Elektrárnu neochráníte stejně jako účetní notebook

Více než 600 bytových domů bez vytápění. Venku pod nulou. Obnova téměř dva dny. Tak dopadl kybernetický útok na ukrajinskou teplárenskou společnost v lednu 2024. Dragos jej spojil s malwarem FrostyGoop, který dokáže komunikovat přímo s průmyslovými řídicími zařízeními. Následky tentokrát lidé nepocítili v e-mailové schránce, ale na pokojovém teploměru. Podrobnosti vyšetřování Dragosu.

Pro českou energetiku je to nepříjemně konkrétní varování. Připojujeme fotovoltaiky, bateriová úložiště, výměníkové stanice i obecní kotelny. Každé vzdálené ovládání ale otevírá stejnou otázku: kdo všechno může zařízení skutečně řídit?

Elektrárnu neochráníte stejně jako účetní notebook

Provozní technologie, zkráceně OT, ovládají fyzické procesy. Patří sem programovatelné automaty PLC, operátorské panely HMI, dispečerské systémy SCADA nebo řízení výkonu baterie. Jejich kompromitace může změnit chování zařízení. Třeba zastavit čerpadlo nebo připravit obsluhu o přehled nad rozvodnou.

Rozdíl proti kancelářskému IT se ukáže při zásahu. Napadený notebook obvykle odpojíte. U řídicího serveru musíte nejprve vědět, co jeho odpojení provede s technologií. Automatický restart může vyvolat další poruchu. Dobře míněný bezpečnostní zásah tak dokáže incident prodražit.

Mezinárodní energetická agentura upozorňuje na tři zvláštnosti elektroenergetiky: vysoké nároky na dostupnost, vzájemné závislosti a souběh moderních systémů se zařízeními s dlouhou životností. Obrana musí respektovat všechny tři. Rozbor odolnosti elektrizačních soustav od IEA.

Dragos používá označení xOT pro širší prostředí zahrnující systémy, které ovlivňují fyzický proces. Prakticky jde o připomenutí, že bezpečnost nekončí u automatu v rozvaděči. Do posouzení patří také servisní notebook, přístupová brána a navazující digitální služby. Vymezení xOT společností Dragos.

První otázka bezpečnostního experta proto zní: co musí fungovat, aby zůstal provoz bezpečný? Teprve potom přichází výběr nástrojů. Inventář licencí je užitečný. Inventář závislostí mezi zařízeními bývá při skutečném průšvihu užitečnější.

Útočníci už zkoumají, jak provoz zastavit

Výroční zpráva Dragosu zveřejněná 17. února 2026 popisuje události roku 2025. Firma sledovala 119 ransomwarových skupin zaměřených na průmyslové organizace, oproti 80 v předchozím roce. To představuje růst přibližně o 49 procent. Pozor na interpretaci: jde o počet skupin, nikoli automaticky o růst počtu útoků.

Dragos uvádí 3 300 zasažených průmyslových organizací. Jde o jeho sledovaný soubor, ne úplný soupis všech incidentů na světě. Z těchto údajů také nelze vypočítat pravděpodobnost napadení konkrétní české elektrárny.

Závažnější je změna chování protivníků. Skupina KAMACITE podle výzkumníků mapovala řídicí smyčky americké infrastruktury. ELECTRUM v prosinci 2025 útočil na energetická zařízení v Polsku, včetně systémů souvisejících s obnovitelnými zdroji. Dragos popisuje pokusy ovlivnit provozní zařízení; samotné tvrzení není důkazem rozsáhlého výpadku polské sítě. Výsledky zprávy Dragosu za rok 2025.

Pro obránce z toho plyne konkrétní úkol. Sledujte také přístup k projektům automatů, síťovým schématům a konfiguracím. Únik takových dat může protivníkovi pomoci pochopit, odkud přicházejí příkazy a co vyvolává odstavení.

