Miliony urządzeń w sieci. Cyberatak na energetykę może zacząć się od licznika

Agnieszka Zielińska, Energetyka24: Powiedział pan jakiś czas temu, że Europa ma mało czasu na odzyskanie suwerenności technologicznej. Ila dziś mamy na to czasu?

Maciej Wyczesany, prezes firmy Apator: Zacznijmy od tego, czym jest suwerenność technologiczna. Jeśli zdefiniujemy ją jako zdolność do wytwarzania, modyfikacji i obsługi technologii w długim terminie za pomocą krajowych kompetencji, to jest to w dużej mierze uniezależnienie się od łańcuchów dostaw spoza kraju.

Oczywiście nie chodzi o to, żeby stać się technologiczną wyspą. Na ten moment chyba tylko Stany Zjednoczone mogą w pewnych obszarach powiedzieć, że nie potrzebują nikogo innego. Pozostałe kraje są w jakimś stopniu powiązane. Patrząc na to, jak wiele kompetencji wytwórczych w Europie w ciągu ostatnich lat przeniosło się poza Europę i jak bardzo ten trend się pogłębia, trudno pominąć znaczenia elementu  suwerenności technologicznej jako ważnego elementu w strategii każdego państwa.

Ostatnio geopolityka nie tylko nas dogoniła, ale bardzo mocno wciągnęła w swoje zależności. Z tej perspektywy widać, jak wiele strategicznych błędów popełniła Europa.

Czy jest jakiś spektakularny przykład?

Na pewno jest to motoryzacja. W pogoni za krótkoterminowym zyskiem Europa przeniosła do Chin ogromną część swoich kompetencji i technologii. Teraz konsekwencje tych decyzji są coraz bardziej widoczne. Firmy motoryzacyjne i dostawcy z tego sektora mówią o zwolnieniach, redukcjach i wygaszaniu produkcji.

Podobne procesy obserwujemy w innych sektorach. W Wielkiej Brytanii trwa dyskusja wokół ostatniej huty, która obsługuje cały proces produkcyjny – od wydobycia rudy do gotowego wyrobu – i która jest zamykana. W Portugalii sprzedawane są aktywa energetyczne chińskim inwestorom.

Utrata kompetencji wytwórczych to coś więcej niż utrata przewagi technologicznej. Kraje, które tracą własne zdolności produkcyjne, tracą też odporność strategiczną. Stają się rynkiem zbytu.

Dobrym przykładem są panele fotowoltaiczne. Ta technologia powstała przecież w Europie. W ciągu kilku lat chińscy producenci, korzystając z bardzo silnego wsparcia swojego państwa i niskich cen, praktycznie wyeliminowali europejskich producentów z rynku.

Przejdźmy więc do energetyki. W Polsce mamy już miliony inteligentnych liczników. Czy można technicznie udowodnić, że nie ma w nim tzw. backdoora, czyli mechanizmu umożliwiającego nieautoryzowany dostęp?

Jeżeli chcielibyśmy to rzeczywiście zweryfikować, konieczne byłoby bardzo szczegółowe badanie urządzeń. Nie tyle próbek dostarczonych przez producenta, ale losowo wybranych urządzeń z rzeczywistych dostaw.

Cała strategia związana z bezpieczeństwem powinna zaczynać się od weryfikacji producenta, technologii i całego łańcucha dostaw.

Czyli problemem jest nie tylko samo urządzenie, ale również brak systemu, który pozwalałby je zweryfikować?

Dokładnie. W Polsce nie ma systemu certyfikacji urządzeń IoT wykorzystywanych w infrastrukturze krytycznej. Nie ma krajowej jednostki, która kompleksowo prowadziłaby taką certyfikację. Nie ma też odpowiedniej metodologii, standardów ani wytycznych określających, jakie elementy powinny być sprawdzane.

Każdy operator systemu dystrybucyjnego deklaruje, że weryfikuje urządzenia we własnym zakresie. Tyle, że jeżeli nie ma wspólnych wytycznych, trudno ocenić, jak te badania rzeczywiście wyglądają.

Czy ten problem dotyczy tylko Polski?

Nie tylko, ale niektóre państwa europejskie podeszły do niego znacznie bardziej systemowo. Niemcy są dobrym przykładem.

Tam dostawca liczników musi uzyskać odpowiednie dopuszczenia i certyfikację BSI – Federalnego Urzędu ds. Bezpieczeństwa Informacji. Duże firmy energetyczne dodatkowo sprawdzają konstrukcję urządzeń i weryfikują, czy elementy znajdujące się w certyfikowanych próbkach odpowiadają tym, które trafiają później do rzeczywistych dostaw.

