Krajobraz cyberzagrożeń 2026: raport dla polskich firm w erze NIS2

Polska jest dziś najczęściej atakowanym cyfrowo państwem Unii Europejskiej — tak swoją sytuację opisują polscy decydenci, a dane to potwierdzają. CERT Polska zarejestrował w 2025 r. rekordowe 260 783 incydenty (wzrost o 152% rok do roku), a państwowi aktorzy powiązani z Rosją coraz częściej uderzają w infrastrukturę krytyczną. Jednocześnie 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) wdrażająca dyrektywę NIS2, która nakłada na dziesiątki tysięcy firm twarde obowiązki i osobistą odpowiedzialność zarządu.

Ten raport porządkuje krajobraz cyberzagrożeń 2026 dla polskich firm: pokazuje skalę w liczbach, trzy najgroźniejsze wektory ataków, sytuację w infrastrukturze krytycznej oraz to, od czego realnie zacząć przygotowania.

Uwaga metodologiczna. Poniżej zestawiamy dane z różnych źródeł (CERT Polska/NASK, ENISA, Verizon DBIR, CrowdStrike, Gartner, Check Point, Recorded Future). Część wskaźników to porównania okresów lub projekcje, a nie stany faktyczne — zaznaczamy to przy konkretnych liczbach. Atrybucje ataków podajemy zgodnie z tym, jak różnią się między źródłami.

1. Skala zagrożeń w liczbach

Polska

Według rocznego raportu CERT Polska (NASK) w 2025 r. zespół otrzymał 658 320 zgłoszeń (wzrost o 10% r/r) i zarejestrował 260 783 unikalne incydenty — wzrost o 152% względem 103 449 incydentów w 2024 r. To około 700 obsłużonych incydentów dziennie.

Strukturę zagrożeń zdominowały:

• oszustwa komputerowe — 97% wszystkich zdarzeń (phishing, oszustwa inwestycyjne), wzrost o 158% r/r;
• szkodliwe oprogramowanie — 3 438 incydentów (+81% r/r), w tym 179 ataków ransomware (+21% r/r);
• podatne usługi — 1 732 incydenty.

Warto czytać te dane z kontekstem: kierownik CERT Polska podkreślał, że wzrost o 152% wynika częściowo z lepszej detekcji (proaktywne wykrywanie infrastruktury przestępców), a nie wyłącznie z większej liczby ataków — sama liczba zgłoszeń wzrosła o 10%. Lista Ostrzeżeń CERT zablokowała w 2025 r. ok. 140 mln prób wejścia na złośliwe strony; dodano blisko 250 tys. domen (+166% r/r).

Spadek poważnych incydentów w sektorze finansowym (o 68%) CERT wiąże z wdrożeniem rozporządzenia DORA i przeniesieniem raportowania do CSIRT KNF. Incydenty w podmiotach publicznych wzrosły jednak o 48%.

Europa

ENISA Threat Landscape 2025 (analiza 4 875 incydentów od lipca 2024 do czerwca 2025) wskazuje, że 79,4% incydentów było motywowanych ideologicznie (głównie haktywistyczne DDoS), 13,4% finansowo, a 7,2% wiązało się z cyberszpiegostwem. Phishing pozostaje dominującym wektorem wejścia (ok. 60% przypadków), a administracja publiczna była najczęstszym celem (38,2% incydentów). Co istotne dla regulacji — 53,7% atakowanych organizacji to podmioty „kluczowe” w rozumieniu prawa UE.

Świat

Verizon Data Breach Investigations Report 2025 (analiza 22 052 incydentów i 12 195 naruszeń) potwierdza globalne trendy: ransomware obecny w 44% naruszeń (wzrost o 32%), skradzione poświadczenia to główny wektor wejścia (22%), eksploatacja podatności — 20%. Udział stron trzecich w naruszeniach podwoił się z 15% do 30%. Mediana zapłaconego okupu spadła do 115 tys. USD (ze 150 tys. rok wcześniej), a 64% ofiar odmówiło zapłaty. Czynnik ludzki był obecny w około 60% naruszeń.

2. Trzy najgroźniejsze wektory 2026

Z powyższych danych wyłaniają się trzy wektory, które definiują rok 2026.

Ransomware — groźniejszy mimo fragmentacji

Ekosystem ransomware przeszedł głęboką rekonfigurację. Po operacji Cronos (rozbicie LockBit) i upadku RansomHub prym wiodą Qilin (znany jako Agenda) i Akira. Qilin był najaktywniejszą grupą 2025 r. — przekroczył 1 000 ofiar na swojej witrynie wycieków. Według wspólnego advisory FBI/CISA Akira do końca września 2025 r. miała pozyskać szacunkowo 244,17 mln USD. Standardem stało się podwójne wymuszenie (kradzież danych przed szyfrowaniem).

