Łotwa wzmacnia ochronę gazu

Przy zaporze wodnej powyżej Rygi i podziemnych kawernach w Inčukalns, gdzie Łotwa przechowuje gaz ziemny, pojawili się uzbrojeni funkcjonariusze. Rząd w Rydze zaostrzył ochronę obu obiektów po sygnałach wywiadowczych o możliwym rosyjskim zagrożeniu. Premier Andris Kulbergs powiedział Reutersowi, że zwrócił się do NATO o dodatkowe środki obrony powietrznej i obecność wojsk sojuszniczych w pobliżu infrastruktury energetycznej (UNN, Devdiscourse).

Do ataku nie doszło. Sama reakcja Łotwy odsłania jednak problem, który większość europejskich rządów wciąż traktuje bardziej jako temat regulacyjny niż operacyjny: kto przejmuje dowodzenie, gdy wywiad ostrzega przed uderzeniem w cywilny obiekt energetyczny, kto płaci za jego fizyczną ochronę i jak szybko wojsko może realnie wesprzeć prywatnego operatora.

Zagrożenie, które Bałtowie traktują dosłownie

NATO odstrasza. UE tworzy przepisy. Codzienna ochrona elektrowni, magazynów gazu i kabli pozostaje jednak w rękach państw oraz firm, które tymi obiektami zarządzają. Łotwa potraktowała tę odpowiedzialność praktycznie: wystawiła patrole i poprosiła sojuszników o wzmocnienie.

Podobne ostrzeżenia usłyszała Litwa. Prezydent Gitanas Nausėda mówił o informacjach wywiadowczych dotyczących możliwego rosyjskiego sabotażu przeciw infrastrukturze w państwach bałtyckich i w Polsce, choć publicznie nie wskazano ani konkretnego celu, ani daty (Demócrata, Anews). Wilno połączyło działania administracyjne z fizyczną ochroną: rządowa komisja sprawdziła odporność systemu elektroenergetycznego, a Służba Bezpieczeństwa Publicznego przejęła ochronę kilku obiektów energetycznych (Obzor). Minister obrony zaznaczył przy tym, że przy granicy nie widać koncentracji rosyjskich wojsk. Chodzi więc nie o inwazję, lecz o sabotaż albo działania, których sprawca może zaprzeczać własnemu udziałowi.

Łotewski wywiad osobno ostrzegał, że Rosja przygotowuje prowokacje mające pokazać, iż wsparcie dla Ukrainy ma koszt wewnętrzny (Fox News). Moskwa oskarżyła trzy państwa bałtyckie o pomoc Ukrainie w atakach na rosyjskie terminale naftowe; wszystkie trzy odrzuciły te zarzuty jako dezinformację (Euronews).

Dania wysłała w krótkim terminie do natowskiej brygady na Łotwie do 170 żołnierzy (Berlingske). Duńscy żołnierze wzmacniają odstraszanie NATO. Nie stoją jednak na warcie przy łotewskich kawernach gazowych.

Prawo jest, luka pozostaje w terenie

Unia ma na to zestaw przepisów. Dyrektywa CER, czyli unijne prawo o odporności podmiotów krytycznych i ich fizycznej ochronie, nakazuje państwom członkowskim wskazać kluczowe firmy energetyczne oraz wymagać od nich analiz ryzyka i zgłaszania incydentów (EUR-Lex). Dania miała 17 lipca wyznaczyć przedsiębiorstwa uznane za „społecznie krytyczne” w rozumieniu CER; od tego momentu firmy dostają dziesięć miesięcy na przygotowanie analiz ryzyka i planów gotowości (BT, KPMG). Dziesięć miesięcy planowania ma sens tylko wtedy, gdy zagrożenie czeka w kolejce.

Niemcy pokazują, że sama legislacja nie daje ochrony. Tamtejsza wersja NIS2, unijnej dyrektywy o cyberbezpieczeństwie, przewiduje terminy rejestracji i kary. Mniejsi operatorzy wodociągów i energetyki nie mają jednak wystarczających zasobów, by sprawnie spełnić wymogi, a przepływ informacji między administracją a firmami zarządzającymi systemami pozostaje powolny (BR).

Najostrzejszą granicę widać w Finlandii. Tam, gdzie łańcuch kompetencji jest jasny, jak przy zamykaniu granicy, państwo działa szybko (Finlex). Tam, gdzie infrastruktura jest prywatna, podwodna albo rozproszona, państwo koordynuje, a naprawy wykonują operatorzy. Po podejrzewanym przeciągnięciu kotwicy, które w 2023 r. przerwało gazociąg Balticconnector, naprawa trwała miesiącami. Nordycka analiza tego incydentu wskazała, że w regionie nadal brakuje wspólnych standardów fizycznej ochrony i ram awaryjnych napraw (shattered.io).

Zastępczyni sekretarza generalnego NATO powiedziała w lipcu w Parlamencie Europejskim, że odpowiedź na sabotaż, cyberatak czy zakłócenia z trudnym do przypisania sprawcą pozostaje decyzją politycznych przywódców, a nie automatycznym uruchomieniem art. 5, czyli zasady, że atak na jednego sojusznika może zostać potraktowany jako atak na wszystkich (NATO). W tym samym miesiącu UE przyjęła największy dotąd pakiet sankcji cybernetycznych wobec Rosji (Estonian MFA). Sankcje są karą. Nie ochronią zapory.

Łotwa wystawiła straże, poprosiła NATO o obronę powietrzną i publicznie nazwała zagrożenie. Duża część europejskiej infrastruktury energetycznej nadal tkwi w kalendarzach zgodności z przepisami. Pytania pozostają bardzo konkretne: kto dowodzi ochroną obiektu po ostrzeżeniu wywiadu, kto finansuje fizyczne zabezpieczenia w prywatnych instalacjach i w jakim czasie wojsko może dotrzeć do cywilnego operatora pod presją. Rządy i firmy powinny odpowiedzieć na nie przed incydentem, nie po nim.