# Stara SCADA, kilku serwisantów i mały budżet. Od czego zacząć zabezpieczanie automatyki i skąd wziąć pieniądze? Podatności boneIO, przestarzała automatyka w wodociągach i ciepłowniach, osobne umowy z kilkoma serwisami. Co ustawa o KSC mówi o kosztach i jakie są dotacje. - Adres: - Autor: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Data publikacji: 28.10.2026 - Kategoria: [Zarządzanie ryzykiem](https://pelnomocnikcyber.pl/kategorie/zarzadzanie-ryzykiem/) - Stan prawny sprawdzony: 28.10.2026 - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) Spółka z małym budżetem nie zabezpieczy całej automatyki w jeden rok i ustawa o KSC tego od niej nie wymaga: środki mają być proporcjonalne do oszacowanego ryzyka, z uwzględnieniem kosztów wdrożenia i wielkości podmiotu. Żeby jednak wiedzieć, gdzie ryzyko jest największe, trzeba mieć listę urządzeń i dostępów, a tej w wielu firmach nie ma, bo automatykę od lat obsługuje kilku serwisantów na osobnych umowach. Pieniądze na resztę planuje kierownik podmiotu i najtaniej jest je zaplanować przy inwestycji, a nie po incydencie. Krzysztof Nowacki, prezes zarządu Przedsiębiorstwa Wodociągów i Kanalizacji w Obornikach, pyta w [poście na LinkedIn](https://www.linkedin.com/feed/update/urn:li:activity:7521086842633396224/), czy państwo powinno uruchomić program modernizacji automatyki i SCADA dla małych i średnich wodociągów. Pretekstem były podatności w urządzeniach boneIO, które CERT Polska opisał 26 października 2026 r. Pytanie jest dobre. Poniżej dopisuję to, co widzę także poza wod-kan: w ciepłowniach, szpitalach i zakładach produkcyjnych, gdzie brak pieniędzy często idzie w parze z brakiem wiedzy o tym, co właściwie stoi w sieci. ## Czego uczą podatności boneIO? boneIO Black to sterownik, który przełącza przekaźniki, rolety i bramy, a CERT Polska opisuje go jako system automatyki domowej. To nie jest SCADA, ale wzorzec błędów jest ten sam, który znam z automatyki przemysłowej. Firmware domyślnie nie wymagał uwierzytelnienia, a webowe API zarządzania nasłuchiwało na wszystkich interfejsach (CVE-2026-77053). Pod ścieżką `/nodered/` działał Node-RED bez hasła, przez który atakujący z sieci lokalnej mógł wykonać dowolne polecenie systemowe (CVE-2026-77052). Broker MQTT miał na wszystkich urządzeniach te same, publicznie opisane dane logowania (CVE-2026-77056). Producent poprawił wszystkie 11 podatności w wersji 1.6.0, opisałem je w [wiadomości z 26 października](https://pelnomocnikcyber.pl/aktualnosci/bone-io-black-11-podatnosci/). Dla zarządu ważniejsze jest jedno zdanie z komunikatu CERT Polska: wersje starsze niż 1.2.0 bazują na Debianie 10, nie są już wspierane i nie można ich zaktualizować, trzeba ponownie wgrać obraz systemu. **Urządzenie, które działa bez zarzutu, potrafi po kilku latach wypaść z cyklu aktualizacji, i nikt w firmie tego nie zauważy, dopóki nie przeczyta komunikatu CSIRT.** W sterowniku domowym oznacza to godzinę pracy. W stacji uzdatniania wody albo w kotłowni ponowne wgranie systemu wymaga okna serwisowego, firmy, która zna konfigurację, i kopii programu, której spółka często nie ma u siebie. ## Gdzie jeszcze stoi automatyka, której nikt nie aktualizuje? Najlepiej opisany polski przypadek spoza wodociągów pochodzi z energetyki. CERT Polska w uzupełnieniu raportu z 8 sierpnia 2026 r. opisał atak z 29 grudnia 2025 r. na mniejszą elektrociepłownię, która dostarcza ciepło około 50 tys. mieszkańców. Zatrzymała się turbina parowa i stacja uzdatniania wody do celów