Jeszcze kilka lat temu bezpieczeństwo informacji kojarzyło się przede wszystkim z informatyką, hasłami, komputerami i ochroną danych. Dziś jest to znacznie szerszy temat. Dotyczy praktycznie każdej organizacji, która korzysta z systemów informatycznych i przetwarza informacje, ale w przypadku przedsiębiorstw wodociągowych nabiera szczególnego znaczenia.
odociągi odpowiadają przecież za usługę, bez której mieszkańcy, firmy, szkoły, szpitale czy urzędy nie mogą normalnie funkcjonować. Jeżeli system sterowania, sieć informatyczna, system monitoringu albo inne rozwiązanie wykorzystywane do obsługi wodociągów przestanie działać, problem może bardzo szybko przestać być wyłącznie problemem informatycznym.
Właśnie dlatego coraz większego znaczenia nabierają dwa pojęcia: System Zarządzania Bezpieczeństwem Informacji, czyli SZBI, oraz System Zarządzania Ciągłością Działania, czyli SZCD.
Nie trzeba być informatykiem, aby zrozumieć, o co w nich chodzi.
Czym właściwie jest SZBI?
Najprościej mówiąc, SZBI to sposób zorganizowania bezpieczeństwa informacji w firmie lub instytucji. Chodzi o to, aby organizacja wiedziała, jakie informacje i systemy są dla niej ważne, przed czym należy je chronić, co zrobić w przypadku awarii lub cyberataku oraz kto odpowiada za poszczególne działania.
Można to porównać do zabezpieczenia domu. Nie wystarczy kupić drzwi antywłamaniowych. Trzeba jeszcze wiedzieć, co znajduje się w domu, kto ma klucze, co zrobić w przypadku włamania i jak postąpić, jeżeli drzwi zostaną uszkodzone.
Podobnie jest w organizacji. Sam program antywirusowy, firewall czy kopia zapasowa nie tworzą jeszcze systemu bezpieczeństwa informacji. SZBI ma sprawić, że bezpieczeństwo nie będzie zależało od przypadku ani od jednej osoby w firmie. Powinno być elementem normalnego zarządzania organizacją.
A czym jest SZCD?
System Zarządzania Ciągłością Działania dotyczy czegoś bardzo prostego: co zrobimy, jeżeli wydarzy się coś poważnego i normalna praca organizacji zostanie zakłócona?
Wyobraźmy sobie przedsiębiorstwo wodociągowe, w którym z powodu awarii albo cyberataku przestaje działać jeden z ważnych systemów. Samo pytanie „czy mamy kopię zapasową?” nie wystarczy.
Trzeba wiedzieć, jak długo można funkcjonować bez danego systemu, które działania trzeba przywrócić w pierwszej kolejności, kto podejmuje decyzję o uruchomieniu procedur awaryjnych i w jaki sposób organizacja będzie działała do czasu przywrócenia normalnego funkcjonowania.
Właśnie tym zajmuje się ciągłość działania. Dlatego SZCD można najprościej określić jako przygotowanie organizacji na sytuację, w której coś przestaje działać oraz zapewnienie, że mimo tego organizacja będzie mogła nadal realizować swoje najważniejsze zadania.
Dlaczego temat jest szczególnie ważny dla wodociągów?
W przypadku przedsiębiorstw wodociągowych mamy do czynienia z usługą o podstawowym znaczeniu dla mieszkańców. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r. i wdraża wymagania wynikające z unijnej dyrektywy NIS2, objęła swoim zakresem znacznie większą grupę podmiotów. Jednym z sektorów wskazanych w nowych przepisach jest zaopatrzenie w wodę pitną i jej dystrybucja. To oznacza, że przedsiębiorstwa działające w tym obszarze powinny sprawdzić, czy spełniają kryteria podmiotu kluczowego lub ważnego w rozumieniu ustawy o KSC. Dla podmiotów objętych ustawą nie jest to już tylko kwestia dobrej praktyki. Ustawa nakłada na nie konkretne obowiązki związane z cyberbezpieczeństwem. Jednym z nich jest wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji.
Co więcej, przepisy wymagają również przygotowania, dokumentowania, testowania i utrzymywania planów ciągłości działania, planów awaryjnych oraz planów odtworzenia działalności. Mają one zapewnić możliwość ciągłego i niezakłóconego świadczenia usługi oraz odtworzenia systemu po poważnym zdarzeniu. W praktyce oznacza to, że wodociągi muszą patrzeć na bezpieczeństwo szerzej niż tylko przez pryzmat informatyki.
Co to oznacza dla przedsiębiorstwa wodociągowego?
Wyobraźmy sobie zwykły dzień pracy.
Systemy informatyczne pomagają monitorować pracę urządzeń, zarządzać siecią, obsługiwać klientów, wystawiać faktury, komunikować się z pracownikami czy kontrolować różnego rodzaju procesy techniczne. Jeżeli jeden z tych systemów zostanie zaatakowany albo ulegnie awarii, przedsiębiorstwo powinno wiedzieć, co zrobić. Nie chodzi przy tym o przewidywanie konkretnego cyberataku. Chodzi o przygotowanie organizacji na różne sytuacje.
Może dojść do awarii serwera. Może zostać zablokowany dostęp do systemu. Może wystąpić problem u zewnętrznego dostawcy. Może zostać uszkodzona infrastruktura. Może również dojść do cyberataku. Dobrze przygotowana organizacja nie zastanawia się dopiero wtedy, co robić. Ma wcześniej ustalone zasady postępowania.
