Zasadnicze znaczenie dla identyfikacji zagrożeń mają przepisy ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym. Ustawodawca przewidział obowiązek opracowania Krajowej Oceny Ryzyka, której celem jest identyfikacja zagrożeń mogących oddziaływać na funkcjonowanie państwa oraz infrastruktury krytycznej. Zgodnie z art. 6e ust. 1 ustawy opracowuje się Krajową Ocenę Ryzyka, przyjmowaną przez Radę Ministrów w drodze uchwały. Uzupełnieniem tych regulacji jest ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa[1], która koncentruje się na zagrożeniach dla systemów teleinformatycznych oraz incydentach cyberbezpieczeństwa mogących zakłócić funkcjonowanie podmiotów kluczowych i świadczonych przez nie usług.
Stosownie do art. 6e ust. 2 ustawy, Krajowa Ocena Ryzyka obejmuje w szczególności zagrożenia stanowiące katastrofy naturalne oraz awarie techniczne, zagrożenia hybrydowe, zagrożenia cyberbezpieczeństwa, zagrożenia o charakterze terrorystycznym, zagrożenia mogące spowodować niedostępność usług kluczowych, a także inne zagrożenia mogące wywołać znaczące negatywne skutki dla ludności, gospodarki lub dóbr kultury. Ponadto obejmuje ona również zagrożenia, które nie zostały jeszcze jednoznacznie zidentyfikowane, lecz mogą wystąpić w przyszłości, oraz ocenę ryzyka ich wystąpienia.
Ustawodawca wskazuje również, że przy opracowywaniu oceny ryzyka należy uwzględniać powiązania pomiędzy zagrożeniami wynikające z oddziaływań transgranicznych, zależności międzysektorowe, a także zmiany klimatu. W odniesieniu do podmiotów krytycznych uwzględnia się ponadto zagrożenia antagonistyczne, ryzyko wynikające z wzajemnych zależności pomiędzy sektorami infrastruktury krytycznej, zależność ciągłości świadczenia usług od podmiotów funkcjonujących w innych państwach oraz informacje dotyczące zgłaszanych incydentów. Rozwiązanie to wskazuje, że ocena zagrożeń nie ogranicza się wyłącznie do pojedynczych zdarzeń, lecz obejmuje również ich wzajemne oddziaływanie oraz wpływ na ciągłość świadczenia usług kluczowych.
Dodatkowo ustawa w art. 3 pkt 21 i 22 definiuje zagrożenie hybrydowe jako kombinację wrogich działań realizowanych przy użyciu środków politycznych, gospodarczych, dyplomatycznych, informacyjnych, militarnych lub innych, natomiast zagrożenie antagonistyczne określa jako rodzaj zagrożenia hybrydowego ukierunkowanego przeciwko usługom kluczowym oraz infrastrukturze krytycznej, realizowanego w sposób celowy i świadomy.
Mając na uwadze powyższe regulacje, można przyjąć, że zagrożenia dla infrastruktury wodociągowo-kanalizacyjnej dzielą się zasadniczo na zagrożenia naturalne oraz zagrożenia wywołane działalnością człowieka. Do pierwszej grupy zaliczyć należy przede wszystkim katastrofy naturalne, w szczególności powodzie i susze, których częstotliwość oraz intensywność wzrasta w związku z obserwowanymi zmianami klimatu. Pogląd ten znajduje potwierdzenie w literaturze. Współczesne wyzwania przedsiębiorstw wodociągowo-kanalizacyjnych wynikają przede wszystkim ze zmian klimatu oraz zanieczyszczenia środowiska, wpływając zarówno na bezpieczeństwo dostaw wody, jak i na potrzebę dostosowania regulacji prawnych do nowych zagrożeń.
Drugą grupę stanowią natomiast zagrożenia wynikające z działalności człowieka, obejmujące w szczególności awarie techniczne, zagrożenia cyberbezpieczeństwa, zagrożenia o charakterze terrorystycznym, zagrożenia hybrydowe oraz zagrożenia antagonistyczne ukierunkowane przeciwko infrastrukturze krytycznej i świadczonym przez nią usługom kluczowym.
