Ataki na urządzenia OT. Jak napastnicy przestawiają proces i jak ograniczyć to ryzyko według ustawy o KSC i NIS2?

Panel w internecie, podatność w firmware, protokół bez uwierzytelniania, stacja inżynierska: cztery drogi do sterownika na przykładach i zabezpieczenia z art. 8

Autor: Paweł Rosół
Data: 14.10.2026
Czytanie: 15 min
Kategoria: Zarządzanie ryzykiem

Stan prawny sprawdzony: 14.10.2026

Spis treści

Czym atak na urządzenie OT różni się od ataku na IT?
Jakimi drogami napastnicy docierają do urządzeń?
Gdzie ustawa o KSC i NIS2 wymagają tych zabezpieczeń?
Jakie zabezpieczenia wynikają z tych ataków?
Jak to wygląda w mojej pracy pełnomocnika ds. cyberbezpieczeństwa?

W nocy z 11 na 12 października 2026 r. ktoś zdalnie przestawił sterownikiSterownik PLC Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem. chłodnicze w kilkuset supermarketach we Francji tak, że zamrażarki zaczęły grzać. Nikt nie zaszyfrował plików ani nie ukradł danych. Sklepy straciły towar i noc pracy, bo do rana nikt nie zaglądał do urządzenia, któremu ufano. Przebieg zdarzenia opisałem w wiadomości o ataku na sterowniki Danfoss i nie będę go tu powtarzał.

Atak na urządzenie OT nie musi niczego szyfrować ani kraść: wystarczy zmienić nastawę, a fizyka zrobi resztę.

W tym artykule pokazuję, jakimi drogami napastnicy docierają do sterowników i co robią po wejściu, na przykładach od francuskich chłodni, przez automatykę budynków w Niemczech i ciepłownię na Ukrainie, po Stuxnet. Z każdej drogi wyprowadzam zabezpieczenia i wskazuję, gdzie wymaga ich ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.) i dyrektywa NIS2Dyrektywa NIS2 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.. Polskie incydenty z 2025 r. i to, co raportuję zarządowi, są w tekście o systemach OT w firmie, a wodociągi i rządową rekomendację dla nich opisałem w tekście o wod-kan.

Czym atak na urządzenie OT różni się od ataku na IT?

Technologia operacyjnaTechnologia operacyjna Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT. (OT) to sterowniki PLC, systemy SCADASystem SCADA Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje., panele HMIPanel operatorski HMI Human-Machine Interface: ekran albo aplikacja, przez które operator odczytuje stan procesu i wydaje polecenia sterownikom., automatyka budynkowaSystem BMS Building Management System: automatyka budynku, która steruje wentylacją, ogrzewaniem, oświetleniem, windami i kontrolą dostępu. Rodzaj OT, z własnymi sterownikami i zdalnym dostępem serwisu. i wszystkie urządzenia, które przetwarzają fizyczny proces zamiast dokumentów. W ataku na IT napastnik chce danych albo okupu, a skutek mierzy się w rekordach i godzinach niedostępności. W ataku na OT napastnik chce wpływu na proces, a skutek mierzy się w stopniach, barach, obrotach i tonach zepsutego towaru.

MITRE w bazie ATT&CK for ICS nazywa tę taktykę „Impair Process Control” i wymienia cztery techniki: zmianę parametru, wysyłanie nieautoryzowanych komunikatów do urządzeń, zmianę firmware i wielokrotne przestawianie wejść lub wyjść sterownika. Dodaje coś, co w praktyce decyduje o rozmiarze szkody: napastnik, który zmienił proces, może jednocześnie zafałszować to, co widzi operator, żeby skutek ujawnił się dopiero w produkcie albo w otoczeniu. Francuskie chłodnie grzały przez sześć godzin, bo nikt na nie nie patrzył, a jak opisałem w wiadomości, badacze pokazali wcześniej na konferencji DEF CON, że przejęty sterownik Danfoss może wyłączyć chłodzenie i jednocześnie pokazywać poprawną temperaturę.

