Ransomware w przemyśle: jak przygotować zakład produkcyjny

Dlaczego ransomware to problem produkcyjny, a nie tylko informatyczny

Według rocznego raportu CERT Polska za 2025 r. wśród 3 438 incydentów ze szkodliwym oprogramowaniem było 179 przypadków ransomware, czyli około 5 proc. tej kategorii. Liczba wygląda skromnie na tle 260 783 zarejestrowanych incydentów ogółem, ale jej waga zależy od ofiary: w zakładzie przemysłowym jeden skuteczny atak zatrzymuje wydawanie zleceń, sterowanie procesem albo dokumentację jakościową.

Ta sama statystyka pokazuje, że sektor produkcji pojawia się w klasyfikacji incydentów obsłużonych przez CSIRT NASK (93 zdarzenia w 2025 r., tabela A6 raportu). To dane o zgłoszonych przypadkach, więc rzeczywista skala jest większa. Dla dyrektora zakładu wniosek jest praktyczny: pytanie nie brzmi, czy przygotowywać się na szyfrowanie systemów, tylko jak długo zakład wytrzyma bez nich.

Co wynika z NIS2 i ustawy o KSC

Dyrektywa (UE) 2022/2555 w art. 21 wymaga środków zarządzania ryzykiem, wśród nich obsługi incydentów, ciągłości działania (w tym zarządzania kopiami zapasowymi i odtwarzania po awarii), bezpieczeństwa łańcucha dostaw oraz kontroli dostępu z uwierzytelnianiem wieloskładnikowym. Polska wdrożyła dyrektywę ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 r.

Terminy zgłoszeń są twarde. Wczesne ostrzeżenie trzeba wysłać niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego, zgłoszenie incydentu w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. Zgłoszenia idą przez system S46 do właściwego CSIRT.

Okres przejściowy trwa: obowiązki z rozdziału 3 ustawy (system zarządzania bezpieczeństwem informacji, dokumentacja, procedury incydentowe, osoby kontaktowe) podmioty spełniające przesłanki w dniu wejścia w życie realizują do 3 kwietnia 2027 r. Kary pieniężne, poza najpoważniejszymi naruszeniami, można nakładać dopiero od 3 kwietnia 2028 r. Dla podmiotu kluczowego górna granica to 10 mln EUR lub 2 proc. przychodów (stosuje się kwotę wyższą), a kierownik podmiotu odpowiada za nadzór nad systemem. Stan prawny na listopad 2026 r.; przepisy o dostawcach wysokiego ryzyka są przedmiotem wniosku do Trybunału Konstytucyjnego.

Scenariusze ataku na zakład przemysłowy

Do planu reakcji potrzebne są konkretne scenariusze, bo każdy wymaga innej decyzji w pierwszej godzinie.

Scenariusz 1: szyfrowanie sieci biurowej i serwerów IT

Zaszyfrowane są systemy planowania produkcji, magazyn, poczta i dokumentacja. Linie często jeszcze pracują, ale kończą się zlecenia, etykiety i dokumenty wysyłkowe. Kluczowe pytanie: czy segmentacja chroni sieć OT i ile godzin zakład pracuje na zapasie danych.

Scenariusz 2: szyfrowanie stacji SCADA i HMI

Operator traci wizualizację i archiwum procesu, choć sterowniki mogą jeszcze wykonywać program. Praca bez podglądu jest ryzykowna, więc zwykle trzeba przejść na sterowanie ręczne albo zatrzymać instalację w kontrolowany sposób. Wymaga to wcześniej opisanej procedury, a nie improwizacji.

Scenariusz 3: wejście przez dostęp zdalny

CERT Polska w 2025 r. monitorował 8 367 unikalnych hostów OT widocznych z internetu. Typowe wektory z incydentów w Polsce to prywatny APN traktowany jako sieć zaufana, otwarte usługi VNC i domyślne hasła. Atakujący nie potrzebują zaawansowanych exploitów, wystarczy słaby dostęp zdalny i brak segmentacji.

Scenariusz 4: kradzież danych i wymuszenie bez szyfrowania

Część grup najpierw wynosi dane, potem szyfruje, a gdy kopie zapasowe działają, grozi publikacją. Kopia nie rozwiązuje wtedy problemu ujawnienia, więc plan musi obejmować ocenę, jakie dane wyszły, i zgłoszenia wynikające z odrębnych przepisów.

Przygotowanie zakładu w ośmiu krokach

Kolejność ma znaczenie: najpierw wiedza o tym, co zakład posiada, potem odtwarzanie, na końcu ćwiczenia.

