Lokalne Centra Cyberbezpieczeństwa: nabór LCC do 30 października

To druga w ciągu trzech lat duża oferta publiczna dla samorządów na cyberbezpieczeństwo. Pierwsza zamknęła się ustaleniem Najwyższej Izby Kontroli, że nie da się stwierdzić, czy podniosła odporność urzędów gmin na cyberataki¹, a to ustalenie podpowiada, czego pilnować przy wniosku o nowe pieniądze. Termin naboru LCC na tle terminów z ustawy o KSC i z artykułu 14 CRA pokazuje kalendarz obowiązków cyberbezpieczeństwa.

Czym jest Lokalne Centrum Cyberbezpieczeństwa

Nabór zainaugurował 31 lipca 2026 r. Minister Cyfryzacji, a prowadzi go Centrum Projektów Polska Cyfrowa⁵⁶. Środki pochodzą z programu Fundusze Europejskie na Rozwój Cyfrowy, z działania 4.1 poświęconego wzmocnieniu cyberbezpieczeństwa i odpornej infrastrukturze przetwarzania danych⁵.

LCC nie jest kolejną dotacją na sprzęt dla pojedynczego urzędu, tylko wspólną jednostką obsługującą kilka samorządów naraz. Opisany przez organizatora zakres obejmuje monitorowanie lokalnych sieci i systemów informacyjnych, analizę potencjalnych zagrożeń, koordynowanie działań przy incydentach, usługi doradcze i audyty bezpieczeństwa, wspólne zakupy sprzętu oraz licencji, a także szkolenia pracowników⁴. W praktyce mowa o centrum operacji bezpieczeństwa o zasięgu powiatu albo grupy gmin, z systemem klasy SIEM jako podstawowym narzędziem pracy.

Ta konstrukcja odpowiada na policzalny problem małej gminy. Etat analityka bezpieczeństwa jest dla niej wydatkiem nie do udźwignięcia, a bez człowieka najlepszy nawet system korelacji zdarzeń produkuje alerty, których nikt nie czyta. Centrum obsługujące dwadzieścia jednostek zamienia dwadzieścia niemożliwych etatów w jeden możliwy zespół.

Ten sam mechanizm działa przy licencjach: jeden system zarządzania telefonami i tabletami pracowników może obsłużyć kilka urzędów, jeżeli pozwala rozdzielić urządzenia i uprawnienia administratorów według jednostek. Co ująć w opisie przedmiotu zamówienia i które trzy dokumenty muszą być wtedy spójne (porozumienie o wspólnej obsłudze, umowa z wykonawcą i ustalenia o danych osobowych między jednostkami), opisuje nasz poradnik o systemie MDM w jednostkach samorządu terytorialnego. Progi Prawa zamówień publicznych obowiązujące w 2026 r. i przepisy, z których wynikają wymagania wobec takiego systemu w urzędzie, zestawia artykuł Silesian Solutions o wymaganiach prawnych wobec MDM w jednostkach samorządu terytorialnego.

Ile można dostać i od czego zależy kwota

Pułap dofinansowania rośnie wraz z liczbą jednostek w partnerstwie³:

O dotację ubiegać się mogą wyłącznie partnerstwa złożone z co najmniej dwóch gmin, powiatów albo samorządów województw³. Pojedyncza jednostka nie złoży wniosku samodzielnie, więc pracę nad nim zaczyna się od znalezienia sąsiadów gotowych podpisać porozumienie, a dokumentacja przychodzi dopiero potem.

Katalog wydatków obejmuje sprzęt i oprogramowanie do ochrony sieci, licencje oraz usługi bezpieczeństwa, szkolenia pracowników, a także audyty i wdrożenie zabezpieczeń⁵. Resort opisuje zakres szerzej: od zakupu sprzętu i oprogramowania klasy SIEM, przez audyty, aż po zatrudnienie albo outsourcing specjalistów obsługujących dany region⁶.

