NIS2 w energetyce: obowiązki dla elektrowni, sieci i ciepłowni

Kogo dotyczy NIS2 w sektorze energii

Energia należy do sektorów kluczowych dyrektywy NIS2 (załącznik I). Podmiot kluczowy to co do zasady duży podmiot z takiego sektora: od 250 pracowników albo z obrotem powyżej 50 mln EUR i sumą bilansową powyżej 43 mln EUR. Średnie przedsiębiorstwa z sektorów kluczowych (50–249 pracowników lub obrót do 50 mln EUR albo bilans 10–43 mln EUR) są podmiotami ważnymi.

W praktyce w tej grupie znajdują się wytwórcy energii elektrycznej i ciepła, operatorzy sieci przesyłowych i dystrybucyjnych oraz przedsiębiorstwa ciepłownicze. Rola w łańcuchu nie zwalnia z oceny: spółka grupy energetycznej, która prowadzi jedną elektrociepłownię, ocenia swoją kwalifikację samodzielnie, na podstawie własnych danych o zatrudnieniu i obrotach.

Polski model opiera się na samoidentyfikacji. Podmiot sam ocenia, czy jest kluczowy lub ważny, i składa elektroniczny wniosek o wpis do wykazu prowadzonego przez Ministra Cyfryzacji. Zmianę danych w wykazie zgłasza się w ciągu 14 dni od zmiany. Regulator sektorowy może też wpisać podmiot decyzją. Terminy dla poszczególnych kategorii podmiotów wynikają z komunikatu Ministra Cyfryzacji, więc pierwszym krokiem jest sprawdzenie komunikatu dla własnej kategorii.

Harmonogram: co już biegnie, a co dopiero nadejdzie

Stan na 3 listopada 2026 r. jest następujący: ustawa weszła w życie 3 kwietnia 2026 r., wykaz podmiotów kluczowych i ważnych powstał w pierwszym miesiącu obowiązywania, a dotychczasowi operatorzy usług kluczowych zostali wpisani z urzędu. Od 3 października 2026 r. operatorzy usług kluczowych zgłaszają incydenty poważne według nowych zasad.

Najważniejsze daty przed zakładem energetycznym układają się w kolejności poniżej. Jedna uwaga ostrożności: przepisy o dostawcach wysokiego ryzyka są objęte wnioskiem Prezydenta do Trybunału Konstytucyjnego, a rozstrzygnięcia w sprawdzonych źródłach brak, więc planowanie zakupów OT warto prowadzić z założeniem, że ten fragment może się zmienić.

• 3 kwietnia 2027 r.: koniec 12 miesięcy na realizację obowiązków z rozdziału 3 ustawy (system zarządzania bezpieczeństwem informacji, dokumentacja, procedury incydentowe, osoby kontaktowe).
• 3 kwietnia 2027 r.: termin, do którego Minister Cyfryzacji uruchamia pozostałe funkcjonalności systemu S46.
• 3 kwietnia 2028 r.: pierwszy audyt cyberbezpieczeństwa podmiotu kluczowego oraz najwcześniejszy termin nakładania większości kar pieniężnych.
• Po pierwszym audycie: audyt co najmniej raz na 3 lata.

Środki zarządzania ryzykiem z art. 21 w realiach elektrowni

Art. 21 dyrektywy wymienia środki, które organizacja ma wdrożyć proporcjonalnie do ryzyka: analizę ryzyka i politykę bezpieczeństwa systemów, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, bezpieczeństwo nabycia i utrzymania systemów, ocenę skuteczności środków, higienę cybernetyczną ze szkoleniami, kryptografię, kontrolę dostępu z zarządzaniem aktywami oraz uwierzytelnianie wieloskładnikowe.

W energetyce ciężar tych środków leży po stronie OT. Sterowniki turbin, układy automatyki kotłów, systemy SCADA stacji i zdalny dostęp serwisantów to aktywa, których nie obejmuje typowy program bezpieczeństwa IT. Norma ISA/IEC 62443 jest tu naturalnym punktem odniesienia: część 3-2 prowadzi do oceny ryzyka i podziału instalacji na strefy i kanały, część 3-3 definiuje wymagania systemowe w siedmiu obszarach podstawowych i czterech poziomach bezpieczeństwa, a część 2-4 stawia wymagania integratorom i dostawcom usług. Norma jest dobrowolna, ale brak adekwatnych środków można w audycie ocenić jako niedostateczną ostrożność.

