FERC 4.1 — Lokalne Centra Cyberbezpieczeństwa dla samorządów

Pojedyncza gmina rzadko jest w stanie utrzymać zespół bezpieczeństwa działający w trybie ciągłym. Koszt narzędzi klasy SIEM, licencji, monitoringu i dyżurów przekracza możliwości budżetu małego samorządu, a rynek kompetencji jest konkurencyjny. Lokalne Centrum Cyberbezpieczeństwa rozwiązuje ten problem przez współdzielenie zasobów między jednostkami.

Model operacyjny, którego oczekuje ocena

LCC to nie zakup sprzętu, lecz usługa świadczona przez jedną jednostkę na rzecz grupy partnerów. Wniosek musi opisywać:

• Katalog usług — monitorowanie zdarzeń, obsługa incydentów, zarządzanie podatnościami, wsparcie przy wdrażaniu zabezpieczeń, szkolenia i budowanie świadomości.
• Model świadczenia — tryb pracy, czasy reakcji, kanały zgłoszeń, poziomy eskalacji, zakres odpowiedzialności centrum i jednostek obsługiwanych.
• Zasoby — zespół, kompetencje, narzędzia, infrastruktura i sposób jej utrzymania.
• Zasady współpracy — porozumienia partnerskie określające obowiązki obu stron, w tym obowiązki jednostek obsługiwanych: zgłaszanie incydentów, wdrażanie rekomendacji, udostępnianie danych telemetrycznych.
• Trwałość — kto finansuje działanie centrum po zakończeniu projektu i na jakiej podstawie.

Najczęstszy błąd

Projekt skonstruowany jako lista zakupów sprzętu i licencji dla poszczególnych gmin, bez wspólnego modelu operacyjnego. Taki wniosek nie odpowiada celowi działania, nawet jeżeli same zakupy dotyczą cyberbezpieczeństwa. Ocena szuka centrum świadczącego usługi, a nie równoległej modernizacji infrastruktury kilku urzędów.

Zakres projektu

• Utworzenie i wyposażenie wspólnego Lokalnego Centrum Cyberbezpieczeństwa.
• Systemy monitorowania i reagowania na incydenty: zbieranie i korelacja zdarzeń, wykrywanie zagrożeń, obsługa zgłoszeń.
• Sprzęt, oprogramowanie i licencje niezbędne do funkcjonowania centrum oraz do obsługi jednostek partnerskich.
• Usługi wdrożeniowe, integracyjne i konfiguracyjne.
• Audyty bezpieczeństwa, testy podatności i analizy ryzyka dla jednostek objętych wsparciem.
• Szkolenia zespołu centrum oraz pracowników jednostek obsługiwanych.

Każdy zakup musi być powiązany z modelem operacyjnym LCC i z obsługą uczestniczących jednostek samorządu terytorialnego. Sprzęt trafiający do pojedynczej gminy bez związku z usługami centrum bywa kwestionowany.

Poziom wsparcia

Do 100% wydatków kwalifikowanych. To wyjątkowo korzystny parametr, wynikający z publicznego charakteru zadania i braku działalności gospodarczej. Nie zwalnia jednak z obowiązku wykazania racjonalności każdego kosztu i przeprowadzenia postępowań zgodnie z Prawem zamówień publicznych.

Kto może aplikować

Wyłącznie jednostki samorządu terytorialnego realizujące projekt w obowiązkowym partnerstwie. Projekt pojedynczej JST bez partnerów nie spełnia warunku dostępu.

Dokumenty i elementy wniosku

1. Wniosek w systemie LSI prowadzonym przez CPPC.
2. Dokumenty partnerstwa — porozumienie określające zakres usług, podział zadań, odpowiedzialność, zasady finansowania i trwałość centrum.
3. Analiza potrzeb — stan zabezpieczeń jednostek uczestniczących, zidentyfikowane luki, historia incydentów, wynikające z tego priorytety.
4. Model operacyjny centrum — usługi, tryb pracy, czasy reakcji, procedury, zasoby kadrowe.
5. Budżet z uzasadnieniem każdej pozycji i rozeznaniem cenowym.
6. Wskaźniki produktu i rezultatu wraz z metodologią pomiaru i podmiotem odpowiedzialnym za ich raportowanie.
7. Plan trwałości — źródło finansowania działania centrum po zakończeniu projektu, w tym utrzymanie licencji i zespołu.
8. Załączniki wskazane w zasadach naboru, w tym uchwały organów stanowiących jednostek partnerskich.

