• Polska w końcu ma aktualną Strategię Cyberbezpieczeństwa RP na lata 2025-2029. Pod lupę bierzemy jej założenia. 
• Strategia otwiera drogę do pełnego spektrum działań w sieci – od łatwiejszego dostępu do danych bankowych i blokowania stron, po rozwój ofensywnych zdolności cyberwojsk i służb.​
• Dokument łączy unijną „kulturę regulacji” z projektem cyfrowej suwerenności: stawia na polskie technologie, półprzewodniki i startupy, ale – zdaniem Tomasza Zdzikota, zastępcy przewodniczącego w Radzie Bezpieczeństwa i Obronności przy Prezydencie RP - jest przegadany i mało konkretny. Inne zdanie ma dr inż. Andrzej Bartosiewicz, prezes Fundacji CISO #Poland. 
• O cyberbezpieczeństwie będziemy rozmawiać podczas XVIII Europejskiego Kongresu Gospodarczego w Katowicach (22-24 kwietnia). Trwa rejestracja na to wydarzenie.

Strategia Cyberbezpieczeństwa Rzeczypospolitej Polskiej do 2029 r., przyjęta uchwałą Rady Ministrów 10 marca 2026 r., jest kontynuacją wcześniej obowiązującego dokumentu oraz uzupełnieniem istniejących przepisów. Podejście do cyberbezpieczeństwa państwa ujęte jest również w Strategii Bezpieczeństwa Narodowego Rzeczypospolitej Polskiej (jeszcze z 2020 r.), nadal trwają także prace nad Strategią Cyfryzacji Państwa.

Już na wstępie dokumentu wskazano, że realizacja założeń strategii ma służyć podniesieniu poziomu bezpieczeństwa narodowego, zdolności do rozpoznawania cyberzagrożeń i osiągnięciu zdolności do prowadzenia działań defensywnych i ofensywnych w cyberprzestrzeni.

Celem jest także zwiększenie skuteczności organów ścigania i wymiaru sprawiedliwości w wykrywaniu i zwalczaniu cyberprzestępstw oraz działań o charakterze hybrydowym (w tym o charakterze terrorystycznym) i szpiegowskim w cyberprzestrzeni. 

Jako główny cel państwa w obszarze cyberbezpieczeństwa wskazano:

Podniesienie poziomu odporności krajowych podmiotów poprzez zwiększenie poziomu ochrony informacji, zwiększenie zdolności do wykrywania i reagowania na zagrożenia, promowanie wiedzy i dobrych praktyk oraz podnoszenie kompetencji w zakresie cyberbezpieczeństwa w sektorze publicznym (w tym militarnym), prywatnym, a także wśród obywateli - napisano w Strategii Cyberbezpieczeństwa RP na lata 2025-2029.

Jako cele szczegółowe wymieniono:

• rozwój krajowego systemu cyberbezpieczeństwa;
• przeciwdziałanie i zwalczanie cyberprzestępczości oraz uzyskanie zdolności do prowadzenia pełnego spektrum działań w cyberprzestrzeni;
• podniesienie poziomu odporności systemów informacyjnych w sferze publicznej (w tym militarnej) oraz prywatnej; 
• zwiększanie potencjału krajowej bazy technologiczno-przemysłowej oraz wzmocnienie suwerenności technologicznej Rzeczypospolitej Polskiej w obszarze cyberbezpieczeństwa;
• budowanie świadomości, wiedzy i kompetencji kadr podmiotów krajowego systemu cyberbezpieczeństwa oraz obywateli i przedsiębiorców;
• wzmocnienie silnej pozycji międzynarodowej Rzeczypospolitej Polskiej w obszarze cyberbezpieczeństwa.

Na fakt, że Polska nie ma ani aktualnej Strategii Cyberbezpieczeństwa RP, ani nie zakończyła prac nad Strategią Cyfryzacji Państwa w WNP zwracaliśmy uwagę jako pierwsi już w grudniu ub.r.

Natomiast zastępca przewodniczącego w Radzie Bezpieczeństwa i Obronności przy Prezydencie RP krytykuje dokument, oceniając, że jest "przegadany i zbyt obszerny".

- Liczy 74 strony, pełny jest powtórzeń, truizmów, elementów ujętych już wcześniej w uzasadnieniu do nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, opisów i ogólników. Dużo możemy się uczyć z anglosaskiej kultury komunikowania celów strategicznych i zamierzeń. Nowa amerykańska „Cyber Strategy for America” liczy 7 stron, ale odliczając okładkę i wstęp, jej zasadnicza treść zmieściła się w istocie na 3 stronach. A mimo to znacznie lepiej komunikuje strategiczne kierunki działania USA, niż polski dokument na 74 stronach, wraz ze stanowiącym jej część planem działania – zaznacza.

