Cyfryzacja w energetyce przyspiesza. Mechanizm dostawców wysokiego ryzyka dopiero startuje

Polskie przepisy przewidują taki scenariusz. Od kwietnia działa mechanizm dostawcy wysokiego ryzyka (DWR), który pozwala państwu ograniczyć wykorzystywanie produktów i usług firm uznanych za stwarzające zagrożenie. Na razie jednak żaden dostawca nie został w Polsce uznany za DWR. W praktyce ocena ryzyka pozostaje więc przede wszystkim po stronie firm korzystających z technologii.

Cyfryzacja na masową skalę

Jednym z najbardziej widocznych przykładów cyfrowej transformacji energetyki jest wymiana liczników energii na urządzenia zdalnego odczytu. NFOŚiGW podpisał niedawno umowy o wartości około 1 mld zł na projekty, które mają przyspieszyć instalację niemal 5 mln takich liczników.

Nie są to już wyłącznie urządzenia mierzące zużycie energii. Inteligentne liczniki komunikują się z systemami operatorów, przesyłają dane i korzystają z oprogramowania, które może być aktualizowane.

Przy takiej skali wdrożenia pytanie o bezpieczeństwo dotyczy całego łańcucha technologicznego: producenta, oprogramowania, sposobu aktualizacji, komunikacji z siecią oraz dostawców poszczególnych komponentów.

Kto odpowiada za bezpieczeństwo

Jak pisaliśmy niedawno, nie ma jednego państwowego systemu, który przed zakupem certyfikowałby wszystkie takie urządzenia pod kątem cyberbezpieczeństwa, który przed zakupem certyfikowałby wszystkie takie urządzenia pod kątem cyberbezpieczeństwa.

NFOŚiGW finansuje inwestycje, ale – jak wynika z odpowiedzi dla E24 fundusz – nie prowadzi własnej certyfikacji liczników pod kątem cyberbezpieczeństwa, bezpieczeństwa łańcucha dostaw czy pochodzenia producenta.

Za wybór urządzeń odpowiadają w praktyce operatorzy systemów dystrybucyjnych. To oni prowadzą postępowania zakupowe, określają wymagania techniczne i bezpieczeństwa, sprawdzają dostawców i decydują, jakie liczniki trafią do ich sieci.

NFOŚiGW podkreśla jednocześnie, że w programie uwzględniane są wymagania dotyczące cyberbezpieczeństwa. Chodzi m.in. o zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw, podatności i reagowanie na incydenty. Urządzenia mają być również sprawdzane pod względem zgodności z wymaganiami bezpieczeństwa – na etapie badania próbek oraz kontroli dostaw.

Ocenę ryzyka pozostawiono firmom

Takie rozłożenie odpowiedzialności potwierdza Ministerstwo Cyfryzacji. W odpowiedzi na pytania E24 resort wskazuje, że zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa podmioty objęte regulacjami, w tym przedsiębiorstwa energetyczne, są zobowiązane do indywidualnego zarządzania ryzykiem. Obejmuje ono m.in. bezpieczeństwo łańcucha dostaw, produktów i usług.

W praktyce oznacza to, że odpowiedzialność za analizę ryzyka nie została skoncentrowana w jednym państwowym organie. To przede wszystkim podmioty korzystające z technologii mają ocenić, czy wybrany dostawca i jego rozwiązania są bezpieczne.

Ocena bezpieczeństwa po stronie sektora

W praktyce obowiązek szacowania ryzyka związanego z cyberbezpieczeństwem spoczywa bezpośrednio na podmiotach objętych ustawą o KSC. Chodzi przede wszystkim o podmioty kluczowe, czyli duże firmy i instytucje działające w strategicznych sektorach, m.in. energetyce, transporcie, bankowości, ochronie zdrowia, gospodarce wodnej, infrastrukturze cyfrowej i administracji publicznej.

W sektorze energii organem właściwym do spraw cyberbezpieczeństwa jest natomiast, zgodnie z art. 41 ustawy, minister właściwy do spraw energii. Jak wyjaśnia Ministerstwo Cyfryzacji, to jednak podmioty odpowiedzialne za funkcjonowanie infrastruktury energetycznej powinny w pierwszej kolejności oceniać ryzyko związane z dostawcami, w tym dostawcami spoza UE, oraz wykorzystywanymi przez nich technologiami.

Państwo ma mechanizm, ale go nie używa

W tym systemie kluczowe miejsce zajmuje mechanizm Dostawców Wysokiego Ryzyka (DWR). Przepisy dotyczące tej kwestii weszły w życie 3 kwietnia 2026 r. wraz z nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażającą do polskiego prawa rozwiązania wynikające z unijnej dyrektywy NIS2.

