Branże · Energetyka, ciepło, woda
Cyberbezpieczeństwo w energetyce i wodociągach: KSC, NIS2 i systemy OT
Energia, ciepło, gaz, wodór i woda są w załączniku nr 1 ustawy o KSC. Kto był podmiotem kluczowym już 3 kwietnia 2026, musi przeprowadzić pierwszy audyt do 3 kwietnia 2028. Pomagamy zbudować SZBI, który obejmuje też SCADA i telemetrię, i przygotować dowody z systemów.
// W skrócie
Sektory kluczowe, które działają na systemach sterowania
Załącznik nr 1 obejmuje wydobywanie kopalin, energię elektryczną (także operatorów punktów ładowania), ciepło, ropę i paliwa, gaz, energetykę jądrową i wodór oraz dostarczanie wody pitnej i odprowadzanie ścieków. Duże firmy z tych sektorów są podmiotami kluczowymi, średnie ważnymi. Spółki komunalne mogą wejść do ustawy także jako podmioty publiczne.
Stan na 24 września 2026. Źródło: Dz.U. 2026 poz. 252, art. 5 i załączniki nr 1 i 2.
Jaka kategoria i jaki zakres SZBI
| Sytuacja | Skutek | Podstawa |
|---|---|---|
| Koncesja na wytwarzanie, przesył, dystrybucję albo obrót energią elektryczną lub ciepłem; duża firma | Podmiot kluczowy | art. 5 ust. 1 pkt 1, załącznik nr 1 |
| To samo, firma średnia | Podmiot ważny | art. 5 ust. 2 pkt 1 |
| Przedsiębiorstwo wodociągowo-kanalizacyjne, duże albo średnie | Podmiot kluczowy albo ważny | załącznik nr 1 |
| Dostarczanie wody albo oczyszczanie ścieków jest nieistotną częścią Waszej działalności | Poza sektorami wody i ścieków | załącznik nr 1 |
| Spółka komunalna wykonująca zadania użyteczności publicznej, która nie jest podmiotem kluczowym | Podmiot ważny jako podmiot publiczny, jeśli realizuje zadanie publiczne z użyciem systemów informacyjnych; SZBI według załącznika nr 4 | art. 5 ust. 2 pkt 8, art. 8 ust. 3 |
| Podmiot z podsektora energii elektrycznej uznany przez ministra właściwego do spraw energii za podmiot o dużym albo krytycznym wpływie | Dodatkowo środki z kodeksu sieci NCCS, rozporządzenie (UE) 2024/1366 | art. 8b ust. 3, art. 52a |
Jeśli firma spełnia kryteria obu kategorii, jest podmiotem kluczowym (art. 5 ust. 4). Organ właściwy dla każdego sektora wskazuje art. 41. Źródło: Dz.U. 2026 poz. 252.
// Terminy
Terminy dla energetyki i wodociągów
Wykaz
Samorejestracja w wykazie
Termin z art. 34 ust. 3 ustawy nowelizującej. Spółka, która go przegapi, powinna złożyć wniosek od razu. Organ może też wpisać podmiot z urzędu (art. 7j).
Jak dokonać wpisu (otwiera się w nowej karcie)Rozdział 3
SZBI, incydenty i ciągłość działania
Obowiązki z rozdziału 3 dla podmiotów, które spełniały kryteria 3 kwietnia 2026 (art. 33 ust. 1 ustawy nowelizującej), także dla systemów sterowania siecią i ujęciami.
Dz.U. 2026 poz. 252 (otwiera się w nowej karcie)Audyt
Pierwszy audyt podmiotów kluczowych
Dla podmiotów kluczowych z 3 kwietnia 2026 (art. 33 ust. 2 ustawy nowelizującej), potem co najmniej co 3 lata. Dawni operatorzy usług kluczowych zostają przy swoim cyklu 3-letnim.
Kto może audytować
Stan na . Źródła: Dz.U. 2026 poz. 252, gov.pl, terminy KSC.
// OT i dowody
Gdzie w energetyce i wodzie brakuje dowodów
Audytor nie poprzestanie na polityce. Zapyta, jak dziś wygląda dostęp do stacji, przepompowni i dyspozytorni.
SCADA i telemetria połączone z siecią biurową
Stacje, przepompownie i rozdzielnie łączą się przez modemy komórkowe i tunele VPN zakładane latami przez różnych wykonawców. Nikt nie ma pełnej listy punktów wejścia.
Dowód, którego brakuje: mapa połączeń zdalnych i reguł na zaporach z datą przeglądu.
Zdalny dostęp integratorów i serwisu
Konto serwisowe wspólne dla kilku osób u dostawcy, hasło niezmieniane od uruchomienia obiektu.
Dowód, którego brakuje: imienne konta, zgoda na sesję i log sesji.
Rejestr aktywów, który nie widzi sterowników w terenie
Ewidencja obejmuje serwery i laptopy, a pomija sterowniki, rejestratory i urządzenia telemetryczne z ich producentem i wersją oprogramowania.
Dowód, którego brakuje: rejestr z pasywnej obserwacji sieci, z producentem i wersją.
Dostawca, który może zostać uznany za dostawcę wysokiego ryzyka
Jeśli minister właściwy do spraw informatyzacji uzna producenta sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, nie wprowadzicie nowych produktów objętych decyzją, a obecne trzeba wycofać w ciągu 7 lat (art. 67b i 67c). Bez rejestru aktywów z producentem nie oszacujecie skutków.
Plan ciągłości bez ćwiczenia
Procedura pracy w trybie ręcznym istnieje, ale nikt jej nie ćwiczył na zmianie nocnej.
