AURACO
eAURA
PLEN
Umów rozmowę
← Wszystkie wpisy
RODO w praktyce

Rosyjski cyberatak na polską energetykę – lekcje z incydentu, który zmienia krajobraz zagrożeń

6 min czytaniaŁukasz Onysyk

Anatomia ataku

Incydent z 29 grudnia 2025 roku nie był przypadkowy. Wybór daty – okres świąteczno-noworoczny, kiedy obsady dyżurne są ograniczone, a czas reakcji wydłużony – to klasyczna taktyka zaawansowanych grup cyberprzestępczych powiązanych z państwami. Grupy APT powiązane z rosyjskimi służbami od lat atakują sektor energetyczny – wystarczy przypomnieć BlackEnergy (2015) i Industroyer (2016), które spowodowały wielogodzinne przerwy w dostawach prądu w wybranych regionach Ukrainy.

Polski sektor energetyczny stał się celem z oczywistych powodów geopolitycznych. Polska jest jednym z największych sojuszników Ukrainy w NATO, konsekwentnie dywersyfikuje dostawy energii z dala od rosyjskich źródeł, a dynamiczny rozwój OZE tworzy nową, rozproszoną powierzchnię ataku – często gorzej zabezpieczoną niż tradycyjna infrastruktura elektroenergetyczna.

Z opublikowanych informacji wynika, że atak dotknął bezpośrednio farmy OZE, elektrociepłownię i firmę z sektora produkcyjnego, a pośrednio – przez zakłócenie komunikacji – także operatorów systemów dystrybucyjnych (OSD). To szczególnie niepokojące, ponieważ sektor OZE w Polsce rozwija się w tempie, które często wyprzedza wdrażanie adekwatnych zabezpieczeń. Małe i średnie podmioty operujące farmami fotowoltaicznymi czy wiatrowymi rzadko dysponują dedykowanymi zespołami cyberbezpieczeństwa, a ich systemy SCADA i zdalne zarządzanie bywają podłączone do internetu bez odpowiedniej segmentacji sieci.

Kontekst prawny – NIS2 i krajowy system cyberbezpieczeństwa

Incydent ten należy analizować w kontekście dyrektywy NIS2 (2022/2555), której termin transpozycji upłynął 17 października 2024 roku. Polska, podobnie jak większość państw członkowskich UE, wciąż finalizuje implementację – nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa przechodzi przez proces legislacyjny. Niezależnie od stanu legislacji, NIS2 radykalnie rozszerza zakres podmiotów zobowiązanych do stosowania środków cyberbezpieczeństwa.

Sektor energetyczny to w terminologii NIS2 „sektor o wysokiej krytyczności” (Załącznik I). Operatorzy systemów dystrybucyjnych są jednoznacznie klasyfikowani jako podmioty kluczowe, co oznacza najwyższy poziom obowiązków:

  • Zarządzanie ryzykiem (art. 21 NIS2) – obowiązek wdrożenia polityk analizy ryzyka i bezpieczeństwa systemów informacyjnych, obsługi incydentów, ciągłości działania, bezpieczeństwa łańcucha dostaw oraz szyfrowania.
  • Zgłaszanie incydentów (art. 23 NIS2) – wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca.
  • Odpowiedzialność zarządu (art. 20 NIS2) – organy zarządzające muszą zatwierdzać środki zarządzania ryzykiem i odbywać szkolenia z cyberbezpieczeństwa. Niezwykle istotne: ponoszą osobistą odpowiedzialność za naruszenia.
  • Kary administracyjne (art. 34 NIS2) – do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa.

Pojawia się jednak kluczowe pytanie: co z podmiotami z sektora OZE? Wiele z nich to małe i średnie przedsiębiorstwa, które mogą zostać zaklasyfikowane jako „podmioty ważne” (nie „kluczowe”), ale i tak podlegają obowiązkom NIS2 – choć z łagodniejszym reżimem nadzoru. Problem w tym, że świadomość tych obowiązków w sektorze jest niska, a gotowość techniczna – często niewystarczająca.

