BSI-CS 154: Gdy sterowniki są podłączone do internetu – ochrona, ubezpieczenie i twoje obowiązki
Lada chłodnicza, piec do topienia, robot udojowy, instalacja grzewcza: coraz więcej urządzeń w firmach jest sterowanych i serwisowanych przez internet. Po atakach na instalacje chłodnicze supermarketów w całej Europie BSI opublikował osobne zalecenie: BSI-CS 154. Tutaj dowiesz się, co w nim jest, których firm dotyczy – i dlaczego samo ubezpieczenie cyber nie wystarczy, jeśli nie znasz swoich obowiązków.
Zleć sprawdzenie ochrony cyber
Najważniejsze w skrócie
- BSI-CS 154 nosi tytuł „Gefährdung durch internet-verbundene OT-Systeme” (Zagrożenie ze strony systemów OT podłączonych do internetu) i ukazało się 13 października 2026, bezpośrednio po atakach na supermarkety we Francji.
- OT oznacza Operational Technology (technologię operacyjną): sterowanie instalacjami i maszynami – nie biurowe IT.
- Cztery kluczowe działania: brak bezpośredniego połączenia z internetem, dostęp zdalny tylko przez VPN z logowaniem wieloskładnikowym, instalowanie aktualizacji, bezpieczeństwo jako rutyna.
- Ubezpieczenie: Polisa cyber pokrywa przede wszystkim szkody majątkowe (czysto finansowe). Szkody rzeczowe i zepsucie towaru są często wyłączone lub ograniczone.
- Twój obowiązek: Jako ubezpieczający musisz spełniać obowiązki dotyczące bezpieczeństwa – również wtedy, gdy instalację serwisuje usługodawca.
Czym jest BSI-CS 154?
Federalny Urząd Bezpieczeństwa Informacji (BSI) publikuje pod skrótem „BSI-CS” zalecenia dotyczące cyberbezpieczeństwa. Numer 154 nosi tytuł „Gefährdung durch internet-verbundene OT-Systeme” i od 13 października 2026 jest dostępny za pośrednictwem Allianz für Cyber-Sicherheit. Bezpośrednią przyczyną był atak na systemy chłodnicze setek francuskich supermarketów w nocy z 11 na 12 października. Wkrótce potem doszło do kolejnych przypadków w innych krajach europejskich, także w Niemczech – więcej na ten temat w naszym artykule Hakerzy podgrzewają zamrażarki.
Według BSI zalecenie jest skierowane do operatorów małych instalacji przemysłowych lub podobnych, które wykorzystują przemysłowe urządzenia sterujące – na przykład do chłodzenia żywności, wytwarzania energii elektrycznej lub uzdatniania wody. Chodzi więc właśnie nie tylko o duże koncerny przemysłowe, lecz o supermarkety, zakłady rzemieślnicze, rolników, przedsiębiorstwa komunalne czy operatorów instalacji solarnych.
Dlaczego otwarte sterowniki są tak niebezpieczne
Wiele sterowników zbudowano do pracy na miejscu i nigdy nie przewidziano, że będą bezpośrednio podłączone do internetu. Aby firmy serwisowe mogły wygodnie łączyć się zdalnie, często mimo to udostępnia się je otwarcie – czasem z przestarzałym oprogramowaniem układowym (firmware), hasłami domyślnymi lub wspólnymi i bez drugiego składnika logowania. Zautomatyzowane programy skanujące szybko znajdują takie urządzenia. Według doniesień prasowych podczas ataków na supermarkety ucierpiały m.in. sterowniki chłodnicze producentów Danfoss, Copeland i Dixell; dostawca rozwiązań bezpieczeństwa Forescout naliczył w październiku prawie 13.000 systemów zarządzania chłodzeniem dostępnych z internetu w 99 krajach.
Skutki wykraczają daleko poza utratę danych: towar się psuje, maszyny stoją, półprodukty stają się bezużyteczne, a w najgorszym przypadku dochodzi do szkód rzeczowych lub osobowych.
Cztery kluczowe działania z zalecenia
- Brak bezpośredniego dostępu z internetu: Sterowniki nie mogą być otwarcie dostępne z internetu. Wyłącz przekierowania portów w routerze, nie udostępniaj na zewnątrz protokołów przemysłowych (np. Modbus-TCP, S7Comm, Profinet).
- Dostęp zdalny tylko zabezpieczony: Zdalny serwis wyłącznie przez szyfrowany VPN z uwierzytelnianiem wieloskładnikowym.
