Energia pod Ochroną – NIS2, CER. Nowe podejście do ciągłości działania

Od ochrony infrastruktury do budowania odporności

Miałem przyjemność uczestniczyć w konferencji „Energia pod Ochroną – cyberbezpieczeństwo w gazownictwie i energetyce” oraz wziąć udział
w panelu ekspertów poświęconym bezpieczeństwu infrastruktury krytycznej. Było to wydarzenie szczególnie interesujące, ponieważ odbywa się w momencie istotnej zmiany regulacyjnej dla sektora energetycznego i gazowniczego.

4 lipca 2026 r. wchodzą w życie przepisy wdrażające dyrektywę CER (Critical Entities Resilience).

Dla wielu organizacji może to być kolejna regulacja do wdrożenia.
W rzeczywistości jednak mamy do czynienia ze zmianą znacznie głębszą – zmianą sposobu myślenia o bezpieczeństwie.

Przez lata koncentrowaliśmy się głównie na ochronie infrastruktury, systemów i zasobów.
Dziś coraz częściej stawiane jest inne pytanie:

Czy organizacja będzie w stanie utrzymać świadczenie usług krytycznych mimo cyberataku, awarii technicznej, błędu człowieka, problemów w łańcuchu dostaw lub innych zakłóceń?

To właśnie ta zmiana perspektywy wydaje się najważniejszym skutkiem nowych przepisów.

Utrzymanie ciągłości dostaw a cyfrowe bliźniaki

Spotkania takie jak to dają mi możliwość uporządkowania wiedzy i spojrzenia z odpowiedniej perspektywy na zagadnienia znajdujące się na styku wielu dziedzin – cyberbezpieczeństwa, automatyki przemysłowej, zarządzania ryzykiem, niezawodności oraz transformacji cyfrowej.

Podczas panelu moderator, Michał Zdunowski, zadał mi pytanie:

„Gdzie projektowe podejście do bezpieczeństwa, modelowanie zagrożeń i cyfrowe bliźniaki realnie zmniejszają ryzyko w systemach automatyki przemysłowej, a gdzie nadal pozostają bardziej obietnicą niż
powszechną praktyką?”

Pytanie wydało mi się szczególnie interesujące, ponieważ miałem okazję obserwować rozwój tego podejścia przez niemal dwie dekady.

Mój pierwszy projekt związany z technologią, którą dziś nazwalibyśmy cyfrowym bliźniakiem, realizowany był już w 2006 roku dla BP w Wielkiej Brytanii. Jego celem było wsparcie ciągłości pracy infrastruktury naftowej oraz przewidywanie parametrów jakościowych ropy po rozładunku. Już wtedy kluczową wartością nie była sama wizualizacja procesu, ale możliwość wcześniejszego przewidywania skutków podejmowanych decyzji.

Kolejnym ważnym doświadczeniem był projekt realizowany dla Rolls-Royce w Derby w 2012 roku, związany
z rozwojem silnika Trent 1000. W tym przypadku możliwość przewidywania zachowania komponentów
i potencjalnych awarii była krytyczna nie tylko dla niezawodności, ale również bezpieczeństwa eksploatacji.

Podobne podejście obserwujemy również w sektorze energetycznym. Jednym z przykładów jest projekt realizowany w Elektrowni Łagisza należącej do Taurona, przy którym miałem możliwość dostarczać narzędzia symulacyjne wspierające analizę pracy instalacji. Tego typu inicjatywy pokazują, że największą wartością nie jest sam model cyfrowy, lecz możliwość zrozumienia zależności, przewidywania skutków zdarzeń oraz podejmowania lepszych decyzji zanim problem wystąpi w rzeczywistości.

To właśnie dlatego w kontekście nowych wymagań związanych z NIS2 i CER coraz bardziej interesuje mnie nie tyle ochrona pojedynczych systemów, ile zdolność organizacji do przewidywania zakłóceń i utrzymania ciągłości działania w warunkach niepewności.

Czym właściwie jest cyfrowy bliźniak?

Pojęcie cyfrowego bliźniaka pojawia się dzisiaj bardzo często, jednak nadal bywa mylone z automatyką przemysłową, systemami SCADA czy klasycznymi rozwiązaniami monitorującymi.

Najprościej mówiąc, cyfrowy bliźniak jest cyfrową reprezentacją rzeczywistego produktu, urządzenia, procesu lub instalacji, która pozwala nie tylko obserwować aktualny stan, ale również przewidywać zachowanie systemu w zmieniających się warunkach pracy.

To ważne rozróżnienie.

Automatyka przemysłowa odpowiada za sterowanie procesem i utrzymanie jego bieżących parametrów. PLC, DCS czy SCADA mają zapewnić prawidłową pracę instalacji „tu i teraz.”