Z punktu widzenia kierownika podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. różnica jest jeszcze jedna. Serwer po ataku odtwarza się z kopii, a zepsutej żywności, pękniętego rotora albo wychłodzonego osiedla z kopii nie odtworzy nikt. Dlatego przy OT bardziej niż o odtwarzanie pytam o to, jak szybko ktoś zauważy, że proces idzie nie tak.

Jakimi drogami napastnicy docierają do urządzeń?

Opisane niżej incydenty układają się w cztery drogi. Każda wymaga innego zabezpieczenia i każda ma swój przepis w art. 8 ustawy o KSC.

Droga pierwsza: panel sterowania wystawiony do internetu

To najkrótsza droga i w Polsce najczęstsza. Stacja uzdatniania wody w Sierakowie, ciepłownia w Rucianem-Nidzie, szpital w Sanoku, sterowniki Unitronics w amerykańskich wodociągach, Oldsmar na Florydzie: w każdym z tych przypadków napastnik zalogował się do panelu dostępnego z internetu, często hasłem domyślnym albo trywialnym. Opisałem je w dwóch wcześniejszych tekstach i nie wracam do szczegółów.

Francuski przypadek pokazuje, że ta droga nie dotyczy tylko małych gmin. CERT-FR w alercie CERTFR-2026-ALE-012 z 12 października 2026 r., uzupełnionym dzień później, pisze o licznych kompromitacjach zdalnych sterowników instalacji chłodniczych Danfoss serii AK-SM i AK-SC oraz Copeland xweb i Dixell xweb, a więc u więcej niż jednego producenta. Zaczyna od zdania, które warto zapamiętać: wystawienie interfejsu zarządzania do internetu jest sprzeczne z dobrymi praktykami. Claroty Team82 naliczyło w sierpniu 2026 r. w wyszukiwarce Censys 2765 konsol administracyjnych Danfoss AK-SM 800A dostępnych z internetu i opisało, dlaczego tak jest: technicy serwisują te systemy zdalnie, a wbudowany serwer WWW oszczędza wyjazdów.

Panel chłodni wisi w internecie z tego samego powodu, z którego wisi tam panel pompowni: ktoś oszczędził na dojazdach serwisanta, a nikt nie policzył, ile kosztuje noc z zamrażarką ustawioną na 50°C.

Droga druga: podatność w oprogramowaniu urządzenia

Nawet urządzenie z dobrym hasłem można przejąć, jeśli jego firmware ma błąd. Claroty opisało w sterowniku Danfoss AK-SM 800A ukryty mechanizm logowania „kodem dnia” (CVE-2025-41450), którego odtworzenie pozwala ominąć hasło administratora, wstrzyknięcie poleceń w konfiguracji poczty prowadzące do zdalnego wykonania kodu (CVE-2025-41451) i możliwość podmiany konfiguracji serwera Nginx (CVE-2025-41452). Danfoss usunął je w firmware R4.3.1. Żadne ze źródeł, które przeczytałem, nie potwierdza, że w październiku wykorzystano akurat te błędy; SecurityWeek zaznacza to wprost, a Danfoss podaje, że większość dotkniętych urządzeń to wycofane modele AK-SM800 i AK-SC355, które poprawek już nie dostają.

Podatność nie musi dotyczyć sterownika przemysłowego. Jesienią 2021 r. niemiecka firma inżynierska straciła kontrolę nad automatyką budynku biurowego, który sama zbudowała w standardzie KNX: według Dark Reading napastnicy weszli przez port UDP wystawiony do internetu, wyczyścili trzy czwarte urządzeń z ich programów i zablokowali je własnym kluczem BCU, czyli hasłem programowania, które z założenia ma chronić przed nieuprawnioną zmianą. Przez kilka tygodni światło w budynku włączano ręcznie z rozdzielni, dopóki Limes Security nie odzyskało klucza z pamięci jednego z urządzeń. Drugi poszkodowany w tej fali wszedł w kłopoty przez bramkę IP zostawioną z czasu budowy, którą miano usunąć po odbiorze. Ta cecha standardu dostała numer CVE-2023-4346, a 15 lipca 2026 r. CISA dopisała ją do katalogu KEV podatności wykorzystywanych w atakach. Wpis nie wskazuje poprawki, tylko środki ograniczające według zaleceń producenta albo zaprzestanie używania produktu.

