Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2557 w sprawie odporności podmiotów krytycznych, określaną jako dyrektywa CER. Jednocześnie dostosowuje krajowe rozwiązania do wymagań Unijnego Mechanizmu Ochrony Ludności. Jej znaczenie wykracza jednak poza samo wykonanie zobowiązań unijnych. Nowelizacja odpowiada również na potrzebę operacyjnego dostosowania państwa, administracji i organizacji do nowych rodzajów zagrożeń.

Dlaczego zmienia się system zarządzania kryzysowego?

Nowe rodzaje zagrożeń dla bezpieczeństwa państwa

Dotychczasowy model zarządzania kryzysowego został ukształtowany w warunkach bezpieczeństwa istotnie odmiennych od obecnych. W ostatnich latach wzrosło znaczenie zagrożeń hybrydowych, cyberataków, sabotażu, działań dezinformacyjnych, zakłóceń łańcuchów dostaw, presji migracyjnej, zdarzeń o charakterze terrorystycznym oraz zagrożeń związanych z wykorzystaniem bezzałogowych statków powietrznych.

Współczesne sytuacje kryzysowe coraz rzadziej mają charakter pojedynczego, odizolowanego zdarzenia. Awaria techniczna może wywołać zakłócenia dostaw energii, telekomunikacji, transportu i zaopatrzenia w wodę. Cyberatak może doprowadzić do zatrzymania procesów technologicznych i powstania fizycznego zagrożenia dla ludzi oraz środowiska. Uszkodzenie jednego elementu infrastruktury może oddziaływać na wiele sektorów i podmiotów jednocześnie.

Od reagowania na zdarzenia do zarządzania ryzykiem

Dlatego nowelizacja przesuwa akcent z samego reagowania na zdarzenia na zarządzanie ryzykiem i budowanie odporności. Nie rezygnuje z klasycznego cyklu obejmującego zapobieganie, przygotowanie, reagowanie i odbudowę, ale wyraźnie wzmacnia działania podejmowane przed wystąpieniem sytuacji kryzysowej.

W praktyce oznacza to większe znaczenie:

• oceny ryzyka i planowania postępowania z ryzykiem
• identyfikacji zależności międzysektorowych
• ciągłości działania
• odporności usług kluczowych
• przygotowania wariantów działania na wypadek niedostępności zasobów
• integracji bezpieczeństwa fizycznego, technicznego, osobowego i cyberbezpieczeństwa
• kontroli wykonania obowiązków i stosowania sankcji tam, gdzie przewiduje je ustawa.

Zarządzanie kryzysowe a ochrona ludności i obrona cywilna

Nowelizacja ma również znaczenie dla systemu ochrony ludności i obrony cywilnej. Zarządzanie kryzysowe, ochrona ludności i obrona cywilna pozostają odrębnymi obszarami regulacyjnymi, ale muszą funkcjonować jako elementy jednego systemu bezpieczeństwa. Plany reagowania kryzysowego mają uwzględniać procedury realizacji zadań z zakresu OLiOC, co powinno ograniczać tworzenie niespójnych i równoległych rozwiązań planistycznych.

Jak zmienia się układ ustawy o zarządzaniu kryzysowym?

Skala reformy jest widoczna już w nowej strukturze ustawy. Dotychczasowe przepisy dotyczące planowania oraz ochrony IK zostały zastąpione rozbudowanym systemem obejmującym między innymi:

• przepisy ogólne
• dokumenty strategiczne
• plany zarządzania kryzysowego
• infrastrukturę krytyczną
• identyfikowanie IK
• identyfikowanie potencjalnej IK
• obowiązki operatorów IK
• organy do spraw podmiotów krytycznych
• Pojedynczy Punkt Kontaktowy
• identyfikowanie podmiotów krytycznych
• obowiązki podmiotów krytycznych
• podmioty krytyczne o szczególnym znaczeniu europejskim i misje doradcze
• nadzór i kontrolę
• bezpieczeństwo łańcucha dostaw
• administracyjne kary pieniężne
• szczególne rozwiązania dla wybranych kategorii podmiotów
• organy właściwe w sprawach ZK i ich zadania
• finansowanie zadań
• załącznik określający sektory, podsektory i kategorie podmiotów.

