Bezpieczeństwo systemów sterowania farm wiatrowych i fotowoltaicznych

Tak, i to już się wydarzyło w Polsce. 29 grudnia 2025 roku w co najmniej trzydziestu polskich farmach wiatrowych i fotowoltaicznych unieruchomiono sterowniki stacji. Z raportu CERT Polska wynika, że nie użyto żadnej zaawansowanej techniki: wystarczyła brama zdalnego dostępu widoczna z internetu bez drugiego składnika logowania oraz fabryczne hasła na urządzeniach w środku. Farma jest atrakcyjnym celem właśnie dlatego, że jest bezobsługowa — nie ma kto zauważyć, że coś się dzieje.

Bo odpowiedź nie dotyczy kompetencji, tylko roli w projekcie. Wykonawca realizuje swój zakres pod presją terminu i budżetu i nie jest jego zadaniem sprawdzanie, jak jego system współgra z pozostałymi ani czy pozostawione ułatwienia serwisowe tworzą ryzyko dla całości. Firma serwisowa O&M odpowiada za dostępność, a zdalny dostęp jest dla niej narzędziem pracy. Nie sprzedajemy sprzętu ani wdrożeń, więc nie mamy interesu w tym, by cokolwiek przemilczeć.

Tak, zmienia się tylko kolejność pracy. Przy obiekcie w ruchu zaczynamy od inwentaryzacji stanu faktycznego, bo w praktyce nikt nie zna go w całości: pełna lista urządzeń, wersji oprogramowania, kont, kanałów zdalnego dostępu i połączeń zewnętrznych, łącznie z tymi, o których nikt już nie pamięta. To zwykle najbardziej zaskakujący element całej pracy. Potem powstaje plan naprawczy z podziałem na zmiany możliwe zdalnie, wymagające wyjazdu i wymagające postoju.

Nie. Cała warstwa fizyczna i elektroenergetyczna pozostaje poza naszym zakresem: moduły, konstrukcje wsporcze, turbiny i ich część mechaniczna, okablowanie DC i AC, trasy kablowe, transformatory, rozdzielnice, aparatura łączeniowa, prace budowlane i montażowe, pomiary, próby i odbiory branżowe. Zakładamy, że prace te podlegają odrębnemu, właściwemu nadzorowi branżowemu. Nasza rola zaczyna się tam, gdzie kończy się praca instalatora: urządzenie jest zamontowane i podłączone, a teraz ktoś je konfiguruje.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku, a wytwarzanie energii elektrycznej należy do sektorów objętych regulacją. Status konkretnej spółki celowej nie zawsze jest oczywisty, bo kryterium wielkości bywa spełnione lub nie w zależności od struktury grupy, i ostateczną kwalifikację warto potwierdzić z doradcą prawnym. Z naszej perspektywy istotne jest co innego: operator sieci, bank finansujący i ubezpieczyciel coraz częściej pytają o to samo, niezależnie od statusu ustawowego.

Inwestor otrzymuje katalog wymagań dla wykonawców, inwentaryzację warstwy logicznej obiektu, rejestr niezgodności z historią ich usunięcia, raporty z testów weryfikacyjnych, raport końcowy z rekomendacją odbioru oraz retest po usunięciu uwag. Wdrożenie zaleceń mieści się w cenie nadzoru: siadamy z inżynierem wykonawcy lub firmy O&M przy konkretnym urządzeniu i przechodzimy przez konfigurację razem z nim. Nie zostawiamy Inwestora z listą uwag do samodzielnego wyegzekwowania.