Napastnik na serwerze SCADA o 1:40 w nocy. Gdzie odciąć dostęp, gdy w ciepłowni nie ma osobnej stacji inżynierskiej?

Łącza z zewnątrz odciąłbym od razu, nikogo nie pytając, bo proces prawie tego nie odczuje. Serwer SCADASystem SCADA Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje. odłączyłbym od sterownikówSterownik PLC Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem. dopiero wtedy, gdy ktoś stoi przy panelach lokalnych, a o przejściu na pracę ręczną zdecydowałbym po sprawdzeniu, czy ekranom można jeszcze wierzyć. Ta kolejność działa tylko wtedy, gdy kierownik podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. zapisał ją wcześniej i ktoś przetestował ją na zatrzymanej instalacji, bo o 1:40 w nocy nikt nie ustali, co robią sterowniki po utracie łączności z serwerem.

Wojciech Sikorski opublikował 30 października 2026 r. analizę na LinkedIn: skradzione konto VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków., serwer pośredniczący, stacja inżynierska, sterownik PLC. W jego wariancie stacja inżynierska, czyli komputer z oprogramowaniem producenta do programowania sterowników, nie jest potrzebna do pracy procesu, więc łańcuch można przeciąć przed nią, a operatorzy tego nie odczują. Sam zaznacza, że to założenie. Sprawdzam tu wariant gorszy: bez serwera pośredniczącego, z jednym komputerem, który nadzoruje proces i programuje sterowniki.

Jak wygląda ta ciepłownia?

Spółka ma koncesję na wytwarzanie ciepła, więc należy do sektora energii z załącznika nr 1 do ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.). To, czy jest podmiotem kluczowymPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata., czy ważnym, zależy od jej wielkości. Noc z piątku na sobotę w styczniu, mróz, na zmianie dwie osoby. Informatyk pracuje w dzień, automatyk jest pod telefonem, a automatykę od lat serwisuje jedna firma zewnętrzna.

Założenia techniczne, od których zależy wszystko poniżej:

• jeden serwer z Windows ma aplikację SCADA, program inżynierski i projekty sterowników, a jego dwie karty sieciowe łączą sieć zewnętrzną z siecią sterowników;
• serwisant i aplikacja SCADA używają tego samego lokalnego konta;
• router z VPN daje integratorowi stały dostęp na konto bez uwierzytelniania wieloskładnikowegoUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.;
• modem z kartą SIM w prywatnym APNNazwa punktu dostępowego Access Point Name: brama, przez którą urządzenie z kartą SIM łączy się z inną siecią. Prywatny APN operatora komórkowego łączy modemy i sterowniki w telemetrii OT bez wychodzenia do internetu., od innej firmy, przenosi telemetrię z węzłów cieplnych;
• sterowniki kotła i pomp sieciowych przyjmują zmiany programu zdalnie;
• zabezpieczenia temperatury i ciśnienia kotła są sprzętowe i nie zależą od sterownika, a w kotłowni są panele lokalne;
• kopie programów sterowników leżą u integratora.

Przedostatni punkt to założenie życzliwe: bez niego ten tekst wyglądałby inaczej. Reszta nie jest wydumana. W elektrociepłowni opisanej przez CERT Polska w uzupełnieniu raportu z 8 sierpnia 2026 r. sterownik z modemem miał dostęp i do systemów SCADA, i do segmentów z urządzeniami sterującymi procesem. W laboratorium Booz Allen brama SCADA trzymała otwarte sesje do wszystkich sterowników.

Jak napastnik dochodzi do serwera?

1. Włamuje się do integratora, nie do ciepłowni. FBI opisało taki przypadek: w marcu i kwietniu 2025 r. napastnicy weszli do sieci amerykańskiej firmy automatyki przemysłowej, szukali słów „customers” i „SCADA” i spakowali około 800 plików, w tym dane SCADA klientów i schematy. W scenariuszu wynoszą też konto VPN, hasła i projekty sterowników.
2. Loguje się na VPN ważnym kontem. Na farmach wiatrowych zaatakowanych 29 grudnia 2025 r. interfejs VPN był dostępny z internetu bez uwierzytelniania wieloskładnikowego, a Dragos opisuje grupę AZURITE, która przez VPN i serwer przesiadkowy dochodziła do stacji inżynierskich.
3. Otwiera zdalny pulpit na serwerze. Nie potrzebuje żadnej podatności, bo konto to pozwala. Tu nie ma granicy, na której można by go zatrzymać.
4. Uruchamia program inżynierski i łączy się ze sterownikiem. Amerykańskie agencje w advisory AA26-097A opisują napastników, którzy zwykłym oprogramowaniem konfiguracyjnym pobierali i zmieniali projekty sterowników. U jednej z ofiar dopisana logika nadpisywała instrukcje utrzymujące bezpieczne parametry, a zmiany wyłączały logikę alarmów i odstawień bez żadnego sygnału dla operatorów.

