Cyberbezpieczeństwo JST 2026: dotacja LCC czy pożyczka FBiO?

Michalina WalorczykEkspertka w zakresie finansów przedsiębiorstw oraz planowania i finansowania inwestycji · 15 lat doświadczenia · Ostatnia aktualizacja: 27 sierpnia 2026LinkedIn Michaliny

Dotacja na Lokalne Centra Cyberbezpieczeństwa (LCC) jest przeznaczona na wspólną usługę cyberbezpieczeństwa tworzoną przez co najmniej dwie jednostki samorządu terytorialnego (JST). Samodzielną inwestycję uprawnionej JST lub innego podmiotu spełniającego warunki Banku Gospodarstwa Krajowego (BGK) może finansować pożyczka z Funduszu Bezpieczeństwa i Obronności (FBiO). Nabór wniosków o tę pożyczkę jest jednak zawieszony od 27 sierpnia 2026 r.

Projekt LCC musi obejmować co najmniej 1000 urządzeń końcowych, określanych w dokumentacji naboru jako endpointy. Przy wyborze finansowania trzeba również uwzględnić status wnioskodawcy, formę finansowania, etap przygotowania inwestycji oraz sposób pokrywania kosztów po zakończeniu projektu.

Co finansują dotacja LCC i pożyczka FBiO oraz kto może z nich skorzystać?

Dotacja na Lokalne Centra Cyberbezpieczeństwa finansuje utworzenie i funkcjonowanie wspólnej usługi cyberbezpieczeństwa dla samorządów realizujących projekt w partnerstwie. Wnioskodawcą i partnerami mogą być wyłącznie jednostki samorządu terytorialnego, a projekt musi być realizowany przez co najmniej dwie JST.

Pożyczka z Funduszu Bezpieczeństwa i Obronności może sfinansować projekt cyberbezpieczeństwa JST lub innego podmiotu wymienionego w zasadach BGK. Spółka prawa handlowego musi mieć dominujący udział JST albo spełniać pozostałe warunki właścicielskie określone przez BGK.

Czym różni się dotacja LCC od pożyczki FBiO?

Jak dobrać źródło finansowania do projektu cyberbezpieczeństwa JST?

Wybór finansowania zaczyna się od ustalenia, jak samorządy chcą zorganizować inwestycję. Trzeba określić liczbę uczestników, zakres wspólnej usługi, odpowiedzialność za systemy oraz sposób pokrywania kosztów po zakończeniu finansowania. Te informacje pozwalają porównać projekt z warunkami dotacji LCC i pożyczki FBiO.

Jakie warunki trzeba spełnić w naborze LCC?

Nabór FERC.04.01-IP.01-003/26 jest prowadzony w ramach programu Fundusze Europejskie na Rozwój Cyfrowy (FERC). Budżet naboru wynosi 269 649 295,75 zł. Wnioski składa się elektronicznie w systemie CPPC do składania wniosków (LSI) od 31 lipca do 30 października 2026 r. Maksymalny poziom dofinansowania wynosi 100% wydatków kwalifikowanych.

Partnerstwo tworzą co najmniej dwie JST. Maksymalna kwota dofinansowania rośnie o 0,5 mln zł wraz z każdą kolejną JST: od 6 mln zł dla 2 JST do 15 mln zł dla 20 lub więcej JST. Budżet projektu powinien obejmować koszty uzasadnione, zgodne z cenami rynkowymi i proporcjonalne do skali projektu.

Jakie są podstawowe warunki udziału w naborze LCC?

• JST składająca wniosek potwierdzi partnerstwo umową lub porozumieniem podpisanym przed złożeniem wniosku.
• Projekt obejmie łącznie co najmniej 1000 urządzeń końcowych, za których cyberbezpieczeństwo odpowiadają uczestniczące JST.
• JST składająca wniosek zatrudnia na umowę o pracę co najmniej jedną osobę z wymaganym certyfikatem albo wykształceniem w obszarze cyberbezpieczeństwa.
• Wspólna usługa obejmie co najmniej działania wymagane w dokumentacji naboru.
• We wniosku partnerzy opiszą podział zadań, dostępność zespołu oraz sposób finansowania LCC przez 5 lat po zakończeniu projektu.

Jakie usługi ma świadczyć Lokalne Centrum Cyberbezpieczeństwa?

