Rola prywatnych operatorów infrastruktury krytycznej w systemie bezpieczeństwa państwa

Niedawno odbyła się konferencja „Bezpieczne Samorządy” zorganizowana przez Fundację Veolia Polska, na której poruszano tematy dotyczące systemu ochrony ludności i obrony cywilnej, a także budowy odporności państwa – w tym na tym najniższym, samorządowym poziomie. Relacja z tego wydarzenia została opublikowana na portalu Defence24.pl.

Po tym konferencji mieliśmy okazję rozmawiać z jednym z prelegentów, dr hab. prof. AWSB Krzysztofem Zamaszem, wiceprezesem zarządu, dyrektorem handlowym Grupy Veolia w Polsce.

Mateusz Multarzyński, Defence24.pl: Jak firmy takie jak Veolia mogą i powinny uczestniczyć we wzmacnianiu krajowej architektury bezpieczeństwa oraz odporności?

Dr hab. prof. AWSB Krzysztof Zamasz, wiceprezes zarządu, dyrektor handlowy Grupy Veolia w Polsce: Przede wszystkim najważniejsze jest uświadomienie sobie, że bezpieczeństwo to nie tylko domena instytucji publicznych. Konferencja pokazała, że na poziomie samorządowym brakuje często świadomości, jak ważna jest współpraca z operatorami infrastruktury krytycznej. Veolia dostarcza wodę, energię elektryczną, ciepło – czyli podstawowe zasoby do sprawnego funkcjonowania społeczeństwa. Często jednak jesteśmy postrzegani tylko jako dostawcy usług, a nie jako partnerzy w budowaniu bezpieczeństwa. Grupa Veolia na całym świecie zatrudnia „małą armię”, czyli ponad 200 000 pracowników. To ogromny zasób wiedzy i praktyki, który wnosimy na coraz to nowsze rynki, do coraz szerszego zasobu sektorów, w formie poszerzającego się portfolio usług. Ostatnie lata przyniosły nam twardą, biznesową i operacyjną lekcję. Konflikt w Ukrainie, napięcia w cieśninie Ormuz, pandemia COVID-19 – to nie były abstrakcyjne zagrożenia. Te wyzwania pokazały nam, jak krucha może być ciągłość dostaw. Zakłócenie dostawy wody czy energii to nie jest tylko problem biznesowy. To zagrożenie dla zdrowia i życia ludzi. Zrozumieliśmy, że musimy działać inaczej. W jaki sposób? Przede wszystkim poprzez dywersyfikację. Nie możemy być uzależnieni od jednego źródła zasilania czy jednej ścieżki dostaw. Działamy teraz na rzecz zróżnicowanego miksu energetycznego – integrujemy odnawialne źródła energii, budujemy elastyczne sieci, które potrafią szybko się adaptować w warunkach kryzysowych. To nie jest łatwe ani tanie, ale konieczne. To jest właśnie paradoks, przed którym stoimy. Budowanie odporności wiąże się z kosztami. Wierzymy, że można to robić mądrze. Inwestujemy w efektywność operacyjną, aby te koszty nie przerzucać bezpośrednio na społeczeństwo. Rozumiemy, że cena usług musi być społecznie akceptowalna – szczególnie w trudnych czasach. Dlatego szukamy równowagi między bezpieczeństwem a dostępnością.

Veolia jest obecna w wielu polskich miastach, w tym w Warszawie, gdzie dostarcza ciepło m.in. do mojego mieszkania – warto dodać, że jest to największy system ciepłowniczy w Unii Europejskiej. Kiedyś takie usługi realizowane były przez spółki miejskie, jak dawny SPEC; dziś często są to przedsiębiorstwa działające na zasadach komercyjnych. Jak skutecznie łączyć wymagania rynkowe i działalność biznesową z zapewnieniem bezpieczeństwa oraz budową odporności?