Dowód, którego brakuje: wynik ćwiczenia z datą, czasem i listą poprawek.
// Jak pomagamy
Usługi, które pasują do energetyki i wodociągów
01KSC
SZBI z OT w zakresie i przegląd przed audytem
Analiza luk wobec art. 8, rejestr obowiązków z właścicielami i przegląd przed audytem KSC. To audyt gotowości, a nie formalny audyt z art. 15.
KSC i NIS2Pierwszy krok, 5 tygodni
KSC z systemami sterowania w zakresie
- Analiza luk wobec art. 8, z SCADA i telemetrią
- Rejestr obowiązków z właścicielami
- Plan przygotowania do pierwszego audytu
Kluczowy rezultat: jedna kontrola w OT wdrożona razem z dowodem, na przykład zdalny dostęp z logiem sesji
02Architektura
IT i OT według IEC 62443
Strefy i kanały komunikacji, zdalny dostęp i kopie konfiguracji sterowników. Przegląd kończy się planem zmian z właścicielami i terminami.
IEC 62443 i OT03Testy
Testy penetracyjne IT i aplikacji dla odbiorców
Portale klientów, aplikacje do odczytu liczników, dostęp zdalny i sieć biurowa. Systemy sterowania tylko pasywnie albo na kopii testowej.
Testy penetracyjne04Ciągłość
Plan ciągłości działania z ćwiczeniem
Analiza wpływu na działalność, tryb ręczny, test odtworzenia systemów dyspozytorskich i wynik, który pokażecie audytorowi.
Ciągłość działania
// Zakres
Co robimy, a czego nie robimy
Zakres i termin ustalamy na piśmie przed startem.
Robimy
- Kwalifikację: czy i jako jaki podmiot obejmuje Was ustawa, także spółkę komunalną
- SZBI obejmujący SCADA i telemetrię
- Przegląd przed audytem KSC i weryfikację poprawek
- Rejestr aktywów i dostawców z producentem i wersją
Nie robimy
- Aktywnych testów na systemach sterowania siecią albo ujęciem
- Formalnego audytu KSC z art. 15: przeprowadza go niezależny audytor, nie my
- Certyfikatu zgodności z KSC, bo taki dokument nie istnieje
FutureCode Evidence Box zaprojektowaliśmy między innymi dla energetyki i wodociągów: działa w Waszej sieci bez dostępu do internetu, a testy aktywne prowadzi tylko na kopii testowej i po podpisaniu zasad testu.
// FAQ
Pytania z energetyki i wodociągów
Jesteśmy gminną spółką wodociągową. Jak klasyfikuje nas ustawa?
Najpierw jako przedsiębiorstwo wodociągowo-kanalizacyjne z załącznika nr 1: duża spółka jest podmiotem kluczowym, średnia ważnym. Spółka komunalna, która nie jest podmiotem kluczowym, jest też podmiotem ważnym jako podmiot publiczny, jeśli realizuje zadanie publiczne z użyciem systemów informacyjnych (art. 5 ust. 2 pkt 8). Podmiot ważny będący podmiotem publicznym buduje SZBI według załącznika nr 4 (art. 8 ust. 3).
Kiedy musimy przeprowadzić pierwszy audyt?
Jeśli byliście podmiotem kluczowym 3 kwietnia 2026, do 3 kwietnia 2028 (art. 33 ust. 2 ustawy nowelizującej), a potem co najmniej co 3 lata. Dawni operatorzy usług kluczowych zostają przy swoim cyklu. Podmiot ważny nie ma audytu okresowego, ale organ może go nakazać po incydencie poważnym (art. 15 ust. 1b). Stan na 24 września 2026.
Czym jest kodeks sieci NCCS i czy nas dotyczy?
To rozporządzenie delegowane (UE) 2024/1366 o cyberbezpieczeństwie transgranicznych przepływów energii elektrycznej. W Polsce minister właściwy do spraw energii wskazuje podmioty o dużym i krytycznym wpływie (art. 52a). Tylko one stosują dodatkowo środki z kodeksu (art. 8b ust. 3). Ciepłownictwa, gazu i wody to nie dotyczy.
Czy możecie testować nasze systemy SCADA?
Na działających systemach tylko pasywnie: obserwujemy ruch, konfigurację i dostęp. Testy aktywne prowadzimy na kopii testowej albo na zapasowym sprzęcie, po podpisaniu zasad testu. Dostępność sieci i ujęć ma pierwszeństwo przed każdym testem.
Co zrobić z urządzeniami od dostawców spoza UE?
Na razie zinwentaryzować je z producentem i wersją. Ustawa przewiduje postępowanie w sprawie uznania dostawcy za dostawcę wysokiego ryzyka (art. 67b). Po takiej decyzji nie wolno wprowadzać objętych nią produktów, a obecne trzeba wycofać w ciągu 7 lat. Rejestr pokaże, czego decyzja by dotyczyła.
Z bloga: audyt i ryzyko
Zacznijmy od jednej stacji albo jednego ujęcia
W 30 minut ustalimy, jaką kategorią podmiotu jesteście, kiedy czeka Was pierwszy audyt i od którego obiektu zacząć. Przed rozmową możecie przejrzeć macierz dowodów KSC.
Umów 30 minut rozmowyWolicie zakres na piśmie?
Opiszcie spółkę i obiekty, od których chcecie zacząć. Odeślemy zakres i termin pierwszego kroku. Odpowiadamy w ciągu jednego dnia roboczego.
Zamów pierwszy krok