NIS2 we Włoszech: czego wymaga od sterowników PLC, paneli i zdalnego serwisu
Firmy wpisane do włoskiego wykazu NIS w kwietniu 2025 r. miały wdrożyć środki bezpieczeństwa do połowy października. Dotyczą one także sterowników PLC, paneli operatorskich i routerów, przez które producent maszyny prowadzi zdalny serwis.
W tym artykule
O NIS2 mówi się od dwóch lat, prawie zawsze w odniesieniu do biura: poczta, hasła, serwery, kopie zapasowe. Jednak akt, który przeniósł ją do prawa włoskiego, dekret ustawodawczy nr 138/2024, oraz środki włoskiej Narodowej Agencji Cyberbezpieczeństwa (ACN) dotyczą też tego, co stoi na hali.
Chodzi o sterowniki PLC, panele operatorskie, komputery systemu nadrzędnego i routery, przez które producent łączy się z maszyną: rzeczy, przy których pracujemy na co dzień. Poniżej opisujemy wymagania, przy każdym punkcie z podstawą prawną. Sprawdziliśmy to w tekstach obowiązujących 15 października 2026 r.: w dekrecie, który od 2024 r. nie był zmieniany, i w zarządzeniu ACN nr 379907 z 19 grudnia 2025 r. Ten artykuł dotyczy Włoch. Każde państwo UE wdraża tę samą dyrektywę, ale ma własną ustawę, własny urząd i własny harmonogram.
Inny termin dla każdej firmy
Firmy objęte NIS2 rejestrują się na platformie ACN. Agencja sporządza wykaz i wysyła każdej z nich zawiadomienie o wpisie. Dla firm wpisanych w 2025 r. od tego dnia biegną dwa terminy, zapisane w dekrecie (art. 42) i w zarządzeniu: dziewięć miesięcy na rozpoczęcie zgłaszania incydentów, 18 miesięcy na wdrożenie środków bezpieczeństwa.
Pierwsze zawiadomienia wyszły 12 i 13 kwietnia 2025 r. przez PEC, włoską pocztę elektroniczną z potwierdzeniem odbioru. Dokładnego dnia upływu terminu ACN nie podaje, pisze „w październiku 2026 r.”, ale rachunek jest prosty: dla tych firm 18 miesięcy upłynęło 12 lub 13 października 2026 r.
Data „31 października”, którą podaje wiele poradników, nie występuje w żadnym tekście Agencji. Jeśli wiadomość PEC od ACN przyszła do Państwa w kwietniu 2025 r., a liczyli Państwo na 31 października, termin już minął.
- ACN wysyła przez PEC pierwsze zawiadomienia o wpisie do wykazu NIS.
- Dla tych firm zaczyna się obowiązek zgłaszania poważnych incydentów.
- Zaczynają obowiązywać środki podstawowe w obecnej wersji (zarządzenie ACN nr 379907/2025).
- Upływa termin 18 miesięcy na wdrożenie środków bezpieczeństwa dla pierwszych firm z wykazu.
- Okno na rejestrację lub jej aktualizację.
- Termin wdrożenia środków dla firm wpisanych do wykazu w 2026 r. (zarządzenie ACN nr 127434/2026).
Firmy wpisane do wykazu później w 2025 r. liczą 18 miesięcy od daty własnego zawiadomienia. Firmy wpisane w 2026 r. mają stały termin: 31 lipca 2027 r.
Po upływie terminu Agencja nie przeprowadza niezapowiedzianych kontroli w podmiotach „ważnych”, a takimi są prawie wszystkie fabryki: może to zrobić, gdy ma przesłanki naruszenia, na przykład po incydencie lub zgłoszeniu (art. 36). Kary za niestosowanie środków sięgają w przypadku podmiotu ważnego 7 milionów euro lub 1,4% łącznego rocznego światowego obrotu (art. 38).