• Inwentarz aktywów OT i IT: sterowniki, stacje inżynierskie, serwery, wersje oprogramowania, właściciele biznesowi.
• Analiza wpływu na działalność (BIA): ile godzin każdy system może być niedostępny, zanim zatrzyma się produkcja lub jakość.
• Segmentacja sieci na strefy i kanały wg logiki IEC 62443-3-2, z kontrolą ruchu między IT a OT.
• Kontrola dostępu zdalnego: osobne konta dla IT, inżynierii OT i dostawców, uwierzytelnianie wieloskładnikowe, rejestr dostępu zewnętrznego.
• Kopie zapasowe zgodne z zasadą 3-2-1, z kopią offline i kopiami konfiguracji sterowników, oraz regularny test odtworzenia.
• Plan reakcji na incydent: role, kontakty, kryteria uznania incydentu za poważny, szablony zgłoszeń do CSIRT.
• Tryb pracy awaryjnej: procedury papierowe i ręczne dla kluczowych operacji, w tym dla zezwoleń na pracę niebezpieczną.
• Ćwiczenie stołowe raz w roku i test odtworzenia co kwartał, z protokołem i listą poprawek.

Plan reakcji: pierwsze godziny i terminy zgłoszeń

Plan reakcji powinien mieścić się na dwóch stronach i być dostępny bez sieci zakładowej, czyli wydrukowany oraz w zaszyfrowanej kopii offline. Zdarzenie rozpoczyna zegar: 24 godziny na wczesne ostrzeżenie liczy się od wykrycia incydentu poważnego, więc zapis godziny wykrycia jest pierwszym dowodem.

• Pierwsza godzina: izolacja segmentów, odcięcie dostępu zdalnego, decyzja kierownika ruchu o trybie pracy (ręczny, kontrolowane zatrzymanie, praca na zapasie).
• Do 4 godzin: powołanie sztabu, ocena zakresu, zabezpieczenie dowodów (obrazy dysków, logi), kontakt z CSIRT i dostawcami.
• Do 24 godzin: wczesne ostrzeżenie przez S46, jeśli incydent spełnia kryteria poważnego.
• Do 72 godzin: zgłoszenie incydentu z oceną wpływu i wskaźnikami kompromitacji.
• Do miesiąca od zgłoszenia: sprawozdanie końcowe z przyczyną, działaniami naprawczymi i wnioskami.

Dowody do audytu przed zdarzeniem i po nim

Audytor nie ocenia deklaracji, tylko ślady. Pierwszy audyt cyberbezpieczeństwa podmiotów kluczowych przewidziano po 24 miesiącach od wejścia ustawy w życie, czyli od kwietnia 2028 r., ale dokumentację warto budować teraz, bo kopie i ćwiczenia da się udowodnić tylko wstecz od daty ich wykonania. Poniższy zestaw wspiera spełnienie wymogu art. 21 NIS2 i dostarcza dowodu do audytu; nie zastępuje opinii prawnej.

• Polityka kopii zapasowych i protokoły testów odtworzenia z datami, czasami i wynikiem.
• Wynik BIA z uzgodnionymi czasami RTO i RPO dla systemów krytycznych.
• Schemat stref i kanałów oraz lista wyjątków z uzasadnieniem.
• Rejestr dostępu zewnętrznego i podwykonawców do stref OT.
• Plan reakcji z listą kontaktów i potwierdzeniem szkolenia osób odpowiedzialnych.
• Protokół ćwiczenia stołowego i rejestr zrealizowanych działań naprawczych.
• Dokumentacja decyzji kierownika podmiotu dotyczących środków bezpieczeństwa i budżetu.

Najczęstsze błędy w przygotowaniu

Pierwszy błąd to kopia zapasowa, której nikt nie odtworzył: dopiero test pokazuje, że brakuje haseł, licencji albo obrazu stacji inżynierskiej. Drugi to kopia dostępna z tej samej domeny co serwery produkcyjne, którą ransomware szyfruje razem z całą resztą. Trzeci to plan reakcji napisany przez IT bez udziału ruchu, więc nie uwzględnia faktycznych decyzji o zatrzymaniu instalacji.

Czwarty błąd dotyczy procesów papierowych: gdy system zezwoleń na prace niebezpieczne jest niedostępny, zakład musi mieć gotowe formularze i zasadę, kto je zatwierdza. Podobnie jak w przypadku rejestrów dostępu, ślad papierowy trzeba potem wprowadzić do systemu, by dokumentacja była spójna. InnerWeb dostarcza oprogramowanie, w którym zakład ma bieżący podgląd, kto i gdzie wykonuje prace, jednak plan B bez tego systemu zawsze powinien być opisany.