Niemcy zastosowali też inne rozwiązanie. Rozdzielili funkcję pomiarową licznika od jego „inteligencji”, czyli komunikacji i zarządzania danymi. Te zaawansowane funkcje realizują specjalne bramki komunikacyjne, których producenci muszą uzyskać certyfikację.

Na ten moment certyfikację taką posiada zaledwie kilka firm, w większości niemieckich. Uzyskanie jej wymaga ogromnych nakładów i bardzo szczegółowej weryfikacji.

W Polsce ten obszar został w dużej mierze pozostawiony bez takich wymagań.

A jak wygląda sytuacja z innymi urządzeniami w sieci energetycznej?

Problem jest jeszcze większy. Oprócz inteligentnych liczników mamy w Polsce ponad dwa miliony prosumentów i ogromną liczbę inwerterów. Większość z nich jest produkcji chińskiej. Te urządzenia też nie były systemowo badane pod kątem cyberbezpieczeństwa. Co więcej, duża część z nich pracuje w chmurach, często chińskich i wykorzystuje otwarte łącza serwisowe.

To oznacza, że mamy ogromną liczbę urządzeń podłączonych do systemu energetycznego, które mogą komunikować się z zewnętrzną infrastrukturą, a jednocześnie nie mamy jednolitego systemu certyfikacji i kontroli.

Czy skoordynowany atak na dużą liczbę liczników i inwerterów mógłby zagrozić stabilności systemu energetycznego?

To właściwie pytanie retoryczne. Dopóki jednak taki scenariusz się nie wydarzy, nikt nie będzie w stanie dokładnie określić jego skali.

Faktem jest natomiast, że mamy około 7 milionów inteligentnych liczników, z których część ma niejasne pochodzenie, a znaczna część jest produkcji chińskiej.

Do tego dochodzą miliony inwerterów i trudna do oszacowania liczba innych urządzeń sterujących, zabezpieczających i komunikacyjnych.

Jeżeli te urządzenia zbierają i raportują dane i mają funkcje umożliwiające zdalne sterowanie (w przypadku LZO włączanie, wyłączanie, sterowanie mocą  i in.) , to oczywiście pojawia się pytanie, jakie byłyby konsekwencje skoordynowanego oddziaływania na dużą liczbę takich urządzeń jednocześnie – i czy jako państwo mamy dziś wystarczającą kontrolę nad tym ryzykiem.

Załóżmy jednak, że dojdzie do zmasowanego cyberataku na setki tysięcy urządzeń IoT. Co mogłoby się wtedy wydarzyć? Czy mielibyśmy do czynienia z lokalnym problemem, czy potencjalnie nawet z blackoutem?

To pytanie do operatorów systemu i specjalistów zajmujących się bezpieczeństwem energetycznym. Nie chciałbym spekulować. Istnieje jednak ciekawa analogia literacka – powieść Blackout Marca Elsberga. Ten thriller przedstawia fikcyjny, ale realistyczny scenariusz ataku na urządzenia IoT, prowadzący finalnie do przeciążenia systemu energetycznego i jego całkowitego paraliżu. Oczywiście jest to fikcja literacka, ale pokazuje, jak poważne mogą być konsekwencje długotrwałego zakłócenia dostaw energii.

Faktem jest, że masowy atak na dużą liczbę inteligentnych urządzeń  – czy to sterowników, zabezpieczeń sieciowych, inwerterów, czy liczników – stanowi poważne zagrożenie. Nie wiemy jednak, jak duży byłby jego wpływ na system elektroenergetyczny, ponieważ nie przeprowadzano dotąd testów na rzeczywistą skalę.

Skoro zagrożenie jest realne czy obecne regulacje – przede wszystkim wdrożenie dyrektywy NIS2 – rozwiązują ten problem?

Moim zdaniem nie. NIS2 jest przede wszystkim regulacją administracyjną dotyczącą zarządzania cyberbezpieczeństwem. Mówi o zarządzaniu ryzykiem, obsłudze incydentów, ciągłości działania czy odpowiedzialności kierownictwa.

Nie obliguje natomiast do weryfikowania konkretnych urządzeń IoT, pochodzenia oprogramowania czy firmware’u. Nie wprowadza też obowiązku certyfikacji takich urządzeń.

Dlatego w energetyce dyrektywa NIS2 nie rozwiązuje kluczowego problemu. W wielu obszarach może poprawić bezpieczeństwo, ale przede wszystkim poprzez procedury, raportowanie i zarządzanie incydentami. Nie rozwiązuje problemu tego, co fizycznie podłączamy do infrastruktury krytycznej.