Droga trzecia: protokół przemysłowy, który nie zna pojęcia uwierzytelniania

Modbus, IEC 60870-5-104 czy IEC 61850 powstały dla sieci, które miały być odizolowane od świata. Urządzenie wykonuje polecenie, bo je dostało, nie dlatego, że nadawca ma do tego prawo. Napastnik, który dotrze do sieci OT, nie potrzebuje już żadnej podatności.

W styczniu 2024 r., przy ujemnych temperaturach, miejskie przedsiębiorstwo ciepłownicze na Ukrainie straciło na prawie dwa dni ogrzewanie dla ponad 600 budynków mieszkalnych. Według raportu Dragos, opartego na danych ukraińskiego Centrum Sytuacyjnego Cyberbezpieczeństwa, napastnicy weszli miesiącami wcześniej przez nieustaloną podatność w routerze brzegowym, wykradli poświadczenia i w styczniu z własnych hostów wysyłali polecenia Modbus wprost do sterowników ENCO, bo router, serwery zarządzające i sterowniki nie były od siebie oddzielone. Obniżyli wersję firmware do takiej, która nie miała funkcji monitorowania używanych w zakładzie, i sprawili, że sterowniki raportowały nieprawdziwe pomiary; samych urządzeń nie niszczyli. Narzędzie, które Dragos nazwał FrostyGoop, to program w języku Go, który czyta i zapisuje rejestry Modbus przez port TCP 502 i w chwili odkrycia nie był wykrywany przez żaden program antywirusowy.

To samo podejście w energetyce ma dłuższą historię. ESET opisał w 2017 r. Industroyer, oprogramowanie, które według ESET najprawdopodobniej odcięło 17 grudnia 2016 r. na godzinę prąd w części Kijowa: miało cztery moduły mówiące protokołami IEC 60870-5-101, IEC 60870-5-104, IEC 61850 i OPC DA i sterowało wyłącznikami w stacjach tak, jak robi to operator. ESET podkreśla, że napastnicy nie szukali luk w protokołach, tylko nauczyli program nimi mówić. W kwietniu 2022 r. ta sama grupa, Sandworm, próbowała użyć Industroyer2 przeciw stacjom wysokiego napięcia na Ukrainie, a równolegle uruchomiła programy niszczące dane na Windows, Linuksie i Solarisie, żeby operatorzy nie mogli odzyskać konsol i cofnąć zmian. ESET nie ustalił, jak napastnicy przeszli z sieci IT do sieci przemysłowej.

Droga czwarta: stacja inżynierska i logika sterownika

Najgłębiej sięga atak, który zmienia program w sterowniku albo to, co sterownik widzi. Stuxnet, wykryty w 2010 r., jest tu wzorcem. Według analizy Ralpha Langnera wcześniejsza wersja infekowała sterowniki Siemens S7-417 systemu ochrony kaskad w zakładzie wzbogacania uranu w Natanz, nagrywała 21 sekund wartości z czujników i odtwarzała je w pętli na ekranach operatorów, podczas gdy manipulowała zaworami i ciśnieniem. Późniejsza, prostsza wersja atakowała układ napędowy wirówek i zmieniała prędkość rotorów. Do zakładu trafiła przez system inżynierski, czyli zwykły komputer z oprogramowaniem producenta do programowania sterowników, i przez nośniki USB.

Stuxnet był operacją państwową, ale narzędzia tej klasy od tamtej pory stały się produktem. W kwietniu 2022 r. CISA, Departament Energii USA, NSA i FBI ostrzegły w advisory AA22-103A przed zestawem narzędzi, który po uzyskaniu dostępu do sieci OT skanuje sieć w poszukiwaniu sterowników Schneider Electric i Omron oraz serwerów OPC UA, łamie hasła, wgrywa własną konfigurację i zmienia parametry, a do przejęcia stacji inżynierskich na Windows wykorzystuje podatny sterownik płyty głównej. Konsola narzędzia naśladuje interfejs urządzenia, więc może z niej korzystać ktoś o niższych kwalifikacjach. O ataku TRITON z 2017 r. na sterowniki bezpieczeństwa, gdzie kluczyk stał w pozycji PROGRAM, pisałem w tekście o OT w firmie.

