Państwowe Usługi Cyberbezpieczeństwa

Czy możemy już stwierdzić, że państwo przejmuje rynek usług cyberbezpieczeństwa w Polsce? Z komunikatów prasowych możemy się dowiedzieć, że Ministerstwo Cyfryzacji w 2026 planowało wydać ponad 5 miliardów złotych na poprawę cyberbezpieczeństwa w Polsce. W 2025 państwo wydało „tylko” 3,1 miliarda złotych. Ile z tych środków trafiło do Polskich Przedsiębiorców?

W sierpniu 2025 roku Ministerstwo Cyfryzacji uruchomiło nabór grantowy dla Małych i Średnich Przedsiębiorstw w sektorze cyberbezpieczeństwa. W ramach programu można było uzyskać wsparcie do 60 tysięcy euro. Łączna pula to 1,8 miliona Euro. Nie obyło się bez ograniczeń względem formy prawnej firm, które mogły się ubiegać o to dofinansowanie. JDG, Spółki Komandytowe czy Cywilne były wykluczone. Dobrze też wspomnieć, że to nie były środki z KPO czy z budżetu państwa a z Europejskiego Programu Cyfrowa Europa a zatem konkurs był organizowany przez Komisję Europejską a nie przez Ministerstwo. W 2026 próżno szukać podobnych konkursów na stronach Ministerstwa.

10 Grudnia 2025 Skarb Państwa przekazał grunty przy ul. 11 Listopada w Warszawie, Państwowemu Instytutowi Badawczemu NASK na budowę Centrum Cyberbezpieczeństwa. Wartość projektu bagatela 360 milionów złotych. W następnej kolejności mamy sektorowe CSIRT-y na które Ministerstwo Cyfryzacji przeznaczyło już ponad 60 milionów złotych. W 2026 został ogłoszony kolejny wielki projekt pt. Lokalne Centra Cyberbezpieczeństwa, na które państwo przekazało kolejne 270 milionów złotych. Na stronie lccyber.pl możemy wyczytać takie oto benefity: 30-70% niższe koszty utrzymania, 100% dofinansowania, 30-50% rabatu na licencje oraz 24/7 SOC jako usługa. Czy jest jakaś informacja, że LCC będzie tworzone w formie Partnerstwa Publiczno-Prywatnym? Skądże znowu, jest to interkomunalna współpraca jednostek samorządu terytorialnego.

No i gdzie tu problem skoro, centra będą obsługiwały głównie JST? Ano w tym, że państwo ogranicza konkurencyjność dla Polskich firm w sektorze cyberbezpieczeństwa, które na współpracy z JST mogłyby przecież rozwinąć swój biznes. Wg. Szacunków Polskiego Klastra Cyberbezpieczeństwa „CyberMadeInPoland” w Polsce działa ponad 400 firm w tej branży. W raporcie, który klaster opracował wraz z Krajowym Centrum Cyberkompetencji (NCC-PL) ponad 77% respondentów wskazało, że nie skorzystało nigdy z państwowego wsparcia. Kolejnym problemem, który powstaje to obsługiwane podmioty, skoro LCC będzie głównie obsługiwało podmioty państwowe, to co z prywatnymi podmiotami, które często realizują zadania w ramach umów z państwem. Tu na przykład podam sektor ochrony zdrowia, który jest pod zmasowanym hackerskim ostrzałem. Wg. Raportu opracowanego przez Ogólnopolskie Stowarzyszenie Szpitali Prywatnych ponad 80% placówek prywatnych realizuje zadania w ramach umów z NFZ. Podmioty te bardzo często są uznawane za podmioty ważne lub kluczowe w rozumieniu przepisów Ustawy o Krajowym Systemie Cyberbezpieczeństwa. Ministerstwo Cyfryzacji w 2025 roku przeprowadziło konkurs na przyspieszenie transformacji cyfrowej i poprawy bezpieczeństwa IT w placówkach medycznych o wartości 3.1 miliarda złotych. Prywatne szpitale zostały wykluczone z tego konkursu. Czy zatem prywatne podmioty realizujące w części publiczne usługi będą mogły skorzystać z usług LCC? A jeśli tak to w jakiej cenie i czy przypadkiem nie podlegałoby to pod przepisy o nieuczciwej konkurencji?

