji, nie prezentacja sprzedażowa.