Przemysł na celowniku: cyberataki, regulacje i nowa odpowiedzialność zarządów

Sektor produkcyjny należy dziś do najczęściej atakowanych. Co druga firma przemysłowa na świecie doświadczyła w ciągu ostatniego roku incydentu związanego z bezpieczeństwem systemów OT, a w 60 proc. przypadków ataki dotyczyły jednocześnie środowisk IT i OT – wynika z raportu Fortinet. Wraz z nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC) wiele przedsiębiorstw przemysłowych w Polsce zostaje objętych przepisami dotyczącymi infrastruktury krytycznej. W efekcie firmy znajdują się pod rosnącą presją z dwóch stron – cyberprzestępców i regulatorów – a dla wielu z nich jest to zupełnie nowa rzeczywistość.

Dyrektywa NIS2, wdrażana w Polsce poprzez ustawę o KSC, wprowadza kategorie podmiotów kluczowych i ważnych, czyli organizacji o istotnym znaczeniu dla funkcjonowania państwa i gospodarki. Podlegają one dodatkowym obowiązkom w zakresie m.in. zarządzania ryzykiem, raportowania cyberincydentów oraz zwiększonej odpowiedzialności kadry zarządzającej.
W wyniku tych zmian coraz więcej firm przemysłowych jest traktowanych jako elementy ekosystemu bezpieczeństwa gospodarczego kraju, a cyberbezpieczeństwo przestaje być wyłącznie domeną działów IT i staje się obszarem o znaczeniu strategicznym dla funkcjonowania przedsiębiorstwa. Raport Fortinet o stanie technologii operacyjnej i cyberbezpieczeństwa za rok 2025 wskazuje, że już 52 proc. firm powierzyło nadzór nad bezpieczeństwem środowisk OT dyrektorom odpowiedzialnym za obszar cyberbezpieczeństwa w przedsiębiorstwie. W 2022 roku ten wskaźnik wynosił zaledwie 16 proc.

Wyzwania na styku technologii

Równolegle rośnie skala i złożoność środowisk przemysłowych oraz ich znaczenie dla ciągłości działania firm. – Przemysł przyspiesza transformację cyfrową, rozwijając automatyzację procesów, wdrażając analitykę danych i integrując systemy produkcyjne z IT. Jednocześnie w wielu zakładach nowe rozwiązania funkcjonują obok technologii sprzed kilkunastu, a nawet kilkudziesięciu lat – mówi Joanna Chmielak, Enterprise Sales Manager w firmie Fortinet. – Niemal co piąte przedsiębiorstwo na świecie używa systemów przemysłowych, które liczą od 11 do 30 lat. W praktyce oznacza to konieczność zabezpieczania środowisk, które łączą nowoczesne i przestarzałe technologie, co znacząco utrudnia skuteczne zarządzanie ryzykiem.

Konsekwencje tej złożoności są już dziś wyraźnie widoczne. 42 proc. firm w raporcie Fortinet przyznało, że cyberataki miały bezpośredni wpływ na ich przychody, a niemal co drugie przedsiębiorstwo doświadczyło związanych z incydentami przestojów w produkcji. Wszystkie te czynniki – rosnąca liczba zagrożeń, presja regulacyjna oraz coraz większe przenikanie środowisk IT i OT w przemyśle – sprawiają, że cyberbezpieczeństwo nie może być traktowane jako dodatkowa warstwa ochrony. Musi stać się integralnym elementem architektury systemów i procesów, uwzględnianym już na etapie ich projektowania i wdrażania. Oznacza to odejście od modelu działania bazującego wyłącznie na narzędziach na rzecz budowania solidnych fundamentów i kompleksowej wiedzy o środowisku, jego strukturze i zależnościach.

Podstawowe zasady dla firm przemysłowych

Punktem wyjścia jest zapewnienie pełnej widoczności infrastruktury. Z raportu Fortinet wynika, że wraz ze wzrostem dojrzałości cyberbezpieczeństwa maleje odsetek firm deklarujących pełną kontrolę nad środowiskami OT, a trzy przedsiębiorstwa na pięć oceniają ją obecnie na poziomie około 75 proc. Kolejnym krokiem jest segmentacja sieci, która pozwala ograniczyć rozprzestrzenianie się incydentów między poszczególnymi obszarami środowiska. Coraz większego znaczenia nabiera także podejście bazujące na zasadzie zerowego zaufania (Zero Trust), w którym każdy użytkownik i każde urządzenie podlegają weryfikacji przed uzyskaniem dostępu do zasobów.

Jednocześnie skuteczna ochrona środowisk przemysłowych nie jest wyłącznie wyzwaniem technologicznym. – W wielu organizacjach kluczową barierą pozostaje brak współpracy między zespołami IT i OT, różnice w sposobie ich funkcjonowania oraz ograniczona wymiana wiedzy. W efekcie nawet najlepsze rozwiązania nie przynoszą oczekiwanych rezultatów. Dlatego budowanie cyberodporności wymaga nie tylko integracji systemów, ale także jasnego podziału ról, współpracy oraz integracji kompetencji w ramach całej organizacji – tłumaczy Joanna Chmielak.

Ekspertka Fortinet wskazuje także, że firmy w Polsce znajdują się w dobrym momencie, aby wprowadzać zasadnicze zmiany wzmacniające ich poziom cyberochrony. – Transformacja cyfrowa przemysłu w kraju przebiega stopniowo, dlatego nie obserwujemy jeszcze wyzwań, które ujawniły się już na najbardziej zaawansowanych rynkach, gdzie wdrażanie technologii często wyprzedza zdolność firm do jej właściwego zabezpieczania. To daje polskim przedsiębiorstwom wyjątkową możliwość, aby od początku projektować środowiska z uwzględnieniem cyberbezpieczeństwa jako ich podstawowej części, a nie elementu dodawanego dopiero na późniejszym etapie.

Codzienny test odporności

Największą zmianą, z jaką mierzy się dziś przemysł, nie jest sama transformacja technologiczna, lecz zmiana jego roli w gospodarce i systemie bezpieczeństwa. Wraz z rosnącą zależnością od systemów cyfrowych i znaczeniem dla łańcuchów dostaw, przedsiębiorstwa produkcyjne stają się elementem infrastruktury krytycznej – zarówno w wymiarze operacyjnym, jak i regulacyjnym.

W tym kontekście cyberbezpieczeństwo przestaje być wyłącznie kwestią zapobiegania incydentom. Coraz częściej jego skuteczność mierzona jest zdolnością do szybkiego przywrócenia ciągłości działania. Potwierdzają to wyniki raportu Fortinet: już 46 proc. firm ocenia swoje przygotowanie właśnie przez pryzmat czasu potrzebnego na powrót do funkcjonowania w pełnym wymiarze.