Vaši elektrárnu může ohrozit zapomenutý přístup. Co odhalí xOT?

Elektrárnu nemusí zastavit útok na turbínu. Stačí napadnout počítač, přes který ji obsluha řídí. Nebo servisní přístup, o kterém správce sítě vůbec neví. Právě takové závislosti řeší xOT Cyber Threat Intelligence: zpravodajství o kybernetických hrozbách pro technologie, které ovlivňují fyzický provoz.

Nejde přitom jen o jaderné bloky a rozvodny. Stejnou pozornost si zaslouží obecní fotovoltaika, bateriové úložiště nebo vodárenská čerpací stanice. Útočník nepotřebuje nejdražší zařízení v areálu. Potřebuje cestu dovnitř.

Vaši elektrárnu může ohrozit zapomenutý přístup. Co odhalí xOT?

Zkratka OT označuje provozní technologie. Patří sem průmyslové řídicí jednotky PLC, dispečerské systémy SCADA, operátorské panely i inženýrské stanice. Jejich úkolem je měřit, regulovat a řídit. Když selžou, následkem nemusí být jen ztracený soubor. Může se zastavit čerpadlo nebo změnit výkon zdroje.

Dragos používá označení xOT pro širší prostředí, které tyto procesy ovlivňuje. Zahrnuje propojená zařízení, sítě, cloudové služby a softwarový dodavatelský řetězec. Hranice ochrany se tak posouvá za samotný rozvaděč. Toto vymezení firma popisuje ve svém oznámení rozšíření platformy.

Praktický příklad? Bateriové úložiště má vlastní řízení. Současně komunikuje s energetickým dispečinkem a může přijímat požadavky od agregátora. Servisní firma používá vzdálený přístup. Každé spojení má jiného vlastníka, jiná oprávnění a jiný možný dopad při kompromitaci.

Smyslem xOT je zjistit, kdo může ovlivnit fyzický proces, odkud a za jakých podmínek. Samotný seznam IP adres nestačí. Potřebujete znát vztahy mezi zařízeními, účty a provozními funkcemi.

Zpravodajství o hrozbách k tomu přidává znalost protivníka. Jak získává přístup? Co hledá? Které změny předcházejí narušení provozu? Zpráva o nové útočné skupině má cenu teprve tehdy, když z ní vznikne konkrétní kontrola ve vlastní síti. Jinak je to drahé čtení do vlaku.

Skutečné incidenty: Ukrajina a napadené vodárenské technologie

Útok na ukrajinskou distribuční síť v roce 2015 ukázal, že kybernetická operace může přerušit dodávky elektřiny. Mezinárodní energetická agentura jej označuje za první potvrzený kybernetický útok přímo proti elektrické síti s dopadem na její dostupnost. Elektřina tehdy přestala být jen tématem informatiků. Stala se fyzickým důsledkem napadení. Rozbor IEA.

Jiný typ varování přišel z vodárenství. Podle společného upozornění CISA a partnerských institucí útočila skupina CyberAv3ngers mezi listopadem 2023 a lednem 2024 na řídicí jednotky Unitronics v americké kritické infrastruktuře. Cílem byla i zařízení používaná ve vodárenských provozech. Upozornění CISA.

Tyto případy se liší rozsahem i provedením. Spojuje je ale zásadní lekce: bezpečnost nelze odvozovat od velikosti provozovatele. Malá organizace může používat stejnou rodinu řídicích zařízení jako velký průmyslový podnik. A její správce často obstarává všechno od tiskárny po čerpací stanici.

Při vyhodnocování incidentů je nutné oddělit napadení zařízení, ztrátu dohledu a skutečnou manipulaci s procesem. Změněná obrazovka ještě nedokazuje kontaminaci vody. Napadený podnik zase automaticky neznamená převzaté řízení výroby.

Pro obranu z toho vyplývá konkrétní úkol. Nestačí sledovat, zda zařízení odpovídá. Ověřujte také jeho konfiguraci, oprávněné zdroje povelů a možnost bezpečného místního ovládání. A hlavně: personál musí vědět, co dělat, když digitálním údajům přestane věřit.

Co ukazují čísla Dragosu a co z nich nevyčtete

Dragos ve zprávě vydané v únoru 2026 shrnul pozorování za rok 2025. Evidoval 119 ransomwarových skupin útočících na průmyslové organizace, oproti 80 v předchozím roce. To představuje přibližně 49% růst počtu skupin. Celkem uvádí 3 300 zasažených organizací.

Pozor na interpretaci. Jde o napadené průmyslové organizace, nikoli o 3 300 potvrzených převzetí průmyslového řízení. Stejně tak růst počtu skupin není totéž jako růst počtu útoků. Záměna těchto údajů vyrábí působivé titulky, ale mizerné podklady pro rozhodování.

