NIK ostrzega. Transport oraz dostawy wody i prądu nie są wystarczająco zabezpieczone przed hakerami

NIK skontrolowała zarówno resorty energii, cyfryzacji i infrastruktury, jak i ośmiu operatorów kluczowych usług. Zdaniem Izby poziom cyberbezpieczeństwa oraz nadzór nad nim są niewystarczające. Nie pasują też do skali obecnych zagrożeń.

„Niewystarczający był też nadzór sprawowany nad cyberbezpieczeństwem w tych sektorach przez ministrów: energii i infrastruktury. Mimo że wiedzieli o niedostatecznym zabezpieczeniu przed cyberatakami podstawowych usług, nie podjęli odpowiednich działań nadzorczych i nie skontrolowali operatorów odpowiedzialnych za zapewnienie bezpieczeństwa usług. Oznaczało to, że mechanizmy Krajowego Systemu Cyberbezpieczeństwa (KSC) nie zapewniły skutecznego identyfikowania i egzekwowania od operatorów realizacji nałożonych na nich obowiązków” – pisze NIK w komunikacie po kontroli w latach 2021-2026. Zdaniem Izby takie zachowanie jest niepokojące, bo mechanizmy KSC powstały ponad siedem lat temu. Do tego w 2025 r. Polska była jednym z najbardziej atakowanych krajów na świecie.

NIK przypomina, że systemy informatyczne i łączności elektronicznej pełnią obecnie kluczową rolę. „Zakłócenie ich działania może prowadzić do przerw w dostawach energii i wody, ograniczenia funkcjonowania transportu, strat gospodarczych, a także zagrożenia bezpieczeństwa ludzi. Wyniki kontroli NIK wskazują na powtarzające się i istotne słabości zarządzania cyberbezpieczeństwem oraz nadzoru w zbadanych sektorach” – tłumaczy Izba.

NIK: sześciu operatorów ignorowało alerty monitoringu

Z oceny kontrolerów wynika, że żaden ze skontrolowanych operatorów nie zapewnił odporności na ataki swoim systemom. Do tego sześciu z badanych firm „systematycznie ignorowało krytyczne alerty generowane przez systemy monitorujące i zabezpieczające, a w skrajnych przypadkach w ogóle nie prowadziło takiego monitoringu, choć skala zagrożeń cybernetycznych systematycznie rosła”. To oznacza, że ci operatorzy mogli nawet nie wiedzieć o ataku.

NIK przypomina, że w 2025 r. Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT) obsłużyły prawie 273 tys. incydentów cybernetycznych. To o 144 proc. więcej niż w 2024 r. Można więc założyć, że do incydentu w Polsce dochodziło średnio co dwie minuty.

Izba dodaje, że skutki ataków mogą wykraczać poza sferę cyfrową. Wystarczy, by hakerzy zwiększyli w wodzie ilość chloru, a zagrożą zdrowiu i życiu odbiorców zaatakowanych wodociągów. „Przejęcie kontroli przez hakerów nad sieciami elektroenergetycznymi może prowadzić do rozległych i długotrwałych przerw w dostawach prądu. Dodatkowo Polska, jako członek Unii Europejskiej i NATO, mierzy się z zagrożeniami ze strony cyberprzestępczych grup hakerskich czy grup sponsorowanych przez obce państwa” – tłumaczy NIK.

Izba dodaje, że w czasach, gdy hakerzy używają AI do ataków, „ciągłe doskonalenie standardów bezpieczeństwa staje się wyrazem odpowiedzialności za stabilność całego systemu, w którym działalność jednego podmiotu bezpośrednio wpływa na funkcjonowanie innych uczestników rynku i konsumentów.