Brytyjska elektrownia wyłączona cztery dni, nigdy zgłoszona

Cztery dni przerwy w brytyjskim obiekcie, ujawnione przez dziennik

The Telegraph podał 22 sierpnia 2026 roku, że hakerzy powiązani z Iranem wyłączyli małą brytyjską elektrownię na cztery dni, co kilka mediów opisuje jako pierwszy udany irański cyberatak, który wyłączył brytyjski obiekt energetyczny. Materiał cytował niewymienionych z nazwiska źródła bezpieczeństwa i rządowe, a potwierdzające relacje pojawiły się w ciągu kilku godzin ze strony Iran International, GB News, Jerusalem Post, Ynetnews i Israel Hayom.

Brytyjskie władze zinterpretowały włamanie jako demonstrację zdolności, a nie próbę zakłócenia sieci krajowej, ponieważ dotyczyło ono małego obiektu, a reszta sieci działała bez przerwy przez całe cztery dni awarii. Ta interpretacja ma znaczenie dla tego, jak poważnie mniejsi operatorzy powinni traktować ten incydent: demonstracja wymierzona w mały obiekt wciąż pokazuje, co ten sam aktor mógłby spróbować wobec większego.

Nie jednorazowy przypadek: wzorzec w pięciu krajach plus fala uderzeń na wodę w USA

Włamanie do brytyjskiej elektrowni nastąpiło w tym samym oknie czasowym co fala ataków na amerykańskie wodociągi w 12 stanach, incydenty, które według doniesień spowodowały zalania, spadki ciśnienia i ostrzeżenia o niezdatnej do picia wodzie dla poszkodowanych społeczności.

Ten moment nastąpił po serii podejrzewanych irańskich włamań do infrastruktury krytycznej w innych częściach Europy, w Niemczech, Polsce, Finlandii, Belgii i Albanii, według tych samych doniesień. Zestawione razem, incydenty czyta się nie jako rozproszone sondowanie, lecz jako działanie jednego aktora testującego dostęp w wielu sektorach i wielu krajach naraz.

Poza samą awarią: luka w obowiązku zgłoszeń, której NIS2 nie miała wychwycić

Opinia publiczna nie dowiedziała się o tym włamaniu do brytyjskiej infrastruktury energetycznej za pomocą żadnego obowiązkowego systemu zgłoszeń; dowiedziała się o nim z dziennikarskiego śledztwa, opublikowanego dni po tym, jak awaria już się zakończyła.

Brytyjskie NIS Regulations i równoległa unijna dyrektywa NIS2 budują swoje obowiązki zgłoszeniowe wokół tak zwanych operatorów usług kluczowych, kategorii przeznaczonej dla dużych operatorów sieci, krajowych spółek przesyłowych i dużych dostawców, a nie dla każdego małego, niezależnego obiektu wytwórczego podłączonego do szerszej sieci. W Polsce próg oparty na tej samej logice stosuje CSIRT NASK w ramach krajowej implementacji NIS2, a ten obiekt znalazł się właśnie w tej luce: wystarczająco mały, by pozostać poza oczywistym obwodem zgłoszeniowym, wystarczająco podłączony, by być realnym celem, a efektem jest włamanie, o którym opinia publiczna dowiedziała się przez przypadek, a nie z założenia.

Co brytyjscy i unijni operatorzy przemysłowi i energetyczni powinni teraz sprawdzić

Każdy brytyjski lub unijny operator prowadzący infrastrukturę przemysłową lub energetyczną ma teraz konkretny powód, by ponownie sprawdzić dwa założenia: czy jego własny obiekt faktycznie wywołałby obowiązek zgłoszenia na podstawie NIS2 lub brytyjskich NIS Regulations, oraz czy podział między IT a technologią operacyjną wytrzymałby tę samą drogę włamania, która została tu wykorzystana.

Wzorzec w pięciu krajach, Niemczech, Polsce, Finlandii, Belgii i Albanii, w połączeniu z falą uderzeń na wodę w USA, przemawia przeciw traktowaniu tego jako jednorazowego przypadku, który można zbyć wzruszeniem ramion; przemawia za traktowaniem narażenia małego obiektu jako realnej pozycji w tym samym rejestrze ryzyka, co największy krajowy dostawca, ponieważ aktor stojący za tym nie dzieli celów według wielkości.

Czytaj dalej: Niemiecki okres karencji NIS2 dobiegł końca  |  Autonomiczne agenty AI zaatakowały rząd Tajwanu