NIK: kolej, woda i energia słabo chronione przed cyberatakami

27 sierpnia Najwyższa Izba Kontroli opublikowała raport, którego medialne omówienie zatytułowano: „Transport, dostawy energii i wody pitnej niewystarczająco zabezpieczone przed cyberatakami”.

„(…) środki cyberbezpieczeństwa stosowane w latach 2021-2025 przez ośmiu skontrolowanych przez NIK operatorów usług kluczowych, którzy dostarczali energię i wodę pitną oraz zapewniali transport kolejowy i wodny były niewystarczające i nieadekwatne do obecnego charakteru zagrożeń oraz ich skali. Niewystarczający był też nadzór sprawowany nad cyberbezpieczeństwem w tych sektorach przez ministrów: energii i infrastruktury” – czytamy w omówieniu wyników kontroli NIK.

Izba uznała, że ministrowie energii i infrastruktury mieli świadomość niedostatecznego poziomu zabezpieczenia podstawowych usług, lecz nie wdrożyli odpowiedniego nadzoru oraz kontroli.

Oznaczało to, że mechanizmy Krajowego Systemu Cyberbezpieczeństwa (KSC) nie zapewniły skutecznego identyfikowania i egzekwowania od operatorów realizacji nałożonych na nich obowiązków
Najwyższa Izba Kontroli

Każdy OUK z uchybieniami

Według NIK, każda z ośmiu kontrolowanych jednostek nie zapewniała odporności na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych w systemach służących do świadczenia usługi kluczowej.

Sześciu OUK miało systematycznie ignorować „krytyczne alerty generowane przez systemy monitorujące i zabezpieczające”, zaś w skrajnych przypadkach operatorzy nawet nie mieli takiego systemu. „W konsekwencji mogli nawet nie wiedzieć, że doszło do ataku na ich systemy” – celnie stwierdza NIK.

Atak hakerski na wodociągi umożliwia np. manipulowanie parametrami wody. Zwiększenie w niej ilości chloru może z kolei zagrażać zdrowiu, a nawet życiu jej odbiorców. Przejęcie kontroli przez hakerów nad sieciami elektroenergetycznymi może prowadzić do rozległych i długotrwałych przerw w dostawach prądu
Najwyższa Izba Kontroli

„Zdaniem NIK w obliczu napięć geopolitycznych i ekonomicznych kluczowe staje się również identyfikowanie nawet marginalnych zagrożeń w zakresie cyberbezpieczeństwa” – kwituje Izba.

6 z 8 OUK nie szacowało systematycznie ryzyka. Jeden z nich nie zrobił tego ani razu na przestrzeni lat 2023-2025.

Raport NIK

Kontrola w ośmiu jednostkach była koordynowana przez Zachodniopomorską Delegaturę NIK w Szczecinie.

„Wyniki kontroli NIK u ośmiu operatorów, uzupełnione analizą 44 sprawozdań z audytów dotyczących wybranych operatorów nadzorowanych przez kontrolowanych ministrów, wskazują na powtarzające się i istotne słabości zarządzania cyberbezpieczeństwem oraz nadzoru w objętych badaniem sektorach. Mechanizmy krajowego systemu cyberbezpieczeństwa nie zapewniły skutecznego identyfikowania i egzekwowania realizacji obowiązków operatorów” – czytamy w dokumencie.

Najwyższa Izba Kontroli wykazała liczne uchybienia wśród wielu OUK z wymienionych wcześniej sektorów, takie jak m.in.:

• wykorzystywanie urządzeń, które utraciły wsparcie producenta lub posiadają znane podatności (skatalogowane w ramach CVE);
•  niestosowanie dwuetapowego uwierzytelniania;
•  składowanie materiałów łatwopalnych w serwerowniach;
•  niezabezpieczanie fizycznego dostępu do szaf serwerowych;
•  brak ciągłego monitorowania systemów informatycznych lub stałe ignorowanie alertów;
•  brak terminowego przeprowadzania audytu bezpieczeństwa systemu informacyjnego.

Jeden z OUK wykorzystywał oprogramowanie z  krytycznymi podatnościami, ocenianymi od 9,8 do 10 punktów w dziesięciostopniowej skali CVSS, szacowanej do określenia powagi luk w oprogramowaniu.

Brak nadzoru ministrów

Kontrola zasadniczo obejmowała lata 2021-2025.

„Organy państwa właściwe ds. cyberbezpieczeństwa w kontrolowanych sektorach nie wykonywały wobec żadnego z objętych analizą NIK operatorów działań nadzorczych polegających na wszczęciu kontroli lub postępowań w sprawie nałożenia kary pieniężnej, pomimo posiadania informacji o zaniechaniu wykonania przez OUK istotnych obowiązków w zakresie przeciwdziałania cyberzagrożeniom” – stwierdziła mocno NIK, odnosząc się do ministrów energii (organ właściwy w sektorze energii) oraz infrastruktury (organ właściwy w sektorze zaopatrzenia w wodę pitną i jej dystrybucji oraz sektorze transportu).

Uchybienia wskazano również w zakresie, za który odpowiada minister cyfryzacji (właściwy ds. informatyzacji). NIK podkreślił, że nie przeprowadzono żadnego z dwóch wymaganych przepisami „przeglądów i ocen skuteczności Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2019-2024” oraz przedłożono projekt nowej strategii z opóźnieniem.

