Już od 3 kwietnia 2026 roku wejdą w życie kluczowe zmiany w Prawie zamówień publicznych, które wprowadzą nowe podstawy do odrzucania ofert ze względu na zagrożenia dla cyberbezpieczeństwa. To odpowiedź na rosnącą skalę cyberataków oraz implementację unijnej dyrektywy NIS 2, mająca na celu wzmocnienie odporności cyfrowej całego sektora publicznego i jego łańcucha dostaw.
Nowelizacja Prawa zamówień publicznych (PZP) stanowi przełom w podejściu do bezpieczeństwa cyfrowego w kontraktach publicznych. Do tej pory kryteria te były często traktowane drugorzędnie. Nadchodzące regulacje, wynikające z konieczności wdrożenia dyrektywy NIS 2 oraz dostosowania krajowej Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC), nałożą na zamawiających obowiązek weryfikacji wykonawców pod kątem potencjalnych ryzyk.
Najważniejszą zmianą będzie wprowadzenie do PZP nowych, obligatoryjnych podstaw do odrzucenia oferty wykonawcy. Zamawiający publiczny będzie musiał to zrobić, jeśli uzna, że oferta stwarza zagrożenie dla bezpieczeństwa narodowego. Ocena będzie dokonywana na podstawie analizy ryzyka, uwzględniającej m.in. powiązania kapitałowe czy osobowe wykonawcy oraz jego podwykonawców.
Regulacje mają na celu uszczelnienie systemu i uniemożliwienie podmiotom wysokiego ryzyka realizacji kluczowych kontraktów, zwłaszcza w obszarze infrastruktury krytycznej.
Eksperci podkreślają, że cyberataki już dawno przestały być problemem wyłącznie prywatnych firm. Ich celem coraz częściej staje się strategiczna infrastruktura państwa oraz administracja publiczna. Piotr Ferszka z SAP Polska zwraca uwagę, że zagrożenia te są elementem współczesnych konfliktów, mającym na celu osłabienie gospodarki i wizerunku państwa.
Systemy IT kontrolują dziś systemy energetyczne, wodociągi, komunikację miejską i inne kluczowe obszary, dlatego ich bezpieczeństwo jest krytyczne dla obrony przed atakami z zewnątrz.
W tym kontekście zabezpieczenie łańcucha dostaw staje się fundamentem odporności całego państwa. Atak na jednego, nawet niewielkiego dostawcę usług IT dla sektora publicznego, może otworzyć drogę do sparaliżowania kluczowych usług dla obywateli.
Choć nowe przepisy są niezbędne, ich wdrożenie może stanowić wyzwanie dla jednostek sektora publicznego, zwłaszcza w obszarach, gdzie procedury przetargowe już dziś są skomplikowane. Przykładem jest ochrona zdrowia, gdzie państwowe i samorządowe placówki medyczne często borykają się z długimi i trudnymi postępowaniami o udzielenie zamówienia.
Konieczność przeprowadzania szczegółowej analizy ryzyka cyberbezpieczeństwa dla każdego oferenta i jego podwykonawców będzie wymagała od zamawiających nowych kompetencji i zasobów. Mimo tych wyzwań, eksperci są zgodni, że jest to krok w dobrym kierunku, który w długoterminowej perspektywie znacząco podniesie poziom cyfrowego bezpieczeństwa Polski.
Zmiany PZP od 3.04.2026 r. – nowe podstawy odrzucenia ofert w związku z cyberbezpieczeństwem, Portal ZP. https://www.portalzp.pl/nowosci/zmiany-pzp-od-3.04.2026-r.-nowe-podstawy-odrzucenia-ofert-w-zwiazku-z-cyberbezpieczenstwem-35646.html
Cyberataki elementem współczesnej wojny. Zagrożone są nie tylko firmy, ale też administracja i infrastruktura krytyczna, Biznes Newseria. https://biznes.newseria.pl/news/cyberataki-elementem,p1614686001
PZP skomplikowane. Przetargi nie pomagają ochronie zdrowia, Prawo.pl. https://www.prawo.pl/biznes/pzp-skomplikowane-przetargi-nie-pomagaja-ochronie-zdrowia,1547753.html
NIS 2 i UKSC w zamówieniach publicznych – cyberbezpieczeństwo dostawców, Lex.pl. https://www.lex.pl/nis-2-i-uksc-w-zamowieniach-publicznych-cyberbezpieczenstwo-dostawcow,49913.html
