Kontekst raportu i podstawa prawna
Sprawozdanie Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa za 2025 rok to obowiązkowy dokument sprawozdawczy wynikający z art. 63 ust. 1 ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (UKSC). Pełnomocnik — w 2025 r. funkcję pełnił Wiceprezes Rady Ministrów, Minister Cyfryzacji Krzysztof Gawkowski — przedkłada raport Radzie Ministrów. Dokument opracowano w Departamencie Cyberbezpieczeństwa Ministerstwa Cyfryzacji na podstawie danych CSIRT-ów poziomu krajowego (NASK, GOV, MON), zespołów sektorowych (CSIRT KNF, CSIRT CeZ), organów właściwych oraz służb specjalnych.
Sprawozdanie za 2025 r. ma szczególną wagę: to pierwszy dokument opisujący system stojący w przededniu strukturalnej zmiany — pełnej implementacji dyrektywy NIS 2 i wdrożenia znowelizowanej UKSC. Zawiera on nie tylko dane operacyjne, ale również pierwszy sformalizowany rejestr ryzyka dla KSC, analizę SWOT i PESTLE oraz wnioski, które bezpośrednio przekładają się na obowiązki tysięcy podmiotów kluczowych i ważnych.
Kluczowe liczby 2025
Rok 2025 przyniósł bezprecedensowy wzrost liczby incydentów we wszystkich trzech CSIRT-ach krajowych. Skala zmian jest najlepiej widoczna w zestawieniu rok do roku:
| Zespół | Incydenty 2024 | Incydenty 2025 | Zmiana r/r |
|---|---|---|---|
| CSIRT NASK | 103 449 | 260 783 | +152% |
| CSIRT MON | 4 220 | 7 125 | +68,9% |
| CSIRT GOV | 3 991 | 5 033 | +26,1% |
| SUMA (kraj) | 111 660 | 272 941 | +144,4% |
Do CSIRT-ów poziomu krajowego wpłynęło łącznie 682 245 zgłoszeń (wzrost o 10% r/r). W samym CSIRT NASK stosunek potwierdzonych incydentów do zgłoszeń wzrósł z 17% do 39,6% — co oznacza drastyczny wzrost „celności” ataków. Średnia dzienna liczba incydentów obsługiwanych przez NASK wzrosła z 283 w 2024 r. do 714 w 2025 r. Incydentów poważnych w klasyfikacji art. 2 pkt 5-9 UKSC zarejestrowano 54 (wobec 69 w 2024 r.), jednak incydentów w podmiotach publicznych było 5 204 (+49% r/r).
Pięć zdiagnozowanych trendów
Sprawozdanie identyfikuje pięć dominujących trendów krajobrazu zagrożeń 2025, które bezpośrednio przekładają się na wymagania SZBI w podmiotach KSC:
- Sztuczna inteligencja jako „mnożnik siły” adwersarzy — modele językowe generują masowo spersonalizowane, bezbłędne językowo kampanie phishingowe, technologia deepfake umożliwia podszywanie się pod urzędników, a AI przyspiesza rekonesans i omijanie reguł detekcji.
- Aktywność grup APT powiązanych z Rosją i Białorusią — polska infrastruktura pod stałą presją cyberszpiegostwa i działań destrukcyjnych; najpoważniejszy przykład to atak wiper na ponad 30 farm wiatrowych i fotowoltaicznych z końca grudnia 2025 r.
- Cyberprzestępczość jako usługa (CaaS) i ewolucja ransomware — popularyzacja modelu Ransomware-as-a-Service (RaaS) i usług brokerów dostępu (IAB) obniżyła barierę wejścia; dominuje model „podwójnego wymuszenia” (szyfrowanie + kradzież danych + groźba publikacji).
- Ataki na łańcuchy dostaw — kompromitacja słabiej zabezpieczonych kontraktorów i dostawców IT/OT jako wektor wejścia do dobrze chronionych podmiotów kluczowych; atakujący wykorzystują routery SOHO i urządzenia brzegowe jako infrastrukturę anonimizacyjną.
- Ewolucja socjotechniki na prywatne komunikatory — przenoszenie ataków z firmowego e-maila na Signal i WhatsApp, aby ominąć korporacyjne systemy monitorowania i prewencji.