Zpravodajství o OT hrozbách má hodnotu tehdy, když se promění v kontrolu vlastního prostředí. Zpráva o napadených přístupových branách má vést k prověření bran. Sbírka názvů hackerských skupin na poradě elektřinu neudrží.

FrostyGoop a Unitronics: někdy stačí otevřené dveře

FrostyGoop ukázal, že škodlivý program nemusí spoléhat na exotickou zranitelnost. Umí využívat Modbus TCP, běžný průmyslový komunikační protokol. Dragos popsal příkazy zasílané řídicím zařízením ENCO, které vedly k chybným měřením a nesprávnému fungování systému. V původní analýze označil použití FrostyGoopu při ukrajinském incidentu za pravděpodobné. Technická analýza FrostyGoopu.

Bezpečnostní problém se skrývá v oprávněnosti komunikace. Zařízení může přijmout syntakticky správný příkaz, který je z hlediska provozu škodlivý. Antivirová kontrola souborů proto nepokrývá celé riziko. Potřebujete vědět, který počítač smí zapisovat do řídicího systému a za jakých okolností.

Podobně přímočaré byly útoky na automaty Unitronics ve vodohospodářství v roce 2023. Americká CISA upozornila na zařízení dostupná z internetu a slabé zabezpečení hesly. Výslovně doporučila změnit výchozí heslo, odpojit automaty od veřejného internetu a chránit vzdálený přístup vícefaktorovým ověřováním. Upozornění CISA k Unitronics.

Provozní poučení je jednoduché. Zkontrolujte veřejnou dostupnost servisních rozhraní a zrušte nepotřebná přesměrování portů. Prověřte i přístupy přes mobilní routery a dodavatelské tunely. Ty se do původního síťového diagramu občas vůbec nedostanou.

Dodavatel by měl doložit celou cestu svého připojení. Odpověď „máme to přes zabezpečenou aplikaci“ je začátek rozhovoru, nikoli hotové bezpečnostní posouzení.

Co přinesl Dragos: užitečnější přehled i pomoc analytikům

V dubnu 2026 Dragos představil změny platformy 3.1. Mezi praktické novinky patří zobrazení životního cyklu zařízení vedle údajů o zranitelnostech. Analytik tak může zjistit, zda výrobce zařízení ještě podporuje, a lépe rozhodnout mezi aktualizací, omezením komunikace a plánovanou výměnou.

Nový Communications Hub rozšiřuje rozbor síťové komunikace. Pro energetický provoz je podstatné zejména propojení komunikujících zařízení s jejich kontextem a přehled přenosů mezi zónami. Samotná IP adresa řekne méně než informace, že jde o servisní stanici komunikující s řízením baterie.

Platforma také rozvíjí asistenta využívajícího umělou inteligenci a přidává podporu protokolu MCP pro napojení schválených podnikových nástrojů. Dragos oznámil rovněž rozšíření aktivního sběru dat a možnosti nasazení senzorů v menších vzdálených lokalitách. Jde o deklarované funkce výrobce, nikoli výsledek nezávislého testu. Přehled změn platformy Dragos.

Při výběru bych požadoval ukázku nad reprezentativními daty vlastního provozu. Rozpozná systém konkrétní zařízení? Odliší běžnou údržbu od podezřelé změny? Dostane obsluha srozumitelný postup, nebo pouze další červený řádek?

U aktivního dotazování navíc ověřte kompatibilitu s technologií. Začněte omezeným rozsahem a dohodnutým testovacím oknem. U asistenta zase určete, k jakým datům smí přistupovat. Přehled konfigurací elektrárny si zaslouží stejně pečlivou správu oprávnění jako samotný dispečink.

Partnerství s Microsoftem propojuje bezpečnostní dohled

Dragos 3. února 2026 oznámil rozšíření spolupráce s Microsoftem. Popsal nasazení platformy na Azure, integraci s Microsoft Sentinel a dostupnost prostřednictvím Microsoft Marketplace. Oznámení zahrnovalo podporu poskytování platformy jako cloudové služby od prvního čtvrtletí 2026 vedle místních a hybridních variant.