SZBI i SZCD - jaka jest między nimi różnica?
Najprościej można powiedzieć, że SZBI odpowiada przede wszystkim na pytanie: jak chronić informacje i systemy?
Natomiast SZCD odpowiada na pytanie: co zrobić, jeżeli mimo zabezpieczeń coś pójdzie nie tak?
Oba podejścia bardzo mocno się ze sobą łączą. Jeżeli przedsiębiorstwo wodociągowe zabezpiecza system przed cyberatakiem, jest to element bezpieczeństwa informacji. Jeżeli jednocześnie przygotowuje się na sytuację, w której system jednak przestanie działać i określa sposób dalszego działania oraz jego odtworzenia, wchodzimy w obszar ciągłości działania. Dlatego nie powinno się traktować tych dwóch obszarów jako dwóch całkowicie oddzielnych projektów.
Bezpieczeństwo ma zmniejszać prawdopodobieństwo wystąpienia problemu, a ciągłość działania ma przygotować organizację na sytuację, w której problem jednak wystąpi.
Czy chodzi tylko o komputery?
Nie. To bardzo ważne rozróżnienie.
Bezpieczeństwo informacji nie oznacza wyłącznie ochrony komputerów. W przedsiębiorstwie wodociągowym systemy informatyczne są częścią większej całości.
Znaczenie mają również urządzenia, systemy sterowania, komunikacja, dostęp do obiektów, pracownicy, dostawcy zewnętrzni i sposób organizacji pracy.
Dlatego przepisy KSC wymagają podejścia obejmującego nie tylko kwestie techniczne, ale również organizacyjne, bezpieczeństwo pracowników, dostawców, ciągłość łańcucha dostaw, plany ciągłości działania i plany odtworzenia. To szczególnie ważne w przypadku wodociągów, gdzie bezpieczeństwo usługi zależy od wielu elementów działających jednocześnie.
Kogo dotyczą nowe obowiązki?
Nowe przepisy dotyczą podmiotów zakwalifikowanych jako podmioty kluczowe lub podmioty ważne. Nie oznacza to więc, że każda firma w Polsce automatycznie musi wdrożyć wszystkie wymagania KSC. Kwalifikacja zależy między innymi od sektora działalności, rodzaju świadczonej usługi oraz kryteriów określonych w ustawie.
Wodociągi znajdują się jednak w grupie sektorów szczególnie istotnych. Ministerstwo Cyfryzacji wskazuje wprost zaopatrzenie w wodę pitną i jej dystrybucję jako jeden z sektorów objętych nowymi regulacjami. Dlatego przedsiębiorstwa wodociągowe powinny w pierwszej kolejności sprawdzić, czy ich działalność powoduje objęcie ich ustawą o KSC.
To istotne zwłaszcza teraz, ponieważ podmioty, które spełniały odpowiednie kryteria w momencie wejścia w życie nowych przepisów, mają określone terminy na dopełnienie obowiązków. Dla podmiotów objętych przepisami termin dokonania wpisu do Wykazu KSC został określony na 3 października 2026 r., natomiast okres na wdrożenie obowiązków wynikających z ustawy kończy się 3 kwietnia 2027 r. Oznacza to, że dla wielu przedsiębiorstw wodociągowych nie jest to temat „na kiedyś”. To zadanie, które trzeba odpowiednio zaplanować już teraz.
Czy trzeba mieć certyfikat ISO 27001?
Nie należy utożsamiać obowiązku wdrożenia SZBI z obowiązkiem posiadania certyfikatu ISO/IEC 27001.
ISO/IEC 27001 jest międzynarodową normą dotyczącą Systemu Zarządzania Bezpieczeństwem Informacji i może być bardzo dobrym punktem odniesienia przy budowaniu systemu. Jednak sam certyfikat nie oznacza automatycznie spełnienia wszystkich obowiązków wynikających z ustawy o KSC. Najważniejsze jest to, aby organizacja rzeczywiście posiadała działający system zarządzania bezpieczeństwem, odpowiednio dobrany do jej działalności i ryzyka. Podobnie w przypadku ciągłości działania można korzystać z dobrych praktyk i norm, takich jak ISO 22301, ale najważniejsze jest nie samo posiadanie dokumentu, lecz rzeczywista zdolność organizacji do działania w sytuacji awaryjnej.
Bezpieczeństwo informacji to dziś element bezpieczeństwa całej organizacji
W przypadku przedsiębiorstw wodociągowych znaczenie SZBI i ciągłości działania jest szczególne, ponieważ problemy z systemami mogą wpływać nie tylko na samą organizację, ale również na mieszkańców i inne podmioty korzystające z usług. Nowe przepisy sprawiają, że cyberbezpieczeństwo staje się jednym z elementów odpowiedzialnego zarządzania przedsiębiorstwem. Nie chodzi jednak o to, aby tworzyć skomplikowany system, którego nikt poza specjalistami nie rozumie. Dobry system powinien być przede wszystkim zrozumiały, praktyczny i dopasowany do rzeczywistego funkcjonowania przedsiębiorstwa. SZBI ma pomóc odpowiedzieć na pytanie, jak chronimy nasze informacje i systemy. Ciągłość działania ma odpowiedzieć na pytanie, co zrobimy, jeśli mimo tych zabezpieczeń wydarzy się coś poważnego.
A wspólnym celem obu podejść jest jedno: zapewnienie, że przedsiębiorstwo będzie potrafiło bezpiecznie i możliwie nieprzerwanie realizować swoje najważniejsze zadania, także w sytuacji kryzysowej.