Szerszy obraz zagrożeń – styczeń i luty 2026

Incydent w sektorze energetycznym nie był odosobnionym wydarzeniem. Przegląd alertów CERT Polska z ostatnich tygodni rysuje obraz rosnącej aktywności – zarówno grup APT, jak i cyberprzestępców oportunistycznych:

  • Podatności w routerach (CVE-2025-12386 w LV-WR21Q) i kamerach IP (Vivotek IP7137 – alert CERT Polska ze stycznia 2026) – to urządzenia powszechnie stosowane w infrastrukturze energetycznej i przemysłowej. Niezałatane podatności w urządzeniach sieciowych i IoT to wciąż jeden z głównych wektorów wejścia do sieci OT.
  • Podatność w mObywatelu na iOS (CVE-2025-11598) – choć to inna kategoria ryzyka, pokazuje, że nawet krytyczne aplikacje państwowe nie są wolne od luk.
  • Podatności w oprogramowaniu Quick.Cart – dwa osobne alerty w ciągu miesiąca sugerują systemowy problem z bezpieczeństwem tego popularnego w Polsce oprogramowania e-commerce.

Równolegle Niebezpiecznik donosił o fali włamań na konta nauczycieli w e-dziennikach, publicznie dostępnych danych dzieci ze żłobków oraz jawnym monitoringu wizyjnym w sieci sklepów. Wszystkie te incydenty łączy wspólny mianownik: niedostateczna higiena cyberbezpieczeństwa w podmiotach, które przetwarzają dane osobowe na dużą skalę.

Praktyczne wnioski dla organizacji

1. Audyt gotowości NIS2 – teraz, nie po uchwaleniu ustawy. Nie czekajcie na polską implementację. Dyrektywa NIS2 ma bezpośredni skutek w zakresie, w jakim przepisy krajowe są niezgodne z jej celami. Organizacje powinny już teraz przeprowadzić gap analysis wobec wymagań art. 21 NIS2.

2. Segmentacja sieci OT/IT to priorytet. Atak na sektor energetyczny po raz kolejny potwierdza, że brak separacji między sieciami korporacyjnymi (IT) a systemami sterowania przemysłowego (OT) to krytyczna luka. Minimalna architektura to model Purdue z demilitarized zone (DMZ) między warstwami.

3. Plan reakcji na incydenty musi uwzględniać okres świąteczny. Atakujący celowo wybierają momenty obniżonej gotowości. Organizacje powinny wdrożyć procedury eskalacji i dyżury on-call, które zapewnią odpowiedni czas reakcji 24/7/365.

4. Łańcuch dostaw pod lupą. Podmioty z sektora OZE często korzystają z rozwiązań chmurowych i zdalnego zarządzania dostarczanych przez zewnętrznych dostawców. Bezpieczeństwo tych dostawców bezpośrednio przekłada się na bezpieczeństwo operatora – a NIS2 wprost wymaga zarządzania ryzykiem łańcucha dostaw.

5. Szkolenia zarządu to nie formalność. Art. 20 NIS2 wymaga, aby organy zarządzające podmiotów kluczowych i ważnych odbywały regularne szkolenia z zakresu cyberbezpieczeństwa. Po incydencie w polskiej energetyce argument „to sprawa działu IT” nie obstoi – ani przed regulatorem, ani przed sądem.

6. Inwentaryzacja i aktualizacja urządzeń brzegowych. Routery, kamery IP, urządzenia IoT – to z reguły pierwsze cele rekonesansu. Każde urządzenie podłączone do sieci musi być zinwentaryzowane, regularnie aktualizowane i objęte monitoringiem.

Podsumowanie

Grudniowy atak na polską energetykę to nie abstrakcyjna groźba – to konkretny incydent, który dotknął konkretne organizacje. W połączeniu z nadchodzącym wdrożeniem NIS2 oraz rosnącą aktywnością grup APT stanowi jasny sygnał: czas na reaktywne podejście do cyberbezpieczeństwa infrastruktury krytycznej się skończył. Organizacje, które nie podejmą działań teraz, ryzykują nie tylko przerwanie ciągłości działania, ale też wielomilionowe kary i osobistą odpowiedzialność zarządu.

Źródła

Artykuł pochodzi z newslettera AURACO (2026-02). Autor: Łukasz Onysyk.

Czytaj dalej

Więcej z tego samego działu

Nie wiedzą Państwo, od czego zacząć?

Rozmowa o współpracy trwa godzinę, jest bezpłatna i do niczego nie zobowiązuje.

Umów rozmowę