Cyberbezpieczny Wodociąg – jak zabezpieczyć systemy OT/ICS i skorzystać z dofinansowania w 2025 roku?

Infrastruktura wodociągowa coraz częściej staje się celem cyberataków, a skutki incydentu mogą dotknąć nie tylko IT, ale również procesów technologicznych. Dlatego program „Cyberbezpieczny Wodociąg” ma pomóc wodociągom i samorządom podnieść poziom cyberbezpieczeństwa systemów OT/ICS. Poniżej znajdziesz krótkie wyjaśnienie, dlaczego to ważne, jak zwykle wygląda projekt oraz jakie działania dodatkowo wchodzą w zakres modernizacji.

Dlaczego OT/ICS w wodociągach to newralgiczny punkt?

Systemy OT/ICS (Operational Technology / Industrial Control Systems) sterują fizycznymi procesami w wodociągach – od pomp i zaworów po stacje uzdatniania wody. Dzięki nim infrastruktura działa automatycznie, często bez stałego nadzoru człowieka, a operatorzy widzą parametry pracy w systemach typu SCADA.

Jednocześnie jednak te same środowiska są narażone na cyberataki. Przejęcie kontroli nad sterownikiem PLC lub systemem SCADA może oznaczać przestój, ryzyko awarii, a w skrajnym scenariuszu także zagrożenie ciągłości dostaw oraz poważne straty finansowe i wizerunkowe. Co istotne, wiele instalacji rozwijało się latami, dlatego bezpieczeństwo bywa nierówne i wymaga uporządkowania.

Na czym polega program „Cyberbezpieczny Wodociąg”?

To konkurs finansowany z Krajowego Planu Odbudowy (KPO), którego celem jest wzmocnienie cyberbezpieczeństwa infrastruktury wodociągowej. Ponadto w praktyce program ma wspierać projekty, które łączą działania organizacyjne, technologiczne i kompetencyjne.

• Zwiększenie cyberbezpieczeństwa OT/ICS – uporządkowanie architektury i ograniczenie ryzyka incydentów.
• Wdrożenie dobrych praktyk bezpieczeństwa – standardy dostępu, segmentacja, monitoring, zarządzanie zmianą.
• Wzmocnienie kompetencji personelu – szkolenia oraz procedury reagowania na incydenty.

Nabór wniosków: według założeń – czerwiec/lipiec 2025 (ok. 30 dni).

Okres realizacji: według założeń – od 01.01.2025 do 30.06.2026.

Finansowanie: do wysokości pomocy de minimis (koszty netto).

Kto może skorzystać z programu?

• Operatorzy usług kluczowych (np. większe wodociągi).
• Jednostki samorządu terytorialnego prowadzące zakłady wodociągowe.
• Spółki komunalne wykonujące zadania użyteczności publicznej.

Wymagania formalne

• Posiadanie infrastruktury OT/ICS.
• Możliwość skorzystania z pomocy de minimis.
• Projekt obejmujący 3 obszary: organizacyjny, technologiczny i kompetencyjny.

Jak wygląda przykładowa modernizacja?

Wyobraź sobie przepompownię ścieków: poziom cieczy mierzy czujnik, a sterownik PLC automatycznie uruchamia pompę. Całość jest nadzorowana przez SCADA w siedzibie. Jeśli dostęp do takiego środowiska zostanie przejęty przez osobę nieuprawnioną, może dojść do nieprawidłowych nastaw, awarii lub zatrzymania procesu. Dlatego modernizacja zwykle zaczyna się od ograniczenia zdalnych wejść, uporządkowania dostępów i podziału sieci na strefy.

Jakie działania kwalifikują się do dofinansowania?

W praktyce projekty obejmują zestaw prac, które podnoszą bezpieczeństwo „od podstaw”, a jednocześnie nie blokują działania technologii. Warto też pamiętać, że najczęściej są to działania z obszaru dostępu, sieci, monitoringu oraz utrzymania.

