Od momentu pełnoskalowej inwazji na Ukrainę w lutym 2022 roku, Rosja zasadniczo zmieniła charakter swoich działań wobec państw NATO i Unii Europejskiej. Działania hybrydowe przestały być narzędziem wywierania presji politycznej w tle, stały się integralnym elementem prowadzonej przez Moskwę wojny z Zachodem, choć formalnie niewypowiedzianej. Infrastruktura krytyczna znalazła się w centrum tej kampanii nie przez przypadek, lecz z premedytacją: jest ona zarazem nerwem funkcjonowania nowoczesnego państwa i jego najbardziej eksponowanym punktem wrażliwości.
Zdecydowana większość aktów sabotażu i dywersji odnotowanych w Europie od lutego 2022 roku była skierowana przeciwko członkom Rady Państw Morza Bałtyckiego. Według raportu GLOBSEC/ICCT, cytowanego przez PISM, od stycznia 2022 do lutego 2026 roku na terytorium UE odnotowano 151 aktów sabotażu, 83 z nich, czyli ponad połowa, dotknęła państwa regionu bałtyckiego. Polska z 31 udokumentowanymi incydentami zajmuje pierwsze miejsce, wyprzedzając Niemcy i Litwę (po 15) oraz Estonię (11). Autorzy raportu PISM zastrzegają przy tym, że rzeczywista liczba incydentów jest prawdopodobnie wyższa, część przypadków pozostaje nieujawniona ze względu na trudności z atrybucją i utajnienie materiału dowodowego.
Strategia destabilizacji przez infrastrukturę
Rosyjska kampania sabotażowo-dywersyjna nie ma jednego celu, ma ich kilka, realizowanych jednocześnie na różnych poziomach. Bezpośrednie zniszczenie infrastruktury jest tylko jednym z nich, i bynajmniej nie najważniejszym. Równie istotne, a w dłuższej perspektywie być może ważniejsze jest wywołanie trwałego poczucia zagrożenia w społeczeństwach atakowanych państw, testowanie zdolności reagowania ich służb oraz demonstrowanie determinacji i gotowości do eskalacji. Rosja chce, by obywatele państw NATO żyli w przekonaniu, że żaden obiekt nie jest bezpieczny, żadna infrastruktura nie jest odporna, a państwo nie jest w stanie ich ochronić. Ten wymiar kognitywny jest świadomie wbudowany w architekturę kampanii. Nie jest przypadkiem, że wśród celów ataków znalazły się nie tylko bazy wojskowe i elektrownie, ale też sklepy wielkopowierzchniowe, dworce kolejowe i obiekty użyteczności publicznej. Ich uderzenie w codzienne życie zwykłych obywateli ma znaczenie psychologiczne wykraczające daleko poza wartość materialną wyrządzonych szkód.
Rosyjskie służby specjalne prowadzą swoje przedsięwzięcia w sposób planowy i skoordynowany, czerpiąc wprost z doświadczeń działań hybrydowych realizowanych przed 2022 rokiem na Ukrainie. Jak wskazuje ABW, wywiad rosyjski stara się przenosić na terytorium RP te same metody i ten sam model operacyjny. Jedna różnica jest jednak zasadnicza: obecne operacje prowadzone są z gotowością na ofiary śmiertelne po stronie cywilnej. Szczególnie widoczne było to w przypadku działań mogących doprowadzić do katastrof lotniczych lub kolejowych, co jakościowo odróżnia obecną fazę od wszystkiego, co obserwowano wcześniej.
Trzy domeny, jeden model działania
PISM analizuje rosyjskie operacje w podziale na trzy domeny operacyjne. Każda z nich rządzi się własną logiką taktyczną, lecz wszystkie służą tej samej strategii.
Domena morska obejmuje ataki na podwodną i nawodną infrastrukturę energetyczną: rurociągi, kable telekomunikacyjne i energetyczne oraz porty i bazy marynarki wojennej. Modelowym przykładem jest wysadzenie gazociągów Nord Stream we wrześniu 2022 roku: atak prowadzący zarazem do realnych strat energetycznych, jak i do demonstracji zdolności Rosji do uderzenia w strategiczne obiekty podmorskie. Późniejsze uszkodzenie kabla Balticconnector łączącego Finlandię z Estonią w listopadzie 2023 roku, prawdopodobnie z użyciem kotwicy statku, wpisuje się w ten sam schemat. Dane CSIS, przytaczane przez PISM, wskazują, że w 27% przypadków sabotażu sprawcy posługiwali się narzędziami tnącymi: kotwicami służącymi do przecinania podmorskich kabli, a w 35% materiałami wybuchowymi i zapalającymi. Rosja wykorzystuje też tzw. szarą flotę tankowców operujących w regionie Bałtyku jako element szerszej infrastruktury działań poniżej progu konfliktu zbrojnego.
