Artykuł pochodzi z wydania: Listopad 2026
Zanik napięcia rzadko trafia do rejestru incydentów bezpieczeństwa, choć potrafi zatrzymać pracę urzędu skuteczniej niż niejeden atak sieciowy. Tymczasem zgodnie z przepisami urzędy muszą być na takie sytuacje gotowe, by zachować ciągłość działania.
Kwadrans po ósmej gaśnie światło, po chwili milkną wentylatory w szafie rack, a w sekretariacie zapala się czerwona kontrolka na obudowie UPS-a. Interesanci stoją przy okienkach, ale system dziedzinowy nie odpowiada, bo kontroler domeny stoi w serwerowni, w której zasilacz awaryjny odlicza właśnie ostatnie minuty podtrzymania. Telefonia działa na VoIP, więc też milknie. Po czterdziestu minutach wraca napięcie, a informatyk przez następne dwie godziny podnosi maszyny wirtualne, sprawdza spójność baz danych i tłumaczy sekretarzowi gminy, dlaczego nie da się po prostu włączyć wszystkiego z powrotem.
Ten sam scenariusz w szpitalu powiatowym albo w przychodni oznacza już coś innego niż kolejkę przy okienku. I właśnie dlatego ochronę zasilania w jednostkach administracji i jednostkach podległych trzeba zaplanować na dwóch poziomach jednocześnie. Pierwszy dotyczy pojedynczego urządzenia, drugi całego budynku i organizacji.
Prąd jako warunek świadczenia usług
Poza serwerami i macierzami dyskowymi po zaniku napięcia przestają działać switche, routery brzegowe, punkty dostępowe Wi-Fi, centrale telefoniczne pracujące w technologii VoIP, kontrolery systemu kontroli dostępu, rejestratory monitoringu wizyjnego, centralki systemów sygnalizacji włamania, sterowniki automatyki budynkowej, liczniki i czujniki komunikujące się przez LoRaWAN lub sieć komórkową, wreszcie urządzenia wielofunkcyjne i terminale w punktach obsługi. Nawet jeśli każdy z tych elementów ma własne, lokalne podtrzymanie, to bez zasilania w budynku po prostu nie ma usługi. Dokument elektroniczny nie zostanie podpisany, sprawa nie zostanie zarejestrowana, a nagranie z kamery przy wejściu nie trafi na dysk rejestratora.
Prawodawstwo unijne zauważyło ten związek. Artykuł 21 dyrektywy NIS 2 (DzUrz UE L 333 z 27.12.2022) nakazuje stosowanie odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, opartych na podejściu uwzględniającym wszystkie zagrożenia. Ochrona ma objąć nie tylko sieci i systemy informatyczne, lecz również ich środowisko fizyczne. Należy więc zadbać o ciągłość działania, zarządzanie kopiami zapasowymi, przywracanie normalnego stanu po sytuacji nadzwyczajnej i zarządzanie kryzysowe. Trudno jednak zbudować którykolwiek z tych elementów, jeśli w budynku nie ma z czego zasilić sprzętu, na którym przeprowadzane są tego rodzaju operacje.
Do polskiego porządku prawnego zapisy te wprowadzone zostały ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (DzU z 2026 r., poz. 252; dalej: uoksc), która obowiązuje od 3 kwietnia 2026 r. Znowelizowany art. 8 ust. 1 pkt 2 wymienia czternaście obszarów, które musi objąć system zarządzania bezpieczeństwem informacji (dalej: SZBI), a wśród nich – obok kryptografii, kontroli dostępu czy zarządzania aktywami – znajdują się bezpieczeństwo fizyczne i środowiskowe oraz ciągłość działania. Ustawa nowelizująca rozłożyła obowiązki w czasie, wiążąc terminy rejestracji, wdrożenia SZBI i pierwszego audytu z momentem spełnienia przesłanek uznania podmiotu za kluczowy albo ważny (art. 33–35). Kwalifikacja konkretnej jednostki wymaga sięgnięcia do załączników, ale sam kierunek zmiany jest czytelny. Odporność energetyczna obiektu stała się elementem zgodności regulacyjnej, a nie wyłącznie kwestią bezpieczeństwa zarządzania zasobami.