technicznych, a proces kogeneracji został przerwany. Ponieważ na obiekcie trwały prace utrzymaniowe, podmiot uznał, że to błąd inżynierów podwykonawcy, i zgłosił zdarzenie wyłącznie informacyjnie. Atakujący działał ze sterownika WAGO PFC200 z modemem komórkowym, który służył do komunikacji z systemami operatora sieci dystrybucyjnej i pracował w prywatnym APN obsługiwanym przez tego operatora. Panel WWW sterownika był dostępny z tej sieci, a konto „admin” miało domyślne hasło. Atakujący próbował logować się także nazwą użytkownika związaną z firmą wdrażającą telemechanikę w obiektach OZE. W jednej elektrociepłowni spotkały się więc urządzenie operatora sieci, sieć komórkowa operatora i konta podwykonawcy, a CERT Polska ustalił w ankietach, że konfiguracja prywatnego APN, która na to pozwoliła, była w Polsce często spotykana. Najwyższa Izba Kontroli opublikowała 27 sierpnia 2026 r. wyniki kontroli ośmiu operatorów usług kluczowych: czterech z transportu, trzech z energii i jednego z zaopatrzenia w wodę pitną. Żaden z nich nie zapewnił utrzymania i bezpiecznej eksploatacji systemów informacyjnych. U jednego kluczowy system bezpieczeństwa, w tym urządzenie brzegowe sieci OT, przez ponad 426 dni działał na oprogramowaniu, którego producent już nie wspierał. Sześciu z ośmiu nie monitorowało alertów o podatnościach i zagrożeniach ani na nie nie reagowało. Automatyka budynków ma ten sam problem w większej skali. Claroty przebadał w 2025 r. blisko 500 tys. urządzeń systemów zarządzania budynkiem (BMS) w ponad 500 organizacjach: w 75 % organizacji były tam urządzenia z podatnościami, które napastnicy już wykorzystują. Taki system steruje wentylacją i klimatyzacją, oświetleniem, energią, windami i zabezpieczeniami budynku, w szpitalu tak samo jak w biurowcu. Do tego dochodzą sami dostawcy jako cel. Dragos policzył, że w drugim kwartale 2026 r. firmy związane z automatyką przemysłową (inżynieria, integratorzy, producenci urządzeń) były drugim najczęściej atakowanym ransomware sektorem, ze 117 incydentami. FBI opisało włamanie z marca i kwietnia 2025 r. do amerykańskiej firmy, która programowała SCADA dla energetyki i transportu: napastnicy przygotowali do wyniesienia około 800 plików, w tym dane SCADA klientów i schematy urządzeń. ## Dlaczego kilku serwisantów utrudnia inwentaryzację? W spółce komunalnej, którą mam w głowie, SCADA stacji uzdatniania pochodzi od integratora z 2012 r., oczyszczalnię uruchamiała inna firma przy rozbudowie w 2018 r., telemetrię przepompowni obsługuje trzecia firma przez modemy operatora GSM, a kotłownię i BMS budynku administracyjnego czwarta. Każda ma osobną umowę, osobny zdalny dostęp, własne hasła i własną dokumentację. Nikt w spółce nie ma tego na jednej liście, bo każdy kawałek kupowano w innym przetargu, z innego budżetu i za innego prezesa. Najgorzej mają się systemy, o których nikt już nie pamięta. Umowa serwisowa wygasła, firma została przejęta albo zamknęła działalność, a urządzenie nadal pracuje i nadal ma modem. Nie ma go w żadnej umowie, więc nie ma go w żadnym przeglądzie, a wiedzę o nim ma automatyk, który za dwa lata przejdzie na emeryturę. Właśnie takie starsze rozwiązania najczęściej zostają w systemie jako luka. **Każdy serwisant zna swoją część instalacji, ale całości nie zna nikt, a ustawa o KSC wymaga jej od podmiotu, nie od serwisantów.