Wprowadzenie

Nowelizacja ustawy o zarządzaniu kryzysowym opublikowana w Dz.U. 2026 poz. 815 ma znaczenie większe niż klasyczna korekta legislacyjna. Ustawodawca porządkuje cały sposób myślenia
o bezpieczeństwie państwa, od prostego planowania reakcji po zarządzanie ryzykiem, odpornością podmiotów krytycznych, ciągłością świadczenia usług kluczowych i ochroną infrastruktury krytycznej. Już nowy art. 1 pokazuje tę zmianę, ponieważ rozszerza zakres ustawy na identyfikację infrastruktury krytycznej, obowiązki operatorów, usługi kluczowe, podmioty krytyczne, organy do spraw tych podmiotów oraz nadzór i kontrolę.[1]

W praktyce oznacza to przejście z logiki administracyjnej na logikę funkcjonalną. Zarządzanie kryzysowe obejmuje dziś administrację, operatorów infrastruktury, dostawców krytycznych, sektor prywatny, organy regulacyjne, służby, straże i inspekcje. Taki układ odpowiada realnym zagrożeniom. Długotrwały brak energii, przerwa w dostawie wody, cyberatak na system sterowania, sabotaż infrastruktury technicznej albo zakłócenie usług finansowych mogą szybko uruchomić skutki kaskadowe. Wtedy sama procedura reagowania okazuje się zbyt późnym narzędziem. Potrzebna jest odporność zaprojektowana wcześniej.

Zmiana ma także wymiar europejski. Nowelizacja wdraża dyrektywę Parlamentu Europejskiego
i Rady (UE) 2022/2557 dotyczącą odporności podmiotów krytycznych.[2] Polski system zarządzania kryzysowego zostaje więc powiązany z europejskim modelem ochrony usług koniecznych dla funkcjonowania państwa, społeczeństwa i gospodarki. To ważne, ponieważ usługi kluczowe coraz częściej działają w układach transgranicznych, sektorowych i łańcuchach dostaw pozostających poza bezpośrednią kontrolą pojedynczej gminy, powiatu, województwa czy nawet jednego ministra.

Nowy język ustawy: usługa, ryzyko, odporność

Pierwsza duża zmiana dotyczy języka ustawy. Nowa definicja sytuacji kryzysowej obejmuje negatywny wpływ na bezpieczeństwo ludzi, mienie w znacznych rozmiarach, środowisko albo dziedzictwo kulturowe. Obejmuje też znaczne ograniczenia w działaniu właściwych organów administracji publicznej wynikające z niedoboru sił i środków albo zakłóceń w obsłudze tych organów.[3] Ten fragment ma duże znaczenie praktyczne. Kryzys może wynikać z powodzi, awarii technicznej czy zdarzenia terrorystycznego, ale również z utraty zdolności działania przez samą administrację. Ciągłość pracy urzędu, centrum zarządzania kryzysowego, systemów łączności
i obiegu informacji staje się elementem bezpieczeństwa oraz ważnym zadaniem organizacyjnym.

Drugie przesunięcie dotyczy pojęcia usługi kluczowej. Ustawa definiuje ją jako usługę
o decydującym znaczeniu dla utrzymania funkcji społecznych, działalności gospodarczej, zdrowia, bezpieczeństwa publicznego albo środowiska.[4] Ten zapis zmienia punkt startu analizy.
W tradycyjnym podejściu pytanie brzmiało, jaki obiekt należy chronić? W nowym podejściu pytanie brzmi, jaka funkcja musi działać, dla kogo, jak długo i przy jakim poziomie zakłócenia? Dopiero potem dobiera się obiekty, systemy, zasoby, procedury i partnerów.

Kluczowe znaczenie ma także definicja odporności podmiotu krytycznego. Ustawa ujmuje ją jako zdolność do zapobiegania incydentowi, ochrony przed incydentem, reagowania, absorbowania skutków, adaptacji, usuwania skutków oraz odtwarzania infrastruktury krytycznej potrzebnej do świadczenia usługi kluczowej.[5] To dojrzałe ujęcie. Zakłada wystąpienie zakłócenia i wymaga przygotowania organizacji na pracę pod presją. Odporność oznacza zdolność utrzymania funkcji, podejmowania decyzji, komunikowania się, ograniczania strat i powrotu do działania.