Kogo to obejmuje, branża po branży
Objęte są średnie i duże przedsiębiorstwa, które prowadzą działalność wymienioną w załącznikach do dekretu. Według ACN wystarczy prowadzić ją choćby częściowo, a to, co firma robi, liczy się bardziej niż kod ATECO (włoski odpowiednik PKD) widniejący w odpisie z rejestru. Średnie przedsiębiorstwo to 50 lub więcej pracowników albo zarówno obrót, jak i suma bilansowa powyżej 10 milionów euro, z uwzględnieniem przedsiębiorstw powiązanych.
Dla fabryk liczy się załącznik II. W 2025 r. wykaz obejmował ponad 21 800 podmiotów: ponad 4000 w sektorze produkcji, ponad 3000 w spożywczym, ponad 1000 w chemicznym. Prawie wszystkie to podmioty „ważne”, także te duże. Tak wygląda sytuacja w branżach, w których pracujemy, od średnich przedsiębiorstw wzwyż.
| Branża | Objęte NIS2? | Dlaczego |
|---|---|---|
| Kable i światłowody | Tak | Produkcja urządzeń elektrycznych, dział 27 (ATECO 27.31 i 27.32). |
| Producenci maszyn | Tak | Dział 28, w tym maszyny pakujące i maszyny dla przemysłu spożywczego. |
| Szafy sterownicze | Tak | Dział 27 (ATECO 27.12). |
| Żywność i napoje | Tak, jeśli na skalę przemysłową | Produkcja i przetwórstwo przemysłowe, dystrybucja hurtowa. |
| Chemia | Tak | Produkcja substancji oraz dystrybucja substancji lub mieszanin, w przypadku firm objętych REACH. |
| Guma, opakowania, obróbka metali | Do oceny | Nie ma ich wśród rodzajów produkcji z załącznika II; mogą zostać objęte jako „producenci wyrobów” w sektorze chemicznym. |
Ostatni wiersz jest najmniej pewny. Dekret zalicza do sektora chemicznego także firmy, które produkują wyroby z substancji lub mieszanin, według definicji z rozporządzenia REACH: czytana dosłownie, mogłaby obejmować opony, opakowania, wypraski. Komisja Europejska zaproponowała w styczniu 2026 r. jej zawężenie, ale to wciąż wniosek, który rozpatruje Parlament Europejski. Każdy przypadek trzeba ocenić osobno.
W świetle prawa sterownik PLC to system informatyczny
NIS2 wymaga środków dla „sieci i systemów informatycznych”, a włoski dekret przejmuje definicję z dyrektywy, według której oznaczają one:
„Urządzenie lub grupę wzajemnie połączonych lub powiązanych urządzeń, z których co najmniej jedno, na podstawie programu, automatycznie przetwarza dane cyfrowe.”
Dyrektywa (UE) 2022/2555, art. 6 pkt 1 lit. b
Sterownik PLC przetwarza dane cyfrowe według programu i to samo robią panel operatorski, komputer systemu nadrzędnego, napęd podłączony do sieci i router. Na przykład na wieżach światłowodowych, które zautomatyzowaliśmy, panel operatorski każdej wieży jest połączony siecią z resztą maszyny.
W odpowiedziach na najczęściej zadawane pytania ACN pisze, że środki stosuje się co do zasady do wszystkich systemów firmy. Niektóre można ograniczyć do systemów „istotnych”: takich, których naruszenie bezpieczeństwa miałoby poważny wpływ na działalność, ze względu na którą firma jest w wykazie. W fabryce tą działalnością jest produkcja.
Przewodnik ACN po środkach ani razu nie wymienia sterowników PLC ani systemów SCADA. W 37 środkach dla podmiotów ważnych skrót OT, czyli technologia operacyjna linii produkcyjnych, pojawia się tylko raz, w punkcie o ewidencji:
„Prowadzi się aktualną ewidencję urządzeń fizycznych (sprzętu), z których składają się sieci i systemy informatyczne, w tym urządzeń IT, IoT, OT i mobilnych […].”
