Przypadek firmy logistycznej z 2023 roku, która wdrożyła flotę pojazdów marki BYD, obrazuje skalę ryzyka: po sześciu miesiącach systemy monitorowania bezpieczeństwa (SOC) wykryły nieautoryzowany transfer danych do serwerów zagranicznych. Przesyłane informacje obejmowały dane GPS, nagrania z kamer oraz profile kierowców. Koszty audytu, migracji danych oraz kary nałożone przez UODO przekroczyły 2 mln zł.
Nowelizacja UKSC: Dostawcy wysokiego ryzyka
Osoby odpowiedzialne za bezpieczeństwo informacji (CISO/CSO) muszą obecnie uwzględnić w swoich planach nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC). Projekt ten daje Ministrowi Cyfryzacji uprawnienie do wykluczania tzw. dostawców wysokiego ryzyka.
Jeśli firma pełni rolę operatora usługi kluczowej – np. w transporcie, logistyce czy produkcji – chińskie pojazdy elektryczne mogą zostać objęte restrykcjami. Rząd poddaje już analizie zakupy autobusów miejskich pod kątem potencjalnych wektorów ataków cybernetycznych. Piąta wersja nowelizacji UKSC rozszerza katalog podmiotów krytycznych o dostawców technologii informacyjno-komunikacyjnych (ICT), co bezpośrednio dotyczy nowoczesnych pojazdów naszpikowanych elektroniką.
Ryzyko prawne i wywiadowcze
Kluczowym aspektem jest chińska ustawa o wywiadzie narodowym (Art. 7), która zobowiązuje tamtejsze przedsiębiorstwa do współpracy z organami bezpieczeństwa państwa i udostępniania im danych. Brak należytej staranności (due diligence) przy wyborze dostawcy może skutkować nie tylko utratą kontraktów z zachodnimi partnerami (OEM), ale także interwencją służb kontrwywiadowczych, takich jak ABW, badających szczelność systemów korporacyjnych.
Zagrożenia dla ciągłości działania i danych
Pojazdy te gromadzą ogromne ilości wrażliwych informacji: geolokalizację, mapy 3D otoczenia, nagrania audio oraz dane biometryczne. Chińska Państwowa Komisja Standaryzacyjna sama wskazuje na potencjalne zagrożenia dla bezpieczeństwa informacji geoprzestrzennych.
W Polsce udział chińskich marek w rynku aut osobowych systematycznie rośnie. Eksperci ostrzegają przed scenariuszami paraliżu łańcucha dostaw poprzez zdalne zablokowanie floty lub przejęcie kontroli nad systemami wspomagania jazdy. Technicznie zagrożenia te obejmują:
Eksfiltrację danych za pośrednictwem chmury producenta.
Ukrywanie złośliwego oprogramowania w aktualizacjach systemowych typu OTA (Over-the-Air).
Nieautoryzowany dostęp do magistrali komunikacyjnej pojazdu (CAN), co pozwala na ingerencję w systemy hamowania lub sterowania.
Konsekwencje finansowe i odpowiedzialność zarządu
Dla kadry zarządzającej (C-level) posiadanie floty od dostawcy wysokiego ryzyka wiąże się z konkretnymi zagrożeniami finansowymi:
Kary finansowe: Zgodnie z nowelizacją UKSC oraz dyrektywą NIS2, za brak właściwego zarządzania ryzykiem grożą kary do wysokości 10 mln EUR lub 2% rocznego obrotu.
Odpowiedzialność osobista: CSO i członkowie zarządu mogą odpowiadać osobiście za uchybienia wdrożeniowe.
Koszty przestojów: Szacuje się, że unieruchomienie floty w dużej firmie logistycznej może generować straty rzędu 500 tys. zł dziennie.
Regulacje DORA i normy ISO
W sektorze finansowym rozporządzenie DORA (Digital Operational Resilience Act) nakłada obowiązek testowania odporności operacyjnej. Leasing pojazdów od dostawcy z Chin może zostać zakwalifikowany jako korzystanie z usług „krytycznego dostawcy zewnętrznego ICT”. Wymusza to przeprowadzanie testów penetracyjnych kanałów łączności oraz zapewnienie lokalizacji danych na terenie UE.
Również norma ISO 27001 (załącznik A.5) wymaga ścisłej kontroli relacji z dostawcami. Audytorzy coraz częściej weryfikują, czy flota pojazdów posiada odpowiednią izolację kryptograficzną i czy logi systemowe są monitorowane pod kątem nieprawidłowości.
Rekomendowane działania zapobiegawcze
Aby zminimalizować ryzyko i przygotować organizację na zmiany w prawie, zaleca się:
Monitoring ruchu sieciowego: Analiza połączeń wychodzących z systemów pokładowych pojazdów do serwerów poza obszarem EOG.
Segmentację sieci: Odseparowanie systemów telematycznych pojazdów od głównej sieci firmowej (ERP, bazy danych).
Weryfikację kontraktów: Wprowadzenie klauzul dotyczących zakazu transferu danych do państw trzecich bez zgody administratora oraz wymogu audytu kodu źródłowego oprogramowania.
Zarządzanie ryzykiem łańcucha dostaw: Przeprowadzenie analizy ryzyka zgodnie z wytycznymi NIS2 przed podpisaniem kolejnych umów leasingowych.
W obliczu procedowanych zmian ustawowych, ignorowanie kwestii bezpieczeństwa cyfrowego floty może w krótkim czasie doprowadzić do konieczności nagłego wycofania pojazdów z użytku oraz dotkliwych sankcji prawnych.