Nowe znaczenie otrzymują też ryzyko, ocena ryzyka i zarządzanie ryzykiem. Ryzyko zostało powiązane z prawdopodobieństwem wystąpienia zagrożenia oraz jego skutkami. Ocena ryzyka obejmuje identyfikację zagrożenia, podatności, prawdopodobieństwa i skutków. Zarządzanie ryzykiem obejmuje ocenę, planowanie postępowania z ryzykiem, wdrażanie działań, osiąganie gotowości do reagowania oraz ocenę efektów.[6] To zapis o dużej sile praktycznej. Plan zarządzania kryzysowego ma prowadzić do decyzji: co ograniczamy, jakimi zasobami, w jakiej kolejności, za jakie środki i według jakiego miernika.

Krajowa Ocena Ryzyka jako fundament systemu

Centralnym dokumentem nowego modelu staje się Krajowa Ocena Ryzyka, czyli KOR. Zgodnie z art. 6e opracowuje ją dyrektor Rządowego Centrum Bezpieczeństwa, a Rada Ministrów przyjmuje dokument w drodze uchwały. KOR ma być uwzględniana w planach zarządzania kryzysowego, identyfikacji podmiotów krytycznych, ocenach ryzyka podmiotów krytycznych, działaniach zwiększających odporność oraz innych dokumentach administracji publicznej dotyczących zarządzania kryzysowego.[7]

Zakres KOR pokazuje skalę zmiany. Dokument obejmuje zagrożenia naturalne, awarie techniczne, zagrożenia hybrydowe, cyberbezpieczeństwa, zagrożenia o charakterze terrorystycznym, zagrożenia powodujące niedostępność usług kluczowych oraz inne zagrożenia mogące wywołać znaczące skutki dla ludności, gospodarki albo dóbr kultury.[8] Ustawodawca odchodzi więc od katalogu zdarzeń fizycznych i wprowadza logikę skutków: liczy się wpływ na funkcje państwa i społeczeństwa.

Przy opracowywaniu KOR trzeba uwzględniać powiązania transgraniczne, zależności międzysektorowe i zmiany klimatu. W części dotyczącej podmiotów krytycznych dochodzą usługi kluczowe, zagrożenia antagonistyczne, zależności między sektorami, zależność ciągłości działania od podmiotów z innych państw oraz informacje o incydentach zgłaszanych przez podmioty krytyczne.[9] To bardzo wymagające podejście. Ocena ryzyka musi pokazywać podatności, skutki wtórne i możliwe efekty domina. Sama tabela zagrożeń z opisem prawdopodobieństwa i skutków będzie za słaba.

Największa wartość KOR pojawi się wtedy, gdy dokument stanie się narzędziem decyzji oraz realną podstawą programowania działań. Dobrze opracowana KOR powinna wpływać na inwestycje, ćwiczenia, zakupy, porozumienia, priorytety ochrony infrastruktury i programy redukcji ryzyka. Słabo opracowana KOR stworzy natomiast pozór spójności. To jedno z głównych ryzyk wdrożeniowych.

Strategia odporności podmiotów krytycznych

Drugim filarem jest Krajowa Strategia Odporności Podmiotów Krytycznych. Jej celem jest zwiększenie odporności podmiotów krytycznych, a przyjmuje ją Rada Ministrów. Strategia ma określać cele strategiczne i priorytety w zakresie ciągłości świadczenia usług kluczowych oraz funkcjonowania infrastruktury krytycznej, z uwzględnieniem powiązań transgranicznych i międzysektorowych.[10]