Nie jest to więc wyłącznie rozbudowanie dotychczasowej regulacji. Ustawa zmienia swój charakter. Nadal pozostaje podstawowym aktem dotyczącym ZK, ale jednocześnie staje się jednym z najważniejszych aktów regulujących odporność państwa, IK i usług kluczowych.

Jak zmienia się zarządzanie kryzysowe i planowanie cywilne?

Pierwszym kluczowym obszarem reformy jest ZK, a w jego ramach planowanie cywilne i zarządzanie ryzykiem.

Nowa definicja sytuacji kryzysowej i nowe pojęcia ustawowe

Nowelizacja modyfikuje definicję sytuacji kryzysowej. Obejmuje ona obecnie również negatywny wpływ na dziedzictwo kulturowe oraz przypadki zakłócenia obsługi właściwych organów administracji publicznej. Nadal zasadniczym elementem definicji pozostaje wystąpienie znacznych ograniczeń w działaniu administracji wynikających z nieadekwatności posiadanych sił i środków albo zakłóceń w obsłudze organów.

Do słownika ustawy wprowadzono między innymi pojęcia:

• ryzyka
• oceny ryzyka
• zarządzania ryzykiem
• modułu zadaniowego
• planów zarządzania ryzykiem
• planów reagowania kryzysowego
• zagrożenia hybrydowego
• zagrożenia antagonistycznego.

Szczególne znaczenie ma ustawowa definicja oceny ryzyka. Obejmuje ona identyfikację zagrożenia, identyfikację podatności, ustalenie prawdopodobieństwa wystąpienia zagrożenia oraz jego skutków, a następnie określenie wartości ryzyka. Oznacza to odejście od ograniczania analizy do samego katalogu zagrożeń. Ocena musi uwzględniać również podatność konkretnego systemu, obszaru albo organizacji.

Krajowa Ocena Ryzyka (KOR)

Dotychczasowy Raport o zagrożeniach bezpieczeństwa narodowego zostaje zastąpiony Krajową Oceną Ryzyka – KOR. Dokument ten ma obejmować nie tylko katastrofy naturalne i awarie techniczne, lecz także zagrożenia hybrydowe, cyberzagrożenia, zagrożenia terrorystyczne, możliwość niedostępności usług kluczowych oraz zagrożenia, których nie można jeszcze jednoznacznie zidentyfikować, ale które mogą wystąpić w przyszłości.

KOR ma być punktem odniesienia dla:

• planów zarządzania kryzysowego;
• identyfikacji podmiotów krytycznych;
• ocen ryzyka prowadzonych przez podmioty krytyczne;
• wdrażania środków zwiększających odporność;
• innych dokumentów administracji dotyczących ZK.

Podział na plan zarządzania ryzykiem i plan reagowania kryzysowego

Jednocześnie dotychczasowy jeden plan zarządzania kryzysowego zostaje funkcjonalnie rozdzielony na:

1. plan zarządzania ryzykiem, dotyczący ograniczania prawdopodobieństwa wystąpienia zagrożeń oraz ich skutków
2. plan reagowania kryzysowego, określający zadania, współdziałanie, moduły zadaniowe i procedury uruchamiane w przypadku wystąpienia sytuacji kryzysowej.

Plany zarządzania ryzykiem mają zawierać nie tylko cele i działania, ale także hierarchię przedsięwzięć, ramy czasowe, podmioty odpowiedzialne, sposób finansowania, wysokość nakładów oraz ocenę efektów. Jest to istotna zmiana jakościowa. Plan nie powinien pozostawać wyłącznie dokumentem opisowym. Ma stawać się programem świadomego ograniczania ryzyka, powiązanym z odpowiedzialnością, finansowaniem i oceną wykonania.

