Nowe prawo o cyberbezpieczeństwie. Automatyka przemysłowa pod kontrolą. Odpowiedzialność spada na zarząd

Od kwietnia 2026 roku odpowiedzialność za bezpieczeństwo systemów sterowania m.in. w portach, stoczniach, terminalach i na morskich farmach wiatrowych, nie kończy się już na dziale IT. Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, przenosi obowiązki i sankcje na organy zarządzające podmiotów. Dla branży morskiej, opartej na rozległej infrastrukturze OT, to zmiana o znaczeniu strategicznym, tym bardziej że na przełomie 2025 i 2026 roku Polska doświadczyła udokumentowanego, destrukcyjnego ataku na infrastrukturę energetyczną.

bezpieczeństwo biznes pracuj na morzu prawo i podatki sprzęt i technologie wiadomości

09 czerwca 2026   |   21:35   |   Źródło: Gazeta Morska   |   Opracował: Kamil Kusier   |   Drukuj

fot. materiały prasowe

Nowe prawo już obowiązuje

3 kwietnia 2026 roku weszła w życie znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC), implementująca do polskiego prawa dyrektywę NIS2. Nowelizacja zastąpiła dotychczasowy model „operatorów usług kluczowych" i „dostawców usług cyfrowych" dwiema nowymi kategoriami: podmiotów kluczowych i podmiotów ważnych. O przynależności decyduje sektor działalności oraz kryteria wielkościowe, a katalog objętych branż obejmuje m.in. energetykę, transport (w tym morski i portowy), zaopatrzenie w wodę i gospodarkę ściekową, ochronę zdrowia, infrastrukturę cyfrową oraz wybrane rodzaje produkcji przemysłowej.

Co istotne, ustawa wprowadza obowiązek samoidentyfikacji: to nie urzędnik, lecz sama organizacja musi ocenić, czy podlega regulacji i w której kategorii. Samorejestracja w Wykazie KSC, prowadzonym w systemie S46, ruszyła 7 maja 2026 roku, a termin złożenia wniosku upływa 3 października 2026 roku. Brak wpisu w terminie oznacza niewypełnienie obowiązku ustawowego z ryzykiem sankcji i utraty zdolności do realizacji kontraktów publicznych włącznie.

Na tym kalendarz się nie kończy. Podmioty spełniające kryteria już w dniu wejścia ustawy w życie mają czas do 3 kwietnia 2027 roku na wdrożenie systemu zarządzania bezpieczeństwem informacji i pełne podłączenie do systemu S46, a pierwszy obowiązkowy audyt nowe podmioty kluczowe muszą przeprowadzić do 3 kwietnia 2028 roku.

Koniec ery „to problem działu IT"

Najgłębsza zmiana nie dotyczy listy obowiązków, lecz tego, kto za nie odpowiada. Ustawa przenosi odpowiedzialność z barków administratorów i automatyków bezpośrednio na organy zarządzające. To zarząd zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i może ponosić osobiste konsekwencje naruszeń, łącznie z obowiązkowym szkoleniem kierownictwa przewidzianym przez ustawę.

Wagę tym obowiązkom nadają sankcje finansowe, należące do najsurowszych w Unii. Dla podmiotów kluczowych to kara administracyjna do 10 mln euro lub 2 proc. rocznego obrotu, dla podmiotów ważnych do 7 mln euro lub 1,4 proc. obrotu. Okresu przejściowego nie należy przy tym traktować jako czasu bezczynności: terminy wykonawcze już biegną.

Incydent zgłaszany w 24 godziny

Nowy reżim narzuca rygorystyczne ramy raportowania. Wczesne ostrzeżenie trzeba przekazać w ciągu 24 godzin, pełne zgłoszenie incydentu w 72 godziny, a raport końcowy zasadniczo w ciągu miesiąca. Zgłoszenia trafiają do właściwego zespołu CSIRT (NASK, GOV lub MON) za pośrednictwem systemu S46.

W praktyce oznacza to nową dynamikę informacyjną. Przy presji czasu informacja o awarii sterowników PLC czy o podejrzanym ruchu w sieci SCADA może trafić do państwowego CSIRT, zanim pełny raport dotrze do zarządu. Bez sprawnych procedur eskalacji wewnętrznej kierownictwo naraża się na chroniczne ryzyko zaskoczenia sytuację, w której organ nadzorczy prowadzi już postępowanie, podczas gdy zarząd dopiero dowiaduje się o zdarzeniu.

Zagrożenie nie jest hipotetyczne

Że to nie ćwiczenie regulacyjne, pokazał koniec 2025 roku. 29 grudnia 2025 roku doszło do skoordynowanego, destrukcyjnego cyberataku na polski sektor energetyczny. Według raportu CERT Polska, opublikowanego 30 stycznia 2026 roku, celem było co najmniej 30 farm wiatrowych i fotowoltaicznych, duża elektrociepłownia dostarczająca ciepło niemal pół miliona odbiorców oraz przedsiębiorstwo z sektora produkcyjnego.

