Miliony chińskich liczników i luki w systemie. Kto kontroluje ryzyko w polskiej energetyce?

To już nie jest wyłącznie kwestia wyboru dostawcy sprzętu. Liczniki zdalnego odczytu są elementem cyfrowej infrastruktury energetycznej: komunikują się z systemami operatorów, przekazują dane o zużyciu energii i docelowo będą współpracować z Centralnym Systemem Informacji Rynku Energii (CSIRE). Przy takiej skali infrastruktury pytanie o bezpieczeństwo nie może ograniczać się do tego, czy urządzenie spełnia wymagania techniczne. Znaczenie ma również to, kto kontroluje producenta, oprogramowanie, proces aktualizacji i cały łańcuch dostaw.

Do lipca 2031 r. wszyscy odbiorcy końcowi energii elektrycznej w Polsce mają zostać wyposażeni w liczniki zdalnego odczytu. Im więcej takich urządzeń trafia do infrastruktury energetycznej, tym większego znaczenia nabiera pytanie, jakie mechanizmy państwo ma do oceny ryzyka związanego z ich dostawcami.

Państwo ma mechanizm. Czy obejmuje on liczniki?

Jednym z takich mechanizmów jest procedura dostawcy wysokiego ryzyka. Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wprowadziła m.in. mechanizm dostawcy wysokiego ryzyka (DWR, High-Risk Vendor). Podstawowe przepisy dotyczące tej procedury znajdują się w art. 67b i przepisach z nim powiązanych.

Mechanizm pozwala Ministrowi Cyfryzacji, po zasięgnięciu opinii Kolegium ds. Cyberbezpieczeństwa, uznać konkretnego dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Ocena nie ogranicza się do technicznych cech urządzenia. Uwzględnia też m.in. strukturę właścicielską dostawcy, jego zależność od państwa trzeciego, możliwość ingerencji tego państwa w jego działalność oraz sposób, w jaki dostawca kontroluje proces wytwarzania i dostarczania produktów.

Jeżeli producent zostanie uznany za dostawcę wysokiego ryzyka, decyzja może objąć określone produkty tego dostawcy. Przepisy przewidują w takich przypadkach ograniczenia dotyczące ich wykorzystywania, a także konsekwencje dla części sprzętu już znajdującego się w infrastrukturze podmiotów objętych ustawą.

Tak wygląda teoria. W praktyce nie ma w tej chwili jednego państwowego systemu, który kompleksowo oceniałby ryzyko związane z dostawcami urządzeń trafiających do infrastruktury energetycznej.

Miliony liczników i pytanie o ryzyko

Ta kwestia nabiera znaczenia w związku ze skalą trwającej w Polsce modernizacji. NFOŚiGW podpisał niedawno umowy o wartości około 1 mld zł na projekty, które mają przyspieszyć instalację niemal 5 mln liczników zdalnego odczytu. Środki trafiły do największych operatorów systemów dystrybucyjnych: Energi Operatora, PGE Dystrybucji, Taurona Dystrybucji, Enei Operatora i Stoen Operatora.

Wśród dostawców tych operatorów znajdują się zarówno polskie firmy, takiej jak Apator jak i powiązane z chińskim kapitałem. Chodzi m.in. o firmy Foxytech. Foxytech jest w 60 proc. kontrolowany przez chińską Ningbo Sanxing Smart Electric, należącą do grupy Ningbo Sanxing Electric. A także firmę Elgama-Elektronika, Esmetric Group, która ma powiązania kapitałowe z chińskim Jiangsu Linyang Energy.

Operatorzy korzystają także z europejskich dostawców. Enea Operator w przetargu na około 3 mln liczników o wartości około 1,3 mld zł wybrała europejskich dostawców, m.in. Politech i Iskraemeco, Sagemcom Poland, a także firmę Apator oraz Landis+Gyr.

Co mówią chińskie przepisy

Dokładna skala obecności poszczególnych producentów na polskim rynku jest trudna do ustalenia. Nie ma obecnie publicznej, oficjalnej statystyki pokazującej, ile chińskich liczników już działa w Polsce. Szacunki branżowe wskazują jednak, że blisko połowa tego typu urządzeń zainstalowanych w Polsce pochodzi od producentów spoza Europejskiego Obszaru Gospodarczego, przede wszystkim z Chin.