Im głębiej sięga atak, tym mniej pomaga zapora: przed FrostyGoopem i Stuxnetem chroni dopiero to, że ktoś wie, jaki program i jakie nastawy powinny być w sterowniku, i umie to sprawdzić niezależnie od sterownika.

Gdzie ustawa o KSC i NIS2 wymagają tych zabezpieczeń?

Ustawa nie używa słowa OT, ale art. 2 pkt 14 lit. b ustawy o KSC obejmuje definicją systemu informacyjnego urządzenie lub grupę połączonych urządzeń i oprogramowania zaprogramowanych w celu przetwarzania danych. Sterownik chłodni, centrala wentylacyjna i automatyka budynku są takimi urządzeniami. Jeśli biorą udział w procesie, od którego zależy usługa podmiotu kluczowego lub ważnego, art. 8 ust. 1 wymaga objęcia ich systemem zarządzania bezpieczeństwem informacji (SZBI).

Warto przy tym nazwać, kogo to dotyczy. Sieć sklepów detalicznych jako taka nie figuruje w załącznikach do ustawy: załącznik nr 2 wymienia w sektorze produkcji, przetwarzania i dystrybucji żywności przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz przemysłową produkcją i przetwarzaniem, co Ministerstwo Cyfryzacji doprecyzowało w pytaniu 1.27 swojego FAQ. Te same sterowniki chłodnicze, centrale i systemy BMS pracują jednak w chłodniach hurtowni, w zakładach mięsnych i mleczarskich, w magazynach leków, w szpitalach i w centrach danych, a tam ustawa obowiązuje w pełni.

Cztery drogi z poprzedniej części mają w art. 8 swoje odpowiedniki:

panel w internecie i zdalny dostęp serwisanta: polityki kontroli dostępu (art. 8 ust. 1 pkt 2 lit. n), uwierzytelnianie wieloskładnikowe w stosownych przypadkach (lit. l) oraz bezpieczeństwo i ciągłość łańcucha dostaw z uwzględnieniem związków między dostawcą a podmiotem (lit. e), przy czym art. 8 ust. 2 nakazuje uwzględnić podatności związane z dostawcą i ogólną jakość jego produktów;
podatność w firmware: zbieranie informacji o cyberzagrożeniach i podatnościach (art. 8 ust. 1 pkt 3), regularne aktualizacje stosownie do zaleceń producenta z analizą wpływu na usługę (pkt 5 lit. b) i niezwłoczne działania po dostrzeżeniu podatności, w tym czasowe ograniczenie ruchu przychodzącego (pkt 5 lit. d);
protokół bez uwierzytelniania: bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu (pkt 2 lit. b), zarządzanie aktywami (lit. m) i monitorowanie w trybie ciągłym (lit. g), bo w płaskiej sieci bez monitoringu polecenia Modbus z obcego hosta nikt nie zobaczy;
stacja inżynierska i logika sterownika: ochrona przed nieuprawnioną modyfikacją w systemie informacyjnym (pkt 5 lit. c), bezpieczeństwo fizyczne z kontrolą dostępu (pkt 2 lit. c) oraz plany ciągłości działania i odtworzenia (lit. f), które dla sterownika znaczą kopię programu i konfiguracji, a nie kopię dysku.

Nad tym wszystkim stoi szacowanie ryzyka z art. 8 ust. 1 pkt 1, a decyzje, budżet i przydział zadań należą do kierownika podmiotu z mocy art. 8d. Art. 8c ust. 3 nie pozwala mu ich przenieść na serwisanta ani na mnie.