Jednej liczby w tych materiałach brakuje. Ministerstwo Cyfryzacji opisuje poziom dofinansowania wyłącznie jako bardzo wysoki, bez stawki procentowej⁶, a komunikat organizatora i relacje Prawo.pl oraz Portalu Samorządowego nie podają, czy partnerstwo musi zaplanować wkład własny. Wiążąco rozstrzyga to dopiero regulamin naboru wraz z kryteriami wyboru, opublikowany w dokumentacji konkursowej na stronie Centrum Projektów Polska Cyfrowa³. Pytania o sam konkurs resort kieruje na dedykowany adres poczty elektronicznej w Centrum Projektów Polska Cyfrowa, a wsparcie technologiczne prowadzi NASK pod odrębnym adresem⁶.

Poprzednie rozdanie: 1,5 mld zł i brak odpowiedzi o efekt

Program Cyberbezpieczny Samorząd był ofertą skierowaną do 2807 gmin, powiatów i województw. W 2023 r. wpłynęło 2614 wniosków, w 2024 r. podpisano 2497 umów grantowych, a na 31 sierpnia 2025 r. w realizacji było 2490 projektów¹. Budżet wynosił około 1,5 mld zł, z czego do tej daty wykorzystano 1,122 mld zł, czyli 62,4 procent¹.

Struktura wydatków przesądziła o charakterze programu. Osiemdziesiąt procent środków poszło na sprzęt, oprogramowanie i usługi wdrożeniowe, a dwadzieścia procent na procedury, audyty i szkolenia¹. To rozdanie kupowało przede wszystkim urządzenia.

Najwyższa Izba Kontroli sprawdziła próbę 19 jednostek, w tym 12 urzędów miast i gmin, 5 starostw powiatowych oraz samo Centrum Projektów Polska Cyfrowa i NASK. Badaniem objęto 17 najwyższych wartościowo grantów o łącznej wartości 13 mln zł¹. Ustalenia są trzy i wszystkie dotyczą tego, czy dało się zmierzyć efekt.

Po pierwsze, Centrum Projektów Polska Cyfrowa nie wymagało od samorządów przeprowadzenia audytu bezpieczeństwa ani przed przyznaniem dofinansowania, ani po zakończeniu prac¹. Wsparcie przyznawano na podstawie samooceny jednostki, a bez pomiaru wejściowego i wyjściowego nie ma punktu odniesienia, z którym dałoby się porównać stan po projekcie.

Po drugie, w ponad połowie kontrolowanych urzędów nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji, a w ośmiu urzędach, czyli 47 procentach badanych, nie przeprowadzono obowiązkowego audytu bezpieczeństwa informacji albo przeprowadzono go nierzetelnie¹. Obowiązek ten wynika z odrębnych przepisów o Krajowych Ramach Interoperacyjności i nie był ustanowiony przez sam program.

Po trzecie, wskaźniki realizacji projektów liczyły wsparte jednostki i nie były powiązane z faktycznym wzrostem poziomu cyberbezpieczeństwa¹. Osobno kontrola wykazała, że spośród 15 zbadanych wniosków o rozliczenie grantu aż 13 sporządzono wadliwie, z błędami albo bez wymaganych załączników, i mimo to je zatwierdzono¹.

Portal Samorządowy podsumował kontrolę jednym zdaniem: przy budżecie rzędu półtora miliarda złotych nie da się ocenić, czy program zwiększył odporność samorządów na cyberataki, ponieważ zabrakło obowiązkowych audytów².

Co z ustaleń kontroli wynika dla wniosku o LCC

Najwyższa Izba Kontroli skierowała do Ministra Cyfryzacji jeden wniosek: powiązać kwalifikowalność wydatków z osiągnięciem zakładanego wzrostu poziomu cyberbezpieczeństwa. Wskazała przy tym dwa środki prowadzące do celu, czyli wymóg ustandaryzowanego audytu przed rozpoczęciem i po zakończeniu projektu oraz wskaźniki pozwalające zmierzyć wpływ działań na poziom bezpieczeństwa¹.

Partnerstwo, które składa wniosek o LCC, może potraktować ten wniosek i oba wskazane środki jako gotową listę kontrolną, niezależnie od tego, czy regulamin naboru je przejął. Trzy pierwsze z czterech pozycji poniżej wynikają z ustaleń kontroli, a czwartej, planu utrzymania centrum, Izba nie formułuje.

