Pierwsza z dwudziestu czynności wypisanych w nowym dokumencie rządowym brzmi: odseparować urządzenia sterujące od sieci tak, aby dostęp do nich nie był możliwy bezpośrednio. Adresatem są wodociągi i oczyszczalnie ścieków, a przedmiotem systemy OT, czyli automatyka sterująca pracą tych zakładów. Rekomendację podpisał 18 września Krzysztof Gawkowski jako Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa. Ministerstwo Cyfryzacji opublikowało ją 21 września. Dokument ma dwie strony i nie nakłada żadnego obowiązku, bo ustawa, na podstawie której powstał, nazywa stosowanie takich rekomendacji dobrowolnym. Obowiązek o bardzo zbliżonej treści stoi jednak kilkadziesiąt artykułów wcześniej w tej samej ustawie. Spółki, które spełniały jej przesłanki 3 kwietnia 2026 roku, mają na wdrożenie czas do 3 kwietnia 2027 roku.
Co dokładnie zaleca rekomendacja dla systemów OT
Rekomendacja nr 2026-67-8 ma pięć punktów. Pod czterema pierwszymi stoi dwadzieścia konkretnych czynności, piąty jest jednozdaniowy.
Punkt o architekturze zaczyna się od separacji urządzeń OT od internetu. Dalej idą szyfrowane kanały dostępu z zewnątrz organizacji, w tym dla wsparcia producenta. Potem sieci OT wydzielone od sieci firmowej i strefy pośrednie, czyli DMZ, pilnowane aktywnymi regułami zapory sieciowej. Listę zamykają aktualne wersje oprogramowania i objęcie systemów OT kopiami zapasowymi razem z konfiguracją.
Punkt o uwierzytelnianiu to sześć pozycji: uwierzytelnianie wieloskładnikowe, zmiana domyślnych poświadczeń administracyjnych, wyłączenie domyślnych kont wbudowanych, blokowanie kont nieużywanych, konta indywidualne tam, gdzie to możliwe, i polityka minimalnych uprawnień.
Punkt o audycie mówi o rejestrowaniu zdarzeń administracyjnych i zmian konfiguracji oraz o zbieraniu dzienników systemowych, czyli logów, w jednym centralnym miejscu. Do tego dochodzi monitorowanie zdarzeń bezpieczeństwa i cykliczny przegląd reguł na zaporach oraz kont użytkowników. Czwarty punkt każe wciągnąć systemy OT do systemu zarządzania bezpieczeństwem informacji: do testów, do zarządzania podatnościami, do analizy ryzyka i do procedur wycofywania urządzeń po zakończeniu wsparcia producenta. Piąty zaleca stosowanie się do ostrzeżeń zespołów reagowania na incydenty komputerowe (CSIRT) i utrzymywanie z nimi kanałów komunikacji.
Żadna z tych pozycji nie jest odkrywcza dla kogoś, kto zajmuje się automatyką przemysłową zawodowo. Wartość dokumentu leży gdzie indziej: to jest lista, którą można położyć na stole zarządu spółki komunalnej.
Ustawa mówi wprost, że stosowanie rekomendacji jest dobrowolne
Dokument powołuje się na art. 67a ustawy o krajowym systemie cyberbezpieczeństwa. Tego artykułu nie ma w tekście jednolitym z grudnia 2025 roku. Dodała go dopiero nowelizacja z 23 stycznia 2026 roku, czyli ta sama, która wdrożyła w Polsce dyrektywę NIS2.
Artykuł ma pięć ustępów. Ostatni z nich składa się z czterech słów: “Stosowanie rekomendacji jest dobrowolne”. Pozostałe mówią, że pełnomocnik może wydać rekomendacje o środkach technicznych i organizacyjnych. Publikuje je w Biuletynie Informacji Publicznej, może wcześniej zasięgnąć opinii Kolegium i może wskazać kategorie adresatów.
To jest inna konstrukcja niż rekomendacje dotyczące sprzętu i oprogramowania od dostawcy wysokiego ryzyka. Tamte mają w ustawie tryb zastrzeżeń, termin siedmiu dni i konsekwencje nieuwzględnienia. Rekomendacja o systemach OT nie ma żadnego z tych elementów. Nikt jej nie wyegzekwuje i nikt za jej pominięcie nie ukarze.
Rozróżnienie warto znać, zanim ktoś przyniesie ten dokument na naradę jako nowy przepis. Nie jest przepisem i sam o tym nie informuje, bo powołuje wyłącznie numer artykułu. Treść ustępu piątego trzeba sprawdzić w ustawie, a tam prowadzi dodatkowa przeszkoda. Artykułu 67a nie ma w tekście jednolitym ogłoszonym w grudniu 2025 roku, czyli w wersji, do której trafia się z wyszukiwarki. Pojawia się dopiero w noweli, w dodanym przez nią rozdziale 12a.
