Audyt cyberbezpieczeństwa w firmie produkcyjnej: zakres, etapy i wymagania KSC/NIS2

Audyt cyberbezpieczeństwa w firmie produkcyjnej to systematyczna i udokumentowana ocena, czy zabezpieczenia biura i hali faktycznie chronią ciągłość produkcji. Obejmuje sieć, serwery, tożsamość, kopie zapasowe, dostęp dostawców i procedury, a jego wynikiem jest lista ryzyk uszeregowanych według wpływu na biznes oraz plan naprawczy. Dla firm objętych ustawą o KSC jest też praktycznym sposobem wykazania, że zabezpieczenia są adekwatne do ryzyka.

Najważniejsze w skrócie

• W zakładzie produkcyjnym audyt powinien objąć zarówno IT, jak i te elementy środowiska OT, od których zależy ciągłość badanego procesu produkcyjnego.
• Podmioty kluczowe przechodzą audyt ustawowy co najmniej raz na 3 lata. Te, które spełniały kryteria w dniu wejścia nowelizacji w życie i nie były wcześniej operatorami usług kluczowych, muszą przeprowadzić pierwszy audyt do 3 kwietnia 2028 r.; podmiot, który spełni przesłanki później, ma na to 24 miesiące.
• Podmioty ważne nie mają obowiązku audytu cyklicznego, ale organ nadzoru może nakazać im audyt zewnętrzny po incydencie poważnym lub innym naruszeniu przepisów ustawy.
• Ocena odporności IT/OT i analiza luk przygotowują firmę do wymagań KSC, ale nie zawsze są tym samym co formalny audyt ustawowy.
• Audyt w fabryce prowadzi się metodami pasywnymi i w uzgodnionych oknach serwisowych, żeby nie zatrzymać linii.

Dobry raport kończy się planem działań na 30, 90 i 180 dni, a nie setkami stron wyników ze skanera.

Czym jest audyt cyberbezpieczeństwa w zakładzie produkcyjnym?

Audyt to systematyczne zebranie dowodów i ich ocena względem przyjętych kryteriów: wymagań prawa, norm i dobrych praktyk. W biurze sprawdza się głównie systemy informatyczne. W zakładzie produkcyjnym audyt obejmuje trzy warstwy jednocześnie: IT (sieć firmowa, ERP, poczta, tożsamość), OT (sieć hali, systemy nadzoru, sterowniki, stacje inżynierskie) oraz zabezpieczenia fizyczne i procedury.

Dobrze przeprowadzony audyt daje zarządowi odpowiedzi na pięć pytań:

1. Czy włamanie do sieci biurowej może zatrzymać lub zmienić pracę maszyn na linii?
2. Czy mamy odseparowaną i przetestowaną kopię zapasową, z której odtworzymy produkcję po ataku ransomware?
3. Czy zewnętrzni serwisanci i dostawcy automatyki mają niekontrolowany, stały dostęp do naszych systemów?
4. Które pojedyncze elementy infrastruktury mogą wyłączyć cały zakład, jeśli ulegną awarii?
5. Czy spełniamy wymagania prawne, w tym ustawy o KSC, i czy zarząd może to wykazać?

Audyt odporności, analiza luk i audyt ustawowy: to nie to samo

W tym artykule przez audyt rozumiemy ocenę odporności środowiska IT/OT oraz analizę zgodności z wymaganiami KSC. Jeśli badanie ma być formalnym audytem ustawowym w rozumieniu art. 15 ustawy o KSC, musi spełniać dodatkowe wymagania dotyczące zakresu, kwalifikacji audytorów i ich niezależności. Analiza luk lub audyt przygotowawczy pomaga przygotować organizację do takiego badania, ale nie zawsze jest z nim tożsamy.

