Kontrola Najwyższej Izby Kontroli wykazała poważne niedociągnięcia w zakresie cyberbezpieczeństwa u operatorów usług kluczowych. Żaden z ośmiu skontrolowanych podmiotów nie zapewnił odpowiedniego poziomu ochrony systemów wykorzystywanych do świadczenia kluczowych usług, a u sześciu stwierdzono nieprawidłowości w zarządzaniu ryzykiem oraz monitorowaniu i reagowaniu na cyberzagrożenia.
Szczególnie wymowny okazał się przypadek jednego z operatorów, gdzie alerty o utracie łączności z elementami infrastruktury IT pozostawały bez reakcji przez ponad 578 dni. NIK odnotowała również przypadek nieobsłużonego krytycznego incydentu związanego z wyciekiem hasła pracownika.
Problem staje się coraz bardziej istotny wraz ze wzrostem liczby incydentów. Krajowe zespoły CSIRT obsłużyły w 2025 r. niemal 273 tys. incydentów cyberbezpieczeństwa, o 144,4 proc. więcej niż rok wcześniej. Oznacza to, że statystycznie do incydentu w polskiej cyberprzestrzeni dochodziło średnio co dwie minuty. W przypadku infrastruktury krytycznej skutki takich zdarzeń mogą wykraczać poza sferę cyfrową i bezpośrednio wpływać na procesy fizyczne. Potwierdzają to wyniki globalnego raportu Fortinet „2026 State of Operational Technology and Cybersecurity Report”: 46 proc. respondentów wskazało przestój operacyjny wpływający na przychody jako skutek naruszenia bezpieczeństwa, a 43 proc. – przestój stwarzający ryzyko dla bezpieczeństwa fizycznego.
Z raportu Fortinet wynika, że niemal co czwarta firma obejmuje monitoringiem jedynie około połowę zasobów przemysłowych, a pełną widoczność swoich systemów OT deklaruje zaledwie 14 proc. przedsiębiorstw. Tymczasem taka wiedza pozwala skutecznie segmentować sieć, kontrolować dostęp i ograniczać możliwość przemieszczania się atakujących pomiędzy jej poszczególnymi obszarami.
Widoczność środowiska to fundament, który musi następnie zostać połączona ze zdolnością do rzeczywistego reagowania na to, co dzieje się w systemach, podkreślają eksperci Fortinet. W tym obszarze ustalenia NIK są szczególnie wymowne: sześciu z ośmiu kontrolowanych operatorów systemowo nie zapewniało właściwego monitorowania i reagowania na alerty, a w jednym przypadku komunikaty o braku łączności z elementami infrastruktury IT były ignorowane przez ponad 578 dni. Kontrola wykazała również przypadek nieobsłużonego krytycznego incydentu związanego z wyciekiem hasła pracownika.
Monitoring sam w sobie nie zwiększa odporności – musi być elementem procesu, który zapewnia ocenę znaczenia alertów, przypisanie odpowiedzialności i podjęcie działań we właściwym czasie. Co ważne, czas ten kurczy się coraz bardziej. Analizy FortiGuard Labs z 2026 roku wskazują, że w przypadku krytycznych zagrożeń, czas od ujawnienia podatności do jej wykorzystania wynosi obecnie 24-48 godzin. We wcześniejszych latach było to średnio 4,76 dnia.
Według Jolanty Malak, dyrektorki regionalnej Fortinet, budowanie odporności cyfrowej infrastruktury krytycznej wymaga traktowania cyberbezpieczeństwa jako elementu zarządzania całym przedsiębiorstwem, a nie wyłącznie zadania dla działów IT. Firma zwraca uwagę na konieczność stosowania zasad Secure by Design, czyli uwzględniania wymogów bezpieczeństwa już na etapie projektowania systemów i procesów.