• Projekt pojedynczej JST bez partnerstwa.
• Zakupy IT bez związku z LCC, cyberbezpieczeństwem i obowiązkami obsługiwanych jednostek — na przykład wymiana stacji roboczych czy rozbudowa serwerowni na potrzeby bieżącej pracy urzędu.
• Koszty bieżącego utrzymania niemające charakteru projektowego.
• Wydatki poniesione z naruszeniem Prawa zamówień publicznych albo zasady konkurencyjności.
• Brak planu trwałości centrum po zakończeniu finansowania.
• Podwójne finansowanie tych samych narzędzi z innych programów, w tym z Cyberbezpiecznego Samorządu.

Wiążąca jest wyłącznie dokumentacja instytucji ogłaszającej nabór: Nabór FERC.04.01-IP.01-003/26 — CPPC.

Firma, grupa i finanse

• Dokumenty rejestrowe (KRS lub CEIDG), umowa albo statut, struktura właścicielska i beneficjenci rzeczywiści.
• Status MŚP wraz z danymi przedsiębiorstw partnerskich i powiązanych, także zagranicznych. Zmiana właścicielska przed podpisaniem umowy potrafi zmienić status i intensywność pomocy.
• Sprawozdania finansowe za wymagane lata, bieżące dane księgowe, zadłużenie, prognozy i analiza płynności.
• Źródła wkładu własnego: środki własne, uchwały, promesa kredytowa lub leasingowa, dopłaty wspólników.
• Rejestr otrzymanej pomocy publicznej i de minimis z trzech lat oraz innych źródeł publicznych finansujących te same koszty.

Specyfika projektu publicznego

• Uchwały organu stanowiącego, dokumenty partnerstwa, porozumienia międzygminne i podział odpowiedzialności między partnerami.
• Analiza potrzeb i diagnoza, z której wynika zakres projektu oraz jego funkcja odpornościowa.
• Wskaźniki produktu i rezultatu wraz z metodą pomiaru i podmiotem odpowiedzialnym za ich utrzymanie.
• Analiza pomocy publicznej dla części działalności gospodarczej i sposób jej wyodrębnienia z projektu.
• Plan trwałości: kto utrzymuje infrastrukturę, z jakich środków i przez jaki okres po zakończeniu projektu.

Zasady horyzontalne i zgodność

• Oświadczenia i opis zgodności z zasadą „nie czyń poważnych szkód" (DNSH), zrównoważonym rozwojem, równością szans i dostępnością.
• Zgodność z Kartą Praw Podstawowych i Konwencją o prawach osób z niepełnosprawnościami.
• Screening sankcyjny dostawców, partnerów i beneficjentów rzeczywistych.
• Potwierdzenie braku działalności wykluczonych z EFRR, GBER albo rozporządzenia de minimis.

Poniżej ryzyka, które najczęściej kosztują wnioskodawców punkty albo całe dofinansowanie, wraz z działaniem zapobiegawczym.

• Projekt jako lista zakupów — zacznij od katalogu usług centrum i modelu operacyjnego; sprzęt i licencje wyprowadź z tych usług.
• Partnerstwo bez zobowiązań jednostek obsługiwanych — porozumienie musi określać także obowiązki gmin: zgłaszanie incydentów, wdrażanie rekomendacji, udostępnianie danych.
• Brak planu utrzymania po projekcie — licencje i zespół wymagają finansowania po zakończeniu dotacji — wskaż źródło i podstawę.
• Podwójne finansowanie z innych programów — zweryfikuj, czy te same narzędzia nie zostały już sfinansowane, na przykład z Cyberbezpiecznego Samorządu.
• Wskaźniki bez właściciela — wskaż jednostkę odpowiedzialną za pomiar i raportowanie każdego wskaźnika w okresie trwałości.