Domena lądowa jest najbardziej zróżnicowana i obejmuje szereg kategorii celów. Linie kolejowe stały się jednym z priorytetowych obiektów, szczególnie te pełniące funkcje logistyczne w kontekście wsparcia Ukrainy. W Polsce seria aktów dywersji na infrastrukturę kolejową doprowadziła do wprowadzenia 19 listopada 2025 roku trzeciego stopnia alarmowego CHARLIE dla linii zarządzanych przez PKP Polskie Linie Kolejowe i PKP Linia Hutnicza Szerokotorowa. Wcześniej, od 2022 roku, na terytorium całej Polski i w odniesieniu do polskiej infrastruktury energetycznej za granicą obowiązywał drugi stopień alarmowy BRAVO. Równolegle celem ataków stają się magazyny i obiekty logistyczne, bazy wojskowe, zakłady przemysłu obronnego, a w miarę eskalacji również tzw. miękkie cele cywilne – sklepy wielkopowierzchniowe i miejsca skupiające duże grupy ludzi. W tej domenie realizowane są również operacje kognitywne: dezinformacja, kampanie zastraszające, budowanie nastrojów antypaństwowych i podważanie zaufania do instytucji.
Domena powietrzna przyniosła nowy i szczególnie problematyczny rodzaj zagrożenia — masowe zagłuszanie i fałszowanie sygnału GNSS. GPS spoofing, czyli celowe generowanie fałszywych sygnałów nawigacyjnych, paraliżuje żeglugę morską i lotnictwo cywilne nad Bałtykiem w sposób trudny do szybkiego wykrycia i przeciwdziałania. Towarzyszą mu systematyczne naruszenia przestrzeni powietrznej z użyciem dronów, które służą zarówno rozpoznaniu obiektów, jak i demonstracji możliwości operacyjnych. Zakłócenia sygnału GPS odnotowywane są regularnie przez pilotów i nawigatorów w całym regionie bałtyckim, ich skumulowany efekt na bezpieczeństwo ruchu lotniczego i morskiego jest poważny.
Sektory szczególnie narażone
Dane zebrane przez PISM i ABW pozwalają na precyzyjne wskazanie sektorów, które Rosja atakuje najczęściej i z największą intensywnością. Według danych CSIS przytaczanych przez PISM, infrastruktura transportowa i logistyczna oraz cele rządowe i wojskowe stanowią po 27% wszystkich udokumentowanych przypadków, sektor energetyczny i przemysł obronny — po 21%. Te proporcje odzwierciedlają rosyjską ocenę, które sektory są jednocześnie strategicznie ważne i relatywnie podatne na zakłócenia.
W Polsce szczególna uwaga ABW skupiała się na ochronie projektów z zakresu budowy pierwszej polskiej elektrowni jądrowej i towarzyszącej jej infrastruktury przesyłowej, rozbudowie terminala LNG w Świnoujściu, budowie morskich farm wiatrowych oraz terminala FSRU w Gdańsku. Każdy z tych projektów jako kluczowy dla długofalowego bezpieczeństwa energetycznego RP, stanowi potencjalny cel sabotażu zarówno fizycznego, jak i ekonomicznego, poprzez próby destabilizacji procesu inwestycyjnego czy dyskredytowania wykonawców.
Osobnym, narastającym zagrożeniem są ataki na infrastrukturę komunalną: obiekty zaopatrzenia w wodę, oczyszczalnie ścieków i spalarnie odpadów. W 2025 roku doszło do incydentów naruszenia bezpieczeństwa stacji uzdatniania wody w pięciu miejscowościach: Jabłonnej Lackiej, Szczytnie, Małdytach, Tolkmicku i Sierakowie. Atakujący uzyskali w niektórych przypadkach dostęp do przemysłowych systemów sterowania i mieli możliwość zmiany parametrów technicznych urządzeń, co stwarzało bezpośrednie zagrożenie dla ciągłości dostaw wody pitnej. Wektorem ataku była rażąca podatność: niezabezpieczone panele zarządzania dostępne wprost z publicznej sieci internet oraz słaba polityka haseł.
Cyberoperacje jako integralna część kampanii
ABW podkreśla, że ataki teleinformatyczne przestały mieć incydentalny charakter, stały się stałym, planowym elementem rosyjskich operacji hybrydowych. Ich celem nie jest już wyłącznie kradzież danych, ale coraz częściej destabilizacja procesów decyzyjnych państwa i realizacja agresywnych kampanii dezinformacyjnych. Klasycznym przykładem jest incydent z maja 2024 roku, gdy w wyniku przejęcia konta pracowniczego Polskiej Agencji Prasowej opublikowano fałszywą depeszę o rzekomym ogłoszeniu w Polsce powszechnej mobilizacji z precyzyjnie wskazanymi grupami zawodowymi objętymi powołaniem do wojska. Depesza, zanim została zdementowana, zdążyła wywołać falę niepokoju i trafić do wielu mediów.