Cyfrowy bliźniak odpowiada natomiast na inne pytania:

• Co stanie się po zmianie parametrów pracy?
• Jakie będą skutki określonej awarii?
• Jak zmieni się trwałość urządzenia przy nowym sposobie eksploatacji?
• Jak wpłyną na instalację zmieniające się warunki środowiskowe?
• Jakie decyzje warto podjąć zanim pojawi się problem?

To przejście od sterowania procesem do wspierania decyzji.

Warto również podkreślić rolę symulacji. Symulacja pozwala organizacjom zdobywać doświadczenie bez ponoszenia kosztów rzeczywistych błędów. Pozwala trenować operatorów, testować scenariusze awaryjne, analizować skutki zmian technologicznych oraz budować kompetencje w środowisku kontrolowanym.
W wielu przypadkach właśnie możliwość bezpiecznego eksperymentowania oraz uczenia się na bazie symulacji stanowi największą wartość biznesową.

Przez wiele lat cyfrowe bliźniaki kojarzyły się głównie z dużymi projektami realizowanymi przez największe organizacje świata. W praktyce jednak obserwujemy dziś zupełnie inny kierunek rozwoju.

Coraz częściej tego typu rozwiązania dotyczą pojedynczych urządzeń, komponentów lub konkretnych problemów technicznych.

Przykładem mogą być nowoczesne przepływomierze i urządzenia pomiarowe wykorzystywane
w energetyce czy gazownictwie. Dzięki wykorzystaniu modeli matematycznych i danych eksploatacyjnych mogą one wspierać instalatorów i użytkowników poprzez:

• automatyczne uwzględnianie zmieniających się warunków pracy,
• wprowadzanie współczynników korekcyjnych,
• analizę wpływu zmian parametrów instalacji na dokładność pomiarów,
• przewidywanie trwałości urządzenia,
• ocenę ryzyka błędów pomiarowych.

To również forma cyfrowego bliźniaka.

Nie mówimy więc wyłącznie o wielomilionowych projektach realizowanych przez koncerny energetyczne. Coraz częściej są to rozwiązania dostępne dla producentów armatury, urządzeń pomiarowych, integratorów czy firm zajmujących się utrzymaniem ruchu.

Cyberbezpieczeństwo zaczyna się wcześniej niż myślimy

W trakcie konferencji dużo mówiono o ochronie infrastruktury krytycznej, jednak warto pamiętać, że bezpieczeństwo nie zaczyna się dopiero po uruchomieniu systemu.

Coraz większą rolę odgrywa bezpieczeństwo na etapie projektowania produktów, urządzeń
i oprogramowania.

W tym kontekście niezwykle interesujący jest rozwój metod analizy bezpieczeństwa oprogramowania stosowanych już na etapie projektowania i wytwarzania produktów cyfrowych. Technologie rozwijane między innymi przez Synopsys od wielu lat znajdują zastosowanie w analizie podatności, jakości kodu oraz ocenie ryzyka w całym cyklu życia oprogramowania.

Jest to dobry przykład tego, jak bezpieczeństwo przesuwa się coraz bardziej „w lewo” procesu projektowego. Podobnie jak w przypadku projektowego podejścia do bezpieczeństwa infrastruktury, celem staje się identyfikowanie problemów zanim trafią one do środowiska produkcyjnego.

Jednocześnie nowe wymagania związane z NIS2 i CER obejmują coraz większą część łańcucha dostaw. Odpowiedzialność za bezpieczeństwo, niezawodność i odporność nie kończy się na operatorze infrastruktury. Obejmuje również producentów urządzeń, dostawców oprogramowania oraz integratorów technologii.

Od reagowania na incydenty do przewidywania skutków

Jednym z najciekawszych wątków konferencji była dyskusja na temat modelowania zagrożeń oraz projektowego podejścia do bezpieczeństwa.

Tradycyjnie wiele organizacji inwestowało przede wszystkim w środki ochrony i reagowanie na incydenty. Tymczasem nowe regulacje oraz rosnąca złożoność infrastruktury powodują, że coraz większego znaczenia nabiera umiejętność przewidywania skutków potencjalnych zdarzeń.

W przypadku infrastruktury krytycznej pytania nie powinny ograniczać się wyłącznie do:

• Czy może dojść do ataku?
• Czy istnieje podatność?
• Czy system spełnia wymagania regulacyjne?

Równie ważne stają się pytania:

• Jakie będą skutki utraty komunikacji?
• Co stanie się w przypadku awarii kluczowego elementu procesu?
• Które zależności pomiędzy systemami są najbardziej krytyczne?
• Jak długo organizacja będzie mogła działać w warunkach zakłócenia?

To właśnie takie spojrzenie coraz częściej będzie decydować o zdolności przedsiębiorstw
do funkcjonowania w świecie rosnącej niepewności.

Największym wyzwaniem może okazać się edukacja

Im dłużej uczestniczę w projektach związanych z transformacją cyfrową, cyberbezpieczeństwem
i infrastrukturą krytyczną, tym bardziej przekonuję się, że największym wyzwaniem nie jest technologia.

