Cyberatak na wodociągi nie musi oznaczać wyłącznie kradzieży danych czy zablokowania komputerów. W skrajnym przypadku przestępca może próbować ingerować w urządzenia odpowiedzialne za uzdatnianie i dystrybucję wody. Otwockie Przedsiębiorstwo Wodociągów i Kanalizacji oraz Gospodarka Komunalna w Celestynowie inwestują więc w zabezpieczenia systemów IT i OT. To część znacznie większego programu wzmacniania infrastruktury wodociągowej w Polsce.
Wodociągi przez dziesięciolecia kojarzyły się przede wszystkim z rurami, pompami, ujęciami wody i stacjami uzdatniania. Dziś równie ważna jest infrastruktura cyfrowa. Komputery, serwery, czujniki, systemy automatyki i przemysłowe systemy sterowania pozwalają nadzorować pracę urządzeń oraz procesy technologiczne. Cyfryzacja ułatwia zarządzanie siecią, ale tworzy jednocześnie nową kategorię zagrożeń.
Dlatego Otwockie Przedsiębiorstwo Wodociągów i Kanalizacji prowadzi postępowanie dotyczące wdrożenia „zintegrowanej architektury odporności IT i OT” oraz przygotowania przedsiębiorstwa pod względem organizacyjnym i kompetencyjnym do cyberataków. Zamówienie jest realizowane w ramach programu „Cyberbezpieczne Wodociągi”, finansowanego ze środków Krajowego Planu Odbudowy. Zakres obejmuje m.in. sprzęt komputerowy, urządzenia sieciowe, serwery i systemy przechowywania danych, oprogramowanie, jego wdrożenie i konfigurację, audyt oraz specjalistyczne szkolenia.
Kluczowe systemy OT
W nazwie otwockiego projektu szczególnie istotne są dwie litery – OT, czyli Operational Technology. To technologie służące do monitorowania i sterowania urządzeniami oraz procesami zachodzącymi już nie w świecie wirtualnym, ale fizycznym. Ministerstwo Cyfryzacji zwraca uwagę, że systemy OT są coraz częściej połączone z klasycznymi systemami IT i mogą być zdalnie dostępne dla pracowników, administratorów czy firm zajmujących się ich utrzymaniem.
Właśnie tutaj pojawia się różnica między cyberatakiem na zwykłą firmę a atakiem na przedsiębiorstwo wodociągowe. Przejęcie kontroli nad komputerem pracownika może prowadzić do utraty danych. Przejęcie kontroli nad niewłaściwie zabezpieczonym systemem przemysłowym może natomiast wpływać na działanie urządzeń w świecie rzeczywistym. Ministerstwo Cyfryzacji ostrzega, że skutkiem może być zakłócenie procesów technologicznych, przerwanie ciągłości działania, a nawet powstanie zagrożenia dla ludzi.
Nie oznacza to, że takie możliwości istnieją obecnie w systemach OPWiK albo że przedsiębiorstwo padło ofiarą skutecznego cyberataku. Publicznie dostępne dokumenty tego nie potwierdzają. Pokazują jednak, że ochrona ma objąć zarówno tradycyjne systemy informatyczne, jak i środowisko OT.
Celestynów inwestuje blisko 800 tys. zł
Podobny projekt realizuje Gospodarka Komunalna w Celestynowie. W tym przypadku znamy już jego wartość. Całość ma kosztować 784 024 zł, z czego 654 465 zł stanowi dofinansowanie ze środków unijnych. Umowę o powierzenie grantu zawarto 27 kwietnia 2026 roku.
Zakres inwestycji jest szeroki. Celestynowska Gospodarka Komunalna ma opracować i wdrożyć System Zarządzania Bezpieczeństwem Informacji, przeprowadzić szkolenia pracowników oraz wdrożyć i skonfigurować urządzenia i systemy zwiększające bezpieczeństwo zarówno IT, jak i OT. Zaplanowano również zakup serwerów i urządzeń sieciowych.
Ciekawym elementem projektu jest agregat prądotwórczy dla Stacji Uzdatniania Wody w Glinie. Tutaj bezpieczeństwo cyfrowe łączy się już bezpośrednio z klasyczną odpornością infrastruktury. W sytuacji kryzysowej stacja ma mieć możliwość zachowania zasilania, a tym samym ograniczenia ryzyka przerw w dostawach wody. Gmina podkreśla, że inwestycja ma zwiększyć stabilność dostaw oraz zmniejszyć ryzyko zakłóceń w procesach uzdatniania i dystrybucji.
Wodociągi to infrastruktura krytyczna
Woda należy do tych usług, których znaczenie zauważamy najczęściej dopiero wtedy, kiedy przestaje być dostępna. Bez ciągłości jej dostaw szybko pojawiają się problemy nie tylko w gospodarstwach domowych, ale również w placówkach ochrony zdrowia, szkołach, zakładach pracy i wielu innych obiektach. Problemy z infrastrukturą kanalizacyjną mogą z kolei prowadzić do zagrożeń sanitarnych i środowiskowych.