Rodzaj badania	Cel	Kto może przeprowadzić
Ocena odporności IT/OT	Sprawdzenie czy zabezpieczenia chronią ciągłość produkcji; lista ryzyk i plan naprawczy	Zespół wewnętrzny lub zewnętrzny z kompetencjami IT i OT
Analiza luk (audyt przygotowawczy) względem KSC	Ustalenie, których wymagań ustawy firma jeszcze nie spełnia	Zespół wewnętrzny lub zewnętrzny doradca
Audyt ustawowy (art. 15 KSC)	Formalna ocena podmiotu kluczowego lub audyt nakazany przez organ	Jednostka oceniająca zgodność akredytowana w odpowiednim zakresie, co najmniej dwóch audytorów spełniających wymagania ustawy albo właściwy CSIRT sektorowy, jeżeli jego audytorzy spełniają te wymagania. Audytu nie może prowadzić osoba realizująca w badanym podmiocie wskazane w ustawie zadania z zakresu cyberbezpieczeństwa ani osoba, która realizowała je w ciągu roku przed rozpoczęciem audytu

Podmiot kluczowy przeprowadza audyt ustawowy co najmniej raz na trzy lata i przekazuje elektroniczną kopię raportu organowi właściwemu w ciągu 3 dni roboczych od jego otrzymania. Dla podmiotów kluczowych objętych ustawą w dniu wejścia nowelizacji w życie, które nie były wcześniej operatorami usług kluczowych, termin pierwszego audytu upływa 3 kwietnia 2028 r. W pozostałych przypadkach termin zależy od daty spełnienia przesłanek (co do zasady 24 miesiące) i dotychczasowego cyklu audytowego.

Kiedy zakład powinien przeprowadzić audyt?

Obowiązek prawny to tylko jeden z powodów. W praktyce zakłady produkcyjne zlecają audyt w sześciu sytuacjach.

Sytuacja	Dlaczego audyt
Firma podlega ustawie o KSC	Podmiot kluczowy: audyt ustawowy co najmniej raz na 3 lata. Podmiot ważny: zewnętrzny audyt na nakaz organu po incydencie poważnym lub innym naruszeniu ustawy; dobrowolnie ocena stanu jako dowód należytej staranności
Wymagania klientów w łańcuchu dostaw	Koncerny, zwłaszcza motoryzacyjne, oczekują udokumentowanego bezpieczeństwa (np. TISAX)
Ubezpieczenie od ryzyk cybernetycznych	Ubezpieczyciele uzależniają ochronę od dowodów segmentacji, kopii zapasowych i procedur
Po incydencie lub poważnej awarii	Ustalenie przyczyny i sprawdzenie, czy podobna sytuacja może się powtórzyć
Przed modernizacją lub rozbudową	Nowa linia, MES w chmurze albo zdalny serwis zmieniają architekturę i ryzyko
Zmiana kluczowych osób lub dostawcy IT	Sprawdzenie czy wiedza o infrastrukturze nie zniknie razem z jedną osobą

Nie wiesz jeszcze, czy ustawa o KSC obejmuje Twoją firmę? Sprawdź to w artykule [NIS2 w firmie produkcyjnej: kogo dotyczy KSC i jakie są obowiązki?].

Jak audyt cyberbezpieczeństwa wspiera realizację wymagań KSC i NIS2?

Podmiot ważny nie ma obowiązku przeprowadzania cyklicznego audytu ustawowego. Musi jednak zarządzać ryzykiem i stosować adekwatne środki bezpieczeństwa, co trudno robić bez rzetelnej oceny stanu wyjściowego. Organ nadzoru może również nakazać mu przeprowadzenie zewnętrznego audytu po incydencie poważnym lub innym naruszeniu przepisów ustawy. Poniżej, jak obszary audytu przekładają się na obowiązki.

Obowiązek z ustawy	Co weryfikuje audyt
Szacowanie ryzyka	Inwentaryzacja zasobów, mapa zależności, rejestr ryzyk uszeregowany według wpływu na produkcję
Środki techniczne i organizacyjne	Segmentacja, tożsamość i MFA, aktualizacje, bezpieczne utwardzenie konfiguracji (hardening), ochrona stacji roboczych
Ciągłość działania	Kopie zapasowe, testy odtwarzania, cele RTO i RPO, pojedyncze punkty awarii
Bezpieczeństwo łańcucha dostaw	Dostęp zdalny dostawców, zapisy bezpieczeństwa w umowach
Obsługa i zgłaszanie incydentów	Monitoring, procedura reagowania, zdolność przekazania wczesnego ostrzeżenia w ciągu 24 godzin od wykrycia incydentu poważnego, zgłoszenia w ciągu 72 godzin oraz sprawozdania końcowego w ustawowym terminie
Odpowiedzialność kierownictwa	Raport dla zarządu, plan naprawczy z budżetem i odpowiedzialnymi

Dlaczego audyt fabryki różni się od audytu biura?