Zarządzenie ACN nr 379907/2025, załącznik 1, środek ID.AM-01 (tłumaczenie własne)
Kiedy postój staje się incydentem
Firmy z wykazu zgłaszają poważne incydenty do CSIRT Italia, zespołu ACN, który przyjmuje zgłoszenia: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy o incydencie, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 25).
Dla podmiotu ważnego są trzy rodzaje poważnych incydentów. Trzeci to naruszenie oczekiwanych poziomów usług. Te poziomy firma ustala sama dla swoich działań, zwykle w postaci dostępności, a wśród przykładów działań przewodnik ACN podaje właśnie produkcję.
Dla ACN przyczyna nie ma znaczenia: liczą się też awarie i błędy ludzkie. Musi to być jednak zdarzenie, które dotyczy sieci i systemów informatycznych. Uszkodzone łożysko nie jest incydentem NIS. Incydentem może być natomiast sterownik PLC zablokowany przez atak albo przez błędną konfigurację, jeśli postój linii przekroczy ustalony poziom.
Określając te poziomy, firma sama decyduje więc, kiedy postój trzeba będzie zgłosić. Warto ustalać je także z tymi, którzy na hali opiekują się liniami.
Czego środki wymagają od maszyn
Środków jest 37 dla podmiotów ważnych i 43 dla kluczowych. Oto te, które bezpośrednio dotyczą hali.
Ewidencja
Trzeba prowadzić aktualną ewidencję sprzętu, łącznie z OT, i ewidencję oprogramowania, łącznie z oprogramowaniem pisanym na zamówienie (ID.AM-01 i ID.AM-02). Na linii oznacza to każdą jednostkę CPU, każdy panel operatorski, komputer, switch, router i modem, z modelem i wersją. Programy sterowników PLC, napisane dla tej konkretnej maszyny, to oprogramowanie na zamówienie.
Punktem wyjścia są aktualne schematy elektryczne. Jeśli to my zbudowaliśmy linię, wystarczy numer zlecenia, żeby odzyskać schematy, backup sterownika PLC i zestawienia materiałowe. Jeśli schematy nie zgadzają się już z szafą, odtwarza się je na podstawie inwentaryzacji, zacisk po zacisku: to pierwszy krok każdej naszej modernizacji.
Oprogramowanie bez aktualizacji
Na podstawie oceny ryzyka instaluje się tylko oprogramowanie, łącznie z systemami operacyjnymi, dla którego zapewnione są aktualizacje bezpieczeństwa (PR.PS-02). Microsoft od 2018 r. nie aktualizuje już systemu Windows Embedded CE 6.0, na którym działają panele wciąż dostępne w sprzedaży, takie jak Siemens TP700 Comfort. Wsparcie dla systemu Windows 10 2016 LTSB skończyło się 13 października 2026 r.
Siemens wycofał sterowniki S7-300 z cennika 1 października 2025 r., a w sprawie jednej ze znanych podatności tej rodziny pisze, że na razie nie przewiduje żadnej poprawki: zaleca zabezpieczenie dostępu sieciowego do sterownika PLC.
Ten środek dopuszcza odstępstwo z „uzasadnionych i udokumentowanych przyczyn prawnych lub technicznych”: środki kompensujące i ryzyko, które pozostaje, zapisuje się w planie postępowania z ryzykiem, który zatwierdza zarząd firmy (ID.RA-06). ACN podaje przykład wyrobów medycznych, które po zainstalowaniu antywirusa mogłyby stracić certyfikację. Czy to samo dotyczy panelu operatorskiego zwalidowanego przez producenta maszyny, trzeba ocenić w każdym przypadku osobno.
Odstępstwo nie obejmuje rejestru zdalnych dostępów, wykazu systemów dostępnych z zewnątrz, ewidencji ani backupów.
