Energetická krize, rostoucí počet kyberútoků, invaze na Ukrajinu spojená s ničením energetické infrastruktury a ohrožením jaderných elektráren. To je jen stručný přehled dominantních mediálních témat posledních měsíců a dnů. Jak je na tento stav připravena infrastruktura klíčové energetické společnosti ČEZ, odpovídá ředitel Útvaru ochrana Skupiny ČEZ Daniel Rous.

To je hodně těžká otázka. Ale obecně, infrastruktura žádné země nemůže být plně připravena na masivní vojenský útok. Můžeme se bavit o kriminalitě, terorismu, ale vojenské ohrožení je úplně jiná úroveň hrozby. A obecně platí, že čím vyspělejší země, tím víc elektráren, rozvoden, distribučních sítí a prvků, sítí elektronických informačních a komunikačních systémů, datových center, serverů… Takže paradoxně jsou odolnější země, které nejsou tak rozvinuté, a tím nejsou tak závislé na elektřině, elektronických komunikačních a jiných systémech, datech a informacích. Ale důležité je dělat pro jejich ochranu maximum.

Na profesionální – odborné – úrovni ano. Velmi intenzivně spolupracujeme s dalšími provozovateli kritické infrastruktury v energetice, telekomunikacích, dopravě apod., s bezpečnostními složkami státu, funguje přeshraniční výměna informací a takzvaných dobrých praxí. A zrovna v České republice a konkrétně v ČEZ už déle než deset let posilujeme naši obranyschopnost. Snažíme se být proaktivní a nereagovat na události, až když nastanou, ale na možné hrozby se připravovat předem, přijímat opatření ke snižování rizik a hrozbám předcházet. Není to jednoduché ani levné, ale pár příkladů z posledních let:

Kompletně jsme zrekonstruovali technický systém fyzické ochrany jaderné elektrárny Dukovany. Vybudovali jsme iSOC (integrated Security Operations Center), bezpečnostní dohledové centrum, které dohlíží zejména – ale nejen – na bezpečnost kybernetického prostoru Skupiny ČEZ. Jaderné elektrárny ČEZ jako první na světě úspěšně prošly auditem systému řízení informační a kybernetické bezpečnosti dle normy ISO/IEC 27001. Máme za sebou součinnostní velké cvičení Safeguard v Dukovanech, kde cvičíme společně s Armádou ČR a Policií ČR. To jsou samozřejmě jen ty nejvíc „viditelné“ věci, o kterých můžeme mluvit. Investice do bezpečnosti a ochrany se ve Skupině ČEZ pohybují v řádech stovek milionů až jednotek miliard korun.

Sleduji, i když je zde vždy problém určitého mediálního zkreslení. Někdy může být ten strach spíš neopodstatněný a zveličený, jindy média mohou pomíjet, a tím neříkám, že to dělají, skutečná rizika. Ale to jim není možné vyčítat. Propaganda je ve vojenských konfliktech velmi mocnou zbraní. Nicméně je to nová situace. Vojenské ohrožení civilního jaderného zařízení porušuje zažitá pravidla a konvence. Na druhou stranu dobře vidíme, jak jsou ta zařízení robustní. Velmi rád bych zdůraznil, že klíčové objekty jaderných zařízení jsou schopny odolat i jednotlivým vojenským útokům, včetně běžné dělostřelecké nebo letecké munice. Z války na Ukrajině si určitě bereme ponaučení. Klíčová je pro nás spolupráce a součinnost s bezpečnostními složkami České republiky. Tu jsme loni procvičovali v rámci cvičení Safeguard EDU 2022, kde jsme mimo jiné testovali stavebnice ze speciálního betonu pro posílení kontrolních stanovišť Armády ČR při zajišťování vnější ochrany jaderné elektrárny.

Je to rozsáhlý komplex technických, personálních a organizačních opatření. Z pochopitelných důvodů nemůžu být úplně konkrétní, ale alespoň zhruba: skládá se z řady opatření, prvků a bariér členěných takzvaně „do hloubky“. Tedy pokud by se útočníkovi podařilo překonat jedno opatření nebo bariéru, narazil by na další a silnější. Systém vychází z mezinárodních smluv k ochraně jaderných materiálů a jaderných zařízení a z členství České republiky v mezinárodních organizacích, zejména MAAE (IAEA). Na národní úrovni je klíčovým předpisem atomový zákon a navazující vyhlášky Státního úřadu pro jadernou bezpečnost (SÚJB). Atomový zákon, ale i další předpisy právního řádu ČR pak ukládají povinnosti při ochraně jaderných elektráren nejen držitelům povolení (ČEZ), ale i Policii ČR, Armádě ČR, HZS ČR, zpravodajským službám, NBÚ, orgánům krizového řízení atd.

Atomový zákon mimo jiné vymezuje střežené, chráněné a životně důležité prostory jaderných elektráren, stanoví pravidla, kdo do kterého a za jakých podmínek může vstoupit, a mnoho dalšího. Jen pro představu. Více než dva tisíce zaměstnanců ČEZ a dodavatelů vykonává takzvané citlivé činnosti, a proto musejí být držiteli dokladu o bezpečnostní způsobilosti, to znamená, že musejí pravidelně procházet bezpečnostními prověrkami NBÚ. Ale nespíme na vavřínech! Celý systém neustále zkoušíme, prověřujeme, doplňujeme a vylepšujeme tak, aby byl stále připravený ochránit jaderné elektrárny před jakýmkoli útokem.

Mohly. A nejen českou. Doufám, že zcela ochromit ne, ale určitě by mohly napáchat opravdu velké škody. Zvlášť s nadcházející zimou by byl jakýkoli déletrvající výpadek v elektrizační soustavě velmi ničivý. Českou elektrizační soustavu vybudovali naši předchůdci jako poměrně robustní systém, ale ten musí čelit novodobým hrozbám. Například ČEZ ročně zaznamená více než dvacet tisíc takzvaných alertů, tedy potenciálních kybernetických hrozeb. Vždy je to o prevenci, nastavených opatřeních i sledování vývoje. Ale musíme být připraveni na situaci, kdy některý z těch tisíců útoků bude úspěšný, a mít připravena opatření pro řešení havarijních stavů, plány obnovy apod.

Určitě ne. Platí, že každý systém je jen tak silný, jak silný je jeho nejslabší článek. Bezpečnost a ochrana jsou komplexní disciplína. Nejde zajistit kybernetickou bezpečnost bez fyzické ochrany a obráceně to platí také. Ve skutečnosti musí být každý efektivní bezpečnostní systém souborem vyvážených procesních (organizačních), technických a personálních opatření. Nesmíme podcenit nic a vždy počítat spíš s tím horším než lepším. I když věřím, že k tomu horšímu nikdy nedojde. Pozitivní je, že si stále víc uvědomujeme význam energetické bezpečnosti. Toho, jak moc jsme na energiích závislí. Víc si jich vážíme, a proto jsme i ochotni je víc chránit.