W środowisku biurowym duży nacisk kładzie się na poufność i integralność danych. W środowisku OT priorytetami są ciągłość procesu, bezpieczeństwo ludzi oraz kontrola nad zmianami w systemach sterowania: sterownik nie może się zatrzymać tylko dlatego, że skaner wysłał mu nietypowy pakiet. Nie oznacza to, że poufność w OT albo dostępność w IT są mniej istotne. Zmienia się przede wszystkim kolejność priorytetów i sposób zarządzania ryzykiem. Ta różnica zmienia metody audytu, priorytety i sposób łatania luk.

Cecha	Środowisko IT (biuro)	Środowisko OT (hala)
Priorytet	Zwykle poufność i integralność informacji	Zwykle dostępność procesu, integralność sterowania i bezpieczeństwo ludzi
Tolerancja na przestój	Możliwe okna prac technicznych	Bardzo niska lub zerowa
Cykl życia sprzętu	3 do 5 lat	Często 10 do 15 lat, niekiedy ponad 20 lat
Aktualizacje	Regularne, często automatyczne	Rzadkie, wymagają zgody producenta maszyny i okna remontowego
Skutek incydentu	Utrata danych, przestój biura	Zatrzymanie linii, zniszczenie partii, zagrożenie dla ludzi

Dlatego nieuzgodnione aktywne skanowanie sieci hali może wywołać niestabilność urządzeń lub zakłócić proces produkcyjny (NIST SP 800-82 Rev. 3).

Ile kosztuje firmę produkcyjną brak cyberodporności?

Najbardziej niedoszacowanym skutkiem cyberataku w fabryce jest przestój, a nie wyciek danych.

Koszt 48 godzin przestoju zależy między innymi od wartości niezrealizowanej produkcji, utraconej marży, kosztów ponownego rozruchu, zniszczonego materiału, kar umownych i sposobu odrobienia zaległości. W kalkulacji trzeba rozdzielić produkcję bezpowrotnie utraconą od produkcji przeniesionej na późniejszy termin. W przeciwnym razie łatwo dwukrotnie policzyć tę samą stratę.

Audyt, test penetracyjny, skan podatności: czym się różnią?

Te pojęcia często są używane zamiennie, a odpowiadają na różne pytania. Skan i pentest to narzędzia. Audyt ocenia całość, łącznie z architekturą, procedurami i wpływem na biznes.

Rodzaj oceny	Na jakie pytanie odpowiada	Ograniczenia
Skan podatności	Jakie znane luki są w oprogramowaniu?	Nie ocenia architektury, procedur ani wpływu na produkcję. Nieuzgodnione aktywne skanowanie sieci OT może wywołać niestabilność urządzeń lub zakłócić proces produkcyjny
Test penetracyjny	Czy da się przełamać konkretne zabezpieczenie?	Punktowy, zależy od zakresu; w OT tylko w oknach serwisowych lub na środowisku testowym
Audyt techniczny	Czy konfiguracja sprzętu, sieci i systemów jest bezpieczna?	Bez części organizacyjnej nie pokaże luk w procedurach
Audyt organizacyjny	Czy procedury, role i szkolenia działają?	Bez części technicznej nie pokaże rzeczywistego stanu sieci
Audyt zgodności	Czy spełniamy wymagania KSC, RODO lub normy?	Zakres zależy od przyjętych kryteriów. Audyt zgodności może nie obejmować pełnej oceny skuteczności zabezpieczeń ani odporności środowiska OT.
Audyt certyfikacyjny	Czy możemy uzyskać certyfikat, np. ISO/IEC 27001?	Prowadzony przez akredytowaną jednostkę, nie zastępuje oceny OT

W zakładzie produkcyjnym najwięcej wartości daje połączenie audytu technicznego i organizacyjnego, uzupełnione oceną zgodności z ustawą o KSC. Pamiętaj też, że każdy audyt pokazuje stan w danym momencie i w ustalonym zakresie. Nie gwarantuje wykrycia nieznanych dotąd podatności ani nie zapobiega przyszłym błędom ludzkim.