- Aktualizuj i sprawdzaj: Na bieżąco aktualizuj systemy i firmware oraz regularnie kontroluj, czy urządzenia są dostępne z zewnątrz.
- Rutyna zamiast jednorazowej akcji: Na stałe wbuduj środki bezpieczeństwa i kontrole w codzienne funkcjonowanie firmy.
Nasze uzupełnienia z praktyki: Zastąp hasła domyślne i załóż osobne konto dla każdego dostępu, oddziel sieć sterowania od biurowego IT, skonfiguruj osobny alarm (np. temperatury przez SMS) i ustal plan awaryjny: kto zostanie powiadomiony w nocy, kto może wyłączyć instalację?
Pełne zalecenie znajdziesz na stronie BSI: BSI-CS 154 w Allianz für Cyber-Sicherheit.
30 branż o podwyższonym ryzyku
Dotknięta może być każda firma, której instalacje są sterowane lub serwisowane przez internet. Szczególnie poważne są skutki tam, gdzie psuje się towar, staje produkcja lub zaopatruje się ludzi. Nasza ocena – bez kolejności, uporządkowana według obszarów:
Handel & żywność
- Supermarkety i handel detaliczny żywnością
- Produkcja żywności
- Masarnie i przetwórstwo mięsa
- Piekarnie i cukiernie
- Mleczarnie i serowarnie
- Browary i producenci napojów
Gastronomia & logistyka
- Gastronomia, kuchnie zbiorowe i stołówki
- Hotele
- Catering
- Chłodnie i logistyka chłodnicza
- Firmy spedycyjne z pojazdami chłodniczymi
Zdrowie
- Apteki
- Gabinety lekarskie z chłodzeniem szczepionek i leków
- Kliniki, placówki rehabilitacyjne i opiekuńcze (technika budynkowa)
- Laboratoria i biotechnologia
Produkcja & przemysł
- Produkcja farmaceutyczna i chemiczna
- Przetwórstwo tworzyw sztucznych (np. formowanie wtryskowe)
- Obróbka metali i odlewnie (np. piece do topienia)
- Przetwórstwo drewna i stolarnie (CNC, suszenie)
- Budowa maszyn i urządzeń
- Drukarnie
Rolnictwo
- Gospodarstwa mleczne (roboty udojowe, chłodzenie mleka, klimat w oborze)
- Szklarnie i ogrodnictwo (sterowanie klimatem)
- Hodowla ryb i akwakultura
Energia, woda & budynki
- Zakłady wodociągowe i kanalizacyjne
- Operatorzy instalacji fotowoltaicznych (falowniki)
- Energetyka wiatrowa, biogazownie i elektrociepłownie blokowe
- Gospodarka mieszkaniowa i zarządcy nieruchomości (ogrzewanie, systemy zarządzania budynkiem)
- Baseny, obiekty sportowe i rekreacyjne
- Centra danych i serwerownie (klimatyzacja)
Według ekspertów zagrożona jest także cała branża produkcyjna: jeśli piec do topienia wypadnie z rytmu albo awarii ulegnie suszarnia, partia staje się bezużyteczna.
Co płaci ubezpieczenie – a czego nie
„Ubezpieczenie cyber jest klasycznie ubezpieczeniem od szkód majątkowych”, mówi Jan Meurer z ubezpieczyciela cyber Stoïk w rozmowie z AssCompact. W praktyce oznacza to:
| Szkoda | Zazwyczaj z | Na co warto zwrócić uwagę |
|---|---|---|
| Informatyka śledcza, natychmiastowa pomoc, odzyskiwanie danych | Ubezpieczenie cyber | Czy ochrona obejmuje także sterowniki, a nie tylko biurowe IT? |
| Utrata przychodów / przerwa w działalności | Ubezpieczenie cyber (zależnie od taryfy opcjonalnie) | Okres odszkodowawczy, czasowy udział własny, limit odszkodowania |
| Uszkodzony sprzęt | Ubezpieczenie cyber, często tylko sprzęt IT | Niektóre warunki wyraźnie wyłączają środki produkcji |
| Zepsuty towar, mienie firmy, maszyny | Ubezpieczenie mienia firmy, towaru chłodzonego, maszyn lub elektroniki | Wyłączenie cyber w polisie majątkowej? Klauzula zepsucia towaru lub włączenie szkód rzeczowych w polisie cyber? |
| Roszczenia osób trzecich | OC cyber, OC działalności | Kto odpowiada, jeśli szkodę poniosą klienci lub partnerzy? |
Jak wygląda to w konkretnych warunkach ubezpieczenia – z klauzulą zepsucia, modułem szkód w substancji rzeczy i pytaniem, czy najpierw płaci ubezpieczenie cyber, czy ubezpieczenie mienia – pokazujemy w naszym uzupełnieniu na przykładzie Stoïk. Warunki znacznie różnią się w zależności od ubezpieczyciela – w każdym przypadku indywidualnie wyjaśnimy, co obejmuje twoja umowa.
