Ochrona infrastruktury krytycznej w energetyce – cyberbezpieczeństwo (NIS2): co zmienia dyrektywa i jak uniknąć kary 20 mln euro

Które firmy energetyczne faktycznie trafią pod lupę NIS2?

Kryteria kwalifikacji do reżimu dyrektywy NIS2 opierają się na obiektywnych progach wielkościowych oraz znaczeniu sektora dla bezpieczeństwa państwa. Każde średnie przedsiębiorstwo energetyczne, które zatrudnia co najmniej 50 pracowników lub osiąga roczny obrót przekraczający 10 000 000 euro, zostaje automatycznie objęte nowymi rygorami prawnymi. Próg ten eliminuje dotychczasową dowolność w interpretacji przepisów, czyniąc obowiązki powszechnymi dla podmiotów operujących na infrastrukturze o znaczeniu strategicznym.

Błędna klasyfikacja organizacji niesie za sobą drastyczne skutki finansowe, w tym administracyjna kara 10 mln euro lub 2% globalnego obrotu rocznego. Przykładowo, magazyn energii o pojemności 2 MWh podłączony do sieci wysokiego napięcia (HV) trafia na listę podmiotów kluczowych, niezależnie od formy własnościowej kapitału. Szczegółowe wytyczne w tym zakresie określa projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (uKSC), zarejestrowany w wykazie prac legislacyjnych jako Dz.U. 2023 poz. 2135.

Podmiot kluczowy NIS2 musi samodzielnie dokonać zgłoszenia do właściwego organu nadzorczego w terminach przewidzianych przez krajowego regulatora. Brak dopełnienia tego obowiązku uniemożliwia skuteczną współpracę z zespołami CSIRT GOV PL i naraża spółkę na audyty doraźne ze strony Ministerstwa Cyfryzacji. W związku z tym przeprowadź klasyfikację jeszcze dziś, aby uniknąć sankcji za brak formalnego statusu w systemie bezpieczeństwa państwa.

W skali całej Unii Europejskiej dyrektywa obejmuje ponad 160 000 podmiotów, co stanowi znaczący wzrost względem poprzednich regulacji. W samej Polsce liczba organizacji podlegających nadzorowi wzrosła z około 400 do ponad 38 000 jednostek. Dlatego też mechanizm identyfikacji musi uwzględniać nie tylko bezpośrednią działalność, ale również rolę w łańcuchu dostaw dla innych operatorów usług kluczowych.

Audyt NIS2 krok po kroku – od zero-wizji do certyfikatu

To nie tylko kwestia technologiczna. To przede wszystkim wyzwanie organizacyjne i prawne.

System zarządzania bezpieczeństwem informacji (SZBI) stanowi fundament zgodności z art. 21 dyrektywy NIS2. W odróżnieniu od standardowej certyfikacji ISO, nowe przepisy kładą szczególny nacisk na bezpieczeństwo łańcucha dostaw oraz ciągłość działania w warunkach kryzysowych. Audyt NIS2 powinien być przeprowadzany corocznie, aby zapewnić adekwatność stosowanych środków technicznych do ewoluujących zagrożeń hybrydowych.

Proces dostosowawczy najlepiej rozpocząć od audytu zerowego, który pozwoli zidentyfikować luki w obecnej architekturze systemów IT i OT. Koszt takiej diagnozy waha się zazwyczaj w granicach 15-30 tys. zł, a jej realizacja zajmuje od 4 do 6 tygodni. Wynik audytu stanowi mapę drogową dla wdrożenia wymagań, które certyfikuje Polskie Centrum Akredytacji – certyfikat zgodny z ISO/IEC 27001:2022 jest w tym procesie kluczowym punktem odniesienia.

Wdrożenie nowych procedur wymaga zaangażowania najwyższego kierownictwa, ponieważ członkowie zarządu odpowiadają osobiście za uchybienia w zakresie cyberochrony zgodnie z art. 20 ust. 4 nowelizacji uKSC. Osobista odpowiedzialność kadry zarządzającej obejmuje nadzór nad implementacją polityk oraz uczestnictwo w dedykowanych szkoleniach z zakresu zarządzania ryzykiem. Ponadto organizacje muszą wyznaczyć lidera ds. cyberbezpieczeństwa odpowiedzialnego za kontakt z organami regulacyjnymi.