Smyslem integrace je dostat OT telemetrii, informace o hrozbách a kontext zařízení do společného bezpečnostního dohledu. Oznámení spolupráce Dragosu a Microsoftu.

Představme si modelovou situaci. Firemní dohled zachytí podezřelé přihlášení servisního účtu. Krátce nato přijde upozornění na neobvyklou komunikaci s řídicí stanicí. Propojená data mohou analytikovi pomoci posoudit, zda spolu události souvisejí. Právě takové propojení dává partnerství praktický význam.

Při návrhu řešení ale potřebujete stanovit, která data opouštějí lokalitu, jak dlouho se uchovávají a kdo je může prohlížet. Stejně podstatné je chování při výpadku spojení. Požadujte předvedení místního záznamu událostí a jeho následného doplnění do centrálního dohledu.

Také určete odpovědnost za reakci. Analytik může rozpoznat podezřelou komunikaci, zatímco dispečer ví, zda lze zařízení bezpečně odstavit. Obě role potřebují společný postup a dostupný kontakt. Integrace produktů sama nevyřeší situaci, kdy se noční směna nemá komu dovolat.

NÚKIB doporučuje začít kritickými procesy a přístupy

Český NÚKIB ve vzdělávacích materiálech pro průmyslové sítě doporučuje identifikovat kritické procesy, zmapovat zařízení a sledovat připojení dodavatelů. Zdůrazňuje také omezení internetových propojení, vícefaktorové ověřování a zvládnutelný plán aktualizací. Systémy, které nelze aktualizovat, mají být oddělené a pečlivě monitorované. Doporučení NÚKIB pro průmyslové systémy.

V praxi začněte jedním provozem. Sepište zařízení, jejich funkci, správce, verzi firmwaru a povolené komunikační protějšky. Přidejte závislosti: napájení, síť, časovou synchronizaci a vzdálené služby. Dokumentace má odpovídat tomu, co skutečně běží.

Následně oddělte kancelářskou síť, servisní přístup a vlastní řízení technologie. Mezi zónami povolte jen potřebnou komunikaci. Dodavatelský účet musí mít konkrétního vlastníka a omezená oprávnění. Přístup pro jednorázovou opravu nemá automaticky přežít dalších deset let.

Aktualizace řaďte podle dosažitelnosti zařízení, dopadu kompromitace a dostupných ochranných opatření. Vysoké skóre zranitelnosti je podklad pro rozhodnutí. Samo neříká, zda dnes bezpečně restartujete regulátor.

NÚKIB rovněž doporučuje spolupráci IT bezpečnosti s provozními pracovníky. Tady jde o odstranění organizačních bariér. Technické oddělení sítí nadále potřebujete. Bezpečnostní tým musí rozumět omezením provozu a provozní tým musí vědět, kdy neobvyklé chování zařízení hlásit jako možné napadení.

Fotovoltaika a baterie: kdo smí měřit a kdo řídit?

U distribuované energetiky se přístupová oprávnění snadno rozrostou. Výrobce zařízení, instalační firma, provozovatel monitoringu a agregátor mohou potřebovat odlišná data i funkce. Jejich role proto popište ještě před připojením zařízení.

U služby typu IoT monitoring si vyjasněte rozdíl mezi sběrem údajů a možností měnit nastavení. Účet pro čtení spotřeby nemá bez provozního důvodu získat oprávnění zasahovat do ochranných parametrů. Zaznamenávejte také změny konfigurace, včetně identity uživatele a času.

U obchodování flexibility přidejte kontrolu příkazů. Který systém smí zadat výkon? Jaké limity platí? Co se stane při ztrátě spojení nebo při přijetí nesmyslné hodnoty? Odpovědi musí odpovídat možnostem konkrétní technologie a projít provozní zkouškou.

