NIK: Dostawy energii i wody pitnej niewystarczająco zabezpieczone przed cyberatakami

Energetyczne spółki mają sporo do poprawienia

W czwartkowym komunikacie NIK przekazała, że kontroli poddała Ministerstwo Cyfryzacji, Ministerstwo Energii, Ministerstwo Infrastruktury oraz ośmiu operatorów usług kluczowych (w sektorach: transport, dostawy energii oraz zaopatrzenie w wodę pitną i jej dystrybucja). Okres objęty kontrolą to 1 stycznia 2021 r. - 16 lutego 2026 r.

Środki niewystarczające i nieadekwatne do zagrożeń

Zdaniem Izby środki cyberbezpieczeństwa stosowane w latach 2021-2025 przez ośmiu skontrolowanych przez NIK operatorów usług kluczowych, którzy dostarczali energię i wodę pitną oraz zapewniali transport kolejowy i wodny były niewystarczające i nieadekwatne do obecnego charakteru zagrożeń oraz ich skali.

"Niewystarczający był też nadzór sprawowany nad cyberbezpieczeństwem w tych sektorach przez ministrów: energii i infrastruktury. Mimo że wiedzieli o niedostatecznym zabezpieczeniu przed cyberatakami podstawowych usług, nie podjęli odpowiednich działań nadzorczych i nie skontrolowali operatorów odpowiedzialnych za zapewnienie bezpieczeństwa usług. Oznaczało to, że mechanizmy Krajowego Systemu Cyberbezpieczeństwa (KSC) nie zapewniły skutecznego identyfikowania i egzekwowania od operatorów realizacji nałożonych na nich obowiązków. Jest to tym bardziej niepokojące, że od utworzenia KSC upłynęło już ponad siedem lat, a w 2025 r. Polska była jednym z najczęściej atakowanych przez cyberprzestępców państw na świecie" - poinformowała w czwartkowym komunikacie.

Izba podkreśliła, że sieci i systemy informatyczne oraz łączności elektronicznej odgrywają kluczową rolę w społeczeństwie i stanowią fundament wzrostu gospodarczego. 

"Zakłócenie ich działania może prowadzić do przerw w dostawach energii i wody, ograniczenia funkcjonowania transportu, strat gospodarczych, a także zagrożenia bezpieczeństwa ludzi. Wyniki kontroli NIK wskazują na powtarzające się i istotne słabości zarządzania cyberbezpieczeństwem oraz nadzoru w zbadanych sektorach" - zaznaczyła NIK.

Niska odporność na atak

W jej ocenie żaden z ośmiu skontrolowanych operatorów nie zapewnił systemom służącym do świadczenia usługi kluczowej, odporności na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych. W dodatku sześciu operatorów "systematycznie ignorowało krytyczne alerty generowane przez systemy monitorujące i zabezpieczające, a w skrajnych przypadkach w ogóle nie prowadziło takiego monitoringu, choć skala zagrożeń cybernetycznych systematycznie rosła". W konsekwencji - jak relacjonuje NIK - mogli nawet nie wiedzieć, że doszło do ataku na ich systemy.

"W 2025 r. Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT) z poziomu krajowego obsłużyły niemal 273 tys. tzw. incydentów - o 144,4 proc. więcej niż rok wcześniej, co oznacza, że do incydentu w polskiej cyberprzestrzeni dochodziło statystycznie średnio co dwie minuty. Zaliczamy do nich każde zdarzenie, które m.in. zakłóca działanie systemów informatycznych, zagraża poufności danych lub narusza zasady bezpieczeństwa technologii informacyjnych (Information Technology, IT)" - wskazała Izba.

Zaznaczyła, że szczególne znaczenie mają incydenty dotyczące systemów wykorzystywanych do świadczenia usług kluczowych, ponieważ ich skutki mogą wykraczać poza sferę cyfrową. NIK wyjaśniła, że atak hakerski na wodociągi umożliwia np. manipulowanie parametrami wody, a przykładowo zwiększenie w niej ilości chloru może zagrażać zdrowiu, a nawet życiu jej odbiorców. 

Hakerzy są silni, system - nie

"Przejęcie kontroli przez hakerów nad sieciami elektroenergetycznymi może prowadzić do rozległych i długotrwałych przerw w dostawach prądu. Dodatkowo Polska, jako członek Unii Europejskiej i NATO, mierzy się z zagrożeniami ze strony cyberprzestępczych grup hakerskich, czy grup sponsorowanych przez obce państwa" - zauważyła NIK.

Według niej w obliczu rosnącej powszechności technicznie zaawansowanych metod ataku, takich jak złośliwe oprogramowanie, czy z wykorzystaniem sztucznej inteligencji, utrzymywanie i ciągłe doskonalenie standardów bezpieczeństwa przestaje być kwestią techniczną. 

"Staje się ono niezbędnym elementem zgodności z wymogami prawnymi oraz wyrazem odpowiedzialności za stabilność całego systemu, w którym działalność jednego podmiotu bezpośrednio wpływa na funkcjonowanie innych uczestników rynku i konsumentów" - podkreśliła Izba.

Zdaniem NIK w obliczu napięć geopolitycznych i ekonomicznych kluczowe staje się również identyfikowanie nawet marginalnych zagrożeń w zakresie cyberbezpieczeństwa.