4 lipca 2026 r. weszła w życie nowelizacja ustawy o zarządzaniu kryzysowym.
Nowelizacja wprowadza nowe obowiązki dotyczące podmiotów krytycznych oraz operatorów infrastruktury krytycznej. Na wstępie należy zaznaczyć, że operatorem infrastruktury krytycznej jest podmiot wpisany do wykazu infrastruktury krytycznej, będący właścicielem lub posiadaczem obiektów, instalacji, urządzeń oraz usług wchodzących w skład infrastruktury krytycznej. Szczególne znaczenie dla sektora wodociągowo-kanalizacyjnego ma również załącznik do ustawy, określający sektory i podsektory objęte regulacją, wśród których znajduje się sektor wody obejmujący zaopatrzenie w wodę przeznaczoną do spożycia przez ludzi i jej dystrybucję oraz zbiorowe odprowadzanie ścieków.
Status operatora infrastruktury krytycznej jest związany z wpisaniem określonego obiektu, urządzenia, instalacji, sieci, systemu lub usługi do wykazu infrastruktury krytycznej. Wpis następuje po spełnieniu kryteriów określonych w uchwale Rady Ministrów, której projekt jest obecnie procedowany.
Proces identyfikacji prowadzi właściwy minister we współpracy z Dyrektorem RCB. W przypadku spełnienia wymaganych kryteriów minister składa wniosek o wpis do wykazu. Po dokonaniu wpisu właściciel lub posiadacz uzyskuje status operatora infrastruktury krytycznej.
Warto również wskazać na powiązanie nowych regulacji z ustawą o krajowym systemie cyberbezpieczeństwa. Przedsiębiorstwa wodociągowo-kanalizacyjne zostały wprost uwzględnione w katalogu podmiotów objętych ustawą w zakresie zaopatrzenia w wodę przeznaczoną do spożycia przez ludzi i jej dystrybucji oraz zbiorowego odprowadzania ścieków. Co istotne, podmiot krytyczny w rozumieniu ustawy o zarządzaniu kryzysowym jest jednocześnie podmiotem kluczowym w rozumieniu ustawy o KSC.
Nowelizacja wprowadza Krajową Strategię Odporności Podmiotów Krytycznych (KSOPK), która zastępuje Narodowy Program Ochrony Infrastruktury Krytycznej (NPOIK). Jej celem jest zwiększenie odporności podmiotów krytycznych, a Strategia będzie przyjmowana przez Radę Ministrów w drodze uchwały. KSOPK będzie określać m.in. cele i priorytety dotyczące zapewnienia niezakłóconego świadczenia usług kluczowych, procesy identyfikacji podmiotów krytycznych, środki zwiększające ich odporność, zasady wsparcia podmiotów krytycznych oraz koordynacji działań z organami właściwymi w sprawach cyberbezpieczeństwa. Projekt Strategii będzie opracowywany przez Dyrektora Rządowego Centrum Bezpieczeństwa i poddany 30-dniowym konsultacjom publicznym. KSOPK będzie opracowywana i aktualizowana co 3 lata, a jej realizację będzie monitorował Dyrektor RCB, przedstawiając Radzie Ministrów coroczne sprawozdanie.
Nowelizacja wprowadza nową definicję sytuacji kryzysowej, rozumianej jako sytuacja negatywnie wpływająca na poziom bezpieczeństwa ludzi, mienia w znacznych rozmiarach, środowiska lub dziedzictwa kulturowego, powodująca znaczne ograniczenia w działaniu właściwych organów administracji publicznej.
Ustawa wprowadza pojęcie dostawcy krytycznego, czyli podmiotu dostarczającego produkty, usługi lub technologie, których zakłócenie może spowodować incydent istotny u podmiotu krytycznego.
Nowelizacja rozszerza zakres zadań Dyrektora RCB, obejmując m.in. prowadzenie Pojedynczego Punktu Kontaktowego do współpracy transgranicznej oraz monitorowanie realizacji KSOPK. W ciągu 6 miesięcy od wejścia ustawy w życie mają zostać opracowane Krajowa Ocena Ryzyka oraz Krajowa Strategia Odporności Podmiotów Krytycznych. Pierwsza identyfikacja podmiotów krytycznych ma nastąpić w ciągu 9 miesięcy, natomiast Krajowy Plan Zarządzania Ryzykiem powinien zostać przyjęty w ciągu 12 miesięcy od dnia wejścia w życie ustawy.
W niniejszym artykule przedstawione zostaną najważniejsze obowiązki dotyczące ochrony infrastruktury krytycznej, wynikające z nowelizacji ustawy o zarządzaniu kryzysowym.