NIS2 mówi to samo innymi słowami. Art. 21 ust. 2 dyrektywy 2022/2555 wymaga podejścia uwzględniającego wszystkie zagrożenia, mającego na celu ochronę sieci i systemów informatycznych oraz ich środowiska fizycznego, i wylicza bezpieczeństwo łańcucha dostaw (lit. d), bezpieczeństwo w procesie nabywania, rozwoju i utrzymania wraz z postępowaniem w przypadku podatności (lit. e), politykę kontroli dostępu i zarządzanie aktywami (lit. i) oraz uwierzytelnianie wieloskładnikowe w stosownych przypadkach (lit. j). Art. 21 ust. 3 dodaje obowiązek uwzględnienia podatności charakterystycznych dla każdego dostawcy i jakości jego praktyk, w tym procedur bezpiecznego opracowywania. Ukryty „kod dnia” w sterowniku jest dokładnie taką praktyką.

Na koniec incydent. Zepsuta żywność to straty finansowe, a wyłączona chłodnia hurtowni to przerwanie usługi, więc oba mieszczą się w definicji incydentu poważnego z art. 2 pkt 7. Podmiot klasyfikuje go według progów z rozporządzenia z art. 11 ust. 4, a potem ma 24 godziny od wykrycia na wczesne ostrzeżenie (art. 11 ust. 1 pkt 4) i 72 godziny na zgłoszenie (pkt 4a). Jak liczyć te terminy, gdy sterownik grzał przez sześć godzin, zanim ktokolwiek wykrył incydent, opisałem w tekście o incydencie poważnym w praktyce.

Jakie zabezpieczenia wynikają z tych ataków?

Poniższa lista nie zastępuje szacowania ryzyka konkretnej instalacji. Zbiera to, co powtarza się w zaleceniach CERT-FR po francuskim ataku, w amerykańskim arkuszu „Primary Mitigations to Reduce Cyber Threats to Operational Technology” z maja 2025 r., w advisory AA22-103A, w przewodniku NIST SP 800-82 Rev. 3 i w rekomendacji Pełnomocnika Rządu nr 2026-67-8, a czego brakowało w każdym z opisanych incydentów.