Dokumentacja naboru określa siedem obszarów, w których Lokalne Centrum Cyberbezpieczeństwa ma wdrożyć wspólne mechanizmy i świadczyć usługi na rzecz uczestniczących samorządów:

• obsługa cyberzagrożeń i incydentów – wykrywanie zdarzeń, ocena ich znaczenia, koordynowanie reakcji oraz ograniczanie skutków incydentów;
• zarządzanie zasobami informatycznymi i wsparcie systemu zarządzania bezpieczeństwem informacji – aktualna ewidencja urządzeń, systemów, usług i procesów oraz pomoc w przygotowaniu zasad bezpieczeństwa;
• utrzymywanie bezpiecznych wersji oprogramowania – kontrolowanie wersji systemów i aplikacji, planowanie aktualizacji oraz uwzględnianie urządzeń mobilnych;
• zarządzanie uprawnieniami dostępu – przyznawanie dostępu odpowiednio do obowiązków, jego okresowa weryfikacja oraz aktualizacja po zmianie zakresu zadań pracownika;
• ochrona danych w systemach informacyjnych – zabezpieczanie informacji, wykonywanie kopii zapasowych oraz regularne sprawdzanie możliwości odtworzenia danych;
• ochrona komunikacji i poczty elektronicznej – stosowanie bezpiecznych kanałów komunikacji oraz mechanizmów chroniących konta i wiadomości;
• rozwijanie kompetencji pracowników – szkolenia dotyczące cyberzagrożeń, reagowania na incydenty i zasad bezpiecznego korzystania z systemów.

Jakie wydatki można zaplanować w projekcie LCC?

Zakres zakupów powinien wynikać z usług zaplanowanych dla uczestniczących samorządów. Poniższe przykłady pokazują, jak połączyć potrzebę organizacyjną lub techniczną z elementem projektu.

Każdy planowany wydatek trzeba powiązać z zadaniem LCC, opisać jego wykorzystanie przez partnerów oraz sprawdzić zgodność z aktualnym katalogiem wydatków kwalifikowalnych programu FERC. Ostateczny zakres projektu powinien odpowiadać wynikom audytów, analizie ryzyka i przyjętemu modelowi świadczenia usług.

Czy partnerzy są przygotowani do wspólnej realizacji projektu?

• Każdy partner przygotował listę systemów, jednostek organizacyjnych i urządzeń, które obejmie wspólna usługa.
• Lider ma formalne uprawnienia do koordynowania projektu, a każdy partner wie, za jakie decyzje odpowiada.
• Partnerzy uzgodnili, kto i na jakich zasadach uzyska dostęp do danych o zdarzeniach w systemach (logów) oraz jak zespół będzie reagował na incydenty.
• Partnerzy określili wspólne minimalne standardy bezpieczeństwa.
• Budżet utrzymania został podzielony według przejrzystej reguły, na przykład liczby urządzeń, jednostek lub zakresu usług.

Co wpływa na ocenę wniosku o dotację LCC?

Kryteria premiują między innymi większą liczbę partnerów, udział powiatu i wszystkich gmin z jego terenu, dotychczasowe doświadczenie we wspólnej obsłudze oraz kwalifikacje kadr. Przy równej punktacji najpierw rozstrzyga liczba partnerów, a następnie data złożenia wniosku. Skład partnerstwa powinien odpowiadać rzeczywistemu zakresowi wspólnej usługi i uzgodnionemu podziałowi odpowiedzialności.

Jakie są warunki pożyczki FBiO na cyberbezpieczeństwo JST?

Pożyczka FBiO może finansować projekty cyberbezpieczeństwa realizowane przez JST oraz inne podmioty wskazane w zasadach BGK; należą do nich między innymi spółki prawa handlowego z dominującym udziałem JST. Finansowanie może pokryć do 100% kosztów netto, które BGK uzna za kwalifikowalne; VAT pozostaje poza kosztami kwalifikowalnymi.

Dla JST minimalne oprocentowanie wynosi 0% rocznie. Pożyczkę można spłacać maksymalnie przez 20 lat, a rozpoczęcie spłaty kapitału można odroczyć najwyżej o rok od zakończenia projektu. Wniosek należy złożyć przed zawarciem pierwszej umowy z wykonawcą robót budowlanych, dostawcą lub usługodawcą dotyczącej projektu.

Szczegółowe zasady, listę uprawnionych podmiotów, koszty i wymagane dokumenty opisuje artykuł Pożyczka FBiO dla JST i spółek komunalnych 2026.