** Claroty w badaniu z 2024 r. obejmującym ponad 50 tys. urządzeń z włączonym zdalnym dostępem ustalił, że 55 % organizacji ma w sieci OT co najmniej cztery narzędzia zdalnego dostępu, a 33 % co najmniej sześć. Brytyjskie NCSC, CISA i FBI w zasadach bezpiecznej łączności OT ze stycznia 2026 r. zauważają, że każde dodatkowe połączenie dla zewnętrznego dostawcy, zwłaszcza zrobione doraźnie, wprowadza nowe podatności, a przestarzałe produkty trzeba traktować jako niezaufane. Ustawa o KSC wymienia zarządzanie aktywami wśród środków z art. 8 ust. 1 pkt 2 (lit. m), a bezpieczeństwo łańcucha dostaw w lit. e. Art. 8 ust. 2 nakazuje przy tym uwzględnić podatności związane z dostawcą sprzętu lub oprogramowania. Rekomendacja Pełnomocnika Rządu nr 2026-67a-9 z 15 października 2026 r. w pkt 2.1 zaleca kompletną i aktualną inwentaryzację aktywów ICT i OT, przypisanie im właścicieli i ustalenie, które usługi są dostępne z internetu. Ta sama rekomendacja w pkt 5 zaleca ograniczanie koncentracji usług u jednego dostawcy, więc kilku serwisantów samo w sobie nie jest błędem. Błędem jest brak jednego obrazu całości po stronie spółki. Inwentaryzację w takim podmiocie zaczynam od dokumentów, nie od skanowania sieci. Biorę rejestr umów i faktury za serwis z ostatnich lat, bo każda faktura wskazuje jakiś system i jakąś firmę. Potem z automatykiem obchodzę obiekty, bo przewodnik CISA o inwentaryzacji OT z 2025 r. słusznie zakłada, że starsze urządzenia trzeba czasem po prostu fizycznie obejrzeć. Przy każdej pozycji zapisuję, kto ją serwisuje, do kiedy obowiązuje umowa, jak wygląda zdalny dostęp, kto zna hasła i do kiedy producent wydaje poprawki. Od każdej firmy proszę o spis dostarczonego sprzętu i oprogramowania z opisem, jak łączy się z infrastrukturą spółki i jak będzie aktualizowane. Dokładnie tego wymagać od integratorów radzą CISA i FBI w dokumencie z 23 września 2026 r. Pozycje bez umowy i bez właściciela trafiają do rejestru ryzyka osobno, z decyzją do podjęcia. ## Co ustawa o KSC mówi o pieniądzach? Art. 8 ust. 1 pkt 2 ustawy o KSC wymaga wdrożenia środków „odpowiednich i proporcjonalnych do oszacowanego ryzyka”, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo incydentów, narażenie na ryzyka oraz skutki społeczne i gospodarcze. Mała spółka może więc wybrać tańsze zabezpieczenie niż duży podmiot, o ile szacowanie ryzyka pokazuje, że wystarczy. Art. 8d pkt 2 stanowi, że kierownik podmiotu kluczowego lub ważnego „planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa”. Art. 8c ust. 3 utrzymuje jego odpowiedzialność także wtedy, gdy obowiązki powierzył komuś innemu. Wybór między pompą, siecią a SCADA, o którym pisze prezes z Obornik, jest więc wprost obowiązkiem zarządu, a nie dylematem działu technicznego. **Brak pieniędzy jest argumentem w szacowaniu ryzyka, ale nie zwalnia z jego przeprowadzenia.** W praktyce dzielę środki na dwie grupy. Tanie, bo kosztują głównie czas: spis urządzeń i dostępów, wyłączenie zdalnych dostępów, których nikt nie używa, zmiana domyślnych haseł, zdalny dostęp włączany na żądanie przez spółkę, aneks do umowy serwisowej i przećwiczenie ręcznego prowadzenia procesu. Drogie: wymiana SCADA albo sterowników, dla których producent skończył wsparcie, nowa sieć z segmentacją, całodobowy monitoring. Pierwszą grupę da się zrobić z bieżącego budżetu w kilka miesięcy, drugą trzeba wpisać do planu inwestycyjnego, a dopóki nie jest zrobiona, kierownik podpisuje przyjęcie ryzyka z datą przeglądu. ## Skąd wziąć pieniądze na zabezpieczenie automatyki? Największym programem dla wodociągów były Cyberbezpieczne Wodociągi z Krajowego Planu Odbudowy. Nabór trwał od 1 września do 2 października 