Niniejszy artykuł poświęcono analizie scenariusza utraty ciągłości działania infrastruktury wodociągowo-kanalizacyjnej oraz wynikających z niego skutków prawnych. Analiza została oparta na scenariuszu cyberataku na przedsiębiorstwo wodociągowo-kanalizacyjne będące operatorem infrastruktury krytycznej, którego następstwem jest kilkudniowe przerwanie dostaw wody przeznaczonej do spożycia przez ludzi. Na wstępie należy zaznaczyć, że przedstawiony scenariusz ma charakter wyłącznie hipotetyczny i został opracowany na potrzeby analizy naukowej. Opisane zdarzenia nie odnoszą się do żadnego konkretnego przedsiębiorstwa wodociągowo-kanalizacyjnego ani rzeczywistego incydentu. Przyjęty scenariusz służy wyłącznie zobrazowaniu możliwości zastosowania obowiązujących regulacji prawnych w przypadku wystąpienia cyberataku na infrastrukturę wodociągowo-kanalizacyjną, ze szczególnym uwzględnieniem obowiązków przedsiębiorstwa oraz właściwych organów administracji publicznej.
Zgodnie z art. 5 ust. 1 ustawy z dnia 7 czerwca 2001 r. o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków, przedsiębiorstwo wodociągowo-kanalizacyjne jest obowiązane zapewnić zdolność posiadanych urządzeń do realizacji dostaw wody i odprowadzania ścieków, dostawy wody w wymaganej ilości i pod odpowiednim ciśnieniem, a także świadczenie usług w sposób ciągły i niezawodny oraz należytą jakość dostarczanej wody i odprowadzanych ścieków. Z perspektywy niniejszego rozdziału szczególne znaczenie ma obowiązek świadczenia tych usług w sposób ciągły i niezawodny. To właśnie naruszenie ciągłości świadczenia usług stanowi punkt wyjścia do analizy przedstawionego scenariusza oraz wynikających z niego konsekwencji prawnych.
Wydaje się jednak, że zasada ciągłości i niezawodności świadczenia usług jest w orzecznictwie traktowana w sposób rygorystyczny, a możliwość odstąpienia od niej ma charakter wyjątkowy. Jak wskazał Wojewódzki Sąd Administracyjny w Białymstoku: „Zasadą jest zatem ciągłość i niezawodność usług przedsiębiorstwa wodociągowo-kanalizacyjnego, a kwestie odcięcia dostaw wody i zamknięcia przyłącza kanalizacyjnego uregulowane zostały w ustawie (…), zaś norma upoważniająca (…) nie wprowadziła dopuszczalności rozszerzenia (…) przypadków ustawowych przerwania ciągłości usług.”[1]
Aby rozpocząć analizę przyjętego scenariusza, należy założyć wystąpienie incydentu w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, a więc zdarzenia, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Przyjmijmy, że grupa hakerska przeprowadziła skuteczny cyberatak na system teleinformatyczny przedsiębiorstwa wodociągowo-kanalizacyjnego, przejmując kontrolę nad systemami odpowiedzialnymi za zarządzanie procesem uzdatniania oraz dystrybucji wody. Jak wskazuje J. Pudzianowski, „infrastruktura krytyczna jest narażona na cyberataki przeprowadzane zarówno przez początkujących, jak i wysoce wyspecjalizowanych cyberprzestępców, którzy mogą doprowadzić do zakłócenia jej funkcjonowania”. Autor podkreśla również, że systemy OT mają bezpośredni wpływ na procesy technologiczne, dlatego skuteczny atak na tę infrastrukturę może prowadzić do zakłócenia ciągłości świadczenia usług[2]. Jak wskazują Barbara Tchórzewska-Cieślak, Józef Roman Rak i Michał Rożnowski: „Odpowiedź na występujące ataki wymaga opracowanego planu działania, nowoczesnych zabezpieczeń, odpowiedniego doświadczenia oraz umiejętności[3]” W wyniku ataku doszło do zakłócenia funkcjonowania infrastruktury, którego następstwem było całkowite przerwanie dostaw wody na kilka dni dla mieszkańców średniej wielkości miasta. „Ochrona systemów dystrybucji wody zarówno przed cyberatakami, jak i atakami fizycznymi jest niezbędna dla zapewnienia integralności oraz ciągłości funkcjonowania tych kluczowych systemów[4]”.Zagrożenia tego rodzaju należy rozpatrywać również w szerszym kontekście działań hybrydowych, których cechą jest wykorzystywanie różnych metod i środków oddziaływania. Jak wskazuje Łukasz Skoneczny, działania hybrydowe łączą „metody, formy oraz środki charakterystyczne dla złożonych działań militarnych i niemilitarnych[5]”. W przypadku infrastruktury krytycznej oznacza to, że zagrożenie może być realizowane z wykorzystaniem środków niemilitarnych, a jego skutki mogą bezpośrednio wpływać na bezpieczeństwo państwa oraz funkcjonowanie ludności.
