O rozmówcy. Jarosław Żelewski jest prezesem zarządu (Chief Executive Officer) Nomad Electric Services sp. z o.o., spółki Grupy Nomad Electric wyspecjalizowanej w serwisie i utrzymaniu ruchu (O&M) elektrowni fotowoltaicznych i magazynów energii. Funkcję objął w 2026 roku, wcześniej zasiadał w zarządzie spółki jako dyrektor operacyjny. Z Nomad Electric jest związany od wiosny 2023 roku. Portfel aktywów pod opieką serwisową spółki przekracza 3 GW i obejmuje obiekty wysokiego napięcia w Polsce, Niemczech, Rumunii i Portugalii. Grupa Nomad Electric realizuje ponadto projekty EPC dla instalacji fotowoltaicznych i magazynów energii, buduje infrastrukturę sieciową dla operatorów systemów dystrybucyjnych oraz rozwija własny system nadzoru i zarządzania energią Nomad NX. Grupa posiada certyfikaty ISO 9001, ISO 14001, ISO 45001, ISO 22301 oraz ISO/IEC 27001. Przed dołączeniem do Nomad Electric Jarosław Żelewski kierował dostarczaniem usług w Polsce w firmie technologicznej Diebold Nixdorf jako Country Service Delivery Head, odpowiadając za działalność operacyjną, relacje z klientami i zespół ponad 200 osób. Wcześniej jako Head of Field Operations prowadził tam projekty optymalizacyjne w Europie Środkowo-Wschodniej. Jest magistrem inżynierem, absolwentem Wojskowej Akademii Technicznej w Warszawie.
Od kiedy dokładnie NIS2 obowiązuje polskie firmy energetyczne?
Od 3 kwietnia 2026 roku. Jest to data ustawowa. Dyrektywa NIS2, formalnie dyrektywa (UE) 2022/2555, sama w sobie nie wiąże przedsiębiorstw. Wiąże je akt krajowy, czyli ustawa z dnia 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, opublikowana w Dzienniku Ustaw pod pozycją 252 z 2 marca 2026 roku. Artykuł 49 tej ustawy mówi, że wchodzi ona w życie po upływie miesiąca od ogłoszenia. Stąd 3 kwietnia.
Rozmawiamy pod koniec sierpnia, więc powiem to wprost, bo to jest najpilniejsza informacja w całej naszej rozmowie. Do 3 października 2026 roku trzeba złożyć wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych. Ten termin nie wynika z domysłów, tylko z komunikatu Ministra Cyfryzacji z 8 kwietnia 2026 roku, opublikowanego w Dzienniku Urzędowym Ministra Cyfryzacji pod pozycją 7. Komunikat wyznacza okno od 7 maja do 3 października dla podmiotów kluczowych i dokładnie takie samo dla podmiotów ważnych.
Zostało zatem około pięciu tygodni, a jest to najprostszy z obowiązków, jakie ustawa nakłada.
Kto w branży odnawialnej jest podmiotem kluczowym, a kto ważnym?
Tu jest pierwsza pułapka i widzę, że wiele osób w branży w nią wchodzi. Załącznik nr 1 do ustawy, podsektor energia elektryczna, wcale nie mówi o megawatach. Nie ma tam progu mocy zainstalowanej. Nie ma zdania o instalacjach powyżej jakiejkolwiek wielkości.
Załącznik wylicza rodzaje podmiotów i robi to na dwa różne sposoby, co warto rozróżnić, bo z tego biorą się nieporozumienia.
Pierwsza grupa to przedsiębiorstwa energetyczne posiadające koncesję na wytwarzanie, przesyłanie, dystrybucję albo obrót energią elektryczną. Tutaj bramką jest koncesja. Farma bez koncesji na wytwarzanie z tego tytułu do sektora energii nie wchodzi.
Druga grupa jest szersza i moim zdaniem mniej znana. Załącznik wymienia uczestników rynku świadczących usługi zdefiniowane w Prawie energetycznym, bez żadnego wymogu koncesyjnego. Są to magazynowanie energii elektrycznej z punktów 59 i 59a, agregacja z punktu 6e oraz odpowiedź odbioru z punktu 11j. Do tego dochodzi wyznaczony operator rynku energii elektrycznej z punktu 28b i przedsiębiorcy zarządzający punktami ładowania.
