Pomoc zdalna
Pomoc zdalna
2026-08-11

Cyberbezpieczeństwo systemów wodociągowych – nowe prawo | BOIT

Cyberbezpieczne Wodociągi. Polska inwestuje miliony, USA budują wspólny monitoring. Co powinno być kolejnym krokiem?

Cyberbezpieczeństwo wodociągów nie kończy się na zakupie firewalla, wykonaniu audytu ani przygotowaniu dokumentacji wymaganej przez nowe przepisy. Prawdziwy test zaczyna się wtedy, gdy ktoś próbuje dostać się do sterownika PLC, zmienić konfigurację urządzenia w przepompowni albo wykorzystać zdalny dostęp serwisowy do wejścia głębiej w sieć OT.

W Polsce trwa właśnie największy dotychczas program wsparcia cyberbezpieczeństwa sektora wodno-kanalizacyjnego. „Cyberbezpieczne Wodociągi” obejmują setki przedsiębiorstw i ponad 590 mln zł dofinansowania. W Stanach Zjednoczonych rozwijany jest natomiast inny model: Water Watch Center oraz sieć regionalnych usług bezpieczeństwa mają zapewnić mniejszym operatorom dostęp do ciągłego monitoringu, wykrywania zagrożeń i reagowania na incydenty.

Oba podejścia rozwiązują część tego samego problemu. I oba warto połączyć.

Bo co stanie się z polskimi wodociągami po zakończeniu projektów, zakupie urządzeń, wdrożeniu systemów i rozliczeniu grantów?

To może być najważniejsze pytanie całego programu.

Wodociąg jest dziś również systemem informatycznym

Dla mieszkańca wodociąg to przede wszystkim ujęcie wody, rury, zbiorniki, przepompownie i stacja uzdatniania. Z punktu widzenia administratora wygląda to zupełnie inaczej.

Za fizycznym procesem stoi coraz więcej technologii.

Sterowniki PLC kontrolują urządzenia wykonawcze. Systemy SCADA zbierają dane i pozwalają operatorom nadzorować proces. Panele HMI zapewniają lokalną obsługę. Telemetria łączy rozproszone obiekty z centralą. Do tego dochodzą routery przemysłowe, połączenia radiowe i LTE, VPN, serwery, systemy backupu, Active Directory, monitoring oraz klasyczna infrastruktura sieciowa.

Granica pomiędzy IT i OT staje się coraz bardziej przepuszczalna.

I właśnie tutaj zaczyna się problem.

Urządzenie pracujące kilkanaście lat mogło zostać zaprojektowane w czasach, gdy nikt nie zakładał jego komunikacji z Internetem. Sterownik miał sterować pompą, a nie odpierać automatyczne skanowanie z publicznej sieci.

Tymczasem potrzeba zdalnego serwisu, telemetryki i centralnego zarządzania sprawiła, że wiele takich systemów zostało podłączonych do sieci IP.

Czasami bardzo dobrze. Możliwe również że wykorzystano połaczenie przez VPN i odpowiednio wydzielone strefy. A czasami przez router LTE skonfigurowany kilka lat wcześniej przez podwykonawcę, o którego istnieniu obecny administrator nawet nie wie.

To właśnie dlatego pierwszym elementem cyberbezpieczeństwa OT nie powinien być zakup kolejnego produktu. Powinna nim być wiedza o tym, co naprawdę znajduje się w sieci.

USA dostały bardzo konkretne ostrzeżenie

W Stanach Zjednoczonych problem przestał być teoretyczny.

W 2026 roku doszło do serii ataków na systemy wodociągowe. Według doniesień dotyczących ostatniej fali incydentów atakujący koncentrowali się między innymi na dostępnych z Internetu sterownikach PLC. W części przypadków zmieniano konfigurację urządzeń i blokowano operatorom możliwość zarządzania nimi.

Skutki nie ograniczały się do komunikatu antywirusa na komputerze administratora. Pojawiały się problemy z ciśnieniem wody, utratą zdalnego sterowania oraz zakłóceniami działania infrastruktury.