Cyberstrategię USA omawialiśmy już szczegółowo w WNP.

Z Tomaszem Zdzikotem nie zgadza się dr inż. Andrzej Bartosiewicz, adiunkt Politechniki Krakowskiej, prezes fundacji CISO #Poland. Według niego strategia stanowi kompleksowy plan rozwoju odporności cyfrowej państwa, wykazujący wysoki stopień spójności z obowiązującymi regulacjami unijnymi oraz współczesnymi trendami technologicznymi.

- Dokument można uznać za nowoczesny, ponieważ uwzględnia nie tylko bieżące zagrożenia, ale także wyzwania przyszłości, takie jak kryptografia postkwantowa czy rozwój krajowego potencjału przemysłowego w obszarze cyberbezpieczeństwa. Planowana centralizacja działań operacyjnych oraz nacisk na koordynację między sektorem publicznym i prywatnym sugerują dążenie do uporządkowania dotychczas rozproszonego systemu, co czyni tę strategię propozycją przemyślaną i wielowymiarową. Słowo „koordynacja” zostało użyte 75 razy w Strategii, więc trzymamy za słowo i uda się przebić silosowość naszej administracji - ocenia dr inż. Andrzej Bartosiewicz. 

Rzeczywiście, strategia w wielu punktach odwołuje się do nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, co w praktyce oznacza budowę nowej architektury władzy nad cyfrową infrastrukturą państwa, biznesu i życia prywatnego obywateli, z mocno wzmocnioną pozycją rządu i ministra cyfryzacji.

Dokument wprost diagnozuje, że krajowy system cyberbezpieczeństwa wymaga obecnie „lepszej koordynacji i zinstytucjonalizowanego zarządzania” na poziomie centralnym. Jak ma się to odbywać? W noweli KSC sformalizowano funkcjonowanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Do tej pory PCOC działało w formule spotkań najważniejszych przedstawicieli instytucji zaangażowanych w ochronę polskiego systemu cyberbezpieczeństwa. Teraz pojawi się komórka w resorcie cyfryzacji, która będzie obsługiwać Pełnomocnika rządu ds. cyberbezpieczeństwa (jest nim wicepremier i minister cyfryzacji Krzysztof Gawkowski – przyp. red.) i PCOC, a także koordynować działania w tym obszarze. Docelowo, PCOC ma być pełnoprawną centralną instytucją z własną pozycją ustrojową, budżetem, kadrami i infrastrukturą rozumianą jako „jedno okienko” dla spraw cyber w całym kraju – zarówno dla podmiotów KSC, jak i obywateli w zakresie zgłaszania incydentów. Rozwijany będzie także system S46, służący m.in. do wymiany informacji i zgłaszania cyberzagrożeń przed podmioty wchodzące w skład systemu cyberbezpieczeństwa RP.

Poza innymi zmianami, wynikającymi z KSC 2.0., jak powstanie nowych CSIRT-ów sektorowych, utworzenie Centrum Cyberbezpieczeństwa NASK (CCN), Lokalnych Centrów Cyberbezpieczeństwa, by wzmocnić odporność samorządów; Centrów Wymiany i Analizy Informacji (ISAC), w strukturach ABW mają powstać nowe jednostki ds. rozpoznawania, przeciwdziałania i zwalczania cyberterroryzmu i cyberszpiegostwa.

Swoje miejsce w strategii znalazł także System Bezpiecznej Łączności Państwowej (SBŁP), który ma zapewnić wymianę informacji między organami odpowiedzialnymi za realizację zadań z zakresu zarządzania kryzysowego, bezpieczeństwa państwa, ochrony porządku publicznego, ratownictwa, ochrony ludności i obrony cywilnej.

Problem w tym, że - jak opisywaliśmy w WNP - rozmowy o konieczności stworzenia SBŁP trwają od 2004 r. Gotowość do działania deklarują operatorzy, przyznając jednocześnie, że mają poczucie, że nie zapadła żadna faktyczna decyzja w tej sprawie.

Z kolei Ministerstwo Spraw Wewnętrznych i Administracji zapewniło nas, że prace znajdują się „w fazie intensywnego wdrażania operacyjnego”. Stagnację państwa w tym obszarze wielokrotnie krytykowała Najwyższa Izba Kontroli.