Ten dokument powinien odpowiedzieć na pytanie, jak państwo będzie wzmacniało odporność podmiotów krytycznych. Ustawa wskazuje, że strategia ma opisywać procesy identyfikacji podmiotów krytycznych, środki zwiększania odporności, mechanizmy wsparcia oraz rozwiązania ułatwiające wykonywanie obowiązków przez małe i średnie przedsiębiorstwa zidentyfikowane jako podmioty krytyczne.[11]

Ten ostatni element zasługuje na szczególną uwagę. Duże spółki energetyczne, operatorzy sieci, banki czy zarządcy dużej infrastruktury zwykle mają wyspecjalizowane komórki bezpieczeństwa. Mniejsze podmioty, zwłaszcza o znaczeniu lokalnym albo sektorowym, mogą mieć znacznie skromniejsze zaplecze. Strategia odporności powinna więc łączyć wymagania z realnym wsparciem: metodyką, szkoleniami, wzorami dokumentów, jasnymi terminami, pomocą ekspercką i sensowną kontrolą efektów.

Nowe planowanie: ryzyko i reagowanie w dwóch porządkach

Najbardziej widoczna zmiana dla administracji publicznej dotyczy planowania. Ustawa definiuje plany zarządzania kryzysowego jako dwa rodzaje dokumentów: plany zarządzania ryzykiem oraz plany reagowania kryzysowego.[12] To porządkuje zadania, które przez lata mieszały się w jednym dokumencie. Redukcja ryzyka i reagowanie w zdarzeniu wymagają innych danych, innych decyzji i innych narzędzi.

Plan zarządzania ryzykiem ma charakter strategiczno-programowy. Zgodnie z art. 6g zawiera cele strategiczne, zasady współpracy podmiotów z siatki bezpieczeństwa oraz listę działań ograniczających ryzyko w wymiarze organizacyjnym, technicznym i finansowym. Lista ta obejmuje hierarchię działań, ramy czasowe, podmioty wiodące i współpracujące, sposoby finansowania, wysokość nakładów, ocenę efektów oraz dane o stratach.[13] W praktyce taki plan powinien być powiązany z budżetem, inwestycjami, zamówieniami, szkoleniami i ćwiczeniami. Bez tego pozostanie opisem zamiarów.

Plan reagowania kryzysowego pełni inną funkcję. Ma wskazywać zadania i obowiązki podmiotów z siatki bezpieczeństwa, zasady współpracy, wymianę informacji, moduły zadaniowe i załączniki funkcjonalne. Krajowy Plan Reagowania Kryzysowego obejmuje m.in. monitorowanie zagrożeń, ostrzeganie i alarmowanie, łączność, informowanie ludności, procedury oceny strat, uruchamianie rezerw strategicznych, zadania ochrony ludności i obrony cywilnej, standardowe procedury operacyjne oraz priorytety ochrony i odtwarzania infrastruktury krytycznej.[14]

Dla województw, powiatów i gmin szczególnie wymagający będzie obowiązek ujęcia przedsięwzięć minimalizujących skutki zakłócenia infrastruktury krytycznej dla ludności na właściwym terenie.[15] Samorząd często odpowiada za skutki lokalne, chociaż właścicielem infrastruktury pozostaje operator prywatny, spółka Skarbu Państwa, administracja rządowa albo podmiot sektorowy. Dlatego planowanie wymusi stałą współpracę z operatorami energii, wody, transportu, łączności, ochrony zdrowia i innymi usługodawcami.

Plany mają być aktualizowane w cyklu do 3 lat i uzgadniane z podmiotami z siatki bezpieczeństwa w zakresie ich dotyczącym.[16] Sam termin aktualizacji rozwiązuje tylko część problemu. O jakości systemu zdecyduje rzetelność przeglądu ryzyka, sprawdzenie procedur w ćwiczeniach, analiza incydentów i powiązanie planów z zasobami.

