W poniedziałek o godz. 06:30 kierownik zakładu dowiaduje się, że sieć produkcyjna przestała działać. Zdalny dostęp został zablokowany, a kilka systemów operacyjnych nie jest już wiarygodnych. Maszyny mogą nadal działać, ale zamówienia, receptury, dokumentacja identyfikowalności, dane dotyczące dopuszczenia do obrotu, operacje magazynowe i dokumenty wysyłkowe mogą nie być dostępne. W sytuacji, gdy atak ransomware w przemyśle wytwórczym W tym przypadku pierwsza decyzja jest oczywista: czy firma nadal może produkować, wprowadzać na rynek, wysyłać towary, wystawiać faktury i pobierać płatności?

Sensata Technologies poinformowano, że oprogramowanie ransomware wykryte 6 kwietnia 2025 r. zaszyfrowało urządzenia i zakłóciło procesy wysyłki, odbioru, produkcji oraz inne funkcje. Spółka Nucor Corporation poinformowała 20 maja 2025 r., że wstrzymała produkcję w kilku zakładach w celu opanowania incydentu cyberbezpieczeństwa. Nucor potwierdziła później, że osoba atakująca wykradła ograniczoną ilość danych, a dostęp do aplikacji operacyjnych pozostawał ograniczony.

16 lipca 2026 r., The Coca-Cola Company ujawniono przypadek nieuprawnionego dostępu w firmie Fairlife, który miał wpływ na systemy związane z produkcją. Firmy różnią się wielkością i branżą, ale przebieg zdarzeń jest taki sam. Najpierw zawodzi zaufanie, potem osłabia się kontrola, a presja finansowa pojawia się jeszcze przed zakończeniem dochodzenia.

Przebieg ataku ransomware: pierwsze 72 godziny decydują o jego wyniku

Dyrektywa (UE) 2022/2555, tzw. dyrektywa NIS2, określa krótki termin na zgłoszenie. Artykuł 23 wymaga wczesnego ostrzeżenia w ciągu 24 godziny, wezwanie do usunięcia naruszenia w terminie 72 godziny, a zazwyczaj raport końcowy w terminie jeden miesiąc. Kierownictwo musi przedstawiać sprawozdania, dopóki sytuacja techniczna ulega zmianom. W proces ten mogą włączyć się krajowe organy ds. cyberbezpieczeństwa oraz zespoły CSIRT, przy wsparciu Agencji Unii Europejskiej ds. Cyberbezpieczeństwa oraz EU-CyCLONe.

Trzy decyzje nie mogą czekać

1. Należy wstrzymać lub ograniczyć produkcję, jeśli zakład nie jest w stanie wykazać tożsamości produktu, kontroli receptury, historii pochodzenia lub zatwierdzenia jakości.
2. Zabezpiecz środki pieniężne, powiązując każde ograniczenie operacyjne z przesyłkami, fakturami, pokwitowaniami i wymaganymi płatnościami.
3. Należy powierzyć jednemu członkowi kierownictwa uprawnienia w zakresie IT, operacji, finansów, spraw prawnych, zespołów ds. obsługi klienta oraz kierownika zakładu.

Bundesamt für Sicherheit in der Informationstechnik, amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) oraz Centrum Skarg Dotyczących Przestępstw Internetowych FBI mogą wesprzeć szeroko zakrojone działania. Nie są one jednak w stanie zdecydować, czy dana partia produktu jest bezpieczna do wprowadzenia na rynek, czy obietnica złożona klientowi jest wiarygodna, ani czy firma jest w stanie sfinansować kolejny tydzień ograniczonej produkcji.

Jeśli nie ma pewności co do identyfikowalności, zakład nie zostaje uznany za przywrócony do stanu zgodności

Ruch maszyny nie stanowi produktu przeznaczonego do sprzedaży

Linia produkcyjna może wznowić pracę, podczas gdy firma nadal nie jest w stanie sprzedać wyprodukowanych towarów. Zakład musi połączyć historię partii, rejestry seryjne, ustawienia procesowe, status materiałów, wyniki kontroli oraz zatwierdzenia do wypuszczenia. Jeśli zabraknie choćby jednego z tych elementów, przestój produkcyjny spowodowany cyberatakiem będzie trwał nadal, nawet jeśli wybrane maszyny będą działać.

Test minimalny składa się z sześciu części: Czy firma jest w stanie udokumentować zamówienie, materiał, zatwierdzone ustawienia, kontrolę, dopuszczenie do produkcji oraz wysyłkę? Pamięć i niekontrolowane arkusze kalkulacyjne nie stanowią wystarczających dowodów. Zakład powinien oznaczyć tę partię jako „ograniczoną”, a nie „odzyskaną”.

CE Interim's plan reagowania na incydenty związane z oprogramowaniem ransomware w zakładzie produkcyjnym dotyczy procedury zabezpieczania na poziomie zakładu. Test ekonomiczny rozpoczyna się w momencie, gdy zespół musi przekształcić techniczne odzyskiwanie w kontrolowaną produkcję, zanim wyczerpią się środki finansowe i zaufanie klientów.

