Wyobraź sobie panel operatora w stacji uzdatniania wody; ekrany pokazują poziom chloru, ciśnienie w sieci i wyniki najświeższych próbek. Wszystko działa automatycznie, w tle, bez udziału człowieka przy każdym pomiarze. Dokładnie taka infrastruktura – czujniki, automatyka i systemy raportowania – stoi dziś za każdą kroplą wody, która płynie z kranu. I to właśnie ona, a nie tylko chlor i rury, znalazła się w centrum nowej ustawy, która weszła w życie 21 maja 2026 r.
Od kranu do serwera: nowe podejście do bezpieczeństwa wody
21 maja 2026 r. weszła w życie ustawa z dnia 13 marca 2026 r. o zmianie ustawy o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków, wdrażająca unijną Dyrektywę Wodną 2020/2184. W dużym skrócie ustawodawca każe dostawcom wody i wielu instytucjom np. szpitalom, hotelom, więzieniom, domom opieki – porzucić model „zbadamy próbkę i zobaczymy, czy jest w normie” na rzecz ciągłego, systemowego zarządzania ryzykiem w całym łańcuchu dostaw tj. od ujęcia wody, przez uzdatnianie i sieć wodociągową, aż po instalację za wodomierzem w budynku klienta.
Brzmi znajomo? Powinno. To niemal ten sam szkielet, na którym opiera się każdy system zarządzania bezpieczeństwem informacji, czyli zidentyfikuj zagrożenia, oceń ryzyko, wdróż środki kontroli, monitoruj skuteczność, dokumentuj i przeglądaj cyklicznie. Różnica polega na tym, że tym razem przedmiotem ochrony nie są dane, tylko woda pitna, ale narzędzia służące tej ochronie są w ogromnej mierze cyfrowe.
Dwa filary bezpieczeństwa wodociągów
Rok temu, przy okazji naboru do grantu „Cyberbezpieczne Wodociągi”, pisaliśmy o tym, jak sektor wod-kan, jako podmiot kluczowy w rozumieniu Krajowego Systemu Cyberbezpieczeństwa musi zarządzać ryzykiem cybernetycznym, zgłaszać incydenty i budować odporność systemów informatycznych sterujących infrastrukturą. To pierwszy filar bezpieczeństwa nowoczesnych wodociągów: ochrona systemów, które zarządzają wodą.
Nowa ustawa o zmianie ustawy o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków oraz niektórych innych ustaw dokłada filar drugi, bezpieczeństwo samej wody, od źródła aż po kran. Problem w tym, że te dwa filary wcale nie są od siebie niezależne. W praktyce jeden opiera się na drugim.
Gdzie w nowej ustawie kryje się cyberbezpieczeństwo?
Ustawa ani razu nie używa słowa „cyberbezpieczeństwo”. A jednak, czytając ją uważnie, trudno nie zauważyć, ile w niej wątków prosto z tego świata:
- Monitoring operacyjny. Art. 4g nakłada na dostawców wody obowiązek prowadzenia monitoringu operacyjnego dostosowanego do danego systemu zaopatrzenia w wodę, czyli czujników mętności, poziomu dezynfekcji czy automatyki dozującej chemikalia. To klasyczne systemy sterowania przemysłowego, a więc dokładnie ta infrastruktura, którą miał zabezpieczyć grant „Cyberbezpieczne Wodociągi”. Nieautoryzowana zmiana jednego parametru w takim systemie to nie „wyciek danych” – to realne ryzyko zdrowotne dla mieszkańców.
- Ocena ryzyka jako gotowa mapa najsłabszych punktów. Raport podsumowujący z oceny ryzyka (art. 4f ust. 2) musi zawierać m.in. dokładne współrzędne geograficzne wszystkich ujęć wody oraz wykaz zagrożeń i zdarzeń niebezpiecznych. Taki dokument w niepowołanych rękach jest równie wrażliwy, co wyniki testów penetracyjnych czy polityka bezpieczeństwa informacji i wymaga dokładnie takiej samej kontroli dostępu.
- Elektroniczne podpisy i archiwizacja na ponad dekadę. Ocenę ryzyka wewnętrznego systemu wodociągowego (obowiązkową m.in. dla szpitali, hoteli i więzień) można sporządzić elektronicznie, ale wyłącznie z kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym i trzeba ją przechowywać co najmniej 12 lat (art. 4i ust. 6).
- Strona i aplikacja dla konsumenta to nowa powierzchnia ataku. Art. 4q zobowiązuje dostawców wody do publikowania informacji o jakości wody na stronie internetowej lub w aplikacji mobilnej. Każdy taki kanał trzeba zabezpieczyć i aktualizować – inaczej stanie się najsłabszym ogniwem starannie zbudowanej oceny ryzyka.
- RODO wraca jako osobny wątek i to w wersji podwyższonego ryzyka. Ustawa czyni dostawców wody administratorem danych osobowych konsumentów, którzy wnioskują o informacje w formie papierowej (art. 4q ust. 4–5), a wójtów – administratorem danych osób zagrożonych ubóstwem i wykluczeniem społecznym, którym brakuje dostępu do wody: z imieniem, nazwiskiem, datą urodzenia, adresem i obywatelstwem (art. 4r ust. 5). Lista adresów osób w trudnej sytuacji życiowej to dane, których wyciek może realnie kogoś skrzywdzić.
- Raportowanie przypomina znajomy mechanizm z NIS2. Laboratoria przekazują sprawozdania z badań jakości wody drogą elektroniczną (art. 37ag ust. 6) – choć ustawa dopuszcza w niektórych sytuacjach nawet przekazanie sprawozdania faksem, co samo w sobie sporo mówi o realnym poziomie cyfryzacji sektora. Główny Inspektor Sanitarny prowadzi krajową ewidencję laboratoriów i zbiory danych o jakości wody, do których dostęp mają też instytucje unijne. Ustawa wprowadza nawet próg zdarzeń „trwających dłużej niż 10 kolejnych dni i dotyczących co najmniej 1000 osób”, które trzeba zgłaszać dalej – strukturalnie bardzo bliski progom „incydentu poważnego” znanym z NIS2, tylko przeniesiony na grunt zdrowia publicznego.
Podsumowanie: bezpieczna woda to też bezpieczne dane
Ustawa Wodna 2026 nigdzie nie wspomina o cyberbezpieczeństwie wprost i pewnie dlatego łatwo czytać ją wyłącznie jako temat dla technologów wody i sanepidu. To błąd. Za każdą oceną ryzyka, każdym monitoringiem operacyjnym i każdym elektronicznym sprawozdaniem stoi system informatyczny, który trzeba zabezpieczyć, a za każdym takim systemem stoi woda, którą ktoś za chwilę wypije. W 2026 roku bezpieczna woda to tyle samo inżynierii sanitarnej, co dobrze zabezpieczonych danych i systemów.
Autor: Hubert Herbowski