Wymagania RODO i cyberbezpieczeństwa dla systemów inteligentnych budynków – obowiązki instalatora

Rynek inteligentnych budynków (ang. Smart Buildings) rośnie w Polsce w zawrotnym tempie. Systemy zarządzania budynkiem (BMS), automatyka mieszkaniowa (KNX, Z-Wave, Zigbee), inteligentne liczniki energii czy monitoring IP to już codzienność w nowych inwestycjach deweloperskich i modernizowanych obiektach komercyjnych. Wraz z tą rewolucją technologiczną na instalatorów elektrycznych i teletechnicznych spada jednak coraz więcej odpowiedzialności – nie tylko technicznej, ale też prawnej.

Dlaczego inteligentny budynek jest problematyczny z punktu widzenia RODO?

System inteligentnego budynku z definicji zbiera, przetwarza i przechowuje dane. Czujniki obecności rejestrują, w których pomieszczeniach przebywają użytkownicy i o jakich godzinach. Kontrola dostępu gromadzi dane biometryczne lub historię wejść i wyjść. Monitoring IP zapisuje wizerunki osób. Inteligentne liczniki energii pozwalają na odtworzenie rytmu dnia mieszkańców. Kamery termowizyjne, domofony IP z rozpoznawaniem twarzy, a nawet „zwykłe" systemy HVAC sterowane przez aplikację mobilną – wszystkie one mogą być źródłem danych osobowych w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO.

Kluczowe jest tu pojęcie danych osobowych: są nimi wszelkie informacje, które bezpośrednio lub pośrednio umożliwiają identyfikację osoby fizycznej. Adres MAC urządzenia, nagranie wideo, zapis aktywności w konkretnym lokalu mieszkalnym – to wszystko może być daną osobową, a więc objętą rygorami RODO.

Kim jest instalator w łańcuchu odpowiedzialności RODO?

Rozróżnienie ról w RODO jest fundamentalne dla zrozumienia obowiązków instalatora:

• Administrator danych – podmiot, który decyduje o celach i sposobach przetwarzania danych. Najczęściej jest nim inwestor, właściciel budynku lub wspólnota mieszkaniowa.
• Podmiot przetwarzający (procesor) – podmiot, który przetwarza dane w imieniu administratora na podstawie umowy. W pewnych okolicznościach rolę tę może pełnić firma instalacyjna, jeśli np. świadczy usługi zdalnego monitoringu systemu lub ma dostęp do danych w ramach serwisu.
• Podwykonawca procesora – kolejny poziom, np. firma serwisująca infrastrukturę IT systemu BMS.

Instalator elektryczny, który wyłącznie montuje urządzenia i przekazuje system inwestorowi, formalnie nie staje się procesorem. Jednak gdy świadczy usługi zdalnego wsparcia, ma dostęp do panelu zarządzającego systemem lub przechowuje hasła dostępowe – wchodzi w relację przetwarzania danych i musi zawrzeć z administratorem umowę powierzenia przetwarzania danych osobowych (art. 28 RODO).

Obowiązek uwzględnienia ochrony danych już na etapie projektowania

Artykuł 25 RODO wprowadza zasadę privacy by design (ochrona danych już w fazie projektowania) oraz privacy by default (domyślna ochrona danych). W praktyce oznacza to, że instalator powinien:

• Projektować system w taki sposób, by zbierał minimalną niezbędną ilość danych (zasada minimalizacji danych). Jeśli do zarządzania oświetleniem wystarczy czujnik PIR bez rejestracji zdarzeń, nie należy wdrażać rozwiązania z logowaniem tożsamości użytkowników.
• Stosować segmentację sieci – urządzenia IoT systemu BMS nie powinny znajdować się w tej samej sieci LAN co stacje robocze użytkowników czy serwery przechowujące wrażliwe dane.
• Zaproponować inwestorowi pseudonimizację lub anonimizację danych tam, gdzie jest to technicznie możliwe.
• Dokumentować przyjęte rozwiązania techniczne i organizacyjne w sposób pozwalający wykazać zgodność z RODO (accountability).

