Wniosek składa partnerstwo co najmniej dwóch jednostek samorządu terytorialnego, termin mija 30 października 2026 r., a w puli naboru stoi 269 649 295,75 zł35. Pułap dla jednego projektu zależy od liczebności partnerstwa i rośnie od 6 mln zł przy dwóch jednostkach do 15 mln zł przy dwudziestu i więcej3.
To druga w ciągu trzech lat duża oferta publiczna dla samorządów na cyberbezpieczeństwo. Pierwsza zamknęła się ustaleniem Najwyższej Izby Kontroli, że nie da się stwierdzić, czy podniosła odporność urzędów gmin na cyberataki1. Ten tekst zestawia jedno z drugim, bo warunki nowego naboru czyta się inaczej, gdy zna się wynik kontroli poprzedniego.
Czym jest Lokalne Centrum Cyberbezpieczeństwa
Nabór zainaugurował 31 lipca 2026 r. Minister Cyfryzacji, a prowadzi go Centrum Projektów Polska Cyfrowa56. Środki pochodzą z programu Fundusze Europejskie na Rozwój Cyfrowy, z działania 4.1 poświęconego wzmocnieniu cyberbezpieczeństwa i odpornej infrastrukturze przetwarzania danych5.
LCC nie jest kolejną dotacją na sprzęt dla pojedynczego urzędu. To wspólna jednostka obsługująca kilka samorządów naraz. Opisany przez organizatora zakres obejmuje monitorowanie lokalnych sieci i systemów informacyjnych, analizę potencjalnych zagrożeń, koordynowanie działań przy incydentach, usługi doradcze i audyty bezpieczeństwa, wspólne zakupy sprzętu oraz licencji, a także szkolenia pracowników4. W praktyce mowa o centrum operacji bezpieczeństwa o zasięgu powiatu albo grupy gmin, z systemem klasy SIEM jako podstawowym narzędziem pracy.
Ta konstrukcja odpowiada na policzalny problem małej gminy. Etat analityka bezpieczeństwa jest dla niej wydatkiem nie do udźwignięcia, a bez człowieka najlepszy nawet system korelacji zdarzeń produkuje alerty, których nikt nie czyta. Centrum obsługujące dwadzieścia jednostek zamienia dwadzieścia niemożliwych etatów w jeden możliwy zespół.
Ile można dostać i od czego zależy kwota
Pułap dofinansowania rośnie wraz z liczbą jednostek w partnerstwie3:
| Liczba jednostek samorządu w partnerstwie | Maksymalne dofinansowanie projektu |
|---|---|
| 2 | 6 mln zł |
| 12 | 11 mln zł |
| 20 i więcej | 15 mln zł |
O dotację ubiegać się mogą wyłącznie partnerstwa złożone z co najmniej dwóch gmin, powiatów albo samorządów województw3. Pojedyncza jednostka nie złoży wniosku samodzielnie, więc pierwszym zadaniem nie jest przygotowanie dokumentacji, tylko znalezienie sąsiadów gotowych podpisać porozumienie.
Katalog wydatków obejmuje sprzęt i oprogramowanie do ochrony sieci, licencje oraz usługi bezpieczeństwa, szkolenia pracowników, a także audyty i wdrożenie zabezpieczeń5. Resort opisuje zakres szerzej: od zakupu sprzętu i oprogramowania klasy SIEM, przez audyty, aż po zatrudnienie albo outsourcing specjalistów obsługujących dany region6.
Jednej liczby w tych materiałach nie ma i trzeba to powiedzieć wprost. Poziom dofinansowania opisany jest wyłącznie jako bardzo wysoki, bez stawki procentowej6. Ani komunikat organizatora, ani żadne z opracowań prasowych, które sprawdziliśmy, nie podają, czy partnerstwo musi zaplanować wkład własny. Rozstrzyga to regulamin naboru wraz z kryteriami wyboru, opublikowany w dokumentacji konkursowej na stronie Centrum Projektów Polska Cyfrowa3, i to jest jedyne miejsce, w którym ta liczba stoi wiążąco.
