OZE na celowniku. Rośnie liczba cyberataków

Jeszcze do niedawna część uczestników rynku OZE w Polsce przekonywała, że rozproszona energetyka wspiera bezpieczeństwo energetyczne państwa. Ostatni, grudniowy cyberatak na polską infrastrukturę energetyczną i instalacje OZE podważył tę tezę.

Z tego artykułu się dowiesz:

• Jakie ryzyko dla stabilności systemu elektroenergetycznego wiąże się z rozproszoną energetyką OZE?
• W jaki sposób cyberataki wpłynęły na instalacje OZE w Polsce pod koniec 2025 roku?
• Jakie działania i zalecenia zostały wprowadzone, aby zwiększyć poziom cyberbezpieczeństwa sektora OZE?
• Jakie zmiany w przepisach planuje wprowadzić Ministerstwo Energii w odpowiedzi na wzrost liczby cyberataków?

Przypomnijmy, że pod koniec 2025 r. odnotowano nieudaną próbę cyberataku wymierzoną w wybrane instalacje energetyczne, w tym OZE. Ministerstwo Energii tłumaczy, że były to próby zakłócenia komunikacji pomiędzy instalacjami produkującymi energię a operatorami systemów dystrybucyjnych. – Incydent nie wpłynął na ciągłość ani bezpieczeństwo dostaw energii elektrycznej, a krajowy system elektroenergetyczny funkcjonował stabilnie – zapewnia resort. Nieco więcej światła na to zdarzenie rzuciły styczniowe raporty i rekomendacje.

OZE narażone na ataki

W styczniu pierwsze wnioski płynące z grudniowego cyberataku wyciągnął pełnomocnik rządu do spraw cyberbezpieczeństwa, minister cyfryzacji Krzysztof Gawkowski. Wydał zalecenia, które mają być odpowiedzią na konieczność zapewniania odpowiedniego poziomu cyberbezpieczeństwa sektora energii, szczególnie w obszarze OZE. Próby ataków nasiliły się przede wszystkim w ostatnich dwóch latach.

Praca farm wiatrowych i fotowoltaicznych jest monitorowana i sterowana przez rozwiązania automatyki przemysłowej, jak zresztą każda instalacja energetyczna. Pełnomocnik wskazuje jednak, że z powodu rozproszenia geograficznego urządzenia zainstalowane na tego typu obiektach umożliwiają zdalne zarządzanie parametrami pracy, diagnostykę, planowanie serwisu i reagowanie na zdarzenia – często z centralnych dyspozytorni lub przez zewnętrznych dostawców utrzymania. – Mimo że pojedynczo są to źródła o stosunkowo małych mocach, skoordynowane zakłócenie ich pracy może mieć poważne konsekwencje dla stabilności systemu elektroenergetycznego – czytamy w stanowisku rządowego pełnomocnika. Wydanych zaleceń jest łącznie 17. Większość z nich dotyczy odizolowania automatyki systemowej od środowiska zewnętrznego.

Na to samo wskazuje także firma Hitachi Energy, która jest jednym z dostawców automatyki dla polskiej energetyki. – Kluczowe jest konsekwentne stosowanie dobrych praktyk cyberhigieny, takich jak regularne aktualizacje legalnego oprogramowania, zmiana domyślnych ustawień startowych oraz świadome zarządzanie hasłami dostępu – wskazuje firma. Jak wynika z raportu CERT (działającego w strukturach NASK), opisującego w szczegółach grudniową próbę cyberataku („Raport z incydentu w sektorze energii 29.12”), w dwóch przypadkach zaobserwowano działania destrukcyjne wymierzone w sterowniki zabezpieczeń Hitachi. Firma ta w odpowiedzi na nasze pytania podkreśla, że zgodnie z ustaleniami i raportem CERT nie ma mowy o winie po stronie Hitachi Energy. – Nasze urządzenia zostały objęte działaniem atakujących dopiero na późniejszym etapie incydentu, po wcześniejszym przełamaniu zabezpieczeń w środowisku sieciowym operatora. Podczas ataku nie wykorzystano żadnych luk w zabezpieczeniach produktów Hitachi Energy, a nasze rozwiązania działały w sposób, który nie zagrażał bezpieczeństwu sieci – zapewnia firma, która współpracowała z rządowymi organami, aby wyeliminować ryzyko zagrożenia.