Proces odzyskiwania danych po ataku przemysłowego oprogramowania ransomware musi przebiegać zgodnie z łańcuchem produkcyjnym

Właściciele systemów nie powinni samodzielnie ustalać kolejności odzyskiwania należności. Kolejność ta musi odzwierciedlać ścieżkę od zamówienia klienta do wpływu środków. W atak ransomware w przemyśle wytwórczym W odpowiedzi na to, wspomniane wytyczne sprawiają, że zespół koncentruje się na wartości operacyjnej, a nie na liczbie serwerów.

• Należy przebudować system kontroli tożsamości i dostępu, tak aby firma dysponowała niezawodną podstawą operacyjną.
• Przywróć zatwierdzone zamówienia, specyfikacje, receptury i instrukcje robocze.
• Zsynchronizuj status materiałów, operacje magazynowe oraz zapisy dotyczące produkcji w toku.
• Zweryfikuj kontrole jakości, drzewa genealogiczne, dokumentację dotyczącą wydania oraz powiązania z laboratoriami.
• Przywróć dokumenty wysyłkowe, relacje z klientami, fakturowanie oraz ściąganie należności.

Kopie zapasowe są pomocne tylko wtedy, gdy są poprawne, kompletne, zgodne i użyteczne – w tej właśnie kolejności. Usługi zarządzania tożsamością, systemy ERP, MES, dane historyczne, etykiety, systemy laboratoryjne i dokumentacja magazynowa często wracają do stanu normalnego w różnym czasie. Odzyskiwanie danych po ataku przemysłowego oprogramowania ransomware kończy się niepowodzeniem, gdy kierownictwo ogłasza przywrócenie aplikacji, podczas gdy proces operacyjny nadal nie działa prawidłowo.

Jeśli nie można zrealizować wysyłki towaru ani wystawić faktury, wskaźnikiem zdarzenia stają się środki pieniężne

Przerwy w produkcji spowodowane cyberatakami powodują dwie straty

Pierwszą stratą są przychody. Zakład nie jest w stanie wydać, wysłać ani zafakturować wystarczającej ilości towaru. Drugim rodzajem straty są koszty bieżące. Nadal pozostają do uregulowania zobowiązania z tytułu wynagrodzeń, mediów, czynszu, umów najmu, dostawców oraz zadłużenia. Proces odzyskiwania należności wiąże się dodatkowo z pracami śledczymi, zakupem sprzętu, nadgodzinami, wsparciem prawnym oraz pilnymi przesyłkami.

Key Tronic Corporation oszacowano, że zakłócenia spowodowane atakiem ransomware spowodowały spadek kwartalnych przychodów o około $15 mln oraz spowodowały wzrost o około $2.3 miliony w zakresie kosztów. Firma przypisała te koszty nowemu sprzętowi informatycznemu oraz zewnętrznemu wsparciu w zakresie cyberbezpieczeństwa, podczas gdy wydatki na wynagrodzenia były nadal ponoszone. Tak właśnie zaczyna się upadłość przedsiębiorstwa produkcyjnego związana z cyberbezpieczeństwem: wpływy gotówkowe spadają, podczas gdy zwykłe i nadzwyczajne płatności są nadal realizowane.

Dyrektor finansowy potrzebuje codziennego przeglądu stanu środków pieniężnych

Miesięczny budżet jest zbyt powolny. Dyrektor finansowy potrzebuje trzynastotygodniowej prognozy przepływów pieniężnych uwzględniającej dostępność linii produkcyjnych, terminy wprowadzania produktów na rynek, harmonogramy wysyłek, faktury, potrącenia ze strony klientów, presję ze strony dostawców, terminy opłat ubezpieczeniowych oraz koszty odzyskiwania środków. Każda pozycja musi zawierać informację, czy jest to dane potwierdzone, czy też założenie. Kredytodawcy zareagują ostrzej na słabe dane niż na wyraźny niedobór środków.

Przewodnik CE Interim po Zarządzanie przepływami pieniężnymi w kryzysie pasuje do tego etapu. W atak ransomware w przemyśle wytwórczym W tym przypadku kontrola gotówki i kontrola operacyjna to jedno i to samo zadanie. Każda kwota zależy od tego, co zakład jest w stanie udokumentować, wydać, wysłać i zafakturować.

Jeśli klient zacznie korzystać z dwóch dostawców, ożywienie gospodarcze może nadejść zbyt późno

Audyt cyberbezpieczeństwa dostawców drugiego szczebla rozpoczyna się w trakcie przerwy w dostawie

Klienci nie będą czekać na zakończenie analizy kryminalistycznej. Działy zaopatrzenia, jakości, prawny, bezpieczeństwa i operacyjny sprawdzą inne możliwości. Przeanalizują stan zapasów, raporty dotyczące popytu oraz przyszłe zamówienia. Dla dostawców motoryzacyjnych i przemysłowych drugiego szczebla audyt cyberbezpieczeństwa dostawcy drugiego szczebla stanowi zarówno test ciągłości działania, jak i przegląd bezpieczeństwa.

