Cyberbezpieczeństwo kierowców – co zmieniają nowe przepisy NIS2?

fot. Adobe Stock

Wyobraź sobie samochód, który ma ponad 150 jednostek sterujących (ECU), około 200 czujników, 100 milionów linii kodu źródłowego i przez całą dobę pozostaje połączony z internetem. Brzmi jak opis science-fiction? Nie, to opis dzisiejszego przeciętnego samochodu elektrycznego. Właśnie dlatego Unia Europejska wprowadza przepisy NIS2

Jeszcze kilka lat temu kierowcy zastanawiali się głównie nad mocą silnika i zużyciem paliwa. Dziś coraz większe znaczenie mają dane, oprogramowanie i cyberbezpieczeństwo. Rynek software’u i elektroniki dla sektora automotive może osiągnąć wartość aż 462 miliardów dolarów. To właśnie dlatego Unia Europejska wdraża nowe przepisy NIS2, które mają chronić nie tylko firmy, ale także miliony użytkowników pojazdów elektrycznych. Skala cyfrowych zależności sprawia, że cyberbezpieczeństwo staje się warunkiem funkcjonowania całego ekosystemu mobilności.

Samochód przyszłości to centrum danych na kołach

Nowoczesny elektryk nieustannie zbiera informacje o swoim otoczeniu. Kamery, radary i około 200 czujników nieustannie monitorują sytuację na drodze, zbierając dane o otoczeniu, stanie pojazdu, stylu jazdy, a często także o samym kierowcy i pasażerach. Eksperci zwracają uwagę, że samochód staje się coraz bardziej podobny do smartfona. Różnica polega na tym, że waży dwie tony i porusza się z prędkością 140 km/h.

Skala zmian jest ogromna. W ciągu ostatnich ośmiu lat w Europie zarejestrowano 8 650 488 samochodów elektrycznych. Tylko na przestrzeni czterech miesięcy bieżącego roku przybyło ich 747 159 sztuk. To skokowy wzrost o 80,9% rok do roku. Według prognoz do 2030 roku po europejskich drogach będzie jeździło 70 milionów pojazdów elektrycznych, a aż 95% nowych aut będzie na stałe połączonych z internetem.

Ta cyfrowa transformacja zmienia całe otoczenie pojazdu. Nowoczesny samochód opiera się na tysiącach półprzewodników i układach scalonych, a jego oprogramowanie jest aktualizowane zdalnie (OTA). Z kolei stacje ładowania przesyłają dane telemetryczne do backendów co 1–5 sekund, codziennie wymieniając setki tysięcy komunikatów w strukturze protokołu OCPP (Open Charge Point Protocol). Ponadto w 2025 roku globalne wykorzystanie baterii w pojazdach elektrycznych sięgnęło 1,2 TWh, na świecie zainstalowano 108 GW nowych magazynów energii, a w Unii Europejskiej działa już ponad milion publicznych punktów ładowania połączonych z siecią energetyczną.

Dlaczego Unia Europejska zaczęła się niepokoić?

Powód jest prosty. Im więcej urządzeń i połączeń jest połączonych z siecią, tym większa jest powierzchnia potencjalnego ataku dla cyberprzestępców. Skala zagrożeń rośnie lawinowo – liczba incydentów obsłużonych przez CERT Polska wzrosła z około 10 tysięcy w 2020 roku do ponad 260 tysięcy w 2025 roku. Liczby nie kłamią – to około 25-krotny wzrost w ciągu pięciu lat.

Szczególnie narażony jest sektor transportu. Według danych ENISA transport należy do sektorów o jednym z najwyższych udziałów odnotowywanych incydentów. Kolejne to administracja publiczna i sektor finansowy. Co więcej, udział w ogólnej liczbie ataków w sektorze transportowym systematycznie rośnie. Współczesny samochód komunikuje się nie tylko z kierowcą. Łączy się także z producentem, aplikacją mobilną, stacjami ładowania, systemami płatności, operatorami energetycznymi i usługami chmurowymi.

Każda sesja ładowania to wymiana danych między pojazdem, ładowarką, backendem operatora, systemem płatności i siecią energetyczną. Liczba tych sesji w Polsce ma wzrosnąć z 17,8 miliona w 2026 roku do ponad 200 milionów w 2030 roku, co pokazuje ogromną skalę cyfrowych połączeń, które trzeba zabezpieczyć.

Co NIS2 i polskie prawo zmienią dla sektora nowej mobilności?

Nowe przepisy nakładają na firmy obowiązek znacznie lepszego zabezpieczania swoich systemów. Dla użytkownika oznacza to przede wszystkim większą ochronę przed sytuacjami, takimi jak przejęcie kontroli nad systemami stacji ładowania, wycieki danych użytkowników, ataki na aplikacje służące do obsługi pojazdu czy zakłócenie działania infrastruktury energetycznej obsługującej ładowarki i systemy producentów.

Wdrożenie dyrektywy NIS2 odbywa się w Polsce za sprawą Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC), która obowiązuje od 3 kwietnia 2026 roku. Przepisy te obejmują ponad 20 podsektorów nowej mobilności – od producentów pojazdów, baterii i półprzewodników, przez operatorów stacji ładowania i sieci energetyczne, po dostawców oprogramowania, usług chmurowych i inteligentnych systemów transportowych.

