Certyfikacja w cyberbezpieczeństwie jest potrzebna, a brak niezależnego od producenta sprawdzenia technologii sprawia, że de facto opieramy się jedynie na deklaracji o jej skuteczności. Jednocześnie wyzwania związane z niełatwym procesem jej uzyskania powstrzymują przed staraniem się o to wielu, szczególnie mniejszych producentów. Również podmioty, którym powinno zależeć, by bezpieczeństwo swoich danych i systemów traktować priorytetowo, rzadko zwracają uwagę na ten aspekt. Ekspert określa tę sytuację mianem błędnego koła.
W Chinach prowadzona jest wymiana oprogramowania sterującego farmami wiatrowymi, do czego pretekstem są względy bezpieczeństwa.
Skuteczna ochrony informacji niejawnych potwierdzona niezależną ewaluacją
Możliwość ustanawiania europejskich schematów certyfikacji stworzył Cybersecurity Act. Akt jako rozporządzenie UE obowiązuje w Polsce, natomiast wciąż rozwijane są krajowe zdolności operacyjne niezbędne do jego pełnego stosowania. Od sierpnia 2025 r. w naszym kraju obowiązuje ustawa o krajowym systemie certyfikacji cyberbezpieczeństwa. Krajowym organem ds. certyfikacji jest Minister Cyfryzacji, a system obejmuje produkty, usługi i procesy ICT, usługi zarządzane w zakresie bezpieczeństwa oraz systemy zarządzania cyberbezpieczeństwem.
– Certyfikacje przyznawane przez instytucje europejskie czy NATO potwierdzają jakość i skuteczność rozwiązań. Zgodność z Common Criteria EAL4+, wymogami EU Restricted, NATO Restricted, a w przypadku środowisk przemysłowych normą IEC 62443 i standardami TEMPEST potwierdza przydatność produktu do ochrony danych ultrawrażliwych. Jeśli technologia, z której chcemy skorzystać, może pochwalić się wymienionymi certyfikatami to świadczy to o niej jak najlepiej – wyjaśnia Aleksander Kostuch, inżynier Stormshield, doradca cyberbezpieczeństwa dla sektora samorządowego i infrastruktury krytycznej.
Rosnąca liczba incydentów oraz wymogi związane z wdrażania obowiązków wynikających z Dyrektywy NIS2 i ustawy KSC powodują, że certyfikacja cyberbezpieczeństwa staje się coraz ważniejszym elementem oceny dostawców technologii w tym obszarze.
– Zwróćmy uwagę, że pierwszym punktem „CyberPiątki”, ogłoszonej przez rząd w odpowiedzi na incydent z aplikacją MyDr, jest właśnie certyfikacja podmiotów przetwarzających dane medyczne. To jasny sygnał, który potwierdza, że ta kwestia nabiera coraz większego znaczenia w kontekście bezpieczeństwa – mówi Paweł Śmigielski, menadżer Stormshield w Polsce.
Temat, choć nie dominuje w dyskusji o cyberbezpieczeństwie, to również nie jest nowy. O znaczeniu tego aspektu, choćby w obszarze energetyki, była mowa podczas tegorocznej edycji Europejskiego Kongresu Gospodarczego w Katowicach. W debacie poświęconej zagrożeniom i bezpieczeństwu infrastruktury krytycznej przedstawicielka Polskich Sieci Elektroenergetycznych wspomniała, że w krajowym systemie energetycznym funkcjonuje wiele urządzeń bez certyfikacyjnej pewności, a tym samym pełnej wiedzy i kontroli nad nimi. Zapowiedziano, że spółka zarządzająca infrastrukturą przesyłową przeprowadzi częściową recertyfikację urządzeń funkcjonujących w sieci.
Z kolei w Chinach, jak wynika z analizy Ośrodka Studiów Wschodnich, na szeroką skalę prowadzona jest wymiana zagranicznych systemów sterowania w działających farmach wiatrowych. „Przejrzeliśmy 1686 dokumentów przetargowych i znaleźliśmy dowody na masową kampanię wymiany i zastępowania, skierowaną przeciwko zagranicznym kontrolerom i oprogramowaniu” informuje OSW*.
– Ten przykład działania, którego celem jest wzmacnianie własnej suwerenności, powinien być dla nas cenną lekcją – mówi Aleksander Kostuch.
Certyfikowane produkty cyberbezpieczeństwa powinny być standardem dla środowisk przemysłowych o wysokim ryzyku.
