Polski sektor energii z lukami w cyberbezpieczeństwie. NIK publikuje niepokojący raport
Najwyższa Izba Kontroli opublikowała wyniki kontroli dotyczącej cyberbezpieczeństwa operatorów usług kluczowych w Polsce. W raporcie oceniono, że zarówno kontrolowani operatorzy z sektora energetycznego, jak i nadzorujący ich minister nie zapewnili odpowiedniego poziomu ochrony systemów informatycznych przed cyberatakami.
Kontrolą NIK, przeprowadzoną w latach 2021–2025, objęto ośmiu operatorów usług kluczowych, w tym trzech z sektora energii. Wszyscy skontrolowani operatorzy – niezależnie od branży – nie zapewnili odpowiedniego poziomu cyberbezpieczeństwa systemów wykorzystywanych do świadczenia usług kluczowych, mimo że mają taki obowiązek od 2019 r.
Kontrolerzy uzupełnili swoje ustalenia analizą 44 sprawozdań z audytów bezpieczeństwa spośród 178 przekazanych organom nadzorczym. W przypadku sektora energii szczegółowej analizie poddano 23 z 136 sprawozdań przekazanych przez operatorów Ministrowi Energii, który sprawuje nadzór nad 71 podmiotami z tej branży.
Minister nie egzekwował obowiązków, mimo sygnałów o zaniedbaniach
Z raportu wynika, że minister właściwy ds. energii – funkcję tę do 23 lipca 2025 r. pełnił Minister Klimatu i Środowiska, a od 24 lipca 2025 r. Minister Energii – nie wszczął kontroli ani postępowania w sprawie nałożenia kary pieniężnej wobec 14 z 71 nadzorowanych operatorów, mimo że w sprawozdaniach z ich audytów stwierdzono zaniechanie istotnych obowiązków w zakresie przeciwdziałania cyberzagrożeniom.
Dodatkowe badanie analityczne NIK wykazało, że w 57 przypadkach operatorzy nadzorowani przez ministra ds. energii nie przeprowadzili terminowo wymaganych ustawą audytów bezpieczeństwa (na 80 takich przypadków łącznie we wszystkich badanych sektorach).
Dopiero w trakcie kontroli NIK minister wszczął cztery postępowania w tej sprawie. Łączna szacowana wartość kar pieniężnych za nieterminowe audyty we wszystkich objętych analizą sektorach wyniosłaby ok. 3,72 mln zł.
Braki kadrowe ograniczyły skuteczność nadzoru
Jako główną przyczynę zaniechań kontrolerzy wskazali niedobory kadrowe. Do końca 2024 r. zadania organu ds. cyberbezpieczeństwa w sektorze energii realizowało dziewięciu pracowników zatrudnionych na osiem etatów – zgodnie z limitem przewidzianym w ustawie o krajowym systemie cyberbezpieczeństwa (KSC). W 2025 r. liczbę etatów zmniejszono jednak do sześciu.
Roczny ustawowy limit wydatków na wynagrodzenia dla tej komórki wynosił 789 tys. zł i był w pełni wykorzystywany, jednak w latach 2021–2024 aż 33,2 proc. (ok. 1,05 mln zł) rzeczywistych wydatków na wynagrodzenia sfinansowano dodatkowo ze środków własnych ministerstwa. NIK zwraca uwagę, że w 2020 r., a więc jeszcze przed okresem objętym kontrolą, resort podjął działania w celu zwiększenia zatrudnienia i środków finansowych na realizację tych zadań, ale zaniechał ich w kolejnych pięciu latach.
Minister opracował dwie rekomendacje dotyczące wzmocnienia cyberbezpieczeństwa w sektorze. Zalecono przygotowanie wytycznych sektorowych w zakresie zgłaszania incydentów. P
rzypomnijmy, że obecnie rząd pracuje nad rozporządzeniem, które określi progi kwalifikujące incydent cyberbezpieczeństwa jako „poważny” w piętnastu sektorach gospodarki – od energetyki i transportu, po ochronę zdrowia i gospodarkę odpadami. Projekt o numerze RD326, przygotowany przez Ministerstwo Cyfryzacji, ma zastąpić przepisy obowiązujące od 2018 r. i dostosować krajowy system zgłaszania incydentów do unijnej dyrektywy NIS2, a jego przyjęcie przez rząd planowane jest na trzeci lub czwarty kwartał 2026 r. Obowiązek zgłaszania poważnych incydentów wynika z ustawy o krajowym systemie cyberbezpieczeństwa z 5 lipca 2018 r., zgodnie z którą podmioty kluczowe oraz podmioty ważne (firmy i instytucje działające w sektorach uznanych za strategiczne dla funkcjonowania państwa) mają 72 godziny od wykrycia incydentu na zgłoszenie go do właściwego zespołu CSIRT sektorowego, za pośrednictwem dedykowanego systemu teleinformatycznego.