W analizowanym przypadku należy przyjąć, że zdarzenie to stanowi incydent poważny w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, ponieważ prowadzi do przerwania ciągłości świadczenia usługi przez podmiot kluczowy, a jednocześnie wywołuje istotne skutki dla odbiorców usług. Brak dostępu do wody oddziałuje bowiem nie tylko na mieszkańców, lecz również na funkcjonowanie podmiotów leczniczych, placówek oświatowych, organów administracji publicznej oraz przedsiębiorców prowadzących działalność wymagającą stałego dostępu do wody, w szczególności zakładów produkcyjnych i przedsiębiorstw z branży spożywczej. W konsekwencji skutki incydentu wykraczają poza sferę działalności samego przedsiębiorstwa wodociągowo-kanalizacyjnego i obejmują funkcjonowanie całej społeczności lokalnej.
Mając na uwadze przedstawiony stan faktyczny, należy uznać, że opisane zdarzenie spełnia przesłanki sytuacji kryzysowej określonej w ustawie o zarządzaniu kryzysowym. Zgodnie z jej definicją sytuacją kryzysową jest sytuacja wpływająca negatywnie na poziom bezpieczeństwa ludzi, mienia w znacznych rozmiarach lub środowiska, powodująca znaczne ograniczenia w działaniu właściwych organów administracji publicznej ze względu na nieadekwatność posiadanych sił i środków lub zakłócenia w obsłudze tych organów. W analizowanym scenariuszu wielodniowe przerwanie dostaw wody oddziałuje bezpośrednio na bezpieczeństwo mieszkańców oraz możliwość zaspokajania ich podstawowych potrzeb życiowych. Jednocześnie powoduje konieczność podjęcia działań przez właściwe organy administracji publicznej oraz służby odpowiedzialne za zarządzanie kryzysowe, których zadaniem będzie ograniczenie skutków zdarzenia oraz przywrócenie ciągłości dostaw wody.
Oznacza to, że ten sam cyberatak stanowi jednocześnie incydent poważny w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa oraz sytuację kryzysową w rozumieniu ustawy o zarządzaniu kryzysowym, uruchamiając równolegle mechanizmy przewidziane w obu aktach prawnych. By zachować przejrzystość analizy, w pierwszej kolejności należy omówić przedstawiony scenariusz na gruncie ustawy o krajowym systemie cyberbezpieczeństwa, ponieważ to jej przepisy znajdują zastosowanie bezpośrednio po wystąpieniu incydentu. Zgodnie z art. 11 ustawy o KSC podmiot kluczowy jest zobowiązany do zapewnienia obsługi incydentu oraz dokonania jego klasyfikacji jako incydentu poważnego, jeżeli spełnia on ustawowe progi uznania za taki incydent.