Co czeka sektor transportowy w najbliższym czasie?

Kalendarz wdrażania wymagań prawnych jest ściśle określony. Do 3 października 2026 roku podmioty kluczowe i ważne muszą zarejestrować się w specjalnym rejestrze. Następnie do 3 kwietnia 2027 roku firmy mają czas na wdrożenie pełnych wymogów ustawy dotyczących zarządzania ryzykiem i ciągłości działania. W 2028 roku czeka je obowiązkowy pierwszy audyt. Ponadto nowe przepisy wprowadzają też rygorystyczny reżim zgłaszania incydentów. Firmy mają zaledwie 24 godziny na zgłoszenie wstępne i 72 godziny na zgłoszenie incydentu poważnego.

Konsekwencje prawne i biznesowe wykraczają daleko poza podmioty bezpośrednio objęte regulacją. Wymagania dotyczące audytów, zarządzania ryzykiem i raportowania będą przenoszone w głąb łańcucha dostaw. Zaczynają dotyczyć partnerów, dostawców Tier 1 i Tier 2, podwykonawców, integratorów i partnerów technologicznych poprzez klauzule kontraktowe. Ustawa przewiduje również mechanizm uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. W konsekwencji może to nawet oznaczać obowiązek wycofania jego produktów z systemów ICT w terminie do 7 lat.

Co ważne, nowe przepisy po raz pierwszy stawiają zarząd, a nie dział IT, w centrum odpowiedzialności za wszystkie działania dotyczące zabezpieczenia przed atakami. Firmy, które zlekceważą te przepisy, narażają się nie tylko na utratę pozycji konkurencyjnej, ale także na surowe sankcje osobiste dla osób zarządzających. Mogą one sięgać nawet 300% ich wynagrodzenia. Dodatkowo branża musi odnieść się do istniejących już standardów technicznych. Sa to m.in regulamin ONZ nr 155 dotyczący zarządzania cyberbezpieczeństwem pojazdów, norma ISO/SAE 21434 obejmująca cały cykl życia produktu. Funkcjonuje również ISO 15118-20 – norma zabezpieczająca komunikację między pojazdem i ładowarką.

Przepisy NIS2: samochody autonomiczne podnoszą stawkę

Dzisiaj większość kierowców nadal samodzielnie prowadzi swoje auta. Jednak producenci coraz śmielej rozwijają funkcje autonomiczne – od adaptacyjnego tempomatu i systemów wspomagania pasa ruchu, po coraz bardziej rozwinięte funkcje autonomiczne.

Według danych branżowych nawet 9 na 10 wypadków komunikacyjnych jest spowodowanych błędem człowieka. Niewątpliwie rozwój systemów autonomicznych ma w długim terminie pomóc ograniczyć tę liczbę. Jednak każdy krok w stronę większej autonomii oznacza też głębszą zależność pojazdu od oprogramowania, czujników i stałej łączności z siecią . Tym samym pojawiają się wyższe wymagania wobec cyberbezpieczeństwa. Awaria, błąd czy potencjalny atak na systemy odpowiedzialne za sterowanie pojazdem, hamowanie czy omijanie przeszkód mają zupełnie inną wagę niż np. zakłócenie pracy systemu multimedialnego. Ten fakt stawia przed producentami i regulatorami pytanie o priorytetyzację zabezpieczeń poszczególnych warstw pojazdu.

Czy samochody dostaną własny „tryb samolotowy”?

Coraz częściej pojawia się pytanie o możliwość czasowego ograniczenia zbierania danych przez pojazd. Jest to następstwo postępującej cyfryzacji, oczujnikowania i autonomizacji pojazdów na całym świecie, Jedną z ciekawszych koncepcji omawianych przez ekspertów jest stworzenie odpowiednika trybu samolotowego znanego ze smartfonów.

Jak zauważa Paulina Uznańska z Ośrodka Studiów Wschodnich (OSW), propozycje takich rozwiązań pojawiają się m.in. w chińskich dokumentach standaryzacyjnych. Taka funkcja mogłaby być szczególnie użyteczna w momencie przejeżdżania przez samochód w okolicach wrażliwej infrastruktury krytycznej. Chodzi np. o bazy wojskowe czy lotniska, w pobliżu których ogranicza się już poruszanie innych urządzeń zbierających dane, np. dronów. To jeden z kierunków, który warto rozważyć w dyskusji o standardach cyberbezpieczeństwa i prywatności w nowej mobilności.

Przepisy NIS2: cyberbezpieczeństwo staje się ważne na drodze

Przez dziesięciolecia bezpieczeństwo samochodu kojarzyło się z pasami, poduszkami powietrznymi, strefami zgniotu i systemami hamowania. Jednak w erze elektromobilności lista ta staje się dłuższa. Coraz częściej o bezpieczeństwie kierowcy decyduje także jakość zabezpieczeń cyfrowych, odporność systemów informatycznych i sposób ochrony danych. Wszystko to sprawia, że nowe regulacje są postrzegane jako jeden z fundamentów rozwoju nowoczesnego transportu.

Źródło PSNM

.