O 1:40 zmianowy widzi na serwerze otwarty program inżynierski. Pierwsza myśl: serwis. Dzwoni do integratora, nikt nie odbiera. Ta myśl nie jest naiwna, bo w opisanej przez CERT Polska elektrociepłowni podmiot, z uwagi na trwające prace utrzymaniowe, uznał zatrzymanie procesu za błąd inżynierów podwykonawcy i zgłosił zdarzenie wyłącznie informacyjnie. Dopiero CERT Polska, znając inne zdarzenia z tego dnia, poprowadził sprawę jako atak.

Dopóki podmiot nie umie odróżnić pracy serwisu od włamania, każda nocna decyzja zaczyna się od telefonu, którego nikt nie odbiera.

Gdzie można przeciąć łańcuch?

Oceny w tabeli są orientacyjne i dotyczą tego wymyślonego układu. U ciebie wypełnić ją musi automatyk z technologiem.

Pierwszy: łącza z zewnątrz

To jedyny krok, na który nie czekałbym z nikim. Art. 8 ust. 1 pkt 5 lit. d ustawy o KSC wymienia niezwłoczne działania po dostrzeżeniu cyberzagrożeń, w tym „czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury”, nawet jeśli może to zakłócić usługi, z uwzględnieniem minimalizacji skutków. Czytam to jako podstawę do świadomego odcięcia, choć przepis nie mówi nic o OT.

Liczą się oba kable. CERT Polska pokazał, że napastnik doszedł do sieci elektrociepłowni przez prywatny APN, a nie przez VPN, więc samo zablokowanie konta w scenariuszu zostawiłoby otwarty modem. Wyciągam kabel zamiast zmieniać regułę, bo na zaporę napastnik mógł już mieć hasło.

Drugi: sesja na serwerze

Sikorski słusznie stawia tu serwer pośredniczący, który umie zamknąć jedną sesję i nie rusza reszty. W scenariuszu takiego serwera nie ma, a konto jest wspólne, więc wylogowanie może zamknąć też aplikację SCADA. Zmiana hasła pomoże na krótko, bo napastnik ma całą dokumentację. Ten punkt działa dopiero po przebudowie, o której piszę na końcu.

Trzeci: serwer od sieci sterowników

Tu zaczyna się prawdziwa decyzja, bo jedna wtyczka zabiera operatorowi obraz, alarmy i archiwum. Sterownik powinien dalej wykonywać swój program, ale NIST SP 800-82 ostrzega, że utrata łączności może sama wywołać przejście w stan bezpieczny, jeśli tak zaprojektowano układ. Odpowiedź na pytanie, czy sterownik pomp ma taki warunek, jest w jego programie i w głowie integratora, którego telefon milczy.

Liczy się też moment. MITRE w opisie techniki Program Download rozróżnia zmianę w trakcie pracy sterownika, która nie przerywa procesu, od pełnego wgrania programu, przed którym sterownik może musieć przejść w stan zatrzymania. Przerwanie transmisji w połowie to co innego niż zablokowanie połączenia przed jej rozpoczęciem, na co zwraca uwagę także Sikorski. Dlatego najpierw wysyłam drugą osobę do paneli lokalnych, a automatyk przez telefon sprawdza, czy trwa jakaś operacja. Limit czasu na to sprawdzenie ustala z góry technolog.

Czwarty: przełącznik trybu

Advisory AA26-097A zaleca dla sterowników z fizycznym przełącznikiem pozycję RUN, która uniemożliwia zdalne zmiany, a pozycję PROGRAM albo REMOTE tylko na czas wgrywania. Tam, gdzie przełącznika nie ma, agencje wskazują ochronę programowania w oprogramowaniu inżynierskim. W lipcowej aktualizacji dodały ostrzeżenie: zmiana trybu utrwala projekt, który jest w tej chwili w sterowniku, więc najpierw trzeba go sprawdzić.

