NIK: słabe zabezpieczenia operatorów usług kluczowych

NIK skontrolował 8 operatorów usług kluczowych w energetyce, wodociągach oraz transporcie kolejowym i wodnym. Żaden nie zapewnił systemom odporności na naruszenie poufności, integralności i dostępności danych. Sześciu ignorowało krytyczne alerty, część nie prowadziła monitoringu wcale, więc mogli nie wiedzieć o ataku. Nadzorujący ministrowie wiedzieli i nie zareagowali. Kontrola objęła lata 2021-2025. W tym samym czasie zespoły CSIRT obsłużyły w 2025 roku prawie 273 tys. incydentów, o 144,4 proc. więcej niż rok wcześniej. Jeden co dwie minuty. NIK przypomina: atak na wodociągi pozwala manipulować parametrami wody, przejęcie sieci elektroenergetycznej wyłączyć prąd.

Ministerstwo Cyfryzacji odpowiada pakietem „Cyber Piątka". Firmy przetwarzające dane medyczne mają przejść certyfikację powiązaną z krajowym systemem certyfikacji cyberbezpieczeństwa, systemy dostaną minimalne wymagania technologiczne, a pacjent ma się dowiedzieć, kto przetwarza jego dane. Do tego obowiązek szybkiego informowania o naruszeniach. Wiceminister Dariusz Standerski wskazuje ostatnią kradzież danych z prywatnej firmy jako powód zmian. Jeśli przetwarzasz dane pacjentów jako podwykonawca placówki, treść umowy przestanie być tarczą.

Komisja Europejska wyznaczyła ChatGPT jako bardzo dużą wyszukiwarkę w rozumieniu DSA, obok Reddita i Robloxa ze statusem bardzo dużych platform. Próg to 45 mln użytkowników miesięcznie w UE. Wszystkie trzy mają cztery miesiące, do końca grudnia 2026, na dostosowanie się do obowiązków dotyczących ryzyk systemowych.