W dokumencie należy zwrócić szczególną uwagę na założenie istotnego wzmocnienia kompetencji służb w zakresie zwalczania cyberprzestępczości. Rząd przy tym zapewnia, że będzie w pełni gwarantował prawo do prywatności oraz stał na stanowisku, że „wolny i otwarty internet jest istotnym elementem funkcjonowania współczesnego społeczeństwa”.

„Jednocześnie istotne jest, aby prawo do prywatności nie utrudniało identyfikacji cyberprzestępców oraz ich ścigania i nie zapewniało im bezkarności” – czytamy w strategii.

Wśród zapowiadanych planów zmian regulacyjnych znalazło się m.in. zwalczanie cyberprzestępczości, zabezpieczenie elektronicznego materiału dowodowego, przeciwdziałanie kradzieży tożsamości; przepisów umożliwiających szybszy dostęp organom ścigania do informacji stanowiących tajemnicę bankową, tj. umożliwienia żądania danych objętych tajemnicą bankową na podstawie postanowienia prokuratora, bez udziału właściwego miejscowo sądu okręgowego; obowiązków banków i innych instytucji finansowych w zakresie retencjonowania oraz przekazywania informacji i danych dotyczących prowadzonych rachunków bankowych i innych usług oraz produktów za pośrednictwem internetu; umożliwienie prokuratorom prowadzącym postępowania karne (w tym dotyczących oszustw na pozagiełdowym rynku forex) czy blokowania stron internetowych, za pośrednictwem których jest prowadzona działalność przestępcza. 

Kolejnym, ważnym punktem strategii jest rozwój zdolności Sił Zbrojnych oraz służb specjalnych w zakresie proaktywnej oraz aktywnej ochrony. 

„Takie podejście do obrony wyprzedzającej pozwoli podejmować działania w cyberprzestrzeni, które będą zapobiegać cyberatakom jeszcze przed ich przeprowadzaniem przez zakłócenie wrogich działań. Jednocześnie precyzyjnie zostaną uregulowane zasady stosowania ofensywnych cybernarzędzi wobec współcześnie wykorzystywanych narzędzi komunikacyjnych, w tym komunikacji interpersonalnej, jak również będzie rozwijany potencjał techniczny w tym zakresie” – stwierdzono w dokumencie.

Wojsko ma również rozwijać i wdrażać technologie oparte o AI i kwantach i stawiać na wykorzystanie technologii podwójnego zastosowania, by skutecznie przeciwdziałać i stawiać czoła adwersarzom. Celem jest także podnoszenie poziomu zdolności w zakresie identyfikacji, przeciwdziałania i reakcji na operacje informacyjne.

„Kontynuowane będą działania mające na celu rozwój systemu detekcji oraz budowę sieci wymiany informacji o zagrożeniach, co w konsekwencji w znaczącym stopniu zwiększy świadomość sytuacyjną w cyberprzestrzeni” – zadeklarowano.

Resort obrony narodowej chce zbudować własne zdolności do realizacji pełnego spektrum szkoleń w zakresie IT, cyberbezpieczeństwa i kryptologii.

Tomasz Zdzikot uważa jednak, że strategia w zasadzie nie dostrzega militarnego obszaru cyberbezpieczeństwa, a MON i Siły Zbrojne RP postrzega jako jednego ze współwykonawców niektórych działań, a nie współgospodarza całości.

- To całkowicie niezrozumiałe, biorąc pod uwagę, iż właśnie w resorcie obrony narodowej skoncentrowana jest dziś przeważająca większość polskich publicznych zasobów i zdolności do działania w cyberprzestrzeni – ocenia. 

W strategii zadeklarowano rozwój „krajowego potencjału kryptograficznego”, w tym zdolność do projektowania i wytwarzania rozwiązań opartych na technikach kryptograficznych, do oceny ryzyka i działania w sytuacjach kryzysowych oraz zaplecza naukowo-badawczego, które będzie gotowe do tworzenia własnych rozwiązań (niezależnie od partnerów zagranicznych).

Administracja rządowa ma także rozwijać publiczne usługi chmurowe oraz zbudować chmurę do przetwarzania informacji niejawnych (chmura niejawna), chronioną krajowymi rozwiązaniami kryptograficznymi. Wszystko po to, by zwiększyć odporność państwa na wypadek istotnego zagrożenia bezpieczeństwa państwa lub wojny.

