• W projektach energetycznych poszczególne elementy mogą być zabezpieczone osobno, ale to nie gwarantuje bezpieczeństwa całego systemu. Kluczowe są testy całościowe i jasny podział odpowiedzialności.
• Firmy wykonawcze nie zawsze będą bezpośrednio objęte NIS2, ale jako część łańcucha dostaw i tak odczują wpływ nowych wymogów cyberbezpieczeństwa.
• Dokumentacja techniczna może być jednym z najbardziej wrażliwych elementów inwestycji energetycznych. - Jest nośnikiem bardzo ważnych informacji, które mogą otworzyć wiele furtek do przyszłych cyberataków - ostrzega Mateusz Raszkiewicz, specjalista ds. telekomunikacji i cybersecurity w Victor Energy, firmie wykonawczej realizującej projekty dla sektora energetycznego.

Nowoczesna energetyka coraz bardziej przypomina skomplikowany system naczyń połączonych. W jednej inwestycji spotykają się automatyka, telekomunikacja, IT, systemy sterowania, urządzenia wykonawcze i dokumentacja techniczna. Każdy z tych elementów może być dobrze zabezpieczony osobno. Problem zaczyna się jednak na styku branż, etapów i odpowiedzialności.

O tym, dlaczego cyberbezpieczeństwo w energetyce jest dziś trudniejsze niż samo wykonanie inwestycji, mówił podczas CYBERSEC EXPO & FORUM 2026 w Katowicach Mateusz Raszkiewicz, specjalista ds. telekomunikacji i cybersecurity w Victor Energy.

Victor Energy działa po stronie wykonawczej przy inwestycjach energetycznych. Z tej perspektywy widać, że dostęp do technologii przestał być największą barierą. Dużo większym wyzwaniem jest spięcie całego procesu tak, aby bezpieczeństwo nie kończyło się na pojedynczym urządzeniu, systemie czy etapie odbioru.

Samo wykonanie inwestycji wydaje się dziś łatwiejsze, bo dostęp do technologii nie jest problemem. Większym wyzwaniem jest zapewnienie spójnego cyberbezpieczeństwa całego projektu - mówił Mateusz Raszkiewicz.

Jak podkreślał, na inwestycję energetyczną składa się wiele elementów z różnych branż i obszarów. Nawet jeśli każdy z nich formalnie spełnia wymagania bezpieczeństwa, nie oznacza to jeszcze, że bezpieczny jest cały system.

Problemy często pojawiają się na styku dwóch branż. Możemy podać przykład automatyki i telekomunikacji. Konkretny zakres może być zabezpieczony, ale ryzyka mogą pojawić się właśnie na styku - wskazał ekspert Victor Energy.

To szczególnie ważne w energetyce, gdzie systemy techniczne są coraz bardziej złożone, a kolejne warstwy infrastruktury są ze sobą ściśle połączone. Sama instalacja nowoczesnych rozwiązań nie wystarcza, jeśli nie ma wspólnych procedur, jasnego podziału odpowiedzialności i testów całego środowiska.

- Można sobie wyobrazić sytuację, w której strefa IT jest zabezpieczona, strefa automatyki również, ale nie można powiedzieć, że cały system jest bezpieczny bez testów całego środowiska - mówił Raszkiewicz.

Jego zdaniem właśnie takie całościowe podejście powinno stać się standardem przy projektach energetycznych. Cyberbezpieczeństwo nie może być sprawdzane wyłącznie punktowo: dla pojedynczych urządzeń, połączeń czy fragmentów inwestycji.

- Trzeba uwzględnić testy i procedury całościowe, nie tylko dla poszczególnych elementów, urządzeń czy połączeń - podkreślił.

Na sektor energetyczny coraz mocniej wpływają też nowe wymogi regulacyjne, w tym dyrektywa NIS2 wdrażana w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nawet jeśli firmy wykonawcze nie zawsze będą bezpośrednio objęte tymi przepisami, w praktyce i tak znajdą się pod ich wpływem.

- Firmy budujące infrastrukturę nie zawsze są objęte bezpośrednio NIS2, ale są bezpośrednio dotknięte tymi przepisami, bo są elementem łańcucha dostaw - zaznaczył Raszkiewicz.

To ważna uwaga dla całego rynku wykonawczego. W energetyce nie da się już oddzielić bezpieczeństwa inwestora od bezpieczeństwa dostawcy, integratora czy podwykonawcy. Każdy element łańcucha może mieć wpływ na odporność całego systemu.

Moim zdaniem każda firma mająca coś wspólnego z energetyką powinna zachowywać się tak, jakby była objęta tym rozporządzeniem - ocenił ekspert Victor Energy.

Cyberataki coraz rzadziej należy rozumieć jako uderzenie w pojedynczy obiekt. Coraz częściej celem są całe systemy: powiązane technicznie, organizacyjnie i informacyjnie. To oznacza, że odporność infrastruktury krytycznej zależy nie tylko od głównych elementów, ale także od tych mniejszych, czasem traktowanych jako dodatek.

System jest wrażliwy na tyle, na ile wrażliwe jest jego najsłabsze ogniwo. Najsłabszym ogniwem często jest element końcowy albo element traktowany jako dodatek do głównego systemu - mówił Raszkiewicz.

Z perspektywy wykonawcy jednym z kluczowych obszarów wymagających poprawy jest obieg dokumentacji. To temat mniej efektowny niż nowe technologie, ale w praktyce może decydować o bezpieczeństwie inwestycji.

- Kluczowe jest uporządkowanie obiegu dokumentacji między inwestorem a wykonawcami. Warto sprawdzać nie tylko to, czy dokumenty są chronione, ale też jak rzeczywiście krążą w procesie inwestycyjnym - wskazał przedstawiciel Victor Energy.

Jak tłumaczył, dokumentacja techniczna sama w sobie nie jest narzędziem cyberbezpieczeństwa, ale zawiera informacje, które mogą być bardzo wrażliwe. Jeżeli trafią w niepowołane ręce, mogą pomóc w przygotowaniu przyszłego ataku.

- Dokumentacja jest nośnikiem bardzo ważnych informacji, które mogą otworzyć wiele furtek do przyszłych cyberataków - ostrzegł Raszkiewicz.