Jak przygotować projekt po wyborze źródła finansowania?

Przed rozpoczęciem prac warto ustalić, kto odpowiada za poszczególne zadania, jakie rozwiązania zostaną wdrożone, kiedy powstaną oraz z jakich środków będą później utrzymywane.

Kto odpowiada za zadania w projekcie cyberbezpieczeństwa JST?

Kierownictwo JST ustala podział odpowiedzialności i poziom ryzyka, który jednostka może zaakceptować. Zespół IT opisuje obecną infrastrukturę i potrzebne usługi. Zespół finansowy oblicza koszty w kolejnych latach i wskazuje źródła ich pokrycia, a osoby odpowiedzialne za zamówienia sprawdzają harmonogram oraz przygotowanie opisu planowanych zakupów. Jednostki organizacyjne wskazują systemy, dane i urządzenia, które obejmie projekt.

Plan wspólnej usługi powinien jasno wskazywać właściciela infrastruktury, osoby administrujące narzędziami, zasady dostępu do danych, oczekiwany czas reakcji, sposób przekazywania poważniejszych incydentów oraz odpowiedzialność za usunięcie ich skutków. Na tej podstawie można opisać potrzebne funkcje i dobrać rozwiązania techniczne.

Jak policzyć urządzenia końcowe w naborze LCC?

Wymagane minimum 1000 urządzeń końcowych trzeba policzyć według zasad naboru. Dokumentacja nazywa te urządzenia endpointami. Centrum Projektów Polska Cyfrowa (CPPC) wyjaśnia w odpowiedziach na najczęstsze pytania dotyczące naboru LCC, że do tej liczby można włączyć między innymi komputery, laptopy, serwery fizyczne, routery, firewalle i urządzenia internetu rzeczy (IoT). Warunkiem jest odpowiedzialność JST za ich cyberbezpieczeństwo, połączenie urządzeń z siecią oraz objęcie ich usługami LCC.

Wymaganą liczbę ustala się na podstawie urządzeń fizycznych. Do tej liczby wlicza się serwer fizyczny jako jedno urządzenie, niezależnie od liczby działających na nim maszyn wirtualnych. W wykazie każdego urządzenia warto podać właściciela, lokalizację, sposób zarządzania, dostęp do sieci, znaczenie dla działania jednostki oraz usługę LCC, która je obejmie.

Jak obliczyć pełny koszt projektu cyberbezpieczeństwa JST?

Pełny budżet projektu obejmuje koszty zakupu, wdrożenia oraz późniejszego działania rozwiązania. Poniższa tabela porządkuje kategorie wydatków i wskazuje, co trzeba ustalić przed wyborem źródła finansowania.

Budżet warto podzielić na koszty ponoszone przy uruchomieniu, koszty roczne oraz wydatki pojawiające się co kilka lat, na przykład wymianę urządzeń. Przy każdej pozycji trzeba wskazać podmiot, który ją zapłaci, źródło finansowania i rok poniesienia wydatku. Tak przygotowany budżet pokazuje, jak dostępne wsparcie ma się do kosztów późniejszego działania rozwiązania.

Jak przypisać wydatki projektu do LCC, FBiO i innych źródeł?

Kilka programów może finansować różne zadania lub etapy tej samej inwestycji. Przy każdym wydatku trzeba wskazać jedno źródło finansowania, aby ten sam koszt został rozliczony tylko raz. Zestawienie powinno również pokazywać, kto ponosi wydatek, jak rozliczany jest VAT, kiedy rozpoczyna się zadanie i jak długo trzeba zachować jego efekty.

Jak obowiązki ustawowe wpływają na harmonogram projektu?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Podmioty, które 3 kwietnia 2026 r. spełniały ustawowe kryteria podmiotu kluczowego albo ważnego, mają 12 miesięcy na wykonanie obowiązków z rozdziału 3, w tym wdrożenie systemu zarządzania bezpieczeństwem informacji. Jeżeli jednostka spełni te kryteria później, 12 miesięcy liczy się od dnia ich spełnienia. Za realizację obowiązków odpowiada kierownik podmiotu.

Podmiot kluczowy ma 24 miesiące na przeprowadzenie pierwszego audytu. Status jednostki jako podmiotu kluczowego albo ważnego zależy od spełnienia kryteriów zapisanych w ustawie. Aby potwierdzić status i termin wykonania obowiązków, trzeba odnieść te kryteria do sytuacji danej jednostki.