W analizowanym scenariuszu pracownicy przedsiębiorstwa wodociągowo-kanalizacyjnego odpowiedzialni za obsługę systemu sterującego procesem zaopatrzenia w wodę stwierdzają utratę możliwości zarządzania tym systemem wskutek cyberataku, co prowadzi do przerwania dostaw wody dla odbiorców. W związku z tym dokonują klasyfikacji zdarzenia jako incydentu poważnego. Następnie, zgodnie z art. 11 ust. 1 pkt 4 ustawy o KSC, są zobowiązani do przekazania właściwemu CSIRT sektorowemu wczesnego ostrzeżenia o incydencie poważnym niezwłocznie, nie później jednak niż w ciągu 24 godzin od momentu jego wykrycia. W sektorze zaopatrzenia w wodę właściwym zespołem jest CSIRT INFRASTRUKTURA, utworzony przez ministra właściwego do spraw infrastruktury. Podmiot kluczowy niezwłocznie po wykryciu oraz zakwalifikowaniu zdarzenia jako incydentu poważnego przekazał właściwemu sektorowemu zespołowi reagowania na incydenty bezpieczeństwa komputerowego (CSIRT INFRASTRUKTURA) wczesne ostrzeżenie o incydencie. Do zadań tego zespołu należy przede wszystkim koordynacja działań związanych z obsługą incydentów cyberbezpieczeństwa w sektorach pozostających we właściwości ministra właściwego do spraw infrastruktury, w tym w sektorze zaopatrzenia w wodę przeznaczoną do spożycia przez ludzi. Specjalizacja sektorowego CSIRT pozwala uwzględnić specyfikę funkcjonowania infrastruktury wodociągowo-kanalizacyjnej oraz zapewnić wsparcie dostosowane do charakteru zagrożeń występujących w tym sektorze[6]. W literaturze branżowej podkreśla się, że jednym z elementów należytego przygotowania operatora jest współpraca z krajowymi i sektorowymi zespołami reagowania na incydenty. Jak wskazuje J. Pudzianowski: „Warto nawiązać roboczą współpracę z krajowymi i sektorowymi zespołami CSIRT oraz przygotować kanały komunikacji na wypadek incydentu.” Autor dodaje również, że „integracja z krajowymi systemami zgłaszania (w tym S46) upraszcza formalności i skraca czas reakcji”, natomiast „uzgodnione kontakty alarmowe, szablony zgłoszeń i wcześniejsze testy łączności ograniczą chaos w kryzysie” [7].
Kolejnym obowiązkiem podmiotu kluczowego jest poinformowanie użytkowników świadczonych usług o incydencie poważnym, jeżeli wywiera on niekorzystny wpływ na ich świadczenie. W analizowanym scenariuszu przesłanka ta niewątpliwie została spełniona, ponieważ cyberatak doprowadził do całkowitego przerwania dostaw wody dla mieszkańców miasta. Odbiorcy usług powinni zostać niezwłocznie poinformowani o zaistniałym zdarzeniu, jego przewidywanych skutkach oraz – w miarę możliwości – przewidywanym czasie usunięcia awarii i przywrócenia ciągłości dostaw.
Podmiot kluczowy może wykorzystać wszelkie skuteczne kanały komunikacji umożliwiające szybkie dotarcie do odbiorców. W praktyce będą to przede wszystkim oficjalna strona internetowa przedsiębiorstwa, media społecznościowe, lokalne środki masowego przekazu, systemy powiadamiania SMS, aplikacje mobilne oraz komunikaty przekazywane za pośrednictwem właściwych organów administracji publicznej. W mojej ocenie szybkie i rzetelne przekazanie informacji ma istotne znaczenie nie tylko z punktu widzenia ochrony odbiorców usług, lecz również ograniczania dezinformacji oraz zapobiegania powstawaniu nieuzasadnionej paniki wśród mieszkańców. Pogląd ten znajduje potwierdzenie w literaturze, w której podkreśla się, że operatorzy infrastruktury krytycznej powinni przekazywać społeczeństwu informacje w sposób szybki, wiarygodny i przejrzysty, wykorzystując różnorodne kanały komunikacji. Pozwala to ograniczyć niepewność odbiorców oraz zwiększa zaufanie do działań podejmowanych przez operatora[8]. Obecnie, wskazane kanały komunikacji stanowią podstawowe narzędzia wykorzystywane przez przedsiębiorstwa wodociągowo-kanalizacyjne do przekazywania odbiorcom informacji o zakłóceniach w świadczeniu usług, planowanych przerwach oraz występujących awariach. Przedsiębiorstwa wodociągowo-kanalizacyjne, jako podmioty realizujące zadania o charakterze użyteczności publicznej, mają wysoką świadomość znaczenia sprawnej komunikacji z odbiorcami świadczonych usług. W praktyce wykorzystują różnorodne kanały informacyjne, umożliwiające szybkie przekazywanie komunikatów dotyczących awarii, planowanych przerw w dostawach wody czy innych zdarzeń wpływających na ciągłość świadczenia usług.