To bardzo istotna różnica pomiędzy klasycznym incydentem IT i incydentem OT.

W systemie biurowym skutkiem ataku może być utrata danych.

W systemie cyberfizycznym zmiana bitów może doprowadzić do zmiany rzeczywistego procesu.

Pompa może się zatrzymać. Zawór może znaleźć się w niewłaściwym położeniu. Operator może utracić podgląd parametrów. System może zacząć raportować wartości inne niż rzeczywiste.

Amerykańskie instytucje od dawna wskazują przy tym, że podstawowe problemy wcale nie muszą wynikać z wyjątkowo zaawansowanych technik ataku.

CISA, EPA i FBI w zaleceniach dla sektora wodnego wymieniają między innymi ograniczenie ekspozycji systemów do publicznego Internetu, regularne oceny bezpieczeństwa, natychmiastową zmianę domyślnych haseł, inwentaryzację IT i OT, backup systemów oraz przygotowanie i ćwiczenie procedur reagowania na incydenty.

To bardzo podstawowe rzeczy.

I właśnie dlatego są tak istotne.

277 wodociągów i 350 problemów bezpieczeństwa

Skalę problemu dobrze pokazują dane amerykańskiej Environmental Protection Agency.

EPA poinformowała, że w 2025 roku zidentyfikowała problemy związane z cyberbezpieczeństwem w 277 systemach wodnych. W ramach prowadzonych działań usunięto 350 podatności i problemów bezpieczeństwa.

Dotyczyły one również technologii odpowiedzialnych za procesy związane z wodą pitną i ściekami.

EPA wskazuje przy tym na działania, które trudno nazwać egzotycznymi: ograniczenie ekspozycji OT do Internetu, utrzymywanie aktualnej inwentaryzacji zasobów, odpowiednie mechanizmy uwierzytelniania, silne hasła i MFA.

To ważna lekcja również dla Polski.

Największym zagrożeniem dla wodociągu nie zawsze będzie grupa APT wykorzystująca nieznany wcześniej exploit.

Czasami wystarczy publiczny adres IP, domyślne hasło, brak MFA albo źle skonfigurowany VPN.

Amerykanie próbują rozwiązać jeszcze jeden problem: kto ma tego pilnować?

Samo znalezienie słabości jest stosunkowo łatwe.

Trudniejsze pytanie brzmi: kto będzie pilnował infrastruktury codziennie przez kolejne pięć czy dziesięć lat?

Duży operator może posiadać własny dział cyberbezpieczeństwa. Może utrzymywać SIEM, SOC, specjalistów od sieci, bezpieczeństwa OT i reagowania na incydenty.

Małe przedsiębiorstwo wodociągowe ma zupełnie inne możliwości.

I właśnie ten problem próbuje rozwiązać rozwijana w USA inicjatywa związana z DEF CON Franklin i National Rural Water Association.

Pierwszym etapem były działania wolontariuszy zajmujących się cyberbezpieczeństwem, którzy wspierali mniejsze przedsiębiorstwa wodociągowe między innymi w Arizonie, Idaho, Indianie, Oregonie, Utah i Vermont.

Model działał, ale pojawił się oczywisty problem.

Nie da się oprzeć cyberbezpieczeństwa dziesiątek tysięcy wodociągów wyłącznie na pracy wolontariuszy.

Dlatego rozpoczęto budowę modelu MSSP przeznaczonego właśnie dla małych i lokalnych systemów wodociągowych.

Założenie jest bardzo ciekawe.

Zamiast wymagać, żeby każdy niewielki operator budował własny zespół cyberbezpieczeństwa, można współdzielić kompetencje.

Regionalni dostawcy usług bezpieczeństwa mają obsługiwać grupy wodociągów, a nad nimi ma funkcjonować centralna struktura nazwana Water Watch Center.

Model ma rozpocząć się od monitoringu i wykrywania zagrożeń, a następnie rozwijać między innymi o reagowanie na incydenty i wsparcie w zakresie zgodności.