W 2023 uruchomiliśmy projekt ASCLEPIUS ze środków wspomnianego wcześniej programu Digital Europe. Całość projektu na 3 lata jego funkcjonowania to niecałe 3 miliony euro. Przy czym na dzień dobry organ nadzorujący zamiast wypłacić nam 70% grantu, wypłacił nam tylko 25% ograniczając nasze możliwości operacyjne do Bare Minimum od pierwszego dnia ze względu na ryzyko jakie niosło za sobą konsorcjum czterech polskich mikro-przedsiębiorców. Celem projektu było wsparcie sektora ochrony zdrowia w ich dążeniu do zgodności regulacyjnej z NIS2 oraz poprawieniu dojrzałości cyberbezpieczeństwa w sektorze. KPI wykonane w 300%. Wszystkie usługi wykonaliśmy bezpłatnie nie patrząc na to czy podmiot któremu pomagamy jest państwowy czy prywatny, jedyny warunek organizacja musi być w 100% Europejska. Wspomnę tylko, że 25% całego budżetu projektowego był pokryty przez 4 polskie mikro-przedsiębiorstwa. Na podstawie naszych doświadczeń przygotowaliśmy rekomendacje dla Ministerstwa Zdrowia i Ministerstwa Cyfryzacji, że najlepszym sposobem wdrożenia ogłoszonego przez Komisję Europejską Planu na rzecz cyberbezpieczeństwa w sektorze ochrony zdrowia jest właśnie stworzenie takich lokalnych centrów cyberbezpieczeństwa w formule PPP. Rekomendacje wysłaliśmy w lutym 2025, czyli tuż po ogłoszeniu samego planu podczas polskiej prezydencji w Unii Europejskiej. Do dnia dzisiejszego oczekujemy na odpowiedź z obu Ministerstw.

Wniosek jest taki, że najlepsze partnerstwo publiczno-prywatne to takie gdzie polski przedsiębiorca inwestuje własne środki aby pomóc podmiotom publicznym, daje swój know-how, na podstawie, którego budowane są usługi państwowe bez udziału polskich przedsiębiorców, dla usług publicznych z wykorzystaniem środków, które miały być przeznaczone na odbudowę polskiej gospodarki po COVID-19. Jako przedsiębiorca nie usłyszałem od Państwa nawet przysłowiowego „sp…..”.

Czy zatem możemy już mówić o grabieży polskiego sektora usług cyberbezpieczeństwa przez Państwo? Dla wielu polskich firm kontrakty z sektorem publicznym na utrzymanie usług cyberbezpieczeństwa (Managed Security Services) to trampolina dla ich biznesów. Przejęcie przez państwo tej działki spowoduje diametralne spowolnienie rynku na tego typu usługi. Do tego dochodzi opracowany projekt standaryzacji MSS przez Europejską Agencję ds. Cyberbezpieczeństwa (ENISA), który jeśli w tej formie przejdzie, może dalej spowodować spowolnienie rozwoju rynku tego typu usług. Opracowywana certyfikacja będzie obowiązkowa dla podmiotów świadczących usługi w ramach tzw. Cyber Reserve, przy czym ENISA nie przewiduje poziomu deklaratywnego dla tej certyfikacji tak jak to jest w przypadku certyfikacji produktów z komponentami cyfrowymi (CRA). Z racji braku komercyjnych certyfikacji takich usług państwo może zaadaptować ten schemat i wymagać go w przypadku świadczeniu usług podmiotom publicznym. Państwo oczywiście może dosypać kolejne środki z KPO dla samorządowych LCC aby taką certyfikację zdobyło. Czy planowane są programy wspomagające polskich przedsiębiorców w zdobyciu takich certyfikatów? Patrząc na ilość rządowych projektów wspierających polskich przedsiębiorców w sektorze cyber raczej wątpię.