Warto zaznaczyć, że choć formalny obowiązek stosowania privacy by design spoczywa na administratorze danych, to instalator jako projektant systemu ma realny wpływ na to, czy zasada ta zostanie wdrożona. Profesjonalny wykonawca powinien aktywnie doradzać inwestorowi i informować go o konsekwencjach wybranych rozwiązań.

Konkretne wymagania techniczne – co musi zrobić instalator?

1. Zmiana domyślnych danych dostępowych

To absolutne minimum i jeden z najczęściej pomijanych kroków. Każde urządzenie IoT – kamera, sterownik KNX/IP, brama Z-Wave, router – dostarczone jest z fabrycznymi hasłami. Ich niezmienienie to zaproszenie dla atakujących. Instalator ma obowiązek ustawić unikalne, silne hasła dla każdego urządzenia i przekazać je inwestorowi w bezpieczny sposób (najlepiej w formie zaszyfrowanego dokumentu lub menedżera haseł).

2. Aktualizacje oprogramowania

Przed oddaniem systemu do eksploatacji instalator powinien zainstalować najnowsze dostępne oprogramowanie firmware na wszystkich urządzeniach. W umowie serwisowej warto zapisać obowiązek regularnego sprawdzania i wgrywania aktualizacji bezpieczeństwa – luki w oprogramowaniu urządzeń IoT są regularnie odkrywane i wykorzystywane przez cyberprzestępców.

3. Szyfrowanie komunikacji

Komunikacja między urządzeniami systemu a panelami sterującymi, aplikacjami mobilnymi i serwerami chmury powinna być szyfrowana. W przypadku systemów opartych na IP obowiązkowe jest stosowanie protokołu TLS/SSL. W instalacjach KNX należy korzystać z KNX Secure (obejmującego KNX IP Secure oraz KNX Data Secure), który jest odpowiedzią branży na rosnące zagrożenia.

4. Segmentacja sieci i VLAN

Urządzenia IoT powinny być odseparowane od pozostałej infrastruktury sieciowej budynku za pomocą osobnych sieci VLAN lub fizycznie oddzielonych segmentów sieci. Firewall i reguły ACL (Access Control List) powinny ograniczać komunikację do niezbędnego minimum – zgodnie z zasadą least privilege.

5. Wyłączenie niepotrzebnych usług i portów

Wiele urządzeń IoT ma domyślnie włączone usługi Telnet, FTP czy nieużywane porty sieciowe. Instalator powinien wyłączyć wszystkie zbędne usługi, zostawiając jedynie te, które są niezbędne do działania systemu.

6. Uwierzytelnianie dwuskładnikowe

Tam gdzie to możliwe (panele webowe, aplikacje mobilne, dostęp zdalny do BMS), należy włączyć uwierzytelnianie dwuskładnikowe (2FA). Znacząco utrudnia to przejęcie kontroli nad systemem nawet w przypadku wykradzenia hasła.

7. Kopie zapasowe konfiguracji

Konfiguracja systemu BMS, programy sterowników PLC, pliki projektowe KNX – wszystko to powinno być regularnie archiwizowane. Instalator powinien przekazać inwestorowi kopie zapasowe na etapie odbioru oraz zaproponować harmonogram archiwizacji w ramach umowy serwisowej.

Kamery CCTV i systemy kontroli dostępu – szczególna ostrożność

Monitoring wizyjny i kontrola dostępu to obszary, w których RODO i cyberbezpieczeństwo krzyżują się najostrzej. Instalując system CCTV, instalator powinien poinformować inwestora o:

• Obowiązku umieszczenia tabliczek informacyjnych w miejscach monitorowanych.
• Konieczności określenia okresu retencji nagrań – domyślnie nie dłużej niż 3 miesiące, chyba że przepisy szczególne lub uzasadniony cel wymagają dłuższego przechowywania.
• Obowiązku prowadzenia rejestru czynności przetwarzania przez administratora.
• Potrzebie przeprowadzenia oceny skutków dla ochrony danych (DPIA) w przypadku monitoringu na dużą skalę lub z użyciem rozpoznawania twarzy (art. 35 RODO).