- Dobrze, że strategia dostrzega np. konieczność uwzględnienia wyzwań związanych z rozwojem technologii kwantowych, a zwłaszcza z migracją do kryptografii postkwantowej. Ważne, choć mało konkretne, są wątki dotyczące wspierania rozwoju polskich technologii i firm, czy polskiego zaplecza otwartego oprogramowania.
Jest też zapowiedź opracowania „Planu migracji kluczowych systemów informatycznych RP w wypadku wystąpienia kryzysu lub wojny”. To słuszny cel, ale chyba nie bardzo nadający się na jawny dokument strategiczny – komentuje Tomasz Zdzikot dla WNP.

Suwerenność cyfrowa to hasło coraz częściej powtarzane przez polityków, a swoje odzwierciedlenie ma znaleźć w przyszłych działaniach rządu. Wszystko dlatego, że celem jest zapewnienie bezpieczeństwa łańcucha dostaw. W praktyce oznacza to mocniejsze stawianie na certyfikację cyberbezpieczeństwa sprzętu i oprogramowania, preferencje regulacyjne oraz dodatkowe pieniądze na badania, rozwój i budowę zaplecza dla przemysłu.

Równolegle rząd chce przyciągać wielkoskalowe inwestycje z państw sojuszniczych, przyznając jednocześnie, że poprawia to relacje gospodarcze, ale nie rozwiązuje problemu własnej suwerenności technologicznej. Dlatego wprost zapowiada też inwestycje krajowe – szczególnie w półprzewodniki, hardware, software, rozwiązania IT i kryptograficzne - kluczowe z punktu widzenia bezpieczeństwa państwa.

Strategia zakłada, że państwo wyciągnie rękę do polskich producentów rozwiązań cyber: prototypowe rozwiązania - wedle deklaracji - będą miały zagwarantowaną łatwiejszą ścieżkę do zamówień publicznych, udział w pilotażach w administracji i wsparcie certyfikacyjne, tak by szybciej trafiły na rynek i zwiększyły udział rodzimych technologii w krajowym ekosystemie.

Jednocześnie rozwijane mają być własne zdolności certyfikacji i oceny bezpieczeństwa w krajowych jednostkach i laboratoriach. Rząd chce też zaostrzyć filtr bezpieczeństwa na całym łańcuchu dostaw ICT – od stawiania na krajowe i europejskie schematy certyfikacji, przez narzędzia do sprawdzania pochodzenia i podatności komponentów, po szersze korzystanie z rekomendacji Pełnomocnika przy aktualizowaniu lub wykluczaniu "dziurawego" oprogramowania.

Na stole jest również budowa rodzimego przemysłu cyberbezpieczeństwa - z udziałem spółek Skarbu Państwa i programów B+R, które mają przełożyć się na własne kompetencje i cyfrową suwerenność. Rząd zapowiada rozwój polskich rozwiązań sprzętowych i programowych oraz mocy produkcyjnych do wytwarzania mikroprocesorów, układów scalonych, modułów pamięci, układów kryptograficznych czy algorytmów AI, tak by w razie technologicznego „odcięcia” utrzymać kluczowe technologie. Dodatkowe inwestycje mają płynąć na przełomowe obszary: sztuczną inteligencję, technologie kwantowe, blockchain, chmurę, duże bazy danych, sieci 5G/6G i IoT.

Wreszcie, dokument stawia na polskie startupy. Wsparcie mają zapewnić parki i akceleratory technologiczne, cyfrowe ośrodki innowacji i pomóc w tym finansowanie - tak, by przyspieszyć rozwój rodzimych firm cyberbezpieczeństwa i jednocześnie utrudnić ich przejmowanie przez kapitał z krajów uznawanych za nieprzyjazne.

Według naszego rozmówcy, poziom formułowania zasadniczych celów w strategii jest prawidłowy, ale problemem jest ich treść.

Strategia słabo radzi sobie z konkretyzacją polskich narodowych interesów. Przykładowo wzmacnianie silnej pozycji międzynarodowej Polski opisywane jest przez pryzmat różnych formatów współpracy oraz udziału w tradycyjnie odbywających się od lat inicjatywach. To oczywiście także słusznie, ale np. Wielka Brytania w swoich strategiach mówi wprost o tym, że chce mieć status cyberpotęgi i jak zamierza go osiągać. Biorąc pod uwagę potencjał Polski w domenie cyber, poziom ambicji powinniśmy ustawiać bardzo wysoko – podkreśla nasz rozmówca.

Kolejnym słabym punktem polskiego podejścia do zagospodarowania cyberprzestrzeni – zdaniem Tomasza Zdzikota - ma być silne stawianie na unijną kulturę regulacyjno-implementacyjną, w której panaceum na problemy stanowią głównie kolejne przepisy.