Obowiązki operatora infrastruktury krytycznej
- Wyznaczenie koordynatora infrastruktury krytycznej
W myśl art. 6zi ust. 2 operator infrastruktury krytycznej wyznacza koordynatora ochrony infrastruktury krytycznej oraz jego zastępcę w terminie 30 dni od dnia otrzymania informacji o wpisie do wykazu infrastruktury krytycznej. Należy zauważyć, że funkcję koordynatora oraz jego zastępcy może pełnić osoba spełniająca określone warunki, w tym posiadająca wiedzę, umiejętności i doświadczenie w zakresie zarządzania bezpieczeństwem, z uwzględnieniem przedmiotu działalności operatora infrastruktury krytycznej. Koordynator podlega bezpośrednio organowi zarządzającemu operatora infrastruktury krytycznej, a jego wyznaczenie podlega zgłoszeniu odpowiednim podmiotom.
- Analiza zagrożeń
Operator, mając na względzie ochronę infrastruktury krytycznej pozostającej w jego odpowiedzialności, przeprowadza analizę zagrożeń w terminie 6 miesięcy od otrzymania informacji o wpisie do wykazu infrastruktury krytycznej. W nawiązaniu do wyników tej analizy operator wdraża odpowiednie rozwiązania w zakresie bezpieczeństwa, obejmujące m.in. bezpieczeństwo fizyczne, techniczne, osobowe, cyberbezpieczeństwo, a także ciągłość działania i odtwarzania infrastruktury krytycznej.
- Opracowanie i aktualizacja dokumentacji ochrony infrastruktury krytycznej
Operator infrastruktury krytycznej obligatoryjnie opracowuje oraz dokonuje aktualizacji dokumentacji ochrony infrastruktury krytycznej. Oświadczenie o opracowaniu dokumentacji należy przedłożyć odpowiednim podmiotom, w tym Rządowemu Centrum Bezpieczeństwa, w terminie 15 miesięcy od otrzymania informacji o wpisie do wykazu infrastruktury krytycznej.
- Sporządzenie raport o stanie ochrony infrastruktury krytycznej
Do dnia 31 marca każdego roku operator zobowiązany jest sporządzić raport o stanie ochrony infrastruktury krytycznej za rok ubiegły. Raport zawiera dane dotyczące m.in. bezpieczeństwa fizycznego, technicznego, osobowego oraz cyberbezpieczeństwa. Następnie raport przekazywany jest właściwemu ministrowi do dnia 31 marca. Na żądanie właściwych organów, w tym Dyrektora Rządowego Centrum Bezpieczeństwa oraz Szefa Agencji Bezpieczeństwa Wewnętrznego, operator zobowiązany jest również do przekazania raportu. Należy podkreślić, że raport stanowi dokument niejawny.
Obowiązki podmiotu krytycznego
- Wyznaczenie pełnomocnika bezpieczeństwa usługi kluczowej
W myśl art. 6zzd w terminie 30 dni od otrzymania informacji o wpisie do wykazu podmiotów krytycznych, podmiot ten wyznacza pełnomocnika bezpieczeństwa usługi kluczowej oraz jego zastępcy. Pełnomocnik w ramach zintegrowanego systemu zarządzania bezpieczeństwem realizuje m.in. zadania w zakresie przeprowadzania oceny ryzyka, zarządzania ryzykiem, zapewnienia bezpieczeństwa fizycznego, osobowego i cyberbezpieczeństwa, zapewnienia ciągłości działania i odtwarzania, opracowywania i aktualizowania dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem, obsługi i zgłaszania incydentów istotnych, a także przeprowadzania szkoleń, ćwiczeń i audytów.
Pełnomocnik, a także jego zastępca, muszą spełniać podobne kryteria jak koordynator ochrony infrastruktury krytycznej, w tym posiadać wiedzę, umiejętności i doświadczenie w zakresie zarządzania bezpieczeństwem, z uwzględnieniem przedmiotu działalności podmiotu świadczącego usługę kluczową. Pełnomocnik podlega bezpośrednio organowi zarządzającemu podmiotu krytycznego. O wyznaczeniu pełnomocnika bezpieczeństwa usługi kluczowej podmiot krytyczny informuje niezwłocznie m.in. właściwy organ do spraw podmiotów krytycznych.
