MDM w jednostkach samorządu terytorialnego: co mówi prawo

Od 3 kwietnia 2026 roku obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża unijną dyrektywę NIS2. Jednostki samorządu terytorialnego nie są w tej ustawie nowością. Ustawa z 2018 roku (Dz.U. 2018 poz. 1560) już traktowała je jako podmioty publiczne - art. 4 pkt 7 obejmował jednostki sektora finansów publicznych z art. 9 ustawy o finansach publicznych, do których należy też samorząd terytorialny, a obowiązki dla nich wyznaczały art. 21-22 w pierwotnym brzmieniu. Nowość z 2026 roku jest inna: część JST dostaje wyższy status podmiotu kluczowego, a wraz z nim pełny, znacznie surowszy reżim obowiązków z rozdziału 3 ustawy. Wyjaśniamy, które jednostki ten wyższy status obejmuje, jak samorząd trafia do wykazu podmiotów i jak wybrać MDM według kryteriów, bez rankingu marek.

---

Czym jest MDM i dlaczego dotyczy urzędu, nie tylko firmy

MDM (Mobile Device Management, zarządzanie urządzeniami mobilnymi) to klasa oprogramowania, która pozwala administratorowi IT centralnie konfigurować, monitorować i w razie potrzeby zdalnie wyczyścić telefony i tablety używane do pracy. W urzędzie na takie urządzenia trafiają dane osobowe mieszkańców, numery PESEL i dostęp do systemów dziedzinowych. Smartfon inspektora terenowego czy pracownika ośrodka pomocy społecznej opuszcza budynek urzędu równie często jak jego prywatny telefon.

Cykl życia urządzenia w takim modelu ma cztery powtarzalne etapy. Rejestracja w systemie (enrollment). Konfiguracja zgodna z polityką bezpieczeństwa. Bieżące monitorowanie i egzekwowanie tej polityki. Na końcu wycofanie i zdalne wyczyszczenie danych, gdy sprzęt trafia do wymiany, zostaje zgubiony albo pracownik odchodzi. Każdy etap to osobny moment, w którym urząd może stracić kontrolę nad danymi.

Skala zjawiska w polskiej administracji samorządowej jest już dziś większa, niż sugerowałaby intuicja. Według danych GUS za 2025 rok 90,0% jednostek administracji samorządowej wyposażało pracowników w urządzenia przenośne z mobilnym dostępem do internetu w celach służbowych. 23,4% pracowników administracji samorządowej było wyposażonych w taki sprzęt. To dwie różne miary. Pierwsza mówi, że niemal każdy urząd ma choć jedno takie urządzenie w obiegu. Druga - że korzysta z nich blisko co czwarty pracownik, nie tylko kierownictwo i informatycy.

Różnica między firmą a urzędem nie leży w technologii. Leży w tym, że urząd nie wybiera, czy chce podlegać przepisom o cyberbezpieczeństwie i ochronie danych. Podlega im z mocy prawa, niezależnie od wielkości działu IT. Poniżej pokazujemy, co dokładnie z tego wynika i gdzie w tych przepisach mieści się MDM - jako jedno z możliwych narzędzi, nie jako odrębny obowiązek.

Co zmieniła nowelizacja ustawy o KSC dla jednostek samorządu

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) została ogłoszona 2 marca 2026 roku. Weszła w życie miesiąc później, 3 kwietnia 2026 roku. Podstawa jest prosta: jej własny art. 49 mówi, że "ustawa wchodzi w życie po upływie miesiąca od dnia ogłoszenia".