Odpowiedz na poniższe pytania: TAK, NIE albo NIE WIEM. Test nie jest potwierdzeniem kwalifikowalności, ale pokazuje, gdzie leży realne ryzyko projektu.

1. Czy zawiązano partnerstwo obejmujące co najmniej dwie jednostki samorządu terytorialnego?
2. Czy określono, która jednostka będzie prowadziła centrum i odpowiadała za świadczenie usług?
3. Czy istnieje katalog usług, jakie centrum będzie świadczyć na rzecz partnerów?
4. Czy przeprowadzono analizę stanu zabezpieczeń i zidentyfikowano konkretne luki?
5. Czy każda pozycja budżetu wynika z modelu operacyjnego centrum?
6. Czy wskazano źródło finansowania utrzymania centrum po zakończeniu projektu?
7. Czy sprawdzono, że planowane narzędzia nie zostały już sfinansowane z innego programu?
8. Czy przygotowano uchwały i porozumienia wymagane przez zasady naboru?

Przewaga odpowiedzi „TAK" oznacza, że projekt ma podstawy do dalszej kwalifikacji. Każde „NIE WIEM" przy statusie przedsiębiorstwa, lokalizacji, prawach do technologii, finansowaniu albo zakresie naboru wymaga wyjaśnienia przed rozpoczęciem prac nad wnioskiem. Odpowiedź „NIE" przy kryterium obligatoryjnym zwykle blokuje projekt w danym naborze — wtedy szukamy alternatywnego instrumentu.

Dotacja nie kończy się na decyzji o przyznaniu środków. Obowiązki wynikające z umowy trwają latami i to na ich etapie najczęściej dochodzi do korekt finansowych.

Przed podpisaniem umowy

• Potwierdzenie aktualności danych, statusu przedsiębiorstwa, pomocy publicznej i źródeł finansowania.
• Dostarczenie dokumentów rejestrowych, podatkowych, finansowych, oświadczeń i zabezpieczeń wymaganych przez instytucję.
• Aktualizacja harmonogramu, budżetu i modelu finansowego w granicach dopuszczonych wynikiem oceny.
• Weryfikacja braku rozpoczęcia prac i zgodności pierwszych planowanych zamówień z zasadami naboru.

W trakcie realizacji

• Wyodrębniona ewidencja księgowa projektu i prawidłowe opisywanie dokumentów finansowych.
• Stosowanie zasady konkurencyjności, Bazy Konkurencyjności i reguł konfliktu interesów tam, gdzie mają zastosowanie.
• Realizacja zgodnie z zatwierdzonym zakresem — zmiana aktywa, dostawcy, zadania badawczego, partnera, lokalizacji lub terminu wymaga oceny, a często zgody instytucji.
• Monitorowanie wskaźników, kamieni milowych i parametrów technologii; wnioski o płatność i raporty w systemie CST2021.
• Obowiązki informacyjne, dostępność, DNSH, sankcje i archiwizacja dokumentacji.
• Utrzymanie płynności przy refundacyjnym modelu wypłat oraz odrębne śledzenie VAT i kosztów niekwalifikowanych.

Trwałość i rezultaty

• Utrzymanie inwestycji, aktywów i działalności przez wymagany okres — okres trwałości wynikający z umowy o dofinansowanie; centrum musi działać i świadczyć usługi przez cały ten czas, zgodnie z umową i rodzajem pomocy.
• Zakaz zasadniczej modyfikacji wpływającej na charakter, cele lub warunki realizacji projektu.
• Osiągnięcie zadeklarowanych wskaźników: mocy produkcyjnej, przychodów, efektów środowiskowych i pozostałych.
• W projektach B+R — wdrożenie wyników w zadeklarowanej formie i terminie oraz wykonanie zobowiązań do rozpowszechniania, jeżeli były podstawą podwyższonej intensywności.
• Gotowość do kontroli i przechowywanie dokumentacji także po zakończeniu projektu. Nieosiągnięcie wskaźników lub naruszenie trwałości oznacza zwrot części albo całości pomocy.