– Potrzebujemy jasnego zrozumienia funkcji oferowanych przez rozwiązania chroniące wrażliwą infrastrukturę, a także informacji o źródłach ich pochodzenia. Wymóg ten dotyczy w równym stopniu narzędzi bezpieczeństwa IT, w tym oprogramowania i sprzętu np. firewalli, systemów obronnych oraz krytycznych sieci informacyjnych. Certyfikacja jest metodą pozwalającą jasno to ocenić – komentuje Paweł Śmigielski.
Niestety świadomość tej kwestii wśród podmiotów zamawiających usługi bezpieczeństwa, zdaniem ekspertów, pozostaje niewielka i niewystarczająca. Jednocześnie podkreślają oni, że nawet najlepszy certyfikat nie załatwia sprawy, a ochronę zapewnia połączenie certyfikacji, rzetelnej oceny dostawcy, bezpiecznej konfiguracji i ciągłego zarządzania ryzykiem.
Czy z perspektywy polskiego producenta warto się starać?
Procedura przyznania certyfikatu w ramach standardu „EU Restricted”, obejmuje ewaluację produktu przez właściwy organ państwa członkowskiego, które nie uczestniczyło w jego projektowaniu lub produkcji. „EU Restricted” to oficjalny poziom bezpieczeństwa informacji, których nieuprawnione ujawnienie mogłoby być niekorzystne dla interesów Unii Europejskiej lub państw wspólnoty. Dla Polski jego odpowiednikiem jest poziom informacji zastrzeżonych. Niedawno tę ścieżkę certyfikacji kolejny raz przeszedł Stormshield, producent technologii bezpieczeństwa IT z Grupy Airbus. Stormshield Network Security UTM/NG-Firewall Software Suite został formalnie zatwierdzony przez Sekretarza Generalnego Rady UE jako produkt kryptograficzny do ochrony informacji oznaczonych klauzulą „EU RESTRICTED”.
– Akredytacja potwierdza, że rozwiązania Stormshield są skuteczne, a z perspektywy użytkowników taka informacja jest nie do przecenienia. Produkty posiadające stosowny certyfikat z powodzeniem mogą być wykorzystywane przez administrację publiczną, podmioty sektora krytycznego, wojsko i organizacje działające w innych branżach. Wszędzie tam, gdzie wymagana jest ochrona infrastruktury cyfrowej, w tym w systemach przemysłowych – wyjaśnia Piotr Zielaskiewicz z DAGMA Bezpieczeństwo IT.
Jednak certyfikacja to proces długotrwały i kosztowny. Z tych powodów jej realizacja pozostaje wyzwaniem, szczególnie w przypadku mniejszych firm, również polskich producentów.
– To swoiste błędne koło. Zarówno z perspektywy klientów jak i dostawców rozwiązań. Producenci rezygnując z certyfikacji przyczyniają się do osłabienia własnej pozycji na globalnym rynku. Z drugiej strony podmiot korzystający ze sprzętu, który nie został sprawdzony przez niezależnych audytorów dopuszcza do swojej infrastruktury rozwiązania, o których wie zbyt mało. Upowszechnienie praktyki korzystania z certyfikowanych produktów i technologii w kontekście ogólnego poziomu cyberbezpieczeństwa byłoby krokiem w dobrą stronę – mówi Piotr Zielaskiewicz.
W kontekście wyzwań, wobec których stają producenci chcący dokonać certyfikacji, zwraca uwagę, że z prawnego i gospodarczego punktu widzenia ustanowienie programu wsparcia dla przedsiębiorców byłoby zasadne.
– Taki instrument wpisywałby się zarówno w cele unijnego Cybersecurity Act, jak i polskiej ustawy. Nie wymagałby zasadniczo nowych kompetencji państwa, a zapewnienia finansowania i skonstruowania programu zgodnego z zasadami pomocy publicznej – podsumowuje ekspert.
* Stormshield Network Security UTM/NG-Firewall Software Suite został formalnie zatwierdzony przez Sekretarza Generalnego Rady UE jako produkt kryptograficzny do ochrony informacji oznaczonych klauzulą „EU RESTRICTED”. Najnowsze zatwierdzenie dla UTM/NG-Firewall Software Suite Stormshield w linii 4.3.x, począwszy od wersji 4.3.12 wzwyż, pochodzi z 6 sierpnia 2026 roku.