Infrastruktura krytyczna: od wykazu do zarządzania funkcją

Nowelizacja porządkuje zadania dotyczące infrastruktury krytycznej. Obejmują one identyfikację infrastruktury, gromadzenie i przetwarzanie informacji o zagrożeniach, procedury na wypadek zagrożeń, odtwarzanie infrastruktury oraz współpracę organów administracji publicznej z operatorami. Organami właściwymi w sprawie identyfikacji są ministrowie kierujący działami administracji rządowej, wojewodowie oraz Komisja Nadzoru Finansowego, współpracujący z dyrektorem RCB.[17]

Nowa definicja infrastruktury krytycznej ma wyraźnie funkcjonalny charakter. Obejmuje obiekt, urządzenie, instalację, sieć, system lub usługę, albo ich funkcjonalnie powiązane zespoły, potrzebne do realizacji ważnych interesów państwa, funkcjonowania administracji i przedsiębiorstw, zaspokajania potrzeb obywateli, także lokalnych, oraz świadczenia usług kluczowych.[18] W centrum analizy znajduje się więc funkcja, skutek zakłócenia oraz znaczenie danego zasobu dla świadczenia usługi.

Ważną nowością jest potencjalna infrastruktura krytyczna. Ustawa obejmuje tym pojęciem obiekty, urządzenia, instalacje, sieci, systemy lub usługi na etapie projektowania albo budowy, które po zakończeniu mogą mieć znaczenie krytyczne.[19] Ten przepis powinien zmienić praktykę inwestycyjną. Bezpieczeństwo można wpisać w projekt, dokumentację techniczną, decyzje lokalizacyjne, zamówienia i odbiory. Takie podejście jest tańsze i skuteczniejsze niż późniejsze dokładanie zabezpieczeń do gotowego obiektu.

Operatorzy IK i podmioty krytyczne: dokumentacja, raporty, incydenty

Nowelizacja wzmacnia obowiązki operatorów infrastruktury krytycznej. Operator ma opracować i aktualizować dokumentację ochrony infrastruktury krytycznej. Dokumentacja obejmuje m.in. opis infrastruktury, analizę zagrożeń, opis wdrożonych rozwiązań, zasoby pozwalające podtrzymać funkcjonowanie infrastruktury, zasady współpracy z organami zarządzania kryzysowego, służbami, strażami, inspekcjami i RCB oraz procedury działania w sytuacji zagrożenia, ciągłości działania i odtwarzania.[20]

To silne przesunięcie w stronę dowodowej kultury bezpieczeństwa. Operator powinien potrafić wykazać, jakie zagrożenia rozpoznał, jakie środki zastosował, jak utrzymuje zasoby, z kim współpracuje, jak eskaluje zdarzenia i jak odtwarza funkcje. Dokumentacja zyska sens wtedy, gdy będzie testowana, aktualizowana po incydentach i powiązana z decyzjami inwestycyjnymi.

Ustawa wprowadza też coroczny raport o stanie ochrony infrastruktury krytycznej. Operator sporządza go do 31 marca za rok poprzedni. Raport obejmuje sześć obszarów: bezpieczeństwo fizyczne, techniczne, osobowe, cyberbezpieczeństwo, bezpieczeństwo prawne oraz ciągłość działania i odtwarzania.[21] Dla organów nadzoru może to być bardzo wartościowe narzędzie, o ile raporty będą analizowane, porównywane i wykorzystywane do korygowania systemu ochrony.

Jeszcze większe znaczenie mają obowiązki podmiotów krytycznych w zakresie incydentów. Podmiot krytyczny ma zapewnić obsługę incydentu, klasyfikować incydent jako istotny, rejestrować go, zgłaszać w terminie ustawowym, współdziałać przy obsłudze i informować o usunięciu.[22] Zgłoszenie powinno zawierać m.in. wpływ incydentu na usługę kluczową, liczbę użytkowników, czas wystąpienia i wykrycia, czas trwania, obszar geograficzny, wpływ na inne podmioty krytyczne, przyczynę, przebieg, skutki oraz działania zapobiegawcze i naprawcze.[23]

To wymaga dojrzałego zarządzania informacją. Podmiot krytyczny potrzebuje punktów kontaktowych, dyżurów, ścieżek eskalacji, systemu rejestracji, kryteriów klasyfikacji, komunikacji z organami i ćwiczeń. Sama procedura opisana w segregatorze da niewielką wartość, jeżeli organizacja zbiera dane dopiero po zdarzeniu.