W Polsce Veolia należy do największych operatorów systemu ciepłowniczego. Dostarczamy ciepło do trzech potężnych aglomeracji: Warszawy, Łodzi i Poznania i ponad 50 małych i średnich miast. Jesteśmy dla tych ośrodków partnerem i doradcą w procesie modernizacji i rozbudowy infrastruktury. System ten, choć nie jest zakwalifikowany jako część infrastruktury krytycznej, spełnia wszelkie przesłanki, aby stać się takową w przyszłości. Procedury, związane z naszą działalnością operacyjną, są bezpośrednim odbiciem wymogów rynku i istniejących regulacji. Musimy zadbać również o bezpieczeństwo naszych ludzi: to nasze podejście przenosimy bezpośrednio na klienta. Odpowiedzialność, świadomość biznesowa, bezpieczeństwo i partnerskie relacje z odbiorcami – czy mówimy o mieście, spółdzielni, firmie przemysłowej czy konsumencie końcowym – to naczynia połączone, tworzące łańcuch wartości pod globalnym hasłem „odnawiamy zasoby świata”. Zasadniczy impakt biznesu liczy się w dekadach, a że mamy do czynienia z biznesem w sferze strategicznej – bez odporności i bezpieczeństwa nie ma mowy o wymiernych korzyściach: zarówno dla nas, naszych pracowników, jak i dla społeczeństwa.

Podczas konferencji mówił Pan o potrzebie dialogu, współpracy i dzielenia się doświadczeniem. Veolia ma ogromną praktykę w zarządzaniu różnego typu instalacjami oraz w reagowaniu w sytuacjach kryzysowych. Czy widzi Pan wolę po stronie polskich samorządowców, a także wyższych szczebli administracji (np. wojewodów), do korzystania z tej wiedzy i doświadczenia?

Samorząd jest dla nas bliskim, wieloletnim partnerem. Na konferencji wybrzmiało, że w nowej, geopolitycznie rozchwianej rzeczywistości musimy przystąpić do wspólnego warsztatu, w tym regularnych testów oraz symulacji.  Zdajemy sobie sprawę, że samorząd potrzebuje nas w roli partnera biznesowego, bezpośrednio zaangażowanego w kwestie bezpieczeństwa: od prewencji po reakcję w godzinie próby i ograniczanie skutków zagrożeń. Możemy stać się częścią systemu obronnego w roli doradców, ekspertów technicznych i wykonawców – stoi za nami zasób doświadczenia z 58 krajów na 5 kontynentach. Naturalną konsekwencją tej współpracy będzie kreowanie nowych i aktualizacja istniejących procedur tak po stronie biznesu, jak i urzędu. Głęboko wierzę w to, że dzielimy podobne wartości. W DNA Grupy Veolia wpisana jest troska o człowieka. W sytuacji zagrożenia samorządy będą organem wykonawczym decyzji kluczowych dla Polaków. Wspólnie opracowując strategie i dzieląc się wiedzą już teraz, w chwili próby skupimy się na skutecznym i szybkim działaniu, zamiast potykać się o formalności.

Jednym z głównych zagadnień dyskutowanych na konferencji były regulacje prawne – w tym unijna dyrektywa CER dotycząca odporności infrastruktury krytycznej oraz nowelizacja przepisów o Krajowym Systemie Cyberbezpieczeństwa. Wiążą się one z nowymi obowiązkami dla przedsiębiorców, zwłaszcza z branży energetycznej, która i tak przechodzi obecnie trudny proces transformacji. Wymaga on potężnych nakładów finansowych, a nowe przepisy przyniosą kolejne obciążenia. Stąd podczas konferencji padło pytanie: kto powinien płacić za bezpieczeństwo i czy w tych kosztach nie powinno partycypować również państwo? Jakiego wsparcia oczekują operatorzy infrastruktury krytycznej?

Jako podmiot energetyczny finansujemy bezpieczeństwo operacyjne na co dzień. Wchodzą w to koszty wzmacniania infrastruktury, systemy monitoringu, kontroli, szkolenia pracowników, standardowe zabezpieczenia IT i OT. To nasze aktywa, więc naturalnie ponosimy te koszty. Mamy też motywację, żeby robić to dobrze, bo zagrożenie bezpośrednio nas dotyczy i znamy nasze systemy najlepiej. Jednak bezpieczeństwo strategiczne to już inna sprawa. Kiedy mówimy o cyberatakach od państw, zagrożeniach hybrydowych czy potencjalnych atakach wojennych, to kwestia nie ogranicza się już do wpływu na płynność biznesową: wchodzimy na poziom bezpieczeństwa narodowego. Energia to infrastruktura krytyczna, od której zależy funkcjonowanie całego kraju. Dlatego uważamy, że państwo powinno wspierać finansowo inwestycje w nowoczesne systemy bezpieczeństwa, szczególnie te związane z obroną przed zagrożeniami zewnętrznymi. Oczekujemy kilku rzeczy. Po pierwsze, dofinansowania inwestycji w cyberbezpieczeństwo. Modernizacja systemów SCADA i ICS to ogromne wydatki, a my nie możemy przerzucać wszystkiego na odbiorców energii. Po drugie, potrzebujemy ulg podatkowych na wydatki związane z bezpieczeństwem: to wydaje się sprawiedliwe i z pewnością mogłoby zmotywować przedsiębiorstwa energetyczne do inwestycji na wyższym poziomie. Po trzecie, oczekujemy wsparcia w wdrażaniu nowych standardów, takich jak NIS2 czy DORA. Te regulacje są coraz bardziej wymagające, a okresy przejściowe są zbyt krótkie. Niezbędne jest też wsparcie informacyjne. Służby powinny dzielić się z nami informacjami o zagrożeniach, dawać wczesne ostrzeżenia o cyberatakach, współpracować z nami poprzez CSIRT i agencje bezpieczeństwa. Tego rodzaju współpraca będzie sprzyjać nie tylko płynności operacyjnej i uszczelnieniu procedur związanych z obronnością, ale również podniesie konkurencyjność polskiej energetyki na arenie światowej.

