Lokalne Centra Cyber­bezpieczeństwa (LCC) 2026: dotacja do 100% dla partnerstw JST

Co finansują dotacja LCC i pożyczka FBiO oraz kto może z nich skorzystać?

Dotacja na Lokalne Centra Cyberbezpieczeństwa finansuje utworzenie i funkcjonowanie wspólnej usługi cyberbezpieczeństwa dla samorządów realizujących projekt w partnerstwie. Wnioskodawcą i partnerami mogą być wyłącznie jednostki samorządu terytorialnego, a w projekcie muszą uczestniczyć co najmniej dwie JST.

Projekt cyberbezpieczeństwa realizowany przez JST albo inny podmiot uprawniony według zasad Banku Gospodarstwa Krajowego (BGK) może zostać sfinansowany także pożyczką z Funduszu Bezpieczeństwa i Obronności. W spółce prawa handlowego dominujący udział muszą mieć JST; w innym razie spółka musi spełniać pozostałe warunki właścicielskie określone przez BGK.

Jak dobrać źródło finansowania do projektu cyberbezpieczeństwa JST?

Wybór finansowania zaczyna się od ustalenia, jak samorządy chcą zorganizować inwestycję. Trzeba określić liczbę uczestników, zakres wspólnej usługi, odpowiedzialność za systemy oraz sposób pokrywania kosztów po zakończeniu finansowania. Te informacje pozwalają porównać projekt z warunkami dotacji LCC i pożyczki FBiO.

Pierwsze spotkanie z samorządem poświęcamy pieniądzom: sprawdzamy, jaki limit dotacji daje planowany skład partnerstwa i jaką część dotacji można przeznaczyć na etaty specjalistów, a jaką na oprogramowanie i sprzęt. O ustawie i o wyborze lidera rozmawiamy później. Wyliczenie trafia do wójta, burmistrza albo starosty, a dane do wyliczenia zbieramy od sekretarza i informatyka.

Dotację LCC doradzamy, gdy samorząd ma jednego partnera lub kilku i przed zamknięciem naboru zdąży wspólnie z nimi wykazać 1000 urządzeń oraz podpisać porozumienie; wydatki kwalifikowane dotacja pokrywa wtedy w całości.

Pożyczkę FBiO rozważamy, gdy w inwestycji przeważa infrastruktura albo gdy termin liczy się bardziej niż koszt: lista rankingowa LCC ma się ukazać dopiero w pierwszym kwartale 2027 r., a gmina albo powiat, które udźwigną spłatę, mogą woleć finansowanie zwrotne. Ta droga jest jednak dziś zamknięta dla nowych wniosków, bo od 27 sierpnia BGK ich nie przyjmuje.

Czym różni się dotacja LCC od pożyczki FBiO?

Jakie warunki trzeba spełnić w naborze LCC?

Nabór FERC.04.01-IP.01-003/26 jest prowadzony w ramach programu Fundusze Europejskie na Rozwój Cyfrowy (FERC). Do rozdysponowania jest w nim 269 649 295,75 zł.

Wnioski składa się wyłącznie elektronicznie, w systemie LSI prowadzonym przez Centrum Projektów Polska Cyfrowa (CPPC), od 31 lipca do 30 listopada 2026 r. CPPC przedłużyło nabór 8 października 2026 r. Wydatki kwalifikowane są finansowane w 100%, więc w tej części projekt nie wymaga wkładu własnego.

Partnerstwo tworzą co najmniej dwie JST. Maksymalna kwota dofinansowania rośnie o 0,5 mln zł wraz z każdą kolejną JST: od 6 mln zł dla 2 JST do 15 mln zł dla 20 lub więcej JST. Budżet projektu powinien obejmować koszty uzasadnione, zgodne z cenami rynkowymi i proporcjonalne do skali projektu.

Projekt można realizować do 31 grudnia 2030 r., a efekty projektu trzeba utrzymać przez 5 lat po jego zakończeniu (okres trwałości).