Znaczenie dla samorządu terytorialnego

Dla JST nowelizacja oznacza zmianę warsztatu. Gmina, powiat i województwo będą musiały oddzielić planowanie redukcji ryzyka od planowania reagowania. Pierwszy dokument powinien odpowiadać na pytanie: jakie ryzyka ograniczamy przed zdarzeniem i jak finansujemy działania? Drugi powinien odpowiadać na pytanie: kto, kiedy i jak działa po wystąpieniu zagrożenia?

Najtrudniejszy będzie obszar infrastruktury krytycznej i usług kluczowych. Samorząd odpowiada za bezpieczeństwo mieszkańców, lecz wiele zasobów pozostaje poza jego własnością. Energia, łączność, transport, szpitale, systemy wodno-kanalizacyjne, duże zakłady przemysłowe albo usługi cyfrowe tworzą sieć zależności, która wymaga stałej współpracy. Nowe przepisy będą wymuszały uzgodnienia, wymianę informacji i ćwiczenia z operatorami oraz organami administracji rządowej.

W samorządzie zarządzanie kryzysowe powinno zostać mocniej powiązane z budżetem, inwestycjami, planowaniem przestrzennym, ochroną ludności i obroną cywilną. Plan zarządzania ryzykiem obejmujący działania organizacyjne, techniczne i finansowe wymaga udziału skarbnika, inwestycji, gospodarki komunalnej, ochrony środowiska, oświaty, pomocy społecznej, informatyki oraz kierownictwa urzędu. Komórka zarządzania kryzysowego może koordynować proces, lecz potrzebuje stałego udziału całego urzędu.

Ryzyka wdrożeniowe

Pierwszym ryzykiem jest formalizacja. Nowa architektura ustawowa może uruchomić produkcję dokumentów, raportów i tabel bez realnej zmiany sposobu działania. Lekarstwem są ćwiczenia, audyty funkcjonalne, przeglądy po incydentach, mierniki odporności i powiązanie planów z finansowaniem.

Drugim ryzykiem jest rozproszenie metodyk. KOR, plany zarządzania ryzykiem, oceny ryzyka podmiotów krytycznych i dokumentacja ochrony infrastruktury powinny posługiwać się spójnym językiem. W przeciwnym razie dane będą trudne do porównania, a system utraci koordynację. Potrzebne są wytyczne, wzory minimalne, szkolenia oraz narzędzia analityczne.

Trzecim ryzykiem jest przeciążenie mniejszych jednostek i podmiotów. Duże organizacje mają zespoły bezpieczeństwa, prawników, specjalistów od ciągłości działania i cyberbezpieczeństwa. Małe gminy oraz mniejsze podmioty świadczące ważne usługi lokalne często działają w znacznie skromniejszych warunkach. Wdrożenie powinno łączyć wymagania z praktycznym wsparciem.

Czwartym ryzykiem jest techniczne zawężenie odporności. Zakup systemu kontroli dostępu, monitoringu, agregatu albo zapasowego łącza może być potrzebny, ale odporność organizacji obejmuje więcej: decyzje, komunikację, zastępowalność personelu, łańcuchy dostaw, procedury odtworzeniowe, ćwiczenia i zdolność pracy pod presją.

Wnioski

Nowa ustawa o zarządzaniu kryzysowym tworzy ramy bardziej dojrzałego systemu bezpieczeństwa. Jej główna wartość polega na zmianie pytania podstawowego. Dotychczas praktyka często koncentrowała się na reakcji na zdarzenie. Nowy model zaczyna od usługi, ryzyka, zależności i odporności. Pyta: jaką funkcję trzeba utrzymać, jaki poziom zakłócenia jest krytyczny, jakie zależności mogą uruchomić skutki kaskadowe i jakie działania trzeba wykonać przed zdarzeniem?