To w praktyce sektorowy model SOC/MSSP dostosowany do możliwości mniejszych operatorów.

I właśnie tutaj robi się szczególnie ciekawie z polskiej perspektywy.

Polska już uruchomiła Cyberbezpieczne Wodociągi

Polska odpowiedź na zagrożenia wygląda inaczej, ale jej skala jest bardzo duża.

Program „Cyberbezpieczne Wodociągi” realizowany przez Centrum Projektów Polska Cyfrowa wspólnie z NASK jest finansowany ze środków Krajowego Planu Odbudowy.

Pierwotna pula wynosiła 313 mln zł.

Zainteresowanie było jednak znacznie większe od zakładanego. Wnioski złożyło 896 podmiotów. W lutym 2026 roku pozytywnie oceniono 759 wniosków, a pula środków została zwiększona do ponad 590 mln zł. Kolejne decyzje pozwoliły objąć wsparciem również projekty, które wcześniej znalazły się poza dostępną alokacją.

To pokazuje dwie rzeczy.

Po pierwsze, sektor wodno-kanalizacyjny rzeczywiście potrzebuje inwestycji w cyberbezpieczeństwo.

Po drugie, skala potrzeb była znacznie większa, niż początkowo zakładano.

Co ważne, polski program nie ogranicza się do zakupu komputerów czy firewalli.

Wsparcie obejmuje cztery obszary: organizacyjny, kompetencyjny, techniczny IT oraz techniczny OT.

To bardzo dobry kierunek.

W ramach projektów mogą być realizowane audyty, systemy zarządzania bezpieczeństwem informacji, podnoszenie kompetencji pracowników, modernizacja infrastruktury IT oraz zabezpieczenie środowiska technologicznego OT wykorzystywanego przy dostarczaniu wody i odprowadzaniu ścieków.

Czyli dokładnie tych systemów, które z punktu widzenia ciągłości działania wodociągu są najważniejsze.

Polska modernizuje, USA myślą o ciągłym monitoringu

Nie chodzi o stwierdzenie, że jeden model jest lepszy od drugiego.

One odpowiadają na różne etapy tego samego problemu.

Polski program pozwala nadrobić wieloletni dług technologiczny.

Można wymienić firewall. Rozdzielić sieci. Kupić nowe switche. Zabezpieczyć endpointy. Wdrożyć backup. Zbudować monitoring. Przeprowadzić analizę ryzyka. Zrobić audyt IT i OT. Przeszkolić administratorów i pracowników.

To ogromna wartość.

Ale nawet najlepiej skonfigurowany firewall nie zarządza się sam.

SIEM bez osoby analizującej zdarzenia staje się drogim magazynem logów.

EDR, którego alertów nikt regularnie nie sprawdza, nie daje takiego poziomu ochrony, jaki sugeruje jego obecność w dokumentacji.

System monitoringu może przez trzy dni informować o problemie, jeżeli nikt nie odpowiada za reakcję.

I tutaj amerykański kierunek pokazuje coś, nad czym warto zastanowić się również w Polsce.

Co wydarzy się dzień po zakończeniu projektu „Cyberbezpieczne Wodociągi”?

Grant można rozliczyć. Cyberbezpieczeństwa nie można zakończyć

To prawdopodobnie najważniejsza lekcja płynąca z porównania obu modeli.

Cyberbezpieczeństwo nie jest projektem z datą końcową.

Można zakończyć wdrożenie firewalla, odebrać system SIEM czy przeprowadzić audyt i zamknąć postępowanie zakupowe.

Nie można natomiast powiedzieć, że od tego momentu wodociąg jest już cyberbezpieczny.

Zmieniają się podatności. Pojawiają się nowe urządzenia. Dostawca automatyki instaluje kolejne połączenie zdalne. Administrator dodaje regułę na firewallu. Wymieniany jest sterownik. Powstaje nowy VLAN. Pracownik odchodzi z firmy, a jego konto pozostaje aktywne. Wykrywana jest krytyczna podatność w urządzeniu działającym od ośmiu lat.