Firma zároveň popsala skupinu AZURITE, která se zaměřuje na dlouhodobý přístup a krádeže provozních informací, včetně síťových schémat a údajů z průmyslového prostředí. U skupiny SYLVANITE uvedla předávání získaného přístupu skupině VOLTZITE. Zpráva Dragosu za rok 2025.

Pro provozovatele energetiky je podstatná příprava útoku. Ukradené schéma sítě nemusí způsobit okamžitý výpadek. Může však protivníkovi usnadnit další postup. Tichý průzkum si proto zaslouží pozornost ještě před první změnou nastavení.

Při nákupu zpravodajské služby chtějte u každého zásadního zjištění čtyři věci: podmínky použitelnosti, míru jistoty, způsob ověření a doporučenou reakci. Informace „skupina napadá energetiku“ je příliš obecná. Užitečný výstup pomůže určit konkrétní zařízení nebo přístup, který má váš tým prověřit.

Statistiky dodavatele navíc popisují jeho pozorování. Nejsou úplným sčítáním všech incidentů na planetě.

Dragos rozšiřuje platformu. AI ale nenahradí znalost elektrárny

Rok 2026 přinesl Dragosu výrazné změny. V září firma oznámila akvizice společností runZero a NetRise po dokončení většinové investice Accenture. runZero rozšiřuje možnosti zjišťování zařízení a vyhodnocování jejich vystavení hrozbám. NetRise přináší znalost softwaru v zařízeních a jeho dodavatelských závislostí. Oznámení akvizic.

Z bezpečnostního pohledu dává toto propojení smysl. Provozovatel potřebuje spojit tři otázky: co vlastní, co je zranitelné a co se právě děje. Nákup firem ovšem sám o sobě nedokazuje, že jsou všechny funkce dokonale propojené. Při výběru řešení chtějte předvést konkrétní postup na vlastním typu technologie.

Další novinkou je EmberAI, představená 23. června 2026. Podle Dragosu pomáhá analytikům vyhodnocovat zařízení, síťovou aktivitu a hrozby v provozním kontextu. Firma uvádí, že konečné rozhodnutí zůstává člověku a zákaznická data neopouštějí jeho prostředí. Jde o deklarované vlastnosti výrobce, které patří do technického ověření i smlouvy. Představení EmberAI.

Při pilotním nasazení sledujte především praktický přínos. Pozná systém nepovolenou změnu konfigurace? Vysvětlí, proč je podezřelá? Rozliší pravidelnou údržbu od nečekaného zásahu? Kolik práce přidá obsluze?

AI může zkrátit hledání souvislostí. Odpovědnost za odstavení technologie však musí mít konkrétní člověk. U zařízení, které řídí tok energie, je sebevědomá chybná odpověď pořád chybná odpověď.

Doporučení NÚKIB: začněte u procesů, přístupů a obnovy

NÚKIB doporučuje identifikovat kritické procesy, zmapovat průmyslovou síť a evidovat zařízení včetně verzí softwaru a firmwaru. Výslovně upozorňuje také na potřebu zmapovat a monitorovat vzdálená připojení dodavatelů. To je dobrý výchozí bod i pro menší energetický provoz. Doporučení NÚKIB pro průmyslové sítě.

Prakticky bych postupoval od dopadu. Nejprve určete, které selhání zastaví dodávku, ohrozí obsluhu nebo znemožní bezpečné řízení. Teprve potom vybírejte nástroje. Nejhlasitější upozornění nemusí patřit nejdůležitějšímu zařízení.

Servisní přístup navrhněte přes spravovanou přístupovou bránu. Každý technik má vlastní účet, potřebná oprávnění a časově omezený přístup. Vícefaktorové ověření uplatněte na vstupu tam, kde jej samotná průmyslová jednotka neumí. Ukončení servisní smlouvy musí znamenat také odebrání přístupu.

Síť rozdělte podle funkcí a povolujte jen potřebnou komunikaci. Kancelářský počítač nemá automaticky získat cestu k řízení baterie. Každé povolené spojení musí mít vlastníka a provozní důvod.

U aktualizací posuzujte dosažitelnost zranitelného zařízení, možnost zneužití i dopad zásahu. Před změnou potřebujete ověřenou zálohu a návratový postup. Aktivní testování průmyslových zařízení plánujte s obsluhou a dodavatelem.

Obnova si zaslouží samostatnou zkoušku. Zálohujte také programy řídicích jednotek, konfigurace a potřebné licence. Zelená ikona v zálohovacím programu ještě neříká, za kolik hodin obnovíte provoz.

Fotovoltaika a baterie: vzdálené řízení musí mít jasné hranice

Digitalizace a decentralizace rozšiřují počet připojených zařízení v energetice. IEA upozorňuje, že distribuované zdroje, automatizace a cloudové služby zvětšují prostor pro kybernetické útoky. Přínos propojení tak musí doprovázet promyšlená ochrana. Analýza kybernetické odolnosti elektrizačních soustav.