Kiedy wodociąg jest podmiotem kluczowym, a kiedy ważnym
Ta sama nowelizacja wymienia w załączniku nr 1 podmioty dostarczające wodę przeznaczoną do spożycia przez ludzi oraz podmioty odprowadzające lub oczyszczające ścieki. Sam rodzaj działalności nie przesądza jednak statusu konkretnej spółki, bo ustawa dokłada do tego kryterium wielkości.
Podmiotem kluczowym jest firma z załącznika nr 1, która przewyższa wymogi dla średniego przedsiębiorstwa z unijnego rozporządzenia 651/2014. Podmiotem ważnym jest ta, która te wymogi spełnia, ale ich nie przewyższa. Osobną przesłanką objęty jest podmiot publiczny będący spółką wykonującą zadania użyteczności publicznej, jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych. Część podmiotów ustawa obejmuje ponadto niezależnie od wielkości.
Dla obowiązku z art. 8 ust. 1 to rozróżnienie nie ma znaczenia, bo przepis mówi o podmiocie kluczowym lub ważnym. Taka firma wdraża system zarządzania bezpieczeństwem informacji, systematycznie szacuje ryzyko i stosuje środki techniczne oraz organizacyjne proporcjonalne do tego ryzyka. Ustawa wylicza te środki literami od a do n.
Warto zestawić obie listy obok siebie. Uwierzytelnianie wieloskładnikowe stoi w art. 8 pod literą l. Polityki kontroli dostępu pod literą n, zarządzanie aktywami pod m, monitorowanie w trybie ciągłym pod g, plany ciągłości działania i odtworzenia pod f. Regularne aktualizacje oprogramowania są w punkcie 5. Ustawa nie przepisuje przy tym listy dwudziestu czynności co do jednej, tylko wymaga środków odpowiadających ryzyku. Rekomendacja nie dokłada więc nowego obowiązku, a pokazuje, jak ten istniejący wygląda w sterowni. Wodociąg, który nie odseparował automatyki od internetu, nie łamie rekomendacji. Ma natomiast trudniejsze zadanie przy wykazaniu, że środki dobrał proporcjonalnie do ryzyka.
Trzy daty, które spółka wodociągowa ma w kalendarzu
Przepisy przejściowe rozkładają te obowiązki w czasie i warto znać wszystkie trzy terminy, bo różnią się o dwa lata.
Najbliższy mija 3 października 2026 roku i dotyczy spółek, których minister nie wpisał do wykazu z urzędu. Zgłaszają się same, po tym jak same ustalą, że spełniają przesłanki. Pisaliśmy o tym w tekście o wykazie KSC i samorejestracji.
Drugi termin to 3 kwietnia 2027 roku i on dotyczy właśnie środków z art. 8. Podmioty, które spełniały przesłanki w dniu wejścia ustawy w życie, realizują obowiązki z rozdziału 3 w ciągu dwunastu miesięcy. Rekomendacja o systemach OT trafia więc do adresatów mniej więcej sześć i pół miesiąca przed tą datą.
Trzeci termin przypada 3 kwietnia 2028 roku i zbiegają się w nim dwie różne rzeczy. Podmioty kluczowe przeprowadzają wtedy pierwszy audyt, na który ustawa daje dwadzieścia cztery miesiące. Tego samego dnia mija dwuletnie odroczenie kar pieniężnych, więc wcześniej nie da się ich nałożyć.
Nowelizacja przewiduje też osobny CSIRT sektorowy dla zaopatrzenia w wodę pitną i dla ścieków oraz organ właściwy dla tych sektorów. Sama rekomendacja powstała, jak czytamy w jej ostatnim zdaniu, we współpracy Ministerstwa Cyfryzacji i CSIRT Infrastruktura.
Czego w dokumencie nie ma i gdzie komunikat mówi więcej
Rekomendacja nie podaje terminu wdrożenia. Nie wymienia też ani jednego incydentu, miejscowości czy daty zdarzenia. Cały powód jej wydania mieści się w jednym zwrocie ze wstępu: “w związku z identyfikacją podatności w infrastrukturze w sektorze wodociągowo-kanalizacyjnym”. Kto szuka w tym dokumencie opisu konkretnego ataku, nie znajdzie go.