Zakres audytu: 21 obszarów w 6 grupach

W naszej metodyce oceniamy 21 obszarów. Nie jest to obowiązkowy ani uniwersalny zestaw, tylko sposób uporządkowania badania, który sprawdza się w zakładach produkcyjnych. Pogrupowaliśmy obszary według pytania, na które odpowiada każda grupa.

Grupa	Obszary	Pytanie kontrolne dla zarządu
1. Wiedza o środowisku	Inwentaryzacja zasobów; mapa zależności i przepływów danych; dokumentacja powykonawcza	Czy wiemy, co mamy i jak to jest połączone?
2. Architektura i dostęp	Segmentacja sieci i przemysłowa strefa pośrednia IDMZ, oddzielająca środowisko IT od OT; tożsamość i uwierzytelnianie wieloskładnikowe; dostęp zdalny i dostawcy; bezpieczeństwo fizyczne serwerowni i szaf sterowniczych	Kto i którędy może dostać się do systemów produkcji?
3. Systemy i konfiguracja	Serwery, wirtualizacja i chmura; stacje robocze i ochrona punktów końcowych; zarządzanie podatnościami i aktualizacjami; bezpieczna konfiguracja urządzeń; bezpieczeństwo własnych aplikacji i integracji	Czy systemy są skonfigurowane tak, żeby utrudnić atak?
4. Odporność i odtwarzanie	Kopie zapasowe odseparowane od domeny; kopie konfiguracji sterowników i paneli; cele RTO i RPO oraz plan ciągłości działania; wysoka dostępność i pojedyncze punkty awarii	Jak szybko wznowimy produkcję po awarii lub ataku?
5. Wykrywanie i reagowanie	Monitoring, logowanie i SIEM; procedura reagowania na incydenty	Czy zauważymy atak na czas i czy wiemy, co wtedy robić?
6. Organizacja i zgodność	Procedury, szkolenia i zarządzanie zmianą; dostawcy, umowy i SLA; ochrona danych osobowych i tajemnicy przedsiębiorstwa	Czy ludzie, umowy i procesy wspierają bezpieczeństwo?

Trzy obszary, które w zakładach produkcyjnych często okazują się najbardziej ryzykowne:

• Brak segmentacji. Komputery biurowe, urządzenia gościnne i systemy sterowania pracują bez skutecznej segmentacji oraz kontroli ruchu między strefami. W takiej architekturze złośliwe oprogramowanie z sieci biurowej może łatwiej dotrzeć do środowiska produkcyjnego.
• Niekontrolowany dostęp serwisowy. Stałe połączenia VPN bez uwierzytelniania wieloskładnikowego, programy do zdalnego pulpitu zainstalowane na panelach operatorskich albo modemy komórkowe wpięte bezpośrednio w szafy sterownicze.
• Kopia zapasowa, która nie obejmuje produkcji. Backup IT działa, ale nikt nie przechowuje aktualnych projektów sterowników i konfiguracji paneli. Po awarii sprzętu trzeba odtwarzać program sterujący od zera.

Jak przebiega bezpieczny audyt w zakładzie produkcyjnym?

Audyt w środowisku produkcyjnym przebiega w 10 etapach. Kluczowa zasada: wszystkie prace, które mogą wpłynąć na pracę linii, są uzgadniane z utrzymaniem ruchu i prowadzone w oknach serwisowych.