Pytania o sam konkurs resort kieruje na dedykowany adres poczty elektronicznej w Centrum Projektów Polska Cyfrowa, a wsparcie technologiczne prowadzi NASK pod odrębnym adresem6.
Poprzednie rozdanie: 1,5 mld zł i brak odpowiedzi o efekt
Program Cyberbezpieczny Samorząd był ofertą skierowaną do 2807 gmin, powiatów i województw. W 2023 r. wpłynęło 2614 wniosków, w 2024 r. podpisano 2497 umów grantowych, a na 31 sierpnia 2025 r. w realizacji było 2490 projektów1. Budżet wynosił około 1,5 mld zł, z czego do tej daty wykorzystano 1,122 mld zł, czyli 62,4 procent1.
Struktura wydatków przesądziła o charakterze programu. Osiemdziesiąt procent środków poszło na sprzęt, oprogramowanie i usługi wdrożeniowe, a dwadzieścia procent na procedury, audyty i szkolenia1. To rozdanie kupowało przede wszystkim urządzenia.
Najwyższa Izba Kontroli sprawdziła próbę 19 jednostek, w tym 12 urzędów miast i gmin, 5 starostw powiatowych oraz samo Centrum Projektów Polska Cyfrowa i NASK. Badaniem objęto 17 najwyższych wartościowo grantów o łącznej wartości 13 mln zł1. Wnioski są trzy i wszystkie dotyczą pomiaru, nie pieniędzy.
Po pierwsze, Centrum Projektów Polska Cyfrowa nie wymagało od samorządów przeprowadzenia audytu bezpieczeństwa ani przed przyznaniem dofinansowania, ani po zakończeniu prac1. Wsparcie przyznawano na podstawie samooceny jednostki. Bez pomiaru wejściowego i wyjściowego nie istnieje punkt odniesienia, do którego można porównać stan po projekcie.
Po drugie, w ponad połowie kontrolowanych urzędów nie wdrożono Systemu Zarządzania Bezpieczeństwem Informacji, a w ośmiu urzędach, czyli 47 procentach badanych, nie przeprowadzono obowiązkowego audytu bezpieczeństwa informacji albo przeprowadzono go nierzetelnie1. Obowiązek ten wynika z odrębnych przepisów o Krajowych Ramach Interoperacyjności i nie był ustanowiony przez sam program.
Po trzecie, wskaźniki realizacji projektów nie były powiązane z faktycznym wzrostem poziomu cyberbezpieczeństwa1. Liczono wsparte jednostki, nie poziom ochrony. Osobno kontrola wykazała, że spośród 15 zbadanych wniosków o rozliczenie grantu aż 13 sporządzono wadliwie, z błędami albo bez wymaganych załączników, i mimo to je zatwierdzono1.
Portal Samorządowy podsumował to ustalenie zdaniem, które trafia w sedno sprawy: przy budżecie rzędu półtora miliarda złotych nie da się ocenić, czy program zwiększył odporność samorządów na cyberataki, ponieważ zabrakło obowiązkowych audytów2.
Kontrola nie zarzuciła samorządom marnotrawstwa ani łamania procedur. Zarzut dotyczy konstrukcji programu, w której nikt nie zaprojektował sposobu sprawdzenia, czy cel został osiągnięty. To rozróżnienie ma znaczenie przy czytaniu nowego naboru, bo wada leżała po stronie reguł, a nie po stronie wnioskodawców.
Co z ustaleń kontroli wynika dla wniosku o LCC
Najwyższa Izba Kontroli skierowała do Ministra Cyfryzacji jeden wniosek: powiązać kwalifikowalność wydatków z osiągnięciem zakładanego wzrostu poziomu cyberbezpieczeństwa. Wskazała przy tym dwa środki prowadzące do celu, czyli wymóg ustandaryzowanego audytu przed rozpoczęciem i po zakończeniu projektu oraz wskaźniki pozwalające zmierzyć wpływ działań na poziom bezpieczeństwa1.
