O obiektach komunalnych jako infrastrukturze krytycznej na Enviconie

W takim kontekście odbył się panel „Obiekty w gospodarce komunalnej jako element infrastruktury krytycznej” podczas kongresu Envicon. Dyskusję moderował Janusz Fic, prezes Krośnieńskiego Holdingu Komunalnego, a wśród panelistów znaleźli się:
Adam Jocz (ZUO Elbląg), Janusz Dawidziak (Goleniowskie Wodociągi i Kanalizacja), Daniel Chojnacki (Kancelaria DZP), Tomasz Kasprzyk (PGO Kielce), Maciej Cieśla (Solid Cyber) oraz Agnieszka Potoczny (PIB Broker).

Choć w polskich przepisach infrastruktura komunalna — zwłaszcza systemy wodociągowe — figuruje w katalogu infrastruktury krytycznej, to sam status poszczególnych obiektów nie jest automatyczny. Wpis zależy od oceny ryzyka i ma charakter niejawny, co sprawia, że wiele instalacji wod-kan, ciepłowniczych i odpadowych funkcjonuje bez formalnych procedur ochrony.

Jednocześnie sektor stoi przed wdrożeniem dyrektywy NIS2 i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Nowe regulacje podnoszą wymagania dotyczące zabezpieczeń OT/IT, ciągłości działania i raportowania incydentów. Eksperci zgodnie wskazywali, że bez jasnego określenia, które obiekty są infrastrukturą krytyczną, trudno będzie zapewnić spójną i skuteczną ochronę.

Pożar w ZUO Elbląg jako przykład systemowych braków

Dyskusję otworzył opis dramatycznego pożaru, który zniszczył sortownię ZUO Elbląg.
– Staraliśmy się po pożarze jak najszybciej uruchomić działalność. Chciałbym podkreślić solidarność i realne wsparcie okolicznych zakładów. Zadziałały znajomości. Niestety zderzyliśmy się z niedoskonałością przepisów. Współczucie ze strony wojewody czy marszałka było, ale nie było procedur, które pozwoliłyby działać w trybie wyjątkowym – relacjonował prezes Adam Jocz.

Podkreślał, że problem nie wynika ze złej woli urzędników, lecz z braku narzędzi prawnych pozwalających reagować na sytuacje kryzysowe w kluczowych obiektach komunalnych.

Ubezpieczenia i transfer ryzyka – konieczne, ale niewystarczające

Agnieszka Potoczny zwracała uwagę, że sama polisa nie zabezpieczy przedsiębiorstwa przed skutkami zdarzeń ekstremalnych.
Wyjaśniała, że kluczowe jest rzetelne przygotowanie danych majątkowych, procedur i szkoleń dla pracowników. Jeśli nie są odpowiednio przeszkoleni, to w razie niebezpiecznego zdarzenia fakt ten będzie działał na niekorzyść firmy. Standardowe polisy wyłączają ryzyka takie jak terroryzm czy sabotaż — konieczne jest więc indywidualne negocjowanie zakresu ochrony.
– Ubezpieczyciel inaczej oceni zakłady, w których audyty potwierdzają realne starania o poprawę bezpieczeństwa – podkreślała.

Zmiana sytuacji geopolitycznej i potrzeba wyjątkowych procedur

Daniel Chojnacki przypomniał, że zagrożenia fizyczne i cybernetyczne nie są już hipotetyczne. Ministerstwo Klimatu i Środowiska zabiegało o to, by wojewodowie mogli w sytuacjach kryzysowych wydawać polecenia pomijające standardowe procedury — choćby w zakresie pozwoleń zintegrowanych.

– Musimy tę infrastrukturę traktować w sposób specjalny – mówił. Jego zdaniem rozwiązaniem jest konsekwentne stosowanie przepisów: jeśli ustawowy termin wynosi dwa tygodnie, to postępowanie nie może trwać dwa lata.

Tomasz Kasprzyk wskazywał na szanse, jakie daje fundusz bezpieczeństwa i obronności, w tym na finansowanie działań z zakresu cyberbezpieczeństwa. Zauważył również, że IPOK-i mają odgrywać kluczową rolę w utylizacji odpadów niebezpiecznych po klęskach żywiołowych, choć obecne pozwolenia nie zawierają takich zapisów.

Wodociągi na pierwszej linii ochrony

Janusz Dawidziak opisywał, jak wodociągi zabezpieczają ciągłość dostaw: od monitoringu jakości wody z użyciem małży i lamp UV, przez współpracę ze służbami, po zabezpieczenia energetyczne w postaci agregatów prądotwórczych.
Gmina inwestuje także w rozwiązania awaryjne: zwiększono liczbę beczek na wodę, a w planach jest zakup urządzenia do pakowania wody – zdolnego wytworzyć do 1000 litrowych worków na godzinę.

Firmy dzielą się na zaatakowane i te, które będą zaatakowane

Maciej Cieśla z Solid Cyber zwrócił uwagę, że dzięki narzędziom AI hakerzy tworzą złośliwe oprogramowanie szybciej niż kiedykolwiek.
Wskazał, że wiele firm wciąż zaniedbuje podstawy: szkolenia pracowników, audyty, kontrolę aplikacji czy ubezpieczenia cyber.

– Przestępcy uczą się jednocześnie hakowania ludzi i systemów. Tylko integracja działań w zakresie bezpieczeństwa fizycznego i cyfrowego realnie odstrasza atakujących – podkreślił.