Proszę zwrócić uwagę, co to oznacza dla magazynów energii. Podmiot świadczący usługę magazynowania energii elektrycznej trafia do sektora kluczowego bez posiadania jakiejkolwiek koncesji, a jego status zależy już tylko od wielkości przedsiębiorstwa. Dotyczy to również agregatorów. Przy tempie, w jakim w Polsce przybywa projektów bateryjnych i przy rozwoju usług elastyczności, jest to grupa, która najczęściej nie wie, że rozmowa w ogóle jej dotyczy.
Drugie kryterium to właśnie wielkość przedsiębiorstwa. Artykuł 5 ustawy odsyła do załącznika I do rozporządzenia 651/2014, czyli do unijnej definicji małego i średniego przedsiębiorstwa. Podmiot z załącznika nr 1, który przewyższa próg średniego przedsiębiorstwa, jest podmiotem kluczowym. Podmiot, który ten próg spełnia i kluczowym nie jest, jest podmiotem ważnym. Status bada się według stanu na dzień sporządzenia sprawozdania finansowego, co wynika z ustępu 5 tego artykułu.
W praktyce dwa sąsiadujące ze sobą projekty o identycznej mocy mogą mieć odmienny status prawny, bo różnią się formą prowadzenia działalności i wielkością właściciela. Wiem, że brzmi to niepokojąco. Tak jednak wygląda tekst ustawy.
Dlaczego firma serwisowa może podlegać ustawie, choć nie produkuje prądu?
Wątku tego w polskich publikacjach o NIS2 dla odnawialnych źródeł praktycznie nie ma, a dotyczy on połowy naszej branży.
W załączniku nr 1, czyli wśród sektorów kluczowych, jest osobna pozycja o nazwie „Zarządzanie usługami ICT”. Wskazuje ona dwa rodzaje podmiotów: dostawcę usług zarządzanych oraz dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa. Definicja tego pierwszego znalazła się w nowym punkcie 4i artykułu 2 ustawy. Przeczytajmy ją powoli. Dostawcą usług zarządzanych jest podmiot, który „świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację przeprowadzane u usługobiorcy na miejscu lub zdalnie”.
Proszę teraz opisać tym językiem standardowy kontrakt O&M z centrum monitoringu. Aktywna administracja systemem informacyjnym u usługobiorcy, prowadzona zdalnie. Opis zgadza się co do słowa.
Firma serwisowa może więc być podmiotem kluczowym nie dlatego, że wytwarza energię, ale dlatego, że administruje cudzą automatyką. Uważam, że jest to najczęściej przeoczony przepis w całej nowelizacji z punktu widzenia naszej branży. Dodam, że dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już od poziomu małego przedsiębiorcy, co wynika z artykułu 5 ustęp 1 punkt 3.
Czy przynależność do grupy kapitałowej przesądza o statusie spółki celowej?
Nie przesądza. Jest to przepis, który powinien trafić na biurko każdego dyrektora finansowego w branży.
Zasadą przy badaniu wielkości przedsiębiorstwa jest sumowanie danych z przedsiębiorstwami powiązanymi i partnerskimi. Struktura projektowa oparta na spółkach celowych mogłaby więc jednym ruchem uczynić każdą z nich podmiotem kluczowym. Artykuł 5 w ustępach 6 i 7 wprowadza jednak wyjątek. Jeżeli podmiot przekracza próg wyłącznie przez to sumowanie, ale jego system informacyjny jest niezależny od systemów przedsiębiorstw powiązanych lub partnerskich, albo nie świadczy on usług wspólnie z nimi, to nie jest podmiotem kluczowym ani ważnym.
Widać tu wprost, że decyzja architektoniczna podjęta kilka lat temu przy projektowaniu infrastruktury IT ma dziś skutek prawny i finansowy. Wspólny katalog usług i jedna domena dla całej grupy oznaczają jedno. Odseparowane środowiska oznaczają coś innego.
