Interpelacja w sprawie przygotowania sektora energetycznego do zagrożeń sabotażowych i cyberataków oraz zapewnienia ciągłości dostaw energii i ciepła

Szanowny Panie Ministrze,

na podstawie art. 14 ust. 1 pkt 7 ustawy o wykonywaniu mandatu posła i senatora kieruję do Pana Ministra interpelację w sprawie odporności sektora energetycznego na sabotaż i cyberataki oraz przygotowania państwa do zapewnienia ciągłości dostaw energii elektrycznej i ciepła.

Bezpieczeństwo energetyczne wymaga ochrony przed działaniami mogącymi zakłócić pracę elektrowni, elektrociepłowni, sieci i systemów sterowania. Zagrożenia te należy rozpatrywać w kontekście wojny za naszą wschodnią granicą oraz możliwości prowadzenia działań destabilizujących bez otwartego użycia sił zbrojnych.

Opisane przez CERT Polska ataki na podmioty sektora energetycznego pokazują, że zagrożenie dotyczy również urządzeń przemysłowych i możliwości ingerencji w działanie infrastruktury. Nawet jeżeli konkretny atak nie doprowadził do przerwania dostaw, konieczne jest sprawdzenie, dlaczego napastnik uzyskał dostęp, jakie zabezpieczenia zadziałały i czy ujawnione słabości zostały usunięte.

Przerwy w dostawach energii i ciepła mogą mieć bezpośrednie konsekwencje dla życia i zdrowia mieszkańców. Od sprawności energetyki zależy funkcjonowanie szpitali, wodociągów, placówek opiekuńczych, transportu i łączności. Szczególnie poważne skutki mogą wystąpić w okresie niskich temperatur oraz przy równoczesnym zakłóceniu kilku podstawowych usług.

Nie do przyjęcia byłaby sytuacja, w której po rozpoznaniu zagrożenia państwo poprzestaje na przekazaniu operatorom ogólnych zaleceń, nie sprawdzając ich wykonania. Odpowiedzialność administracji obejmuje nadzór pozostający w jej kompetencjach, koordynację działań i weryfikację przygotowania na sytuacje awaryjne. Samo posiadanie planu ciągłości działania nie dowodzi, że możliwe jest szybkie przywrócenie usług.

Obywatele mają prawo wiedzieć, czy operatorzy i instytucje publiczne przećwiczyli współdziałanie, czy zabezpieczono potrzeby najbardziej narażonych odbiorców oraz kto odpowiada za usuwanie stwierdzonych braków.

W związku z powyższym proszę o odpowiedzi na następujące pytania:

1. Jakie najważniejsze zagrożenia sabotażowe i cyberzagrożenia zidentyfikowano dla sektora energetycznego? Jakie działania zapobiegawcze przypisano do poszczególnych kategorii ryzyka?

2. Jakie konkretne rozwiązania wdrożono w celu ochrony systemów sterowania przemysłowego oraz infrastruktury niezbędnej do dostaw energii elektrycznej i ciepła?

3. Czy po rozpoznanych atakach przeprowadzono przegląd zabezpieczeń podmiotów sektora? Ilu operatorów objęto weryfikacją i jakie najważniejsze braki stwierdzono w ujęciu zbiorczym?

4. Jakie zalecenia wynikające z analiz incydentów zostały wykonane, a które pozostają niezrealizowane? Kto odpowiada za sprawdzenie ich wdrożenia i usunięcie opóźnień?

5. Czy oceniono ryzyko równoczesnego ataku na kilka elementów systemu energetycznego oraz jego dostawców? Jak uwzględniono zależności między energetyką, ciepłownictwem, wodociągami i łącznością?

6. Jak ograniczono ryzyko związane ze zdalnym dostępem serwisowym, dostawcami oprogramowania i urządzeń oraz podmiotami zewnętrznymi obsługującymi infrastrukturę?

7. Jak zapewniono całodobowe reagowanie i współpracę operatorów z zespołami CSIRT, służbami oraz administracją odpowiedzialną za ochronę ludności?

8. Ile praktycznych ćwiczeń odtwarzania usług po cyberataku lub sabotażu przeprowadzono w ostatnich trzech latach? Czy obejmowały one uszkodzenie urządzeń fizycznych, utratę łączności i niedostępność zewnętrznego serwisu?

9. Czy sprawdzono możliwość pracy w trybie awaryjnym oraz przywrócenia sterowania i dostaw? Jakie zbiorcze wyniki uzyskano i czy ujawnione problemy zostały usunięte?

10. Jak określono priorytety utrzymania lub przywracania dostaw do szpitali, wodociągów, placówek opiekuńczych i innych usług niezbędnych dla mieszkańców? Czy te zasady uzgodniono z właściwymi instytucjami?

11. Jak przygotowano przekazywanie mieszkańcom informacji o awarii, przewidywanym czasie jej trwania i dostępnej pomocy, także przy zakłóceniach Internetu oraz telefonii?

12. Czy plany awaryjne uwzględniają długotrwałe przerwy w dostawach ciepła podczas niskich temperatur? Jak uzgodniono współpracę operatorów z organami ochrony ludności w celu ochrony osób szczególnie narażonych?

13. Jakie środki publiczne przeznaczono na zwiększenie odporności sektora i jakie efekty potwierdzają ich skuteczne wykorzystanie? Proszę odróżnić wydatki poniesione od inwestycji dopiero zaplanowanych.

14. Czy kontrole wykazały niewykonanie zaleceń, nieprzetestowane plany awaryjne lub inne zaniedbania? Jakie działania naprawcze oraz konsekwencje podjęły właściwe organa w zakresie swoich kompetencji?

15. Jakie mierzalne cele poprawy odporności i skrócenia czasu przywracania usług wyznaczono na najbliższe miesiące? Kto odpowiada za ich wykonanie i kiedy zostanie przedstawione jawne rozliczenie rezultatów?

Proszę o odpowiedź oddzielnie na każde pytanie, ze wskazaniem stanu realizacji działań, terminów, finansowania i odpowiedzialnych instytucji.

Pytania dotyczą informacji możliwych do przedstawienia w zakresie jawnym, w szczególności zbiorczych wyników kontroli i ćwiczeń. Nie dotyczą ujawniania lokalizacji słabości ani konfiguracji zabezpieczeń. Jeżeli część odpowiedzi podlega ochronie prawnej, proszę wskazać podstawę ograniczenia i udzielić odpowiedzi w pozostałym zakresie.

Z poważaniem
Olga Semeniuk-Patkowska