Wróćmy więc do kwestii pochodzenia urządzeń. Czy można mieć pewność, że urządzenie, które deklarowane jest jako europejskie, rzeczywiście zostało zaprojektowane i wyprodukowane w Europie?

Jeżeli nie weryfikujemy całego łańcucha dostaw, nie możemy mieć pewności. Mamy setki tysięcy urządzeń funkcjonujących obecnie w sieci energetycznej  sprzedawanych przez dystrybutorów urządzeń pochodzących od chińskich producentów.

Trzeba sprawdzać nie tylko miejsce montażu urządzenia, ale też m.in. miejsce projektowania i produkcji hardware’u oraz firmware’u. Mamy przypadki, w których urządzenia są produkowane w jednym kraju, firmware powstaje w innym, a urządzenie jest następnie sprzedawane jako produkt europejski.

Jeżeli tego nie weryfikujemy, kupujemy w istocie „black box”. Nie mamy kontroli nad łańcuchem dostaw.

Dlaczego w Polsce od lat nie ma więc systemu certyfikacji takich urządzeń?

To jest temat, który podnoszę od dawna. Myślę, że przez wiele lat po prostu nikt nie był tym wystarczająco zainteresowany.

Unijne regulacje też nie wymagają certyfikacji w takim zakresie. Nie możemy więc powiedzieć, że jest to wyłącznie polska luka w implementacji prawa europejskiego.

Problem polega na tym, że kupujemy coraz bardziej skomplikowane urządzenia elektroniczne i podłączamy je do infrastruktury krytycznej, ale nie mamy odpowiednich narzędzi, instytucji i standardów, żeby sprawdzić ich bezpieczeństwo.

Komisja Europejska zaczęła już jednak reagować. Wprowadziła ograniczenia dotyczące finansowania projektów związanych m.in. z fotowoltaiką, energetyką wiatrową czy magazynowaniem energii, jeśli wykorzystywane są falowniki z państw uznawanych za wysokiego ryzyka. Wśród nich są Chiny. Czy to coś zmienia w Polsce?

Na razie praktycznie nic. Dobrym przykładem jest Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej. Fundusz przekazuje środki publiczne na modernizację i cyfryzację sieci, ale w tych programach nie ma – przynajmniej na tym etapie – odpowiednich wymagań dotyczących cyberbezpieczeństwa, pochodzenia produktów czy obowiązku weryfikacji urządzeń.

W efekcie publiczne pieniądze mogą trafiać do zagranicznych, w tym chińskich, producentów urządzeń wykorzystywanych w naszej infrastrukturze energetycznej.

Jeżeli finansujemy coś z budżetu państwa, czyli z pieniędzy podatników, powinniśmy wymagać, żeby takie inwestycje wzmacniały również polską i europejską gospodarkę.

Nie chodzi tylko o to, żeby produkt był europejski. Powinniśmy wymagać pełnej transparentności łańcucha dostaw, weryfikacji cyberbezpieczeństwa, miejsca produkcji oraz pochodzenia kluczowych elementów.

Dochodzimy do kwestii local content. Państwo zaczęło mówić o preferowaniu lokalnych producentów. Czy to może odwrócić ten trend?

Sam fakt, że Ministerstwo Aktywów Państwowych podniosło ten temat, jest naprawdę bezprecedensowy. To wymagało odwagi oraz determinacji, i jest to na pewno  bardzo dobry krok adresujący kwestie wspierania polskiej gospodarki . Problem polega na tym, że są to rekomendacje, które – przy braku woli działaniai firm decydujących o zamówieniach – są łatwe do obejścia.

W jaki sposób?

Firmy deklarują, że ich właścicielem jest podmiot europejski i że produkcja odbywa się w Europie. Tymczasem te miejsca często są jedynie hubami przeładunkowymi dla gotowych urządzeń. Innym sposobem jest rejestrowanie firmy na terenie Europy i występowanie w przetargach jako przedsiębiorstwo europejskie, podczas gdy rzeczywiste miejsce produkcji i pochodzenie oferowanych urządzeń nie jest weryfikowane.

Co więcej, ostatnie wytyczne Ministerstwa Aktywów Państwowych wprowadziły kategorię beneficjenta rzeczywistego, czyli podmiotu, który faktycznie czerpie korzyści z działalności danej firmy. Szybko okazało się, że chińskie firmy, które wcześniej były właścicielami niewielkich spółek kupionych w Europie w celu dystrybucji gotowych urządzeń, zaczęły przenosić własność tych podmiotów do Singapuru. Kraj jest sygnatariuszem umów wzajemnych z UE, co formalnie pozwala spełnić wytyczne MAP.