Warto jednak rozdzielić dwie kwestie: samo powiązanie producenta z chińskim kapitałem nie przesądza o istnieniu zagrożenia, istotne są natomiast uwarunkowania prawne, w jakich taki podmiot może funkcjonować. Chińskie przepisy nakładają bowiem na organizacje i obywateli obowiązek współpracy z państwowymi służbami wywiadowczymi.

Stanowi o tym art. 7 Chińskiej Ustawy o Wywiadzie Narodowym z 2017 roku, który przewiduje obowiązek wspierania, udzielania pomocy i współpracy z organami wywiadowczymi. Z kolei art. 14 tej ustawy przyznaje instytucjom wywiadowczym prawo do żądania od organizacji i osób niezbędnego wsparcia oraz pomocy.

Nie oznacza to oczywiście, że każdy producent podlegający tym regulacjom wykorzysta swoje urządzenia do działań przeciwko Polsce. Tego rodzaju przepisy tworzą jednak dodatkowy element ryzyka, który warto uwzględnić przy wyborze dostawcy.

Licznik to element większego systemu

To ryzyko nie dotyczy jednak wyłącznie samego licznika, który nie działa samodzielnie.

Liczniki są elementem systemu AMI – Advanced Metering Infrastructure. W jego skład wchodzą nie tylko urządzenia znajdujące się w domach i firmach, ale również koncentratory danych, sieci komunikacyjne oraz systemy centralne operatorów. Dane z liczników mają być przekazywane do CSIRE, który ma usprawnić wymianę informacji między uczestnikami rynku energii.

Z punktu widzenia bezpieczeństwa energetycznego potencjalnym celem ataku nie musi więc być pojedynczy licznik.

”Licznik to tylko element większego systemu. Atakujący niekoniecznie musiałby przejąć kontrolę nad pojedynczym urządzeniem. Znacznie poważniejsze konsekwencje mogłoby mieć naruszenie bezpieczeństwa infrastruktury, która umożliwia komunikację z dużą liczbą urządzeń” – podkreśla Adam Jawor, emerytowany pułkownik rezerwy kontrwywiadu.

Systemy AMI mogą również obejmować funkcje zdalnego przyłączania i odłączania odbiorcy. Nie oznacza to, że każdy inteligentny licznik posiada taką funkcję ani że urządzenia są bezpośrednio dostępne z internetu. Pokazuje jednak, że cyfryzacja energetyki tworzy nowe powierzchnie ataku.

Dlatego jego zdaniem pytanie nie powinno brzmieć: „czy można zhakować inteligentny licznik?”. Ważniejsza jest odpowiedź na pytanie o bezpieczeństwo całego łańcucha – od urządzenia, przez firmware i sieć komunikacyjną, po systemy centralne operatora.

Pytanie o bezpieczeństwo komponentów

Mirosław Maj, prezes Fundacji Bezpieczna Cyberprzestrzeń i członek zarządu Open CSIRT Foundation, stawia tę kwestię jeszcze szerzej. Jego zdaniem podstawowym problemem jest to, czy w przypadku wyłonionych dostawców liczników zdalnego odczytu znamy cały łańcuch dostaw.

„Czy w odniesieniu do wyłonionych już dostawców mamy pełną wiedzę na temat całego łańcucha dostaw wszystkich komponentów, które składają się na końcowe rozwiązanie?” – zauważa ekspert.

W tym kontekście przypomina, że licznik składa się z wielu elementów, pochodzących od różnych producentów i z różnych miejsc. Dlatego nie wystarczy wiedza, kto dostarcza gotowe urządzenie. Konieczna jest także informacja o pochodzeniu jego komponentów i kontrola nad oprogramowaniem.

