Nawet 7 mln euro kary dla firm produkcyjnych. Polskie fabryki mają nowe obowiązki w cyberbezpieczeństwie

Stawka jest wysoka. Godzina przestoju fabryki kosztuje ponad pół miliona złotych, firmie za zaniedbania grozi kara do 7 mln euro, a kierownik firmy może zapłacić karę z własnej kieszeni. Cyberbezpieczeństwo przemysłu przestaje więc być sprawą wyłącznie działu IT i trafia na stół zarządu.

Nowe obowiązki dla polskich fabryk

Nowe przepisy ustawy o krajowym systemie cyberbezpieczeństwa (KSC), które wdrażają unijną dyrektywę NIS2, obowiązują od 3 kwietnia 2026 r. Obejmują firmy z wybranych sektorów, które zatrudniają co najmniej 50 osób albo mają ponad 10 mln euro obrotu. Lista obejmuje produkcję m.in. maszyn, pojazdów, komputerów, elektroniki i urządzeń elektrycznych.

Część obowiązków już działa. Firma ma 24 godziny na wstępne zgłoszenie poważnego incydentu, 72 godziny na pełne zgłoszenie i miesiąc na raport końcowy. 3 października minął termin na wniosek o wpis do wykazu podmiotów kluczowych i ważnych, a do 3 kwietnia 2027 r. firmy muszą wdrożyć pełny system zarządzania bezpieczeństwem.

Podmiotom ważnym, do których zwykle należą zakłady produkcyjne, grozi kara do 7 mln euro lub 1,4 proc. rocznego obrotu. Ustawa przewiduje też karę dla kierownika firmy, płatną z jego własnych pieniędzy. Zarząd odpowiada za zatwierdzenie środków bezpieczeństwa i nadzór nad nimi.

Przestój kosztuje więcej niż wyciek danych

Przemysł to dla przestępców łakomy kąsek. Z raportu ENISA Threat Landscape, który przygotowuje Agencja Unii Europejskiej ds. Cyberbezpieczeństwa, wynika, że produkcja zajmuje drugie miejsce wśród najczęstszych celów cyberprzestępców w Europie – przypada na nią 13,3 proc. incydentów. Aż 59,3 proc. zagrożeń wobec tego sektora to cyberprzestępczość, której celem są pieniądze.

W fabryce każda godzina bez pracy linii ma konkretną cenę. Jak wynika z badania szwajcarskiej firmy ABB wśród ponad 3,2 tys. menedżerów utrzymania ruchu, nagły przestój kosztuje typowe przedsiębiorstwo przemysłowe blisko 125 tys. dolarów, czyli ok. 490 tys. zł, za godzinę. Ponad dwie trzecie firm z badania notuje takie przestoje co najmniej raz w miesiącu.

Przyczyną bywa awaria maszyny, ale też cyberatak. Jaguar Land Rover po ataku hakerów wstrzymał produkcję w brytyjskich fabrykach na pięć tygodni. Koncern wycenił dodatkowe koszty incydentu na 196 mln funtów, czyli ponad miliard złotych – i to bez utraconej sprzedaży.

Jak podają brytyjskie media, w kwartale, w którym fabryki stały, przychody JLR spadły o ok. 24 proc., do 4,9 mld funtów, a firma zanotowała 485 mln funtów straty. Na wynik wpłynęły też amerykańskie cła i wygaszanie starszych modeli Jaguara.

Atak trafia także w polskie zakłady

Zagrożenie nie omija Polski. Pod koniec ubiegłego roku napastnicy jednocześnie zaatakowali ponad 30 farm wiatrowych i fotowoltaicznych, elektrociepłownię, która dostarcza ciepło blisko 500 tys. osób, oraz prywatną firmę produkcyjną. Jak ustalił CERT Polska, ich celem było zniszczenie, a nie kradzież danych.

Do ataku wystarczyły proste luki. Napastnicy wykorzystali urządzenia VPN z dostępem z internetu, które nie wymagały drugiego składnika logowania, oraz te same hasła na wielu kontach. W sterownikach przemysłowych znaleźli fabryczne konta z domyślnymi hasłami.

Jedno urządzenie może zatrzymać cały proces

Przez lata sieć biurowa i automatyka na hali produkcyjnej działały osobno. Dziś dane z maszyn trafiają do systemów IT, platform przemysłowego internetu rzeczy (IIoT) i chmury, a serwisanci diagnozują urządzenia zdalnie, bez wizyty w zakładzie. To zwiększa wydajność, ale każde kolejne połączenie z siecią otwiera też nową drogę dla napastnika.

– Cyberbezpieczeństwo trzeba dziś postrzegać jako element zarządzania ryzykiem i ciągłością działania całej organizacji. Wraz z cyfryzacją produkcji pojedyncze urządzenie przestaje być odizolowanym elementem – komunikuje się z innymi urządzeniami, systemami i usługami, a jego bezpieczeństwo może mieć wpływ na funkcjonowanie całego procesu. Podatność jednego z tych elementów może więc przełożyć się na przestoje, opóźnienia czy zakłócenia w realizacji zamówień. Dlatego przy wyborze technologii trzeba brać pod uwagę nie tylko koszt wdrożenia i funkcjonalność urządzenia, ale również jego bezpieczeństwo oraz sposób zarządzania nim przez cały cykl życia – mówi Aleksandra Banaś, prezes zarządu ifm electronic, producenta rozwiązań dla automatyki przemysłowej, komunikacji i monitorowania procesów.

Specjaliści od automatyki wskazują kilka podstawowych zabezpieczeń: oddzielenie sieci biurowej (IT) od sieci produkcyjnej (OT), uwierzytelnianie urządzeń za pomocą certyfikatów oraz ograniczenie komunikacji do konkretnych portów i adresów. CERT Polska dodaje do tej listy uwierzytelnianie wieloskładnikowe i zmianę fabrycznych haseł zaraz po instalacji urządzenia. Cel nie polega na hamowaniu cyfryzacji, tylko na takim jej projektowaniu, aby nowe możliwości nie oznaczały ryzyka bez kontroli.

Atak u dostawcy zatrzymuje także odbiorcę

Atak nie musi też trafić bezpośrednio w zakład. Według sierpniowego raportu brytyjskiej organizacji producentów Make UK 30 proc. firm produkcyjnych w Wielkiej Brytanii doświadczyło w ciągu ostatniego roku cyberincydentu – we własnej firmie albo u dostawcy. Wśród zakładów, które ucierpiały przez atak na dostawcę, 31 proc. opóźniło dostawy do klientów, a tyle samo zanotowało spadek mocy produkcyjnych. Tymczasem plan reagowania na incydent ma tylko 51 proc. producentów.

Zalecenia po ataku na polską energetykę także obejmują dostawców. Operatorzy powinni wymagać od integratorów i firm serwisowych zmiany fabrycznych haseł w urządzeniach, które te firmy montują. Każdy partner z dostępem do infrastruktury zakładu to bowiem kolejne drzwi, które napastnik może otworzyć.