Wytyczne ze stycznia 2026 r., wydane przez agencje bezpieczeństwa Wielkiej Brytanii, USA, Niemiec i Holandii, wskazują środki kompensujące dla systemów, których nie da się aktualizować: oddzielić maszynę od reszty sieci, dawać do niej dostęp tylko tym, którzy go potrzebują, i tylko wtedy, gdy go potrzebują, rejestrować, kto się łączy. Traktują je jako środki przejściowe, do czasu wymiany urządzenia.
Wymiana elementów, które nie dostają już aktualizacji, z zachowaniem reszty, to praca, którą wykonujemy przy modernizacji: wymieniamy CPU i panel operatorski, a urządzenia obiektowe zwykle zostają tam, gdzie są.
Backup i pamięci USB
Trzeba regularnie wykonywać backup danych i konfiguracji, z kopiami offline dla systemów istotnych (PR.DS-11). Na linii konfiguracje to program sterownika PLC, projekt panelu operatorskiego, receptury i parametry napędów. Po zakończeniu naszych testów zostawiamy backupy sterownika PLC, panelu i napędów, opisane wersją, która została w maszynie, i datą.
Pamięci USB trzeba sprawdzać przed użyciem, przy wyłączonym automatycznym uruchamianiu (PR.DS-01). Dotyczy to także pamięci USB zewnętrznego technika, który wgrywa aktualizację na panel.
Zdalny serwis, punkt po punkcie
To część, która najbardziej dotyczy tych, którzy budują i serwisują maszyny. Trzeba przyjrzeć się czterem środkom, trzem o zdalnym dostępie i jednemu o uwierzytelnianiu:
- konta do zdalnego dostępu są ewidencjonowane, zatwierdzone i indywidualne, chyba że istnieją udokumentowane przyczyny techniczne (PR.AA-01);
- w systemach istotnych stosuje się uwierzytelnianie wieloskładnikowe, zgodnie z oceną ryzyka (PR.AA-03);
- każdy zdalny dostęp jest rejestrowany, bez filtrów i bez odstępstw (PR.PS-04);
- prowadzi się aktualny wykaz systemów dostępnych zdalnie, ze sposobem dostępu do każdego z nich (PR.IR-01).
Na liniach wciąż można spotkać router producenta maszyny, zawsze włączony, z jednym hasłem, którego używają wszyscy jego technicy, i bez żadnego rejestru dostępów. Według tych środków rejestr jest wymagany zawsze, a wspólne hasło jest dopuszczalne tylko z pisemnym uzasadnieniem technicznym.
Po każdej sesji zdalnego serwisu musi zostać zapis: kto się zalogował, kiedy i z jakiego konta.
19 sierpnia 2026 r. pięć amerykańskich agencji federalnych, w tym CISA, NSA i FBI, opublikowało ostrzeżenie: są tacy, którzy szukają w internecie sterowników PLC Siemens S7 dostępnych z zewnątrz, również serii S7-300 i S7-400, i przygotowują narzędzia, żeby się do nich dostać. Opisane przypadki dotyczą instalacji w USA; ACN przywołała to ostrzeżenie w swoim sierpniowym biuletynie.
Ostrzeżenie zaleca uwierzytelnianie wieloskładnikowe przy każdym zdalnym dostępie do sieci maszyn. I zwraca uwagę, że firmy pracujące z integratorami, którzy łączą się zdalnie, mogą nie wiedzieć, że są narażone.
Jeśli incydent ma źródło w zdalnym serwisie dostawcy, zgłoszenie do CSIRT Italia pozostaje obowiązkiem firmy klienta. Dlatego ACN wskazuje, że umowa powinna zobowiązywać dostawcę do niezwłocznego zgłaszania zdarzeń bezpieczeństwa.