Załącznik nr 1 do znowelizowanej ustawy, w sektorze "Podmioty publiczne", wprost wymienia jednostki samorządu terytorialnego jako podmioty kluczowe. To najwyższa kategoria objęta reżimem. Nie wszystkie JST trafiają tam na tych samych zasadach:

• samorząd województwa - jednostki budżetowe i zakłady budżetowe, z sześcioma wyłączeniami: jednostek oświatowych, jednostek wspierania rodziny i pieczy zastępczej oraz jednostek pomocy społecznej poza regionalnymi ośrodkami polityki społecznej. Wyłączone są też wojewódzkie urzędy pracy, parki krajobrazowe oraz jednostki obsługujące wspólną obsługę powyższych;
• samorząd powiatu - starostwo powiatowe, bez żadnego progu ani wyłączenia;
• samorząd gminy - urząd gminy, ale tylko wtedy, gdy na dzień 1 stycznia danego roku zatrudnia w przeliczeniu na pełny wymiar czasu pracy, na podstawie umowy o pracę, co najmniej 50 osób.

Ten trzeci punkt ma praktyczne znaczenie dla mniejszych gmin. Urząd gminy poniżej progu 50 etatów nie jest podmiotem kluczowym. Ustawa obejmuje go jednak jako podmiot ważny. Jest samorządową jednostką budżetową, która realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 i załącznik nr 2, sektor "Podmioty publiczne"). Jego system zarządzania bezpieczeństwem informacji ma spełniać wymogi załącznika nr 4 (art. 8 ust. 3). Obowiązują go też KRI i RODO.

Dla podmiotów kluczowych i ważnych ustawa rozkłada obowiązki w czasie. Pełną realizację obowiązków z rozdziału 3 trzeba zapewnić w terminie 12 miesięcy od wejścia w życie nowelizacji - do 3 kwietnia 2027 roku (art. 33 ust. 1). Pierwszy audyt bezpieczeństwa podmiotu kluczowego ma dłuższy termin. To 24 miesiące, czyli do 3 kwietnia 2028 roku (art. 33 ust. 2). Większość kar pieniężnych (art. 73 ust. 1-4, art. 73a-73c i art. 76b) może zostać nałożona najwcześniej po upływie dwóch lat od wejścia w życie ustawy (art. 35). To odroczenie nie obejmuje kary z art. 73 ust. 5.

Częsty błąd w nieformalnych zestawieniach to przypisanie terminu 3 października 2026 roku samej ustawie. To nieprawda. Sama ustawa tej daty nie zawiera. Art. 34 ust. 3 pkt 1 nowelizacji zobowiązuje ministra właściwego do spraw informatyzacji do ogłoszenia odrębnego harmonogramu w jego dzienniku urzędowym. Minister Cyfryzacji zrobił to komunikatem z 8 kwietnia 2026 roku (Dz. Urz. MC 2026 poz. 7). Podmioty, które w dniu wejścia w życie ustawy spełniają przesłanki uznania za podmiot kluczowy lub ważny, składają wnioski o wpis do wykazu w terminie od 7 maja do 3 października 2026 roku. Wyjątkiem są podmioty wpisywane z urzędu - one tego wniosku nie składają. Dotyczy to jednostek samorządu: podmioty publiczne minister wpisuje do wykazu z urzędu, na podstawie danych z rejestrów publicznych (art. 7a ust. 2 pkt 3 ustawy o KSC). Jednostka dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących danych, na co ma sześć miesięcy od doręczenia wezwania, pod rygorem kary pieniężnej (art. 7b ust. 1 i 2).

Dla najmniejszych gmin, którym nowelizacja nie zapewnia własnego działu cyberbezpieczeństwa, ustawa przewiduje wentyl bezpieczeństwa. Art. 16e ust. 5-9 pozwala jednostce samorządu terytorialnego zapewnić wspólną obsługę tych obowiązków. Można też zawrzeć porozumienie o powierzeniu ich realizacji innej jednostce samorządu, na zasadach analogicznych do znanej już wspólnej obsługi administracyjnej między gminami i powiatami.

Gdzie w tych przepisach mieści się MDM

Żaden z przywołanych aktów nie każe urzędowi kupić oprogramowanie klasy MDM. To istotne rozróżnienie - w nieformalnych materiałach o temacie często się je zaciera. Art. 8 ust. 1 znowelizowanej ustawy o KSC nakłada na podmiot kluczowy obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji. Ma być proporcjonalny do oszacowanego ryzyka. Obejmuje między innymi bezpieczeństwo fizyczne i środowiskowe z kontrolą dostępu oraz bezpieczeństwo zasobów ludzkich. To przepis celowy, nie technologiczny. Nie wskazuje narzędzia, tylko efekt.

