Konferencja Izby Gospodarczej Gazownictwa: „Energia pod ochroną – cyberbezpieczeństwo w gazownictwie i energetyce” odbyła się 30 czerwca b.r. w Warszawie. Głównym celem konferencji była prezentacja nowych obowiązków, wynikających implementacja unijnej Dyrektywy NIS 2, wprowadzonych do prawa krajowego jako nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC) obowiązująca od 3 kwietnia 2026.
Wydarzenie otworzył Prezes Zarządu Izby Gospodarczej Gazownictwa, Prezes Polskiej Spółki Gazownictwa, dr Szymon Paweł Moś, podkreślając, że Izba tworzy płaszczyznę do praktycznej, branżowej dyskusji, która m. in. pomaga w zrozumieniu regulacji i przełożeniu ich zapisów na działalność zrzeszonych firm. Wskazał, że aktualnie pojęcie bezpieczeństwa energetycznego nie ogranicza się jedynie do zapewnienia zdywersyfikowanych dostaw paliw, przy pomocy niezawodnej infrastruktury, ale dotyczy także odporności cyfrowej, organizacyjnej i fizycznej. Dodał także, że zmienia się też charakter zagrożeń – cyberataki mogą łączyć się z sabotażem lub dezinformacją przy równocześnie narastającej presji geopolitycznej. Hybrydowe zagrożenia wymagają kompleksowego podejścia i włączenia całej organizacji do budowania odporności. Dlatego też tematyka konferencji dotyczy zarówno zmian legislacyjnych, przygotowań technologicznych, jak i organizacyjnych.
Referat wprowadzający do obrad p.t. „Wdrożenie wymogów dyrektywy NIS2”., wygłosiła dr Monika Bogdał z kancelarii LRS.LAW. „Podkreśliła, żecyberzagrożenia, takie jak phishing, malware, włamania z użyciem danych z wycieków i włamania przez brak aktualizacji/konfiguracji są częścią naszej codzienności. Cyberataki wykazują coraz większy poziom zróżnicowania zarówno jeśli chodzi o geografię, jak i o rodzaj atakowanych obiektów i związane z tym techniki. W jej opinii nie jest możliwe w 100% wyłączenie systemów cyfrowych w przypadku ataku, ale jeśli jest wdrożona norma ISO 27001 dla Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), zapewnia to 90% bezpieczeństwa.
Pierwszy panel dyskusyjny moderowany przez mec. Marka Dolatowskiego dotyczył „Strategicznych wyzwań cyberbezpieczeństwa energetyki”. Uczestnicy scharakteryzowali w jego trakcie zagrożenia cybernetyczne dla sektora w Europie i Polsce, najnowsze trendy ataków na energetykę i gazownictwo, wspomnieli o działaniach sabotażowych infrastruktury krytycznej oraz wojnie hybrydowej i zagrożeniach dla operatorów systemów przesyłowych. Wzięli w nim udział: prof. dr hab. Jakub Kupecki, Dyrektor Narodowego Centrum Badań Jądrowych, Dariusz Pałka, Kierownik Działu Standardów i Architektury Cyberbezpieczeństwa, Pionu Cyberbepieczeństwa, Gaz-System, dr hab. inż. Piotr Małka, profesor Politechniki Krakowskiej, Wojciech Kubiak, Dyrektor ds. Cyberbezpieczeństwa, Trecom Enterprise Solutions i mec. Jacek Widenka, WKB Wierciński, Kwieciński, Baehr sp. k.
Prof. dr hab. Jakub Kupecki zaznaczył, że jego obserwacje z rynku nie napawają optymizmem. W szczególności, jak zwrócił uwagę kryterium ceny nie powinno być najważniejszym kryterium przy wyborze najlepszych rozwiązań technologicznych stosowanych w cyberbezpieczeństwie.
Dariusz Pałka, Kierownik Działu Standardów i Architektury Cyberbezpieczeństwa, Pionu Cyberbepieczeństwa, Gaz-Systemu, przypomniał o roli operatora systemu przesyłowego, którego podstawowym zadaniem jest zapewnienie przesyłu paliw gazowych, a cyberbezpieczeństwo i ogólnie sfera IT pełnią wobec tej funkcji rolę służebną.