1. Cel, zakres i kryteria. Granice systemu, kluczowe procesy technologiczne, akceptowalny poziom ryzyka.
2. Zasady prowadzenia prac. Pisemne uzgodnienie okien czasowych, osób kontaktowych i warunków natychmiastowego przerwania testów.
3. Analiza dokumentacji i wywiady. Schematy sieci, procedury, plany ciągłości działania; rozmowy z IT, automatykami i inżynierami procesu.
4. Inwentaryzacja i zależności. Mapowanie zasobów i połączeń, także z zewnętrznymi dostawcami.
5. Przegląd architektury i konfiguracji. Analiza plików konfiguracyjnych zapór, przełączników i serwerów poza środowiskiem produkcyjnym.
6. Bezpieczne badania techniczne. Metody pasywne, a testy aktywne tylko w uzgodnionych oknach.
7. Ocena ryzyka operacyjnego. Przypisanie każdej luki do jej wpływu na ciągłość produkcji i bezpieczeństwo ludzi.
8. Raport i omówienie wyników. Prezentacja dla zarządu i osobno dla zespołów technicznych.
9. Plan naprawczy. Harmonogram z budżetem i odpowiedzialnymi.
10. Weryfikacja poprawek. Potwierdzenie, że najważniejsze luki zostały usunięte.

Metody ograniczające ryzyko zatrzymania linii

• Pasywna analiza ruchu. Kopia ruchu sieciowego z portu lustrzanego przełącznika pozwala zmapować aktywne urządzenia i protokoły bez bezpośredniego odpytywania systemów produkcyjnych. Trzeba ją uzupełnić analizą konfiguracji, dokumentacji i wywiadami, bo może nie wykryć urządzeń nieaktywnych lub komunikujących się sporadycznie.
• Przegląd konfiguracji poza siecią. Pliki konfiguracyjne urządzeń analizuje się na odizolowanym komputerze audytora.
• Środowisko testowe. Jeśli zakład ma zapasowy sterownik lub stanowisko testowe, testy aktywne prowadzi się na nim, a nie na pracującej linii.
• Okna remontowe. Testy, które muszą dotknąć urządzeń produkcyjnych, odbywają się podczas planowanych postojów, przy obecności automatyka gotowego do interwencji.

Rzetelny wykonawca nie obiecuje „audytu bez żadnego ryzyka” przed poznaniem sieci zakładu. Obiecuje metodykę, która to ryzyko ogranicza, i jasne warunki przerwania prac.

Jak przygotować zakład do audytu?

Przygotowanie skraca audyt i obniża jego koszt. Wystarczą trzy kroki:

• Zbierz dokumentację, jaką posiadasz: schematy sieci, wykazy urządzeń, umowy z dostawcami automatyki i IT, procedury i polityki bezpieczeństwa. Brak dokumentacji to też informacja, nie powód, żeby odkładać audyt.
• Wskaż zespół kontaktowy: osobę z IT, z utrzymania ruchu lub automatyki, odpowiedzialną za bezpieczeństwo fizyczne oraz przedstawiciela zarządu.
• Ustal okna serwisowe, w których możliwe są prace wymagające dostępu do urządzeń na hali.

Co firma powinna otrzymać po audycie?

Zakres rezultatów powinien zostać ustalony przed rozpoczęciem audytu. W zależności od celu i zakresu badania może obejmować następujące dokumenty:

Dokument	Dla kogo	Co zawiera
Podsumowanie dla zarządu	Zarząd, dyrekcja zakładu	Poziom ryzyka biznesowego, dojrzałość organizacji, rekomendowane kierunki inwestycji
Raport techniczny	IT, automatycy, administratorzy	Każda luka z dowodem, opisem, lokalizacją i sposobem naprawy
Rejestr ryzyk	Zarząd, osoba odpowiedzialna za bezpieczeństwo	Ryzyka uszeregowane według wpływu na produkcję i prawdopodobieństwa
Mapa zasobów i przepływów danych	IT, utrzymanie ruchu	Rzeczywisty schemat sieci, stref i połączeń między biurem a halą
Tabela zgodności	Zarząd, dział prawny	Stopień spełnienia wymagań KSC, a w razie potrzeby normy ISO/IEC 27001 lub IEC 62443
Plan działań naprawczych	Wszyscy	Harmonogram z priorytetami, budżetem i odpowiedzialnymi