Ustawodawca konkretyzuje ten sam kierunek w załączniku nr 4. Formalnie wiąże on podmiot ważny będący podmiotem publicznym (art. 8 ust. 3), ale dobrze pokazuje, jak te ogólne wymogi wyglądają po przełożeniu na język kontroli. Pkt 2 wymaga korzystania z mechanizmów kontroli instalacji produktów ICT "na urządzeniach, w tym na urządzeniach mobilnych". Pkt 3 wymaga ochrony przed kradzieżą i nieuprawnionym dostępem. Pkt 4-7 dopuszczają do informacji wyłącznie osoby z odpowiednimi uprawnieniami i każą bezzwłocznie te uprawnienia cofać. Pkt 8 każe ustanowić zasady bezpiecznej pracy mobilnej i zdalnej.

Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773) idzie w tym samym kierunku. Dotyczy wszystkich podmiotów realizujących zadania publiczne, niezależnie od tego, czy są podmiotem kluczowym w rozumieniu KSC. Jego § 19 ust. 2 pkt 2 wymaga inwentaryzacji sprzętu wraz z jego konfiguracją. Punkt 8 tego samego ustępu nakazuje "ustanowienie podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość". Znowu: efekt, nie narzędzie.

Jeden szczegół wart odnotowania dla działów IT śledzących zmiany w tym obszarze. Ustawa z dnia 25 lipca 2025 r. o zmianie ustawy o informatyzacji (Dz.U. 2025 poz. 1158) nie uchyla rozporządzenia o Krajowych Ramach Interoperacyjności wprost. Zmienia upoważnienie z art. 18 ustawy o informatyzacji, na którym KRI zostało wydane (art. 1 pkt 19). Ta zmiana wchodzi w życie po 18 miesiącach od ogłoszenia ustawy, czyli od 22 sierpnia 2025 roku (art. 17). Do tego czasu art. 15 utrzymuje dotychczasowe przepisy wykonawcze, a baza ELI Sejmu oznacza rozporządzenie KRI jako uchylone z dniem 23 lutego 2027 roku. Dokumentację przygotowywaną na dalszy okres trzeba więc porównać z nowym rozporządzeniem.

Wniosek praktyczny jest prosty. Urząd, który wdroży MDM, ma gotowy, sprawdzalny sposób udokumentowania spełnienia tych wymogów przy audycie. Urząd, który tego nie zrobi, wciąż może je spełnić - ręcznymi procedurami, rejestrami przekazania sprzętu, regularnymi przeglądami. Trudniej mu będzie to jednak udowodnić przy niewielkim zespole IT i rosnącej liczbie urządzeń w terenie.

BYOD, CYOD, COPE, COBO: który model pasuje do urzędu

Zanim urząd zacznie porównywać konkretne produkty, musi rozstrzygnąć bardziej podstawowe pytanie: czyje to urządzenie i czy wolno na nim coś prywatnego. Poniższy podział trzyma się terminologii amerykańskiego NIST z wytycznych SP 800-124 wydanie 2 (maj 2023), rozdział 5.1.3. Skrót CYOD bywa używany niejednolicie, dlatego trzymamy się definicji NIST.

Po stronie urządzeń należących do pracownika NIST wymienia dwa modele. BYOD (Bring Your Own Device, przynieś własne urządzenie) - pracownik sam kupuje i wybiera dowolny sprzęt. CYOD (Choose Your Own Device, wybierz własne urządzenie) - urządzenie wciąż jest własnością pracownika, ale model musi pochodzić z listy zatwierdzonej przez urząd.