- Wdrażanie zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej
Podmiot krytyczny jest zobowiązany do wdrożenia zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej, obejmującego m.in. przeprowadzanie, nie rzadziej niż raz na 2 lata, oceny ryzyka, wdrożenie odpowiednich i proporcjonalnych do wyników oceny ryzyka rozwiązań organizacyjno-technicznych, bieżącą współpracę z właściwymi organami zarządzania kryzysowego oraz odpowiednimi służbami, gromadzenie informacji o zagrożeniach i incydentach zakłócających lub mogących zakłócić świadczenie usługi kluczowej, zarządzanie incydentami oraz stosowanie środków zapobiegających i ograniczających wpływ incydentów na świadczenie usługi kluczowej. Pierwszą ocenę ryzyka podmiot krytyczny przeprowadza w terminie 9 miesięcy od dnia otrzymania informacji o wpisie do wykazu podmiotów krytycznych. Następnie, w terminie 3 miesięcy od dnia przeprowadzenia oceny ryzyka, podmiot krytyczny wdrażaodpowiednie rozwiązania organizacyjno-techniczne, a w dalszym okresie dokonuje ich wdrożenia stosownie do potrzeb i wyników przeprowadzonej oceny ryzyka.
W nawiązaniu do wdrożonego systemu podmiot krytyczny jest zobowiązany do opracowania dokumentacji zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej w terminie 15 miesięcy od dnia otrzymania informacji o wpisie do wykazu podmiotów krytycznych.
- Obowiązki podmiotu krytycznego w zakresie zarządzania incydentami
Ustawodawca nakłada na podmiot krytyczny obowiązek zarządzania incydentami w określonym zakresie, w tym zapewnienia ich obsługi, zapewnienia odpowiednim organom do spraw podmiotów krytycznych oraz Dyrektorowi Centrum dostępu do informacji o zarejestrowanym incydencie, a także klasyfikacji incydentu jako istotnego na podstawie określonych progów, które zostaną zawarte w rozporządzeniu Rady Ministrów w sprawie progów uznania incydentu za istotny. Obecnie projekt rozporządzenia znajduje się w fazie konsultacji, a jego przyjęcie przez Radę Ministrów jest przewidziane na III kwartał bieżącego roku. Podmiot krytyczny jest również zobowiązany do niezwłocznego zgłoszenia incydentu istotnego właściwemu organowi do spraw podmiotów krytycznych, Dyrektorowi Centrum, Szefowi Agencji Bezpieczeństwa Wewnętrznego oraz CSIRT, nie później jednak niż w terminie 24 godzin od momentu jego wystąpienia lub wykrycia. Określono również obowiązek współdziałania podczas obsługi incydentu istotnego z właściwymi organami oraz obowiązek informowania o usunięciu takiego incydentu. Z czynności podejmowanych w zakresie zarządzania incydentem podmiot krytyczny sporządza i przekazuje odpowiednie sprawozdanie w terminie nie dłuższym niż 30 dni, licząc od dnia wystąpienia incydentu istotnego.
- Obowiązek przeprowadzenia audytu zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej
Podmiot krytyczny jest zobowiązany do przeprowadzania audytu zintegrowanego systemu zarządzania bezpieczeństwem co najmniej raz na 3 lata, na własny koszt. Audyt obejmuje m.in. zarządzanie bezpieczeństwem informacji, zarządzanie ciągłością działania usługi kluczowej oraz zapewnienie bezpieczeństwa fizycznego w formie ochrony fizycznej, w tym budynków i terenów należących do podmiotu krytycznego.
Audyt przeprowadza się również w przypadku wystąpienia incydentu istotnego, na podstawie decyzji organu do spraw podmiotów krytycznych. Decyzja w tym zakresie podlega natychmiastowemu wykonaniu.
Kopię raportu z przeprowadzonego audytu podmiot krytyczny przekazuje właściwemu organowi do spraw podmiotów krytycznych w terminie 7 dni roboczych, za pośrednictwem systemu S46 CyberHub.
Powyższe obowiązki przedstawiają kompleksowe podejście do zabezpieczenia infrastruktury krytycznej, tak ważnej dla prawidłowego funkcjonowania państwa i społeczeństwa. Ogrom obowiązków sprawia jednak, że wymagają one dużego zaangażowania operatorów i podmiotów krytycznych w to zagadnienie. Należy również podkreślić znaczenie systemu S46 Cyber Hub. Termin na samodzielne złożenie wniosku o wpis do Wykazu KSC, który umożliwia dostęp do platformy S46 Cyber Hub, mija 3 października 2026 roku. Obowiązek ten dotyczy podmiotów spełniających kryteria ustawowe, które nie podlegają wpisowi z urzędu.
Maciej Dadok – Specjalista ds. prawnych