Zastrzegam, że mówię jako praktyk, bez ambicji prawniczych. Nie jest to furtka do obchodzenia obowiązków. Separacja musi być rzeczywista i udokumentowana, a oświadczenie o statusie składa się pod rygorem odpowiedzialności karnej.
Co pokazał atak z 29 grudnia 2025 roku na polskie farmy?
Pokazał, że rozmawiamy o zdarzeniach już dokonanych, w naszym kraju, na obiektach takich jak te, które budujemy i serwisujemy.
CERT Polska, zespół działający w strukturach NASK, opublikował 30 stycznia 2026 roku raport techniczny z tego incydentu, a w sierpniu 2026 roku jego uzupełnienie. Zachęcam do lektury obu, bo są napisane bez owijania. Skoordynowane ataki z 29 grudnia 2025 roku objęły co najmniej 30 farm wiatrowych i fotowoltaicznych, dużą elektrociepłownię zasilającą blisko pół miliona odbiorców, mniejszą elektrociepłownię obsługującą około 50 tysięcy mieszkańców oraz spółkę produkcyjną. CERT pisze, że wszystkie ataki miały cel wyłącznie destrukcyjny, i porównuje je do celowych podpaleń. Działo się to przy niskich temperaturach, tuż przed Nowym Rokiem.
Produkcja energii nie została przerwana, a stabilność krajowego systemu elektroenergetycznego nie była zagrożona. CERT zaznacza jednak, że poziom uzyskanych dostępów pozwalał na zatrzymanie obiektów.
Najważniejsza jest jednak droga wejścia, bo tu każdy z nas powinien się przejrzeć jak w lustrze. Na każdej zaatakowanej stacji stało urządzenie Fortigate pełniące funkcję koncentratora VPN i zapory. W każdym przypadku interfejs VPN był dostępny z internetu i pozwalał zalogować się bez uwierzytelniania wieloskładnikowego. Raport zawiera zdanie, które przeczytałem trzy razy: „Z przeprowadzonego wywiadu wynika, że powszechną praktyką w branży jest wykorzystywanie tych samych kont i haseł w wielu obiektach”.
Dalej robi się jeszcze mniej wygodnie. Sterowniki RTU Hitachi RTU560 miały domyślne poświadczenia, w tym konto o nazwie „Default”, które ma uprawnienie do wymiany oprogramowania układowego. Wykorzystano je do wgrania spreparowanego firmware’u, przez co urządzenia wpadły w nieskończoną pętlę restartu. Funkcja bezpiecznej aktualizacji była dostępna od wersji 13.2.1, tylko na żadnym urządzeniu jej nie włączono. Sterowniki innego producenta padły po zalogowaniu na konto root po SSH z domyślnym hasłem. Sterowniki zabezpieczeń miały włączoną usługę FTP z wbudowanym kontem domyślnym, przy czym wdrożenie zgodne z zaleceniami producenta zablokowałoby to konto automatycznie. Stanowiska HMI miały hasło lokalnego administratora ustawione przy wdrożeniu i nigdy niezmienione.
Chcę być tu precyzyjny, bo łatwo o skrót myślowy. CERT zastrzega, że wskutek działań niszczących nie udało się odzyskać pełnych logów z żadnego z zaatakowanych urządzeń, więc sposób uzyskania pierwszego dostępu nie został ostatecznie ustalony. Odnotowuje też, że część tych urządzeń bywała w przeszłości podatna, w tym na zdalne wykonanie kodu. Natomiast wszystko, co udało się odtworzyć w dalszych krokach, to rzeczy z pierwszej strony każdej listy kontrolnej. Domyślne konta, brak drugiego składnika, hasła powtórzone między obiektami.
Jeszcze jedno. Zmiany konfiguracyjne na stacjach operatorskich wprowadzono 8 grudnia, skanowanie sieci odnotowano 25 grudnia, a uderzenie nastąpiło 29 grudnia. Ktoś siedział w tych sieciach tygodniami i nikt tego nie zobaczył. Właśnie dlatego ustawa wymaga monitorowania w trybie ciągłym, co znajdziemy w artykule 8 ustęp 2 punkt 2 litera g.
Jak jeden router na farmie wiatrowej doprowadził atakującego do elektrociepłowni?
