Interpelacja w sprawie bezpieczeństwa liczników zdalnego odczytu

Biłgoraj, 4.10.2024 r.

Szanowna Pani Ministro,

cyfrowa transformacja sektora energetycznego niesie ogromne szanse, ale także zagrożenia związane z koniecznością zapewnienia cyberbezpieczeństwa państwa. Istotnym elementem mającym wpływ na powyższe są liczniki zdalnego odczytu.

• Krajowy System Elektroenergetyczny (KSE) jest w trakcie transformacyjnych zmian, których kluczowym elementem są inteligentne sieci.
• Wszyscy klienci OSD (Operatorzy Systemów Dystrybucyjnych) tj. 18 milionów gospodarstw domowych zostaną opomiarowani licznikami zdalnego odczytu (licznikami inteligentnymi) wyposażonymi w moduł komunikacyjny oraz człon wykonawczy umożliwiający wyłączenie zasilania klienta.
• Z zainstalowanych do tej pory ok. 4 mln urządzeń ponad połowa pochodzi spoza EOG od dostawców niezweryfikowanych pod kątem cyberbezpieczeństwa. Ponadto wiele komponentów składowych liczników niezależnie od ich montażu końcowego jest dostarczanych spoza EOG.
• Zdalne lub zaplanowane zakłócenie pracy liczników inteligentnych może wywołać rozległe awarie energetyczne w sieciach dystrybucyjnych.
• W Polsce brakuje regulacji i specyfikacji w zakresie cyberbezpieczeństwa liczników inteligentnych stosowanych w sektorze energii elektrycznej oraz podmiotów prowadzących badania i certyfikację liczników dostarczanych do OSD, co stanowi poważne zagrożenie dla stabilności i bezpieczeństwa całego systemu.
• Istnieje pilna potrzeba działania ze strony polskiego rządu i powołanych do tego celu instytucji i służb, aby stworzyć optymalne warunki dla transformacji energetycznej, która wymaga bezpiecznej, odpornej na cyfrowe zagrożenia infrastruktury energetycznej.

Liczniki smart mają wiele niezaprzeczalnych zalet, jednak ich dodatkowe funkcje niosą także pewne zagrożenia:

• umożliwiają rejestrację, przechowywanie i transfer szczegółowych danych o zużyciu energii elektrycznej;
• dostarczają OSD informacji m.in. o jakości zasilania, napięciu i natężeniu prądu w PPE (punktach poboru energii elektrycznej);
• dzięki wbudowanemu stycznikowi umożliwiają zdalne odłączenie klienta od dostaw energii elektrycznej – ryzyko ataku wykorzystującego oscylacje obciążenia przy masowym odłączeniu odbiorców i w efekcie - destabilizację krajowej sieci energetycznej;
• mogą dostarczyć informacji służących do profilowania odbiorców - ryzyko naruszenia prywatności klienta.

Jednym z największych i niezaadresowanych obecnie w Polsce ryzyka w kontekście liczników inteligentnych jest atak na łańcuch dostaw – możliwość zaszycia złośliwych funkcji (niekoniecznie przez producenta licznika) w licznikach dostarczanych operatorom systemów dystrybucyjnych (OSD).

Złośliwe funkcje mogą występować w postaci np. backdoor’ów (luka w zabezpieczeniach systemu) lub bomb logicznych zaimplementowanych w oprogramowaniu układowym poszczególnych chipset’ów licznika podczas procesu produkcyjnego elementów składowych urządzenia m.in. przez poddostawców.

Może to potencjalnie umożliwiać nieuprawniony dostęp do danych przesyłanych z i do licznika lub jego funkcji, nieuprawnione odłączenie klientów, potencjalne uszkodzenie lub wyłączenie licznika, a także atak na inne elementy systemu.

Według przeprowadzonej przez ekspertów cybersecurity analizy łańcuch dostaw to najsłabiej chroniony obszar w produkcji liczników.

W związku z powyższym uprzejmie proszę o odpowiedź na pytania:

1. Czy ministerstwo planuje wprowadzenie schematów oraz określenie podmiotów certyfikujących dla komponentów AMI (Advanced Metering Infrastructure), w tym w szczególności liczników inteligentnych?

2. Czy ministerstwo planuje wprowadzenie przepisów regulujących lub wykluczających dostawców wysokiego ryzyka z rynku liczników inteligentnych?

3. Czy będą wspólne porozumienia OSD w zakresie bezpieczeństwa komponentów AMI?

4. Czy ministerstwo planuje wprowadzenie zasady obligatoryjnego podziału dostarczanych w ramach przetargów urządzeń?

5. Czy ministerstwo planuje opracowanie metodyki i narzędzi testowania wymagań bezpieczeństwa?

6. Czy ministerstwo planuje wprowadzenie ścisłych regulacji prawnych określających odpowiedzialność dostawców za zabezpieczenie łańcucha dostaw?

7. Czy jest w planach Nowelizacja Prawa Zamówień Publicznych w zakresie pochodzenia produktu?

8. Czy są rekomendacje pełnomocnika ds. cyberbezpieczeństwa dotyczące dostawców wysokiego ryzyka w obszarze inteligentnych liczników energii?

9. Czy jest brane pod uwagę wprowadzenie zmiany ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), obejmująca m.in.:

• wymaganie wdrożenie przez dostawców rozwiązań pomiarowych dla energetyki Systemu Zarządzania Bezpieczeństwem Informacji (SZBI);
• realizacja ściśle określonych wymagań bezpieczeństwa przez dostawców rozwiązań pomiarowych dla energetyki;
• wymóg audytów zgodności z UKSC w akredytowanych jednostkach certyfikujących lub upoważnionych podmiotach?

10. Czy planowane jest zarekomendowanie pełnomocnika rządu ds. cyberbezpieczeństwa, aby w krajowym systemie energetycznym nie stosować urządzeń lub oprogramowania pochodzących spoza Europejskiego Obszaru Gospodarczego?

Z poważaniem

Małgorzata Gromadzka