Czym jest PCOC
PCOC (Połączone Centrum Operacyjne Cyberbezpieczeństwa) to platforma koordynacyjna Ministra Cyfryzacji organizowana wspólnie z RCB (Rządowym Centrum Bezpieczeństwa). Jej celem jest szybka, techniczna wymiana danych i informacji o zdarzeniach w cyberprzestrzeni między kluczowymi dla bezpieczeństwa państwa instytucjami — CSIRT-ami krajowymi, sektorowymi zespołami, służbami specjalnymi i resortami.
Pojęcie „operacyjne” w nazwie ma dwa znaczenia: (1) operacyjne jako dotyczące bieżącej wymiany informacji o incydentach (nie strategicznej — od tego jest Kolegium ds. Cyberbezpieczeństwa), (2) operacyjne jako funkcjonujące 24/7 (choć do 2026 r. PCOC nie ma stałego dyżuru — spotyka się cyklicznie). Formalizacja PCOC w znowelizowanej UKSC zmienia ten drugi charakter — przechodzi w stałą strukturę administracyjną.
PCOC w 2025 — nieformalna koordynacja
W 2025 r. PCOC funkcjonowało jako nieformalna platforma koordynacyjna (od 2022 r.). Spotkania odbywały się cotygodniowo, w skład wchodzili przedstawiciele:
- CSIRT-ów poziomu krajowego (CSIRT NASK, CSIRT GOV, CSIRT MON),
- Sektorowych zespołów cyberbezpieczeństwa (CSIRT KNF, CSIRT CeZ),
- Służb specjalnych (m.in. ABW, SKW, Agencja Wywiadu),
- Poszczególnych ministerstw (MSWiA, MON, MKiŚ, MRiT i innych).
Spotkania miały charakter niejawny, a tematyka obejmowała głównie techniczne aspekty cyberzagrożeń. Uczestnicy korzystali z urządzeń ICT umożliwiających połączenie z niejawną siecią wojskową do klauzuli „zastrzeżone”. W 2025 r. PCOC odegrało szczególnie istotną rolę w:
- Obsłudze incydentów wielopodmiotowych — ataki wymagające synchronizacji między kilkoma CSIRT-ami, organami właściwymi i służbami (np. atak wiper z grudnia 2025 na farmy OZE).
- Operacji „Parasol Wyborczy” — zabezpieczenie procesu wyborczego (wybory prezydenckie 2025) przed cyberzagrożeniami, w tym atakami DDoS o skali 1,3 Tbps na infrastrukturę finansową.
- Koordynacji reakcji na incydenty o potencjale systemowym — szybkie zwoływanie posiedzeń, synchronizacja działań, uzgadnianie priorytetów.
Formalizacja w znowelizowanej UKSC
Znowelizowana UKSC (wdrażająca NIS 2) formalizuje PCOC. Zmiana ma dwa główne wymiary:
| Aspekt | PCOC do 2025 (nieformalne) | PCOC od 2026 (formalne) |
|---|---|---|
| Podstawa prawna | Brak — praktyka organizacyjna | Ustawa o KSC (art. nowelizacji) |
| Umocowanie | Platforma spotkań koordynacyjnych | Organ pomocniczy Pełnomocnika |
| Skład | Ad hoc — uczestnicy ustalani organizacyjnie | Określony ustawą — skład międzyresortowy |
| Zadania | Niezdefiniowane formalnie | Szczegółowo opisane w ustawie |
| Zaplecze administracyjne | Brak stałej struktury | Stała struktura administracyjna — „jedno okienko” |
| Rola | Wymiana informacji | Wymiana + koordynacja + nadzór nad działaniami sektorowymi |
Kolejnym krokiem rozwoju, zapowiedzianym w Sprawozdaniu 2025, jest przekształcenie PCOC w stałą strukturę administracyjną pełniącą funkcję zaplecza operacyjnego Pełnomocnika — faktycznego punktu ciężkości polskiego cyberbezpieczeństwa i ustandaryzowanego „jednego okienka” dla całego ekosystemu KSC. Cele: merytoryczna i organizacyjna obsługa Pełnomocnika, koordynacja sektorowa, ujednolicenie formatu przekazywanych informacji.
PCOC a Zespół Incydentów Krytycznych
Obok PCOC funkcjonuje Zespół do Spraw Incydentów Krytycznych (ZIK) — gremium koordynacyjno-kryzysowe zwoływane w sytuacjach zakłócenia poufności, integralności lub dostępności krytycznych zasobów teleinformatycznych państwa. ZIK jest obsługiwany przez RCB i zbiera się w sytuacjach incydentów krytycznych (w 2025 r. — 2 posiedzenia).
| Cecha | PCOC | ZIK |
|---|---|---|
| Charakter | Operacyjny, cykliczny | Kryzysowy, ad hoc |
| Częstotliwość | Cotygodniowo | Tylko przy incydentach krytycznych |
| Skład | CSIRT-y, służby, resorty | Najwyższe szczeble państwa, w tym służby |
| Obsługa | Ministerstwo Cyfryzacji + RCB | RCB (docelowo — Pełnomocnik) |
| Zadania 2026 | Koordynacja operacyjna KSC | Zarządzanie incydentami krytycznymi |
Nowelizacja UKSC przewiduje przeniesienie obsługi ZIK do urzędu obsługującego Pełnomocnika. RCB dokonało w 2025 r. przeglądu relacji między PCOC a ZIK w celu uniknięcia dublowania kompetencji. Docelowy podział: PCOC zajmuje się bieżącą koordynacją operacyjną, ZIK — kryzysami na najwyższym szczeblu państwa.
Co to oznacza dla podmiotów KSC
Z perspektywy podmiotu kluczowego lub ważnego PCOC nie jest bezpośrednim kanałem kontaktu — podmiot zgłasza incydenty do właściwego CSIRT-u (sektorowego lub krajowego), nie do PCOC. Niemniej formalizacja PCOC w 2026 r. ma realne znaczenie operacyjne dla podmiotów:
- Szybsza koordynacja przy incydentach wielopodmiotowych — jeśli atak dotyka kilku podmiotów z różnych sektorów (np. łańcuch dostaw), PCOC zapewnia wymianę informacji i synchronizację reakcji.
- Spójniejsze rekomendacje i komunikaty — Pełnomocnik wydaje rekomendacje (w 2025 r. — 3: Roundcube, PAD CMS, Cisco) i komunikaty (w 2025 r. — 7) po konsultacjach z CSIRT-ami; PCOC jako zaplecze operacyjne przyspiesza ten proces.
- Standaryzacja formatu zgłoszeń — „jedno okienko” w PCOC ma ujednolicić interfejs dla podmiotów KSC, zmniejszając obciążenie raportowe.
- Lepsza integracja z systemem S46 — PCOC nadzoruje operacyjnie system wymiany informacji, co ma przełożyć się na mniej opóźnień i sprawniejszą dystrybucję wiedzy o podatnościach.
- Fundusz Cyberbezpieczeństwa — Kolegium ds. Cyberbezpieczeństwa wydaje opinie dotyczące świadczenia teleinformatycznego dla specjalistów (w 2025 r. — 377 mln zł dla ~7 000 specjalistów); PCOC wspiera proces merytorycznie.