Największym wyzwaniem jest zrozumienie.

NIS2, CER, cyberbezpieczeństwo, ciągłość działania, zarządzanie ryzykiem, automatyka przemysłowa, infrastruktura krytyczna, cyfrowe bliźniaki i transformacja cyfrowa tworzą dziś jeden z najbardziej interdyscyplinarnych obszarów, z jakimi miałem do czynienia w swojej karierze zawodowej.

Spotykają się tutaj:

• inżynierowie,
• automatycy,
• formatycy,
• specjaliści cyberbezpieczeństwa,
• prawnicy,
• eksperci odpowiedzialni za zgodność regulacyjną,
• zarządy i kadra menedżerska,
• operatorzy infrastruktury,
• dostawcy technologii.

Każda z tych grup posługuje się własnym językiem, posiada własne cele i własną perspektywę patrzenia na ryzyko.

Nowe regulacje dodatkowo przesuwają odpowiedzialność za bezpieczeństwo z poziomu działów technicznych na poziom zarządów i najwyższego kierownictwa organizacji. Rozmowa o cyberbezpieczeństwie staje się rozmową o odpowiedzialności, zarządzaniu ryzykiem, decyzjach inwestycyjnych, kulturze organizacyjnej i przyszłości przedsiębiorstwa.

Dlatego tak istotna staje się edukacja i budowanie wspólnego języka pomiędzy wszystkimi uczestnikami tego procesu.

Bez tego bardzo łatwo stworzyć współczesną wersję wieży Babel — organizację, w której każdy specjalista doskonale rozumie własny obszar odpowiedzialności, ale nikt nie rozumie całości problemu.

Skuteczne wdrożenie wymagań NIS2 i CER będzie wymagało nie tylko nowych technologii, procesów
i narzędzi. Będzie wymagało przede wszystkim ludzi, którzy potrafią ze sobą rozmawiać, rozumieją wzajemne zależności oraz potrafią budować wspólną wizję bezpieczeństwa, odporności i ciągłości działania organizacji.

Energetyka i gazownictwo w nowej rzeczywistości

Sektor energetyczny i gazowniczy należy do obszarów szczególnie silnie dotkniętych zmianami technologicznymi, geopolitycznymi i regulacyjnymi.

Cyfryzacja procesów, integracja systemów, rosnąca liczba zależności pomiędzy operatorami, dostawcami usług oraz partnerami technologicznymi sprawia, że granica pomiędzy cyberbezpieczeństwem, bezpieczeństwem operacyjnym i zarządzaniem ciągłością działania staje się coraz mniej wyraźna.

Jednocześnie oczekiwania regulatorów rosną. Organizacje muszą nie tylko zabezpieczać swoje systemy, ale również wykazywać zdolność do utrzymania świadczenia usług kluczowych w warunkach zakłóceń.

To wyzwanie techniczne, organizacyjne i biznesowe jednocześnie.

Odporność jako nowy element przewagi konkurencyjnej

W mojej ocenie jedną z najważniejszych obserwacji wyniesionych z konferencji jest fakt, że odporność organizacyjna przestaje być wyłącznie elementem zgodności z regulacjami.

Coraz częściej staje się czynnikiem wpływającym na konkurencyjność przedsiębiorstwa.

Jedno jest pewne – o przyszłej pozycji rynkowej przedsiębiorstw będzie decydować nie tylko efektywność operacyjna, ale przede wszystkim zdolność do utrzymania ciągłości działania, szybkiego reagowania na zakłócenia, przewidywania ich skutków oraz świadomego zarządzania ryzykiem w coraz bardziej złożonym otoczeniu.

To właśnie te kompetencje będą odróżniać organizacje przygotowane na przyszłość od tych, które pozostaną skupione wyłącznie na spełnianiu minimalnych wymagań regulacyjnych.

Dziękuję za inspirujące rozmowy

Dziękuję Izbie Gospodarczej Gazownictwa za zaproszenie do udziału w konferencji oraz panelu ekspertów.

Dziękuję również wszystkim uczestnikom i rozmówcom za wartościowe dyskusje, wymianę doświadczeń
i liczne inspiracje. Jestem przekonany, że temat odporności infrastruktury krytycznej, ciągłości działania oraz zarządzania ryzykiem będzie jednym z najważniejszych zagadnień dla sektora energetycznego
i gazowniczego w najbliższych latach.

Mam nadzieję, że rozpoczęte podczas konferencji rozmowy będziemy kontynuować również
w przyszłości. Przed sektorem energetycznym i gazowniczym stoi wiele wyzwań, ale również wyjątkowa szansa na budowanie organizacji, które będą nie tylko bezpieczniejsze, ale również bardziej odporne, przewidywalne i lepiej przygotowane na świat rosnącej niepewności.