Wynika z nich, że minister cyfryzacji może, po przeprowadzeniu odpowiedniego postępowania, uznać konkretną firmę za dostawcę wysokiego ryzyka. Przy tej ocenie mogą być brane pod uwagę zarówno kwestie techniczne – m.in. podatności produktów i wcześniejsze incydenty – jak i struktura własnościowa firmy, jej powiązania czy możliwość wpływania na nią przez państwo.

Mechanizm nie oznacza jednak automatycznego wykluczenia firm z określonych państw. Oceniany ma być konkretny dostawca oraz wskazane w decyzji produkty, usługi lub procesy ICT.

Na razie w Polsce nie wszczęto jednak żadnego takiego postępowania, żaden dostawca nie otrzymał także statusu DWR.

Przedsiębiorcy nie muszą czekać

Brak decyzji DWR nie oznacza jednak, że firmy nie mają uwzględniać ryzyka związanego z cyberbezpieczeństwem przy swoich zakupach.

Jak wskazuje Tomasz Krzyżanowski, senior associate w zespole Infrastruktury i Energii kancelarii Domański Zakrzewski Palinka, nowelizacja KSC stworzyła formalną procedurę uznawania dostawcy za podmiot wysokiego ryzyka. Samo pochodzenie przedsiębiorstwa z określonego państwa nie wystarcza jednak do zastosowania tego mechanizmu.

Jednocześnie prawo zamówień publicznych pozwala – jego zdaniem – uwzględniać kwestie bezpieczeństwa państwa i bezpieczeństwa publicznego. Wymaga to jednak wskazania konkretnych okoliczności, które pokazują, że udział danego wykonawcy lub wykorzystanie jego produktów może stwarzać rzeczywiste zagrożenie.

Spółki energetyczne nie muszą więc czekać na decyzję ministra cyfryzacji, by uwzględniać ryzyko związane z bezpieczeństwem. Nie mogą jednak automatycznie wykluczać dostawców technologii wyłącznie ze względu na kraj jej pochodzenia.

Ryzyko może pojawić się później

Problem polega jednocześnie na tym, że ocena dostawcy może zmienić się już po wdrożeniu jego technologii.

Jeżeli dostawca zostanie uznany za podmiot wysokiego ryzyka, decyzja może objąć konkretne produkty wykorzystywane przez podmioty kluczowe i ważne. W konsekwencji może pojawić się obowiązek ich stopniowego wycofywania. Przepisy przewidują na to zasadniczo do siedmiu lat, a w przypadku określonych krytycznych funkcji sieci i usług komunikacji elektronicznej – do czterech lat.

Dla spółek energetycznych oznacza to ryzyko, którego nie widać w momencie zakupu technologii i urządzeń. Mogą one działać prawidłowo i być zainstalowane w tysiącach gospodarstw domowych, a mimo to po kilku latach ich producenci mogą zostać uznani za dostawców wysokiego ryzyka.

Wtedy problemem nie będzie awaria urządzenia, lecz konieczność jego wymiany.

Dlatego przy zakupie urządzeń wykorzystywanych w energetyce znaczenie ma nie tylko to, kto je dziś dostarcza. Równie ważne jest uwzględnienie scenariusza, w którym ocena bezpieczeństwa dostawcy zmieni się już po zainstalowaniu tysięcy czy milionów urządzeń w infrastrukturze energetycznej.

Europa już to przerabiała

Nie jest to wyłącznie teoretyczne zagrożenie. Europa od kilku lat mierzy się z podobnym problemem w przypadku chińskich producentów sprzętu telekomunikacyjnego Huawei i ZTE.

Komisja Europejska zaleciła m.in. na początku maja 2026 r. państwom członkowskim, aby zrezygnowały z produktów Huawei i ZTE w swojej infrastrukturze krytycznej.

Informację przekazał rzecznik KE Thomas Regnier, który poinformował, że w przeszłości Huawei i ZTE były już wymienione na unijnej liście dostawców potencjalnie wysokiego ryzyka. Jak powiedział, KE zarekomendowała państwom członkowskim wykluczenie Huawei i ZTE spośród producentów sprzętu wykorzystywanego przez operatorów telekomunikacyjnych i stosowanego w infrastrukturze łączności.

Spór o udział tych firm w budowie sieci 5G pokazał, że ocena ryzyka może zmienić się już po tym, jak urządzenia trafią do infrastruktury.

Dla energetyki to istotna lekcja. Coraz więcej urządzeń jest częścią cyfrowej infrastruktury, a ich bezpieczeństwo zależy od oprogramowania i całego łańcucha dostaw. Przy skali sięgającej tysięcy, a nawet milionów urządzeń, uznanie producenta za ryzykownego już po ich wdrożeniu oznacza problem nie tylko z wyborem nowego dostawcy, ale także z urządzeniami, które już pracują w sieci.