„Cyberbezpieczne wodociągi” również dla odbiorców ścieków. Na co można uzyskać dofinansowanie?

Cyberataki na polskie stacje uzdatniania wody i oczyszczalnie ścieków znacząco nasiliły się na przestrzeni ostatnich kilkunastu miesięcy. Warto tutaj wspomnieć o incydentach w stacjach uzdatniania wody (Małdyty, Sierakowo, Tolkmicko, Szczytno) czy oczyszczalniach ścieków (m.in. Kuźnica, Witkowo).

Warto tutaj przypomnieć o rekomendacjach CERT Polska oraz Pełnomocnika rządu ds. cyberbezpieczeństwa, wicepremiera Krzysztofa Gawkowskiego. Wdrożenie ich pozwala na znaczące zwiększenie poziomu bezpieczeństwa jednostek odpowiedzialnych za wodę czy ścieki.

W kwietniu minister cyfryzacji przekazał, że w przeciągu kilku dni udało się zapobiec „17 z 18 ataków” na sektor wodno-kanalizacyjny. To pokazuje skalę ataków prorosyjskich haktywistów.

„Cyberbezpieczne wodociągi” również dla oczyszczlani ścieków

Na stronie Centrum Projektów Cyfrowa Polska pojawił się zestaw najczęściej zadawanych pytań w Konkursie „Cyberbezpieczne wodociągi” wraz z odpowiedziami. W części organizacyjnej wyróżniono m.in.:

• konieczność spełniania przepisów prawa, w tym zapisów UKSC i NIS2;
• możliwość przeprowadzania szkoleń dla pracowników, pomijając np. informatyków pracujących w ramach B2B;
• przyznawanie grantów jako pomoc de minimis, nie zaś pomoc publiczna.

Co ważne, projekt uwzględnia nie tylko przedsiębiorstwa wodociągowe.

„Program »Cyberbezpieczne Wodociągi« dedykowany jest do finansowania systemów cyberbezpieczeństwa systemów OT w zakresie zbiorowego zaopatrzenia w wodę i odbioru ścieków” - stwierdzono w dokumencie. Jasno podkreślono, że przedsięwzięcie dotyczy również oczyszczalni ścieków, co jest bardzo ważne.

Na co można pozyskać dofinansowanie?

Pesymistycznie robi się w przypadku części merytorycznej programu. „Cyberbezpieczne wodociągi” nie finansują np. modułów telemetrycznych, służących m.in. do komunikacji między obiektami infrastruktury krytycznej - ujęć wody pitnej czy przepompowni ścieków a serwerem głównym. Możliwe jest jednak uzyskanie wsparcia na systemy poprawiające „bezpieczeństwo transmisji informacji” - mowa tu przede wszystkim o szyfrowaniu komunikacji.

Program uwzględnia również możliwość zakupu, modernizacji lub utworzenia m.in.:

• urządzeń podtrzymujących zasilanie dla systemów IT i OT;
• serwera przesiadkowego, zarządzalnych urządzeń sieciowych, systemów zabezpieczenia sieci i usługi APN (ang. Access Point Name);
• systemów analizy podatności OT;
• segmentacji sieci OT;
• systemów zarządzania uprawnieniami;
• SOC OT (ang. Security Operation Center);
• dostępu do platformy e-learningowej.

Z kolei niemożliwe będzie uzyskanie dofinansowania na np.:

• serwery przeznaczone pod SCADA;
• licencji SCADA;
• systemy operacyjne stacji roboczych;
• środki bezpieczeństwa fizycznego, takich jak np. monitoring czy systemy włamania.

Do złożenia wniosku w konkursie grantowym nie jest konieczne przeprowadzenie analizy ryzyka, choć jest ona „dobrą praktyką”. Wymagania dla audytorów, realizujących np. audyty wstępne, wynikają z ustawy o Krajowym Systemie Cyberbezpieczeństwa.

Komentarz eksperta

Poprosiliśmy eksperta z branży ICS/OT o krótki komentarz dotyczący założeń projektu.

„Wadą jest to, że program nie odpowiada na potrzeby małych wodociągów, które mają przestarzałe i niewspierane sterowniki. Ich może po prostu nie stać na system operacyjny, potrzebny do obsługi SCADA” - przekazał nasz rozmówca, prosząc o zachowanie anonimowości.

Dodał też, że w niektórych przypadkach do wymiany systemu (np. na Windows 11) będzie konieczny zakup nowego sprzętu. Wsparcie techniczne Windowsa 10 kończy się 14 października 2025 roku.

Ekspert podkreślił, że program nie pozwala na „wymianę sterowników z wbudowanym modemem LTE”. Ten problem został wspomniany również w rekomendacjach CERT Polska z 2024 roku:

Niestety w wielu przypadkach urządzenia przemysłowe podłączone są do internetu przez routery komórkowe, których adres IP wskazuje na operatora komórkowego, którego karta SIM została użyta. W takiej sytuacji nie mamy możliwości dotarcia do właściciela, możemy jedynie przekazać informacje do operatora telekomunikacyjnego. Dlatego kluczowa jest świadomość zagrożeń związanych z wystawieniem urządzeń do internetu i znajomość najlepszych praktyk realizacji dostępu zdalnego tam, gdzie jest on konieczny – zarówno po stronie właścicieli urządzeń, jak i firm wdrażających i sprzedających rozwiązania OT.
CERT Polska, Rekomendacje dla wzmocnienia ochrony systemów OT, 17 maja 2024 r.

Program na rzecz bezpieczeństwa infrastruktury krytycznej

„Cyberbezpieczne wodociągi” to program, który ma pomóc w walce z bardzo groźnym i nieustannie obecnym wrogiem - osobami, które nielegalnie manipulują parametrami stacji uzdatniania wody oraz oczyszczalni ścieków na terenie Rzeczpospolitej Polskiej.

„Podmioty zainteresowane udziałem w konkursie, w ramach wstępnych przygotowań (m.in. definiowanie zakresu działań) powinny zapoznać się z treścią komunikatu Pełnomocnika Rządu do spraw Cyberbezpieczeństwa w sprawie ataków na przemysłowe systemy sterowania (…). Ewentualne wydatki wynikające z dostosowania się do wypełnienia zaleceń zawartych w komunikacie będą mogły zostać uwzględnione w treści wniosku o przyznanie grantu” - stwierdzono w zapowiedzi programu „Cyberbezpieczne wodociągi”.

Obecnie Centrum Projektów Cyfrowa Polska prowadzi nabór dotyczący „wyboru operatora realizaującego konkurs grantowy”, który trwa do 31 lipca br.

Zachęcamy do zapoznania się z webinarem dotyczącym programu, mającym na celu przygotowanie JST do złożenia wniosku. Niedawno opublikowano również skróconą wersję nagrania, gdzie możemy zapoznać się z m.in.:

• ramowym harmonogramem konkursu;
• szczegółowymi warunkami dot. objęcia wsparciem;
• limitami wydatków wraz z uwzględnieniem pomocy de minimis;
• najczęstszymi błędami podczas składania wniosku.

„Przyznane środki grantobiorcy będą mogli wydatkować do końca czerwca 2026 roku, ponieważ wtedy kończy się inwestycja KPO, z której pochodzi finansowanie” - stwierdzono na portalu Krajowego Instytutu Cyberbezpieczeństwa.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].