Jeżeli fizycznie rozłożymy takie urządzenie na czynniki pierwsze, okaże się, że składa się ono z dużej liczby różnych komponentów. Pytanie brzmi więc: czy ktoś rzeczywiście ma pełną wiedzę o tym, skąd te komponenty pochodzą, jak wygląda ich łańcuch dostaw i jaką mamy kontrolę oraz pewność co do bezpieczeństwa firmware'u całego rozwiązania
Mirosław Maj, prezes Fundacji Bezpieczna Cyberprzestrzeń, członek zarządu Open CSIRT Foundation

Kto odpowiada za aktualizacje

Drugim kluczowym zagadnieniem, jego zdaniem, jest to, kto ma kontrolę nad licznikami po ich zainstalowaniu. Dotyczy to szczególnie aktualizacji firmware’u i możliwości zdalnego dostępu. Jeżeli producent pozostaje zaangażowany w utrzymanie urządzenia, aktualizacje czy jego zdalną obsługę, powstają dodatkowe potencjalne ścieżki ataku.

„Jeżeli operatorzy sieci dystrybucyjnej rzeczywiście przejmują kontrolę nad licznikami, to wolałbym, aby to właśnie oni, a nie producenci, odpowiadali na przykład za aktualizację firmware’u urządzenia. Chodzi przede wszystkim o to, aby operator miał nad nim kontrolę nie tylko na poziomie ogólnej deklaracji, ale również techniczną możliwość decydowania o tym, kto może dokonywać aktualizacji, w tym zdalnych” – wskazuje.

Dodatkowo przy kilku milionach urządzeń tego typu szczególnego znaczenia nabiera architektura systemu. Ryzyko nie sprowadza się bowiem do przejęcia pojedynczego licznika. Znacznie poważniejsze konsekwencje mogłaby mieć możliwość jednoczesnego oddziaływania na dużą liczbę urządzeń.

„Nie mam wątpliwości, że inteligentne liczniki są elementem infrastruktury o krytycznym znaczeniu. Są to urządzenia, którymi można zarządzać zdalnie i wydawać im określone polecenia, w tym dotyczące dopływu energii” – podkreśla.

W tym kontekście pojawia się również pytanie o odpowiedzialność. Operatorzy odpowiadają za swoje systemy, producenci za dostarczane urządzenia, a kwestie cyberbezpieczeństwa są jednocześnie elementem Krajowego Systemu Cyberbezpieczeństwa (KSC).

Sektor energetyczny czeka na CSIRT

Problem, jego zdaniem, jest tym istotniejszy, że sektor energetyczny nie ma jeszcze własnego sektorowego CSIRT-u, który mógłby pełnić funkcję wyspecjalizowanego ośrodka cyberbezpieczeństwa.

Wyjaśnijmy: CSIRT to zespół odpowiedzialny za wykrywanie, analizowanie i reagowanie na incydenty cyberbezpieczeństwa. W Polsce działają m.in. CSIRT GOV, CSIRT MON i CSIRT NASK, a sektor energetyczny jest w trakcie tworzenia własnego zespołu sektorowego.

Sektorowy CSIRT Energia (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego dla sektora energii) jest dopiero w fazie wdrażania. Zgodnie z harmonogramem projektowym oraz unijnymi i krajowymi regulacjami związanymi z wdrażaniem dyrektywy NIS2 jego uruchomienie planowane jest na koniec 2026 roku. „Brak CSIRT dla energetyki nie powinien jednak oznaczać braku szczegółowych wymagań dotyczących bezpieczeństwa przy tak dużej inwestycji jak wymiana liczników energii” – dodaje ekspert.

Odpowiedzialność jest rozproszona

Kto w takim razie kontroluje obecnie instalację liczników zdalnego odczytu w zakresie cyberbezpieczeństwa?

Zapytaliśmy o to Ministerstwo Cyfryzacji, Ministerstwo Energii, Urząd Regulacji Energetyki i NFOŚiGW. Odpowiedzi, które dotąd otrzymaliśmy, pokazują przede wszystkim, że odpowiedzialność za poszczególne elementy systemu jest rozproszona.

NFOŚiGW wyjaśnia, że jego zadaniem jest jedynie sprawdzanie, czy operatorzy wydają przekazane środki celowo, rzetelnie i zgodnie z umowami. Kwestie ścisłego cyberbezpieczeństwa urządzeń pozostają natomiast po stronie operatorów.