Atak miał charakter wyłącznie destrukcyjny nie był motywowany finansowo. Napastnicy uzyskali dostęp przez podatne, wystawione do internetu urządzenia brzegowe (m.in. koncentratory VPN bez uwierzytelniania wieloskładnikowego), wykorzystali domyślne konta i hasła w urządzeniach automatyki, a następnie uruchomili złośliwe oprogramowanie typu wiper, niszczące dane i blokujące pracę urządzeń przemysłowych. Ucierpiały komponenty typowo OT: sterowniki RTU, lokalne panele HMI, sterowniki zabezpieczeń. CERT Polska wskazał, że infrastruktura i sposób działania napastnika nakładały się na aktywność klastrów (Static Tundra / Berserk Bear, Dragonfly, Ghost Blizzard) wiązanych z aktorami powiązanymi z rosyjskim państwem.

Sprawa wykroczyła poza polskie granice. 10–11 lutego 2026 roku amerykańska agencja CISA wydała alert dla operatorów infrastruktury krytycznej, którego celem było, jak sama wskazała „wzmocnienie" raportu CERT Polska i zwrócenie uwagi na zagrożenia dla środowisk OT/ICS, zwłaszcza ryzyko płynące z niezabezpieczonych urządzeń brzegowych. Polski incydent stał się tym samym ostrzeżeniem dla operatorów infrastruktury w państwach sojuszniczych.

Sektor morski w zasięgu regulacji

Gospodarka morska to jeden z najgęstszych ekosystemów OT w kraju. Terminale portowe sterują pracą suwnic, systemów TOS i automatyki przeładunkowej; stocznie i zakłady produkcyjne opierają się na sieciach sterowania; a rozwijający się polski offshore wind na Bałtyku to dokładnie ta klasa infrastruktury, stacje elektroenergetyczne, telemechanika, zdalny nadzór – która w grudniu 2025 roku znalazła się na celowniku. Grudniowy atak dotyczył instalacji lądowych, ale wektory ryzyka (urządzenia brzegowe, brak MFA, domyślne hasła, słaba segmentacja IT/OT) są w środowisku morskim identyczne.

Jeżeli świadczenie usługi zależy od OT/ICS, ocena ryzyka i audyt powinny objąć także te środowiska. W praktyce segmentacja sieci IT/OT to jeden z podstawowych środków wynikających z tej oceny, obok systemu zarządzania bezpieczeństwem informacji i procedur reagowania na incydenty.

Najsłabsze ogniwo: luka kompetencyjna

Największym pojedynczym czynnikiem ryzyka w wielu organizacjach pozostaje rozziew kompetencji między światem IT a światem automatyki. Specjalista IT zwykle nie zna protokołów przemysłowych (Modbus, DNP3, Profinet); inżynier automatyki rzadko myśli kategoriami modeli zagrożeń. Klasyczne szkolenia IT tej luki nie zamykają – potrzebne są programy dedykowane środowisku OT, łączące realia automatyki z wymogami NIS2, normy IEC 62443 i nowelizacji KSC.

Odpowiedź rynku: Akademia Bezpieczeństwa ASE i Enterosoft

Naprzeciw nowym wymogom wychodzi Akademia Bezpieczeństwa z Grupy Technologicznej ASE wraz ze spółką Enterosoft. Oferują autorski, praktyczny program szkoleń dedykowany środowiskom OT/IT, skierowany jednocześnie do automatyków i administratorów obsługujących na co dzień systemy SCADA, PLC, DCS i sieci przemysłowe. Program łączy świat automatyki z wymogami NIS2, normą IEC 62443 i nowelizacją KSC. Poza szkoleniami Akademia wykonuje audyty bezpieczeństwa OT oraz wdrożenia od segmentacji sieci po systemy zarządzania incydentami zgodne z reżimem CSIRT/S46. To wsparcie, które pozwala przejść z trybu reaktywnego do udokumentowanej zgodności i realnej odporności.

• Cykl szkoleń online „Cyberbezpieczeństwo OT w praktyce": zobacz szczegóły klikając tutaj.
• Rejestracja: szkolenia@ase.com.pl.
• Kontakt: Grzegorz Kulczykowski, tel. +48 601 480 291.

Postaw nam kawę, a my postawimy na dobrą morską publicystykę! Wspieraj Gazetę Morską i pomóż nam płynąć dalej - kliknij tutaj!

cyberbezpieczeństwo OT NIS2 Enterosoft nowelizacja ustawy KSC bezpieczeństwo SCADA

komentarze

---

wpisz treść

nick

SKOMENTUJ

Dodaj pierwszy komentarz