W opisywanym scenariuszu należy również podkreślić znaczenie właściwego zespołu reagowania na incydenty bezpieczeństwa komputerowego. Po otrzymaniu zgłoszenia incydentu poważnego rola CSIRT nie ogranicza się wyłącznie do jego zarejestrowania. Zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa właściwy CSIRT podejmuje działania zmierzające do koordynacji obsługi incydentu, prowadzi jego analizę oraz wspiera podmiot kluczowy w ograniczaniu skutków cyberataku. W literaturze podkreśla się, że podstawową rolą zespołów CSIRT jest nie tylko analiza incydentów, lecz również koordynacja wymiany informacji pomiędzy uczestnikami systemu cyberbezpieczeństwa oraz zapewnienie wsparcia eksperckiego podmiotom obsługującym incydent[9]. Jeżeli incydent wywołuje lub może wywołać skutki również na terytorium innych państw członkowskich Unii Europejskiej, właściwy CSIRT przekazuje za pośrednictwem Pojedynczego Punktu Kontaktowego informacje o zdarzeniu odpowiednim organom tych państw. Rozwiązanie to ma szczególne znaczenie w przypadku zagrożeń transgranicznych, umożliwiając szybką wymianę informacji o nowych metodach ataku oraz podjęcie działań zapobiegających rozprzestrzenianiu się zagrożenia.
Dzięki specjalistycznej wiedzy oraz doświadczeniu zdobytemu podczas obsługi podobnych incydentów CSIRT jest w stanie wskazać działania, które pozwolą ograniczyć skutki cyberataku oraz przyspieszyć przywrócenie ciągłości świadczenia usług. W badaniach dotyczących funkcjonowania narodowych zespołów reagowania wskazuje się, że skuteczność obsługi incydentów zależy przede wszystkim od sprawnej współpracy pomiędzy zespołem CSIRT a operatorem infrastruktury oraz od szybkiej wymiany informacji technicznych[10].
Istotne znaczenie mają również kompetencje wynikające z art. 32 ustawy o krajowym systemie cyberbezpieczeństwa. Przepis ten umożliwia CSIRT MON, CSIRT NASK oraz CSIRT GOV podejmowanie działań technicznych związanych z analizą zagrożeń oraz koordynacją obsługi incydentów poważnych i krytycznych. W ramach tych działań zespoły mogą zwrócić się do podmiotu kluczowego o przekazanie informacji technicznych niezbędnych do przeprowadzenia analizy incydentu, a także przekazać informacje dotyczące wykrytych podatności oraz sposobów ich usunięcia.
W odniesieniu do przyjętego scenariusza oznacza to, że właściwy CSIRT może wskazać przedsiębiorstwu wodociągowo-kanalizacyjnemu konkretne działania naprawcze. Jeżeli analiza wykaże istnienie innych podatności mogących doprowadzić do kolejnych incydentów, CSIRT może również wystąpić do właściwego organu do spraw cyberbezpieczeństwa z wnioskiem o zobowiązanie przedsiębiorstwa do ich usunięcia w określonym terminie. Rozwiązanie to ma charakter prewencyjny i służy nie tylko usunięciu skutków konkretnego incydentu, lecz również zapobieganiu podobnym zdarzeniom w przyszłości.
Przyjmując, że w następstwie podjętych działań po trzech dniach udało się przywrócić ciągłość dostaw wody, na podmiocie kluczowym nadal ciążą obowiązki sprawozdawcze wynikające z ustawy o krajowym systemie cyberbezpieczeństwa. Zgodnie z art. 12a ustawy podmiot jest zobowiązany do sporządzenia sprawozdania końcowego, które powinno zawierać szczegółowy opis incydentu, wskazanie jego prawdopodobnej przyczyny, opis zastosowanych środków ograniczających ryzyko oraz informacje o ewentualnych skutkach transgranicznych. Jeżeli natomiast obsługa incydentu nie zakończyła się w terminie przewidzianym na złożenie sprawozdania końcowego, podmiot kluczowy przekazuje właściwemu CSIRT sektorowemu sprawozdanie z postępu obsługi incydentu, a po jego zakończeniu – sprawozdanie końcowe w terminie miesiąca od zakończenia działań zgodnie z art. 12b ustawy.
