„Cyberbezpieczne wodociągi” – wszystko, co trzeba wiedzieć o naborze do konkursu grantowego

Celem programu „Cyberbezpieczne Wodociągi”, finansowanego z Krajowego Planu Odbudowy, jest pomoc w dostosowaniu systemów OT i IT wnioskodawców do dyrektywy NIS2 i w konsekwencji zwiększenie bezpieczeństwa dostaw wody. Do rozdysponowania w ramach naboru jest blisko 330 mln zł na wzmocnienie bezpieczeństwa cyfrowego przedsiębiorstw wodociągowo-kanalizacyjnych. 

Środki z grantu można będzie przeznaczyć na procedury cyberbezpieczeństwa, modernizację sprzętu, oprogramowania oraz szkolenia personelu. Organizowany przez Centrum Projektów Polska Cyfrowa nabór wniosków potrwa co najmniej 30 dni. Wydatki są kwalifikowalne od 1 stycznia 2025 r. do 30 czerwca 2026 r. 

Poniżej publikujemy odpowiedzi na kluczowe pytania dotyczące konkursu.

Q&A „Cyberbezpieczne Wodociągi”

Kto może ubiegać się o grant?

O grant mogą wnioskować: 
•    Przedsiębiorstwa wodociągowo-kanalizacyjne będące operatorami usług kluczowych (ustawa o krajowym systemie cyberbezpieczeństwa). 
•    Spółki prawa handlowego wykonujące zadania użyteczności publicznej (ustawa o gospodarce komunalnej). 
•    Jednostki sektora finansów publicznych (ustawa o finansach publicznych, art. 9 pkt 2–4).
 
Czy granty są pomocą publiczną i wymagają procedury przetargowej zgodnie z Prawem Zamówień Publicznych?

Granty są przyznawane jako pomoc de minimis, a nie pomoc publiczna, więc nie wymagają procedur PZP.

Jakie dokumenty są wymagane jako oświadczenie o pomocy de minimis?

Należy dostarczyć wypełnione oświadczenie zgodnie z Rozporządzeniem Ministra Cyfryzacji z 29 maja 2025 r., w tym zaświadczenia lub oświadczenia (art. 37 ust. 1 pkt 1 ustawy o pomocy publicznej) oraz informacje (art. 37 ust. 1 pkt 2).

Kiedy zostanie opublikowany regulamin i kiedy można składać wnioski?

Regulamin ukaże się w dniu ogłoszenia naboru, wraz z dokumentacją konkursową. Nabór rozpocznie się tego samego dnia.

Czy nabór ma datę zakończenia i co decyduje o wyborze wniosków?

Nabór ma określoną datę i godzinę zakończenia. O wyborze decyduje liczba punktów uzyskanych w ocenie wniosku, a przy równej punktacji – kolejność zgłoszeń.

Jaki jest zakres programu „Cyberbezpieczne Wodociągi”? Czy obejmuje oczyszczalnie ścieków lub sieć kanalizacyjną?

Program wspiera cyberbezpieczeństwo systemów operacyjnych (OT) wyłącznie w zakresie zbiorowego zaopatrzenia w wodę. Nie obejmuje oczyszczalni ścieków, przepompowni ani sieci kanalizacyjnej.

Czy program dotyczy tylko technologii operacyjnych (OT), czy także IT?

Program obejmuje zarówno rozwiązania IT, jak i OT, w tym systemy łączące oba obszary.

Czy można finansować moduły telemetryczne (np. INVENTIA) do komunikacji między obiektami infrastruktury krytycznej?

Program nie finansuje modułów telemetrycznych, ale wspiera systemy poprawiające bezpieczeństwo transmisji danych, np. szyfrowane tunele.

Czy zakup urządzeń podtrzymujących zasilanie (np. UPS) dla systemów komunikacji jest kwalifikowalny?

Tak, program finansuje urządzenia podtrzymujące zasilanie dla systemów IT i OT, w tym komunikacji między nimi, z limitem wydatków określonym w regulaminie.

Czy modernizacja infrastruktury SCADA, w tym zakup serwerów, licencji SCADA lub budowa własnej sieci, jest kwalifikowalna?