W Polsce CERT odnotował 179 ataków ransomware (firmy — 129, instytucje publiczne — 30, osoby prywatne — 20). Sztandarowym przykładem skutków pozostaje atak grupy RA World na ALAB Laboratoria (listopad 2023) — największy wyciek danych medycznych w historii Polski. Więcej o mechanizmie i obronie: czym jest ransomware i jak się przed nim ochronić oraz cybertrendy ransomware.

Ataki wspierane przez AI

AI stała się definiującym elementem krajobrazu zagrożeń. Według ENISA ponad 80% obserwowanych kampanii socjotechnicznych wykorzystywało na początku 2025 r. treści generowane lub wzmacniane przez AI. Deepfake’i, klonowanie głosu i phishing generowany przez AI obniżają próg wejścia, a osobną kategorią stają się ataki na same systemy AI (prompt injection, zatruwanie danych). Temu zagrożeniu poświęcamy osobny artykuł: deepfake, vishing i CEO fraud — jak chronić firmę przed oszustwami z AI.

Kompromitacje łańcucha dostaw

Udział stron trzecich w naruszeniach podwoił się z 15% do 30%. Najgłośniejszym przypadkiem 2025/2026 był samoreplikujący się robak Shai-Hulud w ekosystemie npm, a atak na Collins Aerospace pokazał kaskadowy charakter takich incydentów (paraliż odpraw na europejskich lotniskach). Bezpieczeństwo łańcucha dostaw to jeden z filarów NIS2. Zobacz: ataki na łańcuch dostaw oprogramowania oraz audyt łańcucha dostaw w NIS2.

3. Infrastruktura krytyczna i OT pod presją

Najpoważniejszym incydentem 2025 r. był skoordynowany atak na polską energetykę 29–30 grudnia 2025 r. — na co najmniej 30 farm OZE oraz elektrociepłownię obsługującą około 500 tys. odbiorców. Napastnicy użyli wipera (oprogramowania niszczącego dane), a wektorem wejścia był brak MFA na bramach VPN. Atrybucja różni się między źródłami: ESET wskazał grupę Sandworm (GRU), CERT Polska — nakładanie się infrastruktury z klastrem Static Tundra/Berserk Bear (powiązanym z FSB), bez jednoznacznego przypisania. Analizę tego incydentu prowadzimy osobno: DynoWiper i atak na polską energetykę — wiper kontra ransomware.

Równolegle odnotowano ataki na sektor wodno-kanalizacyjny (m.in. dostęp do systemów SCADA przez wystawione do internetu interfejsy i słabe hasła). Według ENISA zagrożenia OT to 18,2% wszystkich kategorii. To podkreśla, dlaczego segmentacja IT/OT i odcięcie interfejsów zarządzających od internetu są dziś priorytetem — patrz audyt bezpieczeństwa OT w przemyśle oraz backup i odtwarzanie OT/SCADA/PLC.

4. Pozostałe istotne zagrożenia

• DDoS i haktywizm prorosyjski. Najaktywniejszym haktywistą atakującym Polskę pozostaje grupa NoName057(16) (DDoS na banki, GPW, sektor transportu). Globalnie Cloudflare zablokował w 2025 r. 47,1 mln ataków DDoS (+121% r/r). Zobacz: czym jest atak DDoS i ochrona anty-DDoS.
• Infostealery i kradzież sesji. Według Recorded Future/Flashpoint w 2025 r. infostealery zainfekowały 11,1 mln maszyn i wyprodukowały 3,3 mld skradzionych poświadczeń. To rosnący, niedoceniany wektor, który omija nawet MFA poprzez kradzież ciasteczek i tokenów — opisujemy go w artykule infostealery i kradzież sesji.
• APT. CERT Polska odnotował nasilenie ataków grup APT wymierzonych w polskie instytucje, firmy i osoby związane z polityką, administracją i nauką. Zobacz: czym są ataki APT oraz ataki APT na infrastrukturę energetyczną.

5. Kontekst regulacyjny: NIS2 i nowelizacja ustawy o KSC

Dyrektywa NIS2 (UE 2022/2555) weszła w życie 16 stycznia 2023 r.; termin transpozycji minął 17 października 2024 r. Polska wdrożyła ją z opóźnieniem: nowelizacja ustawy o KSC (ustawa z 23 stycznia 2026 r.) została opublikowana 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r. po miesięcznym vacatio legis.