W mojej ocenie obowiązki sprawozdawcze nie powinny być postrzegane wyłącznie jako wymóg formalny wynikający z przepisów ustawy. Sporządzenie szczegółowej analizy przebiegu incydentu umożliwia bowiem identyfikację wykorzystanych podatności, ocenę skuteczności zastosowanych procedur oraz wskazanie działań, które wymagają usprawnienia. W literaturze zwraca się uwagę, że raportowanie incydentów pełni nie tylko funkcję nadzorczą, lecz również umożliwia wyciąganie wniosków z zaistniałych zdarzeń oraz doskonalenie systemów bezpieczeństwa poprzez wykorzystanie zdobytych doświadczeń[11]. W praktyce oznacza to, że doświadczenia zdobyte podczas jednego incydentu mogą zostać wykorzystane do opracowania nowych procedur bezpieczeństwa, aktualizacji planów ciągłości działania oraz podniesienia poziomu przygotowania zarówno przedsiębiorstwa, jak i innych podmiotów infrastruktury krytycznej na podobne zagrożenia. W konsekwencji sprawozdawczość pełni nie tylko funkcję dokumentacyjną, lecz również stanowi istotny element budowania odporności krajowego systemu cyberbezpieczeństwa poprzez wykorzystanie doświadczeń wynikających z rzeczywistych incydentów.
Maciej Dadok
Specjalista ds. Prawnych IGWP
[1] Wyrok Wojewódzkiego Sądu Administracyjnego w Białymstoku z dnia 9 września 2021 r., sygn. akt II SA/Bk 573/21, Legalis nr 2611145
[2] Jarosław Pudzianowski, Cyberbezpieczeństwo infrastruktury krytycznej, Zeszyt Specjalny Izby Gospodarczej „Wodociągi Polskie”, Izba Gospodarcza „Wodociągi Polskie”, Bydgoszcz 2024, s. 9–36.
[3] Tchórzewska-Cieślak B., Rak J.R., Rożnowski M., Bezpieczeństwo systemów wodociągowych w aspekcie zagrożeń w cyberprzestrzeni, „Wodociągi i Kanalizacja” 2024, nr 5, s. 29–34.
[4] F. Rustam, M. Salauddin, U. Saeed, A.D. Jurcut, Dual-Approach Machine Learning for Robust Cyber-Attack Detection in Water Distribution System, [w:] Proceedings of the 14th International Conference on the Internet of Things (IoT 2024), Oulu 2024, s. 248–254, s. 248, DOI: 10.1145/3703790.3703818, [tłum. własne].
[5] Ł. Skoneczny, Wojna hybrydowa – wyzwanie przyszłości? Wybrane zagadnienia, s. 40.
[6] Ministerstwo Cyfryzacji, Nowy sektorowy CSIRT dla transportu i dostępu do wody, 18 lipca 2025 r., https://www.gov.pl/web/baza-wiedzy/nowy-sektorowy-csirt-dla-transportu-i-dostepu-do-wody (dostęp: 9.07.2026 r.).
[7] Jarosław Pudzianowski, Cyberbezpieczeństwo w branży…s. 27.
[8] L. Petersen, L. Fallou, P. Reilly i in., European Expectations of Disaster Information Provided by Critical Infrastructure Operators, International Journal of Information Systems for Crisis Response and Management 2017, nr 9(4), s. 23–48, tłum. własne.
[9] V. Steffensen, V. Gnanasekaran, Information Sharing between the Computer Security Incident Response Team and its Members: An Empirical Study, [w:] NIKT 2024, 2024, s. 3, tłum. własne.
[10] S. R. B. Mohd Kassim, S. Li, B. Arief, Incident Response Practices Across National CSIRTs: Results from an Online Survey, OIC-CERT Journal of Cyber Security 2022, nr 4(1), s. 67–84, tłum. własne.
[11] J. Ruohonen, A Systematic Literature Review on the NIS2 Directive, 2024, s. 12, tłum. własne.