To zmiana potrzebna, ale wymagająca. Administracja publiczna, operatorzy infrastruktury krytycznej i podmioty krytyczne muszą wyjść poza logikę dokumentu przygotowanego dla kontroli. Ustawa zadziała wtedy, gdy przełoży się na decyzje, inwestycje, ćwiczenia, procedury, punkty kontaktowe, raportowanie incydentów i kulturę ciągłości działania. Ramy prawne zostały stworzone. O wartości reformy zdecyduje jakość wdrożenia.

Pakiet aktów wykonawczych z 28.05.2026 r. uzupełnia tę logikę przez minimalne wymagania dla ochrony infrastruktury krytycznej, wykaz usług kluczowych i progi skutku zakłócającego oraz progi uznania incydentu za istotny.[24] Z perspektywy praktycznej to właśnie te przepisy wykonawcze mogą przesądzić, czy nowy model stanie się mierzalny i audytowalny.

Źródło podstawowe

Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, Dz.U. 2026 poz. 815. W materiale uwzględniono także aktualny pakiet projektów aktów wykonawczych z 28.05.2026 r. dotyczących minimalnych wymagań dla infrastruktury krytycznej, usług kluczowych oraz progów incydentu istotnego.

[1] Art. 1 ust. 1 pkt 1-7 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym w brzmieniu nadanym ustawą z dnia

   29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, Dz.U. 2026 poz. 815.

[2] Odnośnik nr 1 dodany do tytułu ustawy o zarządzaniu kryzysowym, wskazujący wdrożenie dyrektywy Parlamentu
  Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych.

[3] Art. 3 pkt 1 ustawy o zarządzaniu kryzysowym, Dz.U. 2026 poz. 815.

[4] Art. 3 pkt 1e ustawy o zarządzaniu kryzysowym, Dz.U. 2026 poz. 815.

[5] Art. 3 pkt 1d ustawy o zarządzaniu kryzysowym.

[6] Art. 3 pkt 12-14 ustawy o zarządzaniu kryzysowym.

[7] Art. 6e ust. 1, ust. 5, ust. 13 i ust. 14 ustawy o zarządzaniu kryzysowym.

[8] Art. 6e ust. 2 pkt 1-3 ustawy o zarządzaniu kryzysowym.

[9] Art. 6e ust. 3-4 ustawy o zarządzaniu kryzysowym.

[10] Art. 6f ust. 1-2 ustawy o zarządzaniu kryzysowym.

[11] Art. 6f ust. 2 pkt 3-4 ustawy o zarządzaniu kryzysowym.

[12] Art. 3 pkt 16-18 ustawy o zarządzaniu kryzysowym.

[13] Art. 6g ust. 1-5 ustawy o zarządzaniu kryzysowym.

[14] Art. 6j ust. 1-3 oraz art. 6k ust. 1 ustawy o zarządzaniu kryzysowym.

[15] Art. 6m ust. 1 pkt 2 oraz art. 6n ust. 1 pkt 2 ustawy o zarządzaniu kryzysowym.

[16] Art. 6o ust. 1-3 ustawy o zarządzaniu kryzysowym.

[17] Art. 6p oraz art. 6q ust. 1-3 ustawy o zarządzaniu kryzysowym.

[18] Art. 3 pkt 2 ustawy o zarządzaniu kryzysowym w nowym brzmieniu.

[19] Art. 3 pkt 2b ustawy o zarządzaniu kryzysowym.

[20] Art. 6zf ust. 1-8 ustawy o zarządzaniu kryzysowym.

[21] Art. 6zg ust. 1-3 ustawy o zarządzaniu kryzysowym.

[22] Art. 6zv ust. 1 ustawy o zarządzaniu kryzysowym.

[23] Art. 6zw ust. 1-3 ustawy o zarządzaniu kryzysowym.

[24] Art. 6ze ust. 4, art. 6zp ust. 3-4 oraz art. 6zv ust. 4-5 ustawy o zarządzaniu kryzysowym, jako podstawy projektowanych aktów wykonawczych z 28.05.2026 r.