Wstęp
Testy penetracyjne w administracji publicznej to dziś nie dodatek, lecz konieczność. Urzędy gmin, starostwa, urzędy marszałkowskie i inne jednostki samorządu terytorialnego przetwarzają dane, które są jednym z najbardziej atrakcyjnych celów dla cyberprzestępców: numery PESEL, dane meldunkowe, informacje o nieruchomościach, dokumentację finansową mieszkańców. Jednocześnie infrastruktura IT wielu urzędów rozwijała się latami w sposób przyrostowy — kolejne systemy dziedzinowe, integracje z rejestrami centralnymi i portalami e-usług dokładano do istniejącego środowiska bez całościowego przeglądu bezpieczeństwa.
W 2026 roku ten stan rzeczy przestał być tylko problemem organizacyjnym — stał się też problemem prawnym i osobistym dla kierownictwa jednostek. Poniżej wyjaśniamy, co się zmieniło, kogo dotyczy obowiązek testowania zabezpieczeń i jak wygląda test penetracyjny urzędu w praktyce.
Co zmieniła nowelizacja ustawy o KSC (NIS2) w 2026 roku
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Jedną z jej najważniejszych konsekwencji jest radykalne rozszerzenie liczby podmiotów objętych regulacją — z ok. 400 do ok. 42 tysięcy w całej Polsce. W tej grupie znalazła się większość jednostek administracji publicznej, w tym jednostki samorządu terytorialnego.
Ministerstwo Cyfryzacji rejestrowało podmioty publiczne z urzędu w okresie od 13 kwietnia do 6 maja 2026 r. Jednostki samorządu terytorialnego mają czas do 3 października 2026 r. na weryfikację i aktualizację swoich danych w rejestrze. Podmioty zakwalifikowane jako kluczowe lub ważne mają następnie 6 miesięcy na zgłoszenie rejestracyjne i 12 miesięcy (licząc od 3 kwietnia 2026 r., czyli do 3 kwietnia 2027 r.) na wdrożenie pełnego systemu zarządzania bezpieczeństwem informacji (SZBI).
Znowelizowana ustawa wprowadziła też coś, czego wcześniej w tej formie nie było: osobistą odpowiedzialność. Zgodnie z art. 8c ustawy wójtowie, burmistrzowie i prezydenci miast ponoszą osobistą odpowiedzialność za stan cyberbezpieczeństwa cyfrowego swojej jednostki. To zmienia perspektywę — audyt bezpieczeństwa przestaje być wyłącznie zadaniem działu IT, a staje się elementem odpowiedzialności zarządczej.
KRI — obowiązek, który obowiązuje od dawna, ale wciąż jest zaniedbywany
NIS2 to nie jedyna podstawa prawna, która dotyczy urzędów. Od 2012 roku obowiązuje rozporządzenie w sprawie Krajowych Ram Interoperacyjności (KRI), które w § 20 ust. 2 pkt 14 nakłada na każdy podmiot realizujący zadania publiczne obowiązek przeprowadzania okresowego audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz w roku. Obowiązek ten dotyczy wprost urzędów gmin, starostw, urzędów marszałkowskich oraz podległych im jednostek organizacyjnych — ośrodków pomocy społecznej, szkół, bibliotek i innych.
W praktyce audyt KRI bywa traktowany formalnie — jako przegląd dokumentacji i procedur, bez realnego sprawdzenia, czy systemy da się faktycznie przełamać. To błąd, który regularnie widzimy w naszej pracy: urząd ma politykę bezpieczeństwa zgodną z ISO/IEC 27001, ale nikt nigdy nie sprawdził, czy panel administracyjny jednej z aplikacji dziedzinowych nie jest dostępny z domyślnym hasłem. Test penetracyjny to właśnie ten brakujący element — praktyczna weryfikacja tego, co na papierze wygląda dobrze.
Czym różni się test penetracyjny urzędu od testu firmy komercyjnej
Metodyka testu penetracyjnego jest uniwersalna, ale specyfika administracji publicznej wymaga kilku dodatkowych elementów, które w naszych projektach traktujemy jako standard.
Systemy dziedzinowe i integracje z rejestrami centralnymi. Urzędy korzystają z oprogramowania łączącego się z systemami takimi jak PESEL, CEPiK czy ePUAP. Błąd konfiguracyjny w jednym z tych punktów integracji może otworzyć drogę do danych, które w żadnym wypadku nie powinny być dostępne z zewnątrz.
Starsze, często niewymieniane od lat systemy legacy. W przeciwieństwie do firm technologicznych, urzędy rzadko wymieniają oprogramowanie dziedzinowe — bywa ono używane przez kilkanaście lat, co oznacza nagromadzone, nieaktualizowane komponenty.
Dane szczególnie wrażliwe i wysoka ekspozycja publiczna. Wyciek danych z urzędu dotyka bezpośrednio mieszkańców i wiąże się z obowiązkami wynikającymi z RODO oraz realnym ryzykiem reputacyjnym dla władz lokalnych.
Ograniczone zasoby wewnętrznego IT. Działy informatyczne w urzędach są zwykle nieduże i przeciążone bieżącą obsługą, co sprawia, że niezależny, zewnętrzny test jest jedynym realistycznym sposobem na obiektywną weryfikację stanu zabezpieczeń.