Jakie informacje powinien zebrać zespół przygotowujący projekt?

Z tych informacji skorzystają kierownictwo samorządu, zespół IT, osoby odpowiedzialne za finanse i zamówienia oraz doradca przygotowujący wniosek. Pozwolą im sprawdzić, czy projekt spełnia warunki programu, ile będzie kosztował i kto będzie odpowiadał za jego realizację oraz późniejsze utrzymanie.

• samorządy i jednostki organizacyjne, które mają uczestniczyć w projekcie, oraz zadania każdego z nich;
• liczba komputerów, serwerów, routerów, firewalli i innych urządzeń ustalona na podstawie aktualnego wykazu urządzeń;
• sposób, w jaki obecnie obsługiwane są systemy IT i cyberbezpieczeństwo, z podziałem zadań między własny zespół i firmy zewnętrzne;
• osoby przewidziane do obsługi rozwiązania, ich kwalifikacje, forma zatrudnienia i dostępność;
• najważniejsze potrzeby wskazane w audytach, analizie ryzyka i testach bezpieczeństwa;
• zakupy i usługi potrzebne podczas wdrożenia oraz późniejszego utrzymania rozwiązania;
• możliwość odliczenia VAT, stan przygotowania zamówień i inne planowane źródła finansowania;
• podmiot, który będzie właścicielem infrastruktury, oraz zespół odpowiedzialny za bieżące działanie usługi.

Po zebraniu tych informacji można porównać projekt z warunkami programów, oszacować pełny budżet, podzielić zadania między uczestników i zaplanować utrzymanie rozwiązania.

Jakie inne źródła mogą finansować cyberbezpieczeństwo JST?

Warto również sprawdzić program regionalny dla danego województwa. Może on sfinansować część inwestycji, jeżeli cyberbezpieczeństwo jest elementem większego projektu dotyczącego odporności lub infrastruktury. W dokumentacji trzeba jasno wskazać, które zadania i wydatki przypadają na każdy program oraz jak długo należy utrzymać ich efekty.

W pozostałych województwach obowiązują odrębne warunki, terminy i poziomy wsparcia. Aktualny przegląd znajduje się na stronie Dotacje dla gmin 2026.

W województwie lubelskim szkolenia z gotowości cywilnej dla pracodawców i pracowników można przygotować w FELU.17.03, a edukację z cyberbezpieczeństwa i gotowości cywilnej w przedszkolach, szkołach, placówkach i uczelniach w FELU.17.04. Porównaj warunki FELU.17.03 i FELU.17.04.

Co się dzieje po złożeniu wniosku?

Ścieżka dotacyjna i pożyczkowa kończą się inaczej. W naborze dotacyjnym instytucja ocenia wnioski według kryteriów z regulaminu i publikuje listę projektów wybranych do dofinansowania, a orientacyjny termin rozstrzygnięcia podaje regulamin naboru. Przy pożyczce decyzję podejmuje pośrednik finansowy po ocenie przedsięwzięcia, zdolności do spłaty i zabezpieczeń.

Od negatywnej oceny w naborze dotacyjnym przysługuje protest. Zgodnie z rozdziałem 16 ustawy z 28 kwietnia 2022 r. o zasadach realizacji zadań finansowanych ze środków europejskich składasz go w 14 dni od doręczenia informacji o wyniku, instytucja rozpatruje go w 21 dni, a w uzasadnionych przypadkach łącznie do 45 dni. Po nieuwzględnieniu protestu przysługuje skarga do wojewódzkiego sądu administracyjnego w terminie 14 dni, a następnie skarga kasacyjna.

Odmowa pożyczki nie uruchamia tej procedury, bo nie jest wyborem projektu w naborze konkurencyjnym. W takiej sytuacji wracasz do rozmowy z pośrednikiem o zabezpieczeniach i strukturze finansowania.

Najczęstsze pytania o dotację LCC i pożyczkę FBiO

Źródła i weryfikacja danych

Terminy, kwoty i warunki opisane w artykule sprawdzono 27 sierpnia 2026 r. na podstawie dokumentacji CPPC, odpowiedzi CPPC na najczęstsze pytania, zasad BGK, tekstu ustawy w ELI oraz dokumentacji programu regionalnego.