Rejestr ryzyka — co zagraża KSC
Po raz pierwszy Sprawozdanie zawiera usystematyzowany rejestr ryzyka dla KSC na poziomie strategicznym, oceniony według iloczynu wpływu (W) i prawdopodobieństwa (P) w skali 1-4. Tylko jedno ryzyko otrzymało ocenę krytyczną (16 pkt):
| Ryzyko | Wpływ | Prawd. | Ocena | Poziom |
|---|---|---|---|---|
| Niewystarczające finansowanie i przeciążenie organów właściwych | 4 | 4 | 16 | Bardzo wysokie |
| Ataki ransomware (w tym na podmioty lecznicze) | 4 | 3 | 12 | Wysokie |
| Ataki wolumetryczne DDoS | 4 | 3 | 12 | Wysokie |
| Przestarzała infrastruktura i luki w sprzęcie medycznym | 4 | 3 | 12 | Wysokie |
| Złośliwe wykorzystanie AI (phishing, deepfake) | 4 | 3 | 12 | Wysokie |
| Uderzenia w łańcuchy dostaw IT/OT | 3 | 3 | 9 | Wysokie |
| Kryzys kadrowy cyberbezpieczeństwa | 3 | 3 | 9 | Wysokie |
| Niska dojrzałość nowych podmiotów NIS2 | 3 | 3 | 9 | Wysokie |
Wnioski dla podmiotów KSC
Z punktu widzenia podmiotu kluczowego lub ważnego dane ze Sprawozdania przekładają się na konkretne priorytety operacyjne. Rejestr ryzyka Pełnomocnika de facto wyznacza obszary, które organy właściwe będą szczególnie kontrolować w ramach nadzoru proaktywnego (ex-ante) oraz reaktywnego (ex-post) po wejściu w życie znowelizowanej UKSC.
- Plan ciągłości działania (BCP) i odtwarzania (DRP) — w sektorze zdrowia, energii i wodociągów plany BCP/DRP nie są już opcjonalne; są podstawowym środkiem zaradczym wskazanym w rejestrze ryzyka.
- Kopie zapasowe offline (air-gapped) — wobec dominacji ransomware kopie online w modelu „podwójnego wymuszenia” są szyfrowane razem z produkcją; jedyna skuteczna obrona to backup izolowany.
- Inwentaryzacja aktywów i zarządzanie podatnościami — systematyczne patchowanie urządzeń brzegowych, wymiana sprzętu bez wsparcia producenta; to priorytet nr 1 dla samorządów i szpitali.
- Audyt łańcucha dostaw — klauzule bezpieczeństwa w umowach z dostawcami IT/OT, weryfikacja personelu serwisowego, zamykanie zbędnych usług; dotyczy szczególnie podmiotów kluczowych (art. 8 UKSC).
- Uwierzytelnianie wieloskładnikowe (MFA) — obrona przed masową socjotechniką wspieraną AI; obowiązkowe dla dostępów administracyjnych i zdalnych.
- Szkolenia personelu — Pełnomocnik wskazuje jako podstawowy środek zaradczy dla ryzyk socjotechnicznych; szkolenia zarządu są obowiązkiem ustawowym pod rygorem osobistej odpowiedzialności.
Plan działań na 2026
Sprawozdanie definiuje siedem głównych kierunków działań na 2026 r., które realnie wpłyną na obowiązki podmiotów KSC:
- Implementacja dyrektywy NIS 2 i operacjonalizacja znowelizowanej UKSC — przejście z modelu OUK/DUC do podmiotów kluczowych i ważnych, masowa rejestracja w wykazie S46.
- Centralizacja koordynacji i formalizacja PCOC — Połączone Centrum Operacyjne Cyberbezpieczeństwa stanie się oficjalnym organem pomocniczym Pełnomocnika („jedno okienko” dla ekosystemu KSC).
- Budowa gotowości operacyjnej nowych CSIRT-ów sektorowych — Infrastruktura, Cyfra, Energia; 18-miesięczny termin na osiągnięcie zdolności operacyjnej.
- Modernizacja systemu S46 i platformy cyber.gov.pl — rozszerzenie funkcjonalności rejestracyjnej (samoidentyfikacja) oraz integracja narzędzi (moje.cert.pl, bezpiecznedane.gov.pl).
- Krajowy System Certyfikacji Cyberbezpieczeństwa (KSCC) — nowy mechanizm certyfikacji produktów i usług ICT zgodnie z rozporządzeniem (UE) 2019/881.
- Wzmocnienie kapitału ludzkiego — kontynuacja świadczenia teleinformatycznego (w 2025 r. wypłacono ~377 mln zł dla ~7 000 specjalistów), program „Cyberbezpieczny Samorząd” (1,3 mld zł do końca 2025 r.).
- Działania wobec nowych technologii — migracja do kryptografii postkwantowej (projekt PIONIER-Q, EuroQCI), Laboratorium Bezpieczeństwa AI, regulacje dla modeli generatywnych.