U fotovoltaiky a baterií oddělujte měření od řízení. Účet určený ke čtení výroby nepotřebuje právo měnit provozní parametry. Pokud zařízení umožňuje obojí přes stejné rozhraní, musí omezení zajistit navazující architektura a správa oprávnění.

Při zvažování IoT monitoringu se proto ptejte, jaká data odcházejí, kam a zda spojení dovoluje také povely směrem k technologii. U obchodování flexibility přidejte otázku, kdo smí měnit požadovaný výkon a jaké místní ochrany mají přednost.

Pro projekty obcí a měst doporučuji určit jednoho odpovědného správce přístupů napříč objekty. Jinak může každá škola, úřad nebo kotelna skončit s jiným servisním účtem a jinými pravidly.

energetická platforma SES je zde relevantní při plánování energetických služeb. Konkrétní zabezpečení integrace je ale potřeba doložit technickou dokumentací, rozsahem oprávnění a smluvní odpovědností.

Širší energetické souvislosti najdete také na SmartEnergyShare.info a téma komunitní energetiky na ShareElectric.cz. Při každém projektu však chtějte ještě jednu odpověď: co technologie udělá, když přestane fungovat internet nebo bude nutné vzdálené řízení odpojit?

Prvních 30 dní: méně prezentací, více ověřených přístupů

První týden věnujte inventuře. Vyberte nejdůležitější provozní proces a zakreslete jeho závislosti. Evidujte řídicí zařízení, operátorské stanice, servisní notebooky, vzdálené brány a odpovědné osoby. Rozsah přizpůsobte týmu. U velkého provozu je lepší poctivě zmapovaná část než předstíraný přehled o všem.

Druhý týden prověřte přístupy. Každé externí spojení musí někdo vysvětlit. Nepoužívané účty rušte po ověření provozních vazeb. U sdílených účtů připravte přechod na jmenné identity. Dodavateli zůstane možnost pracovat, provozovateli vznikne dohledatelná odpovědnost.

Třetí týden sestavte tři detekční scénáře: nový zdroj řídicích povelů, změna konfigurace mimo údržbu a vzdálené přihlášení mimo povolené období. U každého určete, kdo upozornění dostane a co ověří jako první. Bez reakčního postupu pouze vyrábíte další zprávy.

Čtvrtý týden uspořádejte stolní cvičení. Modelová situace: servisní účet je kompromitovaný a obsluha vidí nečekanou změnu nastavení. Kdo potvrdí stav technologie? Kdo smí omezit spojení? Jak zachováte důkazy a bezpečný provoz?

Úspěch měřte schopností situaci zvládnout. Sledujte dobu ověření poplachu, dostupnost odpovědných lidí a skutečně vyzkoušenou obnovu. Počet nakoupených licencí vám při výpadku nepomůže.

Ještě dnes si vyžádejte seznam všech vzdálených přístupů k energetickým technologiím. Pokud jej nikdo nedokáže dodat, máte první konkrétní úkol. xOT bezpečnost začíná právě tam.

Zdroje

Následující prameny pokrývají doporučení pro české provozovatele, konkrétní průmyslové hrozby i souvislosti energetiky. Údaje z výročních přehledů je potřeba číst podle sledovaného období a metodiky. Produktové novinky uvedené v textu vycházejí z odkazovaných oznámení výrobce; jejich praktické vlastnosti musí ověřit zákazník při nasazení.

• NÚKIB: Doporučení pro průmyslové sítě — Český podklad k identifikaci kritických procesů, mapování zařízení a kontrole dodavatelských připojení. Vhodný začátek při přípravě vlastní inventury a rozdělení odpovědností.
• CISA: Útoky na řídicí jednotky Unitronics — Společné upozornění na aktivitu spojovanou s CyberAv3ngers. Obsahuje popis ohrožených technologií a doporučená opatření pro provozovatele kritické infrastruktury.
• Dragos: Přehled průmyslových kybernetických hrozeb vydaný v roce 2026 — Zdroj uvedených statistik za rok 2025 a poznatků o sledovaných skupinách. Zachycuje pozorování společnosti, nikoli všechny světové incidenty.
• IEA: Posilování kybernetické odolnosti elektrizačních soustav — Energetický kontext digitalizace, propojených zařízení a řízení rizik. Pomáhá zasadit technická opatření do odpovědnosti provozovatelů a dalších účastníků trhu.
• IEA: Kybernetická odolnost při proměně energetiky — Podklad k historickému významu ukrajinského incidentu a k dopadům propojení elektrizační soustavy s další kritickou infrastrukturou.

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW — obchodování flexibility, SVR služby a IoT monitoring. Zjistěte víc →

Další články na toto téma najdete na: ShareElectric.cz CVE-2026-58644: Anatomie digitálního průšvihu Vice o new ev