W cyberprzestrzeni szczególnie aktywne są rosyjskie grupy APT: APT28 (Fancy Bear) i APT29 (Midnight Blizzard) oraz powiązana z białoruskim aparatem państwowym grupa UNC1151. Działają one na zlecenie służb specjalnych, a ich nadrzędnym celem jest pozyskiwanie strategicznych danych wywiadowczych, szpiegostwo przemysłowe i prowadzenie wieloobszarowych kampanii dezinformacyjnych. System wczesnego ostrzegania ARAKIS GOV wykazał w 2025 roku 18-procentowy wzrost liczby zdarzeń w ujęciu rok do roku, co przełożyło się na rekordową liczbę ponad 5,5 miliona alarmów bezpieczeństwa. Zespół CSIRT GOV odnotował w tym samym czasie ponad 40 tysięcy zgłoszeń o potencjalnych incydentach teleinformatycznych.
Ewolucja metod i profesjonalizacja
Jedną z najistotniejszych obserwacji ABW z lat 2024–2025 jest wyraźna profesjonalizacja rosyjskich operacji dywersyjnych. W 2023 roku Rosja opierała swoje przedsięwzięcia głównie na tzw. jednorazowej agenturze, czyli osobach werbowanych doraźnie przez internet, nieświadomych często, dla kogo faktycznie pracują, i eliminowanych z siatki po wykonaniu zadania. Model ten był tani, szybki i pozwalał na utrzymanie dystansu między zleceniodawcą a wykonawcą, ale był też strukturalnie słaby: podatny na infiltrację i przerywany aresztowaniami.
W kolejnych latach nacisk przesunął się wyraźnie w kierunku tworzenia złożonych komórek dywersyjnych opartych na hermetycznych strukturach przestępczości zorganizowanej. Rosjanie preferują przy tym osoby z doświadczeniem nabytym w strukturach siłowych, byłych żołnierzy, milicjantów, najemników z Grupy Wagnera. Siatki te są trudniejsze do penetracji, bardziej odporne na utratę pojedynczych ogniw i zdolne do prowadzenia bardziej złożonych operacji. Rosyjskie służby intensyfikują też szkolenia prowadzone na terytorium Federacji Rosyjskiej, przygotowujące agentów do działań terrorystycznych i obejmujące posługiwanie się bronią oraz materiałami wybuchowymi. W skład szkolonych grup wchodzą głównie cudzoziemcy. Finansowanie operacji odbywa się w rosnącym stopniu za pośrednictwem kryptoaktywów. ABW zidentyfikowała wykorzystanie technologii blockchain przez rosyjskie służby specjalne jako narzędzie omijania sankcji i anonimowego finansowania działań dywersyjno-sabotażowych na terytorium państw NATO. Ten sam mechanizm jest wykorzystywany w procederze sterowanej, nielegalnej migracji na granicy białorusko-polskiej.
Skala wykrytych i zwalczonych zagrożeń jest bezprecedensowa. W samym 2025 roku ABW wszczęła 48 śledztw dotyczących szpiegostwa, to wzrost o 128% w stosunku do roku poprzedniego. Łącznie w latach 2024–2025 wszczęto 69 śledztw, tyle co przez wszystkie lata 1991–2023 razem wzięte. Od początku pełnoskalowej inwazji zarzuty usłyszały 82 osoby, 62 zostały zatrzymane, a 91 objęto statusem podejrzanego.
Wnioski
Rosyjskie operacje hybrydowe wymierzone w infrastrukturę krytyczną są długofalową, planową i coraz bardziej profesjonalną kampanią. Nie są reakcją na bieżące wydarzenia polityczne, wpisują się w strategię stopniowego osłabiania NATO i UE, testowania granic ich odporności i budowania w europejskich społeczeństwach trwałego klimatu niepewności. Zmiana ilościowa, czyli bezprecedensowa liczba incydentów idzie w parze ze zmianą jakościową: większą gotowością do eskalacji, akceptacją ryzyka ofiar cywilnych i rosnącym wyrafinowaniem stosowanych metod.
Skuteczna odpowiedź na to zagrożenie wymaga podejścia wielowymiarowego. Niezbędna jest ścisła współpraca służb wywiadowczych i wojskowych na poziomie krajowym i sojuszniczym, systematyczna wymiana informacji o zagrożeniach w ramach struktur NATO i Rady Państw Morza Bałtyckiego oraz jednoznaczna, publiczna atrybucja sprawców, bez której niemożliwe jest podjęcie skoordynowanej odpowiedzi dyplomatycznej i prawnej. Równie ważna jest wielowarstwowa ochrona infrastruktury łącząca fizyczne zabezpieczenie obiektów z ochroną cybernetyczną systemów sterowania i komunikacji. Wreszcie, niezbędna jest odporność społeczna: świadomość zagrożeń, umiejętność rozpoznawania dezinformacji i zaufanie do instytucji państwowych, które samo w sobie stanowi pierwszą linię obrony przed rosyjskimi operacjami kognitywnymi.
Źródła: ABW, Wybrane aktywności 2024–2025, Warszawa 2026; F. Bryjka, A.M. Dyner, A. Kozioł, Biała księga rosyjskich aktów sabotażu i dywersji wobec członków Rady Państw Morza Bałtyckiego, PISM, maj 2026.