NIS2 dla firm produkcyjnych, logistycznych i e-commerce: od samoidentyfikacji do planu bezpieczeństw

Paraliż fabryki, zablokowany magazyn czy zamrożony sklep internetowy kosztują dziś krajową gospodarkę więcej niż atak na bank – i właśnie dlatego firmy cierpią katusze w związku z dostosowywaniem się do nowego prawa. Jak wdrożyć NIS2 dla firm produkcyjnych, logistyki czy platform e-commerce i ustalić, który obszar wymaga najpilniejszej opieki? Odczarowujemy mity o współczesnych cyberatakach, pokazujemy, dlaczego nie jesteś już bezpieczny… i objaśniamy kroki, za których nazwanie inni potrafią wystawiać długie rachunki.

NIS2 dla firm produkcyjnych, logistyki i e-commerce. Dlaczego problem wykracza poza elektrownie czy banki?

„Hakerzy szukają pieniędzy w bankach”.

Tak – zdarza nam się ciągle słyszeć te słowa. „Tak” numer dwa – nie zmienia tu nic 2026 rok.

W rzeczywistości jednak wniosek ten rozjeżdża się o co najmniej 10–12 lat – bo właśnie wtedy banki, telekomunikacja czy elektrownie stanowiły wciąż El Dorado dla hakerów. Na własnej skórze odczuła to m.in. ukraińska sieć energetyczna, w której cyberatak przeprowadzony w 2015 roku doprowadził do całkowitego wyłączenia elektrowni. Podobny los podzielił w 2016 roku Bank Centralny w Bangladeszu, tracąc na wkutek fatalnych zabezpieczeń sieciowych 81 milionów dolarów.

Ataki takie, jak WannaCry czy NotPetya wyznaczyły konieczność zbudowania nowych standardów ochrony: właśnie wtedy rozpowszechnił się monitoring SOC 24/7, izolacja systemów automatyki przemysłowej od sieci biurowej oraz zaawansowana analityka ruchu sieciowego. Hakerzy skierowali się więc w stronę mniejszych firm, których cyfrowe drzwi nadal były szeroko otwarte.

Cyberprzestępcy zmienili też sposób działania: jako że rzadko kradną pieniądze bezpośrednio, cel z „napadem na bank” ewoluował w poszukiwania możliwości szantażu. Firmy płacą okup, byle ruszyć dalej z pracą – najmniejszy przestój kosztuje ich dziesiątki tysięcy złotych.

Dlaczego uwzględnił to również NIS2, obejmując wymogami także firmy produkcyjne, logistyczne czy e-commerce? Stało się tak, ponieważ Unia Europejska zrozumiała, że paraliż gospodarki najłatwiej wywołać uderzeniem w fundamenty rynku – wystarczy na tydzień odciąć systemy MRP w fabrykach, saszyfrować WMS w dużym centrum logistycznym czy zablokować koszyki na Black Friday, by położyć gospodarkę. Dyrektywa wprowadza tu zasadę samoidentyfikacji: jeśli Twoja firma zatrudnia min. 50 osób i generuje co najmniej 10 milionów euro obrotu, podlegasz nowym prawom automatycznie.

Krok 1 do bezpieczeństwa: audyt formalny, zweryfikowanie etatów i fnansów oraz zderzenie profilu działalności firmy z unijną listą sektorów podlegającą NIS2.

Z poczty do Active Directory – gdzie uderzają hakerzy i co możesz z tym zrobić?

Forsowanie zabezpieczeń sieciowych od zewnątrz jest nieopłacalne, kiedy najłatwiej oszukać… człowieka. Zainfekowana wiadomość, fałszywa faktura czy podrobiony link to obecnie najłatwiejsze i najskuteczniejsze sposoby na zdobycie pierwszych uprawnień – a stąd łatwa droga do Active Directory, czyli wewnętrznego systemu tożsamości i dostępów. Haker zaczyna poszukiwać w nim luk, nieużywanych od dawna kont i starych haseł, stopniowo przejmując kolejne uprawnienia i pnąc się w nich coraz wyżej. 

Tego typu atak jest niewykrywalny na początkowych stadiach bez systemów klasy EDR/XDR oraz ciągłego monitoringu logów – i właśnie dlatego stanowi największą podatność dużej części polskich firm. O ile w przypadku firm produkcyjnych oznacza to ryzyko zatrzymania linii, dla logistyki i e-commerce atak tego typu skutkować może już całkowitym paraliżem łańcucha dostaw czy masowym wyciekiem danych klientów.

To olbrzymi problem z perspektywy NIS2, bo skoro haker porusza się przy użyciu legalnych uprawnień, jest niewidzialny dla typowych systemów. Niewykrycia takiego intruza nie można już usprawiedliwić – urząd uzna to za zaniedbanie procedur bezpośrednio ze strony zarządu.