Plany reagowania kryzysowego będą natomiast koncentrować się na organizacji reakcji, współdziałaniu, wymianie informacji, monitorowaniu, alarmowaniu, łączności, informowaniu ludności, ochronie i odtwarzaniu IK oraz realizacji zadań OLiOC. W nowym modelu planowanie ryzyka ma poprzedzać i uzasadniać planowanie reagowania.

Jak zmieni się identyfikacja infrastruktury krytycznej?

Drugim podstawowym obszarem nowelizacji jest IK. Zmienia się zarówno jej definicja, jak i sposób identyfikowania oraz zakres obowiązków operatorów.

Nowa, funkcjonalna definicja infrastruktury krytycznej

Nowa definicja IK ma charakter bardziej funkcjonalny. Obejmuje obiekt, urządzenie, instalację, sieć, system lub usługę, a także ich funkcjonalnie połączone zespoły, jeżeli są niezbędne do:

• realizacji ważnych interesów państwa
• zapewnienia funkcjonowania organów administracji publicznej
• zapewnienia funkcjonowania przedsiębiorstw
• zaspokajania i utrzymywania potrzeb obywateli, także o charakterze lokalnym
• świadczenia usług kluczowych.

W miejsce wcześniejszego katalogowego podejścia opartego na systemach IK ustawodawca mocniej akcentuje funkcję konkretnego zasobu i konsekwencje jego niedostępności. O tym, czy dany obiekt, instalacja, sieć lub usługa stanowi IK, mają decydować kryteria sektorowe i przekrojowe.

Kryteria sektorowe i przekrojowe kwalifikacji IK

Kryteria sektorowe mają określać progi właściwe dla poszczególnych sektorów. Kryteria przekrojowe odnoszą się natomiast do możliwych skutków zakłócenia, w tym:

• liczby ofiar śmiertelnych i rannych
• skali lub czasu ewakuacji
• skutków ekonomicznych
• skutków społecznych i utraty dostępu do usług
• wpływu międzynarodowego
• unikatowości zasobu i możliwości jego zastąpienia lub odtworzenia.

Potencjalna infrastruktura krytyczna

Nowością jest potencjalna infrastruktura krytyczna. Chodzi o obiekty, instalacje, sieci, systemy lub usługi znajdujące się na etapie projektowania albo budowy, które po ukończeniu mogą spełniać funkcje właściwe dla IK.

Włączenie potencjalnej IK do ustawy ma istotne znaczenie praktyczne. Pozwala przenieść wymagania bezpieczeństwa z etapu późniejszego dostosowywania istniejącego obiektu na etap koncepcyjny, projektowy i inwestycyjny. Ochrona powinna być projektowana wraz z inwestycją, a nie dodawana dopiero po jej uruchomieniu. Dotyczy to między innymi ochrony fizycznej, zabezpieczeń technicznych, organizacji stref, lokalizacji zasobów krytycznych, redundancji, ciągów komunikacyjnych, zapasowych źródeł zasilania, odporności konstrukcyjnej oraz architektury systemów IT i OT.

Organy właściwe do identyfikacji IK

Organy właściwe do identyfikowania IK to ministrowie kierujący działami administracji rządowej, wojewodowie oraz Komisja Nadzoru Finansowego, działający we współpracy z dyrektorem RCB. Dyrektor RCB prowadzi niejawny wykaz IK. Model identyfikacji staje się więc bardziej sektorowy i rozproszony, przy zachowaniu centralnego wykazu i koordynacyjnej roli RCB.

Jakie nowe obowiązki otrzymują operatorzy infrastruktury krytycznej?

Nowelizacja znacząco rozbudowuje obowiązki operatorów IK. Operator nie będzie już odpowiadał wyłącznie za przygotowanie planu ochrony i utrzymywanie systemów rezerwowych. Powstaje kompleksowy model zarządzania ochroną IK.

Sześciopak bezpieczeństwa IK

Podstawowym obowiązkiem będzie przeprowadzanie analizy zagrożeń. Jej wyniki mają stanowić podstawę do wdrożenia adekwatnych rozwiązań w sześciu obszarach bezpieczeństwa:

1. bezpieczeństwie fizycznym
2. bezpieczeństwie technicznym
3. bezpieczeństwie osobowym
4. cyberbezpieczeństwie
5. bezpieczeństwie prawnym
6. ciągłości działania.

