Cyberbezpieczeństwo infrastruktury OT/SCADA w zakładach przemysłowych

Dlaczego cyberbezpieczeństwo OT jest dziś osobnym tematem

Przez wiele lat polityka cyberbezpieczeństwa w polskich zakładach przemysłowych była tematem działu IT – i koncentrowała się na ochronie sieci biurowej, danych korporacyjnych, systemów ERP. Cyberbezpieczeństwo systemów sterowania przemysłowego (Operational Technology, OT – w tym SCADA, PLC, HMI, automatyki energetycznej) traktowane było jako temat odrębny, niedostatecznie zauważalny, często wręcz niezdefiniowany w kompetencyjnej strukturze organizacji.

Sytuacja zmienia się z trzech powodów. Po pierwsze, postępująca digitalizacja zakładów oznacza, że systemy OT są coraz silniej zintegrowane z siecią korporacyjną – co zwiększa powierzchnię ataku. Po drugie, nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), wdrażająca NIS2, weszła w życie 3 kwietnia 2026 r. Obowiązki i terminy przejściowe ustala się dla konkretnego podmiotu. Po trzecie – i to jest decydujące – incydenty w europejskim przemyśle pokazują, że ataki na OT realnie się zdarzają, mają realne konsekwencje, i potrafią zatrzymywać produkcję na tygodnie.

Typowe luki cyberbezpieczeństwa OT w polskich zakładach

Przy ocenie bezpieczeństwa sieci sterowania warto sprawdzić następujące obszary:

• Brak segmentacji sieci – system SCADA dostępny z sieci biurowej, czasem nawet z Internetu. To jest scenariusz, w którym jeden zainfekowany komputer w księgowości może spowodować zatrzymanie linii produkcyjnej.
• Domyślne hasła w urządzeniach automatyki – sterowniki, falowniki, układy automatyki energetycznej często pracują na fabrycznych hasłach producenta.
• Przestarzałe firmware'y – urządzenia w sieci OT pracują na firmware'ach sprzed lat, bez aktualizacji bezpieczeństwa.
• Monitoring sieci OT powinien pozwalać wykrywać nietypowy ruch i zdarzenia w urządzeniach sterowania. Zakres ochrony dobieramy do architektury zakładu i ryzyka. Obecność narzędzi bezpieczeństwa w sieci IT nie potwierdza zabezpieczenia środowiska OT.
• Niezabezpieczone porty serwisowe – dostępne fizycznie w obiektach, często bez kontroli kto i kiedy z nich korzystał.
• Brak planów reagowania na incydent – w razie ataku, kto kogo informuje, kto podejmuje decyzję o izolacji sieci, kto zarządza komunikacją kryzysową.

Każda z tych luk – w pojedynkę – wydaje się problemem technicznym. Razem stanowią systemową lukę odporności zakładu. Dlatego cyberbezpieczeństwo OT jest jednym z siedmiu obszarów audytu niezależności energetycznej.

Co powinno znaleźć się w polityce cyberbezpieczeństwa OT zakładu strategicznego

Dobre praktyki cyberbezpieczeństwa OT opisują seria norm IEC 62443 i wytyczne NIST SP 800-82. Dla sektora elektroenergetycznego znaczenie ma również kodeks sieci ustanowiony rozporządzeniem delegowanym (UE) 2024/1366, uzupełniającym rozporządzenie (UE) 2019/943. Zakres zastosowania tych dokumentów trzeba ustalić dla danego podmiotu. Polityka cyberbezpieczeństwa powinna obejmować następujące elementy:

1. Segmentacja sieci OT od sieci IT

Fizyczna lub logiczna separacja, z dokładnie zdefiniowanymi i monitorowanymi przejściami między strefami. Standard „Purdue Model” jest punktem wyjścia.

2. Inwentaryzacja urządzeń OT

Pełna lista urządzeń, ich firmware'ów, konfiguracji, kont serwisowych, znanych podatności.

3. Monitoring i wykrywanie anomalii

Systemy klasy IDS/IPS dedykowane dla OT, monitorujące ruch w sieci sterowania, wykrywające nietypowe wzorce komunikacji.

4. Zarządzanie tożsamością i dostępem

Indywidualne konta serwisowe, polityki silnych haseł, dwuskładnikowa autoryzacja dla dostępów krytycznych, rejestracja sesji.

5. Plany ciągłości działania (BCP) i reagowania na incydent

Procedury postępowania w razie wykrycia incydentu – kto kogo informuje, kto wykonuje izolację, kto komunikuje się z dostawcami systemów, kto zarządza komunikacją zewnętrzną.

6. Cykliczne testy i ćwiczenia

Penetracyjne testy systemów OT (w trybie kontrolowanym, w warunkach przeglądów technicznych). Ćwiczenia praktyczne procedur reagowania.

7. Zgodność regulacyjna

Mapowanie obowiązków wynikających z NIS2, KSC (Krajowy System Cyberbezpieczeństwa), oraz innych aktów regulujących sektory krytyczne.

Cyberbezpieczeństwo a inwestycje w EMS i automatykę

Tu pojawia się ważny paradoks. Inwestycje w nowoczesne systemy zarządzania energią (EMS), monitoring 15-minutowy, automatykę bilansującą, BESS sterowany rynkowo – zwiększają cyfrową powierzchnię zakładu. Każdy nowy element automatyki to potencjalnie nowy wektor ataku.

Inwestycje w EMS i automatykę planujemy razem z ochroną sieci OT. Projekt powinien określać segmentację, monitoring, dostęp serwisowy i procedurę reagowania na incydent.

Z naszego doświadczenia, inwestycje w sterowalność energetyczną zakładu (drugi z czterech filarów odporności) i inwestycje w cyberbezpieczeństwo OT powinny być planowane razem, jako elementy jednego programu. Rozdzielenie ich na osobne projekty – prowadzone przez różne zespoły, w różnych horyzontach czasowych – prowadzi do sytuacji, w której z jednej strony rośnie zaawansowanie systemów, z drugiej rośnie ekspozycja na ryzyko. Zakład, który ma najlepszy w branży EMS, ale brak segmentacji sieci, jest mniej odporny niż zakład, który ma proste sterowanie, ale dobrze zaprojektowaną architekturę bezpieczeństwa.

Konkluzja

Cyberbezpieczeństwo infrastruktury energetycznej powinno być częścią planu odporności zakładu. Inwestycje w EMS i automatykę trzeba połączyć z segmentacją sieci, monitoringiem i procedurą reagowania na incydent.