Bezpieczeństwo zaczyna się więc degradować właściwie od momentu zakończenia wdrożenia.

Dlatego program Cyberbezpieczne Wodociągi powinien być traktowany jako początek procesu, a nie jego zakończenie.

Jak mógłby wyglądać kolejny etap Cyberbezpiecznych Wodociągów?

Tutaj właśnie warto wykorzystać doświadczenia amerykańskie.

Polska nie potrzebuje kopiować Water Watch Center jeden do jednego. Struktura sektora, prawo i istniejący Krajowy System Cyberbezpieczeństwa są inne.

Sam kierunek jest jednak interesujący.

Po zakończeniu obecnego programu można wyobrazić sobie model sektorowego wsparcia, w którym wodociągi zachowują wdrożone lokalnie zabezpieczenia, ale część kompetencji związanych z monitoringiem i reagowaniem otrzymują w modelu współdzielonym.

Mały wodociąg nie musi przecież zatrudniać własnego analityka SOC na trzy zmiany.

Potrzebuje natomiast kogoś, kto zauważy, że o 2:47 w nocy konto serwisowe zalogowało się przez VPN.

Ktoś powinien zwrócić uwagę, że sterownik PLC zaczął komunikować się z adresem, którego wcześniej nie używał.

Trzeba zauważyć połączenia stacji operatorskiej z Internetem.

Powinien pojawić się alert, kiedy urządzenie komunikujące się od miesięcy wyłącznie z systemem SCADA nagle zaczyna wysyłać ruch do innego segmentu sieci.

I najważniejsze: po takim alercie ktoś musi wiedzieć, co zrobić.

SOC dla wodociągu nie może wyglądać dokładnie tak samo jak SOC dla biura

To również istotny element całej układanki.

Monitoring infrastruktury OT wymaga kontekstu.

Dla klasycznego SOC połączenie pomiędzy dwoma adresami IP może wyglądać zupełnie normalnie. Dla automatyka może oznaczać komunikację, która w tym miejscu instalacji nigdy nie powinna wystąpić.

Dlatego budując monitoring wodociągu, trzeba najpierw poznać normalny sposób działania infrastruktury.

Który PLC komunikuje się z którym systemem?

Które stacje operatorskie mogą wychodzić do Internetu?

Kto może korzystać z VPN?

Z jakich adresów odbywa się dostęp serwisowy?

Czy urządzenia OT powinny inicjować komunikację do sieci IT?

Jak wygląda normalny ruch pomiędzy przepompownią i centralą?

Dopiero wtedy monitoring zaczyna mieć wartość.

Inaczej powstaje tysiące alertów, których po kilku tygodniach nikt już nie czyta.

Segmentacja IT i OT nadal pozostaje fundamentem

Niezależnie od tego, ile pieniędzy zostanie wydanych na cyberbezpieczeństwo, jednym z podstawowych elementów ochrony wodociągu pozostaje segmentacja.

I nie chodzi tylko o utworzenie VLAN-u o nazwie „SCADA”.

Ruch pomiędzy strefami powinien być kontrolowany przez firewall. Reguły muszą wynikać z rzeczywistych potrzeb procesu.

Jeżeli komputer pracownika administracji może bezpośrednio komunikować się ze sterownikiem PLC, trudno mówić o skutecznej segmentacji.

Podobnie z dostępem zdalnym.

Serwisant automatyki nie powinien otrzymywać szerokiego VPN do całej infrastruktury tylko dlatego, że raz na kilka miesięcy musi połączyć się z jednym systemem.

Dostęp można ograniczyć do konkretnego hosta lub segmentu, zabezpieczyć MFA, rejestrować i aktywować tylko wtedy, gdy jest potrzebny.

To właśnie w takich miejscach najczęściej widać różnicę pomiędzy bezpieczeństwem zapisanym w polityce a bezpieczeństwem działającym w rzeczywistej sieci.