Partnerstwo, które składa wniosek o LCC, może potraktować ten wniosek i oba wskazane środki jako gotową listę kontrolną, niezależnie od tego, czy regulamin naboru je przejął. Poniższe cztery pozycje wyprowadzamy z ustaleń kontroli, przy czym ostatnia jest już naszym dopowiedzeniem, a nie zaleceniem Izby.
Audyt wejściowy trzeba wykonać przed złożeniem wniosku. Bez niego partnerstwo nie wie, czego kupuje, a przy rozliczeniu nie ma czym wykazać zmiany. Testy penetracyjne i audyt zgodności są usługą rynkową o przewidywalnym koszcie i to najtańszy element całego przedsięwzięcia.
System Zarządzania Bezpieczeństwem Informacji wchodzi przed sprzętem, nie po nim. Kontrola pokazała, że urzędy kupowały urządzenia, nie mając wdrożonego systemu zarządzania. Norma ISO 27001 opisuje ramy, w które sprzęt dopiero się wpina. Odwrócenie tej kolejności jest dokładnie tym, co uniemożliwiło ocenę poprzedniej edycji.
Wskaźniki mają opisywać ochronę, nie zakupy. Liczba wdrożonych urządzeń nic nie mówi o odporności. Czas wykrycia i czas reakcji na incydent bezpieczeństwa, odsetek systemów objętych monitorowaniem oraz liczba jednostek z aktualnym audytem to miary, które da się porównać przed projektem i po nim.
Plan utrzymania centrum po wyczerpaniu dofinansowania dopisujemy od siebie. Nie pyta o niego żaden komunikat prasowy, a decyduje o losie całego przedsięwzięcia. Centrum jest zespołem ludzi pracujących w trybie ciągłym, więc po zakończeniu finansowania jego koszt przechodzi na budżety partnerów. Partnerstwo, które tego nie policzy na etapie wniosku, kupuje sobie problem z datą.
Trzy jesienne terminy, których nie wolno mylić
W rozmowach o samorządowym cyberbezpieczeństwie trzy różne daty zlewają się w jedną. Każda należy do innego procesu i każda niesie inne konsekwencje.
30 września 2026 r. kończy się realizacja grantów w programie Cyberbezpieczny Samorząd. Termin został wydłużony komunikatem z 16 czerwca 2026 r., wcześniej upływał 30 czerwca 2026 r.7 Dotyczy jednostek, które mają podpisaną umowę grantową z poprzedniej edycji, i nie ma związku z naborem LCC.
3 października 2026 r. mija termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i podmiotów ważnych. To obowiązek ustawowy, nie program dotacyjny, i wynika z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa wdrażającej dyrektywę NIS289. Kto tego terminu nie dotrzyma, naraża się na sankcje niezależnie od tego, czy startuje po jakiekolwiek dofinansowanie. Zakres podmiotowy i drugi, odrębny reżim terminów rozkłada nasze opracowanie o tym, kto w Polsce wdroży NIS2 i ustawę o KSC, a listę obowiązków zbiera przewodnik po krajowym systemie cyberbezpieczeństwa.
30 października 2026 r. kończy się nabór wniosków o dofinansowanie LCC3.
Dofinansowanie z LCC nie zawiesza ani nie przesuwa terminu wpisu do wykazu. To dwa niezależne procesy prowadzone przez różne organy. Samorząd objęty ustawą musi dopełnić obowiązku rejestrowego nawet wtedy, gdy jego wniosek o dotację czeka na ocenę.
Co przygotować do 30 października
Kolejność prac wynika z tego, że wąskim gardłem jest partnerstwo, a nie formularz.
- Skład partnerstwa i lider. Minimum to dwie jednostki, ale pułap kwoty rośnie z ich liczbą, więc warto rozmawiać z sąsiadami wcześnie. Lider odpowiada za wniosek i rozliczenie.