Twoje obowiązki jako ubezpieczającego
Ubezpieczenie cyber zakłada, że przestrzegasz uzgodnionego standardu bezpieczeństwa. Te tzw. obowiązki umowne (Obliegenheiten) są zapisane w warunkach i różnią się w zależności od ubezpieczyciela. Typowe to:
- Aktualizacje bezpieczeństwa instaluj na bieżąco – niektóre warunki podają na to stałe terminy.
- Przestarzałe systemy bez aktualizacji eksploatuj tylko w izolacji, czyli bez bezpośredniego dostępu do internetu.
- Indywidualne dostępy z bezpiecznymi hasłami, dodatkowa ochrona (np. logowanie dwuskładnikowe) dla dostępu zdalnego.
- Kopie zapasowe regularnie i w sposób chroniony – w Stoïk np. co najmniej raz w tygodniu, przechowywane przez dwa tygodnie, offline lub niezmienialne.
- Ustawowe, urzędowe i umowne przepisy bezpieczeństwa – przestrzegaj ich.
Kto narusza obowiązek umowny z rażącym niedbalstwem, ryzykuje obniżenie świadczenia, a przy umyślności nawet jego całkowitą utratę. Co najmniej równie ważne są dane we wniosku: kto na przykład potwierdza tam, że wszystkie systemy są aktualne, nie sprawdziwszy tego, ryzykuje uchylenie się ubezpieczyciela od umowy. I tak OLG Schleswig (16 U 63/24) (Wyższy Sąd Krajowy) potwierdził skuteczne uchylenie się od polisy cyber, ponieważ na pytania o stan zabezpieczeń odpowiedziano „na ślepo”. Z kolei według wyroku LG Tübingen (Sąd Krajowy, maj 2023) ubezpieczyciel musiał zapłacić mimo przestarzałych serwerów, ponieważ luki nie były przyczyną szkody. Przykłady pokazują: wszystko zależy od konkretnego przypadku i dokładnego brzmienia.
Bardzo ważne: Obowiązki umowne spoczywają na tobie jako ubezpieczającym – także wtedy, gdy twoje chłodzenie, ogrzewanie lub maszynę serwisuje zewnętrzny usługodawca. Zadania możesz przekazać, odpowiedzialności wobec ubezpieczyciela – nie.
Zobowiąż usługodawcę
Ponieważ to ty pozostajesz odpowiedzialny wobec ubezpieczyciela, wymagania bezpieczeństwa powinny znaleźć się w umowie serwisowej i konserwacyjnej. Bez wyraźnego zapisu usługodawca w razie wątpliwości jest winien tylko to, co uzgodniono. Te punkty powinny się w niej znaleźć:
- Dostęp zdalny: tylko przez VPN z logowaniem wieloskładnikowym, żadnych otwartych portów, żadnych stale aktywnych dostępów.
- Dane dostępowe: żadnych haseł domyślnych ani wspólnych, osobiste konta dla każdego technika, blokada przy zmianie personelu.
- Aktualizacje: obowiązek instalowania aktualizacji bezpieczeństwa i firmware w ustalonych terminach oraz obowiązek informowania, gdy urządzenie przestaje otrzymywać aktualizacje.
- Aktualny stan techniki: zgodność z uznanymi zaleceniami, takimi jak BSI-CS 154.
- Obowiązek zgłaszania: niezwłoczne informowanie o incydentach bezpieczeństwa lub znanych podatnościach.
- Rejestrowanie: możliwość ustalenia, kto i kiedy łączył się zdalnie.
- Kontakt awaryjny: dostępność i czasy reakcji w razie awarii, także w nocy i w weekendy.
- Odpowiedzialność i ubezpieczenie: jasne zasady odpowiedzialności i potwierdzenie wystarczającego ubezpieczenia OC zawodowego lub OC IT usługodawcy.