Warstwę fizyczną domyka dyrektywa CER (2022/2557; DzUrz UE L 333 z 27.12.2022), wdrożona w Polsce ustawą z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (DzU z 2026 r., poz. 815). Operatorzy infrastruktury krytycznej i podmioty krytyczne dostali obowiązki dotyczące odporności rozumianej szeroko, wraz z ciągłością świadczenia usług kluczowych. Równolegle obowiązuje przepis, który leży u podstaw projektowania instalacji od ponad dwóch dekad. Zgodnie z § 181 ust. 1 rozporządzenia Ministra Infrastruktury z 12 kwietnia 2002 r. w sprawie warunków technicznych, jakim powinny odpowiadać budynki i ich usytuowanie (tekst jedn. DzU z 2022 r., poz. 1225), budynek, w którym zanik napięcia w sieci zasilającej może spowodować zagrożenie życia lub zdrowia ludzi, poważne zagrożenie środowiska albo znaczne straty materialne, należy zasilać co najmniej z dwóch niezależnych, samoczynnie załączających się źródeł energii elektrycznej. W budynkach wysokościowych jednym z nich musi być zespół prądotwórczy. Przepis ten jest stary, ale jego interpretacja w kontekście usług cyfrowych bywa w urzędach zaskakująco świeża.
Co musi działać, a co może poczekać
Punktem wyjścia jest analiza wpływu na działalność. Metodyka opisana w NIST SP 800-34 Rev. 1 sprowadza ją do trzech kroków: ustalenia, które procesy i systemy są krytyczne oraz jak długo organizacja zniesie ich brak; określenia zasobów potrzebnych do ich odtworzenia; ustalenia priorytetów odtwarzania. Przekłada się to na trzy mierzalne parametry: maksymalny dopuszczalny czas niedostępności, docelowy czas odtworzenia (dalej: RTO) oraz dopuszczalną utratę danych mierzoną wstecz od momentu awarii (dalej: RPO).
Przełożenie tych liczb na wymagania dotyczące zasilania jest nieco mniej oczywiste. Załóżmy, że dla elektronicznego zarządzania dokumentacją przyjęto RTO na poziomie czterech godzin. Nie znaczy to, że wystarczy UPS podtrzymujący serwerownię przez cztery godziny. Podniesienie klastra wirtualizacji, kontrolerów domeny, serwerów baz danych i aplikacji po twardym wyłączeniu potrafi zająć od kilkudziesięciu minut nawet do kilku godzin, zwłaszcza gdy bazy wymagają weryfikacji spójności. Jeśli więc RTO wynosi cztery godziny, a zimny start trwa dwie, na samą przerwę zasilania zostaje niewiele. Realnym rozwiązaniem nie jest rozbudowa baterii do czterech godzin, lecz źródło zdolne pracować dłużej; albo świadoma decyzja, że usługa zostanie wygaszona w sposób kontrolowany.
Parametr RPO związany jest z zasilaniem w jeszcze większym stopniu. Twarde odcięcie zasilania serwera bazodanowego oznacza utratę wszystkiego, co nie zostało zapisane na dysku, oraz ryzyko uszkodzenia struktur wymagających odtworzenia z kopii. Uporządkowane wyłączenie, wykonane przez agenta komunikującego się z UPS-em, jest w praktyce narzędziem realizacji RPO, tyle że takim, które trzeba wdrożyć i przetestować, bo domyślnie nic się samo nie wyłączy. Dla jednostek podległych warto ten sam rachunek przeprowadzić osobno. Szkoła może wytrzymać dzień bez sieci, ośrodek pomocy społecznej raczej nie, a szpital ma dla części odbiorów wymagania wynikające wprost z przepisów o instalacjach w pomieszczeniach medycznych.
Efektem analizy powinien być podział odbiorników na trzy grupy: 1) takie, któremuszą pracować bez przerwy; 2) takie, które mogą znieść krótką przerwę na przełączenie źródła zasilania; 3) takie, które należy bezpiecznie wyłączyć, by nie obciążały ograniczonego zapasu energii.
[…]
Marcin Bieńkowski
Autor jest niezależnym dziennikarzem zajmującym się propagowaniem nauki i techniki.