Po stronie urządzeń należących do urzędu NIST rozróżnia dwa dalsze modele. COPE (Corporate-Owned, Personally Enabled) - urząd jest właścicielem i w pełni konfiguruje sprzęt, ale dopuszcza ograniczone użycie prywatne. Drugi wariant sam NIST opisuje jako "Strict Enterprise Usage" (ścisłe użycie służbowe): urządzenie należące do urzędu, wyłącznie do celów służbowych, bez wyjątków. W polskiej i branżowej praktyce ten drugi wariant nazywa się zwykle COBO (Corporate-Owned, Business Only) - choć sam NIST tego skrótu nie używa.

Dla wąskiej kategorii stanowisk stosuje się jeszcze bardziej restrykcyjny wariant. Terminale do samoobsługi mieszkańców, tablety do jednej dedykowanej aplikacji w terenie - to domena COSU (Corporate-Owned, Single-Use). Urządzenie jest tam zablokowane do jednej funkcji i nie pozwala na nic poza nią.

Wybór modelu BYOD ma dla urzędu konsekwencję, o której łatwo zapomnieć poza samym bezpieczeństwem danych. Jeśli pracownik używa prywatnego sprzętu w ramach pracy zdalnej, może to wynikać z porozumienia stron (art. 67²⁴ § 2 Kodeksu pracy). Pracownikowi przysługuje wtedy ekwiwalent pieniężny albo ryczałt (art. 67²⁴ § 3). Sytuacja odwraca się, gdy urząd powierza pracownikowi sprzęt w modelu COPE albo w modelu wyłącznie służbowym. Wtedy art. 67²⁰ § 6 pkt 8 Kodeksu pracy wymaga określenia zasad instalacji, inwentaryzacji, konserwacji i aktualizacji oprogramowania oraz serwisu tego sprzętu. Art. 67²⁶ § 1 dokłada obowiązek opisania procedur ochrony danych na urządzeniu. Te trzy przepisy w praktyce opisują dokładnie te same czynności, które realizuje MDM - tylko z perspektywy prawa pracy, nie cyberbezpieczeństwa (tekst jednolity Kodeksu pracy: Dz.U. 2025 poz. 277, z uwzględnieniem zmian ogłoszonych po tej dacie).

Zamówienie na MDM a Prawo zamówień publicznych

Jednostka samorządu terytorialnego jest zamawiającym publicznym. Zakup licencji MDM podlega więc Prawu zamówień publicznych, gdy wartość zamówienia jest równa lub przekracza próg krajowy. Ten próg to 170 000 złotych, obowiązujący od 1 stycznia 2026 roku (art. 2 ust. 1 pkt 1 ustawy - Prawo zamówień publicznych). Poniżej tego progu ustawa formalnie nie wiąże. Wewnętrzny regulamin udzielania zamówień w urzędzie zwykle i tak narzuca podobną dyscyplinę opisu przedmiotu zamówienia.

Jest jeszcze drugi próg, o którym przy zakupie oprogramowania łatwo zapomnieć. JST jest zamawiającym sektora publicznego niebędącym zamawiającym centralnym. Przy dostawach i usługach obowiązuje ją więc wyższy, unijny próg: 216 000 euro, czyli 930 960 złotych na lata 2026-2027. Powyżej tej kwoty zamówienie trzeba dodatkowo opublikować zgodnie z procedurami unijnymi, nie tylko krajowymi. Dla pojedynczego wdrożenia MDM w jednej gminie czy powiecie to wciąż wysoki pułap. Przy wspólnym zamówieniu kilku jednostek samorządu - na przykład w ramach porozumienia opisanego niżej - łatwiej go przekroczyć, niż mogłoby się wydawać.

Art. 99 tej ustawy ma znaczenie praktyczne dla samego sposobu pisania specyfikacji. Ustęp 1 wymaga opisu jednoznacznego i wyczerpującego, za pomocą dostatecznie dokładnych określeń. Ustęp 4 zakazuje opisywania przedmiotu zamówienia przez wskazanie znaków towarowych, patentów lub pochodzenia, jeśli mogłoby to uprzywilejować albo wyeliminować część wykonawców. Innymi słowy: specyfikacja "musi obsługiwać [nazwa konkretnego produktu]" jest wadliwa z mocy prawa. Ustęp 5 dopuszcza wyjątek. Wskazanie marki jest możliwe tylko wtedy, gdy zamawiający nie potrafi opisać przedmiotu wystarczająco precyzyjnie inaczej. Musi wtedy dopisać zastrzeżenie "lub równoważny" oraz kryteria równoważności z ustępu 6.