Drobna, ale istotna różnica dzieli sam dokument od komunikatu, przy którym go opublikowano. Rekomendacja pisze o ryzyku ostrożnie. Bezpośrednia dostępność systemów OT i ich paneli administracyjnych z internetu “może umożliwić nieuprawniony dostęp do systemów automatyki”. Komunikat na stronie ministerstwa idzie dalej. Dodaje, że przejęcie kontroli nad takimi systemami może prowadzić do zakłócenia procesów technologicznych, przerwania ciągłości działania i powstania zagrożenia dla bezpieczeństwa ludzi. Tego zdania w rekomendacji nie ma. Jeśli ktoś cytuje je jako treść dokumentu, cytuje komunikat prasowy.
Rozbieżność nie jest przypadkiem redakcyjnym. Rekomendacja to pismo podpisane przez organ i opisuje wyłącznie to, co da się z podatności wywieść bezpośrednio. Komunikat tłumaczy tę samą sprawę na język odbiorcy i dopowiada skutek. Obie wersje są uczciwe, dopóki nikt nie przypisuje drugiej pierwszej.
Sytuacja polskich wodociągów nie jest przy tym wyjątkiem w Europie. Opisywaliśmy dane brytyjskiego NCSC o atakach na infrastrukturę krytyczną, gdzie ten sam wzorzec powtarza się w wodzie, energetyce i transporcie.
Agenci AI · Kodożercy
Policz, ile kosztuje Cię robota, którą można oddać
Kurs Agenci AI od Kodożerców uczy budowania agentów na konkretnym przykładzie firmy, a każdy moduł kończy się przeniesieniem tego samego rozwiązania do Twojej pracy. Na koniec wyliczasz, ile godzin albo pieniędzy to realnie oszczędza.
Zobacz kurs Agenci AI →
Najczęstsze pytania
Czy wodociąg musi wykonać zalecenia z tej rekomendacji?
Samej rekomendacji nie musi, bo ustawa nazywa jej stosowanie dobrowolnym i nie przewiduje sankcji za pominięcie. Jej treść pokrywa się jednak z obszarami, które art. 8 ust. 1 ustawy o KSC nakazuje objąć zabezpieczeniami podmiotowi kluczowemu i ważnemu. Ustawa nie przepisuje przy tym konkretnych dwudziestu czynności, tylko wymaga środków proporcjonalnych do oszacowanego ryzyka. Podmioty, które spełniały przesłanki w dniu wejścia nowelizacji w życie, mają na ich realizację czas do 3 kwietnia 2027 roku. Firma objęta ustawą później liczy swój termin od dnia spełnienia przesłanek. Dokumentu nie trzeba więc stosować, a sam problem, który opisuje, trzeba rozwiązać w konkretnym terminie.
Skąd wiadomo, czy spółka wodociągowa jest podmiotem kluczowym?
Załącznik nr 1 do nowelizacji z 23 stycznia 2026 roku wymienia dwie kategorie. Pierwsza to podmioty dostarczające wodę przeznaczoną do spożycia przez ludzi, druga to podmioty odprowadzające lub oczyszczające ścieki. Obie mają to samo wyłączenie: nie obejmują firm, dla których jest to inna niż istotna część działalności. Do rodzaju działalności dochodzi kryterium wielkości. Spółka przewyższająca wymogi dla średniego przedsiębiorstwa jest podmiotem kluczowym, spełniająca je bez przewyższania jest podmiotem ważnym, a obowiązki z art. 8 dotyczą obu kategorii. Ustalenie trzeba przeprowadzić dla konkretnej spółki i ustawa nakłada ten obowiązek na nią samą.
Podsumowanie
Rekomendacja pełnomocnika rządu z 18 września jest dobrowolna i mówi to o niej sama ustawa, na której się opiera. Jej wartością jest co innego: dwie strony gotowej listy zabezpieczeń systemów OT, którą można położyć na stole zarządu spółki komunalnej. Otwiera ją odcięcie automatyki od internetu, a dalej idą wydzielone sieci, uwierzytelnianie wieloskładnikowe i zmiana domyślnych haseł. Osobno działa ustawa o KSC, która wymaga od podmiotów kluczowych i ważnych zabezpieczeń proporcjonalnych do oszacowanego ryzyka, i to właśnie ona ma terminy. Najbliższy mija 3 października 2026 roku i dotyczy zgłoszenia się do wykazu. Podmioty objęte ustawą 3 kwietnia 2026 roku realizują obowiązki do 3 kwietnia 2027 roku, a objęte później liczą swoje dwanaście miesięcy od dnia spełnienia przesłanek. Podmioty kluczowe mają czas na pierwszy audyt do kwietnia 2028 roku i wtedy też będzie można po raz pierwszy nałożyć karę pieniężną.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