Jakie są podstawowe warunki udziału w naborze LCC?

• JST składająca wniosek potwierdzi partnerstwo umową lub porozumieniem podpisanym przed złożeniem wniosku.
• Projekt obejmie łącznie co najmniej 1000 urządzeń końcowych, za których cyberbezpieczeństwo odpowiadają uczestniczące JST.
• JST składająca wniosek zatrudnia w dniu jego złożenia na umowę o pracę, także na część etatu, co najmniej jedną osobę z certyfikatem z załącznika nr 1 do kryteriów albo z dyplomem studiów wyższych, podyplomowych lub MBA z zakresu cyberbezpieczeństwa. Osoba ta może pracować w dowolnej jednostce organizacyjnej tej JST, a partnerzy nie muszą zatrudniać takiej osoby.
• Wspólna usługa obejmie co najmniej siedem obszarów działań wymaganych w dokumentacji naboru.
• We wniosku partnerzy opiszą podział zadań, dostępność zespołu oraz sposób finansowania LCC przez 5 lat po zakończeniu projektu.
• Analiza pomocy publicznej musi wykazać, że projekt nie obejmuje pomocy publicznej ani pomocy de minimis, także na poziomie jednostek organizacyjnych wnioskodawcy i partnerów.

W samorządach, z którymi rozmawialiśmy, zatrudnienie specjalisty albo potwierdzenie kwalifikacji informatyka już pracującego w urzędzie zajmowało od 6 do 10 tygodni od podjęcia decyzji. W jednym partnerstwie przygotowanie wniosku zatrzymało się na dwa tygodnie, ponieważ lider nie miał jeszcze potwierdzenia, że osoba z certyfikatem będzie zatrudniona na umowę o pracę w dniu złożenia wniosku.

Jak policzyć urządzenia końcowe w naborze LCC?

Wymagane minimum 1000 urządzeń końcowych trzeba policzyć według zasad naboru. Dokumentacja nazywa te urządzenia endpointami. CPPC wyjaśnia w odpowiedziach na najczęstsze pytania dotyczące naboru LCC, że do tej liczby można włączyć między innymi komputery, laptopy, serwery fizyczne, routery, firewalle i urządzenia internetu rzeczy (IoT). Warunek jest taki, że JST odpowiada za cyberbezpieczeństwo urządzenia, urządzenie jest połączone z siecią, a LCC obejmie je swoimi usługami.

Do minimum 1000 urządzeń można wliczyć sprzęt szkół i innych jednostek organizacyjnych JST, jeżeli spełnia definicję urządzenia końcowego, łączy się z siecią i wymienia z nią dane, a JST odpowiada za jego cyberbezpieczeństwo i LCC obejmie go ochroną.

Jednostki objęte wsparciem trzeba wykazać w załączniku nr 6 „Instytucje planowane do wsparcia przez LCC”. Dla każdej należy podać pełną nazwę, właściwą JST, rolę w LCC i liczbę urządzeń. Deklarację co najmniej 1000 urządzeń w całym partnerstwie składa się już we wniosku.

Wymaganą liczbę ustala się na podstawie urządzeń fizycznych. Do tej liczby wlicza się serwer fizyczny jako jedno urządzenie, niezależnie od liczby działających na nim maszyn wirtualnych. W wykazie urządzeń partnerzy powinni podać dla każdego z nich właściciela, lokalizację, sposób zarządzania, dostęp do sieci, znaczenie dla działania jednostki oraz usługę LCC, która je obejmie.

Jakie usługi ma świadczyć Lokalne Centrum Cyberbezpieczeństwa?