Jest to najciekawsza technicznie część uzupełnienia raportu, a według CERT Polska wektor wcześniej nieopisany w znanych incydentach. Analiza zajęła zespołowi ponad trzy miesiące.
Na farmach montuje się routery komórkowe z kartą SIM działającą w wydzielonej sieci transmisji danych, w tak zwanym prywatnym APN, obsługiwanej przez operatora systemu dystrybucyjnego. Tą drogą idzie komunikacja między systemem SCADA operatora a sterownikiem na obiekcie. Operatorzy wymagają, żeby ta komunikacja odbywała się łączem szeregowym. Słusznie, bo ogranicza to ryzyko przeniesienia ataku do sieci operatora.
Tylko że, jak zauważa CERT, „nie było wymagań co do tego, w jaki sposób powinien być traktowany interfejs administracyjny routera komórkowego”. W zaatakowanym obiekcie router miał drugi interfejs wpięty do sieci zarządzanej przez przejęty wcześniej firewall. Atakujący wielokrotnie logował się na ten router po SSH i, jak ostrożnie pisze CERT, najprawdopodobniej wykorzystał tunelowanie SSH, żeby wejść do prywatnego APN. Od 18 grudnia skanował tę sieć w poszukiwaniu usług zdalnego pulpitu oraz protokołów przemysłowych S7 i Modbus. Znalazł sterownik WAGO w zupełnie innym zakładzie, z panelem administracyjnym wystawionym od strony APN i domyślnym hasłem konta „admin”. Tam zatrzymał turbinę parową i stację uzdatniania wody, przerywając kogenerację.
Jeden szczegół z tej historii zastanowił mnie najbardziej. Firma wdrażająca zmieniła na routerze komórkowym domyślne hasło, jak należy, a CERT i tak nie ustalił, w jaki sposób atakujący zdobył nowe ani czy nie wykorzystał podatności samego urządzenia. Zmiana hasła jest więc warunkiem koniecznym i nikt nie powinien traktować jej jako wystarczającego.
Przejęcie jednej farmy wiatrowej pozwoliło zaatakować elektrociepłownię, bo oba obiekty wisiały w tej samej sieci operatora bez izolacji między klientami.
CERT Polska pisze, że na podstawie ankiet przeprowadzonych wśród wielu podmiotów taka konfiguracja była w Polsce częsta i że jest powszechnie stosowana także w innych krajach. Rekomendacje są konkretne: włączyć izolację między urządzeniami końcowymi w APN, traktować prywatny APN jako sieć niezaufaną na poziomie odpowiadającym internetowi, wpuszczać na styku z siecią przemysłową wyłącznie ruch z listy dozwolonych, monitorować odstępstwa od profilu komunikacji, zdjąć z interfejsu od strony APN wszystkie usługi administracyjne i objąć te sieci testami penetracyjnymi.
Dorzucę uwagę własną. Prywatny APN przez lata funkcjonował w naszej branży jako synonim bezpieczeństwa, bo „to nie jest internet”. Grudniowy incydent zamyka tę dyskusję.
Co z tego wynika dla umów z wykonawcami i firmami serwisowymi?
Wynika podwójne wiązanie i nazwę je wprost.
Z jednej strony artykuł 8 ustęp 2 punkt 2 litera e nakazuje objąć systemem zarządzania bezpieczeństwem „bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem”. Właściciel aktywów musi więc odpowiadać za to, co robi u niego wykonawca i serwis.
Z drugiej strony ten sam wykonawca może samodzielnie podlegać ustawie jako dostawca usług zarządzanych, o czym mówiliśmy wcześniej.
W praktyce oznacza to, że przez najbliższe kilkanaście miesięcy przez rynek przejdzie fala aneksów. Spodziewam się pytań o uwierzytelnianie wieloskładnikowe na dostępie zdalnym, o osobne poświadczenia dla każdego obiektu, o rejestrowanie sesji serwisowych, o procedurę wycofania dostępu przy rotacji personelu, o czas reakcji przy incydencie i o to, kto komu w jakim czasie zgłasza zdarzenie. Uważam, że firma, która dziś nie umie odpowiedzieć na te pytania na piśmie, za rok wypadnie z krótkich list w przetargach. Zanim jeszcze ktokolwiek nałoży pierwszą karę.
