Żaden z ośmiu operatorów usług kluczowych skontrolowanych przez Najwyższą Izbę Kontroli nie zapewnił odpowiedniego poziomu cyberbezpieczeństwa systemów wykorzystywanych do świadczenia tych usług. U sześciu stwierdzono nieprawidłowości w zarządzaniu ryzykiem, tylu też nie zapewniało systemowo monitorowania i reagowania na alerty dotyczące cyberzagrożeń. Wyniki kontroli NIK przypominają o jednej z podstawowych zasad budowania bezpieczeństwa: nie wystarczy wdrożyć pojedyncze narzędzia ochronne. Cyfrowa odporność infrastruktury krytycznej musi być stale rozwijanym systemem, który pozwala przewidywać zagrożenia, wykrywać incydenty, ograniczać ich skutki oraz utrzymywać ciągłość działania.

Skala wyzwania rośnie wraz z uzależnieniem podstawowych usług od cyfrowych systemów. W 2025 r. krajowe zespoły CSIRT obsłużyły niemal 273 tys. incydentów cyberbezpieczeństwa, o 144,4% więcej niż rok wcześniej. Oznacza to, że statystycznie do incydentu w polskiej cyberprzestrzeni dochodziło średnio co dwie minuty. W przypadku infrastruktury krytycznej skutki takich zdarzeń mogą wykraczać poza sferę cyfrową i bezpośrednio wpływać na procesy fizyczne. Potwierdzają to wyniki globalnego raportu Fortinet „2026 State of Operational Technology and Cybersecurity Report”: 46% respondentów wskazało przestój operacyjny wpływający na przychody jako skutek naruszenia bezpieczeństwa, a 43% – przestój stwarzający ryzyko dla bezpieczeństwa fizycznego.

Odporność zaczyna się od wiedzy o własnym środowisku

Podstawą cyfrowej odporności jest możliwie pełna wiedza o chronionej infrastrukturze, jej elementach oraz zależnościach między nimi. W środowiskach przemysłowych i infrastrukturalnych szczególnie trudno ją uzyskać, ponieważ nowoczesne systemy często funkcjonują obok rozwiązań technicznych projektowanych kilkanaście lub nawet kilkadziesiąt lat temu. Z raportu Fortinet wynika, że niemal co czwarta firma obejmuje monitoringiem jedynie około połowę zasobów przemysłowych, a pełną widoczność swoich systemów OT deklaruje zaledwie 14% przedsiębiorstw. Tymczasem taka wiedza pozwala skutecznie segmentować sieć, kontrolować dostęp i ograniczać możliwość przemieszczania się atakujących pomiędzy jej poszczególnymi obszarami.

– Cyfrowa odporność wymaga odejścia od myślenia o bezpieczeństwie jako o zestawie odrębnych produktów. Równie ważne jest to, kto odpowiada za poszczególne systemy i procesy oraz jak współpracują ze sobą zespoły IT, OT i bezpieczeństwa. Nawet najlepsze rozwiązania techniczne nie zapewnią odporności, jeśli nie będą właściwie wykorzystywane, a odpowiedzialność za reakcję na zagrożenia pozostanie niejasna. Dlatego cyberbezpieczeństwo infrastruktury krytycznej powinno być elementem zarządzania całym przedsiębiorstwem, a nie wyłącznie zadaniem specjalistów IT – podkreśla Jolanta Malak, dyrektorka regionalna w firmie Fortinet.

Widoczność środowiska to fundament, który musi następnie zostać połączona ze zdolnością do rzeczywistego reagowania na to, co dzieje się w systemach. W tym obszarze ustalenia NIK są szczególnie wymowne: sześciu z ośmiu kontrolowanych operatorów systemowo nie zapewniało właściwego monitorowania i reagowania na alerty, a w jednym przypadku komunikaty o braku łączności z elementami infrastruktury IT były ignorowane przez ponad 578 dni. Kontrola wykazała również przypadek nieobsłużonego krytycznego incydentu związanego z wyciekiem hasła pracownika. Monitoring sam w sobie nie zwiększa odporności – musi być elementem procesu, który zapewnia ocenę znaczenia alertów, przypisanie odpowiedzialności i podjęcie działań we właściwym czasie. Co ważne, czas ten kurczy się coraz bardziej. Analizy FortiGuard Labs z 2026 roku wskazują, że w przypadku krytycznych zagrożeń, czas od ujawnienia podatności do jej wykorzystania wynosi obecnie 24-48 godzin. We wcześniejszych latach było to średnio 4,76 dnia.

Bezpieczeństwo trzeba projektować, a nie doklejać

Cyberodporność infrastruktury krytycznej trzeba rozwijać przez cały cykl życia środowiska – od projektowania i wdrażania nowych systemów, przez ich eksploatację i modernizację, aż po wycofywanie przestarzałych komponentów. Bezpieczeństwo nie powinno być dodatkową warstwą nakładaną na gotową architekturę, ale jednym z kryteriów podejmowania decyzji technologicznych i organizacyjnych.

Takie podejście wpisuje się w koncepcję Secure by Design, zgodnie z którą wymagania dotyczące cyberbezpieczeństwa uwzględnia się już na etapie projektowania nowych systemów, usług czy integracji. W przypadku infrastruktury krytycznej ma to szczególne znaczenie, ponieważ każda zmiana w środowisku może tworzyć nowe zależności, punkty dostępu i potencjalne ścieżki ataku. Jednocześnie samo bezpieczne zaprojektowanie rozwiązania nie zamyka tematu – odporność trzeba utrzymywać również podczas jego dalszej eksploatacji.

– Secure by Design nie oznacza jednorazowego wdrożenia określonego standardu ani uznania infrastruktury za bezpieczną po zakończeniu projektu. Chodzi o uwzględnianie cyberbezpieczeństwa już na etapie projektowania nowych systemów, integracji i procesów, a następnie regularne sprawdzanie, czy zastosowane zabezpieczenia nadal odpowiadają rzeczywistemu ryzyku. Wraz ze zmianami w infrastrukturze trzeba weryfikować konfigurację, uprawnienia, zależności między systemami oraz skuteczność mechanizmów ochronnych. Takie podejście pozwala budować odporność całego środowiska zamiast reagować dopiero wtedy, gdy pojawi się kolejny incydent – wskazuje Jolanta Malak z Fortinet.

Niekończąca się opowieść

Tak rozumiana cyfrowa odporność nie ma końcowego etapu, w którym można uznać pracę za zakończoną. Wymaga aktualnej wiedzy o środowisku, kontrolowania konfiguracji, bezpiecznego zarządzania dostępem, ciągłego monitorowania zagrożeń, przygotowanych procedur reagowania oraz zdolności do utrzymania lub odtworzenia kluczowych procesów po incydencie. Każda zmiana w infrastrukturze, nowe połączenie czy wdrożenie kolejnego systemu powinny być impulsem do ponownej oceny ryzyka i skuteczności stosowanych zabezpieczeń. Właśnie dlatego największym zagrożeniem dla infrastruktury krytycznej nie musi być brak pojedynczego narzędzia, lecz sytuacja, w której rozwiązania techniczne, procesy i ludzie przestają działać jako jeden system.