Usuń urządzenia z publicznego internetu. CERT-FR stawia to na pierwszym miejscu dla sprzętu nieprzejętego i przejętego: zdjąć ekspozycję wszystkich jednostek na publicznym adresie IP, a dostęp przywrócić wyłącznie przez VPN albo chronioną sieć. Filtrowanie adresów źródłowych firm serwisowych na zaporze CERT-FR dopuszcza tylko jako rozwiązanie doraźne. Amerykańskie agencje piszą wprost, że urządzenia OT nie mają uwierzytelniania odpornego na współczesne zagrożenia i każdy znajdzie je wyszukiwarką otwartych portów.
Zmień hasła domyślne i wyłącz konta wbudowane. Rekomendacja nr 2026-67-8 wymienia zmianę domyślnych poświadczeń, wyłączenie wbudowanych kont, blokowanie nieużywanych i konta indywidualne tam, gdzie to możliwe. CERT-FR dla Danfoss dodaje tryb zabezpieczeń „Strict” po aktualizacji firmware.
Zdalny dostęp serwisanta włączaj na zgłoszenie, nie na stałe. NIST SP 800-82 wymaga procedury wnioskowania o zdalny dostęp, dostępu tylko uzasadnionego i ograniczonego do potrzeby, z uwierzytelnianiem wieloskładnikowym, a dla wsparcia producenta dostępu tymczasowego. Niemiecka bramka IP z czasu budowy i stary profil VPN z Colonial Pipeline to ten sam błąd: dostęp, o którym po odbiorze nikt nie pamiętał.
Oddziel sieć OT od sieci biurowej i od internetu strefą DMZ z regułami, które ktoś rozumie. We Lwowie napastnicy wysyłali polecenia Modbus wprost do sterowników, bo nic nie stało między routerem a nimi. Rekomendacja nr 2026-67-8 wymaga dedykowanych sieci OT i DMZ z aktywnymi regułami na zaporze oraz ich cyklicznego przeglądu.
Prowadź inwentarz z datą końca wsparcia. Danfoss podał, że większość przejętych sterowników to modele bez aktualizacji bezpieczeństwa. CERT-FR ostrzega, że przywrócenie ustawień fabrycznych w takim urządzeniu usuwa ślady napastnika, ale urządzenie zostaje podatne i prawie na pewno zostanie przejęte ponownie. Urządzenie bez wsparcia wymieniasz albo izolujesz z przyjęciem ryzyka na piśmie; rekomendacja wymaga procedury wycofania po zakończeniu wsparcia producenta.
Śledź podatności swoich urządzeń. Art. 8 ust. 1 pkt 3 ustawy o KSC wymaga zbierania informacji o podatnościach, a katalog KEV CISA i komunikaty CERT-FR, CERT Polska czy CSIRT sektorowego są darmowe. Błąd w KNX dostał CVE w 2023 r., trafił do KEV w lipcu 2026 r., a dopiero wtedy część właścicieli budynków dowiedziała się, że go ma.
Monitoruj ruch w sieci OT i zmiany nastaw. FrostyGoop nie wykrywał żaden antywirus, ale polecenie zapisu rejestru Modbus z adresu spoza stacji operatorskiej widać w ruchu sieciowym. Advisory AA22-103A zaleca ciągły monitoring OT z logiem i alarmem na znane wrogie zachowania oraz ograniczenie połączeń ze sterownikami do wskazanych stacji inżynierskich.
Zapewnij niezależny pomiar tam, gdzie skutek jest nieodwracalny. To moje zalecenie, nie cytat z normy: rejestrator temperatury w chłodni, który nie zależy od sterownika i alarmuje na telefon, kosztuje ułamek jednej nocy strat. Stuxnet i FrostyGoop pokazują, że przejęty sterownik potrafi kłamać na ekranie, więc drugi, prosty czujnik jest jedynym świadkiem, któremu można wierzyć.
Trzymaj kopie programów i konfiguracji sterowników poza siecią OT i sprawdzaj ich integralność. AA22-103A zaleca kopie offline z sumami kontrolnymi firmware i plików konfiguracji. CERT-FR dla przejętego sterownika zaleca przywrócenie ustawień fabrycznych, a potem ponowną konfigurację przed oddaniem do pracy, więc bez zapisanej konfiguracji sklep czeka na serwisanta.
Ćwicz pracę ręczną i reakcję na sabotaż procesu. Amerykańskie agencje stawiają zdolność przejścia na sterowanie ręczne obok segmentacji. Scenariusze do ćwiczeń dają same incydenty: nastawy zmienione w nocy, sterownik, który pokazuje dobrą temperaturę, zablokowane urządzenia bez hasła, serwisant nieosiągalny przez weekend.
Wpisz wymagania do umowy z serwisantem i producentem. CERT-FR zaleca sprawdzić warunki umowy ubezpieczenia, zanim odetnie się przesył danych do firmy chłodniczej, bo polisa może od niego zależeć. Czego wymagać od dostawcy, opisałem w tekście o łańcuchu dostaw.

Większość z tych punktów kosztuje głównie czas i decyzję, a wszystkie razem są tańsze niż jedna noc z chłodnią ustawioną na 50°C.

Jak to wygląda w mojej pracy pełnomocnika ds. cyberbezpieczeństwa?

W podmiocie z urządzeniami OT zaczynam od pytania, które po francuskim ataku zadaję każdemu kierownikowi: które urządzenia w twoim zakładzie ktoś mógłby przestawić w nocy i kto zauważyłby to przed szóstą rano. Lista zwykle jest dłuższa, niż zarząd zakłada, bo obejmuje poza sterownikami linii także sterowniki chłodni, centrale wentylacyjne, system BMS, zasilacze UPS, bramy, kotłownię i kontrolę dostępu, a każde z tych urządzeń ma innego serwisanta.

Dla każdego urządzenia zapisuję z obsługą i serwisantem cztery rzeczy: najgorszą nastawę, jaką można na nim ustawić, kto i po jakim czasie to zauważy, czy da się prowadzić proces bez niego i skąd jest do niego dostęp z zewnątrz. Odpowiedzi idą do szacowania ryzyka z art. 8 ust. 1 pkt 1, a to, co kosztuje, do decyzji kierownika z art. 8d. Serwisant zwykle dowiaduje się przy tej rozmowie, że jego stały dostęp zdalny zniknie i wróci jako dostęp na zgłoszenie z imiennym kontem i logiem.