Krok 2 do bezpieczeństwa: czystka w Active Directory, wdrożenie MFA i zasady najmniejszych uprawnień oraz przejście na monitoring behawioralny (EDR/XDR monitorowane w ramach SOC).

WMS, MRP i systemy sprzedaży – jak zabezpieczyć je przed przestojem?

Jeszcze kilkanaście lat temu poszczególne systemy funkcjonowały nijako w próźni, nie dało się bowiem uderzyć w jeden w celu przechwycenia kolejnego – dziś te środowiska funkcjonują jednak na zasadzie zespołu naczyń połączonych. Biznes wymaga w końcu integracji: MRP musi pobierać zamówienia z ERP, a WMS wysyłać statusy zamówień do e-commerce czy systemów kurierskich. Jeśli sieć nie ma twardych zapr między tymi systemami, haker widzi je jako dwa adresy IP w tej samej sieci. 

Niedostosowanie się do NIS2 dla firm produkcyjnych zawodzi w takiej sytuacji pod kątem zapewnienia ciągłości działania linii, w logistyce – terminowej realizacji zleceń, w e-commerce natomiast: dostępności koszyków i płatności. 

W fabrykach zainfekowanie jednego komputera w biurze projektowym pozwala intruzowi natychmiast przeskoczyć do sterowników PLC zarządzających pracą maszyn. W centrach logistycznych brak barier oznacza, że złośliwe oprogramowanie może odciąć dostęp do bazy danych WMS – operatorzy tracą wówczas wgląd w lokalizację towarów, a wózki widłowe stają w miejscu, bo system nie generuje zadań. W e-commerce natomiast takie otwarte drzwi pozwalają hakerom podmienić skrypty na stronie głównej, przekierowując strumień płatności klientów na fałszywe konta. Bez odcięcia od siebie poszczególnych stref, pojedynczy incydent natychmiast kładzie cały biznes na łopatki.

Krok 3 do bezpieczeństwa: twarda segmentacja sieci i ruch monitorowany przez firewalle nowej generajci (NGFW), autonomiczne systemy uwierzytelniania oraz backup typu immutable lub air gap.

VPN i praca zdalna – czy wpuszczasz tego, kogo powinieneś?

VPN to silny sojusznik nowoczesnych firm – działa jednak dość zero–jedynkowo i nie jest w stanie wykryć, czy logująca się do niego osoba to pracownik, zewnętrzny podwykonawca, czy haker korzystający ze zdobytych w nielegalny sposób poświadczeń. W kontekście różnych branż taka bezbronność generuje zupełnie inne, niemniej tak samo krytyczne ryzyka.

W przypadku firm produkcyjnych czy logistycznych problem stanowi fakt, iż przez VPN logują się również osoby z zewnątrz: serwisanci czy partnerzy spedycyjni, generujący dziesiątki tymczasowych, często zapomnianych po czasie kont. Podobny problem występuje w branży e-commerce: sezony sprzedażowe wymagają w końcu dodatkowego wsparcia. 

Niestety, bez wdrożonych restrykcyjnych polityk zarządzania tożsamością, niemożliwe jest też spełnienie wymogów NIS2. Dyrektywa wymaga bowiem, aby każda operacja w sieci krytycznej przypisywana była do konkretnej i zweryfikowanej osoby. Jeśli osoby z zewnątrz logują się za pomocą generycznie nazwanych lub nie należących do nich kont, nie można ustalić, kto autoryzował dany ruch w sieci. Pozostawianie w systemach pustych czy archiwalnych kont to z kolei z punktu widzenia NIS2 brak należytej staranności w zarządzaniu ryzykiem.

Krok 4 do bezpieczeństwa: zastąpienie VPN rozwiązaniami klasy ZTNA, bezwzględne uwierzytelnianie wieloskładnikowe oraz wprowadzanie dostępów na żądanie dla partnerów z zewnątrz – dostęp w takiej sytuacji przyznawany jest czasowo.

Dostawcy pod lupą. Dlaczego w NIS2 płacisz za błędy swoich partnerów?

Po historiach sparaliżowanych banków czy firm energetycznych (i wdrożeniu przez te sektory należytych zmian) ataki przeniosły się na najsłabsze, ludzkie ogniwo – i nie inaczej jest w przypadku firm należących do Twoich kontrahentów. Narażone są tutaj wszystkie punkty styku firmy z zewnętrznymi podmiotami, które dla cyberprzestępców stają się idealną bramą wejściową.