Dokumentacja naboru określa siedem obszarów, w których Lokalne Centrum Cyberbezpieczeństwa ma wdrożyć wspólne mechanizmy i świadczyć usługi na rzecz uczestniczących samorządów:

• obsługa cyberzagrożeń i incydentów: wykrywanie zdarzeń, ocena ich znaczenia, koordynowanie reakcji oraz ograniczanie skutków incydentów;
• zarządzanie zasobami informatycznymi i wsparcie systemu zarządzania bezpieczeństwem informacji: aktualna ewidencja urządzeń, systemów, usług i procesów oraz pomoc w przygotowaniu zasad bezpieczeństwa;
• utrzymywanie bezpiecznych wersji oprogramowania: kontrolowanie wersji systemów i aplikacji, planowanie aktualizacji oraz uwzględnianie urządzeń mobilnych;
• zarządzanie uprawnieniami dostępu: przyznawanie dostępu odpowiednio do obowiązków, jego okresowa weryfikacja oraz aktualizacja po zmianie zakresu zadań pracownika;
• ochrona danych w systemach informacyjnych: zabezpieczanie informacji, wykonywanie kopii zapasowych oraz regularne sprawdzanie możliwości odtworzenia danych;
• ochrona komunikacji i poczty elektronicznej: stosowanie bezpiecznych kanałów komunikacji oraz mechanizmów chroniących konta i wiadomości;
• rozwijanie kompetencji pracowników: szkolenia dotyczące cyberzagrożeń, reagowania na incydenty i zasad bezpiecznego korzystania z systemów.

LCC musi świadczyć wszystkie siedem usług. Poszczególni partnerzy mogą korzystać z wybranych usług, ale CPPC zaleca zawężanie zakresu danej usługi zamiast całkowitej rezygnacji.

Jakie wydatki można zaplanować w projekcie LCC?

Zakres zakupów powinien wynikać z usług zaplanowanych dla uczestniczących samorządów. Poniższe przykłady pokazują, jak połączyć potrzebę organizacyjną lub techniczną z elementem projektu.

Każdy wydatek trzeba przypisać do zadania LCC i opisać jego wykorzystanie przez partnerów. Zakupy powinny odpowiadać wynikom audytów, analizie ryzyka i modelowi świadczenia usług oraz mieścić się w katalogu wydatków kwalifikowalnych FERC. Roboty budowlane nie mogą przekroczyć 20% wartości wydatków kwalifikowanych projektu.

Dotacja nie sfinansuje zakupu komputerów dla pracowników urzędu, szkół ani innych jednostek, bo kwalifikowane są tylko wydatki bezpośrednio związane z cyberbezpieczeństwem. Wydatki można ponieść jeszcze przed złożeniem wniosku, najwcześniej od 1 stycznia 2021 r., jeżeli spełniają zasady kwalifikowalności i zamówień.

Wynagrodzenia specjalistów LCC dotacja pokrywa tylko w okresie realizacji projektu, a w okresie trwałości partnerzy opłacają je sami. Partnerstwo może korzystać z usług zewnętrznego centrum operacji bezpieczeństwa (SOC), ale tylko jako wsparcia własnego zespołu LCC, a dokumentacja nie wymaga obsługi całodobowej.

Co partnerzy powinni uzgodnić przed złożeniem wniosku LCC?

• Każdy partner przygotowuje listę systemów, jednostek organizacyjnych i urządzeń, które obejmie wspólna usługa.
• Umowa lub porozumienie o partnerstwie musi upoważniać lidera do złożenia wniosku i zawarcia umowy o dofinansowanie w imieniu partnerów. Określa też zadania i odpowiedzialność każdej strony.
• Partnerzy uzgadniają, kto i na jakich zasadach uzyska dostęp do danych o zdarzeniach w systemach (logów) oraz jak zespół będzie reagował na incydenty.
• Partnerzy określają wspólne minimalne standardy bezpieczeństwa.
• Partnerzy dzielą budżet utrzymania według przejrzystej reguły, na przykład liczby urządzeń, jednostek lub zakresu usług.

