Rozszerzone wymagania KRITIS przez dyrektywę NIS-2
Wdrożenie dyrektywy NIS-2 do prawa krajowego drastycznie poszerzyło krąg objętych organizacji. Podczas gdy pojęcie infrastruktury krytycznej długo wiązano z wielkimi elektrowniami, centralnymi dostawcami wody czy węzłami transportu szynowego, spojrzenie to jest od 2026 roku nieaktualne. Wskutek najnowszych zmian w ustawie o BSI dziś także średnie przedsiębiorstwa z sektorów transportu, logistyki, ochrony zdrowia i gospodarki odpadami oraz urzędy podlegają surowym obowiązkom zgłoszeniowym i wymaganiom bezpieczeństwa.
Kto ignoruje nowe standardy, ryzykuje nie tylko fatalne przestoje, lecz staje także wobec dotkliwych ryzyk osobistej odpowiedzialności i sankcji. Podatność nie ogranicza się przy tym do cyfrowych elementów infrastruktury – jak pokazały mechaniczne ataki na zasilanie w energię w Berlinie we wrześniu 2025 roku.
Usieciowienie tworzy nowe powierzchnie ataku
Nowoczesna automatyka budynkowa jest dziś niemal bez wyjątku usieciowiona. Czy to przez WLAN, radio czy przewodowe systemy magistralne: każde zautomatyzowane drzwi, każde inteligentne okno i każda instalacja oddymiania (RWA) jest potencjalnym punktem końcowym w sieci. Tym samym każdy z tych systemów staje się możliwą furtką dla cyberataków, jeśli zabezpieczenie nie odpowiada aktualnemu stanowi techniki.
Szczególnie problematyczny jest przy tym styk między bezpieczeństwem IT a fizycznym. Klasyczny przykład z praktyki ilustruje ryzyko: gdy automatyczna instalacja drzwiowa wykazuje w trakcie eksploatacji usterkę, w gorączkowej codzienności bywa często blokowana mechanicznie z wygody lub niewiedzy – zostaje "zablokowana w pozycji otwartej". W kontekście KRITIS to nie drobiazg, lecz luka bezpieczeństwa, która znosi fizyczne rozdzielenie mające właściwie gwarantować ochronę przed nieuprawnionym wejściem.
Bezpieczeństwo fizyczne i cyfrowe jako jedność
Integralność instalacji KRITIS stoi i upada wraz z fizycznym zabezpieczeniem powłoki zewnętrznej oraz wewnętrznymi stykami między wrażliwymi obszarami KRITIS a strefami publicznie dostępnymi. Prawdziwa zgodność z KRITIS wymaga zatem zmiany myślenia: zabezpieczenie cyfrowe i niezawodność mechaniczna muszą być planowane i eksploatowane jako nierozdzielna jedność.
Zintegrowane podejścia projektowe dla zgodności z KRITIS
Nowe wymagania ustawowe znacznie przesuwają priorytety w projektowaniu. Obserwuje się dziś wzrost tak zwanych konfliktów funkcjonalnych. Wysokie bariery bezpieczeństwa i restrykcyjna kontrola dostępu kolidują przy drzwiach i innych elementach powłoki zewnętrznej nieuchronnie z życzeniem maksymalnego komfortu obsługi, pełnej dostępności bez barier i możliwie niskiego nakładu konserwacyjnego.
Aby uniknąć kosztownych poprawek albo wręcz całkowicie nowego projektowania, osoby odpowiedzialne za budowę i budynki muszą wcześniej niż kiedykolwiek szukać rozmowy z ekspertami. Zintegrowane podejście projektowe postrzega budynek nie jako sumę pojedynczych branż robót, lecz jako system całościowy.
Wyzwania przy modernizacji istniejących obiektów
Szczególnie wymagająca jest modernizacja w istniejącej zabudowie. Wiele budynków istotnych dla KRITIS dysponuje historycznie narosłymi systemami, które często działają jako rozwiązania wyspowe. Palące pytanie brzmi: jak doposażyć przestarzałe komponenty zgodnie z KRITIS, bez konieczności wymiany całej infrastruktury?