W praktyce oznacza to, że specyfikacja zamówienia na MDM powinna opisywać rozwiązanie kryteriami, nie nazwą producenta. Obsługę programów rejestracji urządzeń dla organizacji oferowanych przez twórców systemów operacyjnych. Zgodność z wymogami systemu zarządzania bezpieczeństwem informacji z art. 8 ustawy o KSC. Model licencjonowania, lokalizację przetwarzania danych, integrację z istniejącym w urzędzie katalogiem tożsamości. Taki opis jest jednocześnie zgodny z prawem i łatwiejszy do porównania między ofertami niż lista nazw produktów.

RODO a dane na urządzeniu mobilnym urzędnika

RODO nakłada na administratora danych obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, zapewniających poziom bezpieczeństwa odpowiadający ryzyku (art. 24 i art. 32). Urząd gminy, powiatu czy urzędu marszałkowskiego jest administratorem danych mieszkańców. Ten obowiązek dotyczy go więc wprost. Art. 5 ust. 1 lit. f formułuje to jako zasadę integralności i poufności: dane muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem.

Telefon czy tablet z dostępem do systemu dziedzinowego z numerami PESEL to z punktu widzenia RODO taki sam element infrastruktury przetwarzania jak serwer w urzędzie. Różnica jest jedna. Łatwiej go zgubić albo ukraść. RODO nie mówi, jakim narzędziem to ryzyko ograniczyć - tak samo jak ustawa o KSC. Mówi tylko, że brak środka adekwatnego do ryzyka jest naruszeniem obowiązku administratora, niezależnie od tego, czy do incydentu w ogóle doszło. Więcej o samych podstawach rozporządzenia pisaliśmy przy okazji jego wdrożenia w artykule o zmianach w ochronie danych osobowych. Część z opisanych tam obowiązków opiera się na dokładnie tej samej logice oceny ryzyka, którą dziś stosuje się też do floty urządzeń mobilnych.

Od czego zacząć wdrożenie

Wdrożenie zaczyna się od inwentaryzacji, nie od zakupu. Urząd musi wiedzieć, ile ma urządzeń mobilnych w użyciu, kto ma na nich dostęp do jakich systemów i które są własnością pracownika, a które urzędu. Bez tego nie da się ani wybrać modelu własności, ani opisać przedmiotu zamówienia zgodnie z art. 99 Pzp.

Drugim krokiem jest polityka, dopiero trzecim narzędzie. Wybór między BYOD, CYOD, COPE i COBO powinien zapaść przed rozpoczęciem postępowania zakupowego. Od niego zależy zakres funkcji, jakich specyfikacja w ogóle będzie wymagać. Urząd, który zdecyduje się na COBO dla stanowisk z dostępem do PESEL, potrzebuje innych funkcji niż urząd, który dopuszcza CYOD dla większości pracowników biurowych.

Pilotaż na jednej jednostce organizacyjnej, zanim rozwiązanie trafi do całego urzędu, pozwala wychwycić problemy z konkretnymi aplikacjami dziedzinowymi, zanim staną się problemem dla stu użytkowników naraz. Dla mniejszych gmin, którym własny etat administratora MDM się nie opłaca, art. 16e ust. 5-9 ustawy o KSC przewiduje dwa rozwiązania. To wspólna obsługa tych obowiązków albo porozumienie z inną jednostką samorządu, które przejmie realizację technicznej strony sprawy.