2025 r., minimalny grant wynosił 130 000 zł, a górną granicę wyznaczał limit pomocy de minimis 300 000 euro w trzech latach. Finansowanie obejmowało też obszar techniczny OT. Na liście rankingowej znalazły się 894 podmioty, pozytywnie oceniono 759 wniosków, podpisano 733 umowy, a pulę zwiększono z 313 mln zł do ponad 600 mln zł. Projekty trzeba zrealizować do 31 grudnia 2026 r. Drugiego naboru do dziś nie ogłoszono. Program Cyberbezpieczny Samorząd zakończył okres realizacji projektów 30 września 2026 r. Trwa nabór na Lokalne Centra Cyberbezpieczeństwa z programu Fundusze Europejskie na Rozwój Cyfrowy, 269,6 mln zł, wnioski do 30 listopada 2026 r., ale wnioskodawcą mogą być wyłącznie jednostki samorządu terytorialnego w partnerstwie co najmniej dwóch, nie spółki komunalne. Warto też przejrzeć regionalny program funduszy europejskich: w Lubelskiem działanie 15.1 dla infrastruktury wodno-kanalizacyjnej obejmowało cyberbezpieczeństwo, ale nabór zamknięto 20 sierpnia 2026 r. Ciepłownictwo idzie inną drogą. Prezes Izby Gospodarczej Ciepłownictwo Polskie Jacek Szymczak zapowiedział we wrześniu 2026 r., że część firm w 2027 r. podwoi nakłady na bezpieczeństwo, a izba zabiega, by regulator uznał te wydatki za koszty uzasadnione w taryfach. Programu dotacji na modernizację automatyki dla ciepłowni, szpitali ani zakładów produkcyjnych nie znalazłem. Na pytanie prezesa z Obornik odpowiadam: tak, ale pod jednym warunkiem. Program modernizacji SCADA ma sens dla spółki, która wie, co ma, bo inaczej dotacja kupi to, co da się kupić i rozliczyć przed terminem, a nie to, co najbardziej zagraża usłudze. Dlatego inwentaryzację i szacowanie ryzyka robiłbym teraz, z własnych pieniędzy, żeby przy następnym naborze mieć gotową listę potrzeb z uzasadnieniem. **Dotacja kończy się w dniu rozliczenia, a licencje, wsparcie producenta i monitoring trzeba opłacać dalej z własnego budżetu.** Dla beneficjentów Cyberbezpiecznych Wodociągów ten moment przypada na 2027 r. Jeśli plan finansowy na przyszły rok nie ma pozycji na utrzymanie tego, co kupiono z grantu, warto ją dopisać teraz, zanim budżet zostanie zamknięty. ## Jak wpisać cyberbezpieczeństwo do inwestycji i umów? Tu zgadzam się z prezesem w całości: bezpieczeństwo trzeba finansować już na etapie inwestycji. Art. 8 ust. 1 pkt 2 lit. b ustawy o KSC wymaga bezpieczeństwa w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, a rekomendacja nr 2026-67a-9 w pkt 3.1 zaleca uwzględnianie wymagań już przy planowaniu i zakupie oraz procedury dla urządzeń bez wsparcia producenta. Rekomendacja nr 2026-67-8 dla sektora wod-kan wymienia procedury wycofania urządzeń po zakończeniu wsparcia producenta jako element SZBI. Stosowanie obu rekomendacji jest dobrowolne (art. 67a ust. 5). Pomoże też unijny akt o cyberodporności (rozporządzenie 2024/2847). Od 11 września 2026 r. producenci produktów z elementami cyfrowymi zgłaszają aktywnie wykorzystywane podatności, a od 11 grudnia 2027 r. rozporządzenie stosuje się w całości. Producent będzie musiał określić okres wsparcia odpowiadający przewidywanemu czasowi używania produktu, co najmniej pięć lat, chyba że produkt ma być używany krócej, i podać datę jego końca, co najmniej miesiąc i rok, w chwili zakupu. Sterownik czy SCADA pracują w spółce komunalnej kilkanaście lat, więc tę datę warto porównać z własnym planem eksploatacji jeszcze przed wyborem oferty. Do dokumentacji przetargu na automatykę i do umów serwisowych wpisuję: - datę końca wsparcia bezpieczeństwa dla