Interpelacja w sprawie cyberbezpieczeństwa i bezpieczeństwa transportu kolejowego w kontekście problemów z pociągami Impuls produkowanymi przez firmę Newag SA

Szanowny Panie Ministrze,

w związku z ujawnieniem potencjalnych zagrożeń dla infrastruktury krytycznej państwa, związanych z wykryciem mechanizmów celowo wywołujących awarię w systemach sterowania taborem kolejowym firmy Newag, składam niniejszą interpelację dotyczącą działań podejmowanych przez organy państwowe w tej sprawie.

Analizy techniczne wykonane przez ekspertów ds. cyberbezpieczeństwa wskazały na obecność funkcji w kodzie oprogramowania, które ograniczały działanie systemów sterowania w pociągach eksploatowanych przez polskich przewoźników. Prokuratura Regionalna w Krakowie prowadzi śledztwo (sygn. 2004-1.Ds.8.2023), którego celem jest wyjaśnienie tej sprawy. Szczególny niepokój budzi fakt, że wykryte modyfikacje oprogramowania prowadziły do nieplanowanych zatrzymań składów kolejowych firmy Newag na podstawie odczytu bieżącej lokalizacji geograficznej (koordynaty GPS). Awarie były wynikiem zapisów w kodzie oprogramowania.

W kontekście obecnej sytuacji geopolitycznej naszego kraju oraz znaczenia infrastruktury krytycznej (w tym również kolejowej) dla bezpieczeństwa państwa, bezwzględnie konieczne wydaje się kompleksowe wyjaśnienie tych, jak i wszystkich podobnych im incydentów. Szczególnej uwagi wymaga weryfikacja potencjalnych zagrożeń dla ciągłości funkcjonowania transportu kolejowego w czasie krytycznym bądź w chwili zagrożenia oraz wykluczenie ewentualnej możliwości wykorzystania wykrytych podatności przez podmioty zewnętrzne działające na szkodę Polski.

Mając na uwadze powyższe oraz kierując się troską o bezpieczeństwo obywateli i infrastruktury krytycznej państwa oraz działając na podstawie art. 14 ust. 1 pkt 7 ustawy z dnia 9 maja 1996 r. o wykonywaniu mandatu posła i senatora (t.j. Dz. U. z 2022 r. poz. 1339), proszę o udzielenie odpowiedzi na następujące pytania:

1. Śledztwo Prokuratury Regionalnej w Krakowie o sygnaturze 2004-1.Ds.8.2023 prowadzone jest w sprawie awarii pociągów firmy Newag pod kątem art. 269 § 1 K.k., art. 286 § 1 K.k. i art. 287 § 1 K.k. Czy rozważano rozszerzenie kwalifikacji prawnej o art. 165 § 1 pkt 4 K.k. (sprowadzenie niebezpieczeństwa dla życia lub zdrowia wielu osób w związku z zakłóceniem funkcjonowania systemu teleinformatycznego)?
2. Czy powołano niezależnych biegłych do oceny materiału dowodowego, w tym technicznej analizy mechanizmów celowo wywołujących awarię w systemach sterowania pociągów?
3. Czy śledztwo obejmuje ustalenie etapu cyklu produkcji i życia oprogramowania, na którym możliwe było zapisanie kodu celowo wywołującego awarię w systemach sterowania pociągów?
4. Czy w toku śledztwa zidentyfikowano podmioty odpowiedzialne za wprowadzenie mechanizmów ograniczających działanie oprogramowania? Czy rozważane są hipotezy dotyczące ich wykorzystania przez podmioty zagraniczne w działaniach wymierzonych w infrastrukturę krytyczną Polski?

Z wyrazami szacunku

Paulina Matysiak
Posłanka na Sejm RP