To tak zwany „sześciopak bezpieczeństwa IK”. Jego znaczenie polega na odejściu od utożsamiania ochrony IK z ochroną fizyczną obiektu. Skuteczna ochrona wymaga współdziałania wszystkich sześciu obszarów. Nie wystarczy ogrodzenie i system dozoru wizyjnego, jeżeli organizacja nie kontroluje dostępu serwisantów do systemów OT, nie posiada praw do kluczowego oprogramowania, jest całkowicie uzależniona od jednego dostawcy albo nie ma realnych zdolności odtworzenia procesów.

Minimalne wymagania dla sześciu obszarów mają zostać określone w akcie wykonawczym. Projekt tego rozporządzenia wskazuje podejście funkcjonalne: środki mają być dobierane adekwatnie do wyników analizy zagrożeń, lokalizacji, charakterystyki IK i jej zależności od innych sektorów.

Pozostałe obowiązki operatora IK

Operator będzie również zobowiązany między innymi do:

• opracowania dokumentacji ochrony IK
• utrzymywania systemów rezerwowych
• zapewnienia możliwości odtworzenia IK
• sporządzania raportu o stanie ochrony
• współpracy z administracją, służbami, inspekcjami i strażami
• wyznaczenia koordynatora ochrony IK i jego zastępcy
• zapewnienia wymaganej zdolności do ochrony informacji niejawnych
• weryfikowania kwalifikacji, kompetencji i uprawnień usługodawców wykonujących rozwiązania ochronne.

Koordynator ochrony IK ma pełnić funkcję łączącą operatora z właściwymi organami i koordynować realizację zadań ochronnych wewnątrz organizacji. Nie powinien być zatem traktowany jedynie jako osoba kontaktowa. W praktyce będzie potrzebował kompetencji z zakresu analizy ryzyka, bezpieczeństwa fizycznego i technicznego, ciągłości działania, ochrony informacji, współpracy ze służbami oraz zarządzania incydentami.

Bezzałogowe statki powietrzne a obowiązki operatora

Ustawa przewiduje również szczególne rozwiązania odnoszące się do przeciwdziałania zagrożeniom powodowanym przez bezzałogowe statki powietrzne. Nie oznacza to jednak ogólnego i nieograniczonego prawa operatora IK do zakłócania łączności. Zastosowanie urządzeń uniemożliwiających telekomunikację lub służących neutralizacji BSP musi następować w granicach szczegółowych podstaw ustawowych, z uwzględnieniem kompetencji uprawnionych podmiotów oraz regulacji dotyczących lotnictwa, telekomunikacji i środków przymusu.

Odpowiedzialność operatora IK

Warto też zwrócić uwagę na konstrukcję odpowiedzialności. Nowelizacja szczegółowo określa obowiązki operatorów IK, ale rozbudowany system administracyjnych kar pieniężnych został skierowany przede wszystkim do podmiotów krytycznych. Nie oznacza to, że obowiązki operatorów IK są fakultatywne. Ich wykonanie może podlegać kontroli w ramach właściwości organów, a niewłaściwa realizacja może powodować odpowiedzialność wynikającą z innych przepisów, umów, zasad odpowiedzialności zarządczej lub regulacji sektorowych.

Nowelizacja ustawy o zarządzaniu kryzysowym – przewodnik po najważniejszych zmianach | Część 2

W drugiej części przewodnika odpowiemy na pytania:

• Kim jest podmiot krytyczny i jak będzie identyfikowany?
• Jakie obowiązki będą miały podmioty krytyczne?
• Jakie zmiany wprowadzono w innych ustawach?
• Co należy zrobić po wejściu w życie nowych przepisów?
• Nowelizacja ustawy o zarządzaniu kryzysowym – ewolucja czy rewolucja?

Artykuł ukaże się na blogu już 28 lipca.