W nocy ten krok wymaga kogoś przy szafie i wiedzy, które sterowniki w ogóle mają przełącznik. To środek na dziś, nie na 1:40.

Sterownik ustawiony w RUN przed incydentem nie wymaga żadnej decyzji w trakcie.

Piąty: praca ręczna albo kontrolowane zatrzymanie

Skoro zmiany mogły wyłączyć alarmy bez sygnału dla operatorów, a przejęty sterownik potrafi pokazywać poprawne wartości, ekran przestaje być dowodem. Jeśli jest ślad zapisu do sterownika albo odczyty rozjeżdżają się z termometrem i manometrem na kotle, proces prowadzi człowiek przy panelu albo proces się zatrzymuje. Sikorski pisze: „Utrzymanie produkcji nie może mieć pierwszeństwa przed ochroną ludzi i zapobieganiem niebezpiecznemu stanowi instalacji”, i tu nie mam nic do dodania.

Nie wiem, jak długo konkretna sieć ciepłownicza utrzyma temperaturę po ograniczeniu mocy. Wie to technolog, i ta liczba godzin powinna być zapisana w planie ciągłości działania, zanim ktoś będzie jej szukał w nocy. Jeśli ciepła zabraknie, art. 11 ust. 2b nakazuje poinformować odbiorców o incydencie poważnym, który ma niekorzystny wpływ na usługę.

Kto decyduje o 1:40?

Pod tekstem Sikorskiego ktoś zapytał w komentarzu o to właśnie: SOC wykryje zagrożenie, administrator umie odizolować, automatyk rozumie skutki, ale kto ma prawo zdecydować. Autor odpowiedział, że SOC powinien wykonywać działania zatwierdzone wcześniej, a te wpływające na proces wymagają automatyki i produkcji. W tej ciepłowni nie ma SOC, są dwie osoby na zmianie.

Dokument CISA i partnerów o zasadzie zero trust w OT z kwietnia 2026 r. zaleca, żeby plan określał, kiedy i gdzie następuje odłączenie, oraz wskazywał osoby upoważnione do tego z góry. Ustawa o KSC stanowiska nie wskazuje. Art. 8d pkt 3 stanowi, że kierownik podmiotu przydziela zadania i nadzoruje ich wykonanie, a art. 8c ust. 3 zostawia mu odpowiedzialność także po powierzeniu obowiązków innej osobie. Rekomendacja nr 2026-67a-9 w pkt 6.2 zaleca określenie ścieżek eskalacji i osób odpowiedzialnych za obsługę incydentów; jej stosowanie jest dobrowolne (art. 67a ust. 5).

Zarządowi zaproponowałbym jedną stronę do podpisu:

Najważniejszy jest wiersz, którego w tabeli nie widać: co się dzieje, gdy nikt nie odbiera. Każdy wiersz potrzebuje zastępcy i czasu, po którym uprawnienie przechodzi na następną osobę. Ja, jako pełnomocnik ds. cyberbezpieczeństwa, tę stronę przygotowuję, ale nie decyduję o wyłączeniu kotła i nie powinienem. Integrator nie jest w niej nikim więcej niż źródłem informacji, bo w tym scenariuszu to do niego się włamano. Dostępu nie przywracam mu, dopóki nie wyjaśni, co się u niego stało.

Kierownik podmiotu podejmuje tę decyzję w dzień, na piśmie, a o 1:40 zmianowy tylko ją wykonuje.

Co z dowodami, kiedy trzeba przywrócić ciepło?

Prawdziwy przebieg z elektrociepłowni pokazuje oba problemy naraz. Aktywność napastnika trwała 29 grudnia od około 5:30 do około 10:10, a naprawy zaczęły się około 7:30, więc szły, gdy był jeszcze w sieci. Sterowniki Siemens przełączono w tryb STOP i zabezpieczono hasłem, więc obsługa przywróciła je do stanu fabrycznego i wgrała posiadane kopie. Skróciło to awarię, ale usunęło logi ze sterowników, a Siemens ProductCERT potwierdził, że nie da się ich odzyskać.