- Ochrona danych: umowa powierzenia przetwarzania danych, jeśli usługodawca ma dostęp do danych osobowych.
Jeśli usługodawca zawinił szkodę, może być zobowiązany do odszkodowania – a ubezpieczyciel, który zlikwidował szkodę, może wystąpić wobec niego z regresem. Im jaśniejsza umowa, tym lepsze twoje karty. W sprawie prawnego kształtu umowy zwróć się do adwokatki lub adwokata.
Twój plan w pięciu krokach
- Sporządź listę wszystkich instalacji podłączonych do sieci i sprawdź, które są dostępne z zewnątrz.
- Wdróż cztery działania z BSI-CS 154 wspólnie ze swoim działem IT lub firmą serwisową.
- Uzupełnij umowy serwisowe i konserwacyjne o obowiązki w zakresie bezpieczeństwa.
- Zestaw ze sobą ubezpieczenie cyber i majątkowe: szkody rzeczowe, zepsucie towaru, przerwa w działalności, obowiązki umowne.
- Porównaj dane we wniosku ubezpieczeniowym ze swoim działem IT – i aktualizuj je w razie zmian.
Nasza oferta: Sprawdzamy, jak współgrają twoje ubezpieczenia cyber, mienia firmy i towaru chłodzonego, i pokazujemy ci, gdzie powstają luki – na przykład z ubezpieczeniem cyber od Stoïk. Co konkretnie obejmują jego warunki, przeczytasz w uzupełnieniu na przykładzie Stoïk. Więcej: Cyberbezpieczeństwo dla firm.
Najczęstsze pytania
Czym jest BSI-CS 154?
BSI-CS 154 to zalecenie dotyczące cyberbezpieczeństwa wydane przez Federalny Urząd Bezpieczeństwa Informacji (BSI), zatytułowane „Gefährdung durch internet-verbundene OT-Systeme”, opublikowane 13 października 2026. Jest skierowane do operatorów małych instalacji przemysłowych lub podobnych z urządzeniami sterującymi, np. do chłodzenia żywności, wytwarzania energii elektrycznej lub uzdatniania wody.
Czy moje ubezpieczenie cyber zapłaci, jeśli uszkodzona zostanie maszyna lub towar?
Często nie w pełni. Ubezpieczenie cyber jest przede wszystkim ubezpieczeniem od szkód majątkowych. Szkody rzeczowe, takie jak zepsuty towar czy uszkodzone środki produkcji, są często wyłączone lub ubezpieczone tylko w ograniczonym zakresie. Jednocześnie wiele ubezpieczeń majątkowych wyłącza cyberataki. Sprawdzamy, jak współgrają twoje umowy.
Czy mogę przekazać bezpieczeństwo IT swojemu usługodawcy?
Zadania tak, odpowiedzialność wobec ubezpieczyciela nie. Obowiązki umowne wynikające z twojej polisy spoczywają na tobie jako ubezpieczającym. Dlatego jasne obowiązki w zakresie bezpieczeństwa powinny znaleźć się w umowie serwisowej i konserwacyjnej z twoim usługodawcą.
Co się stanie, jeśli moje dane we wniosku ubezpieczeniowym są nieprawdziwe?
Wtedy ubezpieczyciel, w zależności od przypadku, może odstąpić od umowy, uchylić się od niej lub obniżyć świadczenie. Sądy uznawały odpowiedzi „na ślepo” dotyczące stanu bezpieczeństwa IT za podstępne. Dlatego przed zawarciem umowy zleć sprawdzenie danych swojemu działowi IT.
Serdeczne pozdrowienia od KiS
Wskazówka: Informacja ogólna, stan na 05.11.2026, nie stanowi porady prawnej ani indywidualnego doradztwa. Lista branż to nasza ocena, a nie urzędowa klasyfikacja. Decydujące są warunki danego ubezpieczyciela. Źródła: BSI-CS 154 (13.10.2026); doniesienia dpa, ad-hoc-news, VWheute i AssCompact (październik/listopad 2026); Stoïk, warunki Cyber Serenity – Standard (DE2609.2); orzeczenia OLG Schleswig 16 U 63/24 i LG Tübingen z 26.05.2023. KiS – Kontor im Schwarzwald GmbH, broker ubezpieczeniowy z zezwoleniem zgodnie z § 34d Abs. 1 GewO, Reg.-Nr. D-PS74-61V96-00.