W ten sposób zaciera się rzeczywiste pochodzenie kapitału i produktów.

Co w takim razie powinno się zmienić w publicznych przetargach, żeby zwiększyć nasze bezpieczeństwo?

To pytanie przede wszystkim do operatorów systemów energetycznych, bo oni wiedzą, gdzie występują największe ryzyka.

Mogę natomiast powiedzieć, że absolutnie konieczna jest weryfikacja technologii, którą kupujemy i instalujemy w infrastrukturze krytycznej, oraz zapewnienie jej pełnej transparentności.

Musimy wiedzieć, skąd pochodzi urządzenie, gdzie został wyprodukowany hardware, gdzie powstało oprogramowanie, firmware i pozostałe kluczowe komponenty oraz gdzie odbywa się generacja i przechowywanie kluczy dostępowych. Ale to nie wystarczy. Musimy wiedzieć też, kto kontroluje oprogramowanie, kto ma dostęp do urządzenia i danych, kto zarządza kluczami szyfrującymi i kto może zdalnie ingerować w system. Dopiero pełna wiedza o pochodzeniu całego rozwiązania pozwala określić, jakie ryzyka rzeczywiście ponosimy. Kluczowe jest także wykluczenie produktów i technologii z krajów uznawanych za państwa wysokiego ryzyka.

Czy w przetargach energetycznych nadal wygrywa cena?

Cena jest głównym kryterium wyboru ofert, również w dużych, publicznych przetargach prowadzonych przez operatorów systemów dystrybucyjnych. A jeżeli najważniejszym kryterium jest cena, trudno jednocześnie mówić o cyberbezpieczeństwie, odporności i suwerenności technologicznej.

Co więc musi się zmienić?

Przede wszystkim musimy przestać zwracać uwagę wyłącznie na cenę zakupu urządzenia. Powinniśmy uwzględniać bezpieczeństwo, odporność, pochodzenie technologii i możliwość kontroli całego łańcucha dostaw. Jeżeli tego nie zrobimy, będziemy nadal kupować tańsze urządzenia, które w krótkim terminie obniżają koszty inwestycji, ale w długim terminie zwiększają nasze uzależnienie technologiczne.

Europa nie ma już czasu na odkładanie tego problemu. Kompetencje wytwórcze znikają bardzo szybko, a ich odbudowa jest znacznie trudniejsza niż ich utrzymanie.

W jaki sposób inne państwa próbują ograniczać udział chińskich technologii?

Europa stosuje różne rozwiązania. Dobrym przykładem jest Francja. Tam chińskie urządzenia praktycznie nie są instalowane. Wprowadzono rozwiązania konstrukcyjne i regulacyjne, które powodują, że do określonej infrastruktury pasują urządzenia spełniające bardzo konkretne wymagania. W przypadku liczników konstrukcja systemu została opracowana w taki sposób, że mogą być w nim stosowane urządzenia francuskich producentów.

Polska mogłaby zastosować podobne rozwiązania?

Istnieje zawsze taka możliwość. Potrzebna jest do tego przede wszystkim determinacja polityczna, ale również przełożenie tych decyzji na spółki Skarbu Państwa, które są głównymi graczami na rynku energetycznym.

W tych spółkach musi powstać świadomość, że kontrola zaczyna się od pełnej transparentności technologii. Niedopuszczanie podmiotów spoza Europejskiego Obszaru Gospodarczego (EOG) do infrastruktury krytycznej jest wyrazem należytej staranności, a nie przejawem dyskryminacji wykonawców. Zarządy i menedżerowie publicznych spółek powinny być z tego rzetelnie rozliczane.

Powiedział pan kiedyś: „Kto kontroluje technologię, ten kontroluje infrastrukturę”. Kto dziś kontroluje polską infrastrukturę?

To pytanie przede wszystkim do specjalistów i operatorów. Nadal podtrzymuję swoją tezę: ten, kto faktycznie tworzy technologię, ten ją kontroluje.

Jeżeli nie mamy w Polsce systemu certyfikacji, precyzyjnych wytycznych dotyczących projektowania urządzeń i oprogramowania oraz skutecznej weryfikacji tego, co znajduje się w urządzeniach, a jednocześnie dopuszczamy do dostaw podmioty, których technologii nie potrafimy zweryfikować, to odpowiedź na pytanie, kto kontroluje technologię, staje się retoryczna.

Wróćmy do ceny. O ile droższe są europejskie urządzenia od chińskich?