Wojciech Kubiak, Dyrektor ds. Cyberbezpieczeństwa, Trecom Enterprise Solutions, zauważył, że bardzo często na ataki narażona jest branża OZE, z racji tego, że energetyka rozproszona to domena firm niedużych, lokalnych, nie posiadających odpowiednich kompetencji i zasobów oraz nie monitorujących ryzyk cybernetycznych.
Zdaniem dr hab. inż. Piotra Małki, problemem w małych firmach, operujących w energetyce rozproszonej, w tym OZE, jest brak zrozumienia, że cyberbezpieczeństwo to proces ciągły. Do tego minimalizacja kosztów biznesowych bierze często górę nad faktycznymi potrzebami w zakresie bezpieczeństwa.
Mec. Jacek Widenka z WKB Wierciński, Kwieciński, Baehr sp. k., dodał, że wdrożenie wszystkich wymogów KSC jest wyzwaniem, więc trzeba zapewnić infrastrukturę rozbudowaną proporcjonalnie do ryzyka.
Po zakończeniu pierwszego panelu dyskusyjnego dr hab. inż. Piotr Małka, przedstawił referat na temat „Nowoczesne technologie ochrony infrastruktury energetycznej”. Uważa, że w skutecznej ochronie infrastruktury energetycznej najbardziej najistotniejszy jest czynnik ludzki, nawet jeśli weźmiemy pod uwagę, że atak cybernetyczny, który trwał kiedyś od kilku minut do kilku godzin, teraz – przy użyciu AI – trwa sekundy. CSIRT i CSIRT sektorowy AI stanowią element bezpieczeństwa cybernetycznego sieci i systemów energetycznych, ale to SOC (Security Operation Centre) pełni najważniejszą rolę. W związku z dynamicznymi zmianami zachodzącymi zarówno w rozwoju technologicznym, jak i samym cyberbezpieczeństwie, należy się głęboko zastanawiać jak w obecnych czasach powinniśmy kształcić inżynierów.
Kamil Pszczółkowski z EY Polska, Consulting, Cyber Security Senior Manager, zaprezentował referat „Zarządzanie kryzysowe w świetle wymogów NIS2 i CER oraz aktualnych zagrożeń hybrydowych”, zaczynając od spostrzeżenia, że ISO 27001 dotyczy procesów, a nie organizacji. W jego ocenie w przedsiębiorstwach wzrasta rola Business Continuity Management. BCM buduje odporność organizacji, więc trzeba mieć nastawienie na komunikację między zespołami, aby była ciągłość działania bez długoterminowych niedostępności.
Jako ostatnia prelegentka – mec. Magdalena Matysiak z WBK Wierciński, Kwieciński, Baehr sp. k. – wygłosiła referat „Praktyczne metody wdrażania wymogów Dyrektywy NIS2 i ustawy o KSC”.
Po referatach odbył się panel dyskusyjny dotyczący „NIS2, CER i krajowych regulacji – jak przygotować sektor gazowy?”, moderowany przez Michała Zdunowskiego, CEO IS Consulting, w którym uczestnicy omówili krajowy system cyberbezpieczeństwa (KSC), obowiązki operatorów usług kluczowych, zarządzanie ryzykiem dostawców, odpowiedzialność zarządów, raportowanie incydentów, audyty i wymagania wobec OT. O tej tematyce dyskutowali: Maciej Ginalski, Country Manager, EDR Medeso, Andrzej Dulka, Prezes Polskiej Izby Informatyki i Telekomunikacji, Grzegorz Mazurek, Dyrektor Zarządzający ds. Usług Cyberbezpieczeństwa Transition Technologies-Systems Sp. z o.o., Kamil Pszczółkowski, EY Polska, Consulting, Cyber Security Senior Manager i Marcin Tarnowski, Zastępca Dyrektora Departamentu Teleinformatyki i Cyberbezpieczeństwa, Polska Spółka Gazownictwa.