Jeden krok formalny bywa pomijany, a potrafi zatrzymać wdrożenie w połowie. Funkcje MDM, które śledzą lokalizację urządzenia czy historię instalacji aplikacji, są w rozumieniu Kodeksu pracy "inną formą monitoringu" (art. 22³ § 4). Zanim taki monitoring ruszy, trzeba go opisać w układzie zbiorowym, w regulaminie pracy albo w obwieszczeniu. Pracowników trzeba o nim poinformować z dwutygodniowym wyprzedzeniem przed uruchomieniem (art. 22² § 6-7 w związku z art. 22³ § 3 i 4). Pominięcie tego trybu jest naruszeniem prawa pracy - niezależnie od tego, jak dobrze uzasadnione jest to względami bezpieczeństwa.

Ten sam mechanizm, czyli zamiana wymogu prawnego w sprawdzalną i powtarzalną praktykę, stoi za przeglądem bezpieczeństwa i zgodności. Tam przedmiotem jest kod, architektura i CI/CD zespołów wydających oprogramowanie, a nie flota urządzeń mobilnych urzędu.

Szerzej temat omawia poradnik o systemie MDM w jednostkach samorządu terytorialnego opublikowany na cyberkatalog.pl.

Źródła

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 4 pkt 7 i art. 21-22 w pierwotnym brzmieniu, czyli zakres podmiotowy wobec podmiotów publicznych przed nowelizacją z 2026 r. (odczyt 19.09.2026)
2. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, art. 33 ust. 1-2, art. 34 ust. 1 i 3, art. 35 oraz art. 49, a także nadane przez nią brzmienie art. 7a ust. 2 pkt 3, art. 7b ust. 1-2, art. 8 ust. 1 i 3, art. 16e ust. 5-9, załącznika nr 1 pkt 2-4 i załącznika nr 4 pkt 2-8 ustawy o krajowym systemie cyberbezpieczeństwa (odczyt 19.09.2026)
3. Ministerstwo Cyfryzacji, "Komunikat Ministra Cyfryzacji z dnia 08 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych", Dz. Urz. MC 2026 poz. 7, 08.04.2026 - termin składania wniosków od 7 maja do 3 października 2026 roku (odczyt 19.09.2026)
4. Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych, § 19 ust. 2 pkt 2 i 8, oraz metryka rozporządzenia w bazie ELI Sejmu z datą uznania za uchylone 23.02.2027 (odczyt 19.09.2026)
5. Ustawa z dnia 25 lipca 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw, art. 1 pkt 19, art. 15 i art. 17 (odczyt 19.09.2026)
6. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5 ust. 1 lit. f, art. 24 i art. 32 (odczyt 19.09.2026)
7. Ustawa z dnia 11 września 2019 r. - Prawo zamówień publicznych (tekst jednolity), art. 2 ust. 1 pkt 1 oraz art. 99 ust. 1 i 4-6 (odczyt 19.09.2026)
8. Prezes Urzędu Zamówień Publicznych, Obwieszczenie z dnia 8 grudnia 2025 r. w sprawie aktualnych progów unijnych na lata 2026-2027, M.P. 2025 poz. 1247 - równowartość progu unijnego dla zamawiających sektora publicznego niebędących zamawiającymi centralnymi w dostawach i usługach: 216 000 euro, tj. 930 960 złotych (odczyt 19.09.2026)
9. Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (tekst jednolity), art. 22² § 6-7, art. 22³ § 3-4, art. 67²⁰ § 6 pkt 8, art. 67²⁴ § 2-3 i art. 67²⁶ § 1 - stan na dzień odczytu, z uwzględnieniem zmian ogłoszonych po dacie tekstu jednolitego (odczyt 19.09.2026)
10. NIST, "SP 800-124 Rev. 2, Guidelines for Managing the Security of Mobile Devices in the Enterprise", maj 2023 - klasyfikacja modeli własności urządzeń w rozdziale 5.1.3 (odczyt 19.09.2026)
11. Główny Urząd Statystyczny, "Wykorzystanie technologii informacyjno-komunikacyjnych w jednostkach administracji publicznej w 2025 r.", 18.05.2026 - odsetek jednostek i pracowników administracji samorządowej wyposażonych w urządzenia mobilne (odczyt 19.09.2026)