• Zakres podmiotowy. Ustawa rozszerza zakres z kilkuset operatorów usług kluczowych do około 38 tys. podmiotów (szacunek Ministerstwa Cyfryzacji; inne źródła podają ~42 tys.). Podmioty dzielą się na kluczowe (zwykle >250 pracowników lub >50 mln euro obrotu) i ważne (50–249 pracowników, obrót 10–50 mln euro). Istotne: dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) podlegają ustawie już od progu małego przedsiębiorcy.
• Obowiązki. System zarządzania bezpieczeństwem informacji (SZBI), zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw, raportowanie incydentów oraz osobista odpowiedzialność kierownictwa i obowiązkowe szkolenia zarządu. Raportowanie incydentu poważnego (system S46): wczesne ostrzeżenie w ciągu 24h od wykrycia, zgłoszenie w ciągu 72h, sprawozdanie końcowe w ciągu miesiąca.
• Terminy. 6 miesięcy na wpis do wykazu podmiotów (do 3 października 2026), 12 miesięcy na wdrożenie SZBI (do 3 kwietnia 2027), 24 miesiące na pierwszy audyt podmiotu kluczowego (do 3 kwietnia 2028). Kary administracyjne mają nie być nakładane przez pierwsze 2 lata (do 3 kwietnia 2028).
• Kary. Wg dostępnych analiz: podmiot kluczowy — do 10 mln euro lub 2% przychodu, podmiot ważny — do 7 mln euro lub 1,4% przychodu, kierownik podmiotu — kara powiązana z wynagrodzeniem. Dokładne brzmienie i kwoty należy zweryfikować z tekstem ustawy (Dz.U. 2026).

Szczegółowo omawiamy to w artykułach: nowelizacja KSC/NIS2 2026 — co oznacza dla firm, podmiot kluczowy czy ważny — różnice, obowiązki, kary oraz czy moja firma podlega NIS2/KSC — test samoidentyfikacji.

6. Od czego zacząć — priorytety na 2026

Łącząc krajobraz zagrożeń z wymogami regulacji, kolejność działań jest dość jednoznaczna:

1. Ustal, czy podlegasz pod KSC/NIS2 — uwzględnij wszystkie kody PKD, nie tylko działalność przeważającą, i złóż wniosek o wpis do wykazu w terminie 6 miesięcy. MSSP — pamiętaj o obniżonym progu. Pomoże audyt gotowości KSC/NIS2 — przewodnik CISO.
2. Wdróż phishing-resistant MFA na wszystkich bramach VPN, urządzeniach brzegowych i kontach uprzywilejowanych — brak MFA na VPN był wektorem ataku na polską energetykę.
3. Zweryfikuj ekspozycję OT/ICS — odetnij interfejsy zarządzające SCADA/HMI od internetu, wprowadź segmentację IT/OT, sprawdź widoczność urządzeń w wyszukiwarkach typu Shodan.
4. Wdróż zarząd w jego nową, osobistą odpowiedzialność — przeprowadź obowiązkowe szkolenie kierownictwa i przetestuj proces raportowania pod kątem terminu 24h.
5. Wdróż niezmienne (immutable), offline’owe kopie zapasowe i regularnie testuj odtwarzanie — to kluczowa obrona przed ransomware i wiperami.
6. Wprowadź due diligence dostawców (MSP/MSSP/SaaS) i zapisy umowne dot. bezpieczeństwa łańcucha dostaw; pinuj i weryfikuj zależności open source (SBOM, sygnatury).

Podsumowanie

Rok 2026 łączy dwa trendy, które wzajemnie się wzmacniają: bezprecedensową skalę i zaawansowanie ataków (ransomware, AI, łańcuch dostaw, wipery w infrastrukturze krytycznej) oraz twarde wymogi regulacyjne NIS2/KSC z osobistą odpowiedzialnością zarządu. Dla polskich firm to nie wybór „albo–albo”: zgodność z regulacją i realna odporność operacyjna to dwie strony tej samej monety.

Powyższy przegląd ma charakter informacyjny. Interpretacja przepisów KSC/NIS2 zależy od profilu firmy, a dane liczbowe pochodzą z różnych raportów branżowych. Jeśli chcesz ocenić, czy Twoja organizacja podlega regulacji i jak domknąć luki w odporności, zespół nFlo przeprowadzi audyt gotowości i pomoże ułożyć priorytety wdrożenia.

Źródła i materiały referencyjne

• CERT Polska (NASK) — raport roczny o stanie bezpieczeństwa cyberprzestrzeni RP 2025
• ENISA Threat Landscape 2025
• Verizon Data Breach Investigations Report (DBIR) 2025
• Check Point Research; CrowdStrike 2025 Global Threat Report; Recorded Future / Flashpoint
• Ustawa o krajowym systemie cyberbezpieczeństwa (nowelizacja) — Dz.U. 2026