- Zupełnie odmiennie widzą to np. wspomniane Stany Zjednoczone, które we wszystkich technologicznych dokumentach strategicznych piszą o redukowaniu obciążeń regulacyjnych. Nieodległa przyszłość pokaże, czy bardziej efektywny jest status potęgi technologicznej czy potęgi regulacyjnej oraz czy słuszne jest polskie podejście defensywno-biurokratyczne, czy ofensywne, które w strategii wyraźnie odrzucamy – usłyszeliśmy.

Celem rządu jest też zwiększanie poziomu wiedzy i kompetencji kadr wśród podmiotów wchodzących w skład KSC, ale także edukacja - już na etapie przedszkolnym. W szkole mają pojawić się tematy z zakresu prywatności, ochrony danych, a w ramach lekcji informatyki w szkołach podstawowych i ponadpodstawowych będą poruszane zagadnienia z obszaru cyberzagrożeń. Z kolei w kształceniu zawodowym ma pojawić się nowa możliwość kształcenia: technik cyberbezpieczeństwa.

W ścieżce akademickiej kompetencje cyberbezpieczeństwa mają zostać wzmocnione, podobnie jak i same instytucje mają otrzymać wsparcie zarówno techniczne, jak i merytoryczne (co także wynika z noweli KSC - przyp. red.). Dodatkowo doceniony ma zostać potencjał jednostek naukowo-badawczych jako tych, które pracują nad komercjalizacją kluczowych, rodzimych technologii.

W strategii podkreślono, że cyberbezpieczeństwo jest pośrednio związane z zagadnieniami takimi jak: bezpieczeństwo przestrzeni informacyjnej, wojna kognitywna i dezinformacja.

Ta ostatnia, została uwzględniona w kontekście wzmacniania odporności na zagrożenia hybrydowe (które łączą kampanie dezinformacyjne z cyberatakami); budowania świadomości obywateli w zakresie cyberbezpieczeństwa i odporności społecznej na wrogie działania w cyberprzestrzeni. 

Kontynuowane będą zadania związane z analizowaniem, identyfikowaniem i ograniczaniem rozpowszechniania treści o charakterze propagandowo-dezinformacyjnym.

Kampanie dezinformacyjne i operacje informacyjne tworzą zagrożenie dla polskiego społeczeństwa, interesów RP oraz jej pozycji na arenie międzynarodowej. W miarę identyfikacji potrzeb w tym zakresie będą wprowadzane odpowiednie zmiany w przepisach prawa - zadeklarowano. 

Wśród planów wymieniono zwiększane zdolności do wykrywania fałszywych treści generowanych przy pomocy AI (zarówno w zakresie treści, jak i materiałów audiowizualnych - deepfake). 

Przypomnijmy, że powstanie  „krajowych ram walki z dezinformacją” resort cyfryzacji zapowiadał już w listopadzie ub.r. Dotąd nie poznaliśmy żadnych założeń w tej sprawie. 

Za koordynację i realizację działań w ramach strategii odpowiada minister właściwy ds. informatyzacji. Po dwóch oraz czterech latach od jej przyjęcia podlega ona przeglądowi, nowelizacji lub pojawi się zupełnie nowy projekt. 

Choć w Strategii Cyberbezpieczeństwa RP wymieniono szereg zadań, bez ich realizacji pozostaną one jedynie teorią spisaną na papierze. 

Dr inż. Andrzej Bartosiewicz zgadza się, że rzeczywista wartość strategii będzie zależeć od sprawności jej wdrożenia, co pozostaje głównym obszarem ryzyka.

Dokument jest pełny pod względem teoretycznym, jednak jego skuteczność może zostać ograniczona przez ryzyko biurokratyzacji lub powoływanie nowych struktur w miejsce reformowania tych już istniejących. Sukces tego planu zależy od tego, czy zaproponowane rozwiązania zostaną realnie zaadaptowane przez rynek i administrację, czy też pozostaną jedynie w sferze formalnych zapisów. W tym kontekście strategia jawi się jako solidny fundament, który wymaga jednak konsekwentnej i pragmatycznej realizacji, by uniknąć ryzyka zbyt teoretycznego podejścia do kwestii bezpieczeństwa - komentuje ekspert dla naszego serwisu.

 - Zdecydowana większość ze 169 zadań wymienionych w zawartym w Strategii Planie działania ma charakter kontynuowany, powtarzalny albo oczywisty, nie wnoszą one tym samym do polskiego systemu cyberbezpieczeństwa nowej dynamiki –  podsumowuje dla WNP Tomasz Zdzikot.