Dla firm kluczowe jest to, co w przypadku obrony sojuszniczej wynika z OPLAN DEU dla sfery cywilnej: priorytety się przesuwają, zależności stają się widoczne, a sektor prywatny nagle ponosi odpowiedzialność systemową – często bez tego, by dotąd odczuwał to na co dzień. Szlaki komunikacyjne, punkty przeładunkowe, pojemności magazynowe, energia i łączność stają się kluczowymi funkcjami obrony kraju i obrony sojuszniczej.
Jak obrona sojusznicza dotyka firm
1) Host Nation Support i priorytetyzacja zasobów
W przypadku obrony sojuszniczej Niemcy wspierają siły sojusznicze podczas pobytu i tranzytu. Dotyczy to zaopatrzenia, transportu, zakwaterowania, paliwa, wyżywienia, napraw i wsparcia medycznego. Dla firm oznacza to, że logistyka i łańcuchy dostaw znajdą się pod presją, bo przepustowość transportu, infrastruktura i niektóre towary otrzymają priorytet. To, co w czasie pokoju jest kwestią efektywności, w przypadku obrony sojuszniczej staje się kwestią wytrwałości i zdolności sterowania. Kluczowe pytanie brzmi: które usługi pozostaną dostępne, które zostaną przekierowane i jak firmy zabezpieczą swoje kluczowe funkcje przy nowych priorytetach?
2) Sabotaż i ataki hybrydowe jako realistyczny scenariusz
Obrona sojusznicza nie zaczyna się dopiero od otwartych działań zbrojnych. Sabotaż, cyberataki, dezinformacja, awarie energii lub IT, zakłócenia na kolei i drogach, ataki na węzły lub personel – wszystko to może wystąpić już w fazie realizacji działań wojskowych. W takich sytuacjach firmy są dotknięte podwójnie: jako cel i jako współodpowiedzialne za funkcje krytyczne. Kto dostarcza prąd, dane, transport, wodę, opiekę zdrowotną, produkcję czy zaopatrzenie, staje się celem ataku, a jednocześnie warunkiem zdolności państwa do działania.
3) Odporność jako obowiązek operacyjny, a nie dodatek
Odporność oznacza nie tylko ochronę, lecz przede wszystkim ciągłość: zdolność do działania w warunkach zakłóceń, ustalania priorytetów, upraszczania procesów i reagowania w uzgodnieniu z organami i partnerami. W przypadku obrony sojuszniczej o odporności nie decyduje się na marginesie, lecz w samym rdzeniu. Wynika ona z redundancji, jasnej odpowiedzialności, przećwiczonych procedur i niezawodnej komunikacji – wewnętrznej i zewnętrznej.
4) Braki kadrowe wskutek odejścia kluczowych pracowników
W przypadku obrony sojuszniczej zmienia się nie tylko sytuacja towarów i infrastruktury, lecz także dostępność personelu. Część załóg może zostać włączona w funkcje państwowe, np. w działania ochrony ludności lub z racji statusu rezerwisty. Zwłaszcza kluczowy personel z obszaru techniki, IT, logistyki, utrzymania ruchu, medycyny czy zarządzania może nagle być niedostępny lub zaangażowany gdzie indziej. Dla firm oznacza to, że planowanie odporności musi być także planowaniem kadr – z zasadami zastępstw, priorytetowymi procesami kluczowymi, zapasem kwalifikacji i pytaniem, które funkcje w firmie muszą być zabezpieczone w każdych okolicznościach.
Co firmy mogą przygotować już teraz
Zrozumieć scenariusz i zależności
Firmy powinny analizować swoją rolę w przypadku obrony sojuszniczej nie abstrakcyjnie, lecz w odniesieniu do funkcji. Które usługi są krytyczne dla systemu? Jakie zależności istnieją od prądu, IT, personelu, dostawców, transportu, wody, paliwa? Które węzły są wrażliwe? Gdzie występują pojedyncze punkty awarii?
Wzmocnić organizację kryzysową i zdolność decyzyjną
Sam sztab kryzysowy nie wystarczy. Kluczowe są jasne ścieżki decyzyjne, zasady zastępstw, priorytetowe procesy kluczowe i logika komunikacji, która działa także w razie awarii. Kto informuje kogo, jakimi kanałami, przy jakich progach?
Traktować cyberbezpieczeństwo i bezpieczeństwo informacji jako zdolność operacyjną
Cyberobrona to nie zadanie działu IT, lecz zadanie kierownictwa. Obrona sojusznicza zwiększa prawdopodobieństwo celowych ataków na łańcuchy dostaw, tożsamości, przemysłowe systemy sterowania i sieci komunikacyjne. Firmy potrzebują solidnych standardów, zdolności do pracy offline dla procesów krytycznych i przećwiczonych planów przywracania działania.
Współpraca zamiast równoległego planowania
W przypadku obrony sojuszniczej odporność nie działa w pojedynkę. Liczy się powiązanie z organami i operatorami, formaty wymiany informacji, w miarę możliwości wspólny obraz sytuacji oraz wyjaśnione styki z poziomem gminnym i krajowym. Im lepiej przygotowana współpraca, tym mniejsze tarcia pod presją.