każdego dostarczonego produktu i to, czy aktualizacje w tym okresie są w cenie; - spis dostarczonego sprzętu i oprogramowania, aktualizowany przy każdej zmianie, z opisem połączeń z siecią spółki; - prawo spółki do kopii programów sterowników, projektów SCADA i dokumentacji sieci, przechowywanych u spółki; - zdalny dostęp tylko drogą, którą spółka kontroluje i loguje, włączany na żądanie, z imienną listą osób dostawcy; - obowiązek zgłaszania zmian w konfiguracji i incydentów po stronie dostawcy w określonym terminie; - koszt utrzymania przez cały okres eksploatacji w porównaniu ofert, a nie sama cena zakupu. Jak takie wymagania pogodzić z Prawem zamówień publicznych i co wpisać do aneksu do już podpisanej umowy, opisałem w tekście o [dostawcach spółki wod-kan](https://pelnomocnikcyber.pl/artykuly/dostawcy-spolki-wod-kan-jak-sprawdzac-co-wpisac-do-aneksu-i-jak-pogodzic-z-pzp/), a pytania do producenta oprogramowania w tekście o [secure by design](https://pelnomocnikcyber.pl/artykuly/czy-da-sie-wyjsc-z-wiecznego-latania-secure-by-design-i-pytania-do-dostawcy/). ## Od czego zacząć, gdy budżetu na ten rok już nie ma? Kolejność, którą proponuję zarządowi, nie wymaga nowej pozycji w budżecie, tylko czasu ludzi i serwisantów: 1. Zebrać umowy serwisowe i faktury z ostatnich lat i na ich podstawie spisać wszystkie systemy automatyki z firmą, która je obsługuje, i datą końca umowy. 2. Obejść obiekty z automatykiem i dopisać to, czego w umowach nie ma, zwłaszcza modemy i urządzenia po firmach, z którymi spółka już nie współpracuje. 3. Spisać wszystkie zdalne dostępy, wyłączyć nieużywane, a pozostałe przestawić na włączanie na żądanie z logiem. 4. Sprawdzić, co z automatyki widać z internetu i z prywatnego APN, i poprosić operatora GSM o potwierdzenie, że terminale w APN nie widzą się nawzajem. 5. Wpisać daty końca wsparcia producenta do rejestru ryzyka z terminem decyzji zarządu. 6. Przećwiczyć z obsługą ręczne prowadzenie procesu przy odłączonej SCADA. 7. Na podstawie tej listy przygotować plan wieloletni: co wymienić przy najbliższej modernizacji, co zgłosić do następnego naboru, a co odizolować i przyjąć na piśmie. Kiedy CERT Polska opublikuje kolejny komunikat o podatności w sterowniku, spółka z taką listą w kwadrans ustali, czy ma to urządzenie, kto je serwisuje i czy da się je jeszcze zaktualizować. ## Pojęcia w tym tekście - [Ustawa o KSC](https://pelnomocnikcyber.pl/slownik/ustawa-o-ksc/): Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. - [Kierownik podmiotu](https://pelnomocnikcyber.pl/slownik/kierownik-podmiotu/): Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. - [Incydent](https://pelnomocnikcyber.pl/slownik/incydent/): Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny. - [System SCADA](https://pelnomocnikcyber.pl/slownik/scada/): Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. - [Sterownik PLC](https://pelnomocnikcyber.pl/slownik/sterownik-plc/): Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem. - [CSIRT](https://pelnomocnikcyber.pl/slownik/csirt/): Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB). - [Nazwa punktu dostępowego](https://pelnomocnikcyber.pl/slownik/apn/): Access Point Name: brama, przez którą urządzenie z kartą SIM łączy się z inną siecią. Prywatny APN operatora komórkowego łączy modemy i sterowniki w telemetrii OT bez wychodzenia do internetu. - [Technologia operacyjna](https://pelnomocnikcyber.pl/slownik/ot/): Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT. - [System