Wspólnie z Ministerstwem Cyfryzacji, CERT Polska (działającym w strukturach CSIRT NASK) oraz Polskimi Sieciami Elektroenergetycznymi (CERT PSE) powinny być też opracowane wytyczne dotyczące cyberbezpieczeństwa dla prosumentów energii odnawialnej. Nie skorzystał jednak z przewidzianego ustawą uprawnienia do powołania sektorowego zespołu cyberbezpieczeństwa.
Zagrożenia realne? Atak na farmy OZE
Skala incydentów cyberbezpieczeństwa w Polsce rośnie systematycznie. Jak wynika ze sprawozdania Pełnomocnika Rządu ds. Cyberbezpieczeństwa za 2025 r., zespoły CSIRT poziomu krajowego obsłużyły w tym okresie niemal 273 tys. incydentów, o 144,4 proc. więcej niż rok wcześniej, co oznacza średnio jeden incydent co dwie minuty. NIK, powołując się na osobny raport CERT Polska z 2026 r., wskazuje jako przykład zidentyfikowany wektor ataku wymierzony w farmy odnawialnych źródeł energii.
Wśród nieprawidłowości stwierdzonych u kontrolowanych operatorów – bez wskazania konkretnej branży – NIK wymienia m.in. eksploatację urządzeń brzegowych sieci przemysłowych (OT) z oprogramowaniem pozbawionym wsparcia producenta przez ponad 426 dni, utrzymywanie podatności ocenianych na 9,8–10 w skali CVSS (czyli krytycznych) w oprogramowaniu macierzy dyskowych, a także fizyczne połączenie elementów uwierzytelniania dwuskładnikowego przy wejściu do serwerowni OT, co całkowicie eliminowało dodatkową warstwę zabezpieczeń.
Nowe przepisy obejmą tysiące podmiotów energetycznych
Kontrola NIK dotyczyła okresu funkcjonowania systemu w oparciu o unijną dyrektywę NIS1. W trakcie jej trwania Polska wdrożyła jednak z opóźnieniem dyrektywę NIS2 – termin transpozycji minął 17 października 2024 r., a odpowiednia nowelizacja ustawy o KSC weszła w życie dopiero 3 kwietnia 2026 r., czyli 532 dni po terminie.
W efekcie liczba podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa wzrosła w całym kraju z 397 do ponad 38 tys., z czego znaczną część stanowić będą także mniejsze podmioty z branży energetycznej i ciepłowniczej, dotąd niepodlegające tym wymogom.
Ministerstwo Cyfryzacji zaplanowało na wsparcie wdrożenia nowych przepisów projekty o łącznym budżecie 771,5 mln zł, w tym 500 mln zł w ramach programu wsparcia finansowego cyberbezpieczeństwa związanego z NIS2.
Cyberbezpieczeństwo to już warunek transformacji energetycznej
Ustalenia NIK pokazują, że rozwój odnawialnych źródeł energii i postępująca cyfryzacja sieci energetycznych – od inteligentnych liczników po zdalnie zarządzane farmy fotowoltaiczne i wiatrowe – tworzą nową, rozproszoną powierzchnię ataku, której dotychczasowy model nadzoru nie nadążał obejmować. Skoro nawet duzi, od lat zidentyfikowani operatorzy usług kluczowych nie potrafili utrzymać podstawowych zabezpieczeń technicznych i fizycznych, pytanie o gotowość tysięcy mniejszych podmiotów energetycznych, które od kwietnia 2026 r. również podlegają rygorom ustawy o KSC, staje się kluczowe dla bezpieczeństwa całego systemu elektroenergetycznego.
Rosnąca liczba incydentów w cyberprzestrzeni, w tym udokumentowana próba ataku na infrastrukturę OZE, pokazuje, że bezpieczeństwo cyfrowe przestaje być kwestią wyłącznie techniczną, a staje się integralnym elementem bezpieczeństwa energetycznego państwa.
Skuteczne wdrożenie dyrektywy NIS2 wraz z zapowiadanymi przez Ministerstwo Cyfryzacji nakładami i wzmocnieniem kadrowym organów nadzoru będzie testem tego, czy Polska zdoła nadążyć za tempem transformacji energetycznej bez tworzenia nowych, niekontrolowanych luk w zabezpieczeniach.
Patrycja Rapacka
patrycja.rapacka@gramwzielone.pl
© Materiał chroniony prawem autorskim. Wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu tylko za zgodą wydawcy E-Magazyny Sp. z o.o.