Audyt wejściowy trzeba wykonać przed złożeniem wniosku, bo bez niego partnerstwo nie wie, co kupuje, a przy rozliczeniu nie ma czym wykazać zmiany. Testy penetracyjne i audyt zgodności są usługą rynkową o przewidywalnym koszcie i to najtańszy element całego przedsięwzięcia.

System Zarządzania Bezpieczeństwem Informacji wdraża się przed zakupem sprzętu. Kontrola pokazała, że urzędy kupowały urządzenia, nie mając wdrożonego systemu zarządzania, którego ramy opisuje norma ISO 27001 i w które sprzęt dopiero się wpina. Odwrócenie tej kolejności jest dokładnie tym, co uniemożliwiło ocenę poprzedniej edycji.

Wskaźniki mają opisywać poziom ochrony, bo liczba wdrożonych urządzeń nic nie mówi o odporności. Czas wykrycia i czas reakcji na incydent bezpieczeństwa, odsetek systemów objętych monitorowaniem oraz liczba jednostek z aktualnym audytem to miary, które da się porównać przed projektem i po nim.

O plan utrzymania centrum po wyczerpaniu dofinansowania nie pyta żaden komunikat prasowy, a to on decyduje o losie całego przedsięwzięcia. Centrum jest zespołem ludzi pracujących w trybie ciągłym, więc po zakończeniu finansowania jego koszt przechodzi na budżety partnerów. Partnerstwo, które tego nie policzy na etapie wniosku, kupuje sobie problem z datą.

Trzy jesienne terminy, których nie wolno mylić

W rozmowach o samorządowym cyberbezpieczeństwie trzy różne daty zlewają się w jedną, choć każda należy do innego procesu i niesie inne konsekwencje.

30 września 2026 r. kończy się realizacja grantów w programie Cyberbezpieczny Samorząd. Termin został wydłużony komunikatem z 16 czerwca 2026 r., wcześniej upływał 30 czerwca 2026 r.⁷ Dotyczy jednostek, które mają podpisaną umowę grantową z poprzedniej edycji, i nie ma związku z naborem LCC.

3 października 2026 r. zamyka się okno składania wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych, wyznaczone komunikatem Ministra Cyfryzacji⁸. To obowiązek ustawowy, nie program dotacyjny, i wynika z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa wdrażającej dyrektywę NIS2¹⁰¹¹. Samorządu ten wniosek co do zasady nie dotyczy. Jednostki samorządu wymienione w sektorze podmiotów publicznych w załącznikach do ustawy minister wpisuje do wykazu z urzędu, na podstawie danych z rejestrów publicznych, a komunikat wyłącza podmioty wpisane w tym trybie z okna wniosków⁸⁹¹⁰. Jednostka wpisana z urzędu dostaje zawiadomienie i wezwanie do uzupełnienia brakujących danych, na co ma sześć miesięcy od doręczenia wezwania, pod rygorem kary pieniężnej¹⁰. Zakres podmiotowy i drugi, odrębny zestaw terminów rozkłada nasze opracowanie o tym, kto w Polsce wdroży NIS2 i ustawę o KSC, a listę obowiązków zbiera przewodnik po krajowym systemie cyberbezpieczeństwa.

30 października 2026 r. kończy się nabór wniosków o dofinansowanie LCC³.

Co przygotować do 30 października

Kolejność prac wynika z tego, że wąskim gardłem całego wniosku jest partnerstwo.

1. Skład partnerstwa i lider. Minimum to dwie jednostki, ale pułap kwoty rośnie z ich liczbą, więc warto rozmawiać z sąsiadami wcześnie. Lider odpowiada za wniosek i rozliczenie.
2. Podstawy formalne współpracy. Porozumienie międzygminne albo umowa partnerstwa wymaga uchwał organów stanowiących, a te mają swój kalendarz sesji. To najczęstsza przyczyna niedotrzymania terminu przy projektach partnerskich.
3. Audyt wejściowy w każdej jednostce. Stan wyjściowy trzeba znać już przy pisaniu wniosku.
4. Zakres zadań centrum i podział ról. Kto monitoruje, kto reaguje, kto odpowiada za zgłoszenie incydentu i w jakim trybie działa dyżur poza godzinami pracy urzędu.
5. Budżet z kosztem utrzymania po projekcie, wliczając wynagrodzenia, odtworzenie sprzętu i przedłużenie licencji.
6. Dokumentacja naboru przeczytana u źródła. Regulamin i kryteria wyboru rozstrzygają poziom dofinansowania oraz katalog wydatków kwalifikowanych, a komunikaty prasowe podają tylko zaokrąglenia.