Podobnie odpowiada Urząd Regulacji Energetyki. Prezes URE w odpowiedzi na pytania E24 informuje, że monitoruje realizację obowiązku instalacji liczników zdalnego odczytu i sprawdza spełnianie przez nie wymagań określonych w przepisach. URE wskazuje jednak, że nie ma podstaw prawnych do oceniania kraju pochodzenia licznika i wynikających z tego potencjalnych konsekwencji.

„Prezes URE nie ma podstaw prawnych do oceniania kraju pochodzenia (produkcji) licznika i wynikających z tego faktu ewentualnych konsekwencji. Weryfikuje natomiast obowiązek jego instalacji i spełnienie wymagań określonych w rozporządzeniu Ministra Klimatu i Środowiska z dnia 22 marca 2022 r. w sprawie systemu pomiarowego” – czytamy w przesłanej odpowiedzi.

W praktyce URE wskazuje więc, że ocena ryzyka nie należy do jego kompetencji.

Łańcuch dostaw, firmware i architektura systemu

Tymczasem Mirosław Maj, prezes Fundacji Bezpieczna Cyberprzestrzeń, uważa, że Polska powinna być przygotowana na różne scenariusze cyberataków wymierzonych w energetykę.

„Można wyobrazić sobie na przykład scenariusz ataku polegający na masowym odłączaniu odbiorców albo naprzemiennym sterowaniu urządzeniami, co mogłoby prowadzić do zakłóceń w funkcjonowaniu systemu elektroenergetycznego” – wskazuje.

Jak zatem ograniczyć ryzyko takich scenariuszy? Ekspert wskazuje trzy kluczowe obszary: kontrolę łańcucha dostaw, kontrolę firmware’u przez cały okres użytkowania urządzeń oraz odpowiednią architekturę systemu, która powinna ograniczać możliwość zakłócania pracy urządzeń i zdalnego sterowania całą siecią.

„Przy inwestycji obejmującej około 5 mln urządzeń te trzy elementy mają znaczenie nie tylko dla bezpieczeństwa operatorów sieci dystrybucyjnej, ale także dla bezpieczeństwa całego systemu elektroenergetycznego. Dlatego pytanie o inteligentne liczniki nie powinno sprowadzać się wyłącznie do tego, kto je dostarczy i za ile. Równie ważne jest to, kto kontroluje ich łańcuch dostaw, oprogramowanie i możliwość zdalnego oddziaływania na miliony urządzeń przez cały okres ich użytkowania” – podsumowuje.

Co właściwie sprawdza operator?

W obecnej sytuacji odpowiedzialność za bezpieczeństwo wykorzystywanych rozwiązań spoczywa głównie na operatorach systemów dystrybucyjnych. To oni kupują liczniki, wybierają dostawców, określają wymagania techniczne i podłączają urządzenia do krajowej infrastruktury.

W maju 2026 r. Polskie Towarzystwo Przesyłu i Rozdziału Energii Elektrycznej opublikowało raport z konsultacji dotyczących wymogów bezpieczeństwa dla liczników zdalnego odczytu. Dokument obejmuje m.in. firmware, mikrokontroler, pamięć urządzenia, system nadrzędny AMI oraz mechanizmy bezpieczeństwa.

Co istotne okazuje się, że sam fakt posiadania przez producenta certyfikatu bezpieczeństwa nie zwalnia operatora z odpowiedzialności za bezpieczeństwo wykorzystywanego rozwiązania. Powstaje jednak pytanie, czy ma wystarczające do tego narzędzia.

Pytania dotyczące stosowanych procedur i sposobu weryfikowania bezpieczeństwa wysłaliśmy do Energi Operator, PGE Dystrybucja, Tauron Dystrybucja, Enea Operator i Stoen Operator. Opublikujemy je w drugiej części naszego materiału wraz z odpowiedzią od Polskiego Towarzystwa Przesyłu i Rozdziału Energii Elektrycznej i resortu cyfryzacji.