Cyberbezpieczny Wodociąg powinien mieć kilka warstw

Nie istnieje jedno urządzenie, które rozwiąże problem.

Bezpieczne środowisko powinno zaczynać się od inwentaryzacji IT i OT oraz stworzenia aktualnej architektury sieci. Następnie trzeba zweryfikować ekspozycję do Internetu, dostęp zdalny i komunikację pomiędzy strefami.

Kolejnym etapem jest właściwa segmentacja, kontrola dostępu, MFA, hardening urządzeń, aktualizacje tam, gdzie są możliwe, oraz mechanizmy kompensacyjne dla systemów, których aktualizować nie można.

Do tego dochodzi backup.

Nie tylko danych biznesowych.

Potrzebne są również aktualne kopie konfiguracji firewalli, switchy, urządzeń sieciowych i innych elementów, które będą potrzebne podczas odbudowy infrastruktury po incydencie.

Następna warstwa to monitoring.

Logi z firewalli, VPN, serwerów, systemów bezpieczeństwa i infrastruktury powinny trafiać do miejsca, w którym można je korelować i analizować.

Na końcu znajduje się człowiek.

Ktoś musi odebrać alert, ocenić go i rozpocząć reakcję.

Bez ostatniego elementu wszystkie wcześniejsze inwestycje tracą dużą część swojej wartości.

Ciekawa lekcja z praktyki: największym problemem bywa urządzenie, o którym nikt nie pamięta

Podczas rozmów o bezpieczeństwie infrastruktury dużo uwagi poświęca się firewallom, serwerom i systemom ochrony.

Tymczasem w środowisku OT szczególnie niebezpieczne potrafią być urządzenia pozostające poza codziennym zarządzaniem IT.

Router LTE zamontowany kilka lat wcześniej przez firmę serwisującą automatykę. Stary switch w przepompowni. Konto lokalne utworzone dla dostawcy. Komputer operatorski, którego nie można zaktualizować ze względu na zgodność z aplikacją. Reguła firewalla dodana tymczasowo podczas uruchomienia instalacji i pozostawiona na kilka lat.

Dlatego dobra inwentaryzacja OT potrafi dać więcej niż zakup kolejnego systemu bezpieczeństwa.

Najpierw trzeba wiedzieć, czego się broni.

Co Polska może zaczerpnąć z modelu USA?

Polskie Cyberbezpieczne Wodociągi są bardzo potrzebnym programem. Skala zainteresowania pokazuje, że sektor sam dostrzega potrzebę zmian.

Nie powinniśmy jednak zatrzymać się na etapie zakupów i wdrożeń.

Amerykański eksperyment z regionalnymi MSSP i Water Watch Center podpowiada ciekawy kierunek rozwoju.

W Polsce kolejnym etapem mogłoby być stworzenie trwałego modelu operacyjnego dla podmiotów, które nie są w stanie samodzielnie utrzymywać zespołów cyberbezpieczeństwa.

Nie musi oznaczać to jednego centralnego SOC dla wszystkich wodociągów.

Znacznie bardziej realistyczny wydaje się model federacyjny, w którym przedsiębiorstwa korzystają z własnych lub zewnętrznych SOC/MSSP, ale obowiązują je określone standardy monitoringu, wymiany informacji, klasyfikacji incydentów i reagowania.

Do tego potrzebny jest sektorowy threat intelligence.

Jeżeli jeden wodociąg obserwuje konkretną próbę ataku na określony typ urządzenia, pozostali operatorzy korzystający z tej samej technologii powinni móc szybko otrzymać informację i sprawdzić własne środowiska.

Wtedy cyberbezpieczeństwo przestaje być zbiorem kilkuset niezależnych projektów.

Powstaje system odporności całego sektora.

Jak BOIT może pomóc w budowie Cyberbezpiecznego Wodociągu

W przypadku infrastruktury wodociągowej nie powinno zaczynać się od pytania: „jaki firewall kupić?”.

Najpierw trzeba poznać środowisko.

