CSIRT Energia w PSE: co oznacza dla firm i obowiązków KSC?
30 października 2026 r. Minister Energii Miłosz Motyka i prezes PSE Grzegorz Onichimowski podpisali ważne porozumienie. W rezultacie PSE utworzą CSIRT Energia, co znacząco wzmocni cyberbezpieczeństwo w energetyce.
- Skala nadzoru: Ministerstwo Energii nadzoruje obecnie blisko 1200 podmiotów z całego sektora energii.
- Wzrost zagrożeń: W 2025 r. krajowe zespoły CSIRT obsłużyły 272 941 incydentów, czyli o 144,4% więcej r/r.
- Granica odpowiedzialności: Zespół wesprze koordynację, jednak zarządy firm nadal odpowiadają za własne systemy IT i OT.
- Terminy KSC: Dla podmiotów objętych ustawą od kwietnia 2026 r. termin wdrożenia SZBI mija 3 kwietnia 2027 r.
1. Dlaczego powstaje CSIRT Energia i jak wzmocni cyberbezpieczeństwo w energetyce?
Nowy zespół CSIRT Energia to bezpośrednia odpowiedź państwa na rosnące zagrożenia cyfrowe. Ponadto jest to pierwszy wyspecjalizowany zespół sektorowy dla polskiej energetyki. Jednostka będzie działać w strukturach Polskich Sieci Elektroenergetycznych (PSE).
Ministerstwo Energii nadzoruje w tym obszarze blisko 1200 podmiotów. Obejmuje to elektroenergetykę, ciepłownictwo, gaz, paliwa, wodór, kopaliny oraz inwestycje jądrowe. Z kolei w samej elektroenergetyce ponad połowa mocy wytwórczych to małe źródła rozproszone. Dlatego ochrona przemysłowych systemów sterowania (OT i EMS) decyduje dziś o ciągłości dostaw.
Skalę wyzwań potwierdzają dane rządowe oraz analizy CERT Polska. Na przykład 29 grudnia 2025 r. skoordynowany atak uderzył w co najmniej 30 farm OZE i elektrociepłownię. Atak przerwał łączność z operatorami sieci (OSD), jednak nie zatrzymał samej produkcji energii.
| Wskaźnik lub zdarzenie | Wartość | Znaczenie dla sektora |
|---|---|---|
| Incydenty w krajowych CSIRT (2025 r.) | 272 941 | Dane dla wszystkich branż w Polsce (wzrost o 144,4% r/r). |
| Atak na infrastrukturę z 29.12.2025 r. | ≥ 30 farm OZE | Zerwanie łączności z OSD bez przerwy w dostawach energii i ciepła. |
| Podmioty pod nadzorem ME | Blisko 1200 | Spółki z podsektorów prądu, ciepła, gazu, paliw, wodoru i atomu. |
2. Zakres zadań zespołu a odpowiedzialność zarządu firmy
CSIRT Energia będzie piątym zespołem sektorowym w Polsce. Dołączy tym samym do jednostek CSIRT Cyfra, KNF, Infrastruktura oraz CeZ. W praktyce nowy ośrodek skupi się na sześciu zadaniach:
- przyjmowaniu zgłoszeń oraz wczesnych ostrzeżeń o incydentach;
- analizie zagrożeń i podatności w technologiach energetycznych;
- technicznym reagowaniu na cyberataki w sektorze;
- koordynacji działań, gdy incydent obejmuje kilka spółek;
- stałej współpracy z krajowymi oraz sektorowymi zespołami CSIRT;
- organizacji szkoleń, ćwiczeń i wymiany dobrych praktyk.
Porozumienie wyraźnie rozdziela obowiązki instytucji państwowych oraz biznesu. Minister Energii nadzoruje zespół, natomiast PSE zapewniają kadry, narzędzia SOC/CERT oraz procedury. Co więcej, PSE wykorzystają tu doświadczenie z ochrony europejskiej sieci ENTSO-E.
3. Terminy KSC i kroki dla zakładów przemysłowych (PV / BESS)
Powołanie zespołu wiąże się z nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nie każda firma energetyczna podlega jednak identycznym wymogom. O statusie podmiotu kluczowego lub ważnego decydują bowiem progi wielkości i profil działalności. Dla firm spełniających kryteria już 3 kwietnia 2026 r. obowiązują trzy terminy:
| Termin | Obowiązek ustawowy KSC | Kogo dotyczy |
|---|---|---|
| 3.10.2026 | Wniosek o wpis do wykazu podmiotów | Firmy spełniające kryteria na dzień 3.04.2026 r. (termin minął). |
| 3.04.2027 | Podłączenie do S46 i wdrożenie SZBI | Pierwsze wdrożenie zarządzania bezpieczeństwem w IT i OT. |
| 3.04.2028 | Pierwszy audyt cyberbezpieczeństwa | Obowiązkowy audyt dla podmiotów kluczowych z pierwszej grupy. |
Podsumowując, CSIRT Energia przyspieszy wymianę ostrzeżeń, chociaż sektor nadal czeka na harmonogram uruchomienia i model finansowania jednostki. Ostateczna odporność zakładu na przestój zawsze zależy jednak od zabezpieczeń wdrożonych lokalnie w firmie.
1. Ministerstwo Cyfryzacji — utworzenie CSIRT Energia i liczba nadzorowanych podmiotów.
2. PSE — komunikat z 30.10.2026 r. i rola źródeł rozproszonych.
3. CERT Polska — raport z incydentu w sektorze energii z 29.12.2025 r..
4. Sprawozdanie Pełnomocnika Rządu o stanie cyberbezpieczeństwa za 2025 r..
5. Ministerstwo Cyfryzacji — FAQ nowelizacji KSC i terminy wdrożeń.
6. Energetyka24 — relacja z podpisania porozumienia.
7. Bankier.pl — kontekst cyberzagrożeń w energetyce.
Sprawdź wytyczne i kryteria KSC →