Podwykonawców nie brakuje przede wszystkim w firmach produkcyjnych, których dostawcy mogą narazić wszystkich zaopatrywanych klientów w razie przejęcia systemu niewielkiej firmy partnera. W przypadku logistyki, choć barierę nie do przejścia stanowią brokerzy kurierscy czy globalne platformy EPR, dużo większe zagrożenie stwarza współpraca z lokalnymi partnerami spedycyjnymi, agencjami celnymi czy dostawcami niszowego opogramowania. W e-commerce szczególnie narażeni są zaś dostawcy wtyczek czy usług SaaS – jeśli w firmie wisi 500 (w tym 465 nieużywanych) wdrożeń, nigdy nie wiadomo, czy w kilku z nich nie kryje się podmieniony przed hakera kod. W każdym w tych przypadków za ewentualne naruszenia odpowiadasz przede wszystkim Ty: bez twardej weryfikacji konrahentów, każda kontrola w świetle dyrektywy NIS2 wykaże rażące zaniedbanie.

Krok 5 do bezpieczeństwa: audyt i czysczenie wtyczek i systemów SaaS, weryfikacja standardów bezpieczeństwa kontrahentów (Vendor Ris Assesment) oraz wprowadzenie klauzyl SLA cyberbezpieczenstwa.

Pancerny backup – wymóg ciągłości działania w NIS2

Menadżerowie wciąż powtarzają, że są bezpieczni, bo IT przecież robi backupy – ta wizja rozmywa się jednak we mgle, biorąc pod uwagę fakt, że hakerzy tuż po wejściu do sieci potrafią poświęcać tygodnie na lokalizowanie, infekowanie i usuwanie kopii zapasowych. Dopiero wtedy, już przygotowani do głównego ataku, uderzają ze zdwojoną siłą. 

Tradycyjne kopie naruszają NIS2 dla firm produkcyjnych, logistycznych i e-commerce, ponieważ są przechowywane w tej samej sieci i podatne na jednoczesne zaszyfrowanie, co w razie ataku uniemożliwia szybkie przywrócenie systemów i wiąże się z wielotygodniowym paraliżem i liczeniem strat.

Aby zapewnić ciągłość funkcjonowania w oczach NIS2, strategia backupów powinna opierać się na trzech filarach:

• Odporność na modyfikacje – backup musi być technicznie niemożliwy do zmiany lub usunięcia. Technologia Immutable Backup blokuje takie próby przez określany czas, zamrażając daną kopię.
• Izolacja sieciowa – przynajmniej jedna kopia zapasowa musi być całkowicie odcięta od głównej sieci, np. przez backup chmurowy lub fizycznie oddzielone repozytorium.
• Weryfikacja parametrów RPO i RTO – firma musi określić, ile danych maksymalnie może stracić (np. w postaci okna czasowego) i oszacować czas wymagany do odtworzenia danych.

Krok 6 do bezpieczeństwa: wdrożenie strategii backupu 3-2-1-1-0, separacja uprawnień administracyjnych ooraz regularne testy odtwarzania.

NIS2 dla firm produkcyjnych, logistycznych i e-commerce – wdrożenie NIS2 bez przeciążania Twojego działu IT

Wiesz już, co powoduje chaos i naraża Twoją firmę w kontekście NIS2 – jednak jak wprowadzić plan bezpieczeństwa zgodny z NIS2 w kilku krokach?

Idąc standardowym, znanym już tokiem:

Krok 7 do bezpieczeństwa to… współpraca z IT-Develop.

Tak – reklamujemy siebie na końcu, bo o ile każdy ze znanych Ci już kroków możesz wdrożyć samemu, doskonale wiemy, że przeciążenie działów IT i brak czytelnej komunikacji między nimi, a zarządem, przesuwa kroki konieczne do wdrożenia teraz o kolejne miesiące. Możemy więc ułożyć plan naprawczy za Ciebie – i od razu przejść do jego realizacji.

Zaczynamy od określenia, co w ogóle warto robić, unikając tym samym wystawiania bezsensownych rachunków. Każdą sensowną współpracę oprzeć należy w końcu na przeprowadzeniu rzetelnych testów, które wykażą, co wymaga dopracowania – to również czyste bezpieczeństwo dla Ciebie, bo odcina Cię od ewentualności kupowania niepotrzebnych i nieatekwatnych usług czy licencji. W tym celu wykonamy dla Ciebie pełny audyt bezpieczeństwa oraz testy penetracyjne, wskazując luki w Twojej infrastrukturze. 

W trosce o eliminację podatności wyczyścimy też Active Directory, wdrożymy MFA i zasady najmniejszych uprawnień oraz systemy EDR/XDR monitorowane w ramach oferowanego przez nas SOC 24/7. Na kolejne życzenie wspomożemy integrację, przeprowadzimy segmentację sieci (lub przeniesienie do chmury) czy wprowadzimy monitorowanie przez firewalle najnowszej generacji – tak, aby odciąć hakerom możliwość ruchu bocznego między Twoimi systemami. VPN zastąpić możemy z kolei rozwiązaniami klasy ZTNA i dostępami czasowymi na żądanie. Na samym końcu pozostawić możesz nam też wdrażanie procedur VRM i backupów najnowszej klasy, gwarantując sobie tym samym pełną ciągłość działania i  Disaster Recovery.