Pojazdy elektryczne a bezpieczeństwo organizacji

Przypadek firmy logistycznej z 2023 roku, która wdrożyła flotę pojazdów marki BYD, obrazuje skalę ryzyka: po sześciu miesiącach systemy monitorowania bezpieczeństwa (SOC) wykryły nieautoryzowany transfer danych do serwerów zagranicznych. Przesyłane informacje obejmowały dane GPS, nagrania z kamer oraz profile kierowców. Koszty audytu, migracji danych oraz kary nałożone przez UODO przekroczyły 2 mln zł.

Nowelizacja UKSC: Dostawcy wysokiego ryzyka

Osoby odpowiedzialne za bezpieczeństwo informacji (CISO/CSO) muszą obecnie uwzględnić w swoich planach nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC). Projekt ten daje Ministrowi Cyfryzacji uprawnienie do wykluczania tzw. dostawców wysokiego ryzyka.

Jeśli firma pełni rolę operatora usługi kluczowej – np. w transporcie, logistyce czy produkcji – chińskie pojazdy elektryczne mogą zostać objęte restrykcjami. Rząd poddaje już analizie zakupy autobusów miejskich pod kątem potencjalnych wektorów ataków cybernetycznych. Piąta wersja nowelizacji UKSC rozszerza katalog podmiotów krytycznych o dostawców technologii informacyjno-komunikacyjnych (ICT), co bezpośrednio dotyczy nowoczesnych pojazdów naszpikowanych elektroniką.

Ryzyko prawne i wywiadowcze

Kluczowym aspektem jest chińska ustawa o wywiadzie narodowym (Art. 7), która zobowiązuje tamtejsze przedsiębiorstwa do współpracy z organami bezpieczeństwa państwa i udostępniania im danych. Brak należytej staranności (due diligence) przy wyborze dostawcy może skutkować nie tylko utratą kontraktów z zachodnimi partnerami (OEM), ale także interwencją służb kontrwywiadowczych, takich jak ABW, badających szczelność systemów korporacyjnych.

Zagrożenia dla ciągłości działania i danych

Pojazdy te gromadzą ogromne ilości wrażliwych informacji: geolokalizację, mapy 3D otoczenia, nagrania audio oraz dane biometryczne. Chińska Państwowa Komisja Standaryzacyjna sama wskazuje na potencjalne zagrożenia dla bezpieczeństwa informacji geoprzestrzennych.

W Polsce udział chińskich marek w rynku aut osobowych systematycznie rośnie. Eksperci ostrzegają przed scenariuszami paraliżu łańcucha dostaw poprzez zdalne zablokowanie floty lub przejęcie kontroli nad systemami wspomagania jazdy. Technicznie zagrożenia te obejmują:

• Eksfiltrację danych za pośrednictwem chmury producenta.
  
• Ukrywanie złośliwego oprogramowania w aktualizacjach systemowych typu OTA (Over-the-Air).
  
• Nieautoryzowany dostęp do magistrali komunikacyjnej pojazdu (CAN), co pozwala na ingerencję w systemy hamowania lub sterowania.
  
  

Konsekwencje finansowe i odpowiedzialność zarządu

Dla kadry zarządzającej (C-level) posiadanie floty od dostawcy wysokiego ryzyka wiąże się z konkretnymi zagrożeniami finansowymi:

1. Kary finansowe: Zgodnie z nowelizacją UKSC oraz dyrektywą NIS2, za brak właściwego zarządzania ryzykiem grożą kary do wysokości 10 mln EUR lub 2% rocznego obrotu.
   
2. Odpowiedzialność osobista: CSO i członkowie zarządu mogą odpowiadać osobiście za uchybienia wdrożeniowe.
   
3. Koszty przestojów: Szacuje się, że unieruchomienie floty w dużej firmie logistycznej może generować straty rzędu 500 tys. zł dziennie.
   
   

Regulacje DORA i normy ISO

W sektorze finansowym rozporządzenie DORA (Digital Operational Resilience Act) nakłada obowiązek testowania odporności operacyjnej. Leasing pojazdów od dostawcy z Chin może zostać zakwalifikowany jako korzystanie z usług „krytycznego dostawcy zewnętrznego ICT”. Wymusza to przeprowadzanie testów penetracyjnych kanałów łączności oraz zapewnienie lokalizacji danych na terenie UE.

Również norma ISO 27001 (załącznik A.5) wymaga ścisłej kontroli relacji z dostawcami. Audytorzy coraz częściej weryfikują, czy flota pojazdów posiada odpowiednią izolację kryptograficzną i czy logi systemowe są monitorowane pod kątem nieprawidłowości.

Rekomendowane działania zapobiegawcze

Aby zminimalizować ryzyko i przygotować organizację na zmiany w prawie, zaleca się:

• Monitoring ruchu sieciowego: Analiza połączeń wychodzących z systemów pokładowych pojazdów do serwerów poza obszarem EOG.
  
• Segmentację sieci: Odseparowanie systemów telematycznych pojazdów od głównej sieci firmowej (ERP, bazy danych).
  
• Weryfikację kontraktów: Wprowadzenie klauzul dotyczących zakazu transferu danych do państw trzecich bez zgody administratora oraz wymogu audytu kodu źródłowego oprogramowania.
  
• Zarządzanie ryzykiem łańcucha dostaw: Przeprowadzenie analizy ryzyka zgodnie z wytycznymi NIS2 przed podpisaniem kolejnych umów leasingowych.
  

W obliczu procedowanych zmian ustawowych, ignorowanie kwestii bezpieczeństwa cyfrowego floty może w krótkim czasie doprowadzić do konieczności nagłego wycofania pojazdów z użytku oraz dotkliwych sankcji prawnych.