Nie ulega wątpliwości, że współcześnie zarówno zagrożenia naturalne, jak i te wywołane działalnością człowieka stanowią istotne wyzwanie dla zapewnienia ciągłości funkcjonowania infrastruktury wodociągowo-kanalizacyjnej. Ze względu jednak na przedmiot niniejszej pracy szczególne znaczenie mają zagrożenia wywołane działalnością człowieka, zwłaszcza awarie techniczne oraz incydenty cyberbezpieczeństwa. Obecna sytuacja geopolityczna oraz obserwowany wzrost liczby działań hybrydowych wymierzonych w infrastrukturę krytyczną państw europejskich powodują bowiem, że ryzyko zakłócenia funkcjonowania systemów wodociągowo-kanalizacyjnych przestaje mieć charakter wyłącznie hipotetyczny. Potwierdzają to również doświadczenia praktyczne. Jak wskazują Piotr Filipiński, Jacek Widenka oraz Bartosz Pestka, w ostatnich czasach odnotowano szereg cyberataków na polskie przedsiębiorstwa wodociągowo-kanalizacyjne, wskazując m.in. oczyszczalnię ścieków w Kuźnicy oraz stacje uzdatniania wody w Tolkmicku, Małdytach, Sierakowie i Szczytnie[2]. Zdarzenia te pokazują, że infrastruktura wodociągowo-kanalizacyjna stała się realnym celem działań cyberprzestępców. W praktyce zapewnienie ciągłości usług przez przedsiębiorstwa wodociągowo-kanalizacyjne wymaga uwzględnienia różnorodnych zagrożeń, obejmujących zarówno zjawiska atmosferyczne i awarie techniczne, jak również ataki fizyczne, cyberataki oraz inne zdarzenia mogące zakłócać funkcjonowanie infrastruktury krytycznej. Z tego względu zagadnienia związane z ochroną infrastruktury przed tego rodzaju zagrożeniami nabierają obecnie szczególnego znaczenia zarówno z perspektywy bezpieczeństwa państwa, jak i zapewnienia nieprzerwanego świadczenia usług kluczowych dla ludności. Dotychczasowe regulacje dotyczące krajowego systemu cyberbezpieczeństwa obejmowały stosunkowo wąski krąg podmiotów sektora wodociągowo-kanalizacyjnego. Nowelizacja ustawy, mająca na celu implementację dyrektywy NIS2, zmierza do rozszerzenia zakresu podmiotowego obowiązków w zakresie cyberbezpieczeństwa.
Mając na uwadze przedstawione regulacje prawne, należy stwierdzić, że infrastruktura wodociągowo-kanalizacyjna posiada szczególny status w systemie bezpieczeństwa państwa. Wynika to zarówno z jej znaczenia dla zaspokajania podstawowych potrzeb ludności, jak i z licznych obowiązków nałożonych przez ustawodawcę na przedsiębiorstwa wodociągowo-kanalizacyjne oraz organy administracji publicznej w zakresie zapewnienia ciągłości świadczenia usług, ochrony zasobów wodnych oraz bezpieczeństwa infrastruktury. Analiza obowiązujących przepisów prowadzi do wniosku, że współczesny model ochrony sektora wodociągowo-kanalizacyjnego opiera się nie tylko na reagowaniu na zagrożenia, lecz przede wszystkim na działaniach o charakterze prewencyjnym, obejmujących zarządzanie ryzykiem, planowanie oraz zapewnienie odporności infrastruktury.
Podzielając powyższe stanowisko, dochodzę do wniosku, że de lege ferenda zasadne jest dalsze doskonalenie rozwiązań prawnych dotyczących funkcjonowania sektora wodociągowo-kanalizacyjnego. W mojej ocenie powinny one zmierzać przede wszystkim do zapewnienia stabilnych i przewidywalnych zasad finansowania działalności przedsiębiorstw, w szczególności poprzez stworzenie mechanizmów taryfowych umożliwiających utrzymanie, modernizację oraz rozwój infrastruktury wodociągowo-kanalizacyjnej. Równocześnie pożądane wydaje się dalsze wspieranie inwestycji ze środków krajowych i europejskich, tak aby przedsiębiorstwa mogły skutecznie realizować ustawowe obowiązki związane z zapewnieniem bezpieczeństwa infrastruktury oraz ciągłości świadczenia usług.
Maciej Dadok
Specjalista ds. Prawnych IGWP
[1] Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2025 r. poz. 892 ze zm.).
[2] P. Filipiński, J. Widenka, B. Pstka, Cyberbezpieczeństwo w sektorze wodociągowo-kanalizacyjnym – nowe wymogi regulacyjne, Wodociągi Polskie 2025, nr 33(87), s. 22.