Patrząc na przykład ukraiński, wyraźnie widać, jak atrakcyjnym i kluczowym celem dla agresora staje się infrastruktura energetyczna. Jak na bazie tych doświadczeń oraz trwającego procesu transformacji energetycznej w Polsce powinniśmy zmieniać i uodparniać krajowy system energetyczny?

Mogliśmy tego doświadczyć „na własnym biznesie” 4 lata temu, gdy po rozpoczęciu inwazji rosyjskiej na Ukrainę Polska została odcięta od dostaw węgla. Przy dużym wsparciu prezydentów miast udało się zabezpieczyć dostawy ciepła dla mieszkańców. Tego rodzaju doświadczenia nauczyły nas dwóch rzeczy. Po pierwsze, kryzys nie może być częścią strategicznego marginesu, lecz musi znaleźć swoje stałe miejsce w opracowywaniu strategii bieżącej. Po drugie, rzetelni i świadomi partnerzy samorządowi są nie do przecenienia w momencie, gdy gospodarka przechodzi w tryb kryzysowy. My z kolei dysponujemy wiedzą na temat budowy i organizacji infrastruktury, co czyni nas nieodłącznym członkiem zespołów, odpowiedzialnych za mitygację zagrożeń wymierzonych w infrastrukturę krytyczną.

W swoich wystąpieniach zwracał Pan również uwagę na znaczenie edukacji. Czy w tym obszarze istnieje pole do działań dla takich firm jak Veolia w zakresie wspierania inicjatyw mających na celu budowanie świadomości społecznej? A jak przedsiębiorstwa powinny edukować o bezpieczeństwie i budować odporność wewnątrz swoich własnych struktur?

Konferencja „Bezpieczne Samorządy” odbyła się z inicjatywy Fundacji Veolia. Jest odzwierciedleniem tego, jak istotną wagę przykładamy do budowania relacji biznes – samorząd, biznes – państwo oraz jak wysoki priorytet zajmuje kwestia obronności w perspektywicznym ujęciu naszej działalności. Ponadto Grupa Veolia w Polsce jako partner strategiczny studiów MBA „Transformacja Energetyczna i Cyfrowa” Politechniki Śląskiej aktywnie uczestniczy w kształceniu rzeszy nowych energetyków, od których w przyszłości w dużym stopniu zależeć będzie los strategicznych zasobów państwa. Podczas tych zajęć zachęcamy do zadawania trudnych pytań, pracy z modelami kryzysowymi. Kultywujemy krytyczne, trzeźwe myślenie i szerokie spojrzenie na sytuację geopolityczną. Uczymy, w jaki sposób odpowiedzialnie i z jak najmniejszą stratą dla czynnika ludzkiego chronić infrastrukturę i łańcuch dostaw. Wierzymy w powszechny dostęp do rzetelnej wiedzy, dlatego co dzień uświadamiamy również naszych pracowników. Za pomocą dedykowanych szkoleń i komunikacji wewnętrznej budujemy świadomość i odporność od jednostki: od zespołu, poprzez departament, aż do bezpośredniego otoczenia: rodziny, sąsiedztwa, spółdzielni i tak dalej. Każdy pracownik Veolii otrzymuje merytoryczne wsparcie m.in. w tematach cyberbezpieczeństwa i odpowiedzialnego korzystania z AI, ponieważ jest częścią branży o szczególnym znaczeniu dla państwa.

Artykuł sponsorowany przygotowany we współpracy z Grupa Veolia Polska.