Obdobné otázky patří do zadání energetických projektů [pro obce a města](https://smartenergyshare.com/pro-obce-a-mesta?utm_source=smartenergyshare-info&utm_medium=referral&utm_campaign=satellite-marketing). Obec potřebuje vlastní přehled přístupů a postup pro změnu servisní firmy. Energetické služby představuje také energetická platforma SES; konkrétní bezpečnostní vlastnosti však vždy ověřujte v technické dokumentaci a smlouvě.

Širší souvislosti komunitní energetiky můžete sledovat na SmartEnergyShare.cz. Při zavádění podobných projektů požadujte předávací dokumentaci, seznam účtů a možnost odebrat dodavateli přístup. To jsou levnější položky než pozdější zjišťování, kdo má stále klíče od vašeho řízení.

Třicet dní, které prověří skutečnou připravenost

První týden věnujte inventuře vzdálených přístupů. Porovnejte smlouvy s reálným nastavením bran a účtů. Nepotřebná oprávnění odeberte po ověření provozních závislostí. U potřebných přístupů určete vlastníka, rozsah a způsob ověřování.

Druhý týden vyberte kritické konfigurace a ověřte jejich zálohy. Vedle serverů sem mohou patřit projekty PLC, nastavení síťových prvků a konfigurační soubory operátorských stanic. Jednu obnovu proveďte v bezpečném testovacím prostředí. Soubor na záložním disku ještě nedokazuje, že zařízení dokážete vrátit do provozu.

Třetí týden nastavte několik konkrétních detekcí: nový komunikační protějšek, přihlášení dodavatele mimo dohodnuté okno nebo změna konfigurace. U každého upozornění určete člověka, který ho posoudí, a očekávanou dobu reakce.

Čtvrtý týden uspořádejte cvičení. Scénář může znít: dispečink ukazuje neobvyklé hodnoty, servisní účet je podezřelý a dodavatel nezvedá telefon. Projděte bezpečné omezení přístupu, ověření skutečného stavu technologie a obnovu. Nic nevypínejte naslepo.

Výsledkem má být měřitelný přehled: kolik přístupů znáte, kolik kritických zařízení sledujete a jak dlouho trvá ověřená obnova. Začněte ještě tento týden seznamem lidí a systémů, které mohou váš provoz ovládat. Jestli ho nedokážete sestavit, našli jste první bezpečnostní úkol.

Zdroje

• Dragos: výroční zpráva 2026 a výsledky sledování roku 2025 — Podklad pro uvedené počty ransomwarových skupin, zasažených organizací a popis sledovaných aktivit proti energetice. Statistiky zachycují poznatky dodavatele bezpečnostních služeb; při porovnávání s jinými přehledy je nutné kontrolovat období a metodiku.
• Dragos: rozbor malwaru FrostyGoop — Technický popis komunikace s průmyslovými zařízeními a vyšetřování ukrajinského incidentu. Zdroj zároveň rozlišuje pozorované skutečnosti od analytického hodnocení pravděpodobného použití konkrétního malwaru.
• NÚKIB: doporučení pro průmyslové řídicí systémy — Český praktický podklad pro inventarizaci, správu vzdálených přístupů a plánování aktualizací. Hodí se jako výchozí seznam oblastí pro společnou kontrolu bezpečnostního a provozního týmu.
• CISA: napadání automatů Unitronics ve vodohospodářství — Oficiální upozornění s doporučeními ke změně výchozích hesel, omezení dostupnosti zařízení z internetu a ochraně vzdáleného připojení. Dokládá praktický význam základních ochranných opatření.
• IEA: posilování kybernetické odolnosti elektrizačních soustav — Širší energetický kontext dostupnosti, vzájemných závislostí a dlouhé životnosti technologií. Materiál pomáhá vysvětlit, proč se bezpečnostní postupy musí přizpůsobit fyzickému provozu.

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW — obchodování flexibility, SVR služby a IoT monitoring. Zjistěte víc →

Další články na toto téma najdete na: ElectricShare.cz Srovnání platforem pro sdílení energie v Česku 2026: Kdo ... Vice o škoda epiq