Kwalifikowalne są: serwer przesiadkowy, zarządzalne urządzenia sieciowe, systemy zabezpieczenia sieci oraz usługa APN. Nie kwalifikują się: własne serwery SCADA, licencje SCADA ani budowa własnej sieci do łączenia stacji uzdatniania wody (w części pasywnej).

Czy aktualizacja systemów OT/ICS/IIoT jest kwalifikowalna?

Program nie finansuje aktualizacji systemów dziedzinowych OT/ICS/IIoT.

Czy zakup nowych licencji na systemy operacyjne dla komputerów biurowych lub stacji roboczych SCADA jest kwalifikowalny?

Program nie wspiera zakupu licencji na systemy operacyjne ani wymiany stacji roboczych.

Czy zakup systemów sygnalizacji włamania, monitoringu lub instalacji alarmowej dla obiektów (np. stacji SUW) jest kwalifikowalny?

Program nie finansuje systemów bezpieczeństwa fizycznego (np. monitoringu, alarmów), ale wspiera systemy zabezpieczające te instalacje.

Czy rozwiązania techniczne systemów automatyki muszą być zgodne z normami, np. ISO/IEC 62443?

Rozwiązania powinny odpowiadać najlepszym praktykom cyberbezpieczeństwa, ale wybór konkretnych norm nie jest regulowany przez konkurs.

Czy analiza ryzyka jest wymagana do złożenia wniosku?

Analiza ryzyka nie jest obowiązkowa, ale stanowi dobrą praktykę.

Jakie systemy cyberbezpieczeństwa OT są kwalifikowalne?

Kwalifikowalne są: systemy analizy podatności i anomalii w OT, segmentacja sieci OT, systemy zarządzania uprawnieniami, SOC OT, systemy antywirusowe i wykrywania zagrożeń (AV/EDR) dla OT oraz dedykowane systemy tworzenia kopii zapasowych OT.

Czy wymiana starych sterowników OT jest kwalifikowalna?

Program nie finansuje wymiany sterowników OT ze względu na ich wiek, a jedynie systemy cyberbezpieczeństwa OT.

Jakie wymagania muszą spełniać audytorzy przeprowadzający audyty wstępne i końcowe?

Audytorzy muszą spełniać wymagania określone w ustawie o krajowym systemie cyberbezpieczeństwa.

Czy zakup licencji na platformy e-learningowe do szkoleń z cyberświadomości jest kwalifikowalny?

Tak, zakup dostępu do platform e-learningowych do szkoleń z cyberświadomości jest kosztem kwalifikowalnym.

Czy modernizacja serwerowni (roboty budowlane, szafy RACK, klimatyzacja) jest kwalifikowalna?

Program nie finansuje modernizacji infrastruktury serwerowni, ale dopuszcza zakup szaf RACK na potrzeby systemów bezpieczeństwa.

Czy wsparcie techniczne dla oprogramowania (np. na 5 lat) jest kwalifikowalne?

Tak, wsparcie techniczne jest kwalifikowalne proporcjonalnie do okresu trwania projektu.

Czy należy spełniać wymogi Ustawy o Krajowym Systemie Cyberbezpieczeństwa lub dyrektywy NIS2?

Podmioty muszą przestrzegać przepisów niezależnie od regulaminu konkursu.

Jak liczony jest limit pomocy de minimis?

Pomoc uzyskana przed złożeniem wniosku liczona jest po kursie z dnia jej przyznania. W naborze „Cyberbezpieczne Wodociągi” pomoc liczona jest jako wnioskowana na dzień złożenia wniosku, z limitem ustawowym na dzień podpisania umowy.

Czy pomoc de minimis obejmuje podmioty powiązane lub nadrzędne (np. gminę)?

Wlicza się pomoc uzyskana przez podmioty powiązane, zgodnie z definicją „jednego przedsiębiorstwa” (art. 2 ust. 2 Rozporządzenia UE 2023/2831). Przedsiębiorstwa kontrolowane przez ten sam organ publiczny nie są automatycznie powiązane, jeśli mają niezależne uprawnienia decyzyjne.

Jakie wymagania dotyczą wydatków poniesionych po 1 stycznia 2025 r., ale przed ogłoszeniem naboru?

Wydatki te muszą być udokumentowane zgodnie z regulaminem, umową i zasadami kwalifikowalności, tak jak wydatki poniesione w trakcie projektu.

mam/