Ugruntowana inwentaryzacja jest pierwszym krokiem do zidentyfikowania styków, które są przyszłościowe zarówno pod względem bezpieczeństwa, jak i funkcjonalności. Celem musi być znalezienie rozwiązania spełniającego surowe potrzeby ochronne, bez paraliżowania eksploatacji budynku nadmierną złożonością.
Standardy techniczne dla bezpiecznej interoperacyjności
Decydującą dźwignią techniczną dla wdrożenia rozwiązań zgodnych z KRITIS jest interoperacyjność. Zautomatyzowane rozwiązania drzwiowe i okienne muszą dziś jednocześnie realizować złożone zadania: wymagania ochrony przeciwpożarowej muszą być spełnione, drogi ewakuacyjne i ratunkowe gwarantowane w każdej chwili, a dostępność bez barier zachowana. Jednocześnie system musi być w pełni zintegrowany z nadrzędnym sterowaniem budynkiem, aby dostarczać komunikatów statusu w czasie rzeczywistym.
Eksperci konsekwentnie stawiają na otwarte i bezpieczne standardy komunikacyjne, aby zapewnić niezbędną przejrzystość i bezpieczeństwo. Obecnie OPC UA tworzy podstawę niezależnej od platformy i bezpiecznej wymiany danych. Z myślą o przyszłości i rosnących wymaganiach wobec bezpieczeństwa sieci centralną rolę odgrywać będzie także BACnetSC (Secure Connect).
Szyfrowanie jako warunek podstawowy
Standardy te umożliwiają nie tylko sterowanie funkcjami bezpieczeństwa, lecz także komunikowanie ich w postaci zaszyfrowanej i nieprzerwane nadzorowanie. W architekturze zgodnej z KRITIS to szyfrowanie na poziomie protokołu jest warunkiem podstawowym, aby zapobiec atakom man-in-the-middle na technikę budynkową.
Zalecenia praktyczne dla automatyki budynkowej zgodnej z KRITIS
Dla praktycznego wdrożenia z nowych wymagań wynikają konkretne zalecenia do działania:
- wczesne włączenie ekspertów ds. bezpieczeństwa w fazę projektowania
- postrzeganie budynku jako systemu całościowego zamiast izolowanych branż robót
- ugruntowana inwentaryzacja przed działaniami modernizacyjnymi
- stosowanie otwartych i bezpiecznych standardów komunikacyjnych
- wdrożenie ciągłego szyfrowania na poziomie protokołu
- regularny przegląd i dostosowywanie środków bezpieczeństwa
Szczególnie przy systemach kontroli dostępu należy zwracać uwagę, aby mechaniczne środki bezpieczeństwa nie były obchodzone przez operacyjne rozwiązania awaryjne. Usterki muszą być systematycznie usuwane, zamiast ustanawiania improwizowanych obejść.
Perspektywy: bezpieczeństwo jako zadanie stałe
Zgodność z KRITIS nie jest jednorazowym projektem, lecz stałym zadaniem w cyklu życia budynku. Wobec stale zmieniającej się sytuacji zagrożenia i dynamicznego prawodawstwa planowanie z wyprzedzeniem jest jedyną drogą do odporności.
Integracja bezpieczeństwa IT i fizycznego bezpieczeństwa budynku stanie się w przyszłości jeszcze ważniejsza. Przedsiębiorstwa, które dziś inwestują w przyszłościowe rozwiązania, mogą wykorzystać bezpieczeństwo jako przewagę konkurencyjną zamiast doświadczać go jako przeszkody. Z właściwymi partnerami i inteligentnie usieciowioną automatyką budynkową bezpieczeństwo staje się gwarantem stabilnej i przyszłościowej eksploatacji.
Rozszerzenie wymagań KRITIS uwidacznia: ochrona infrastruktury krytycznej zaczyna się już przy powłoce budynku i wymaga zmiany myślenia w całej fazie projektowania i eksploatacji nieruchomości.