Ile czasu naprawdę zostało i kiedy grożą kary?
Powiem coś, co idzie pod prąd większości materiałów, które ostatnio czytam. Chcę, żeby to wybrzmiało dokładnie.
Pierwsza kara pieniężna na gruncie tej ustawy może zostać nałożona najwcześniej po 3 kwietnia 2028 roku. Nie jest to opinia, tylko artykuł 35 ustawy nowelizującej, który mówi, że kary „mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy”. Materiały, które straszą milionami euro od jesieni 2026 roku, są po prostu niezgodne z tekstem ustawy.
Nie znaczy to jednak, że mamy luz. Obowiązki biegną od dziś, a kalendarz jest gęsty. Wniosek o wpis do 3 października 2026 roku. Przyłączenie do systemu S46 i wdrożenie obowiązków z rozdziału 3 ustawy, w tym systemu zarządzania bezpieczeństwem informacji, do 3 kwietnia 2027 roku. Pierwszy audyt bezpieczeństwa dla podmiotów kluczowych do 3 kwietnia 2028 roku.
Jest też przepis, który zmienia sposób myślenia o rejestracji. Artykuł 7d ustęp 5 stanowi, że wpis do wykazu „jest czynnością materialno-techniczną i ma charakter deklaratoryjny”. Status podmiotu kluczowego powstaje z mocy prawa w chwili spełnienia przesłanek, a nie w chwili wpisu. Kto się nie zgłosi, nie przestaje być podmiotem kluczowym. Po prostu jest nim bez wpisu w rejestrze, za to z niewykonanym obowiązkiem.
Traktuję te dwa lata jako okno na zrobienie rzeczy porządnie. Zabezpieczenia, o których mówiliśmy przy okazji grudniowego ataku, kosztują tygodnie pracy. Nie mają też nic wspólnego z wysokością kary.
Za co odpowiada osobiście prezes zarządu?
Za całość. Wobec poprzedniego stanu prawnego jest to zmiana ustrojowa.
Artykuł 8c ustęp 1 mówi, że kierownik podmiotu ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa. Ustęp 2 dodaje, że przy organie wieloosobowym, jeżeli nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy członkowie zarządu. Ustęp 3 zamyka najwygodniejszą furtkę, stanowiąc, że kierownik odpowiada także wtedy, gdy powierzył obowiązki komuś innemu za jego zgodą.
Artykuł 8d wylicza, co konkretnie należy do kierownika. Zwrócę uwagę na punkt 2, bo pokazuje sposób myślenia ustawodawcy. Kierownik „planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa”. Brak budżetu przestał być argumentem obronnym i stał się opisem naruszenia.
Artykuł 8e wprowadza obowiązek szkoleniowy dla kierownika raz w roku kalendarzowym, z udokumentowanym udziałem. Artykuł 8f wymaga, żeby osoba dopuszczana do zadań związanych z systemem zarządzania bezpieczeństwem albo z obsługą incydentów przedstawiła wcześniej informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji. Osoba skazana prawomocnie takich zadań wykonywać nie może. Podejrzewam, że to jest dziś najsłabiej znany obowiązek w całej ustawie, a dotyka bezpośrednio procesów kadrowych i rekrutacji.
Do tego dochodzi sankcja. Artykuł 73a ustęp 4 przewiduje karę dla kierownika do 300 procent otrzymywanego wynagrodzenia, liczonego według zasad ustalania ekwiwalentu za urlop. Kara ta jest niezależna od kary nałożonej na sam podmiot. Sama spółka odpowiada do 10 milionów euro albo 2 procent przychodu jako podmiot kluczowy, przy czym stosuje się kwotę wyższą. Podmiot ważny odpowiada do 7 milionów euro albo 1,4 procent.
I jeszcze jeden szczegół, który robi na mnie największe wrażenie. Wniosek o wpis do wykazu zawiera oświadczenie kierownika składane pod rygorem odpowiedzialności karnej z artykułu 233 paragraf 6 Kodeksu karnego. Prezes podpisuje się osobiście pod tym, że dane są zgodne z prawdą.