- Podstawy formalne współpracy. Porozumienie międzygminne albo umowa partnerstwa wymaga uchwał organów stanowiących, a te mają swój kalendarz sesji. To najczęstsza przyczyna niedotrzymania terminu przy projektach partnerskich.
- Audyt wejściowy w każdej jednostce. Stan wyjściowy trzeba znać przed napisaniem wniosku, nie po podpisaniu umowy.
- Zakres zadań centrum i podział ról. Kto monitoruje, kto reaguje, kto odpowiada za zgłoszenie incydentu i w jakim trybie działa dyżur poza godzinami pracy urzędu.
- Budżet z kosztem utrzymania po projekcie. Wliczając wynagrodzenia, odtworzenie sprzętu i przedłużenie licencji.
- Dokumentacja naboru przeczytana u źródła. Regulamin i kryteria wyboru rozstrzygają poziom dofinansowania oraz katalog wydatków kwalifikowanych. Komunikaty prasowe podają zaokrąglenia.
Kto może zbudować takie centrum
Żadna pojedyncza kategoria dostawców nie pokrywa całego zakresu LCC, bo przedsięwzięcie łączy trzy odrębne prace.
Warstwę operacyjną, czyli monitorowanie sieci, korelację zdarzeń i obsługę zgłoszeń w trybie ciągłym, dostarczają firmy prowadzące monitoring i usługi SOC. Warstwę zgodności, obejmującą wdrożenie systemu zarządzania bezpieczeństwem informacji, polityki i procedury, obsługują firmy doradcze z obszaru GRC i zgodności. Pomiar stanu przed projektem i po nim należy do zespołów wykonujących testy penetracyjne i audyty.
Partnerstwo, które zamawia wszystko u jednego wykonawcy, powinno mieć świadomość, że kupuje też jego ocenę własnej pracy. Rozdzielenie audytu od wdrożenia jest tanie na etapie planowania i niewykonalne po podpisaniu umowy.
Źródła
- Najwyższa Izba Kontroli, "Mimo realizacji projektu Cyberbezpieczny Samorząd poziom odporności urzędów gmin na cyberataki wciąż nieznany", 20.07.2026 - próba kontrolna, struktura wydatków, ustalenia o audytach i wskaźnikach oraz wnioski do Ministra Cyfryzacji (odczyt 02.09.2026)
- Portal Samorządowy, "1,5 mld zł miało wesprzeć cyberbezpieczeństwo gmin. Efektów programu nie da się ocenić", Karina Knorps-Tuszyńska, 23.07.2026 - podsumowanie wyników kontroli (odczyt 02.09.2026)
- Prawo.pl, "Dotacje na Lokalne Centra Cyberbezpieczeństwa", Robert Horbaczewski, 03.08.2026 - termin naboru, warunek partnerstwa, pułapy kwot i tryb składania wniosku (odczyt 02.09.2026)
- Portal Samorządowy, "Powstaną Lokalne Centra Cyberbezpieczeństwa. Samorządy dostaną 269 mln zł", 01.07.2026 - zakres zadań centrum (odczyt 02.09.2026)
- Centrum Projektów Polska Cyfrowa, "Samorządy wspólnie ochronią swoje systemy przed cyberatakami", 31.07.2026 - kwota naboru, działanie 4.1 programu FERC i katalog wydatków (odczyt 02.09.2026)
- Ministerstwo Cyfryzacji, "Startuje nabór wniosków na Lokalne Centra Cyberbezpieczeństwa", 31.07.2026 - opis poziomu dofinansowania, zakres wsparcia i adresy kontaktowe konkursu (odczyt 02.09.2026)
- Centrum Projektów Polska Cyfrowa, "Cyberbezpieczny Samorząd: więcej czasu na realizację grantu", 16.06.2026 - wydłużenie terminu realizacji grantów do 30 września 2026 r. (odczyt 02.09.2026)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), przepisy o wykazie podmiotów kluczowych i podmiotów ważnych (odczyt 02.09.2026)
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) (odczyt 02.09.2026)