W kontekście technicznym instalator powinien zadbać o to, by rejestrator sieciowy (NVR) nie był dostępny bezpośrednio z Internetu bez VPN, by nagrania były zaszyfrowane oraz by dostęp do systemu był logowany (kto i kiedy przeglądał nagrania).

Ustawa o Krajowym Systemie Cyberbezpieczeństwa i dyrektywa NIS2

Od 18 października 2024 roku obowiązuje dyrektywa NIS2, która nakłada na podmioty kluczowe i ważne (m.in. operatorów energetycznych, dostawców usług cyfrowych, zarządców infrastruktury krytycznej) obowiązek wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa. W Polsce przepisy NIS2 wdrażane są przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC).

Dla instalatorów pracujących przy obiektach infrastruktury krytycznej, dużych obiektach komercyjnych czy systemach zarządzania energią oznacza to, że zamawiający będą wymagali dokumentowania środków bezpieczeństwa, przeprowadzania testów penetracyjnych i spełnienia określonych standardów technicznych. Warto już teraz zapoznać się z normami serii IEC 62443 dotyczącymi cyberbezpieczeństwa systemów automatyki przemysłowej i sterowania (IACS) – stają się one punktem odniesienia również dla systemów BMS.

Dokumentacja i przekazanie systemu inwestorowi

Profesjonalne przekazanie systemu inteligentnego budynku powinno obejmować:

• Dokumentację techniczną instalacji z uwzględnieniem architektury sieci i zastosowanych zabezpieczeń.
• Listę wszystkich urządzeń z wersjami oprogramowania i datą ostatniej aktualizacji.
• Procedury reagowania na incydenty bezpieczeństwa (co robić w przypadku wykrycia włamania do systemu).
• Zalecenia dotyczące dalszego utrzymania systemu, w tym harmonogram aktualizacji.
• Informację o danych osobowych przetwarzanych przez system wraz z rekomendacjami RODO dla administratora.

Odpowiedzialność instalatora – co w przypadku naruszenia?

Jeśli instalator dopuści się zaniedbań, które doprowadzą do naruszenia bezpieczeństwa danych osobowych, może ponosić odpowiedzialność zarówno na gruncie RODO (jeśli działał jako podmiot przetwarzający), jak i na gruncie prawa cywilnego (odpowiedzialność odszkodowawcza za nienależyte wykonanie umowy). Prezes Urzędu Ochrony Danych Osobowych (PUODO) nakładał już kary na podmioty, których zabezpieczenia techniczne były nieadekwatne do ryzyka.

Rosnące wymagania rynku sprawiają, że instalatorzy, którzy potrafią oferować kompleksowe doradztwo w zakresie RODO i cyberbezpieczeństwa, mają realną przewagę konkurencyjną. Inwestorzy – szczególnie w sektorze komercyjnym i publicznym – coraz częściej wymagają od wykonawców udokumentowanej wiedzy w tych obszarach.

Podsumowanie – kluczowe obowiązki instalatora

Instalator systemów inteligentnego budynku powinien pamiętać o kilku fundamentalnych zasadach:

1. Zbierz minimalną ilość danych – projektuj systemy zgodnie z zasadą privacy by design.
2. Zmień domyślne hasła i włącz szyfrowanie komunikacji na wszystkich urządzeniach.
3. Segmentuj sieci i wyłączaj zbędne usługi sieciowe.
4. Informuj inwestora o obowiązkach RODO wynikających z wdrożonego systemu.
5. Zawrzyj umowę powierzenia przetwarzania danych, jeśli masz dostęp do danych osobowych w ramach serwisu.
6. Przekaż kompletną dokumentację techniczną i zalecenia bezpieczeństwa.
7. Śledź zmiany w przepisach – NIS2, KSC i normy IEC 62443 kształtują nowe standardy branżowe.

Świadomość prawna i techniczna w obszarze RODO oraz cyberbezpieczeństwa to dziś nieodłączna kompetencja nowoczesnego instalatora elektrycznego. Budynki stają się coraz bardziej „inteligentne", a odpowiedzialność za ich bezpieczne działanie zaczyna się już na etapie projektu i montażu instalacji.