Dlaczego priorytety w fabryce ustala się inaczej

Bazowa ocena podatności w skali CVSS mierzy techniczną dotkliwość luki, a nie ryzyko biznesowe (FIRST, CVSS v4.0 User Guide). Sterownik z krytyczną podatnością w dobrze odizolowanej strefie może stanowić niewielkie ryzyko biznesowe. Z kolei stara stacja robocza na styku biura i hali, sterująca kluczowym robotem, może zagrażać ciągłości całego zakładu mimo niższej oceny. W OT o kolejności napraw decydują: krytyczność procesu, poziom ekspozycji, wpływ na bezpieczeństwo ludzi i możliwość bezpiecznego wdrożenia zmiany.

Plan działań po audycie: 30, 90 i 180 dni

Plan naprawczy układa się tak, żeby najpierw zamknąć drogi ataku, potem uporządkować higienę, a na końcu zbudować trwałą odporność.

Horyzont	Cel	Przykładowe działania
Pierwsze 30 dni	Ochrona natychmiastowa	Odłączenie od Internetu interfejsów sterowników i paneli widocznych z zewnątrz; uwierzytelnianie wieloskładnikowe na wszystkich punktach dostępu zdalnego; kopia offline konfiguracji sterowników, projektów SCADA i baz MES
Do 90 dni	Higiena i procedury	Rozdzielenie adresacji i reguły zapory między biurem a halą; porządek w kontach (konta domyślne, byłych pracowników i dostawców, hasła współdzielone); stacja do skanowania nośników USB; szkolenie zarządu i inżynierów
Do 180 dni	Trwała odporność	Pełna strefa buforowa IDMZ między biurem a halą; stałe, pasywne monitorowanie sieci produkcyjnej; kontrola i nagrywanie sesji serwisowych dostawców; test odtworzenia pracy linii z kopii zapasowej

Jak pracujemy w SparkSome

Zabezpieczamy infrastrukturę, od której zależy produkcja: tożsamość, serwery, kopie zapasowe, segmentację sieci, dostęp zdalny, monitoring i ciągłość działania. Warstwę sterowników i procesów technologicznych analizujemy wspólnie z automatykami klienta, bo to oni najlepiej znają logikę maszyn i dopuszczalne okna prac.

Dlatego audyt zaczynamy od rozmowy z utrzymaniem ruchu, a nie od skanera.

Przykładowy scenariusz: połączenie między siecią biurową a halą przechodzi przez jeden zarządzalny przełącznik. Urządzenie działa poprawnie, ale nie ma zastępstwa, aktualnej kopii konfiguracji ani udokumentowanej procedury odtworzenia. Jego awaria może odciąć system MES, stacje inżynierskie i dostęp do danych potrzebnych na produkcji.

Plan naprawczy nie musi oznaczać natychmiastowego zatrzymania linii. Można wcześniej przygotować konfigurację urządzenia zapasowego, wykonać test poza siecią produkcyjną, uzgodnić procedurę powrotu do poprzedniej konfiguracji i przeprowadzić przełączenie podczas planowanego okna serwisowego. W ten sposób pojedynczy punkt awarii zostaje usunięty bez niekontrolowanego ryzyka dla produkcji.

Wybierając wykonawcę audytu, sprawdź, czy:

• zna specyfikę sieci produkcyjnych i proponuje metody pasywne zamiast skanowania w godzinach pracy;
• opiera się nie tylko na normie ISO/IEC 27001, ale uwzględnia też wytyczne dla automatyki przemysłowej (IEC 62443, NIST SP 800-82);
• nie obiecuje „stu procent bezpieczeństwa” przed poznaniem zakładu;
• dostarcza priorytety i plan działań, a nie tylko wynik ze skanera;
• nie uzależnia rekomendacji od sprzedaży konkretnego produktu jednego producenta.

Porozmawiajmy o zakresie audytu Twojego zakładu

W trakcie rozmowy ustalimy, które obszary są kluczowe dla Twojego zakładu, czy potrzebny jest pełny audyt czy ocena wybranych obszarów, jakie okna serwisowe wchodzą w grę i jakiej dokumentacji będziemy potrzebować.