Potem sprawdzam z zewnątrz adresy publiczne podmiotu i numery kart SIM w modemach, tak jak robi to napastnik i jak sprawdzał Claroty. To, co znajdę, zdejmuję z internetu tego samego dnia, a datę końca wsparcia każdego urządzenia wpisuję do rejestru ryzyka z terminem decyzji zarządu. Nie umiem sprawić, żeby wymiana sterownika była tania, ale umiem sprawić, żeby kierownik dowiedział się o niej rok wcześniej, a nie rano po ataku.

Ostatni konkret dotyczy ćwiczeń. Raz w roku z obsługą przestawiamy nastawę naprawdę, na wybranym urządzeniu i w uzgodnionym oknie, i mierzymy, po ilu minutach ktoś zareaguje. Wynik tego pomiaru mówi zarządowi więcej o ryzyku OT niż każdy raport, który mógłbym napisać.

Pojęcia w tym tekście (28)

Sterownik PLC: Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.
Technologia operacyjna: Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Dyrektywa NIS2: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
System SCADA: Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje.
Panel operatorski HMI: Human-Machine Interface: ekran albo aplikacja, przez które operator odczytuje stan procesu i wydaje polecenia sterownikom.
System BMS: Building Management System: automatyka budynku, która steruje wentylacją, ogrzewaniem, oświetleniem, windami i kontrolą dostępu. Rodzaj OT, z własnymi sterownikami i zdalnym dostępem serwisu.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CISA: Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
Katalog KEV: Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
Zapora sieciowa: Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników.
Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
Zdalny dostęp: Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.
Uwierzytelnianie wieloskładnikowe: Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
Łańcuch dostaw: Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
Ciągłość działania: Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.
Szacowanie ryzyka: Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.
Incydent poważny: Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.
Wczesne ostrzeżenie: Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.
Rekomendacja Pełnomocnika: Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne.
Wirtualna sieć prywatna: Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.
Strefa DMZ: Wydzielony segment sieci między siecią wewnętrzną a światem zewnętrznym. Stoją w nim usługi, które muszą być dostępne z zewnątrz, a zapora przepuszcza dalej tylko to, co niezbędne.
CERT Polska: Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
CSIRT sektorowy: Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.
CVE: Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.

Najczęściej zadawane pytania

Czy sterownik chłodniczy albo automatyka budynku to system informacyjny w rozumieniu ustawy o KSC?

Tak, jeśli bierze udział w świadczeniu usługi podmiotu kluczowego lub ważnego. Art. 2 pkt 14 lit. b ustawy o KSC obejmuje definicją systemu informacyjnego urządzenie lub grupę połączonych urządzeń i oprogramowania zaprogramowanych w celu przetwarzania danych, a art. 8 ust. 1 wymaga wdrożenia SZBI w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. Sterownik chłodni w zakładzie spożywczym albo centrala wentylacyjna w szpitalu spełnia tę definicję.

Czy zepsuta żywność albo zatrzymany proces po ataku na sterownik to incydent poważny?

Może nim być. Art. 2 pkt 7 ustawy o KSC definiuje incydent poważny jako incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi, straty finansowe dla podmiotu albo wpływ na inne osoby. Podmiot klasyfikuje incydent na podstawie progów uznania incydentu za poważny (art. 11 ust. 1 pkt 3), które określa rozporządzenie z art. 11 ust. 4, a po zaklasyfikowaniu zgłasza wczesne ostrzeżenie w ciągu 24 godzin od wykrycia (art. 11 ust. 1 pkt 4) i zgłoszenie w ciągu 72 godzin (art. 11 ust. 1 pkt 4a).

Czy firma serwisowa ze stałym zdalnym dostępem do sterowników to część łańcucha dostaw z art. 8?

Tak. Art. 8 ust. 1 pkt 2 lit. e ustawy o KSC wymaga bezpieczeństwa i ciągłości łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków między bezpośrednim dostawcą a podmiotem, a art. 8 ust. 2 nakazuje uwzględnić podatności związane z dostawcą i ogólną jakość jego produktów. Za wykonanie tych obowiązków odpowiada kierownik podmiotu także wtedy, gdy powierzył je innej osobie (art. 8c ust. 3).

Źródła

Stan prawny sprawdzony: 14.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).