Cyberbezpieczeństwo pod lupą NIK: niedociągnięcia w sektorze transportu i usługach komunalnych

fot. Adobe Stock

Systemy, od których zależy codzienne funkcjonowanie obywateli – dostawy wody, energii elektrycznej czy transport publiczny – wciąż cierpią na istotne luki w ochronie przed atakami hakerskimi. Najnowsza kontrola Najwyższej Izby Kontroli (NIK) przynosi niepokojące wnioski: poziom cyberbezpieczeństwa u kluczowych operatorów infrastruktury komunalnej i transportowej oraz nadzór sprawowany przez właściwe ministerstwa nie pasują do skali dzisiejszych zagrożeń. Czy budowa Krajowego Systemu Cyberbezpieczeństwa (KSC)  odpowie na te zagrożenia?

Informacje opublikowane przez Najwyższą Izbę Kontroli rzucają nowe światło na stan cyfrowej ochrony w strukturach odpowiedzialnych za codzienne funkcjonowanie państwa. Choć rygory prawne obowiązują od lat, zderzenie systemowych założeń z rzeczywistością operacyjną spółek komunalnych i transportowych ujawnia głębokie pęknięcia. Analiza wyników tej inspekcji pokazuje, jak duży dystans dzieli czystą dokumentację od realnej odporności na ataki.

Najwyższa Izba Kontroli opublikowała raport poświęcony poziomowi zabezpieczenia infrastruktury krytycznej przed zagrożeniami cyfrowymi. Ocena Izby jest jednoznaczna: poziom cyberbezpieczeństwa u kluczowych operatorów w sektorach transportu, energetyki oraz zaopatrzenia w wodę pitną jest niewystarczający i nie odpowiada skali rosnących zagrożeń. Niestety to samo dotyczyu nadzoru sprawowanego przez odpowiedzialne ministerstwa.

Cyberbezpieczeństwo pod lupą NIK: zakres kontroli i tło zagrożeń

Kontrola NIK objęła okres od 1 stycznia 2021 r. do 16 lutego 2026 r. Badaniem objęto m.in.:

• Ministerstwo Cyfryzacji,

• Ministerstwo Energii,

• Ministerstwo Infrastruktury,

• ośmiu Operatorów Usług Kluczowych (OUK) działających w sektorach transportu kolejowego i wodnego, dostaw energii oraz dystrybucji wody.

Wskazano, że najczęstszymi zagrożeniami cyfrowymi pozostają złośliwe oprogramowanie (malware i ransomware) i ataki phishingowe. Kolejne zagrożenia to ataki DDoS, niezapatchowane podatności w oprogramowaniu oraz błędy ludzkie. Wyniki są tym bardziej niepokojące, że skala zagrożeń rośnie skokowo – w 2025 r. krajowe zespoły CSIRT obsłużyły niemal 273 tys. incydentów (wzrost o 144,4% rok do roku). To oznacza incydent średnio co dwie minuty).

Główne ustalenia NIK u Operatorów Usług Kluczowych

1. Brak reagowania na alerty i ignorowanie monitoringu: sześciu z ośmiu skontrolowanych operatorów systemowo nie zapewniało właściwego reagowania na ostrzeżenia z systemów bezpieczeństwa. Ignorowano alerty dotyczące podatności, braku aktualizacji antywirusowych czy skompromitowanych stacji. W skrajnych przypadkach monitoring nie był w ogóle prowadzony, przez co podmioty mogły nie wiedzieć, że doszło do ataku.

2. Niedociągnięcia w systemach zarządczych i audytach: operatorzy nie wdrożyli w pełni prawidłowych Systemów Zarządzania Bezpieczeństwem Informacji (SZBI). Stwierdzono uchybienia w ciągłości i aktualności dokumentacji oraz opóźnienia w przeprowadzaniu obowiązkowych audytów.

3. Używanie podatnego sprzętu i brak MHA: wskazano przypadki korzystania z oprogramowania i urządzeń nieposiadających już wsparcia producenta oraz brak stosowania uwierzytelniania dwuskładnikowego (2FA).

4. Zaniedbania w ochronie fizycznej: kontrolerzy uchybienia znaleźli również w sferze fizycznego zabezpieczenia infrastruktur – m.in. nieodpowiednio chronione i otwarte szafy serwerowe, składowanie materiałów łatwopalnych w serwerowniach czy niesprawne/niewykorzystywane systemy alarmowe i ppoż.

Zastrzeżenia do nadzoru ministerialnego

Ustalenia NIK wykazały także poważne niedociągnięcia po stronie organów państwowych:

• Brak egzekwowania kar i brak kontroli: ministrowie odpowiedzialni za sektory infrastruktury i energii nie wszczynali kontroli ani postępowań zmierzających do nałożenia kar finansowych na operatorów, mimo posiadania wiedzy o niewykonywaniu przez nich kluczowych obowiązków KSC. Izba powiązała to m.in. z brakami kadrowymi w komórkach nadzorczych.

• Opóźnienia w legislacji i strategiach: Krajową Strategię Cyberbezpieczeństwa przyjęto z opóźnieniem 434 dni względem wygaśnięcia poprzedniej. Z kolei przepisy wdrażające unijną dyrektywę NIS2 zaczęły nakładać obowiązki na nowe podmioty z opóźnieniem szacowanym przez NIK na 532 dni.

Cyberbezpieczeństwo pod lupą NIK: realne zagrożenie dla obywateli

Najwyższa Izba Kontroli zaznaczyła, że w przypadku infrastruktury krytycznej skutki cyberataków nie ograniczają się do przestrzeni cyfrowej. Udany atak na systemy sterowania wodociągami może umożliwić nieuprawnioną manipulację dozowaniem chemii (np. drastyczny wzrost poziomu chloru w wodzie pitnej), a ataki na sieci elektroenergetyczne czy węzły transportowe niosą ryzyko rozległych blackoutów i paraliżu łańcuchów dostaw.

Czy KSC rozwiąże problemy wskazane przez raport NIK?

Krajowy System Cyberbezpieczeństwa (KSC) to kluczowy element krajowego bezpieczeństwa cyfrowego, utworzony w celu ochrony infrastruktury krytycznej, jednostek samorządu terytorialnego oraz podmiotów świadczących usługi o podstawowym znaczeniu dla społeczeństwa i gospodarki. Są to więc dokładnie te zagadnienia, które wskazuje raport NIK. Dlatego KSC narzuca na wyznaczone organizacje – w tym spółki komunalne i operatorów usług kluczowych – konkretne obowiązki, takie jak wdrażanie Systemów Zarządzania Bezpieczeństwem Informacji (SZBI), prowadzenie ciągłego monitoringu zagrożeń oraz natychmiastowe zgłaszanie incydentów do właściwych zespołów reagowania CSIRT.

Ze względu na rosnącą presję geopolityczną oraz nadchodzące zmiany legislacyjne (w tym wdrożenie unijnej dyrektywy NIS 2), budowanie realnej odporności cyfrowej przestało być jedynie formalną procedurą IT, a stało się bezpośrednią odpowiedzialnością kadr zarządzających. Szczegółowe omówienie zasad funkcjonowania tych mechanizmów, wymogów prawnych oraz praktycznych wskazówek dla menedżerów można znaleźć w artykule Krajowy system cyberbezpieczeństwa – co warto o nim wiedzieć? opublikowanym w serwisie Munipro.pl.

Źrodło: Raport NIK