• Ograniczenie zdalnego dostępu – domknięcie RDP/VNC/paneli WWW, a tam gdzie trzeba: wystawienie usług wyłącznie przez bezpieczny kanał.
• VPN z MFA i restrykcjami – dostęp przez VPN z MFA, ograniczeniami IP oraz zasadą najmniejszych uprawnień.
• Segmentacja sieci przemysłowej – podział na strefy i VLAN-y, kontrola komunikacji oraz separacja od sieci biurowej.
• Monitoring i detekcja anomalii – analiza ruchu, logowanie zdarzeń i wykrywanie nietypowych aktywności.
• Zarządzanie kontami i dostępem – silne hasła, MFA, rejestr działań, przeglądy uprawnień, procesy nadawania i odbierania dostępów.
• Aktualizacje i utrzymanie OT – plan aktualizacji, kontrola zmian, minimalizacja „długów” technologicznych.
• Współpraca z CSIRT i n6 – procedury zgłoszeń i kontaktu, gotowość operacyjna na incydent.
• Zabezpieczenie transmisji – m.in. prywatne sieci APN tam, gdzie są połączenia rozproszone.

Trzy obszary projektu: organizacja, technologia, kompetencje

Wymóg trzech obszarów warto potraktować jako zaletę, bo dzięki temu projekt nie kończy się na sprzęcie. Najpierw porządkuje się zasady i odpowiedzialności, następnie wzmacnia technologię, a na końcu utrwala nawyki oraz procedury.

• Organizacyjny – polityki dostępu, procedury zmian, zasady pracy serwisowej, wymagania dla dostawców oraz plan reagowania na incydenty.
• Technologiczny – segmentacja, bezpieczny zdalny dostęp, monitoring, logowanie, wzmocnienie punktów krytycznych oraz ograniczenie powierzchni ataku.
• Kompetencyjny – szkolenia dla personelu technicznego i użytkowników, ćwiczenia z incydentów, checklisty operacyjne i proste standardy „na co dzień”.

Jak InfraPulse może pomóc?

Możemy wesprzeć projekt od strony technicznej: od oceny stanu i ryzyk po plan działań oraz wdrożenia. Co ważne, w OT/ICS liczy się podejście etapowe, dlatego priorytetyzujemy prace tak, aby podnieść bezpieczeństwo bez ryzyka przestojów. Jeśli chcesz zobaczyć, jak pracujemy w tym obszarze, sprawdź naszą usługę cyberbezpieczeństwa, w ramach której realizujemy audyty i wdrożenia zabezpieczeń także dla środowisk OT/ICS.

• Audyt cyberbezpieczeństwa OT/ICS – ocena stanu zabezpieczeń i lista priorytetów.
• Rekomendacje i plan – konkretne kroki z uzasadnieniem ryzyka oraz wpływu na proces.
• Wdrożenia i szkolenia – działania technologiczne i kompetencyjne w spójnej całości.

Zgodność z NIS2

Działania realizowane w ramach programu często pokrywają się z obowiązkami wynikającymi z dyrektywy NIS2: zarządzaniem ryzykiem, zabezpieczeniem sieci, monitoringiem, kontrolą dostępu oraz współpracą z zespołami reagowania (CSIRT). W rezultacie jeden projekt może jednocześnie wzmocnić środowisko i uporządkować wymagania regulacyjne.

Materiały i dobre praktyki

Jeśli chcesz pogłębić temat OT/ICS, warto opierać się na sprawdzonych podejściach. Poniższe materiały pomagają uporządkować podstawy architektury bezpieczeństwa oraz podejścia do ryzyka.

• CISA – zasoby dla ICS (OT/ICS)
• NIST Cybersecurity Framework – podejście do zarządzania ryzykiem
• CERT Polska – ostrzeżenia i informacje o zagrożeniach

Nie czekaj na incydent – zabezpiecz swoje OT, zanim ktoś inny je przejmie.