CSIRE wchodzi w końcowy etap: co zmienia się dla ludzi i firm

Zmiana infrastruktury rynku energii może być niezauważalna dla odbiorcy, dopóki faktura i zmiana sprzedawcy działają prawidłowo. Jest jednak również dobrym pretekstem dla oszustów: „musisz aktywować konto CSIRE”, „potwierdź punkt poboru energii” albo „zapłać opłatę migracyjną”. Sam fakt trwającej zmiany systemowej sprawia, że taka wiadomość może brzmieć wiarygodnie.

19 października 2026 roku rozpoczął się ostatni ustawowy etap dołączania kolejnych uczestników do Centralnego Systemu Informacji Rynku Energii. Polskie Sieci Elektroenergetyczne informują, że od tej daty pozostali operatorzy systemów dystrybucyjnych oraz sprzedawcy i podmioty odpowiedzialne za bilansowanie dla punktów w ich sieciach mają realizować procesy rynku przez CSIRE.

System działa od 1 lipca 2025 roku i był wdrażany etapami. Jego operatorem jako OIRE są PSE. Informacje ogólne PSE o CSIRE wskazują, że system służy wymianie informacji i obsłudze procesów takich jak zmiana sprzedawcy, rozliczenia czy sprzedaż rezerwowa.

Wniosek Breachroad: odbiorca nie powinien wykonywać pilnej operacji tylko dlatego, że wiadomość powołuje się na prawdziwą datę CSIRE. Dla firm wdrożenie jest nie tylko projektem integracyjnym, ale też zmianą dostępu do danych, odpowiedzialności i procesu obsługi błędów.

Co zmienia się dla zwykłego odbiorcy

CSIRE ma uporządkować wymianę informacji pomiędzy uczestnikami rynku energii. Odbiorca może odczuć skutki pośrednio: w obsłudze zmiany sprzedawcy, rozliczeniach, korektach danych lub procesie sprzedaży rezerwowej. Nie oznacza to jednak, że każdy klient 19 października musi samodzielnie zakładać nowe konto, instalować program albo potwierdzać dane przez link z SMS-a.

Wiadomość o energii sprawdzaj w kanale, który otworzysz samodzielnie:

1. zaloguj się do znanego panelu klienta z własnej zakładki lub wpisanego adresu;
2. odczytaj numer umowy i punktu poboru z wcześniejszej faktury;
3. zadzwoń pod numer z umowy lub oficjalnej strony, nie z wiadomości;
4. płatność wykonuj na rachunek potwierdzony w znanym systemie i na fakturze;
5. nie podawaj kodu BLIK, hasła ani danych karty osobie, która „prowadzi przez migrację”.

Prawdziwa zmiana systemowa i fałszywa wiadomość mogą wystąpić jednocześnie. Dlatego nie należy ani bezrefleksyjnie klikać, ani ignorować realnego problemu z rozliczeniem. Trzeba rozdzielić treść sprawy od wiarygodności kanału.

Ważna korekta: data nie oznacza, że każdy zakończył integrację

15 października Ministerstwo Energii opisało nowe przepisy dotyczące bezpieczniejszego i sprawniejszego rynku energii. Regulacja umożliwia Prezesowi URE odstąpienie od kary za techniczne lub organizacyjne opóźnienie, jeżeli integracja zostanie ukończona do 19 kwietnia 2028 roku i spełnione zostaną ustawowe warunki.

Nie jest to ogólne przesunięcie terminu ani dowód, że wszyscy uczestnicy są opóźnieni. Pokazuje natomiast, że hasło „od 19 października wszystko działa identycznie wszędzie” byłoby zbyt dużym uproszczeniem. Firma powinna sprawdzić stan swojego operatora i sprzedawcy, a nie opierać planu na samym komunikacie ogólnym.

Co powinien sprawdzić uczestnik rynku energii

Operator, sprzedawca lub podmiot obsługujący procesy CSIRE potrzebuje czegoś więcej niż potwierdzenia, że interfejs odpowiada. Kontrola powinna objąć:

• podpisaną umowę z OIRE i właściwe role organizacyjne;
• kompletność migracji danych oraz zgodność punktów poboru energii;
• użytkowników i uprawnienia w Portalu Użytkownika Profesjonalnego;
• certyfikację własnego systemu B2B lub status wybranego certyfikowanego nadawcy fizycznego;
• monitoring odrzuconych, opóźnionych i zduplikowanych komunikatów;
• ścieżkę korekty danych oraz obsługi reklamacji klienta;
• procedurę incydentową dla błędnej zmiany danych, konta albo sprzedawcy.

PSE deklaruje uwzględnienie zasad privacy by design i privacy by default oraz ocenę ryzyka w oparciu o ISO/IEC 29134:2017. To ważne elementy projektu, ale nie zwalniają każdej organizacji korzystającej z systemu z zarządzania własnymi kontami, integracją, stacjami administratorów i dostawcami.

Co powinna zrobić każda firma płacąca za energię

Nie trzeba być przedsiębiorstwem energetycznym, aby zmiana stała się tematem bezpieczeństwa. Dział finansowy może otrzymać wiadomość o „nowym rachunku po migracji CSIRE”, a recepcja telefon od osoby proszącej o kod punktu poboru. Właściciel małej firmy może zareagować na groźbę odłączenia prądu, bo przerwa zatrzyma działalność.

Wprowadź cztery proste zabezpieczenia:

• zmianę rachunku bankowego dostawcy potwierdzaj drugim, niezależnym kanałem;
• wymagaj zatwierdzenia zmiany danych płatniczych przez dwie osoby;
• przechowuj poprzednie faktury i historię rachunków do porównania;
• naucz finanse, recepcję i administrację, że presja na „pilną migrację” nie zastępuje weryfikacji.

Jeżeli wiadomość podaje prawdziwy numer PPE lub fragment umowy, nadal może być próbą oszustwa. Dane kontekstowe zwiększają wiarygodność, ale nie uwierzytelniają nadawcy.

Jak reagować na błąd lub podejrzaną zmianę

Najpierw zapisz wiadomość, nagłówki e-maila, numer telefonu, godzinę oraz widoczne dane. Następnie skontaktuj się ze sprzedawcą lub operatorem oficjalnym kanałem i poproś o potwierdzenie stanu procesu. W firmie wstrzymaj zmianę płatniczą do czasu niezależnej weryfikacji.

Jeżeli płatność trafiła na obcy rachunek, natychmiast skontaktuj się z bankiem i zgłoś próbę oszustwa. Jeżeli doszło do przejęcia konta lub nieautoryzowanej zmiany danych, unieważnij sesje, zabezpiecz logi i uruchom procedurę incydentową. Korekta danych biznesowych i analiza cyberbezpieczeństwa mogą być dwoma równoległymi zadaniami.

Fakty i nasze zalecenia

Daty etapów, role uczestników i zakres procesów pochodzą z komunikatów PSE. Możliwość odstąpienia od kary w określonych warunkach oraz data 19 kwietnia 2028 roku pochodzą z komunikatu Ministerstwa Energii. Te źródła nie informują o konkretnej kampanii phishingowej związanej z CSIRE.

Scenariusze wiadomości, niezależne potwierdzanie rachunku i podwójna akceptacja zmian płatniczych są wnioskami oraz rekomendacjami Breachroad. Szczegółowe procedury opisujemy w poradnikach o SMS-ie z groźbą odłączenia prądu i zmienionym rachunku kontrahenta. Te scenariusze warto ćwiczyć podczas szkoleń cyberbezpieczeństwa dla pracowników, a uprawnienia i integracje ocenić w ramach audytu bezpieczeństwa IT.