BOIT może rozpocząć taki projekt od audytu infrastruktury IT i OT, inwentaryzacji urządzeń, analizy topologii, sprawdzenia ekspozycji usług do Internetu, zdalnego dostępu, VPN oraz komunikacji pomiędzy siecią biznesową i technologiczną.

Kolejnym etapem może być zaprojektowanie segmentacji IT/OT i wydzielenie stref dla serwerów, SCADA, urządzeń technologicznych, administracji, monitoringu oraz dostępu serwisowego.

W środowiskach wykorzystujących rozwiązania Fortinet FortiGate może pełnić nie tylko funkcję klasycznego firewalla brzegowego. Może również kontrolować komunikację pomiędzy strefami, realizować IPS, filtrować ruch, zabezpieczać dostęp VPN oraz dostarczać dane potrzebne do dalszej analizy zdarzeń.

Tam, gdzie wymaga tego architektura, kolejnymi elementami mogą być EDR, centralizacja logów, FortiAnalyzer, monitoring infrastruktury, backup konfiguracji oraz nadzór SOC.

Równie ważne jest przygotowanie procedur.

Co zrobić po wykryciu nieautoryzowanego dostępu do sieci OT?

Kto może podjąć decyzję o odłączeniu konkretnego segmentu?

Jak utrzymać proces technologiczny po utracie systemu SCADA?

Jak szybko odtworzyć konfigurację urządzenia?

Kogo powiadomić?

Gdzie znajdują się aktualne kopie konfiguracji?

Takich pytań nie powinno zadawać się po rozpoczęciu incydentu.

Cyberbezpieczne Wodociągi 2.0 powinny zaczynać się tam, gdzie kończy się obecny grant

Polska wykonała ważny ruch.

Setki przedsiębiorstw wodociągowych otrzymały możliwość przeprowadzenia audytów, modernizacji infrastruktury IT i OT, wdrożenia zabezpieczeń oraz podniesienia kompetencji pracowników.

Teraz warto pomyśleć o tym, co dalej.

USA próbują przejść od punktowej pomocy i pracy wolontariuszy do stałego modelu MSSP, regionalnego monitoringu i Water Watch Center. Polska zaczęła od dużego programu inwestycyjnego.

Te dwa podejścia nie muszą ze sobą konkurować.

Wręcz przeciwnie.

Cyberbezpieczne Wodociągi 2.0 mogłyby połączyć infrastrukturę zbudowaną dzięki obecnym grantom ze stałym monitoringiem, SOC, sektorową wymianą informacji o zagrożeniach, regularnymi audytami oraz realnym wsparciem podczas incydentu.

Bo firewall kupiony w 2026 roku nie będzie automatycznie bezpieczny w 2029.

Dokumentacja nie zauważy ataku o trzeciej nad ranem.

A sterownik PLC nie wie, że przedsiębiorstwo pozytywnie przeszło audyt.

Cyberbezpieczeństwo wodociągu trzeba utrzymywać każdego dnia.

I właśnie to powinno być kolejnym etapem programu.

Źródła i dalsza lektura

  • US Environmental Protection Agency: Cybersecurity for the Water Sector
    Materiały EPA dotyczące cyberbezpieczeństwa systemów wodnych, oceny ryzyka, planowania zabezpieczeń oraz ochrony infrastruktury wodociągowej.
    https://www.epa.gov/cyberwater
  • National Rural Water Association
    Organizacja uczestnicząca w rozwijaniu modelu współdzielonego wsparcia cyberbezpieczeństwa dla mniejszych i lokalnych systemów wodociągowych w USA.
    https://nrwa.org/
  • NIST: Cybersecurity Framework 2.0
    Standard pozwalający uporządkować zarządzanie cyberbezpieczeństwem wokół funkcji Govern, Identify, Protect, Detect, Respond i Recover. Może być wykorzystany również przy budowaniu programu bezpieczeństwa infrastruktury wodociągowej.
    https://www.nist.gov/cyberframework
Bartłomiej Ożóg
Bartłomiej Ożóg