Nie mam o to pretensji do obsługi: ciepło było ważniejsze. NIST SP 800-82 mówi wprost, że plan powinien rozstrzygać ten priorytet, powrót do pracy albo zabezpieczenie danych do analizy. Dla ciepłowni w styczniu odpowiedź jest oczywista, ale kilka minut da się ocalić, jeśli ktoś wie, co robić. Kolejność, którą bym zapisał:

1. Odcięcie przed naprawą, inaczej napastnik zepsuje to, co właśnie wgrano.
2. Zdjęcia ekranów i szafy, zapisanie godzin, eksport diagnostyki sterownika, jeśli program na to pozwala, a poza tym logi z zapory i routera, zanim znikną. Rekomendacja nr 2026-67a-9 w pkt 6.2 lit. d zaleca możliwość zabezpieczenia materiału dowodowego.
3. Sprawdzenie kopii przed wgraniem. AA26-097A zaleca upewnić się, że kopia nie zawiera złośliwej logiki, i porównać działający program ze znanym dobrym stanem. Kopie u integratora, do którego się włamano, uważałbym za niepewne; to mój wniosek, nie cytat.
4. Porównanie i wgranie z osobnego laptopa, nie z podejrzanego serwera. Dokument CISA zaleca trzymać licencjonowane oprogramowanie inżynierskie na miejscu.
5. Serwer i router odbudowane, a nie wyczyszczone. AA26-097A zaleca ponowne zainstalowanie urządzeń, do których dotarł napastnik, a rekomendacja nr 2026/67a/6 dla urządzeń brzegowych: nową konfigurację bez kopiowania całych bloków, firmware prosto od producenta i sprawdzenie nieautoryzowanych kont.

Kiedy ruszają terminy z art. 11?

Liczą się od wykrycia, a według pkt 6.5 FAQ Ministerstwa Cyfryzacji jest to moment, w którym podmiot może stwierdzić, że zdarzenie jest incydentem, a nie moment, w którym się zaczęło. Pkt 6.6 potwierdza, że automatyka przemysłowa podlega tym samym zgłoszeniom. Art. 2 pkt 7 obejmuje incydent, który „powoduje lub może spowodować” poważne obniżenie jakości albo przerwanie usługi, więc to, że odbiorcy nic nie odczuli, samo niczego nie rozstrzyga. O klasyfikacji decydują progi (art. 11 ust. 1 pkt 3), a przy incydencie poważnym wczesne ostrzeżenie idzie w ciągu 24 godzin od wykrycia (pkt 4), zgłoszenie w ciągu 72 godzin (pkt 4a). Szerzej opisałem to w tekście o incydencie poważnym.

Dwa szczegóły mają tu znaczenie. Wczesne ostrzeżenie może zawierać wniosek o wytyczne albo wsparcie techniczne, a CSIRT sektorowy odpowiada najpóźniej w 24 godziny (art. 12 ust. 2). To pomoże przy odbudowie, nie o 1:40, więc nocna decyzja i tak zostaje w zakładzie. Drugi szczegół to niewyjaśnione awarie: CERT Polska po tamtej sprawie podkreśla, jak ważne jest zgłaszanie także ich, a art. 13 ust. 1 dopuszcza przekazanie informacji o innych incydentach i potencjalnych zdarzeniach. Zgłoszenie informacyjne elektrociepłowni uruchomiło analizę, która doprowadziła do ustalenia ataku.

Co sprawdzić, zanim przyjdzie styczeń?

Tu wszystko kosztuje dużo mniej niż w nocy. Układam to od najtańszego:

1. Narysuj wszystkie drogi z zewnątrz do sterowników, razem z modemami i dostępami innych firm. To zarządzanie aktywami z art. 8 ust. 1 pkt 2 lit. m.
2. Ustaw przełączniki trybu tam, gdzie są, i spisz sterowniki, które ich nie mają.
3. Przećwicz z nocną zmianą odłączenie łączy i zmierz czas od alarmu do kabla w ręku.
4. Sprawdź, czy zmiana umie prowadzić proces z paneli lokalnych i ile godzin wytrzyma sieć.
5. Zrób własne kopie programów poza siecią, z sumami kontrolnymi, i trzymaj u siebie program do porównania. CISA i FBI radzą w dokumencie o integratorach utrzymywać bezpieczne kopie offline oprogramowania potrzebnego do pracy urządzeń oraz zdolność działania bez integratora.
6. Na zatrzymanej instalacji, w oknie remontowym i z technologiem, odłącz serwer od sterowników i zapisz, co się stało. To jedyny sposób, żeby wypełnić trzeci wiersz tabeli, a art. 8 ust. 1 pkt 2 lit. f wymaga testowania planów ciągłości działania. Próby zmiany programu wykonałbym tylko w laboratorium albo na sterowniku odłączonym od procesu.
7. Włącz alarm na nowe połączenie ze sterownikiem poza zgłoszonym serwisem (lit. g). W elektrociepłowni skanowanie sieci wewnętrznej odbyło się 21 grudnia, a połączenia ze sterownikami 25 grudnia, czyli na cztery dni przed atakiem, w Boże Narodzenie.
8. Wprowadź zdalny dostęp włączany przez obsługę na czas zgłoszenia, imienne konta i uwierzytelnianie wieloskładnikowe przynajmniej na wejściu, oraz wpisz to do umowy z integratorem (lit. e, lit. n). Dokument CISA nazywa zdalny dostęp poważną słabością OT.
9. Rozdziel role serwera: osobna stacja inżynierska, podłączana tylko na czas prac, serwer przesiadkowy w strefie DMZ z zapisem sesji poza siecią OT. To jest koszt inwestycyjny, którego zmiana konfiguracji nie zastąpi.

Dokument CISA zaleca przegląd planu reagowania co najmniej raz na kwartał i test co najmniej raz w roku. To amerykańskie zalecenie, nie polski obowiązek, ale dla ciepłowni dobrym terminem testu wydaje mi się okres przed sezonem grzewczym.

Jeśli w punkcie szóstym wyjdzie, że sesji serwisanta nie da się zamknąć bez utraty nadzoru nad kotłem, Sikorski nazywa to problemem architektury do ujęcia w analizie ryzyka i planach modernizacji, i ja też tak bym to zapisał. Do rejestru ryzyka wpisuję wtedy punkt dziewiąty z kosztem, terminem i miejscem na podpis kierownika podmiotu, który z art. 8d pkt 1 i 2 decyduje o SZBI i planuje na to pieniądze. Podpisane przyjęcie ryzyka też jest decyzją, a zmianowy będzie przynajmniej wiedział, że w tej instalacji odcięcie serwera oznacza pracę bez ekranu.

Pojęcia w tym tekście (25)

System SCADA

Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje.

Sterownik PLC

Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.

Kierownik podmiotu

Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.

Wirtualna sieć prywatna

Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.

Ustawa o KSC

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.

Podmiot kluczowy

Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.

Uwierzytelnianie wieloskładnikowe

Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.

Nazwa punktu dostępowego

Access Point Name: brama, przez którą urządzenie z kartą SIM łączy się z inną siecią. Prywatny APN operatora komórkowego łączy modemy i sterowniki w telemetrii OT bez wychodzenia do internetu.

CERT Polska

Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Technologia operacyjna

Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT.

Zapora sieciowa

Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników.

Incydent

Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.

Ciągłość działania

Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.

Incydent poważny

Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.

Centrum operacji bezpieczeństwa

Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Zero trust

Model bezpieczeństwa, w którym nikt nie dostaje zaufania z samego faktu bycia w sieci firmowej: każdy dostęp do zasobu wymaga uwierzytelnienia i autoryzacji użytkownika i urządzenia.

Pełnomocnik ds. cyberbezpieczeństwa

Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.

Wczesne ostrzeżenie

Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.

CSIRT sektorowy

Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.

Zdalny dostęp

Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.

Strefa DMZ

Wydzielony segment sieci między siecią wewnętrzną a światem zewnętrznym. Stoją w nim usługi, które muszą być dostępne z zewnątrz, a zapora przepuszcza dalej tylko to, co niezbędne.

Szacowanie ryzyka

Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.

System zarządzania bezpieczeństwem informacji

Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.

Najczęściej zadawane pytania

Czy podmiot może w czasie ataku odciąć ruch, jeśli zakłóci to własną usługę?