Kluczowe pytanie audytora brzmi zwykle nie „czy jest polityka”, lecz „co z niej wynika dla konkretnego sterownika”. Dlatego pierwszy wymierny efekt to inwentaryzacja aktywów OT z właścicielem każdego z nich, kanałami zdalnego dostępu i datą ostatniej zmiany konfiguracji.

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

Art. 23 NIS2 i przepisy ustawy o KSC wprowadzają trzystopniowy tryb. Wczesne ostrzeżenie trafia do właściwego CSIRT niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego. Zgłoszenie incydentu poważnego składa się niezwłocznie, nie później niż w ciągu 72 godzin od wykrycia. Sprawozdanie końcowe wpływa w ciągu miesiąca od zgłoszenia. Zgłoszenia idą przez system S46.

Sektor energii nie jest tu abstrakcją. W 2025 r. CSIRT NASK sklasyfikował w energetyce 52 incydenty (tabela A6 raportu CERT Polska), a pod koniec grudnia 2025 r. odnotowano pierwsze w historii Polski skoordynowane ataki sabotażowe na sektor energii, obejmujące m.in. dużą elektrociepłownię. Szczegóły procedury zgłoszeniowej omawiamy w osobnym materiale o terminach 24 i 72 godzin.

Odpowiedzialność kierownika i kary

Art. 20 dyrektywy czyni organ zarządzający odpowiedzialnym za zatwierdzanie środków i za naruszenia. Polska ustawa idzie w tym samym kierunku: kierownik podmiotu nadzoruje system zarządzania bezpieczeństwem informacji, decyduje o środkach finansowych i musi corocznie przejść szkolenie z cyberbezpieczeństwa.

Kary z art. 34 dyrektywy: do 10 mln EUR lub 2% światowego obrotu dla podmiotów kluczowych (stosuje się kwotę wyższą) oraz do 7 mln EUR lub 1,4% dla ważnych. W polskiej ustawie kara dla podmiotu kluczowego wynosi do 10 000 000 EUR lub 2% przychodów, nie mniej niż 20 000 zł, a za najpoważniejsze naruszenia sięga 100 mln zł. Kary z art. 73 ust. 1–4 można nakładać po raz pierwszy po 3 kwietnia 2028 r., co daje zakładom okno na zbudowanie dowodów.

Jak zebrać dowody do audytu

Audyt cyberbezpieczeństwa podmiotu kluczowego ocenia, czy środki działają, a nie tylko czy istnieją dokumenty. Dobry pakiet dowodowy dla energetyki składa się z kilku warstw, a każda powinna odpowiadać na pytanie „kto, co, kiedy”.

Część dowodów leży poza działem IT. Rejestr dostępu fizycznego i logicznego wykonawców do stref krytycznych, zapis dopuszczeń do prac na układach sterowania i potwierdzenia zabezpieczeń przed pracami to materiał, który audytor zestawi z logami OT. Cyfrowy proces poleceń na prace dostarcza takiego dowodu w formie zapisu z autorem i czasem każdej czynności, co wspiera spełnienie wymogu kontroli dostępu i zarządzania aktywami, ale nie zastępuje pozostałych środków.

• Rejestr aktywów OT z właścicielem, wersją oprogramowania sprzętowego i kanałami zdalnego dostępu.
• Ocena ryzyka z podziałem na strefy i kanały oraz decyzje zarządu zatwierdzające środki.
• Procedura incydentowa z przećwiczonym schematem zgłoszenia 24 h / 72 h / miesiąc i listą dwóch osób kontaktowych.
• Rejestr dostawców i serwisantów z zakresem ich dostępu do OT.
• Zapisy szkoleń kierownika i pracowników z cyberbezpieczeństwa.
• Logi dopuszczeń do prac na układach sterowania i potwierdzeń zabezpieczeń.