1. Zarządzanie incydentami – wdrożenie procedur SLA zapewniających raportowanie w 24 h.
2. Kontrola dostępu – weryfikacja i aktualizacja listy uprawnień użytkowników co 30 dni.
3. Kopia zapasowa – obowiązkowy test odtworzenia danych z backupu co 6 miesięcy.
4. Szkolenia – minimum 4 h rocznie dla pracowników oraz 8 h dla członków zarządu.
5. Dokumentacja – kompletna polityka bezpieczeństwa informacji podpisana przez prezesa spółki.
6. Łańcuch dostaw – przeprowadzanie formalnych ocen ryzyka u dostawców poziomu 1 i 2.
7. Monitorowanie – systemowe logi zdarzeń przechowywane przez okres ≥ 1 rok.
8. Fizyczna ochrona – wydzielenie i zabezpieczenie stref C-I-C w magazynach energii.
9. Testy penetracyjne – techniczna weryfikacja podatności systemów co najmniej raz w roku.
10. Plan ciągłości – aktualizacja i weryfikacja planów BCP po każdej zmianie w architekturze sieci.

Atak na OZE w grudniu 2024 – case study: jak SOC zatrzymał blackout

Dnia 23 grudnia 2024 r. o godzinie 03:14 odnotowano zaawansowany atak na system zarządzania energią (EMS) farmy fotowoltaicznej o mocy 200 MW. Incydent rozpoczął się od próby przejęcia kontroli nad inwerterami poprzez luki w protokołach komunikacyjnych. Narzędzia monitorujące Impero 360 zarejestrowały nietypowy ruch sieciowy, generując alert na podstawie reguły SIEM „unusual Modbus write”, co pozwoliło na natychmiastową reakcję personelu technicznego.

Operator SOC zablokował kontroler inwertera po wykryciu 127 nieautoryzowanych komend zapisu do rejestrów krytycznych. Dzięki segmentacji sieci IT/OT oraz wdrożeniu modelu zero-trust, napastnicy nie zdołali eskalować uprawnień do nadrzędnego systemu dyspozytorskiego PSE OSPIG. Skuteczne wykrycie incydentu w 24 h i jego izolacja zapobiegły potencjalnemu odcięciu od dostaw ciepła i prądu dla 500 tys. odbiorców końcowych w regionie.

Zdarzenie to potwierdza statystyki wskazujące, że Polska jest w trójce europejskich państw najbardziej zagrożonych atakami cybernetycznymi, a liczba incydentów w 2025 r. wzrosła o 60 proc. względem lat ubiegłych. Prawidłowa procedura zgłoszeniowa do CSIRT GOV PL pozwoliła na wymianę informacji o zagrożeniu z innymi operatorami infrastruktury krytycznej w czasie rzeczywistym. Całość działań naprawczych została zamknięta w rekordowym czasie 5 h 43 min.

Magazyn energii a NIS2 – czy 2 MWh oznacza 20 mln euro kary?

Magazyn energii trafia pod NIS2, gdy jego moc zainstalowana wynosi ≥ 1 MWh i jest podłączony do sieci o napięciu ≥ 110 kV. Zgodnie z rozporządzeniem CER (UE) 2023/1799, takie instalacje są traktowane jako kluczowe komponenty systemu elektroenergetycznego. W związku z tym wymagaj certyfikatu ISO 27001:2022 w aneksie do umowy z każdym dostawcą technologii, aby zapewnić ciągłość ochrony danych procesowych.

Wybór platformy zarządzania energią (EMS) ma bezpośredni wpływ na zgodność z przepisami unijnymi. Urząd Regulacji Energetyki (URE) może odmówić wydania zgody na przyłącze lub koncesji, jeśli system sterowania nie posiada udokumentowanych mechanizmów ochrony przed cyberzagrożeniami. Podmioty eksploatujące magazyny energii muszą implementować rejestrowanie i identyfikację każdej osoby uzyskującej dostęp do infrastruktury fizycznej i cyfrowej.

Kary za zaniedbania w tym obszarze są dotkliwe i mogą wynosić od 10 do 20 mln euro lub do 4% globalnego obrotu rocznego, zależnie od stopnia uchybienia i skali zagrożenia dla systemu. Dlatego w umowie z dostawcą EMS zapisz klauzulę „right to audit” oraz wymagaj 24-godzinnego SLA na dostarczanie krytycznych łatek bezpieczeństwa. Systemy bez odpowiednich poświadczeń bezpieczeństwa stanowią wysokie ryzyko operacyjne dla całej organizacji.

Zastosowanie wyspecjalizowanych zapór ogniowych oraz systemów detekcji intruzów (IDS) dostosowanych do specyficznych protokołów przemysłowych jest niezbędne do ochrony stref krytycznych. Organizacje muszą również regularnie aktualizować oceny ryzyka, uwzględniając zmienność personelu serwisowego posiadającego dostęp do urządzeń. Tylko kompleksowe podejście do bezpieczeństwa infrastruktury magazynowej pozwala uniknąć sankcji finansowych i utraty zaufania kontrahentów.

FAQ – szybkie odpowiedzi na pytania zarządów energetycznych