Jak zgłasza się incydent poważny i w jakim czasie?
Terminy są trzy i w polskiej ustawie mają dwie cechy, o których często się zapomina.
Wczesne ostrzeżenie idzie niezwłocznie, nie później niż w ciągu 24 godzin. Zgłoszenie incydentu poważnego w ciągu 72 godzin. Sprawozdanie końcowe nie później niż miesiąc od dnia zgłoszenia, a nie od dnia wykrycia. Do tego dochodzi sprawozdanie okresowe, jeżeli zażąda go zespół reagowania.
Pierwsza cecha, o której mówię. Polskie terminy biegną od momentu wykrycia incydentu, co wynika z artykułu 11 ustęp 1 punkt 4 i 4a. Druga cecha dotyczy adresata. Zgłoszenie przyjmuje właściwy CSIRT sektorowy, czyli zespół ustanowiony przez organ właściwy dla danego sektora. Dla energii organem tym jest minister właściwy do spraw energii. Zgłoszenie idzie zatem do konkretnego zespołu w swoim sektorze.
Poza tym artykuł 11 w ustępach 2a i 2b nakłada obowiązek poinformowania odbiorców usługi o poważnym cyberzagrożeniu oraz o incydencie, jeżeli wpływa on niekorzystnie na świadczenie usług.
Chcę tu podkreślić jedną rzecz z uzupełnienia raportu CERT, bo uważam ją za najważniejszą lekcję organizacyjną z całego grudniowego zdarzenia. Elektrociepłownia, o której mówiliśmy, początkowo założyła, że zatrzymanie turbiny to błąd inżynierów podwykonawcy przy pracach utrzymaniowych. Zgłosiła zdarzenie wyłącznie informacyjnie. CERT podjął sprawę jako atak tylko dlatego, że wiedział o podobnych zdarzeniach gdzie indziej. Zespół pisze wprost: „To pokazuje, jak ważne jest zgłaszanie nie tylko potwierdzonych incydentów, lecz także niewyjaśnionych awarii”.
Uważam, że to zdanie powinno wisieć w każdej dyspozytorni w tym kraju. Niewyjaśniona awaria zgłoszona za wcześnie kosztuje godzinę pracy. Niezgłoszona kosztuje trzy miesiące analizy laboratoryjnej, tak jak w tym przypadku.
Czy wdrożona norma ISO 27001 załatwia sprawę?
Daje przewagę na starcie i mówię to jako osoba, która ma ten certyfikat w swojej firmie. Ale sprawy nie załatwia i uważam, że warto to powiedzieć głośno, zanim ktoś kupi taką obietnicę u doradcy.
Zbieżność jest realna. Artykuł 8 ustęp 2 wylicza dwanaście obszarów, od polityk szacowania ryzyka, przez bezpieczeństwo zasobów ludzkich i kontrolę dostępu, po kryptografię. Kto prowadzi system zgodny z ISO/IEC 27001, ma większość z nich już opisaną, wdrożoną i, co ważniejsze, audytowaną przez stronę trzecią. Podobnie ISO 22301 pokrywa się z literą f, czyli z planami ciągłości działania i odtworzenia po awarii.
Natomiast ustawa dokłada rzeczy, których w normie nie ma. Terminy 24 i 72 godzin do właściwego CSIRT sektorowego. Wpis do wykazu z oświadczeniem pod odpowiedzialnością karną. Weryfikacja niekaralności personelu w Krajowym Rejestrze Karnym. Doroczne udokumentowane szkolenie kierownika. Osobna, ustawowa odpowiedzialność zarządu. Norma opisuje, jak zarządzać bezpieczeństwem informacji. Ustawa mówi dodatkowo, komu i w jakim czasie się z tego tłumaczysz.
Formułuję to więc tak. Certyfikat skraca drogę może o połowę i porządkuje rozmowę wewnątrz firmy. Nie jest zaświadczeniem o zgodności z ustawą i nikt nie powinien go tak sprzedawać.
Od czego zacząć, jeżeli firma nie zrobiła jeszcze nic?
Ułożyłbym to w sześć kroków i celowo zaczynam od rzeczy najtańszych.