Umowy zmieniają się przy odnowieniu
Dekret wymaga zarządzania bezpieczeństwem łańcucha dostaw (art. 24). Spośród środków ACN trzy bezpośrednio dotyczą tych, którzy dostarczają i serwisują maszyny: wykaz dostawców, którzy mogą mieć wpływ na bezpieczeństwo, ocena ryzyka dostaw, wymagania bezpieczeństwa w zapytaniach ofertowych i w umowach (GV.SC-04, 05 i 07).
Trwających umów nie trzeba renegocjować. Od upływu terminu na wdrożenie środków każda nowa, odnowiona lub przedłużona umowa z takim dostawcą musi jednak zawierać te wymagania, chyba że istnieje pisemne uzasadnienie techniczne lub prawne. Dla firm wpisanych do wykazu w kwietniu 2025 r. ten obowiązek zaczął się w połowie października 2026 r.
Może to dotyczyć zamówienia linii, modernizacji, umowy serwisowej ze zdalnym dostępem. Wymagania muszą być proporcjonalne i nie wszystkie przenosi się na dostawcę. Jeśli następną linię lub następną modernizację zlecą nam Państwo, prosimy wpisać wymagania do zapytania technicznego: zanim przygotujemy ofertę, powiemy punkt po punkcie, co robimy, a czego nie.
Od 2026 r. firmy z wykazu co roku między 15 kwietnia a 31 maja zgłaszają też do ACN swoich istotnych dostawców, z nazwą i numerem identyfikacji podatkowej: dostawców usług IT oraz dostawców „niezamiennych”, czyli trudnych do zastąpienia. Spośród nich Agencja może wskazać firmy, które obejmie NIS2 nawet wtedy, gdy są małe, pod warunkiem że ich działalność jest już wymieniona w załącznikach.
Według ACN firma, która pracuje przy systemach klienta za pomocą własnych podłączonych urządzeń, także w ramach zdalnego serwisu, może być „dostawcą usług zarządzanych”, a to sektor kluczowy. Średni lub duży producent maszyn albo integrator, który aktualizuje sterowniki PLC klientów przez własny router, mógłby zostać uznany za takiego dostawcę. ACN zastrzega, że te wyjaśnienia są tymczasowe: każdy przypadek trzeba ocenić osobno.
Producenci maszyn mają też własne przepisy: od 20 stycznia 2027 r. nowe rozporządzenie w sprawie maszyn wymaga ochrony oprogramowania związanego z bezpieczeństwem przed zmianami i śledzenia ingerencji w nie.
Od czego zacząć
Jeśli Państwa firma jest w wykazie albo prawdopodobnie będzie musiała się zarejestrować w styczniu lub lutym, oto pierwsze kroki dotyczące maszyn:
- Odszukać wiadomość PEC od ACN i zapisać swój termin: 18 miesięcy od jej daty, jeśli przyszła do końca 2025 r., a 31 lipca 2027 r., jeśli przyszła w 2026 r.
- Obejść linie ze schematami w ręku i spisać każdy sterownik PLC, panel operatorski, komputer, switch, router i modem, z modelem i wersją firmware albo systemu operacyjnego.
- Spisać, kto łączy się zdalnie z każdą maszyną, z jakiego konta i z jakiego urządzenia, i włączyć rejestrowanie dostępów.
- Wykonać datowany backup każdego programu PLC i każdego projektu panelu operatorskiego, a jedną kopię trzymać poza siecią.
- Dla każdego systemu, który nie dostaje już aktualizacji, zdecydować: wymienić go albo udokumentować odstępstwo ze środkami kompensującymi i przekazać je do zatwierdzenia zarządowi.
Plan postępowania z ryzykiem i odstępstwa do zatwierdzenia przygotowuje firma ze swoim doradcą ds. bezpieczeństwa. Dla maszyn potrzebne są ewidencja, wersje i backupy: to część wewnątrz szafy sterowniczej, a tam pracujemy właśnie my. Od 1996 r. na sprzęcie Siemens, Rockwell i Schneider piszemy oprogramowanie sterowników PLC i paneli operatorskich oraz budujemy szafy sterownicze, w których są zamontowane.
