Cyberbezpieczeństwo w Produkcji 4.0: NIS2, TISAX i ISO 27001

PRZEMYSŁ 4.0 | CYBERBEZPIECZEŃSTWO

Nowoczesna i bezpieczna<br/>infrastruktura IT/OT w produkcji

Jak sprostać wymogom NIS2, TISAX i ISO 27001 w dobie Przemysłu 4.0

[Twoje Imię i Nazwisko / Nazwa Firmy]

NIS2

TISAX

ISO 27001

2026

02

ZAGROŻENIA

Krajobraz zagrożeń w branży produkcyjnej

Dlaczego produkcja jest celem?

Krytyczność ciągłości

Wysoki koszt każdej minuty przestoju linii produkcyjnej

Konwergencja IT/OT

Rosnące połączenia między siecią biurową a halą produkcyjnej

Szpiegostwo przemysłowe

Kradzież własności intelektualnej i tajemnic technologicznych

Główne wektory ataku

Ransomware • Łańcuch dostaw • Błędy ludzkie

Ataki na sektor produkcyjny wzrosły o 165% w ciągu ostatnich 2 lat

FILAR I

ISO/IEC 27001 – Fundament Systemowy

Zarządzanie bezpieczeństwem informacji (ISMS)

Podejście oparte na ryzyku

Identyfikacja, analiza i traktowanie ryzyk informacyjnych

Cykl PDCA

Ciągłe doskonalenie systemu zarządzania bezpieczeństwem

Triada CIA

Poufność • Integralność • Dostępność danych

ISO 27001 tworzy „kręgosłup” procedur i polityk bezpieczeństwa w całej organizacji

2026

FILAR II – DYREKTYWA UE

NIS2 – Nowe prawo unijne

Obejmuje podmioty kluczowe i ważne, w tym produkcję maszyn, chemikaliów, żywności i inne

Zarządzanie ryzykiem

Obowiązek wdrożenia środków technicznych i organizacyjnych

Bezpieczeństwo łańcucha dostaw

Odpowiedzialność za audytowanie dostawców IT/OT

Zgłaszanie incydentów

Wczesne ostrzeżenie w ciągu 24 godzin od wykrycia

Odpowiedzialność zarządu

Bezpośrednia odpowiedzialność karna i finansowa kadry kierowniczej

Kary za nieprzestrzeganie: do 10 mln EUR lub 2% globalnego obrotu dla podmiotów kluczowych

FILAR III – AUTOMOTIVE

05

TISAX – Standard branży Automotive

Trusted Information Security Assessment eXchange – branżowy standard oceny bezpieczeństwa w motoryzacji

Ochrona prototypów

Bezpieczeństwo danych projektowych i prototypów pojazdów

Relacje z kontrahentami

Bezpieczeństwo w relacjach z producentami OEM (Tier 1/2)

Ochrona danych osobowych

Zgodność z RODO w środowisku automotive

★ Etykieta TISAX jest warunkiem koniecznym współpracy z VW Group, BMW, Mercedes-Benz i innymi OEM

ARCHITEKTURA IT/OT

Model Purdue

Separacja IT od OT

Warstwowa architektura bezpieczeństwa infrastruktury przemysłowej

Dobrze zabezpieczona infrastruktura nie jest "płaska"

Żadne urządzenie OT nie powinno mieć bezpośredniego dostępu do Internetu

POZIOM 4/5 – Enterprise IT

ERP • E-mail • Internet • Active Directory

DMZ – Strefa Zdemilitaryzowana

Bezpieczna wymiana danych IT ↔ OT

POZIOM 3 – Manufacturing Operations

MES • SCADA • Historian

POZIOM 0–2 – Cell/Area Zone

PLC • Czujniki • Roboty • HMI

⚠ STREFA KRYTYCZNA

OCHRONA INFRASTRUKTURY

Segmentacja sieci i Zero Trust

Segmentacja sieci

🏢 Sieć Biurowa (IT)

🛡 FW

🏭 Sieć Produkcyjna (OT)

⚙ Strefa Krytyczna (PLC)

Naruszenie jednego segmentu nie zagraża pozostałym

Zero Trust Architecture

Nigdy nie ufaj, zawsze weryfikuj

Każde połączenie wymaga pełnej autoryzacji

Weryfikacja tożsamości

Użytkownik ORAZ urządzenie muszą być zweryfikowane

Zasada Least Privilege

Dostęp tylko do niezbędnych zasobów, tylko na potrzebny czas

Zero Trust nie jest produktem – to filozofia bezpieczeństwa wymagana przez NIS2 i ISO 27001

DOSTĘP ZDALNY

Bezpieczny dostęp zdalny i serwisowy

Problem:

Zewnętrzni serwisanci wymagają dostępu do maszyn produkcyjnych – jak to zrobić bezpiecznie?

Uwierzytelnianie

MFA wymagane dla każdego połączenia VPN

Jump Host

Dedykowana "bramka" dostępowa do sieci OT

Monitoring sesji

Rejestrowanie i nagrywanie wszystkich sesji zdalnych

Audyt PAM

Privileged Access Management – pełna rozliczalność

Dlaczego PAM jest kluczowy?

Kontrola uprawnień

Nagrywanie sesji

Alerty w czasie rzeczywistym

Zgodność z normami

NIS2 ✓

ISO 27001 ✓

TISAX ✓

2026

MONITORING & RESPONSE

Monitorowanie i Reakcja (SOC/SIEM)

„Nie można chronić tego, czego się nie widzi”

Wykrywanie anomalii

Systemy IDS/IPS monitorujące protokoły przemysłowe:

Modbus

Profinet

DNP3

OPC-UA

Alerty przy każdym odstępstwie od normalnego zachowania sieci OT

Security Operations Center

24/7/365

Analiza alertów w czasie rzeczywistym

Korelacja zdarzeń (SIEM)

Eskalacja incydentów

Plan ciągłości działania

Offline Backup

izolowana kopia zapasowa

Immutable Backup

niezmienialna kopia

Przetestowane procedury odtwarzania – klucz po ataku ransomware

Cel: RTO (Recovery Time Objective) < 4h dla systemów krytycznych produkcji

PODSUMOWANIE

Wspólny mianownik norm

NIS2 • TISAX • ISO 27001 → Odporność biznesu

NIS2

TISAX

ISO 27001

Checklista dla produkcji:

Zidentyfikuj krytyczne aktywa (Inventory)

Wprowadź segmentację sieci IT/OT

Wdroż MFA i zarządzanie tożsamością

Edukuj pracowników – najsłabsze ogniwo

Regularnie testuj plany odtwarzania awaryjnego

Bezpieczeństwo to proces, nie projekt

Dziękuję za uwagę

Pytania?