Kogo dotknęły próby cyberataku?

Zapytaliśmy spółki energetyczne, jakie wyciągnęły wnioski po grudniowym cyberataku. W spółkach energetycznych zaczynają działać wewnętrzne CERT-y. PGE tłumaczy, że takie CERT-y na bieżąco monitorują i badają występujące zdarzenia pod kątem naruszenia cyberbezpieczeństwa systemów w grupie. Z odpowiedzi spółek, które zapytaliśmy, wynika, że z próbami ataków spotkały się instalacje OZE należące m.in. do Enei i ZE PAK. Obie spółki przekazały nam, że mimo próby ataku produkcja energii nie została zakłócona. Ta ostatnia spółka zresztą podziela opinię rządowego pełnomocnika ds. cyfryzacji, wskazując, że specyfika obiektów OZE – ich geograficzne rozproszenie i zdalna obsługa z centralnych dyspozytorni, może powodować powstawanie nowych zagrożeń. Zalecenia (rządowego pełnomocnika – red.) uwzględniamy przy budowaniu infrastruktury łączności z obiektami – podkreśla ZE PAK.

Enea przyznała, że pod koniec 2025 r. jeden z obiektów infrastruktury OZE został poddany atakowi cybernetycznemu, który spowodował czasowe zakłócenia w łączności z obiektem. – Ciągłość pracy i produkcji została w pełni zachowana. Incydent został zgłoszony do CSIRT GOV (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego prowadzony przez Agencję Bezpieczeństwa Wewnętrznego – red.), a zidentyfikowane ryzyko zostało niezwłocznie wyeliminowane – informuje Enea.

Grupa Tauron z kolei co prawda nie odnotowała na swoich instalacjach takich problemów, ale były dwa przypadki utraty łączności, które dotyczyły farm innych wytwórców, przyłączonych do sieci dystrybucyjnej Taurona.

Rząd zapowiada zmiany w prawie

Skala ataków w ciągu ostatnich dwóch lat nie we wszystkich spółkach, ale rośnie. Hitachi Energy wskazuje, że codziennie na Polskę spada od 2 do 4 tysięcy cyberataków, a 2025 r. był rekordowy pod względem liczby incydentów. – Atak (grudniowy – red.) uwypuklił znaczenie kompleksowego podejścia do bezpieczeństwa od zabezpieczenia infrastruktury i sieci, przez odpowiedzialne zarządzanie obiektami, aż po właściwe utrzymanie urządzeń i ich bezpiecznej konfiguracji – podkreśla firma.

Uspokajająco do sprawy podchodzą Polskie Sieci Elektroenergetyczne. Operator podkreśla, że mimo grudniowego ataku, w całym 2025 r. nie odnotowano żadnych incydentów cyberbezpieczeństwa, które byłyby klasyfikowane jako krytyczne, czyli takie, które mogłyby wpłynąć na stabilność pracy systemu energetycznego. Sumaryczna liczba incydentów w 2025 r. była zbliżona do tej z 2024 r., ale operator przyznaje, że jest wyższa niż obserwowana w latach poprzednich.

Ministerstwo Energii w reakcji na grudniowy atak pracuje nad wprowadzeniem dodatkowych przepisów wzmacniających cyberodporność, m.in. w sektorze energii. – Nowe regulacje poszerzają katalog podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa i jednoznacznie wskazują sektor energii jako sektor kluczowy – informuje nas resort. Przewidziane rozwiązania mają wprowadzić m.in. bardziej rygorystyczne wymogi dotyczące zarządzania ryzykiem, ochrony systemów IT i OT, reagowania na incydenty.