BMS](https://pelnomocnikcyber.pl/slownik/system-bms/): Building Management System: automatyka budynku, która steruje wentylacją, ogrzewaniem, oświetleniem, windami i kontrolą dostępu. Rodzaj OT, z własnymi sterownikami i zdalnym dostępem serwisu. - [Ransomware](https://pelnomocnikcyber.pl/slownik/ransomware/): Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. - [Zdalny dostęp](https://pelnomocnikcyber.pl/slownik/zdalny-dostep/): Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał. - [CISA](https://pelnomocnikcyber.pl/slownik/cisa/): Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. - [Łańcuch dostaw](https://pelnomocnikcyber.pl/slownik/lancuch-dostaw/): Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem. - [Rekomendacja Pełnomocnika](https://pelnomocnikcyber.pl/slownik/rekomendacja-pelnomocnika/): Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne. - [Szacowanie ryzyka](https://pelnomocnikcyber.pl/slownik/szacowanie-ryzyka/): Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”. - [System zarządzania bezpieczeństwem informacji](https://pelnomocnikcyber.pl/slownik/szbi/): Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. ## Najczęściej zadawane pytania ### Czy mała spółka może zabezpieczyć automatykę skromniej niż duży podmiot? Może, jeśli wynika to z szacowania ryzyka. Art. 8 ust. 1 pkt 2 ustawy o KSC wymaga środków technicznych i organizacyjnych odpowiednich i proporcjonalnych do oszacowanego ryzyka, uwzględniających między innymi koszty wdrożenia i wielkość podmiotu. Mała spółka może więc wybrać tańszy środek, ale musi umieć pokazać, że ryzyko przy nim zostaje na poziomie, który kierownik podmiotu świadomie przyjął. ### Czy ustawa o KSC wymaga spisu wszystkich urządzeń automatyki? Ustawa wymienia zarządzanie aktywami wśród środków z art. 8 ust. 1 pkt 2 (lit. m), a sterownik czy stacja SCADA wykorzystywane do świadczenia usługi wchodzą w system informacyjny, którego dotyczy art. 8 ust. 1. Rekomendacja Pełnomocnika Rządu nr 2026-67a-9 w pkt 2.1 zaleca kompletną i aktualną inwentaryzację aktywów ICT i OT z przypisanymi właścicielami; jej stosowanie jest dobrowolne (art. 67a ust. 5). ### Kto w podmiocie odpowiada za to, żeby na cyberbezpieczeństwo były pieniądze? Kierownik podmiotu. Art. 8d pkt 2 ustawy o KSC stanowi, że kierownik podmiotu kluczowego lub podmiotu ważnego planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa, a art. 8c ust. 3 utrzymuje jego odpowiedzialność także wtedy, gdy obowiązki powierzył innej osobie. ## Źródła 1. [Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami](https://eli.gov.pl/eli/DU/2026/20/ogl) 2. [Krzysztof Nowacki, prezes zarządu PWiK w Obornikach, post na LinkedIn o finansowaniu modernizacji automatyki i SCADA w wodociągach (październik 2026 r.)](https://www.linkedin.com/feed/update/urn:li:activity:7521086842633396224/) 3. [Rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026-67-8 z dnia 18 września 2026 r. dotycząca bezpieczeństwa systemów OT w sektorze wodociągowo-kanalizacyjnym (PDF)](https://www.gov.pl/attachment/53fb0a1f-7e77-4072-a8d8-bed6b8b8490d) 4. [Rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026-67a-9 z dnia 15 października 2026 r. dotycząca środków organizacyjnych i technicznych zwiększających poziom bezpieczeństwa systemów informacyjnych (PDF)](https://www.gov.pl/attachment/3f71d342-be78-4663-92b9-f33909841483) 5. [Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 w sprawie horyzontalnych wymogów cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi (akt o cyberodporności)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) 6. [Komisja Europejska, Cyber Resilience Act. Reporting obligations](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting) 7. [CERT Polska, Podatności w produktach boneIO (26 października 2026 r.)](https://cert.pl/posts/2026/10/CVE-2026-77052/) 8. [CERT Polska, Uzupełnienie raportu z incydentu w sektorze energii 29 grudnia 2025 (8 sierpnia 2026 r., PDF)](https://cert.pl/uploads/docs/CERT_Polska_Uzupelnienie_Raportu_Incydent_Sektor_Energii_2025.pdf) 9. [Najwyższa Izba Kontroli, Cyberbezpieczeństwo wybranych usług kluczowych, informacja o wynikach kontroli P/25/083 (27 sierpnia 2026 r., PDF)](https://www.nik.gov.pl/plik/id,32601.pdf) 10. [CISA i FBI, Considerations for Critical Infrastructure Operators Working With Third-Party ICS Integrators (23 września 2026 r., PDF)](https://www.ic3.gov/CSA/2026/260923.pdf) 11. [CISA, EPA, NSA i partnerzy, Foundations for OT Cybersecurity. Asset Inventory Guidance for Owners and Operators (13 sierpnia 2025 r., PDF, kopia EPA)](https://www.epa.gov/system/files/documents/2025-09/joint-guide-foundations-for-ot-cybersecurity-asset-inventory-guidance_508c.pdf) 12. [NCSC UK, CISA, FBI i partnerzy, Secure connectivity principles for operational technology (styczeń 2026 r.)](https://www.cyber.gov.au/business-government/secure-design/operational-technology-environments/secure-connectivity-principles-for-operational-technology) 13. [Claroty, 55 percent of OT environments contain four or more remote access tools (10 września 2024 r.)](https://blog.claroty.com/press-releases/55-percent-of-ot-environments-contain-four-or-more-remote-access-tools-greatly-expanding-attack-surface-and-operational-complexity) 14. [Claroty Team82, badanie ekspozycji systemów zarządzania budynkiem (25 czerwca 2025 r.)](https://claroty.com/press-releases/new-research-from-clarotys-team82-reveals-riskiest-building-management-system-exposures) 15. [Dragos, Industrial Ransomware Analysis Q2 2026 (10 sierpnia 2026 r.)](https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2026) 16. [Centralny Ośrodek Informatyki Polskiej Cyfryzacji (CPPC), Cyberbezpieczne Wodociągi, warunki naboru](https://www.gov.pl/web/cppc/start-naboru-cyberbezpieczne-wodociagi) 17. [CPPC, Cyberbezpieczna woda to spokojniejsze życie (16 lipca 2026 r.)](https://www.gov.pl/web/cppc/cyberbezpieczna-woda-to-spokojniejsze-zycie) 18. [Baza wiedzy gov.pl, Cyberbezpieczne Wodociągi - rozstrzygnięcie konkursu (10 lutego 2026 r.)](https://www.gov.pl/web/baza-wiedzy/cyberbezpieczne-wodociagi-rozstrzygniecie-konkursu) 19. [CPPC, nabór FERC.04.01-IP.01-003/26 na Lokalne Centra Cyberbezpieczeństwa (31 lipca 2026 r.)](https://www.gov.pl/web/cppc/uruchomienie-naboru-FERC0401IP0100326) 20. [CPPC, przedłużenie naboru FERC.04.01-IP.01-003/26 (8 października 2026 r.)](https://www.gov.pl/web/cppc/zmiana-dokumentacji-81020206) 21. [Fundusze Europejskie dla Lubelskiego 2021-2027, ulotka o naborach, Działanie 15.1 Bezpieczna i odporna infrastruktura wodno-kanalizacyjna (PDF)](https://funduszeue.lubelskie.pl/assets/files/56268/ulotka148-5x210_obronnosc_www.pdf) 22. [XYZ.pl, Ciepłownie podnoszą wydatki na bezpieczeństwo. Co z cenami ciepła? (17 września 2026 r.)](https://xyz.pl/cieplownie-podnosza-wydatki-na-bezpieczenstwo-co-z-cenami-ciepla/) Stan prawny sprawdzony: 28.10.2026. Wpis jest informacją ogólną, nie poradą prawną ([zasady publikacji](https://pelnomocnikcyber.pl/zasady-publikacji/)).