Maciej Ginalski, Country Manager, EDR Medeso, wspomniał o roli bliźniaków cyfrowych w zakresie cyberbezpieczeństwo. Bliźniaki cyfrowe zaś stanowią wirtualną kopię systemu procesu, połączoną bezpośrednio z rzeczywistym procesem, po to, aby mogła pomagać w podejmowaniu decyzji.
Andrzej Dulka, Prezes Polskiej Izby Informatyki i Telekomunikacji, postawił pytanie: czy gazownictwo jest przygotowane pod względem cyberbepieczeństwa? Jego zdaniem żaden sektor nie jest, bo to nie stan, ale proces. Można być w procesie przygotowania, a nie – być przygotowanym. Codziennie dochodzi do tysięcy-dziesiątek tysięcy cyberataków. Musimy też zaakceptować, że cyberbezpieczeństwo państwa najlepiej budować z UE w porozumieniu transatlantyckim. Biorąc pod uwagę cykl życia produktu i jak ma nam zapewnić bezpieczeństwo, apeluje do regulatorów, aby nie byli tylko od karania przedsiębiorstw, bo cyberbezpieczeństwo jest naszą wspólną sprawą. Należałoby też wzmocnić rolę Urzędu Zamówień Publicznych, aby umożliwić konkurowanie polskich firm z zagranicznymi.
Grzegorz Mazurek, Dyrektor Zarządzający ds. Usług Cyberbezpieczeństwa Transition Technologies-Systems Sp. z o.o zwrócił uwagę na różnicę w zakresie cyberbezpieczeństwa dla infrastruktury IT i OT. O ile IT skupia się przede wszystkim na poufności i integralności informacji to OT dotyczy głównie ciągłości działania i środowiska. W branży energetycznej wyraźnie rośnie rola infrastruktury OT.
Kamil Pszczółkowski, EY Polska, Consulting, Cyber Security Senior Manager, stwierdził, że ENISA (Agencja Unii Europejskiej ds. Cyberbepieczeństwa) funkcjonuje od lat i nie tylko publikuje coroczny raport z analizą aktualnych cyberzagrożeń, ale co 2 lata realizowała audyty, a teraz będą one realizowane co 3 lata. Cyberbezpieczeństwo przestaje być tylko elementem technologicznym, staje się elementem zarządzania biznesowego. Zarządzanie i ocena dostawców to jeden z kluczowych problemów, a odpowiedzią na ten problem są identyfikacja i profilowanie dostawców. Opierają się one na naszych oczekiwaniach wobec zakontraktowanych dostawców i na tym, jak są istotni dla nas z punktu widzenia procesów krytycznych.
Marcin Tarnowski, Zastępca Dyrektora Departamentu Teleinformatyki i Cyberbezpieczeństwa, Polska Spółka Gazownictwa, za utrzymanie i rozwój systemów korporacyjnych i technologicznych ponosi odpowiedzialność nie tylko IT. W przypadku PSG powstałej z połączenia sześciu spółek, podstawowy problem stanowiło zróżnicowanie ich infrastruktury technologicznej. Zauważył, że jeśli chodzi o dostawców, nie można ich wszystkich traktować jednakowo i klasyfikacja ich przydatności pod względem cyberbezpieczeństwa to konieczność.
Konferencja potwierdziła, że cyberbezpieczeństwo stało się jednym z filarów bezpieczeństwa energetycznego państwa. W obliczu dynamicznie zmieniających się zagrożeń budowanie odporności sektora wymaga nie tylko odpowiednich technologii i regulacji, ale również wymiany doświadczeń oraz stałego dialogu pomiędzy wszystkimi uczestnikami rynku.
Organizowana przez Izbę Gospodarczą Gazownictwa konferencja stworzyła przestrzeń do prezentacji dobrych praktyk, omówienia najważniejszych wyzwań oraz wyznaczenia kierunków dalszej współpracy na rzecz bezpiecznego i odpornego sektora gazowego oraz energetycznego. IGG planuję realizację dalszych działań w obszarze szerzenia wiedzy eksperckiej dotyczącej cyberbezpieczeństwa oraz przygotowywania firm sektora do realizacji obowiązków regulacyjnych w tym zakresie.