Jak wyglądają testy penetracyjne w administracji publicznej
Nasze testy penetracyjne dla administracji publicznej prowadzimy w podejściu black-box z elementami grey-box — odzwierciedlającym realne działania potencjalnego atakującego, przy jednoczesnym pełnym zachowaniu zgodności z zakresem i zgodami ustalonymi z zamawiającym. Proces obejmuje zwykle cztery etapy.
- Identyfikacja usług i aplikacji dostępnych z sieci — enumeracja hostów, portali e-usług, paneli administracyjnych i punktów integracji z systemami centralnymi.
- Wykrywanie błędów konfiguracyjnych i luk w mechanizmach uwierzytelniania — w tym najczęstszych w naszej praktyce problemów: domyślnych poświadczeń, braku ograniczeń adresów IP i braku uwierzytelniania wieloskładnikowego dla paneli administracyjnych.
- Analizę ryzyka i możliwych ścieżek eskalacji uprawnień — sprawdzenie, jak daleko od pojedynczego błędu konfiguracyjnego dzieli atakującego do przejęcia kontroli nad środowiskiem domenowym.
- Raport dla zarządu i dla działu IT — dwa osobne dokumenty: przystępne podsumowanie ryzyka biznesowego dla kierownictwa jednostki oraz szczegółowy raport techniczny z rekomendacjami dla administratorów.
Dokładnie taki scenariusz zrealizowaliśmy w ramach programu Cyberbezpieczny Samorząd — opisaliśmy go szczegółowo w osobnym case study, w którym test penetracyjny wykazał realne ryzyko przejęcia uprawnień Administratora Domeny przez błędnie zabezpieczony panel zarządzający Apache Tomcat.
Zobacz pełny opis testu penetracyjnego urzędu →
Zespół testów penetracyjnych w administracji publicznej — kwalifikacje i doświadczenie
Testy penetracyjne urzędów i jednostek administracji publicznej prowadzi zespół posiadający uznane w branży certyfikaty ofensywnego bezpieczeństwa: OSCP (Offensive Security Certified Professional), CPTS (Certified Penetration Testing Specialist), CPEH (Certified Professional Ethical Hacker) oraz eCPPT (eLearnSecurity Certified Professional Penetration Tester). To certyfikaty wymagające zdania praktycznych egzaminów polegających na realnym włamaniu do przygotowanych środowisk testowych — nie testów teoretycznych.
Realizowaliśmy testy penetracyjne zarówno dla podmiotów komercyjnych, jak i dla jednostek administracji publicznej — w tym w ramach programu Cyberbezpieczny Samorząd. Każdy projekt prowadzimy zgodnie z ustalonym zakresem i pisemną zgodą zamawiającego, z pełnym poszanowaniem ciągłości działania systemów urzędu.
Jeśli szukają Państwo kompleksowej oferty w tym zakresie — od pojedynczego testu penetracyjnego po pełny audyt zgodności z NIS2 — zapraszamy do zapoznania się z pełną ofertą testów penetracyjnych dla firm i instytucji oraz z audytem zgodności z NIS2.
Najczęściej zadawane pytania
Czy test penetracyjny zastępuje obowiązkowy audyt KRI?
Nie w pełni — audyt KRI ma szerszy zakres i obejmuje m.in. przegląd dokumentacji, procedur i zgodności z normą ISO/IEC 27001. Test penetracyjny jest jednak jego praktycznym, technicznym uzupełnieniem — realnie weryfikuje, czy zabezpieczenia opisane w dokumentacji faktycznie działają.
Jak często urząd powinien zamawiać test penetracyjny?
Rozporządzenie KRI wymaga audytu bezpieczeństwa informacji nie rzadziej niż raz w roku. Rekomendujemy, aby test penetracyjny towarzyszył temu audytowi przynajmniej raz w roku, a dodatkowo po każdej istotnej zmianie w infrastrukturze — nowy system dziedzinowy, zmiana dostawcy hostingu, nowy portal e-usług.
Ile trwają testy penetracyjne w administracji publicznej?
W zależności od zakresu — liczby systemów, aplikacji i punktów integracji — typowy projekt trwa od kilku dni do dwóch–trzech tygodni pracy zespołu testującego, plus czas na przygotowanie raportu.
Czy wynik testu jest poufny?
Tak. Raport trafia wyłącznie do wskazanych osób w urzędzie i jest objęty klauzulą poufności — nie jest publikowany ani udostępniany osobom trzecim bez zgody zamawiającego.
Podsumowanie
Nowelizacja ustawy o KSC wdrażająca NIS2 i wieloletni, ale wciąż często zaniedbywany obowiązek audytu KRI stawiają przed urzędami ten sam wniosek: czas, w którym cyberbezpieczeństwo administracji publicznej mogło być traktowane jako temat drugorzędny, się skończył. Test penetracyjny to najbardziej praktyczny sposób, aby sprawdzić, czy zabezpieczenia urzędu wytrzymają realny atak — zanim sprawdzi to ktoś, kto nie ma dobrych intencji.
Chcą Państwo sprawdzić, jak wygląda to w praktyce w Państwa jednostce? Zamów bezpłatną konsultację i porozmawiajmy o zakresie testu dopasowanym do Państwa urzędu.