Tak. Art. 8 ust. 1 pkt 5 lit. d ustawy o KSC wymienia wśród środków niezwłoczne działania po dostrzeżeniu podatności lub cyberzagrożeń, w tym czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury podmiotu, które może skutkować zakłóceniem świadczonych usług, z uwzględnieniem konieczności minimalizacji skutków tego ograniczenia. Art. 8 ust. 1 pkt 2 wymaga przy tym środków proporcjonalnych do oszacowanego ryzyka, więc koszt odcięcia warto policzyć przed incydentem.

Kto ma decydować o odcięciu sieci automatyki w nocy?

Ustawa o KSC nie wskazuje stanowiska. Art. 8d pkt 3 stanowi, że kierownik podmiotu przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie, a art. 8c ust. 3 utrzymuje jego odpowiedzialność także po powierzeniu obowiązków innej osobie. Kierownik może więc z góry wskazać, kto i co odcina bez pytania, ale nie przenosi w ten sposób odpowiedzialności.

Czy trzeba zgłaszać atak na automatykę, jeśli odbiorcy niczego nie odczuli?

To zależy od klasyfikacji. Art. 2 pkt 7 ustawy o KSC obejmuje incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości usługi, a podmiot klasyfikuje go według progów (art. 11 ust. 1 pkt 3). Incydent poważny wymaga wczesnego ostrzeżenia w ciągu 24 godzin od wykrycia (art. 11 ust. 1 pkt 4). Pozostałe zdarzenia podmiot może przekazać dobrowolnie (art. 13 ust. 1).

Źródła

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami
2. Wojciech Sikorski, Skradzione konto VPN → serwer pośredniczący → stacja inżynierska → sterownik PLC. Gdzie przerwać łańcuch ataku, żeby nie zatrzymać procesu? (LinkedIn, 30 października 2026 r.)
3. CERT Polska, Uzupełnienie raportu z incydentu w sektorze energii 29 grudnia 2025 (8 sierpnia 2026 r., PDF)
4. CISA, Departament Wojny, Departament Energii, FBI i Departament Stanu USA, Adapting Zero Trust Principles to Operational Technology (29 kwietnia 2026 r., PDF)
5. FBI, CISA, NSA, EPA, DOE, CNMF i Departament Skarbu USA, advisory AA26-097A, Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure (7 kwietnia 2026 r., aktualizacja 22 lipca 2026 r., PDF)
6. CISA i FBI, Considerations for Critical Infrastructure Operators Working With Third-Party ICS Integrators (23 września 2026 r., PDF)
7. NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security (wrzesień 2023 r., PDF)
8. MITRE ATT&CK for ICS, technika T0843 Program Download
9. MITRE ATT&CK for ICS, technika T0858 Change Operating Mode
10. Dragos, Year in Review 2026, Executive Briefing (slajdy, PDF)
11. Rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026-67a-9 z dnia 15 października 2026 r. dotycząca środków organizacyjnych i technicznych zwiększających poziom bezpieczeństwa systemów informacyjnych (PDF)
12. Rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026/67a/6 z dnia 21 lipca 2026 r. dotycząca utrzymywania i konfiguracji urządzeń brzegowych
13. Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, pkt 6.5 i 6.6 (aktualizacja z października 2026 r.)

Stan prawny sprawdzony: 02.11.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).

Powiązane artykuły

• 28.10.202612 min czytania

  Stara SCADA, kilku serwisantów i mały budżet. Od czego zacząć zabezpieczanie automatyki i skąd wziąć pieniądze?

  Podatności boneIO, przestarzała automatyka w wodociągach i ciepłowniach, osobne umowy z kilkoma serwisami. Co ustawa o KSC mówi o kosztach i jakie są dotacje.

• 14.10.202615 min czytania

  Ataki na urządzenia OT. Jak napastnicy przestawiają proces i jak ograniczyć to ryzyko według ustawy o KSC i NIS2?

  Panel w internecie, podatność w firmware, protokół bez uwierzytelniania, stacja inżynierska: cztery drogi do sterownika na przykładach i zabezpieczenia z art. 8

• 25.09.202612 min czytania

  Systemy OT w firmie. Skąd bierze się ryzyko i co pełnomocnik ds. cyberbezpieczeństwa ma powiedzieć zarządowi?

  Sterowniki, SCADA i panele HMI w energetyce, wod-kan, produkcji i szpitalach. Incydenty z Polski i ze świata, ryzyko po integratorach i raport dla zarządu.