Kto może zbudować takie centrum

Żadna pojedyncza kategoria dostawców nie pokrywa całego zakresu LCC, bo przedsięwzięcie łączy trzy odrębne prace.

Warstwę operacyjną, czyli monitorowanie sieci, korelację zdarzeń i obsługę zgłoszeń w trybie ciągłym, dostarczają firmy prowadzące monitoring i usługi SOC. Warstwę zgodności, obejmującą wdrożenie systemu zarządzania bezpieczeństwem informacji, polityki i procedury, obsługują firmy doradcze z obszaru GRC i zgodności. Pomiar stanu przed projektem i po nim należy do zespołów wykonujących testy penetracyjne i audyty.

Partnerstwo, które zamawia wszystko u jednego wykonawcy, kupuje razem z wdrożeniem także jego ocenę własnej pracy. Rozdzielenie audytu od wdrożenia jest tanie na etapie planowania i niewykonalne po podpisaniu umowy.

Źródła

1. Najwyższa Izba Kontroli, "Mimo realizacji projektu Cyberbezpieczny Samorząd poziom odporności urzędów gmin na cyberataki wciąż nieznany", 20.07.2026 - próba kontrolna, struktura wydatków, ustalenia o audytach i wskaźnikach oraz wnioski do Ministra Cyfryzacji (odczyt 02.09.2026)
2. Portal Samorządowy, "1,5 mld zł miało wesprzeć cyberbezpieczeństwo gmin. Efektów programu nie da się ocenić", Karina Knorps-Tuszyńska, 23.07.2026 - podsumowanie wyników kontroli (odczyt 02.09.2026)
3. Prawo.pl, "Dotacje na Lokalne Centra Cyberbezpieczeństwa", Robert Horbaczewski, 03.08.2026 - termin naboru, warunek partnerstwa, pułapy kwot i tryb składania wniosku (odczyt 02.09.2026)
4. Portal Samorządowy, "Powstaną Lokalne Centra Cyberbezpieczeństwa. Samorządy dostaną 269 mln zł", 01.07.2026 - zakres zadań centrum (odczyt 02.09.2026)
5. Centrum Projektów Polska Cyfrowa, "Samorządy wspólnie ochronią swoje systemy przed cyberatakami", 31.07.2026 - kwota naboru, działanie 4.1 programu FERC i katalog wydatków (odczyt 02.09.2026)
6. Ministerstwo Cyfryzacji, "Startuje nabór wniosków na Lokalne Centra Cyberbezpieczeństwa", 31.07.2026 - opis poziomu dofinansowania, zakres wsparcia i adresy kontaktowe konkursu (odczyt 04.09.2026)
7. Centrum Projektów Polska Cyfrowa, "Cyberbezpieczny Samorząd: więcej czasu na realizację grantu", 16.06.2026 - wydłużenie terminu realizacji grantów do 30 września 2026 r. (odczyt 02.09.2026)
8. Minister Cyfryzacji, "Komunikat Ministra Cyfryzacji z dnia 08 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne", 08.04.2026 - Dz. Urz. Min. Cyfryzacji z 2026 r. poz. 7, okno wniosków od 7 maja do 3 października 2026 r. i wyłączenie podmiotów wpisanych z urzędu (odczyt 19.09.2026)
9. Ministerstwo Cyfryzacji, "Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) - najważniejsze terminy", 10.04.2026 - wpis podmiotów publicznych do wykazu z urzędu (odczyt 19.09.2026)
10. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 7a ust. 2, art. 7b ust. 1 i 2, art. 33 ust. 3 i art. 34 ust. 3 (odczyt 19.09.2026)
11. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) (odczyt 02.09.2026)