Obrona całego społeczeństwa nie dotyczy firm jako widzów. Dotyczy ich jako filarów zaopatrzenia, mobilności i sprawnego funkcjonowania. Kto jest przygotowany, chroni nie tylko własną firmę. Stabilizuje system, w którym wszyscy żyjemy.
Ustawy o przygotowaniu i zabezpieczeniu dostaw
Odporność cyber i fizyczna: Unijna dyrektywa NIS2 i dyrektywa CER
NIS2 i CER to dwie uzupełniające się dyrektywy UE, które wspólnie tworzą zharmonizowane europejskie ramy odporności infrastruktury krytycznej. Dyrektywa NIS2 reguluje przy tym cyberodporność, a dyrektywa CER odporność fizyczną. Obie mają jednolite cele w całej UE, ale są kształtowane i transponowane do prawa krajowego przez poszczególne państwa. W Niemczech dyrektywa NIS2 jest wdrażana nowelizacją ustawy o BSI(BSIG-neu) , a dyrektywa CER – ustawą ramową o KRITIS (KritisDG).
Dla firm oznacza to, że podmiot uznany za infrastrukturę krytyczną musi myśleć o odporności całościowo i ma obowiązek odpowiednio chronić się zarówno przed zagrożeniami cyfrowymi, jak i fizycznymi. Należą do tego także działania na rzecz bezpieczeństwa łańcucha dostaw, obsługa i zgłaszanie incydentów oraz zapewnienie ciągłości działania także w warunkach zagrożenia lub aktywnych ataków. Ustawodawca wyraźnie wymaga tzw. podejścia uwzględniającego wszystkie zagrożenia, czyli brania pod uwagę szerokiego spektrum ryzyk i odpowiednich środków przeciwdziałania.
Ponieważ obie dyrektywy są zharmonizowane w całej UE, dotyczy to nie tylko rynku niemieckiego, lecz w zasadzie wszystkich lokalizacji i relacji dostawczych w UE. Firmy z oddziałami w kilku krajach stoją przy tym przed dodatkowym wyzwaniem uwzględnienia wszystkich krajowych specyfik.
NIS2 kładzie szczególny nacisk na wczesne zgłaszanie cyberataków do centralnych instytucji. Ponieważ w cyberprzestrzeni stosunkowo łatwo zaatakować kilka celów jednocześnie, zgłoszenia do właściwych organów i ich ostrzeżenia mają też pomóc firmom z sektora infrastruktury krytycznej wcześnie dowiedzieć się o takich falach ataków – być może zanim same zostaną zaatakowane.
Energia: Ustawa o bezpieczeństwie energetycznym (EnSiG)
EnSiG ma znaczenie dla sektora prywatnego, bo niedobory energii natychmiast uderzają w produkcję, logistykę, IT i łańcuchy dostaw. Ustawa tworzy podstawę do takiego sterowania przepływami energii i priorytetami w sytuacji kryzysowej, by szczególnie krytyczne sektory gospodarki mogły dalej działać – firmy powinny więc uwzględniać pracę awaryjną, redundancję i logikę priorytetów.
Woda: Ustawa o zabezpieczeniu dostaw wody (WasSiG)
Dla firm woda jest czynnikiem produkcji i higieny; awarie dotykają procesów, chłodzenia, czyszczenia i zdolności dostaw. WasSiG ma znaczenie, bo wyznacza kryzysowe ramy, w których ustala się priorytety dostępności wody, a dostosowanie działalności staje się możliwe do zaplanowania.
Żywność: Ustawa o zabezpieczeniu i zapasach żywności (ESVG)
ESVG wyznacza kryzysowe ramy zabezpieczenia dostaw, gdy normalna logika rynku i łańcuchów dostaw przestaje działać. Zapewnia tym samym przewidywalność ról, priorytetów i możliwości interwencji państwa, nie zastępując operacyjnej odpowiedzialności firm.
Ustawa pocztowa (PostG) i Ustawa o telekomunikacji (TKG)
- PostG: Firmy korzystają z usług pocztowych i paczkowych w łańcuchach dostaw, przy częściach zamiennych, umowach i obiegu dokumentów, a w trybie kryzysowym często są od nich bardziej zależne. PostG stanowi sektorowe ramy organizacji tych usług.
- TKG: niemal każdy łańcuch wartości (IT, logistyka, produkcja, płatności) zależy od telekomunikacji. TKG stanowi regulacyjną podstawę sieci i usług umożliwiających ciągłość działalności.
Transport i logistyka: Ustawa o zabezpieczeniu transportu (VerkSiG)
Łańcuchy dostaw i ciągłość działalności zależą od przewidywalnych usług transportowych, które w kryzysie mogą otrzymać priorytet lub zostać ograniczone. VerkSiG ma znaczenie, bo tworzy podstawę prawną do uporządkowanej organizacji usług transportowych w sytuacji kryzysowej, zamiast pozostawiać niedobory wyłącznie rynkowi.
