Cyberbezpieczeństwo przedsiębiorstw wodociągowo-kanalizacyjnych

Znaczenie cyberbezpieczeństwa w sektorze wodociągowo-kanalizacyjnym w kontekście Dyrektywy CER oraz nowelizacji ustawy o zarządzaniu kryzysowym.

wodociągi nis 2

Cyberbezpieczeństwo przedsiębiorstw wodociągowo-kanalizacyjnych stanowi dziś jeden z kluczowych filarów ochrony infrastruktury krytycznej państwa. W obliczu narastającej liczby incydentów cybernetycznych oraz coraz bardziej zaawansowanych metod ataków, sektor ten – odpowiedzialny za zaopatrzenie w wodę, odbiór i oczyszczanie ścieków – wymaga szczególnej uwagi. Ciągłość jego działania ma zasadnicze znaczenie dla zdrowia publicznego, ładu społecznego, a także stabilności gospodarczej kraju.

Kluczowe zagrożenia i wyzwania

Wodociągi, wykorzystujące nowoczesne technologie operacyjne (OT) i przemysłowe systemy sterowania (ICS), stają się coraz częściej celem ataków cybernetycznych. Skutki potencjalnych incydentów mogą być bardzo poważne i obejmować m.in.:

  • przerwy w dostępie do wody pitnej,
  • zagrożenie dla środowiska naturalnego,
  • zakłócenia w funkcjonowaniu szpitali, szkół i służb ratunkowych,
  • poważne utrudnienia dla działalności gospodarczej.

Według danych Ministerstwa Cyfryzacji, w 2024 roku obsłużono w Polsce ponad 100 tys. incydentów związanych z cyberbezpieczeństwem, z czego około 2000 dotyczyło administracji samorządowej. Dane te wskazują na istotną podatność instytucji publicznych – w tym wodociągów – na działania wrogie w przestrzeni cyfrowej.

Program „Cyberbezpieczny Wodociąg” – instrument wzmacniający odporność

Odpowiedzią na te wyzwania jest program grantowy „Cyberbezpieczny Wodociąg”, realizowany w ramach Krajowego Planu Odbudowy i Zwiększania Odporności. Celem programu jest umożliwienie podmiotom z sektora wodociągowego skutecznego dostosowania się do wymogów unijnej Dyrektywy NIS2 oraz wzmocnienie ich odporności na zagrożenia w cyberprzestrzeni. Finansowane działania obejmują m.in.:

  • wdrażanie środków organizacyjnych, w tym polityk bezpieczeństwa informacji, procedur reagowania na incydenty i zarządzania kryzysowego,
  • zakup oraz modernizację infrastruktury technicznej – systemów detekcji zagrożeń, oprogramowania ochronnego, rozwiązań klasy SIEM czy systemów zarządzania podatnościami,
  • rozwój kompetencji pracowników – poprzez szkolenia, warsztaty oraz symulacje ataków (np. phishingowych).

Zintegrowane podejście do bezpieczeństwa cyfrowego umożliwia znaczące zwiększenie odporności operacyjnej i technologicznej przedsiębiorstw wodociągowo-kanalizacyjnych.

Ramy regulacyjne – Dyrektywa CER i ustawa o zarządzaniu kryzysowym

Dodatkowe wymagania w zakresie odporności podmiotów infrastruktury krytycznej wynikają z Dyrektywy CER (Critical Entities Resilience), której celem jest zapewnienie ciągłości świadczenia usług kluczowych dla funkcjonowania społeczeństw i gospodarek Unii Europejskiej. Dyrektywa nakłada obowiązek identyfikacji ryzyk, wdrażania środków zaradczych oraz raportowania incydentów, które mogą prowadzić do poważnych zakłóceń – w tym również cyberataków.

Równolegle, projekt nowelizacji ustawy o zarządzaniu kryzysowym wprowadza obowiązek uwzględniania zagrożeń cyfrowych w lokalnych i regionalnych planach zarządzania kryzysowego. Przewiduje także zacieśnienie współpracy pomiędzy organami administracji publicznej a operatorami infrastruktury krytycznej. Dla przedsiębiorstw wodociągowych oznacza to konieczność implementacji systemów monitorowania, wczesnego ostrzegania oraz mechanizmów przywracania ciągłości działania.

Usługi wpierające zarządzanie cyberpieczeństwem

Poniżej wykaz usług jakie najczęściej są wykorzystywane aby wzmacniać cyberbezpieczeństwo w sektorze wodociągowo-kanalizacyjnym

Jak EY może pomóc

Cybersecurity

Dowiedz się więcej o tym, jak organizacje przyspieszają transformację i jednocześnie wzmacniają cyberbezpieczeństwo.

Przeczytaj więcej

Lider

  • Photographic portrait of Piotr Ciepiela
    Piotr Ciepiela

    EY Global Advisory Cyber Architecture, Engineering & Emerging Technology Leader

Polecane

    Kontakt

    EY oznacza globalną organizację i może odnosić się do jednej lub więcej firm członkowskich Ernst & Young Global Limited, z których każda stanowi odrębny podmiot prawny. Ernst & Young Global Limited, brytyjska spółka z ograniczoną odpowiedzialnością, nie świadczy usług na rzecz klientów.