Rada Ministrów podjęła uchwałę o przyjęciu nowej strategii dopiero – 10 marca 2026 r., tj. 434 dni po upływie okresu obowiązywania poprzedniej. Ponadto Minister z opóźnieniem przygotował projekt ustawy wdrażającej Dyrektywę NIS2, w wyniku czego dopiero od 3 kwietnia 2026 r., tj. 532 dni po terminie, około 38 tys. podmiotów zostało objętych obowiązkami zapewnienia odpowiednio wysokiego poziomu cyberbezpieczeństwa świadczonych usług
NIK

Ministerstwo cyfryzacji odpowiada

W raporcie NIK możemy zapoznać się z odpowiedzią ministerstwa cyfryzacji, sygnowaną przez sekretarza stanu Pawła Olszewskiego.

Wiceminister zaznaczył, że opracowywanie Strategii Cyberbezpieczeństwa RP na lata 2025-2029 przypadało na okres zmian w środowisku bezpieczeństwa międzynarodowego, m.in. rosyjskiej agresji na Ukrainę. Dodał, że dokument formalizuje działanie Połączonego Centrum Operacji Cyberbezpieczeństwa (PCOC), które docelowo ma być „jednym okienkiem” dla podmiotów KSC i obywateli.

Olszewski zapewnił, że prace nad znowelizowanym Krajowym Systemem Cyberbezpieczeństwa zaczęły się niezwłocznie po utworzeniu rządu w 2023 roku. Wiceminister odniósł się również do opóźnienia wdrożenia nowelizacji KSC, stwierdzając:

„W ocenie MC nie wydaje się być uprawnionym stwierdzenie, że opóźnienie we wdrożeniu dyrektywy (NIS2 – przyp. red.) skutkowało brakiem obowiązku stosowania odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych do prowadzenia działalności lub świadczenia usług dla około 38 tys. nowych podmiotów. Chociaż zgodzić należy się ze stwierdzeniem, że Dyrektywa NIS 2 w Polsce obejmuje co najmniej ok. 38 tys. podmiotów, to pominięty został fakt, że wiele z tych podmiotów już przed wejściem w życie ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw podlegało obowiązkom z zakresu cyberbezpieczeństwa, wynikającym z poprzedniego reżimu prawnego” – czytamy w piśmie do Prezesa NIK.

Prezes NIK o odpowiedzi MC

Do dokumentu dołączono również opinię Prezesa NIK Mariusza Haładyja odnośnie odpowiedzi resortu cyfryzacji. „Ustawa o KSC wymaga również m.in. zarządzania ryzykiem cyberbezpieczeństwa, zgłaszania incydentów do sektorowych CSIRT, wycofywaniem produktów ICT, usług ICT i procesów ICT w przypadku uznania dostawcy za dostawcę wysokiego ryzyka, czego podmioty publiczne przed objęciem ich ustawą o KSC nie musiały realizować” – czytamy w piśmie.

Haładyj ponownie podkreślił, że wiele podmiotów nie implementowało Systemu Zarządzania Bezpieczeństwa Informacji oraznie wdrożyło wielu obowiązków opisanych w UoKSC.

Dostosowanie się zatem przez podmioty publiczne do nowych regulacji to nie tylko przegląd istniejącej dokumentacji, ale również konieczność wdrożenia nowych rozwiązań proceduralnych i technicznych, w tym poniesienia znacznych nakładów finansowych
Mariusz Haładyj, Prezes NIK

Cyberataki na wodę i energię

Od drugiej połowy 2024 roku mierzymy się z licznymi cyberatakami na polski sektor wodno-kanalizacyjny. Na celowniku prorosyjskich grup cyberprzestępców znajdowały się m.in.:

• stacje uzdatniania wody: Tolkmicko, Małdyty, Sierakowo, Jabłonna Lacka, Szczytno;
•  oczyszczalnie ścieków: Wydminy, Kuźnica, Witkowo, Chodaczów.

W reakcji na zdarzenia Ministerstwo Cyfryzacji uruchomiło program „Cyberbezpieczne Wodociągi” – problemy niektórych jednostek z uzyskaniem dofinansowania opisaliśmy na naszych łamach.

Cyberataki na sektor energii są dwojakie. Z jednej strony mieliśmy do czynienia z włamaniami haktywistów – np. do ciepłowni osiedlowej w Rucianem-Nidzie, co opisaliśmy na łamach naszego portalu. Wówczas cyberprzestępcom udało się wpłynąć na pracę jednego z kotłów, lecz nie odcięło to nikogo od ciepła.

Zupełnie innym „kawałkiem chleba” był incydent w sektorze energii z grudnia 2025 roku. Niedawno dowiedzieliśmy się, że jego ofiarą była m.in. elektrociepłownia dostarczająca ciepło dla 50 tys. osób. Wtedy również nie odcięto nikomu ciepła, lecz kampania była dość skomplikowana.

Wiemy, że jeden z cyberataków na stację uzdatniania wody „spowodował przerwę w dostarczaniu wody na ok. 6 godzin dla ok. 2,5 tys. mieszkańców gminy”, co stwierdzono w Raporcie rocznym CERT Polska za 2025 rok.

Cyberataki na sektory wodno-kanalizacyjny i energetyczny omówiłem w wywiadzie z Katarzyną Łukasiewicz, redaktor naczelną Energetyki24.com.