Dlatego administracja państwowa zalicza sektor wodno-kanalizacyjny do infrastruktury krytycznej. Rządowe rekomendacje dotyczące cyberbezpieczeństwa wskazują wprost, że zaopatrzenie w wodę pitną, jej uzdatnianie oraz odprowadzanie i oczyszczanie ścieków są elementami infrastruktury krytycznej państwa.
Od czerwca tego roku działa również CSIRT INFRASTRUKTURA, czyli sektorowy zespół reagowania na incydenty bezpieczeństwa komputerowego. Obejmuje on m.in. podmioty zajmujące się zaopatrzeniem w wodę pitną i jej dystrybucją oraz zbiorowym odprowadzaniem ścieków. Zespół ma przyjmować ostrzeżenia i zgłoszenia o incydentach, gromadzić informacje o podatnościach i cyberzagrożeniach oraz współpracować m.in. z CSIRT NASK, CSIRT GOV i CSIRT MON.
Zagrożenie wyłącznie teoretyczne?
Najważniejszy kontekst dla inwestycji Otwocka i Celestynowa stanowią wydarzenia z ostatnich lat. Centrum Projektów Polska Cyfrowa informuje, że celem cyberataków były m.in. oczyszczalnie ścieków w Wydminach i Kuźnicy oraz stacje uzdatniania wody w Tolkmicku, Małdytach i Sierakowie. Według informacji Ministerstwa Cyfryzacji w części przypadków napastnicy manipulowali parametrami urządzeń, ustawiając je na maksymalne wartości.
NASK informował również o cyberataku na stację uzdatniania wody w Jabłonnie Lackiej. Instytut wskazuje, że infrastruktura wodociągowa coraz częściej znajduje się w zainteresowaniu atakujących, a program „Cyberbezpieczne Wodociągi” ma zwiększyć odporność właśnie na tego rodzaju zdarzenia.
Nie jest to zresztą wyłącznie polski problem. Jednym z najbardziej znanych przykładów był incydent w amerykańskim Oldsmar na Florydzie w 2021 roku. Według amerykańskiej Agencji Ochrony Środowiska osoba, która uzyskała nieautoryzowany dostęp do systemu stacji uzdatniania wody, zmieniła ustawienie dotyczące wodorotlenku sodu do niebezpiecznego poziomu. Zmiana została zauważona, zanim doprowadziła do skażenia dostarczanej mieszkańcom wody.
Takie przypadki pokazują, dlaczego zabezpieczenie systemów wodociągowych różni się od ochrony zwykłego biura. Atak może wyjść poza ekran komputera.
NIK: zabezpieczenia były niewystarczające
Problem stał się jeszcze bardziej aktualny po opublikowanym 27 sierpnia 2026 roku raporcie Najwyższej Izby Kontroli. NIK skontrolowała ośmiu operatorów usług kluczowych zajmujących się dostawami energii i wody pitnej oraz transportem kolejowym i wodnym. Według Izby stosowane w latach 2021–2025 środki cyberbezpieczeństwa były niewystarczające i nieadekwatne do charakteru oraz skali współczesnych zagrożeń.
Skala samego zagrożenia szybko rośnie. Według danych przytoczonych przez NIK krajowe zespoły CSIRT obsłużyły w 2025 roku niemal 273 tys. incydentów, czyli o 144,4 proc. więcej niż rok wcześniej. Statystycznie oznaczało to zdarzenie w polskiej cyberprzestrzeni średnio co około dwie minuty.
NIK zwraca uwagę na szczególne znaczenie systemów świadczących usługi kluczowe, ponieważ skutki skutecznego cyberataku mogą wykraczać poza świat cyfrowy. W przypadku wodociągów możliwe konsekwencje dotyczą nie tylko dostępności systemów komputerowych, ale również ciągłości dostaw czy parametrów procesów technologicznych.
Miliony na bezpieczeństwo wodociągów
Otwock i Celestynów są częścią znacznie większego programu. „Cyberbezpieczne Wodociągi” realizują Centrum Projektów Polska Cyfrowa i NASK, a projekt finansowany jest z Krajowego Planu Odbudowy. Obecna całkowita wartość programu przekracza 627 mln zł.
Na samym Mazowszu na poprawę cyberbezpieczeństwa przedsiębiorstw wodociągowo-kanalizacyjnych przeznaczono blisko 74 mln zł. Pieniądze mają służyć m.in. modernizacji IT i OT, wdrażaniu nowych zabezpieczeń, uporządkowaniu procedur bezpieczeństwa oraz szkoleniu pracowników.
W przypadku wodociągów cyberbezpieczeństwo przestaje więc być sprawą informatyków zamkniętych w serwerowni. System informatyczny może nadzorować urządzenie, urządzenie może odpowiadać za proces technologiczny, a od tego procesu zależy usługa, z której codziennie korzystają tysiące mieszkańców.
Dlatego inwestycje prowadzone przez OPWiK i Gospodarkę Komunalną w Celestynowie należy traktować szerzej niż jako informatyczną modernizację. To kolejny element zabezpieczania infrastruktury, która w sytuacji awarii, kryzysu lub celowego ataku musi działać również wtedy, gdy inne systemy zaczynają zawodzić.
fot: OPWiK