Kandydata na lidera oceniamy pod dwoma względami. Pierwszy to kadra: kryterium nr 13 sprawdza wyłącznie jednostkę składającą wniosek, więc liderem powinna zostać ta JST, która już zatrudnia na umowę o pracę specjalistę z certyfikatem albo dyplomem z cyberbezpieczeństwa. Drugi to zdolność do koordynowania kilku urzędów i prowadzenia wspólnych rozliczeń. Gdy specjalistę zatrudnia starostwo, proponujemy na lidera powiat; gdy pracuje on w największej gminie partnerstwa, rolę lidera może przejąć ta gmina.

W partnerstwie jednego powiatu i siedmiu gmin naliczyliśmy nieco ponad 1200 urządzeń.

W jednym ze znanych nam partnerstw o wyborze powiatu na lidera przesądziły kadra i lokal. Starostwo zatrudniało już audytora wiodącego według normy PN-EN ISO/IEC 27001, czyli specjalistę z certyfikatem uznawanym w naborze, i dysponowało salą, którą można było przeznaczyć na centrum. Gminy nie miały ani takiego specjalisty, ani odpowiedniej sali, dlatego uzgodniły, że liderem zostanie powiat.

Co wpływa na ocenę wniosku o dotację LCC?

Kryteria premiują między innymi większą liczbę partnerów, udział powiatu i wszystkich gmin z jego terenu oraz kwalifikacje kadr.

Gdy zabraknie środków dla projektów z taką samą łączną punktacją, najpierw decydują punkty w kryterium „Liczba partnerów projektu”. Partnerstwo liczące co najmniej 12 JST otrzymuje w nim komplet, czyli 10 punktów. Jeśli i ta punktacja jest równa, rozstrzyga kolejność złożenia wniosków. Skład partnerstwa powinien odpowiadać rzeczywistemu zakresowi wspólnej usługi i uzgodnionemu podziałowi odpowiedzialności.

Jakie są warunki pożyczki FBiO na cyberbezpieczeństwo JST?

Pożyczka FBiO może finansować projekty cyberbezpieczeństwa realizowane przez JST oraz inne podmioty wskazane w zasadach BGK, w tym spółki prawa handlowego, w których dominujący udział mają JST. Finansowanie może pokryć do 100% kosztów netto, które BGK uzna za kwalifikowalne; VAT pozostaje poza kosztami kwalifikowalnymi.

Dla JST minimalne oprocentowanie wynosi 0% rocznie. Okres od zawarcia umowy pożyczki do jej ostatecznej spłaty nie może przekroczyć 20 lat. Obejmuje on również okres odroczenia spłaty kapitału (karencję), który może trwać najwyżej rok od zakończenia projektu.

Wniosek należy złożyć przed zawarciem pierwszej umowy z wykonawcą robót budowlanych, dostawcą lub usługodawcą dotyczącej projektu. Umowy na prace przygotowawcze i nabycie gruntu oraz same prace przygotowawcze nie oznaczają rozpoczęcia projektu, ale trzeba opisać je we wniosku. Samo ogłoszenie przetargu nie rozpoczyna projektu.

Rozstrzygnięte postępowanie może jednak oznaczać jego rozpoczęcie, jeżeli wnioskodawca nie może już odstąpić od zawarcia umowy ani unieważnić postępowania. Dla niezależnych etapów, prawa opcji i umów ramowych obowiązują szczególne zasady z § 5 ust. 7-9 zasad BGK.

Szczegółowe zasady, listę uprawnionych podmiotów, koszty i wymagane dokumenty opisuje artykuł Pożyczka FBiO dla JST i spółek komunalnych 2026.

Jakie inne źródła mogą finansować cyberbezpieczeństwo JST?

Samorząd powinien sprawdzić także program regionalny swojego województwa. Może on sfinansować część inwestycji, jeżeli cyberbezpieczeństwo jest elementem większego projektu dotyczącego odporności lub infrastruktury. W dokumentacji trzeba jasno wskazać, które zadania i wydatki przypadają na każdy program oraz jak długo należy utrzymać ich efekty.