Klient sprawdzi cztery punkty: kontrola jakości produktów, wiarygodne terminy dostaw, wyznaczony podmiot odpowiedzialny za odzyskiwanie oraz wystarczające środki finansowe na dokończenie prac. Jedna nieprzekonująca odpowiedź może spowodować przeniesienie zamówień do innego dostawcy. Zakład może odzyskać sprawność techniczną, a mimo to stracić wartość dla klienta, która stanowiła podstawę działalności.

Jaguar Land Rover pokazuje, w jaki sposób przełomowe zmiany wpływają na dostawców

W dniu 23 września 2025 r., firma Jaguar Land Rover przedłużyła przerwę w produkcji do 1 października w trakcie przygotowań do stopniowego wznowienia działalności. Produkcję wznowiono w dniu 8 października 2025 r., a firma Jaguar Land Rover poinformowała później o powrocie do normalnego poziomu produkcji do dnia połowa listopada 2025 r.. Ta różnica pokazuje, dlaczego przerwy w pracy spowodowane cyberatakami nie stanowią okna serwisowego dla działu IT.

W dniu 28 września 2025 r. Brytyjski Departament ds. Biznesu i Handlu oraz UK Export Finance ogłosiła wsparcie w postaci gwarancji o wartości do 1,5 mld funtów, mającej na celu zapewnienie finansowania i stabilności łańcucha dostaw. Działanie to odzwierciedlało presję płynnościową, która rozprzestrzenia się, gdy duży producent wstrzymuje działalność. Mniejszy dostawca nie może zakładać, że otrzyma podobne wsparcie.

Audyt cyberbezpieczeństwa dostawcy poziomu 2 sprawdza system zarządzania, a nie tylko oprogramowanie

Dyrektywa (UE) 2022/2555 uwzględnia bezpieczeństwo łańcucha dostaw wśród wymaganych środków ograniczających ryzyko. W przypadku podmiotów o kluczowym znaczeniu, Artykuł 34 przewiduje maksymalne kary w wysokości co najmniej 10 mln euro lub 2% światowego rocznego obrotu, w zależności od tego, która z tych kwot jest wyższa. Zakres stosowania zależy od sektora, wielkości przedsiębiorstwa, rodzaju działalności, kraju oraz przepisów krajowych. Mimo to zarządy muszą wykazać, w jaki sposób kontrolują kluczowe ryzyka operacyjne i związane z dostawcami.

Wiarygodny audyt cyberbezpieczeństwa dostawcy poziomu 2 powinien obejmować sprawdzenie uprawnień do ponownego uruchamiania systemów, identyfikowalności działań ręcznych, aktualizacji dotyczących klientów, kontroli kopii zapasowych, prognoz przepływów pieniężnych, priorytetów dostawców oraz funkcjonowania bez kluczowych interfejsów. Powinien również wskazać członka kierownictwa, który może podejmować decyzje dotyczące kompromisów w tych obszarach. Ryzyko niewypłacalności w zakresie cyberbezpieczeństwa produkcji wzrasta, gdy komisje dzielą się odpowiedzialnością, ale nikt nie ponosi odpowiedzialności za wynik.

W przypadku ataku ransomware kluczową kwestią jest to, czy wartość pozostaje nienaruszona

Zarząd musi oddzielić proces naprawy od kwestii rentowności

A atak ransomware w przemyśle wytwórczym Sytuacja staje się przypadkiem restrukturyzacji, gdy osiągnięcie zaufanego poziomu produkcji nastąpi później niż przywrócenie płynności finansowej, a klienci są w stanie poczekać. Dyrektor operacyjny może kontrolować produkcję, dyrektor finansowy – przepływy pieniężne, a kierownik zakładu – bezpieczny poziom produkcji. Zespoły techniczne przywracają działanie systemów. Bez jednej osoby sprawującej nadzór nad całym procesem decyzje są rozbieżne.

Rada ma teraz trzy możliwości. Restrukturyzacja oznacza finansowanie kontrolowanego wychodzenia z kryzysu przy jednoczesnym zrewidowaniu kosztów, zasad zarządzania i zobowiązań wobec klientów. Sprzedaż oznacza podjęcie działań, dopóki zakład, umowy, kadra pracownicza i relacje z klientami mają jeszcze wartość, którą można spieniężyć. Zamknięcie oznacza ochronę pracowników, klientów, wierzycieli, danych i aktywów, zanim sytuacja wymknie się spod kontroli.

Kierownik tymczasowy posiadający uprawnienia w zakresie działalności operacyjnej i środków pieniężnych może okazać się niezbędny, gdy obecna struktura organizacyjna nie jest w stanie podejmować decyzji z szybkością wymaganą w sytuacji kryzysowej. Nie jest to stanowisko o charakterze technicznym. Chodzi o tymczasowe przejęcie kontroli operacyjnej w sytuacji, gdy naprawa techniczna, przywrócenie sprawności po ataku ransomware oraz finansowanie muszą przebiegać zgodnie z jednym harmonogramem.