- Ustalić status. Sprawdzić koncesje, wielkość przedsiębiorstwa według sprawozdania finansowego, powiązania kapitałowe i to, czy firma nie jest przypadkiem dostawcą usług zarządzanych. Wynik zapisać z uzasadnieniem, bo oświadczenie idzie pod odpowiedzialnością karną.
- Złożyć wniosek o wpis przez system teleinformatyczny, podpisany kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo pieczęcią kwalifikowaną. Termin to 3 października 2026 roku.
- Zinwentaryzować dostęp zdalny. Każde wejście z zewnątrz do obiektu, każde konto serwisowe, każdy koncentrator VPN. Wyłączyć logowanie bez drugiego składnika. Zlikwidować hasła współdzielone między obiektami. Dokładnie tę listę CERT opisał w raporcie.
- Przejrzeć poświadczenia domyślne na sterownikach, stacjach operatorskich, routerach komórkowych i sterownikach zabezpieczeń. Włączyć bezpieczną aktualizację oprogramowania układowego tam, gdzie producent ją udostępnia.
- Zbadać styk z prywatnym APN i potraktować go jak sieć niezaufaną, zgodnie z rekomendacją CERT Polska.
- Wyznaczyć osoby do kontaktu, uruchomić ścieżkę zgłoszeniową i przeszkolić zarząd. Obowiązek szkoleniowy dotyczy kierownika osobiście i musi być udokumentowany.
Dopiero potem przychodzi budowa pełnego systemu zarządzania bezpieczeństwem informacji, na który ustawa daje czas do 3 kwietnia 2027 roku. Audyt ma termin 3 kwietnia 2028 roku.
Jaki błąd uważa Pan w tej całej sprawie za najkosztowniejszy?
Przekonanie, że to jest projekt prawny.
Widziałem już kilka podejść, w których firma zamawia opinię, dostaje segregator, wpisuje się do wykazu i uznaje temat za zamknięty. Tymczasem z raportu CERT Polska nie wynika, żeby cokolwiek w grudniu 2025 roku padło z powodu braku dokumentacji. Padło z powodu domyślnego hasła, wystawionego panelu administracyjnego i braku drugiego składnika przy logowaniu. Zgodność formalna i odporność techniczna to dwa różne przedsięwzięcia, a ustawa wymaga obu.
Drugi błąd, mniej oczywisty, dotyczy podziału ról między właścicielem aktywów a wykonawcą. Zdalny dostęp do obiektu ma zwykle kilka podmiotów naraz: generalny wykonawca, serwis, dostawca sterowników, czasem producent inwerterów, do tego operator sieci. Jeżeli nikt nie prowadzi jednego rejestru tych dostępów, to nie ma znaczenia, jak dobre polityki napisała każda ze stron osobno.
Czy widzi Pan w tym coś więcej niż koszt?
Widzę i mówię to bez entuzjazmu na siłę.
Rynek odnawialny w Europie wchodzi w fazę, w której o wartości aktywa decyduje przewidywalność jego pracy przez 20 lat. Cena postawienia go w rok znaczy dziś mniej. Instytucje finansujące i ubezpieczyciele zaczynają pytać o odporność operacyjną tym samym tonem, którym od dawna pytają o wydajność. Nowelizacja daje temu wspólny język i wspólny kalendarz.
Przypomnę też, co się stało 24 lutego 2022 roku, kiedy atak na modemy satelitarne Viasat pozbawił zdalnego monitoringu i sterowania 5 800 turbin wiatrowych Enercon w Niemczech o łącznej mocy około 11 gigawatów. Turbiny pracowały, tylko operator ich nie widział. Nikt tego ataku nie kierował w energetykę wiatrową. Ona po prostu wisiała na tej samej infrastrukturze.
Nasza branża zbudowała w ciągu dekady rozproszony system tysięcy obiektów bez obsady, sterowanych zdalnie, spiętych cudzymi łączami. Jest to ogromne osiągnięcie inżynierskie i jednocześnie powierzchnia ataku, której dwadzieścia lat temu nie było. Traktuję NIS2 jako spóźnioną odpowiedź na coś, co i tak trzeba było zrobić.
read next
Never Stop