W pozostałych województwach obowiązują odrębne warunki, terminy i poziomy wsparcia. Aktualny przegląd znajduje się na stronie Dotacje dla gmin 2026.

W województwie lubelskim szkolenia z gotowości cywilnej dla pracodawców i pracowników można przygotować w FELU.17.03, a edukację z cyberbezpieczeństwa i gotowości cywilnej w przedszkolach, szkołach, placówkach i uczelniach w FELU.17.04. Oba nabory zakończyły się 1 października 2026 r. Warunki FELU.17.03 i FELU.17.04 porównujemy w osobnym artykule.

Jak przygotować projekt po wyborze źródła finansowania?

Przygotowanie wniosku wymaga współpracy zespołów technicznych, finansowych i osób odpowiedzialnych za zamówienia. Każdy zespół powinien dostarczyć dane potrzebne do wyceny oraz zaplanowania działania LCC po zakończeniu dotacji.

Kto odpowiada za zadania w projekcie cyberbezpieczeństwa JST?

Kierownictwo JST zatwierdza podział odpowiedzialności i akceptowalny poziom ryzyka. Zespół IT opisuje infrastrukturę oraz zadania własnych pracowników i firm zewnętrznych. Zespół finansowy oblicza koszty w kolejnych latach i wskazuje źródła ich pokrycia. Osoby odpowiedzialne za zamówienia sprawdzają harmonogram oraz opis zakupów. Jednostki organizacyjne wskazują systemy, dane i urządzenia objęte projektem.

Plan wspólnej usługi powinien jasno wskazywać właściciela infrastruktury, osoby administrujące narzędziami, zasady dostępu do danych, oczekiwany czas reakcji, sposób przekazywania poważniejszych incydentów oraz odpowiedzialność za usunięcie ich skutków. Uzgodnienia dotyczące działania usługi pozwalają opisać potrzebne funkcje i dobrać rozwiązania techniczne.

Jak obliczyć pełny koszt projektu cyberbezpieczeństwa JST?

Pełny budżet projektu obejmuje koszty zakupu, wdrożenia oraz późniejszego działania rozwiązania. Poniższa tabela porządkuje kategorie wydatków i wskazuje, co trzeba ustalić przed wyborem źródła finansowania.

Zespół finansowy powinien podzielić budżet na koszty ponoszone przy uruchomieniu, koszty roczne oraz wydatki pojawiające się co kilka lat, na przykład wymianę urządzeń. Przy każdej pozycji trzeba wskazać podmiot, który poniesie ten wydatek, źródło finansowania i rok poniesienia wydatku. Tak przygotowany budżet pokazuje, jaką część kosztów pokryje dofinansowanie w okresie realizacji projektu, a jakie wydatki na późniejsze działanie rozwiązania samorządy poniosą same.

W porozumieniu partnerskim zapisujemy z góry, kto i w jakiej części zapłaci za specjalistów oraz licencje, gdy skończy się finansowanie z dotacji. Podstawą podziału może być na przykład liczba urządzeń, które poszczególne JST wpisały do załącznika nr 6.

Pieniądze, które szkoła wydaje dziś na własnego informatyka do spraw bezpieczeństwa, mogą zasilić jej składkę do centrum, podobnie jak budżety innych jednostek organizacyjnych. CPPC sprawdza ten rachunek w kryterium nr 11, w którym partnerzy muszą wykazać kadrę i środki na całe pięć lat po zakończeniu projektu.

W kalkulacjach, które widzieliśmy, roczny koszt utrzymania centrum po zakończeniu projektu szacowano na 280–350 tys. zł. Koszty dotyczyły głównie etatów i licencji. Partnerzy planowali dzielić tę kwotę według liczby urządzeń końcowych zgłoszonych do projektu. Lider miał dodatkowo pokrywać koszty koordynacji.