Mówi się o około 20-procentowym poziomie subsydiów bezpośrednich i pośrednich dla chińskich firm, które rekompensują im część kosztów produkcji eksportowanej. To już samo w sobie tworzy bardzo dużą przewagę cenową.  W swoich najnowszych raportach  OECD ostrzega, że ekspansja chińskich firm odbywa się głównie dzięki dotacjom rządowym a ich wielkość sięga 3 proc. w relacji do przychodów firm – sześciokrotnie więcej niż w Europie.  To jest nieuczciwy doping – jak w sporcie.

I jest jeszcze kwestia wzajemności. Nie znam przykładów europejskich firm , które skutecznie weszła w sektor elektroniki w Chinach i utrzymała się tam w dłuższym okresie. To praktycznie niemożliwe.

Dlaczego jest to dla nas groźne?

Bo jeżeli raz stracimy dany segment rynku, stracimy też kompetencje technologiczne w konkretnym obszarze, później praktycznie nie da się ich odbudować. Wówczas firmy chińskie będą mogły zrobić w zasadzie wszystko, ponieważ nie będą miały już realnej konkurencji. Dobrym przykładem są Węgry. Tam w wielu obszarach dostawy są już praktycznie zdominowane przez firmy chińskie, ponieważ wcześniej wyeliminowano lokalne firmy.

Dotyczy to produkcji elektroniki, urządzeń, ale również zaplecza badawczo-rozwojowego. A część tych technologii ma charakter dual-use – kompetencje rozwijane na potrzeby cywilne mogą mieć zastosowanie w obszarze bezpieczeństwa i obronności.

Wojna nie musi dziś wyglądać jak klasyczny konflikt zbrojny. Może być poprzedzona cyberatakiem na infrastrukturę krytyczną. Czy doświadczenia Ukrainy pokazują, że powinniśmy brać taki scenariusz pod uwagę?

Przykład Ukrainy pokazuje, że przed fizycznym atakiem może dojść do serii ataków na infrastrukturę krytyczną.

Dlatego bezpieczeństwo infrastruktury trzeba dziś rozumieć szerzej. Nie chodzi tylko o ochronę fizyczną czy systemy informatyczne, ale również o urządzenia IoT, które są podłączone do infrastruktury i jednocześnie mają możliwości komunikacyjne.

Czy zwiększenie udziału krajowych producentów i wymiana urządzeń na te pochodzące ze sprawdzonych źródeł mogłyby ograniczyć takie ryzyko?

Spójna polityka dotycząca bezpieczeństwa infrastruktury krytycznej zawsze je minimalizuje. Taka polityka powinna obejmować nie tylko oprogramowanie i systemy informatyczne, ale także urządzenia IoT, które są obecnie szczególnie wrażliwe, ponieważ mają moduły komunikacyjne i są podłączone do sieci.

Problem polega na tym, że takiej spójnej polityki w Polsce nie mamy. I dotyczy to nie tylko energetyki. Podobne problemy występują w infrastrukturze wodociągowej czy ciepłowniczej. Tam również mamy dużą liczbę sterowników i urządzeń IoT.

Ataki na systemy ciepłownicze pokazują, jak wrażliwe są takie urządzenia. Spójna polityka państwa i instytucji odpowiedzialnych za bezpieczeństwo mogłaby w dużej mierze ograniczyć te ryzyka.

Czy według Pana państwo traktuje ten problem wystarczająco poważnie?

Obawiam się, że nie. Patrząc na kalendarz wyborczy i na to, czym żyje obecnie debata publiczna, temat strategicznego, długofalowego bezpieczeństwa infrastruktury krytycznej schodzi na dalszy plan. Reagujemy tylko w sytuacji kryzysu czy pojedynczego ataku.

Sami widzimy, jak jesteśmy podatni na zagrożenia. Ostatnie ataki na infrastrukturę krytyczną z grudnia 2025, czy masowy wyciek danych wrażliwych milionów Polaków jasno pokazują, jak bardzo te zagrożenia są realne.

Czy nie jest więc za późno na zmiany?

Są obszary, w których zaawansowanie technologiczne i skala wymiany urządzeń są bardzo duże, ale najważniejsze jest teraz zatrzymanie tego procesu.

Nie możemy dopuszczać do tego, aby bieżące inwestycje i kolejne przetargi dalej pogłębiały nasze uzależnienie technologiczne. To są decyzje, które możemy podjąć  natychmiast.

Dlatego uważam, że rekomendacje Ministerstwa Aktywów Państwowych i inicjatywa dotycząca local content są krokiem we właściwym kierunku. Natomiast za tym musi pójść determinacja w stosowaniu tych zasad w przetargach, szczególnie w odniesieniu do infrastruktury krytycznej.