Po zmianie władz jedna z gmin chciała wycofać się z partnerstwa po otrzymaniu pierwszej transzy. W porozumieniu nie określono, kto przejmie jej koszty. Dlatego radzimy zapisać w nim, że gmina wycofująca się w trakcie realizacji projektu albo w pięcioletnim okresie trwałości pokryje proporcjonalną część kosztów już poniesionych przez lidera oraz kosztów utrzymania centrum do końca tego okresu.

Jak obowiązki ustawowe wpływają na harmonogram projektu?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. Podmioty, które 3 kwietnia 2026 r. spełniały ustawowe kryteria podmiotu kluczowego albo ważnego, mają 12 miesięcy na wykonanie obowiązków z rozdziału 3, w tym wdrożenie systemu zarządzania bezpieczeństwem informacji. Jeżeli jednostka spełni te kryteria później, 12 miesięcy liczy się od dnia ich spełnienia. Za realizację obowiązków odpowiada kierownik podmiotu.

Gdy kwota projektu jest już policzona, pokazujemy wójtowi albo staroście, czego ustawa wymaga od niego osobiście.

Starostwo powiatowe jest podmiotem kluczowym bez względu na wielkość. Urząd gminy ma ten status, jeżeli 1 stycznia danego roku zatrudnia na podstawie umów o pracę co najmniej 50 osób w przeliczeniu na pełny wymiar czasu pracy. Do tego przeliczenia wchodzą również pracownicy zatrudnieni na część etatu. Mniejszy urząd gminy co do zasady jest podmiotem ważnym.

Kierownik podmiotu kluczowego albo ważnego odpowiada za wykonanie obowiązków także wtedy, gdy powierzył je innej osobie. Za naruszenia wskazane w ustawie kierownik podmiotu publicznego może zostać ukarany karą do 100% wynagrodzenia obliczanego według zasad ustalania ekwiwalentu za urlop. Jeżeli jednak podmiot podlega ustawie również z tytułu działalności w innym sektorze, limit kary dla kierownika wynosi 300% tak obliczanego wynagrodzenia.

Ustawowe obowiązki zostają po zamknięciu naboru, dlatego LCC przedstawiamy jako stałe narzędzie do ich realizacji.

Co się dzieje po złożeniu wniosku?

O dotacji i o pożyczce decydują różne instytucje i w różnym trybie. W naborze LCC Centrum Projektów Polska Cyfrowa ocenia wnioski według kryteriów z regulaminu i publikuje listę projektów wybranych do dofinansowania, a planowany termin rozstrzygnięcia naboru LCC to pierwszy kwartał 2027 r. Przy pożyczce FBiO decyzję podejmuje BGK po ocenie przedsięwzięcia, zdolności do spłaty i zabezpieczeń.

Na protest samorząd ma 14 dni, liczonych od doręczenia mu rozstrzygnięcia, z którym się nie zgadza. Podstawą jest ustawa z 28 kwietnia 2022 r. o zasadach realizacji zadań finansowanych ze środków europejskich, rozdział 16.

Protest składa się za pośrednictwem CPPC, które ma 14 dni od otrzymania protestu wolnego od braków formalnych na ponowną weryfikację oceny. Ten termin nie biegnie, dopóki wnioskodawca nie usunie z protestu braków, na które wskazało CPPC.

Jeżeli CPPC przekaże protest Instytucji Zarządzającej programem FERC, instytucja ta ma 21 dni od jego otrzymania na rozpatrzenie sprawy, a w uzasadnionych przypadkach termin może wynieść łącznie do 45 dni. Po nieuwzględnieniu protestu przysługuje skarga do wojewódzkiego sądu administracyjnego w terminie 14 dni, a następnie skarga kasacyjna.

Odmowa pożyczki nie uruchamia tej procedury, bo nie jest wyborem projektu w naborze konkurencyjnym. Wnioskodawca może wtedy uzgodnić z BGK inne zabezpieczenia albo zmienić strukturę finansowania.

Najczęstsze pytania o dotację LCC i pożyczkę FBiO